РЕГЛАМЕНТ (ЕС) № 910/2014 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 23 юли 2014 година
относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Изграждането на доверие в онлайн средата е ключов фактор за икономическото и социалното развитие. Липсата на доверие, по-конкретно поради впечатлението за липса на правна сигурност, кара потребителите, предприятията и публичните органи да се колебаят при извършването на електронни трансакции и при въвеждането на нови услуги.
(2)
Целта на настоящия регламент е да се повиши доверието в електронните трансакции на вътрешния пазар, като се предостави обща основа за надеждно взаимодействие по електронен път между гражданите, предприятията и публичните органи, чрез което ще се увеличи ефективността на обществените и частните онлайн услуги, електронния бизнес и електронната търговия в Съюза.
(3)
Директива 1999/93/ЕО на Европейския парламент и на Съвета (3) обхваща електронните подписи, но не предоставя цялостна трансгранична и междусекторна рамка за сигурни, надеждни и лесни за използване електронни трансакции. С настоящия регламент се разширяват и задълбочават достиженията на посочената директива.
(4)
В съобщението на Комисията от 26 август 2010 г., озаглавено „Програма в областта на цифровите технологии за Европа“, беше констатирано, че разпокъсаността на цифровия пазар, липсата на оперативна съвместимост и растящата киберпрестъпност са основните пречки пред навлизането на цифровата икономика в един благоприятен цикъл на развитие. В Доклада за гражданството на ЕС за 2010 г., озаглавен „Премахване на пречките за упражняване на правата на гражданите на ЕС“, Комисията подчерта също необходимостта да се разрешат основните проблеми, които възпрепятстват гражданите на Съюза да се възползват от предимствата на цифровия единен пазар и трансграничните цифрови услуги.
(5)
В заключенията си от 4 февруари 2011 г. и от 23 октомври 2011 г. Европейският съвет прикани Комисията да съдейства за изграждането на цифров единен пазар до 2015 г., да ускори напредъка в ключови области на цифровата икономика и да насърчи цялостната интеграция на цифровия единен пазар чрез улесняване на трансграничното използване на онлайн услуги, и по-специално - чрез улесняване на сигурни електронна идентификация и електронно удостоверяване на автентичност.
(6)
В заключенията си от 27 май 2011 г. Съветът прикани Комисията да допринесе към цифровия единен пазар чрез създаването на подходящи условия за взаимно трансгранично признаване на ключовите фактори, като електронна идентификация, електронни документи, електронни подписи и услуги по електронно доставяне, и за оперативно съвместими услуги на електронното управление в целия Европейски съюз
(7)
Европейският парламент в резолюцията си от 21 септември 2010 г. относно доизграждането на вътрешния пазар по отношение на електронната търговия (4) подчерта значението на сигурността на електронните услуги, и по-конкретно на електронните подписи, както и на необходимостта от създаване на публична ключова инфраструктура на общоевропейско равнище, и призова Комисията да създаде Портал на европейските заверяващи органи, за да се гарантира трансгранична оперативна съвместимост на електронните подписи и да се повиши сигурността на трансакциите, извършвани по интернет.
(8)
С Директива 2006/123/ЕО на Европейския парламент и на Съвета (5) от държавите членки се изисква да установят „звена за единичен контакт“ (ЗЕК), чрез които да се гарантира, че всички процедури и формалности, свързани с достъпа до и упражняването на дейност по предоставяне на услуги, могат да бъдат лесно изпълнени от разстояние и по електронен път чрез съответното ЗЕК и със съответните компетентни органи. При редица онлайн услуги, достъпът до които се осъществява чрез ЗЕК, се изискват електронна идентификация, електронно удостоверяване на автентичност и електронен подпис.
(9)
В повечето случаи гражданите не могат да използват своята електронна идентификация за удостоверяване на идентичността си в друга държава членка, тъй като националните схеми за електронна идентификация в тяхната държава не се признават в други държави членки. Тази електронна бариера не позволява на доставчиците на услуги да се възползват в пълна степен от преимуществата на вътрешния пазар. Взаимното признаване на средствата за електронна идентификация ще улесни трансграничното предоставяне на редица услуги на вътрешния пазар и ще спомогне предприятията да извършват трансгранична дейност, без да се сблъскват с множество пречки при взаимодействието си с публичните органи.
(10)
С Директива 2011/24/ЕС на Европейския парламент и на Съвета (6) се установява мрежа от национални органи, отговорни за електронното здравеопазване. С цел повишаване на безопасността и непрекъсваемостта на трансграничното здравно обслужване от мрежата се изисква да разработва насоки за трансграничен достъп до електронни здравни данни и услуги, включително чрез подкрепа за „общи мерки за идентифициране и удостоверяване на автентичност с цел да се улесни възможността за предаване на данни при трансгранично здравно обслужване“. Взаимното признаване на електронната идентификация и електронното удостоверяване на автентичност е ключов фактор за превръщането на трансграничното здравно обслужване на европейските граждани в реалност. Когато хората пътуват с цел лечение, достъпът до тяхната здравна документация трябва да е възможен в държавата, където се извършва лечението. Това изисква солидна, сигурна и надеждна правна рамка по отношение на електронната идентификация.
(11)
Настоящият регламент следва да се прилага в пълно съответствие с принципите, свързани със защитата на личните данни, съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета (7). В това отношение, предвид принципа на взаимно признаване, установен с настоящия регламент, удостоверяването на автентичност за онлайн услуга следва да засяга обработването само на тези данни за идентификация, които са подходящи, от значение и не надхвърлят необходимото за получаването на достъп до тази онлайн услуга. Освен това доставчиците на удостоверителни услуги и надзорните органи следва да съблюдават изискванията по Директива 95/46/ЕО във връзка с поверителността и сигурността на обработването.
(12)
Една от целите на настоящия регламент е да се премахнат съществуващите бариери пред трансграничната употреба на използваните в отделните държави членки средства за електронна идентификация, за да се удостовери автентичност поне за обществените услуги. С него не се цели намеса по отношение на системите за управление на електронната самоличност и свързаните с тях инфраструктури, установени в държавите членки. Целта на настоящия регламент е да се гарантира, че при достъпа до трансгранични онлайн услуги, предлагани от държавите членки, е възможно да се осъществят сигурна електронна идентификация и сигурно електронно удостоверяване на автентичност.
(13)
Държавите членки следва да запазят правото си да използват или да въвеждат, за целите на електронната идентификация, средства за достъп до онлайн услуги. Те следва също да могат да решават дали да привлекат частния сектор в предоставянето на такива средства. Държавите членки следва да не бъдат задължени да уведомяват Комисията за своите схеми за електронна идентификация. Изборът дали да уведомят Комисията за всички или за някои от използваните на национално равнище схеми за електронна идентификация при достъп най-малкото до обществени онлайн услуги или специфични услуги, или да не уведомяват за никои от тях, зависи изцяло от държавите членки.
(14)
В настоящият регламент трябва да се определят някои условия във връзка с това, кои средства за електронна идентификация трябва да се признават, както и по какъв начин следва да става уведомяването за схемите за електронна идентификация. Тези условия следва да спомогнат за изграждането на необходимото доверие между държавите членки по отношение на използваните от тях схеми за електронна идентификация, както и за взаимното признаване на средствата за електронна идентификация, попадащи в обхвата на схемите, за които е извършено уведомяване. Принципът на взаимно признаване следва да се прилага, ако схемата за електронна идентификация на уведомяващата държава членка отговаря на условията за уведомяване и уведомлението е публикувано в Официален вестник на Европейския съюз. Принципът на взаимно признаване обаче следва да се отнася единствено за удостоверяването на автентичност за онлайн услуга. Достъпът до тези онлайн услуги и окончателното им доставяне на заявителя следва да бъдат тясно обвързани с правото на получаване на такива услуги според условията, определени в националното законодателство.
(15)
Задължението за признаване на средства за електронна идентификация следва да се отнася само до тези средства, чието ниво на осигуреност на самоличността съответства или надвишава нивото, необходимо за въпросната онлайн услуга. Освен това посоченото задължение следва да се отнася само за случаите, когато въпросният орган от публичния сектор прилага ниво на осигуреност „значително“ или „високо“ по отношение на достъпа до тази онлайн услуга. Държавите членки следва да могат и занапред, в съответствие с правото на Съюза, да признават средства за електронна идентификация с по-ниски нива на осигуреност на самоличността.
(16)
Нивата на осигуреност следва да характеризират степента на надеждност на средството за електронна идентификация при установяване на самоличността на дадено лице, като по този начин се гарантира, че лицето, претендиращо, че има определена самоличност, действително е лицето, на което е приписана тази самоличност. Нивото на осигуреност зависи от степента на надеждност, което средството за електронна идентификация предоставя по отношение на претендираната или заявена самоличност на дадено лице, като се вземат под внимание процесите (например доказване на самоличността и проверка, и удостоверяване на автентичността), управленските дейности (например издаването на средства за електронна идентификация от страна на даден субект и процедурата за издаване на такива средства) и извършваните технически проверки. Съществуват различни технически определения и описания за нива на осигуреност в резултат от финансирани от Съюза широкомащабни пилотни проекти, стандартизационни и международни дейности. По-конкретно широкомащабните пилотни проекти STORK и ISO 29115 се отнасят, наред с другото, за нива 2, 3 и 4, които следва да бъдат отчетени в максимална степен при установяване на минимални технически изисквания, стандарти и процедури за нива на осигуреност „ниско“, „значително“ и „високо“ по смисъла на настоящия регламент, като същевременно се осигури последователно прилагане на настоящия регламент, по-специално по отношение на нивото на осигуреност „високо“ във връзка с доказването на самоличността при издаване на квалифицирани удостоверения. Установените изисквания следва да бъдат неутрални по отношение на технологиите. Постигането на необходимите изисквания за сигурност следва да бъде възможно посредством различни технологии.
(17)
Държавите членки следва да насърчават частния сектор да ползва на доброволна основа средства за електронна идентификация в рамките на схема за идентификация, за която е извършено уведомяване, когато възникне такава нужда за онлайн услуги или електронни трансакции. Възможността да се използват такива средства за електронна идентификация би позволила на частния сектор да разчита на електронна идентификация и електронно удостоверяване на автентичност, които вече се използват широко в редица държави членки най-малко при обществените услуги, и би облекчила трансграничния достъп на предприятията и гражданите до онлайн услуги. За улеснение на трансграничното използване от частния сектор на такива средства за електронна идентификация предоставяната от всяка държава членка възможност за удостоверяване на автентичност следва да бъде на разположение на доверяващите се страни от частния сектор, установени извън територията на тази държава членка, при същите условия, които се прилагат спрямо доверяващите се страни от частния сектор, установени в тази държава членка. Следователно, по отношение на доверяващите се страни от частния сектор, уведомяващата държава членка може да определи условия за достъп до средството за удостоверяване на автентичност. Тези условия за достъп може да дават информация дали средството за удостоверяване на автентичност, отнасящо се до схемата, за която има уведомление, понастоящем е предоставено на разположение на доверяващи се страни от частния сектор.
(18)
В настоящия регламент следва да се предвиди, че уведомяващата държава членка, страната, издаваща средството за електронна идентификация, и страната, ръководеща процедурата по удостоверяване на автентичност, носят отговорност при неизпълнение на съответните си задължения по настоящия регламент. Независимо от това настоящият регламент следва да се прилага в съответствие с националните правила относно отговорността. Поради това той не засяга тези национални правила, например по отношение на определянето на щетите или приложимите процедурни правила, включително тежестта на доказване.
(19)
Сигурността на схемите за електронна идентификация е основен фактор за надеждно трансгранично взаимно признаване на средствата за електронна идентификация. В този контекст държавите членки следва да си сътрудничат по отношение на сигурността и оперативната съвместимост на схемите за електронна идентификация на равнището на Съюза. В случай че схемите за електронна идентификация правят необходимо използването от доверяващите се страни на национално равнище на специален хардуер или софтуер, трансграничната оперативна съвместимост изисква тези държави членки да не налагат на доверяващите се страни, установени извън тяхната територия, такива изисквания и свързани с тях разходи. В този случай следва да се обсъдят и разработят подходящи решения в границите на обхвата на рамката за оперативна съвместимост. Въпреки това техническите изисквания, които произтичат от свойствени за националните средства за електронна идентификация характеристики и които е вероятно да засегнат притежателите на такива електронни средства (например смарткарти), са неизбежни.
(20)
Сътрудничеството между държавите членки следва да спомага за техническата оперативна съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, за да се осигури високо равнище на доверие и сигурност, отговарящо на степента на риск. Обменът на информация и споделянето на добри практики между държавите членки с оглед на взаимното признаване между тях следва да спомагат за това сътрудничество.
(21)
С настоящия регламент следва да се установи и обща правна рамка за използването на удостоверителни услуги. Той обаче не следва да създава общо задължение за използването им или да създава точка за достъп за всички съществуващи удостоверителни услуги. По-специално той не следва да обхваща предоставянето на услуги, използвани изключително в рамките на затворени системи между определен набор от участници, които не оказват въздействие върху трети страни. Например системи, установени във фирмени или публични администрации за управлението на вътрешни процедури, които използват удостоверителни услуги, не следва да подлежат на изискванията по настоящия регламент. Единствено предоставяни на обществеността удостоверителни услуги, които оказват въздействие върху трети страни, следва да отговарят на изискванията, предвидени в настоящия регламент. Настоящият регламент не следва да обхваща и аспектите, свързани със сключването и действителността на договори или други правни задължения, когато в националното право или в правото на Съюза са предвидени изисквания по отношение на формата. Освен това той следва да не засяга националните изисквания за формата, които се отнасят до публичните регистри, и по-конкретно търговските и поземлените регистри.
(22)
С цел да се допринесе за общото им трансгранично използване, удостоверителните услуги следва да се допускат като доказателство при съдебни производства във всички държави членки. Правната сила на удостоверителните услуги се определя от националното право, освен ако в настоящия регламент не е предвидено друго.
(23)
Доколкото настоящият регламент създава задължение за признаване на удостоверителна услуга, тази удостоверителна услуга може да бъде отхвърлена само ако носителят на задължението не може да я прочете или провери поради технически причини извън неговия пряк контрол. Това задължение само по себе си обаче не следва да налага на публичен орган да се сдобива с хардуера и софтуера, необходими за техническото разчитане на всички съществуващи удостоверителни услуги.
(24)
В съответствие с правото на Съюза държавите членки могат да запазят националните си разпоредби или да въведат такива по отношение на удостоверителните услуги, доколкото тези услуги не са напълно хармонизирани с настоящия регламент. Удостоверителните услуги, които обаче отговарят на изискванията на настоящия регламент, следва да могат да се движат свободно на вътрешния пазар.
(25)
Държавите членки следва да запазят правото си да определят други видове удостоверителни услуги в допълнение към съдържащите се в изчерпателния списък на удостоверителни услуги, предвиден в настоящия регламент, за целите на признаването им на национално равнище като квалифицирани удостоверителни услуги.
(26)
С оглед на темповете на развитие на технологиите настоящият регламент следва да възприеме подход, който е открит към иновациите.
(27)
Настоящият регламент следва да бъде неутрален по отношение на технологиите. Произтичащите от него правни последици следва да могат да се постигнат с всякакви технически средства, при условие че са спазени изискванията на настоящия регламент.
(28)
С цел да се повиши доверието особено на малките и средните предприятия (МСП) и на потребителите във вътрешния пазар и да се насърчи използването на удостоверителни услуги и продукти, следва да се въведат понятията „квалифицирани удостоверителни услуги“ и „доставчик на квалифицирани удостоверителни услуги“, за да се определят изисквания и задължения, които гарантират висока степен на сигурност на всички използвани или предоставяни квалифицирани удостоверителни услуги и продукти.
(29)
В съответствие със задълженията по Конвенцията на Организацията на обединените нации за правата на хората с увреждания, одобрена с Решение 2010/48/ЕО на Съвета (8), и по-специално член 9 от Конвенцията, хората с увреждания следва да могат да използват удостоверителни услуги и продукти за крайния потребител, използвани при предоставянето на тези услуги, на равни начала с останалите потребители. Следователно когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хората с увреждания. Оценката за практическата осъществимост следва да включва, наред с другото, съображения от техническо и икономическо естество.
(30)
Държавите членки следва да определят надзорен орган или надзорни органи, които да извършват надзорните дейности по настоящия регламент. Освен това държавите членки следва да могат да вземат решение, при взаимно споразумение с друга държава членка, за определянето на надзорен орган на територията на тази друга държава членка.
(31)
Надзорните органи следва да си сътрудничат с органите по защита на данните, например като ги уведомяват за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има основания да се смята, че са нарушени правилата за защита на личните данни. Предоставянето на информация следва по-конкретно да обхваща инциденти, свързани със сигурността, и пробиви в защитата на личните данни.
(32)
Всички доставчици на удостоверителни услуги следва да бъдат задължени да използват добри практики по отношение на сигурността съобразно рисковете, свързани с тяхната дейност, така че да се стимулира доверието на потребителите в единния пазар.
(33)
Разпоредбите относно използването на псевдоними в удостоверенията следва да не възпрепятстват държавите членки да изискват идентификация на лицата в съответствие с правото на Съюза или националното право.
(34)
Всички държави членки следва да спазват общи основни изисквания по отношение на надзора, за да се гарантира съпоставимо ниво на сигурност на квалифицираните удостоверителни услуги. С цел да се улесни последователното прилагане на тези изисквания в целия Съюз, държавите членки следва да приемат съпоставими процедури и да обменят информация за своите надзорни дейности и най-добри практики в областта.
(35)
Спрямо всички доставчици на удостоверителни услуги следва да се прилагат изискванията на настоящия регламент, и по-специално изискванията по отношение на сигурността и отговорността за осигуряването на дължимата грижа, прозрачност и отчетност по отношение на техните операции и услуги. Същевременно обаче, като се взема предвид видът на услугите, предоставяни от доставчиците на удостоверителни услуги, е целесъобразно да се прави разграничение по отношение на тези изисквания между доставчиците на квалифицирани и неквалифицирани услуги.
(36)
Установяването на режим на надзор за всички доставчици на удостоверителни услуги следва да гарантира равни условия за сигурността и отчетността на извършваните от тях операции и услуги и така да допринесе за защитата на потребителите и функционирането на вътрешния пазар. Доставчиците на неквалифицирани удостоверителни услуги следва да подлежат на облекчена и ответна последваща надзорна дейност, обоснована от естеството на извършваните от тях услуги и операции. Поради това надзорният орган следва да няма общо задължение да извършва надзор на доставчиците на неквалифицирани услуги. Надзорният орган следва да предприема действия само когато е получил информация (например от самия доставчик на неквалифицирани удостоверителни услуги, от друг надзорен орган, чрез уведомяване от потребител или делови партньор или въз основа на собствено разследване), че доставчик на неквалифицирани удостоверителни услуги не спазва изискванията на настоящия регламент.
(37)
С настоящия регламент следва да се предвиди отговорност за всички доставчици на удостоверителни услуги. По-конкретно с регламента се установява режимът на отговорност, съгласно който всички доставчици на удостоверителни услуги следва да носят отговорност за щети, причинени на физическо или юридическо лице поради неспазване на задълженията по настоящия регламент. С цел да се улесни извършването на оценката на финансовия риск, който доставчиците на удостоверителни услуги може да се наложи да поемат или за който следва да осигурят покритие чрез застрахователни полици, с настоящия регламент се дава възможност на доставчиците на удостоверителни услуги да поставят, при определени условия, ограничения върху използването на предоставяните от тях услуги и да не носят отговорност за щети, произтичащи от използването на услуги, надхвърлящи тези ограничения. Клиентите следва да бъдат предварително и надлежно информирани за тези ограничения. Тези ограничения следва да са разпознаваеми от трета страна, например чрез включване на информация относно ограниченията в условията, при които се предоставя услугата, или по друг разпознаваем начин. С цел тези принципи да получат реално изражение, настоящият регламент следва да се прилага в съответствие с националните разпоредби относно отговорността. Поради това настоящият регламент не засяга тези национални разпоредби, например относно определението за щети, намерение, небрежност или съответните приложими процесуални разпоредби.
(38)
Уведомяването за пробиви в системите за сигурност и оценките на риска за сигурността са от съществено значение за предоставянето на адекватна информация на засегнатите страни в случай на пробив на сигурността или нарушаване на целостта на системите.
(39)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за уведомяване в случай на пробиви, надзорните органи следва да предоставят обобщена информация на Комисията и на Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA).
(40)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за засилен надзор, от надзорните органи следва да се изисква да докладват за своите дейности. Това би спомогнало за улесняване на обмена на добри практики между надзорните органи и би гарантирало проверката по отношение на последователното и ефикасно прилагане на основните изисквания за надзор във всички държави членки.
(41)
За осигуряване на устойчивост и трайност на квалифицираните удостоверителни услуги и за стимулиране на доверието на потребителите в тяхната непрекъснатост надзорните органи следва да проверяват наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си.
(42)
За улесняване на надзора върху доставчиците на квалифицирани удостоверителни услуги, например когато даден доставчик предлага услугите си на територията на друга държава членка, където не подлежи на надзор, или когато компютрите на даден доставчик се намират на територията на държава членка, различна от неговата държава по установяване, следва да се създаде система за взаимопомощ между надзорните органи на държавите членки.
(43)
С цел да се гарантира съответствието на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях услуги с установените в настоящия регламент изисквания, орган за оценяване на съответствието следва да извършва оценяване на съответствието, а изготвените доклади за оценяване на съответствието следва да се изпращат от доставчиците на квалифицирани удостоверителни услуги до надзорния орган. В случаите, когато надзорният орган изисква от доставчик на квалифицирана удостоверителна услуга да изпрати доклад за оценяване на съответствието ad hoc, надзорният орган следва да спазва в частност принципите на доброто управление, включително задължението да посочи мотиви за решенията си, както и принципа на пропорционалност. Поради това надзорният орган следва да мотивира надлежно решението си, изискващо оценяване на съответствието ad hoc.
(44)
Целта на настоящия регламент е да се осигури съгласувана рамка, така че да се предложи високо ниво на защита и правна сигурност на удостоверителните услуги. В това отношение, когато разглежда оценяването на съответствието на продукти и услуги, Комисията следва по целесъобразност да се стреми към единодействие със съществуващите европейски и международни схеми в областта, като например Регламент (ЕО) № 765/2008 на Европейския парламент и на Съвета (9), с който се определят изискванията за акредитация на органите за оценяване на съответствието и надзор на пазара на продуктите.
(45)
За да се позволи ефикасен процес на започване, който следва да доведе до включването на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги в доверителни списъци, следва да се насърчават предварителните контакти между евентуалните доставчици на квалифицирани удостоверителни услуги и компетентния надзорен орган с оглед улесняването на надлежни проверки, водещи до обезпечаването на квалифицирани удостоверителни услуги.
(46)
Доверителните списъци са съществени елементи за доверието между стопанските субекти, тъй като отразяват квалифицирания статут на даден доставчик на услуги, който подлежи на надзор.
(47)
Доверието в онлайн услугите и удобството при ползването им са изключително важни, за да могат потребителите напълно да се възползват от електронните услуги и съзнателно да разчитат на тях. За тази цел следва да се създаде марка за доверие на ЕС, за да се обозначават квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги. Такава марка за доверие на ЕС за квалифицирани удостоверителни услуги ще доведе до ясно разграничение на квалифицираните удостоверителни услуги от другите удостоверителни услуги, като по този начин се способства за прозрачността на пазара. Използването на марка за доверие на ЕС от доставчиците на квалифицирани удостоверителни услуги следва да бъде на доброволна основа и не следва да поражда други изисквания освен предвидените в настоящия регламент.
(48)
Наред с високата степен на сигурност, необходима за гарантиране на взаимното признаване на електронни подписи, в някои конкретни случаи, например в контекста на Решение № 2009/767/ЕО на Комисията (10), следва да се приемат и електронни подписи с по-ниска степен на сигурност.
(49)
С настоящия регламент следва да се установи принципът, че правната сила на електронен подпис не може да бъде оспорена на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирания електронен подпис. Правната сила на електронните подписи обаче се определя от националното право, с изключение на включените в настоящия регламент изисквания квалифицираният електронен подпис да има същата правна сила като саморъчния подпис.
(50)
Тъй като компетентните органи в държавите членки понастоящем използват различни формати на усъвършенствани електронни подписи, за да подпишат своите документи по електронен път, необходимо е в държавите членки да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни подписи при получаването на документи, подписани електронно. По подобен начин когато компетентните органи в държавите членки използват усъвършенствани електронни печати, ще бъде необходимо да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни печати.
(51)
Следва да се предостави възможност титулярят на електронния подпис да възлага обслужването на устройства за създаване на квалифицирани електронни подписи на трета страна, при условие че са въведени подходящи механизми и процедури, гарантиращи, че титулярят разполага с едноличен контрол върху използването на данните, свързани със създаването на електронния му подпис, и че при използването на устройството са изпълнени изискванията по отношение на квалифицирания електронен подпис.
(52)
Създаването на електронни подписи от разстояние, при което средата на създаване на електронен подпис се управлява от доставчик на удостоверителни услуги от името на титуляря на електронния подпис, се очаква да се развие поради многобройните икономически предимства, които предоставя. При все това, с цел да се гарантира, че тези електронни подписи получават същото правно признаване като електронните подписи, създавани в среда, изцяло управлявана от потребителя, доставчиците, които предлагат услуги на електронен подпис от разстояние, следва да прилагат специфични процедури за сигурността на управление и административната сигурност и да използват надеждни системи и продукти, включително сигурни електронни канали на комуникация, с цел да се гарантира надеждността на средата на създаване на електронния подпис и да се гарантира, че тази среда е използвана единствено под контрола на титуляря на електронния подпис. В случай на квалифициран електронен подпис, създаден чрез устройство за създаване на електронен подпис от разстояние, следва да се прилагат изискванията, приложими за доставчиците на квалифицирани удостоверителни услуги, които са изброени в настоящия регламент.
(53)
Спирането на валидността на квалифицираните удостоверения е установена оперативна практика на доставчиците на удостоверителни услуги в редица държави членки и се различава от отмяната по това, че води до временна загуба на валидност на дадено удостоверение. От съображения за правна сигурност е необходимо статутът на спиране на валидността на удостоверение винаги да е ясно отбелязан. За тази цел доставчиците на удостоверителни услуги следва да поемат отговорност ясно да отбелязват статута на удостоверението и, в случай че валидността му е спряна - точния срок на спиране. Настоящият регламент не следва да налага на доставчиците на удостоверителни услуги или на държавите членки да използват спирането, а по-скоро в регламента следва да се предвидят правила за прозрачност по отношение на условията, при които е възможно да се прибягва до него.
(54)
Трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения е предварително условие за трансграничното признаване на квалифицираните електронни подписи. Във връзка с това квалифицираните удостоверения не следва да подлежат на каквито и да било задължителни изисквания, надхвърлящи изискванията, предвидени в настоящия регламент. На национално равнище обаче включването в квалифицирани удостоверения на специфични данни, като например уникални идентификатори, следва да бъде позволено, при условие че тези специфични данни не възпрепятстват трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения и електронните подписи.
(55)
Сертифицирането на сигурността на информационните технологии на базата на международни стандарти като ISO 15408 и други подобни методи за оценка и механизми за взаимно признаване е важен инструмент за проверка на сигурността на устройствата за създаване на квалифициран електронен подпис и следва да се насърчава. Иновативните решения и услуги, като подписването чрез мобилни устройства и подписването в облак, обаче са основани на такива технически и организационни решения за устройствата за създаване на квалифициран електронен подпис, за които все още може да не са налице стандарти за сигурност или за които първото сертифициране на сигурността на информационните технологии е в процес на извършване. Равнището на сигурност на такива устройства за създаване на квалифициран електронен подпис може да бъде оценено чрез използване на алтернативни процеси само когато не са налице такива стандарти за сигурност или когато първото сертифициране на сигурността на информационните технологии е в процес на извършване. Тези процеси следва да са съпоставими със стандартите за сертифициране на сигурността на информационните технологии, доколкото техните равнища на сигурност са равностойни. Тези процеси могат да бъдат улеснени чрез партньорски проверки.
(56)
В настоящия регламент са определени изискванията за устройствата за създаване на квалифицирани електронни подписи с оглед да се осигури функционалността на усъвършенстваните електронни подписи. Настоящият регламент не следва да обхваща цялата системна среда, в която действат тези устройства. Поради това обхватът на сертифицирането на устройствата за създаване на квалифицирани електронни подписи следва да бъде ограничен до хардуера и системния софтуер, използвани за управлението и защитата на данните за създаване на електронен подпис, които са създадени, съхранявани или обработвани в устройството за създаване на електронен подпис. Както е описано подробно в съответните стандарти, обхватът на задължението за сертифициране не следва да включва приложения за създаване на електронен подпис.
(57)
С цел да се осигури правна сигурност относно валидността на подписа от съществено значение е да се уточнят подробно компонентите на квалифицирания електронен подпис, които следва да се подложат на оценяване от доверяващата се страна, извършваща валидирането. Освен това, чрез уточняването на изискванията към доставчиците на квалифицирани удостоверителни услуги, които могат да предоставят квалифицирана услуга по валидиране на доверяващи се страни, които не желаят или не са в състояние да извършват сами валидиране на квалифицирани електронни подписи, следва да се стимулират инвестициите в подобни услуги от страна на частния и публичния сектор. Двата елемента следва да направят валидирането на електронни подписи лесно и удобно за всички страни на равнището на Съюза.
(58)
Когато за дадена трансакция се изисква квалифициран електронен печат от юридическо лице, квалифицираният електронен подпис на упълномощения представител на юридическото лице следва да се приема равностойно.
(59)
Електронните печати следва да служат като доказателство, че даден електронен документ е издаден от юридическо лице, като гарантират надеждния произход и целостта на документа.
(60)
Доставчиците на удостоверителни услуги, които издават квалифицирани удостоверения за електронен печат, следва да изпълнят необходимите мерки, за да могат да установят самоличността на физическото лице, представляващо юридическото лице, на което е предоставено квалифицирано удостоверение за електронен печат, когато установяването на самоличността е необходимо на национално равнище в контекста на съдебно или административно производство.
(61)
Настоящият регламент следва да осигури дългосрочното съхраняване на информация, за да се осигури правната валидност на електронните подписи и електронните печати за продължителен период от време и да се гарантира, че те могат да бъдат валидирани независимо от бъдещи промени в технологиите.
(62)
С цел да се гарантира сигурността на квалифицираните електронни времеви печати, настоящият регламент следва да изисква използването на усъвършенстван електронен печат или усъвършенстван електронен подпис, или на други равностойни методи. Може да се предвиди, че е възможно иновациите да доведат до нови технологии, които могат да осигурят равностойно ниво на сигурност за времевите печати. Винаги когато се използва метод, различен от усъвършенстван електронен печат или усъвършенстван електронен подпис, доставчикът на квалифицирани удостоверителни услуги следва да докаже в доклада за оценяване на съответствието, че този метод осигурява равностойно ниво на сигурност и е съобразен със задълженията, определени в настоящия регламент.
(63)
Електронните документи са важни за по-нататъшното развитие на трансграничните електронни трансакции на вътрешния пазар. С настоящия регламент следва да се установи принципът, че правната сила на електронен документ не може да бъде оспорена на основанието, че той е в електронна форма, с цел да се гарантира, че електронна трансакция няма да бъде отхвърлена единствено на основанието, че даден документ е в електронна форма.
(64)
При разглеждането на формати на усъвършенствани електронни подписи и печати Комисията следва да се основава на съществуващите практики, стандарти и законодателство, и по-специално на Решение 2011/130/ЕС на Комисията (11).
(65)
Освен при удостоверяването на автентичността на документ, издаден от юридическо лице, електронните печати могат да се използват за удостоверяване на автентичността на цифровите активи на юридическо лице, като софтуерен код или сървъри.
(66)
Особено важно е да се предвиди правна рамка, която да улеснява трансграничното признаване на съществуващите национални правни системи, свързани с услугите за електронна препоръчана поща. Тази рамка би могла да открие и нови пазарни възможности за доставчиците на удостоверителни услуги от Съюза за предлагане на нови паневропейски услуги за електронна препоръчана поща.
(67)
Услугите по удостоверяване на автентичността на уебсайт осигуряват средство, с което посетител на уебсайт може да бъде уверен, че зад уебсайта стои реален и легитимен субект. Тези услуги допринасят за изграждането на доверието в осъществяването на стопанска дейност онлайн, тъй като потребителите ще имат доверие в уебсайт, чиято автентичност е била удостоверена. Предоставянето и използването на услугите по удостоверяване на автентичността на уебсайт са изцяло на доброволна основа. Въпреки това, с цел удостоверяването на автентичността на уебсайт да се превърне в средство за повишаване на доверието, за подобряване на работата на потребителя с уебсайта, както и за увеличаване на растежа в рамките на вътрешния пазар, настоящият регламент следва да установи минимални задължения за сигурност и отговорност за доставчиците и техните услуги. За тази цел бяха взети предвид резултатите от съществуващите инициативи на сектора, като например форума на сертифициращите органи/браузъри - CA/B Forum. В допълнение настоящият регламент не следва да възпрепятства използването на други средства или методи за удостоверяване на автентичността на уебсайт, които не попадат в обхвата на настоящия регламент, нито следва да попречи на доставчиците от трета държава на услуги по удостоверяване на автентичността на уебсайт да предоставят своите услуги на потребители в Съюза. При все това услугите по удостоверяване на автентичността на уебсайт, извършвани от доставчика от трета държава, следва да бъдат признати за квалифицирани в съответствие с настоящия регламент само ако има сключено международно споразумение между Съюза и държавата на установяване на доставчика.
(68)
Съгласно разпоредбите на Договора за функционирането на Европейския съюз (ДФЕС) относно установяването понятието „юридически лица“ оставя на субектите свободата да избират правно организационната форма, която смятат за подходяща за осъществяването на своята дейност. Следователно „юридически лица“ по смисъла на ДФЕС означава всички образувания, учредени или регламентирани съгласно правото на държава членка, независимо от тяхната правна форма.
(69)
Институциите, органите, службите и агенциите на Съюза се насърчават да признават електронната идентификация и удостоверителните услуги, обхванати от настоящия регламент, за целта на административното сътрудничество, като се възползват по-специално от съществуващите добри практики и резултатите от текущите проекти в областите от обхвата на настоящия регламент.
(70)
С цел допълване на някои подробни технически аспекти на настоящия регламент по гъвкав и бърз начин, в съответствие с член 290 ДФЕС на Комисията следва да се делегира правомощието да приема актове във връзка с критериите, които трябва да бъдат спазвани от органите, отговарящи за сертифицирането на устройства за създаване на квалифициран електронен подпис. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище. При подготовката и изготвянето на делегирани актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и на Съвета.
(71)
С цел да се осигурят еднакви условия за изпълнение на настоящия регламент на Комисията следва да бъдат предоставени изпълнителни правомощия, по-конкретно за определяне на референтните номера на стандартите, чието използване ще създаде презумпция за съответствие с някои изисквания, предвидени в настоящия регламент. Тези правомощия следва да се упражняват в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (12).
(72)
При приемането на делегирани актове или актове за изпълнение Комисията следва да взема надлежно предвид стандартите и техническите спецификации, разработвани в рамките на европейските и международните организации и органи по стандартизация, по-специално Европейския комитет по стандартизация (CEN), Европейския институт за стандарти в далекосъобщенията (ETSI), Международната организация по стандартизация (ISO) и Международния съюз по далекосъобщения (ITU), с оглед на това да се гарантират високо ниво на сигурност и оперативна съвместимост на електронната идентификация и удостоверителните услуги.
(73)
С оглед на правната сигурност и яснота Директива 1999/93/ЕО следва да бъде отменена.
(74)
За да се гарантира правна сигурност за стопанските субекти, които вече използват квалифицирани удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, е нужно да се предвиди достатъчно дълъг преходен период. По подобен начин следва да се установят преходни мерки за устройства за създаване на надежден подпис, чието съответствие е било определено в съответствие с Директива 1999/93/ЕО, както и за доставчиците на удостоверителни услуги, издаващи квалифицирани удостоверения преди 1 юли 2016 г. На последно място, необходимо е също на Комисията да се предоставят средства да приема актове за изпълнение и делегирани актове преди тази дата.
(75)
Датите на прилагане, определени в настоящия регламент, не засягат съществуващите задължения, които държавите членки вече имат по силата на правото на Съюза, и по-специално по Директива 2006/123/ЕО.
(76)
Доколкото целите на настоящия регламент не могат да бъдат постигнати в достатъчна степен от държавите членки, а следователно, с оглед обхвата на действието, могат да бъдат постигнати по-добре на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.
(77)
Проведена беше консултация с Европейския надзорен орган по защита на данните в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (13) и той даде становище на 27 септември 2012 г. (14),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С оглед да се гарантира правилното функциониране на вътрешния пазар, като същевременно се цели постигане на подходящо равнище на сигурност на средствата за електронна идентификация и удостоверителни услуги, с настоящия регламент:
а)
се определят условията, при които държавите членки признават средствата за електронна идентификация на физически и юридически лица, които средства попадат в обхвата на дадена схема за електронна идентификация на друга държава членка, за която е извършено уведомяване;
б)
се определят правилата за удостоверителните услуги, по-специално за електронни трансакции; и
в)
се установява правна рамка за електронните подписи, електронните печати, електронните времеви печати, електронните документи, услугите за електронна препоръчана поща и услугите по удостоверяване автентичността на уебсайтове.
Член 2
Обхват
1. Настоящият регламент се прилага за схеми за електронна идентификация, за които е извършено уведомяване от държава членка, както и за установени в Съюза доставчици на удостоверителни услуги.
2. Настоящият регламент не се прилага за предоставянето на удостоверителни услуги, използвани единствено в рамките на затворени системи, произтичащи от националното право или от споразумения между определен кръг от участници.
3. Настоящият регламент не засяга националното право или правото на Съюза, свързано със сключването и действителността на договори или други правни или процедурни задължения по отношение на формата.
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
1)
„електронна идентификация“ означава процес на използване на данни в електронна форма за идентификация на лица, които данни представляват по уникален начин дадено физическо или юридическо лице, или физическо лице, представляващо юридическо лице;
2)
„средство за електронна идентификация“ означава материална и/или нематериална единица, която съдържа данни за идентификация на лица, която се използва за удостоверяване на автентичност за онлайн услуга;
3)
„данни за идентификация на лица“ означава набор от данни, които позволяват да се установи самоличността на физическо или юридическо лице, или на физическо лице, представляващо юридическо лице;
4)
„схема за електронна идентификация“ означава система за електронна идентификация, при която средства за електронна идентификация се издават на физически или юридически лица, или физически лица, представляващи юридически лица;
5)
„удостоверяване на автентичност“ означава електронен процес, който позволява електронната идентификация на физическо или юридическо лице или потвърждаването на произхода и целостта на данни в електронна форма;
6)
„доверяваща се страна“ означава физическо или юридическо лице, което разчита на електронна идентификация или удостоверителна услуга;
7)
„орган от публичния сектор“ означава държавен, регионален или местен орган, публичноправна организация или сдружение, съставено от един или повече такива органи или от една или повече такива публичноправни организации, или частен субект, на който поне един от тези органи, организации или асоциации са възложили да предоставя обществени услуги, когато действа при условията на това възлагане;
8)
„публичноправна организация означава организация, както е определено в член 2, параграф 1, точка 4 от Директива 2014/24/ЕС на Европейския парламент и на Съвета (15);
9)
„титуляр на електронен подпис“ означава физическо лице, което създава електронен подпис;
10)
„електронен подпис“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, и които титулярят на електронния подпис използва, за да се подписва;
11)
„усъвършенстван електронен подпис“ означава електронен подпис, който отговаря на изискванията, посочени в член 26;
12)
„квалифициран електронен подпис“ означава усъвършенстван електронен подпис, който е създаден от устройство за създаване на квалифициран електронен подпис и се основава на квалифицирано удостоверение за електронни подписи;
13)
„данни за създаване на електронен подпис“ означава уникални данни, които се използват от титуляря на електронния подпис за създаването на електронен подпис;
14)
„удостоверение за електронен подпис“ означава електронен атестат, който свързва данните за валидиране на електронен подпис с физическо лице и потвърждава най-малко името или псевдонима на това лице;
15)
„квалифицирано удостоверение за електронен подпис“ означава удостоверение за електронни подписи, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение I;
16)
„удостоверителна услуга“ означава електронна услуга, обикновено предоставяна срещу възнаграждение, която се състои във:
а)
създаването, проверката и валидирането на електронни подписи, електронни печати или електронни времеви печати, услуги за електронна препоръчана поща, както и удостоверения, свързани с тези услуги; или
б)
създаването, проверката и валидирането на удостоверения за автентичност на уебсайт; или
в)
съхраняването на електронни подписи, печати или удостоверения, свързани с тези услуги;
17)
„квалифицирана удостоверителна услуга“ означава удостоверителна услуга, която отговаря на приложимите изисквания, определени в настоящия регламент;
18)
„орган за оценяване на съответствието“ означава орган съгласно определението в член 2, точка 13 от Регламент (ЕО) № 765/2008, който е акредитиран в съответствие със същия регламент като компетентен да извършва оценяване на съответствието на доставчик на квалифицирани удостоверителни услуги и на предоставяните от този доставчик квалифицирани удостоверителни услуги;
19)
„доставчик на удостоверителни услуги“ означава физическо или юридическо лице, което предоставя една или повече удостоверителни услуги като доставчик на квалифицирани или на неквалифицирани удостоверителни услуги;
20)
„доставчик на квалифицирани удостоверителни услуги“ означава доставчик на удостоверителни услуги, който предоставя една или повече квалифицирани удостоверителни услуги и е получил квалифицирания си статут от надзорен орган;
21)
„продукт“ означава хардуер, софтуер или съответните компоненти на хардуер или софтуер, предвидени да се използват при предоставянето на удостоверителни услуги;
22)
„устройство за създаване на електронен подпис“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен подпис;
23)
„устройство за създаване на квалифициран електронен подпис“ означава устройство за създаване на електронен подпис, което отговаря на изискванията, предвидени в приложение II;
24)
„създател на печат“ означава юридическо лице, което създава електронен печат;
25)
„електронен печат“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, за да се гарантират произходът и целостта на последните;
26)
„усъвършенстван електронен печат“ означава електронен печат, който отговаря на изискванията, посочени в член 36;
27)
„квалифициран електронен печат“ означава усъвършенстван електронен печат, който е създаден от устройство за създаване на квалифициран електронен печат и се основава на квалифицирано удостоверение за електронен печат;
28)
„данни за създаване на електронен печат“ означава уникални данни, които се използват от създателя на електронния печат за създаването на електронен печат;
29)
„удостоверение за електронен печат“ означава електронен атестат, който свързва данните за валидиране на електронен печат с юридическо лице и потвърждава името на това лице;
30)
„квалифицирано удостоверение за електронен печат“ означава удостоверение за електронен печат, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение III;
31)
„устройство за създаване на електронен печат“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен печат;
32)
„устройство за създаване на квалифициран електронен печат“ означава устройство за създаване на електронен печат, което отговаря mutatis mutandis на изискванията, предвидени в приложение II;
33)
„електронен времеви печат“ означава данни в електронна форма, които свързват други данни в електронна форма с конкретен момент във времето и представляват доказателство, че последните данни са съществували в съответния момент;
34)
„квалифициран електронен времеви печат“ означава електронен времеви печат, който отговаря на изискванията, предвидени в член 42;
35)
„електронен документ“ означава всяко съдържание, съхранявано в електронна форма, по-специално текстови или звуков, визуален или аудио-визуален запис;
36)
„услуга за електронна препоръчана поща“ означава услуга, която позволява предаването на данни между трети страни по електронен път, предоставя доказателство във връзка с обработката на предаваните данни, включително доказателство за изпращането и получаването на данните, и защитава предаваните данни срещу риск от загуба, кражба, повреда или непозволени изменения;
37)
„квалифицирана услуга за електронна препоръчана поща“ означава услуга за електронна препоръчана поща, която отговаря на изискванията, предвидени в член 44;
38)
„удостоверение за автентичност на уебсайт“ означава удостоверение, което позволява да се удостовери автентичността на уебсайт, като го свързва с физическото или юридическото лице, на което е издадено удостоверението;
39)
„квалифицирано удостоверение за автентичност на уебсайт“ означава удостоверение за автентичност на уебсайт, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение IV;
40)
„данни за валидиране“ означава данни, които се използват за валидиране на електронен подпис или електронен печат;
41)
„валидиране“ означава процеса на проверка и потвърждаване на валидността на електронен подпис или печат.
Член 4
Принцип на вътрешния пазар
1. Предоставянето на удостоверителни услуги на територията на държава членка от доставчик на удостоверителни услуги, установен в друга държава членка, не подлежи на ограничения на основания, които попадат в обхвата на настоящия регламент.
2. Продуктите и удостоверителните услуги, които отговарят на изискванията на настоящия регламент, са разрешени за свободно движение в рамките на вътрешния пазар.
Член 5
Обработка и защита на данни
1. Обработката на лични данни се извършва в съответствие с Директива 95/46/ЕО.
2. Без да се засяга правната сила, дадена на псевдонимите съгласно националното право, няма забрана за използване на псевдоними при електронни трансакции.
ГЛАВА II
ЕЛЕКТРОННА ИДЕНТИФИКАЦИЯ
Член 6
Взаимно признаване
1. Когато националното право или административната практика изискват електронна идентификация чрез средства за електронна идентификация и удостоверяване на автентичност за достъпа до дадена услуга, предоставяна онлайн от орган от публичния сектор в една държава членка, средствата за електронна идентификация, издадени в друга държава членка, се признават в първата държава членка за целите на трансграничното удостоверяване на автентичност за тази онлайн услуга, при условие че са изпълнени следните условия:
а)
средствата за електронна идентификация се издават в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9;
б)
нивото на осигуреност на средствата за електронна идентификация съответства на ниво на осигуреност, равно или по-високо от нивото на осигуреност, изисквано от съответния орган от публичния сектор, за онлайн достъпа до тази услуга в първата държава членка, при условие че нивото на осигуреност на тези средства за електронна идентификация съответства на ниво на осигуреност „значително“ или „високо“;
в)
съответният орган от публичния сектор използва ниво на осигуреност „значително“ или „високо“ по отношение на онлайн достъпа до тази услуга.
Това признаване се извършва не по-късно от 12 месеца след като Комисията публикува списъка, посочен в първа алинея, буква а).
2. Средствата за електронна идентификация, издадени в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9, които съответстват на ниво на осигуреност „ниско“, могат да бъдат признати от органи от публичния сектор за целите на трансгранично удостоверяване на автентичност за услугите, предоставяни онлайн от тези органи.
Член 7
Допускане за уведомяване относно схеми за електронна идентификация
Дадена схема за електронна идентификация се допуска за уведомяване съгласно член 9, параграф 1, ако всяко едно от следните условия е изпълнено:
а)
средствата за електронна идентификация в рамките на схемата за електронна идентификация са издадени:
i)
от уведомяващата държава членка;
ii)
по поръчение на уведомяващата държава членка; или
iii)
независимо от уведомяващата държава членка и са признати от тази държава членка;
б)
средствата за електронна идентификация в рамките на схемата за електронна идентификация могат да бъдат използвани за достъп до най-малко една услуга, която е предоставяна от орган от публичния сектор и която изисква електронна идентификация в уведомяващата държава членка;
в)
схемата за елетронна идентификация и издаваните по нея средства за електронна идентификация отговарят на изискванията на поне едно от нивата на осигуреност, предвидени в акта за изпълнение, установени в член 8, параграф 3;
г)
уведомяващата държава членка гарантира, че данните за идентификация на лицето, представляващи по уникален начин въпросното лице, се приписват на физическото или юридическото лице, посочено в член 3, точка 1, в момента на издаване на средството за електронна идентификация в рамките на тази схема в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
д)
страната, издаваща електронното средство за идентификация в рамките на тази схема, гарантира, че средството за електронна идентификация се приписва на лицето, посочено в буква г) от настоящия член, в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
е)
уведомяващата държава членка осигурява възможност за удостоверяване на автентичност онлайн, така че всяка доверяваща се страна, установена на територията на друга държава членка, да може да потвърди данните за идентификация на лицето, получени в електронна форма.
За доверяващи се страни, различни от органи от публичния сектор, уведомяващата държава членка може да определи условия за достъп до това удостоверяване на автентичност. Трансграничното удостоверяване на автентичност се предоставя безплатно, когато се извършва във връзка с онлайн услуга, предоставяна от орган от публичния сектор.
Държавите членки не налагат никакви специфични несъразмерни технически изисквания за доверяващи се страни, които възнамеряват да извършват такова удостоверяване на автентичност, когато тези изисквания пречат на оперативната съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, или сериозно я възпрепятстват;
ж)
най-малко шест месеца преди уведомяването по член 9, параграф 1 уведомяващата държава членка предоставя на останалите държави членки за целите на задължението по член 12, параграф 5 описание на въпросната схема в съответствие с процедурните условия, установени в посочените в член 12, параграф 7 актове за изпълнение;
з)
схемата за електронна идентификация отговаря на изискванията, установени в акта за изпълнение, посочен в член 12, параграф 8.
Член 8
Нива на осигуреност на схеми за електронна идентификация
1. Схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, включва определяне на нива на осигуреност „ниско“, „значително“ и/или „високо“, приписвани на средства за електронна идентификация, издавани в рамките на тази схема.
2. Нивата на осигуреност „ниско“, „значително“ и „високо“ отговарят съответно на следните критерии:
а)
ниво на осигуреност „ниско“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя ограничена степен на надеждност на претендираната или заявената самоличност на дадено лице, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
б)
ниво на осигуреност „значително“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя значителна степен на надеждност на претендираната или заявената самоличност на дадено лице и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
в)
ниво на осигуреност „високо“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя по-висока степен на надеждност на претендираната или заявената самоличност на дадено лице, отколкото средствата за електронна идентификация с ниво на осигуреност „значително“, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се предотврати злоупотреба или промяна на самоличността.
3. До 18 септември 2015 г., като отчита съответните международни стандарти и при спазване на параграф 2, Комисията установява посредством актове за изпълнение минимални технически спецификации, стандарти и процедури, по отношение на които за целите на параграф 1 се определят нива на осигуреност „ниско“, „значително“ и „високо“ за средства за електронна идентификация.
Тези минимални технически спецификации, стандарти и процедури се установяват въз основа на надеждността и качеството на следните елементи:
а)
процедурата за доказване и проверка на самоличността на физически или юридически лица, подаващи искане за издаване на средство за електронна идентификация;
б)
процедурата по издаване на поисканото средство за електронна идентификация;
в)
механизма за удостоверяване на автентичност, чрез който физическото или юридическото лице използва средството за електронна идентификация, за да потвърди своята самоличност на доверяваща се страна;
г)
субекта, издаващ средството за електронна идентификация;
д)
всеки друг орган, имащ отношение към заявлението за издаване на средството за електронна идентификация; и
е)
техническите спецификации и спецификациите за сигурността на издаваните средства за електронна идентификация.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 9
Уведомяване
1. Уведомяващата държава членка уведомява Комисията за следната информация и без излишно забавяне съобщава за всички последващи изменения в нея:
а)
описание на схемата за електронна идентификация, включително нивата на осигуреност и издателя или издателите на средството за електронна идентификация в рамките на схемата;
б)
приложимия режим на надзор и информация за режима на отговорност по отношение на следното:
i)
страната, която издава средството за електронна идентификация; и
ii)
страната, която извършва процедурата по удостоверяване на автентичността;
в)
органа или органите, отговарящи за схемата за електронна идентификация;
г)
информация за субекта или субектите, които управляват регистрацията на уникалните идентификационни данни на лицата;
д)
описание как са спазени изискванията, установени в актовете за изпълнение, посочени в член 12, параграф 8;
е)
описание на удостоверяването на автентичността, посочено в член 7, буква е);
ж)
условията за спиране или отмяна на схемата за електронна идентификация, за която е извършено уведомяване, или на удостоверяването на автентичност, или на съответните застрашени части.
2. Една година след датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8, Комисията публикува в Официален вестник на Европейския съюз списък на схемите за електронна идентификация, за които е извършено уведомяване съгласно параграф 1 от настоящия член, и свързаната с тях основна информация.
3. Ако Комисията получи уведомление след изтичане на срока, посочен в параграф 2, тя публикува в Официален вестник на Европейския съюз измененията на списъка, посочен в параграф 2, в рамките на два месеца от датата на получаване на уведомлението.
4. Държава членка може да подаде в Комисията искане схема за електронна идентификация, за която същата държава членка е извършила уведомяване, да бъде заличена от списъка по параграф 2. Комисията публикува в Официален вестник на Европейския съюз съответните изменения на списъка в рамките на един месец от датата на получаване на искането на държавата членка.
5. Комисията може посредством актове за изпълнение да определи обстоятелствата, форматите и процедурите по отношение на уведомленията по параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 10
Пробив в сигурността
1. Ако схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, или удостоверяването на автентичност, посочено в член 7, буква е), са нарушени или частично застрашени по начин, който засяга надеждността на трансграничното удостоверяване на автентичност на тази схема, уведомяващата държава членка незабавно спира или отменя това трансгранично удостоверяване на автентичност или съответните застрашени части и информира другите държави членки и Комисията.
2. Когато пробивът или застрашаването на сигурността, посочени в параграф 1, бъдат отстранени, уведомяващата държава членка възобновява трансграничното удостоверяване на автентичност и без неоснователно забавяне информира другите държави членки и Комисията.
3. Ако пробивът или нарушаването на сигурността, посочени в параграф 1, не бъдат отстранени в рамките на три месеца от спирането или отмяната, уведомяващата държава членка информира другите държави членки и Комисията за прекратяването на схемата за електронна идентификация.
Комисията публикува без неоснователно забавяне съответните изменения на списъка по член 9, параграф 2 в Официален вестник на Европейския съюз.
Член 11
Отговорност
1. За неспазване на задълженията си по член 7, букви г) и е) при трансгранична трансакция уведомяващата държава членка носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице.
2. Страната, издаваща средството за електронна идентификация, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задължението по член 7, буква д) при трансгранична трансакция.
3. Страната, извършващ процедурата по удостоверяване на автентичност, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неспособност да гарантира правилното функциониране на удостоверяването на автентичност по член 7, буква е) при трансгранична трансакция.
4. Параграфи 1, 2 и 3 се прилагат в съответствие с националните правила относно отговорността.
5. Параграфи 1, 2 и 3 не засягат отговорността - съгласно националното право - на страните по трансакция, при която се използват средства за електронна идентификация, попадащи в обхвата на схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1.
Член 12
Сътрудничество и оперативна съвместимост
1. Националните схеми за електронна идентификация, за които се извършва уведомяване съгласно член 9, параграф 1, са оперативно съвместими.
2. За целите на параграф 1 се установява рамка за оперативна съвместимост.
3. Рамката за оперативна съвместимост отговаря на следните критерии:
а)
има за цел да е технологично неутрална и не допуска дискриминация между специфичните национални технически решения за електронна идентификация в рамките на дадена държава членка;
б)
спазва европейските и международните стандарти, когато това е възможно;
в)
улеснява спазването на принципа за защита на личния живот още при разработването; и
г)
гарантира, че личните данни се обработват в съответствие с Директива 95/46/ЕО.
4. Рамката за оперативна съвместимост се състои от:
а)
задаване на минимални технически изисквания във връзка с нивата на осигуреност съгласно член 8;
б)
категоризиране на националните нива на осигуреност на схемите на електронна идентификация, за които е извършено уведомяване, по нива на осигуреност съгласно член 8;
в)
задаване на минимални технически изисквания за оперативна съвместимост;
г)
задаване на минимален набор от данни за идентификация на лицето, представляващи по уникален начин физическо или юридическо лице, които са достъпни посредством схеми за електронна идентификация;
д)
процедурни правила;
е)
механизми за уреждане на спорове; и
ж)
общи оперативни стандарти за сигурност.
5. Държавите членки си сътрудничат по следните въпроси:
а)
оперативна съвместимост на схеми за електронна идентификация, за които е извършено уведомяване съгласно член 9, параграф 1, и на схеми за електронна идентификация, за които държавите членки имат намерение да направят уведомяване; и
б)
сигурност на схемите за електронна идентификация.
6. Сътрудничеството между държавите членки се състои от:
а)
обмена на информация, опит и добри практики във връзка със схемите за електронна идентификация, и по-специално във връзка с техническите изисквания, свързани с оперативната съвместимост и нивата на осигуреност;
б)
обмена на информация, опит и добри практики във връзка с използването на нивата на осигуреност на схемите за електронна идентификация съгласно член 8;
в)
партньорска проверка на схемите за електронна идентификация, попадащи в обхвата на настоящия регламент; и
г)
анализ на значимите новости в сектора на електронната идентификация.
7. С оглед постигането на висока степен на доверие и сигурност, отговарящи на степента на риск, до 18 март 2015 г. Комисията установява посредством актове за изпълнение процедурните условия, необходими за улесняване на сътрудничеството между държавите членки, посочено в параграфи 5 и 6.
8. С цел да се установят еднакви условия за изпълнение на изискването по параграф 1, до 18 септември 2015 г. Комисията, като спазва критериите по параграф 3 и като отчита резултатите от сътрудничеството между държавите членки, приема актове за изпълнение относно рамка за оперативна съвместимост съгласно установеното в параграф 4.
9. Актовете за изпълнение, посочени в параграфи 7 и 8 от настоящия член, се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА III
УДОСТОВЕРИТЕЛНИ УСЛУГИ
РАЗДЕЛ 1
Общи разпоредби
Член 13
Отговорност и тежест на доказване
1. Без да се засяга параграф 2, доставчиците на удостоверителни услуги носят отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задълженията по настоящия регламент.
Тежестта на доказване, че щетите са били нанесени умишлено или поради небрежност от страна на доставчик на неквалифицирани удостоверителни услуги, пада върху физическото или юридическото лице, подало иск във връзка с щетите, посочени в първа алинея.
Наличието на умисъл или небрежност от страна на доставчик на квалифицирани удостоверителни услуги се презюмира, освен ако този доставчик на квалифицирани удостоверителни услуги докаже, че посочените в първа алинея щети са настъпили без умисъл или небрежност от страна на същия доставчик на квалифицирани удостоверителни услуги.
2. Когато доставчици на удостоверителни услуги информират надлежно и предварително своите клиенти относно ограниченията върху използването на предоставяните от тях услуги и когато тези ограничения са разпознаваеми за трети страни, доставчиците на удостоверителни услуги не носят отговорност за щети, произтичащи от използване на услугите по начин, превишаващ посочените ограничения.
3. Параграфи 1 и 2 се прилагат в съответствие с националните правила относно отговорността.
Член 14
Международни аспекти
1. Удостоверителните услуги, предоставяни от доставчици на удостоверителни услуги, установени в трета държава, се признават за равностойни от правна гледна точка на квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, ако удостоверителните услуги с произход от трета държава са признати съгласно споразумение, сключено между Съюза и въпросната трета държава или международна организация в съответствие с член 218 от ДФЕС.
2. Споразуменията, посочени в параграф 1, гарантират по-специално, че:
а)
изискванията, приложими спрямо доставчици на квалифицирани удостоверителни услуги, установени в Съюза, и предоставяните от тях квалифицирани удостоверителни услуги, са спазени от доставчиците на удостоверителни услуги в третата държава или международните организации, с които е сключено споразумението, и от предоставяните от тях удостоверителни услуги;
б)
квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, са признати за равностойни от правна гледна точка на удостоверителни услуги, предоставяни от доставчици на удостоверителни услуги в третата държава или международна организация, с която е сключено споразумението.
Член 15
Достъпност за хора с увреждания
Когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хора с увреждания.
Член 16
Санкции
Държавите членки определят правилата относно санкциите, приложими при нарушаване на настоящия регламент. Предвидените санкции са ефективни, пропорционални и възпиращи.
РАЗДЕЛ 2
Надзор
Член 17
Надзорен орган
1. Държавите членки определят надзорен орган, установен на тяхна територия, или, при наличие на взаимно споразумение с друга държава членка, надзорен орган, установен във въпросната друга държава членка. Този орган е отговорен за изпълнението на задачите по надзора в определящата държава членка.
На надзорните органи се предоставят необходимите правомощия и достатъчни ресурси за изпълнението на техните задачи.
2. Държавите членки съобщават на Комисията наименованията и адресите на определените от тях надзорни органи.
3. Функцията на на надзорния орган е следната:
а)
да осъществява надзор върху доставчици на квалифицирани удостоверителни услуги, установени на територията на определящата държава членка, за да се гарантира, посредством предварителни и последващи действия по надзора, че тези доставчици на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, предвидени в настоящия регламент;
б)
при необходимост да предприема действия по отношение на доставчици на неквалифицирани удостоверителни услуги, установени на територията на определящата държава членка, посредством последващи действия по надзора, когато получи информация, съгласно която се твърди, че тези доставчици на неквалифицирани удостоверителни услуги или предоставяните от тях удостоверителни услуги не отговарят на изискванията, предвидени в настоящия регламент.
4. За целите на параграф 3 и при спазване на предвидените в него ограничения задачите на надзорния орган включват по-конкретно:
а)
да си сътрудничи с други надзорни органи и да им оказва съдействие в съответствие с член 18;
б)
да анализира докладите за оценяване на съответствието, посочени в член 20, параграф 1 и член 21, параграф 1;
в)
да информира други надзорни органи и обществеността за пробиви в сигурността или нарушаване на целостта в съответствие с член 19, параграф 2;
г)
да докладва на Комисията за своите основни дейности в съответствие с параграф 6 от настоящия член;
д)
да извършва одити или да изисква от орган за оценяване на съответствието да проведе оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги в съответствие с член 20, параграф 2;
е)
да си сътрудничи с органите по защита на данните, по-специално като без неоснователно забавяне ги информира за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има предполагаеми нарушения на правилата за защита на личните данни;
ж)
да предоставя квалифициран статут на доставчици на удостоверителни услуги и на предоставяните от тях услуги и да отнема този статут в съответствие с членове 20 и 21;
з)
да информира органа, отговорен за националния доверителен списък, посочен в член 22, параграф 3, за своите решения за представяне или отнемане на квалифициран статут, освен в случаите, когато въпросният орган е и надзорен орган;
и)
да проверява наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си, включително относно начините за запазване на достъпа до информацията в съответствие с член 24, параграф 2, буква з);
й)
да изисква от доставчиците на удостоверителни услуги да отстранят всяко неизпълнение на изискванията, посочени в настоящия регламент.
5. Държавите членки могат да изискват от надзорния орган да изгражда, поддържа и актуализира инфраструктура за удостоверяване в съответствие с условията по националното право.
6. Всяка година до 31 март всеки надзорен орган изпраща на Комисията доклад относно основните си дейности през предходната календарна година, наред с обобщена информация относно уведомленията за нарушения, получени от доставчици на удостоверителни услуги, в съответствие с член 19, параграф 2.
7. Комисията предоставя на държавите членки годишния доклад, посочен в параграф 6.
8. Комисията може да определи посредством актове за изпълнение форматите и процедурите по отношение на доклада, посочен в параграф 6. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 18
Взаимопомощ
1. Надзорните органи си сътрудничат с оглед обмен на добри практики.
Всеки надзорен орган, при получаване на обосновано искане от друг надзорен орган, му осигурява помощта, необходима за последователното осъществяване на дейностите на надзорните органи. Взаимопомощта може да обхваща по-специално искания за информация, както и надзорни мерки, като искания за извършване на проверки, свързани с докладите за оценяване на съответствието, както е посочено в членове 20 и 21.
2. Надзорен орган, до който е изпратено искане за помощ, може да откаже да го изпълни на някое от следните основания:
а)
надзорният орган не е компетентен да предостави исканата помощ;
б)
исканата помощ не е пропорционална на надзорните функции, изпълнявани от надзорния орган в съответствие с член 17;
в)
при условие че исканата помощ би била несъвместима с настоящия регламент.
3. При необходимост държавите членки могат да разрешат на съответните си надзорни органи да провеждат съвместни разследвания, в които участват служители на надзорни органи от други държави членки. Механизмите и процедурите за осъществяването на тези съвместни действия се договарят и установяват от съответните държави членки съгласно националното им право.
Член 19
Изисквания за сигурност, които се прилагат към доставчиците на удостоверителни услуги
1. Доставчиците на квалифицирани и неквалифицирани удостоверителни услуги предприемат подходящи технически и организационни мерки за управление на рисковете за сигурността на предоставяните от тях удостоверителни услуги. При тези мерки се вземат предвид най-новите технически достижения, за да се гарантира, че равнището на сигурност е пропорционално на степента на риска. В частност се предприемат мерки за предотвратяване и свеждане до минимум на въздействието на инциденти, свързани със сигурността, и за информиране на заинтересованите страни относно нежеланите последици от такива инциденти.
2. В случай на пробив в сигурността или нарушаване на целостта, които имат съществено въздействие върху предоставяната удостоверителна услуга или върху съхраняваните лични данни, доставчиците на квалифицирани и неквалифицирани удостоверителни услуги уведомяват за това без излишно забавяне, но при всички случаи в срок от 24 часа от момента, в който са узнали за настъпилото събитие, надзорния орган и, когато е приложимо, други компетентни органи, например компетентния национален орган в областта на информационната сигурност или органа по защита на данните.
Когато има вероятност пробивът в сигурността или нарушаването на целостта да окажат негативно въздействие върху физическо или юридическо лице, на което е предоставена удостоверителната услуга, доставчикът на удостоверителни услуги уведомява без излишно забавяне за пробива в сигурността или нарушаването на целостта и въпросното физическо или юридическо лице.
При необходимост, и особено ако пробивът в сигурността или нарушаването на целостта засягат две или повече държави членки, уведоменият надзорен орган информира надзорните органи в останалите засегнати държави членки и ENISA.
Ако прецени, че разгласяването на пробива в сигурността или нарушаването на целостта е в обществен интерес, уведоменият надзорен орган информира обществеността или изисква от доставчика на удостоверителни услуги да направи това.
3. Веднъж годишно надзорният орган представя на ENISA обобщение на уведомленията за пробиви в сигурността и нарушения на целостта, получени от доставчиците на удостоверителни услуги.
4. Комисията може посредством актове за изпълнение:
а)
да уточни допълнително мерките, посочени в параграф 1; и
б)
да определи форматите и процедурите, включително сроковете, приложими за целите на параграф 2.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 3
Квалифицирани удостоверителни услуги
Член 20
Надзор над доставчиците на квалифицирани удостоверителни услуги
1. Доставчиците на квалифицирани удостоверителни услуги са обект на одит най-малко веднъж на 24 месеца за тяхна собствена сметка от орган за оценяване на съответствието. Целта на одита е да се потвърди, че доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Доставчиците на квалифицирани удостоверителни услуги представят на надзорния орган съответния доклад за оценяване на съответствието в срок от три работни дни след като го получат.
2. Без да се засяга параграф 1, надзорният орган може по всяко време да извърши одит или да поиска от орган за оценяване на съответствието да направи оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги за тяхна собствена сметка, за да потвърди, че те и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Ако има съмнение, че са нарушени правилата за защита на личните данни, надзорният орган уведомява за резултатите от своите одити органите по защита на данните.
3. Ако надзорният орган поиска от доставчика на квалифицирани удостоверителни услуги да вземе мерки, за да изпълни неизпълнените от него изисквания по настоящия регламент, и ако този доставчик не предприеме необходимите действия, ако е приложимо, в определения от надзорния орган срок, надзорният орган, като вземе под внимание по-специално степента, продължителността и последиците от това неизпълнение, може да отнеме квалифицирания статут на този доставчик или на съответната предоставяна от него услуга и да информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1. Надзорният орган уведомява доставчика на квалифицирани удостоверителни услуги за отнемането на неговия квалифициран статут или на квалифицирания статут на съответната услуга.
4. Посредством актове за изпълнение Комисията може да определи референтните номера на следните стандарти:
а)
за акредитацията на органите за оценяване на съответствието и за доклада за оценяване на съответствието, посочени в параграф 1;
б)
за правилата за извършване на одит, според които органите за оценяване на съответствието ще извършват своето оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги, както е посочено в параграф 1.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 21
Начало на предоставянето на квалифицирана удостоверителна услуга
1. Когато доставчици на удостоверителни услуги без квалифициран статут възнамеряват да започнат да предоставят квалифицирани удостоверителни услуги, те изпращат на надзорния орган уведомление за намерението си заедно с доклад за оценяване на съответствието, съставен от органа за оценяване на съответствието.
2. Надзорният орган проверява дали доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент, и по-специално на изискванията за доставчиците на квалифицирани удостоверителни услуги и за предоставяните от тях квалифицирани удостоверителни услуги.
Ако надзорният орган прецени, че доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в първа алинея, надзорният орган предоставя квалифициран статут на доставчика на удостоверителни услуги и на предоставяните от него удостоверителни услуги и информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1 в срок от три месеца след уведомяването съгласно параграф 1 от настоящия член.
Ако проверката не приключи в тримесечен срок от уведомяването, надзорният орган информира доставчика на удостоверителни услуги, като посочва причините за забавянето и срока, в който трябва да приключи проверката.
3. Доставчиците на квалифицирани удостоверителни услуги могат да започнат да предоставят квалифицирани удостоверителни услуги, след като квалифицираният статут бъде отбелязан в доверителните списъци, посочени в член 22, параграф 1.
4. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграфи 1 и 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 22
Доверителни списъци
1. Всяка държава членка създава, поддържа и публикува доверителни списъци, които съдържат информация за доставчиците на квалифицирани удостоверителни услуги, за които носи отговорност, както и за предоставяните от тези доставчици квалифицирани удостоверителни услуги.
2. Държавите членки създават, поддържат и публикуват по сигурен начин предвидените в параграф 1 доверителни списъци, които са подписани и подпечатани по електронен път във форма, подходяща за автоматизирана обработка.
3. Държавите членки уведомяват без излишно забавяне Комисията за органа, натоварен със създаването, поддържането и публикуването на националните доверителни списъци, за мястото, където се публикуват тези списъци, за удостоверенията, които се използват за подписване или подпечатване на доверителни списъци, както и за всички последващи промени в тях.
4. Комисията предоставя на обществеността чрез сигурен канал информацията, посочена в параграф 3, подписана и подпечатана по електронен път и във форма, подходяща за автоматизирана обработка.
5. До 18 септември 2015 г. Комисията посредством актове за изпълнение уточнява информацията, посочена в параграф 1, и определя техническите спецификации и форматите на доверителните списъци за целите на параграфи 1-4. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 23
Марка за доверие на ЕС за квалифицирани удостоверителни услуги
1. След като посоченият в член 21, параграф 2, втора алинея квалифициран статут бъде отбелязан в доверителния списък по член 22, параграф 1, доставчиците на квалифицирани удостоверителни услуги могат да използват марката за доверие на ЕС, за да обозначат по прост, разпознаваем и ясен начин предоставяните от тях квалифицирани удостоверителни услуги.
2. Когато използват марката за доверие на ЕС за квалифицираните удостоверителни услуги, посочени в параграф 1, доставчиците на квалифицирани удостоверителни услуги правят необходимото на уебсайта им да присъства линк към съответния доверителен списък.
3. До 1 юли 2015 г. Комисията определя посредством актове за изпълнение спецификациите относно формата, и по-конкретно представянето, състава, размера и оформлението на марката на доверие на ЕС за обозначаване на квалифицирани удостоверителни услуги. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 24
Изисквания към доставчиците на квалифицирани удостоверителни услуги
1. При издаването на квалифицирано удостоверение за удостоверителна услуга доставчикът на квалифицирани удостоверителни услуги проверява чрез подходящи средства и в съответствие с националното право самоличността и, ако е приложимо, всички специфични данни за физическото или юридическото лице, на което се издава квалифицираното удостоверение.
Информацията, посочена в първа алинея, се проверява от доставчика на квалифицирани удостоверителни услуги пряко или чрез трета страна в съответствие с националното право:
а)
чрез личното присъствие на физическото лице или на упълномощен представител на юридическото лице; или
б)
дистанционно, чрез средство за електронна идентификация, като за целта преди издаването на квалифицираното удостоверение е било осигурено физическото присъствие на физическото лице или на упълномощен представител на юридическото лице и въпросното средство отговоря на изискванията на член 8 по отношение на нивата на осигуреност „значително“ или „високо“; или
в)
чрез удостоверение за квалифициран електронен подпис или за квалифициран електронен печат, издадено в съответствие с буква а) или б); или
г)
чрез използване на други признати на национално равнище методи за идентификация, които дават ниво на осигуреност, равностойно на физическото присъствие по отношение на надежността. Равностойното ниво на осигуреност се потвърждава от орган за оценяване на съответствието.
2. Доставчик на квалифицирани удостоверителни услуги:
а)
информира надзорния орган относно всяка промяна в предоставянето от него на квалифицирани удостоверителни услуги, включително за намерението да преустанови тези дейностти;
б)
наема персонал и, ако е приложимо, подизпълнители, които притежават необходимите експертни знания, надеждност, опит и квалификация и са преминали подходящо обучение относно правилата за сигурност и защита на личните данни, и прилага съответстващи на европейските или международните стандарти административни и управленски процедури;
в)
във връзка с риска от отговорност за нанесени щети в съответствие с член 13 поддържа достатъчни финансови ресурси и/или сключва подходяща застраховка за отговорност в съответствие с националното право;
г)
преди встъпването в договорни отношения информира по ясен и разбираем начин всяко лице, което иска да използва квалифицирана удостоверителна услуга, за точните условия и ред за използване на тази услуга, включително за всякакви ограничения, свързани с използването ѝ;
д)
използва надеждни системи и продукти, които са защитени срещу промяна, и гарантира техническата сигурност и надеждност на поддържаните от тях процеси;
е)
използва надеждни системи за съхранение на предоставените му данни във вид, позволяващ проверка, така че:
i)
те да са публично достъпни за извличане само в случаите, когато е получено съгласието на лицето, за което се отнасят данните;
ii)
само упълномощени лица да могат да въвеждат информация и да внасят промени в съхраняваните данни;
iii)
да може да бъде проверена автентичността на данните;
ж)
взема подходящи мерки срещу подправяне и кражба на данни;
з)
записва и съхранява на разположение за подходящ срок, включително след като доставчикът на квалифицирани удостоверителни услуги е преустановил дейността си, цялата имаща отношение информация във връзка с данните, издадени и получени от доставчик на квалифицирани удостоверителни услуги, и по-специално с оглед предоставяне на доказателство при съдебни производства и осигуряване на приемственост при предоставянето на услугата. Тези записи могат да бъдат направени по електронен път;
и)
в съответствие с разпоредбите, подложени на проверка от надзорния орган съгласно член 17, параграф 4, буква и), разполага с актуализиран план за осигуряване на непрекъснатост на обслужването в случай на прекратяване на дейността;
й)
осигурява законосъобразна обработка на лични данни в съответствие с Директива 95/46/ЕО;
к)
в случай на доставчици на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения - създава база данни с удостоверения и редовно я актуализира.
3. Ако доставчик на квалифицирани удостоверителни услуги, който издава квалифицирани удостоверения, реши да отмени удостоверение, той регистрира тази отмяна в неговата база данни с удостоверения и публикува отменения статут на удостоверението своевременно, но във всички случаи в срок до24 часа след като бъде получено искането. Отмяната става валидна веднага след като бъде публикувана.
4. Във връзка с параграф 3 доставчиците на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения, предоставят на всяка доверяваща се страна информация относно валидността или отмяната на издадените от тях квалифицирани удостоверения. Тази информация се предоставя на разположение по всяко време и дори след срока на валидност на удостоверението най-малко въз основа на удостоверение по автоматизиран начин, който е надежден, безплатен и ефикасен.
5. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за надеждни системи и продукти, които отговарят на изискванията по параграф 2, букви д) и е) от настоящия член. Съответствието с изискванията по настоящия член се презюмира, когато надеждните системи и продукти отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 4
Електронни подписи
Член 25
Правна сила на електронните подписи
1. Правната сила и допустимостта на електронния подпис като доказателство при съдебни производства не могат да бъда оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни подписи.
2. Правната сила на квалифицирания електронен подпис е равностойна на тази на саморъчния подпис.
3. Квалифицираният електронен подпис, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен подпис във всички други държави членки.
Член 26
Изисквания към усъвършенстваните електронни подписи
Усъвършенстваният електронен подпис отговаря на следните изисквания:
а)
свързан е по уникален начин с титуляря на подписа;
б)
може да идентифицира титуляря на подписа;
в)
създаден е чрез данни за създаване на електронен подпис, които титулярят на електронния подпис може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, които са подписани с него, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 27
Електронни подписи в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, същата държава членка признава усъвършенствани електронни подписи, усъвършенствани електронни подписи, основани на квалифицирано удостоверение за електронни подписи, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни подписи, основани на квалифицирано удостоверение, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен подпис с равнище на сигурност, по-високо от това на квалифицирания електронен подпис.
4. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за усъвършенствани електронни подписи. Съответствието с изискванията относно усъвършенстваните електронни подписи, посочени в параграфи 1 и 2 от настоящия член и в член 26, се презюмира, когато усъвършенстваният електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията, посредством актове за изпълнение, определя референтните формати на усъвършенстваните електронни подписи или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 28
Квалифицирани удостоверения за електронни подписи
1. Квалифицираните удостоверения за електронни подписи отговарят на изискванията, предвидени в приложение I.
2. Квалифицираните удостоверения за електронни подписи не подлежат на каквото и да било задължително изискване, което надхвърля изискванията, предвидени в приложение I.
3. Квалифицираните удостоверения за електронни подписи могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни подписи.
4. Ако квалифицирано удостоверение за електронни подписи бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирано удостоверение за електронен подпис при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен подпис бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спряното удостоверение е видим за срока на спирането в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронен подпис. Съответствието с изискванията, предвидени в приложение I, се презюмира, когато квалифицираните удостоверения за електронен подпис отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 29
Изисквания към устройствата за създаване на квалифициран електронен подпис
1. Устройствата за създаване на квалифициран електронен подпис отговарят на изискванията, предвидени в приложение II.
2. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за устройства за създаване на квалифициран електронен подпис. Съответствието с изискванията, предвидени в приложение II, се презюмира, когато устройството за създаване на квалифициран електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 30
Сертифициране на устройствата за създаване на квалифициран електронен подпис
1. Съответствието на устройствата за създаване на квалифициран електронен подпис с изискванията, предвидени в приложение II, се сертифицира от съответните публичноправни или частни организации, определени от държавите членки.
2. Държавите членки съобщават на Комисията наименованията и адресите на публичноправната или частната организация, посочена в параграф 1. Комисията предоставя тази информация на разположение на държавите членки.
3. Посоченото в параграф 1 сертифициране се основава на едно от следните условия:
а)
процес на оценка на сигурността, осъществен в съответствие с един от стандартите за оценка на сигурността на продукти на информационните технологии, включени в списъка, изготвен в съответствие с втората алинея; или
б)
процес, различен от посочения в буква а), при условие че при него са използвани съпоставими равнища на сигурност и че посочената в параграф 1 публичноправна или частна организация е уведомила Комисията за въпросния процес. Този процес може да се използва само при липса на стандартите, посочени в буква а), или когато посоченият в буква а) процес на оценка на сигурността се извършва в момента.
Комисията изготвя посредством актове за изпълнение списък на стандартите за оценка на сигурността на продукти на информационните технологии, посочени в буква а). Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
4. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 47 за установяване на конкретните критерии, на които трябва да отговарят определените органи, посочени в параграф 1 от настоящия член.
Член 31
Публикуване на списък на сертифицираните устройства за създаване на квалифициран електронен подпис
1. Държавите членки уведомяват Комисията без излишно забавяне и не по-късно от един месец след приключване на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които са сертифицирани от посочените в член 30, параграф 1 организации. Те също така уведомяват Комисията без излишно забавяне и не по-късно от един месец след отмяна на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които вече не отговарят на условията за сертифициране.
2. Въз основа на получената информация Комисията изготвя, публикува и поддържа списък на сертифицираните устройства за създаване на квалифициран електронен подпис.
3. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 32
Изисквания към валидирането на квалифицирани електронни подписи
1. В процеса на валидиране на квалифициран електронен подпис се потвърждава валидността на квалифицирания електронен подпис, при условие че:
а)
удостоверението в подкрепа на подписа към момента на подписването е било квалифицирано удостоверение за електронен подпис, отговарящо на приложение I;
б)
квалифицираното удостоверение е издадено от доставчик на квалифицирани удостоверителни услуги и е било валидно към момента на подписването;
в)
данните за валидиране на подписа съответстват на данните, предоставени от доверяващата се страна;
г)
уникалният набор от данни, представляващи титуляря на електронния подпис в удостоверението, е надлежно предаден на доверяващата се страна;
д)
ако към момента на подписването е бил използван псевдоним, то това е ясно указано на доверяващата се страна;
е)
електронният подпис е създаден от устройство за създаване на квалифициран електронен подпис;
ж)
целостта на подписаните данни не е застрашена;
з)
изискванията по член 26 са били изпълнени към момента на подписването.
2. Използваната за валидиране на квалифицирания електронен подпис система предоставя на доверяващата се страна правилния резултат от процеса на валидиране и ѝ позволява да открие евентуални проблеми, свързани със сигурността.
3. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за валидиране на квалифицирани електронни подписи. Съответствието с изискванията, предвидени в параграф 1, се презюмира, когато валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 33
Услуга по квалифицирано валидиране на квалифицирани електронни подписи
1. Услугата по квалифицирано валидиране на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който:
а)
извършва валидиране в съответствие с член 32, параграф 1; и
б)
дава възможност на доверяващите се страни да получат резултата от процеса на валидиране по автоматизиран начин, който е надежден и ефикасен и носи усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчика на услугата по квалифицирано валидиране.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано валидиране, посочена в параграф 1. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 34
Услуга по квалифицирано съхраняване на квалифицирани електронни подписи
1. Услугата по квалифицирано съхраняване на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който използва процедури и технологии, позволяващи надеждността на квалифицирания електронен подпис да се разшири извън срока на технологична валидност.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано съхраняване на квалифицирани електронни подписи. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по квалифицирано съхраняване на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 5
Електронни печати
Член 35
Правна сила на електронните печати
1. Правната сила и допустимостта на електронния печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни печати.
2. Квалифицираният електронен печат се ползва от презумпция за цялост на данните и точност на произхода на тези данни, за които се отнася квалифицираният електронен печат.
3. Квалифицираният електронен печат, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен печат във всички други държави членки.
Член 36
Изисквания към квалифицираните електронни печати
Квалифицираният електронен печат отговаря на следните изисквания:
а)
свързан е по уникален начин със създателя на печата;
б)
може да идентифицира създателя на печата;
в)
създаден е чрез данни за създаване на електронен печат, които създателят на електронния печат може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, за които се отнася, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 37
Електронни печати в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, същата държава членка признава усъвършенствани електронни печати, усъвършенствани електронни печати, основани на квалифицирано удостоверение за електронни печати, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни печати, основани на квалифицирано удостоверение, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен печат с ниво на сигурност, по-високо от това на квалифицирания електронен печат.
4. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за усъвършенстваните електронни печати. Съответствието с изискванията относно усъвършенстваните електронни печати, посочени в параграфи 1 и 2 от настоящия член и в член 36, се презюмира, когато усъвършенстваният електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията посредством актове за изпълнение определя референтните формати на усъвършенстваните електронни печати или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 38
Квалифицирани удостоверения за електронни печати
1. Квалифицираните удостоверения за електронни печати отговарят на изискванията, предвидени в приложение III.
2. Квалифицираните удостоверения за електронни печати не подлежат на каквито и да било задължителни изисквания, които надхвърлят изискванията, предвидени в приложение III.
3. Квалифицираните удостоверения за електронни печати могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни печати.
4. Ако квалифицирано удостоверение за електронен печат бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирани удостоверения за електронни печати при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен печат бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спиране е видим за срока на това спиране в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронни печати. Съответствието с изискванията, предвидени в приложение III, се презюмира, когато квалифицираното удостоверение за електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 39
Устройства за създаване на квалифицирани електронни печати
1. Член 29 се прилага mutatis mutandis към изискванията за устройства за създаване на квалифицирани електронни печати.
2. Член 30 се прилага mutatis mutandis към сертифицирането на устройства за създаване на квалифицирани електронни печати.
3. Член 31 се прилага mutatis mutandis към публикуването на списък на сертифицираните устройства за създаване на квалифицирани електронни печати.
Член 40
Валидиране и съхраняване на квалифицирани електронни печати
Членове 32, 33 и 34 се прилагат mutatis mutandis към валидирането и съхраняването на квалифицирани електронни печати.
РАЗДЕЛ 6
Електронни времеви печати
Член 41
Правна сила на електронните времеви печати
1. Правната сила и допустимостта на електронния времеви печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговаря на изискванията за квалифициран електронен времеви печат.
2. Квалифицираният електронен времеви печат се ползва от презумпцията за точност на указаните от него дата и час и за цялост на данните, с които са обвързани датата и часът.
3. Квалифицираният електронен времеви печат, издаден в една държава членка, се признава за квалифициран електронен времеви печат във всички държави членки.
Член 42
Изисквания към квалифицираните електронни времеви печати
1. Квалифицираният електронен времеви печат отговаря на следните изисквания:
а)
обвързва датата и часа с данните по начин, който до голяма степен изключва възможността за незабелязана промяна на данните;
б)
основава се на източник на точно време, свързан с координираното универсално време; и
в)
подписан е с усъвършенстван електронен подпис или е подпечатан с усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги или с друг равностоен метод.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за обвързване на датата и часа с данните и за източниците на точно време. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато обвързването на датата и часа с данните и източника на точно време отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 7
Услуги за електронна препоръчана поща
Член 43
Правна сила на услугите за електронна препоръчана поща
1. Правната сила и допустимостта на данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, не могат да бъдат оспорени като доказателство в съдебни производства единствено на основанието, че са в електронна форма или че не отговарят на изискванията за квалифицирана услуга за електронна препоръчана поща.
2. Данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, се ползват от презумпцията за цялост на данните, за изпращане на тези данни от идентифицирания изпращач, тяхното получаване от идентифицирания получател и за точност на указаните чрез квалифицираната услуга за електронна препоръчана поща дата и час на изпращане и получаване на данните.
Член 44
Изисквания към квалифицираните услуги за електронна препоръчана поща
1. Квалифицираните услуги за електронна препоръчана поща отговарят на следните изисквания:
а)
предоставят се от един или повече доставчици на квалифицирани удостоверителни услуги;
б)
гарантират с високо ниво на доверие идентификацията на изпращача;
в)
гарантират идентификацията на получателя преди доставянето на данните;
г)
изпращането и получаването на данни е обезпечено чрез усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги по начин, който изключва всякаква възможност за незабелязана промяна на данните;
д)
всяка промяна на данните, необходима за целите на изпращането или получаването на данните, се обозначава ясно за подателя и за получателя на данните;
е)
датата и часът на изпращане и получаване, както и всяка промяна на данните се указват чрез квалифициран електронен времеви печат.
Ако данните се предават между двама или повече доставчици на квалифицирани удостоверителни услуги, изискванията по букви а) - е) се прилагат към всички доставчици на квалифицирани удостоверителни услуги.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за процесите на изпращане и получаване на данни. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато процесите на изпращане и получаване на данни съответстват на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 8
Удостоверяване автентичността на уебсайтове
Член 45
Изисквания към квалифицираните удостоверения за автентичност на уебсайтове
1. Квалифицираните удостоверения за автентичност на уебсайтове отговарят на изискванията, предвидени в приложение IV.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицираните удостоверения за автентичност на уебсайтове. Съответствието с изискванията, предвидени в приложение IV, се презюмира, когато дадено квалифицирано удостоверение за автентичност на уебсайт отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА IV
ЕЛЕКТРОННИ ДОКУМЕНТИ
Член 46
Правна сила на електронните документи
Правната сила и допустимостта на електронен документ като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма.
ГЛАВА V
РАЗПОРЕДБИ ОТНОСНО ДЕЛЕГИРАНЕ НА ПРАВОМОЩИЯ И АКТОВЕ ЗА ИЗПЪЛНЕНИЕ
Член 47
Упражняване на делегирането
1. Правомощието да приема делегирани актове се предоставя на Комисията при спазване на определените в настоящия член условия.
2. Правомощието да приема делегирани актове, посочено в член 30, параграф 4, се предоставя на Комисията за неограничен срок, считано от 17 септември 2014 г.
3. Делегирането на правомощия, посочено в член 30, параграф 4, може да бъде оттеглено по всяко време от Европейския парламент или от Съвета. С решението за оттегляне се прекратява посоченото в него делегиране на правомощия. То поражда действие в деня след публикуването на решението в Официален вестник на Европейския съюз или на по-късна, посочена в решението дата. То не засяга действителността на делегираните актове, които вече са в сила.
4. Веднага след като приеме делегиран акт Комисията го нотифицира едновременно на Европейския парламент и на Съвета.
5. Делегиран акт, приет съгласно член 30, параграф 4, влиза в сила само ако Европейският парламент или Съветът не са представили възражения в срок от два месеца след нотифицирането на акта на Европейския парламент и Съвета или ако преди изтичането на този срок и Европейският парламент, и Съветът са уведомили Комисията, че няма да представят възражения. Този срок се удължава с два месеца по инициатива на Европейския парламент или на Съвета.
Член 48
Процедура на комитет
1. Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.
2. При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Преглед
Комисията прави преглед на прилагането на настоящия регламент и докладва на Европейския парламент и на Съвета не по-късно от 1 юли 2020 г. Комисията преценява по-специално дали обхватът на настоящия регламент или конкретни негови разпоредби, включително член 6, член 7, буква е), членове 34, 43, 44 и 45, е подходящо да се изменят, като се отчитат придобитият по време на прилагането на настоящия регламент опит и развитието на технологиите, пазара и правната уредба.
Посоченият в първа алинея доклад се придружава, ако е необходимо, от законодателни предложения.
Освен това след доклада по първа алинея Комисията представя на Европейския парламент и на Съвета на всеки четири години доклад относно напредъка в постигането на набелязаните в настоящия регламент цели.
Член 50
Отмяна
1. Директива 1999/93/ЕО се отменя, считано от 1 юли 2016 г.
2. Позоваванията на отменената директива се считат за позовавания на настоящия регламент.
Член 51
Преходни мерки
1. Устройствата за създаване на защитени подписи, чието съответствие е било определено съгласно член 3, параграф 4 от Директива 1999/93/ЕО, се считат за устройства за създаване на квалифицирани подписи съгласно настоящия регламент.
2. Квалифицираните удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, се считат за квалифицирани удостоверения за електронни подписи съгласно настоящия регламент до изтичане на срока им.
3. Доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, представя на надзорния орган доклад за оценяване на съответствието в най-кратък срок, но не по-късно от 1 юли 2017 г. До представянето на такъв доклад за оценяване на съответствието и до приключването на оценяването му от надзорния орган този доставчик на услуги по сертифициране се счита за квалифициран доставчик на удостоверителни услуги съгласно настоящия регламент.
4. Ако доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, не представи на надзорния орган доклад за оценяване на съответствието в посочения в параграф 3 срок, този доставчик на услуги по сертифициране не се счита за доставчик на квалифицирани удостоверителни услуги съгласно настоящия регламент, считано от 2 юли 2017 г.
Член 52
Влизане в сила
1. Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
2. Настоящият регламент се прилага от 1 юли 2016 г. с изключение на следното:
а)
член 8, параграф 3, член 9, параграф 5, член 12, параграфи 2 - 9, член 17, параграф 8, член 19, параграф 4, член 20, параграф 4, член 21, параграф 4, член 22, параграф 5, член 23, параграф 3, член 24, параграф 5, член 27, параграфи 4 и 5, член 28, параграф 6, член 29, параграф 2, член 30, параграфи 3 и 4, член 31, параграф 3, член 32, параграф 3, член 33, параграф 2, член 34, параграф 2, член 37, параграфи 4 и 5, член 38, параграф 6, член 42, параграф 2, член 44, параграф 2, член 45, параграф 2 и членове 47 и 48 се прилагат, считано от 17 септември 2014 г.;
б)
член 7, член 8, параграфи 1 и 2, членове 9 - 11 и член 12, параграф 1 се прилагат от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8;
в)
член 6 се прилага, считано от три години от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8.
3. Когато схемата за електронна идентификация, за която се извършва уведомяване, е включена в списъка, публикуван от Комисията по силата на член 9, преди датата, посочена в параграф 2, буква в) от настоящия член, признаването на средствата за електронна идентификация в рамките на въпросната схема по силата на член 6 се извършва не по-късно от 12 месеца след публикуването на схемата, но не преди датата, посочена в параграф 2, буква в) от настоящия член.
4. Независимо от параграф 2, буква в) от настоящия член дадена държава членка може да реши, че средствата за електронна идентификация в рамките на схемата за електронна идентификация, за която се извършва уведомяване по силата на член 9, параграф 1 от страна на друга държава членка, се признават в първата държава членка, считано от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8. Съответните държави членки информират Комисията. Комисията оповестява публично тази информация.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 23 юли 2014 година.
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) Nr. 910/2014
af 23. juli 2014
om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),
efter den almindelige lovgivningsprocedure (2), og
ud fra følgende betragtninger:
(1)
Det er afgørende for den økonomiske og sociale udvikling, at der skabes tillid til onlineverdenen. Hvis tilliden mangler, især på grund af en formodning om manglende retssikkerhed, vil forbrugere, virksomheder og offentlige myndigheder tøve med at gennemføre transaktioner elektronisk og benytte nye tjenester.
(2)
Denne forordning har til formål at styrke tilliden til elektroniske transaktioner på det indre marked ved at skabe et fælles grundlag for sikker elektronisk interaktion mellem borgere, virksomheder og offentlige myndigheder og derved øge effektiviteten i de offentlige og private onlinetjenester, elektronisk forretningsførelse og elektronisk handel i Unionen.
(3)
Europa-Parlamentets og Rådets direktiv 1999/93/EF (3) dækkede elektroniske signaturer uden at skabe en omfattende ramme for sikre, pålidelige og brugervenlige elektroniske transaktioner på tværs af landegrænser og sektorer. Denne forordning styrker og udvider det nævnte direktivs regelsæt.
(4)
I Kommissionens meddelelse af 26. august 2010 med titlen »En digital dagsorden for Europa« påpeges det, at opsplitningen af det digitale marked, manglende interoperabilitet og stigende internetkriminalitet er alvorlige hindringer for en positiv udvikling af den digitale økonomi. I sin rapport om unionsborgerskab fra 2010 med titlen »Afskaffelse af hindringerne for unionsborgernes rettigheder« fremhævede Kommissionen endvidere behovet for at løse de væsentligste problemer, der forhindrer EU-borgere i at nyde fordelene ved et digitalt indre marked og digitale tjenesteydelser på tværs af landegrænserne.
(5)
Det Europæiske Råd opfordrede i sine konklusioner af 4. februar 2011 og af 23. oktober 2011 Kommissionen til at skabe et digitalt indre marked inden 2015 for at gøre hurtige fremskridt på nøgleområderne i den digitale økonomi og fremme et fuldt integreret digitalt indre marked ved at befordre brug af onlinetjenester på tværs af grænserne og lægge særlig vægt på at lette sikker elektronisk identifikation og autentifikation.
(6)
Rådet opfordrede i sine konklusioner af 27. maj 2011 Kommissionen til at bidrage til det digitale indre marked ved at skabe passende vilkår for gensidig anerkendelse af centrale mulighedsskabende teknologier på tværs af grænserne, såsom elektronisk identifikation, elektroniske dokumenter, elektroniske signaturer og elektroniske leveringstjenester samt for interoperable e-forvaltningstjenester i hele Den Europæiske Union.
(7)
Europa-Parlamentet understregede i sin beslutning af 21. september 2010 om gennemførelse af det indre marked for e-handel (4) betydningen af sikkerhed i forbindelse med elektroniske tjenester, navnlig elektroniske signaturer, samt af behovet for at etablere public key-infrastruktur på fælleseuropæisk plan, og det har opfordret Kommissionen til at etablere en gateway for europæiske valideringsmyndigheder for at sikre elektroniske signaturers grænseoverskridende interoperabilitet og øge sikkerheden for transaktioner, som foretages over internettet.
(8)
Ifølge Europa-Parlamentets og Rådets direktiv 2006/123/EF (5) skal medlemsstaterne oprette »kvikskranker« for at sikre, at samtlige procedurer og formaliteter i forbindelse med adgangen til at optage og udøve servicevirksomhed kan afvikles uden besvær, på afstand og ad elektronisk vej via den berørte kvikskranke og de kompetente myndigheder. Mange af de onlinetjenester, der er tilgængelige via kvikskranker, kræver elektronisk identifikation, autentifikation og signatur.
(9)
I de fleste tilfælde kan borgere ikke bruge deres elektroniske ID til at autentificere sig i en anden medlemsstat, fordi de nationale elektroniske identifikationsordninger i deres eget land ikke anerkendes i andre medlemsstater. Denne elektroniske hindring udelukker tjenesteudbyderne fra at høste det fulde udbytte af det indre marked. Gensidigt anerkendte elektroniske identifikationsmidler vil gøre det lettere at udbyde en lang række tjenester på tværs af grænserne på det indre marked og sætte virksomhederne i stand til at udøve virksomhed på tværs af grænserne uden at skulle overvinde diverse hindringer i kontakten med de offentlige myndigheder.
(10)
Europa-Parlamentets og Rådets direktiv 2011/24/EU (6) etablerer et netværk mellem de nationale myndigheder, der er ansvarlige for e-sundhed. For at øge sikkerheden og kontinuiteten i forbindelse med grænseoverskridende sundhedsydelser skal netværket udarbejde retningslinjer for adgang til elektroniske sundhedsoplysninger og -ydelser på tværs af grænserne og blandt andet støtte »fælles identifikations- og autentifikationsforanstaltninger for at gøre det lettere at overføre data ved grænseoverskridende sundhedsydelser«. Gensidig anerkendelse af elektronisk identifikation og autentifikation er afgørende for, at sundhedsydelser for Europas borgere på tværs af grænserne bliver en realitet. Når borgerne tager til udlandet for at få lægebehandling, skal deres medicinske data være tilgængelige i det land, hvor de skal behandles. Dette kræver en solid og sikker ramme for elektronisk identifikation, som de berørte parter har tillid til.
(11)
Denne forordning bør anvendes under fuld overholdelse af principperne vedrørende beskyttelse af personoplysninger i Europa-Parlamentets og Rådets direktiv 95/46/EF (7). For så vidt angår princippet om gensidig anerkendelse i denne forordning bør autentifikation i forbindelse med en onlinetjeneste derfor kun omfatte behandling af de identifikationsdata, der er tilstrækkelige, relevante og ikke omfatter mere, end hvad der kræves for at give adgang til den pågældende onlinetjeneste. Desuden bør tillidstjenesteudbydere og tilsynsorganer opfylde kravene i direktiv 95/46/EF om fortrolighed og behandlingssikkerhed.
(12)
Et af formålene med denne forordning er at fjerne de eksisterende hindringer for grænseoverskridende brug af elektroniske identifikationsmidler, der benyttes i medlemsstaterne for som minimum at autentificere offentlige tjenester. Forordningen har ikke til formål at gribe ind for så vidt angår de elektroniske identitetsforvaltningssystemer og dermed forbundne infrastrukturer, der er etableret i medlemsstaterne. Målet med denne forordning er at sørge for, at der findes sikker elektronisk identifikation og autentifikation, der gør det muligt at få adgang til grænseoverskridende onlinetjenester, som medlemsstaterne udbyder.
(13)
Medlemsstaterne bør fortsat frit kunne anvende eller indføre midler med henblik på elektronisk identifikation for adgang til onlinetjenester. De bør også selv kunne bestemme, om den private sektor skal være med til at udbyde disse midler. Medlemsstaterne bør ikke være forpligtet til at anmelde deres elektroniske identifikationsordninger til Kommissionen. Valget mellem at anmelde alle, nogle eller ingen af de elektroniske identifikationsordninger, der anvendes på nationalt plan til som minimum at få adgang til offentlige onlinetjenester eller specifikke tjenester, til Kommissionen bør være op til medlemsstaterne.
(14)
Denne forordning bør indeholde visse betingelser for, hvilke elektroniske identifikationsmidler der skal anerkendes, og for, hvordan de elektroniske identifikationsordninger bør anmeldes. Betingelserne bør hjælpe medlemsstaterne til at opbygge den nødvendige tillid til hinandens elektroniske identifikationsordninger og til gensidigt at anerkende elektroniske identifikationsmidler, der er omfattet af de anmeldte ordninger. Princippet om gensidig anerkendelse bør følges, hvis den anmeldende medlemsstats elektroniske identifikationsordning opfylder anmeldelsesbetingelserne, og hvis anmeldelsen har været offentliggjort i Den Europæiske Unions Tidende. Dog bør princippet om gensidig anerkendelse kun gælde for autentifikation i forbindelse med en onlinetjeneste. Adgangen til disse onlinetjenester og den endelige levering af tjenesterne til parter, der anmoder herom, bør afhænge nøje af retten til at modtage sådanne tjenester i henhold til betingelserne i den nationale lovgivning.
(15)
Pligten til at anerkende elektroniske identifikationsmidler bør kun vedrøre de midler, hvis identitetssikringsniveau svarer til eller er højere end det niveau, der kræves for den pågældende onlinetjeneste. Desuden bør pligten kun gælde, når den pågældende offentlige myndighed anvender sikringsniveauet »betydelig« eller »høj« i forbindelse med adgang til den pågældende onlinetjeneste. Medlemsstaterne bør i overensstemmelse med EU-retten frit kunne anerkende elektroniske identifikationsmidler, der har lavere identitetssikringsniveauer.
(16)
Sikringsniveauer bør afspejle graden af tillid til, at et elektronisk identifikationsmiddel kan fastslå identiteten på en person og således give sikkerhed for, at den person, der gør krav på en specifik identitet, faktisk er den person, hvortil identiteten er blevet knyttet. Sikringsniveauet afhænger af graden af tillid til, at det elektroniske identifikationsmiddel kan fastslå en persons påståede identitet, idet der tages hensyn til processer (for eksempel godtgørelse, kontrol og autentifikation af identitet), ledelsesaktiviteter (for eksempel den enhed, der udsteder det elektroniske identifikationsmiddel, og proceduren for udstedelse af sådanne midler) og iværksatte tekniske kontroller. Der eksisterer forskellige tekniske definitioner på og beskrivelser af sikringsniveauer som følge af EU-finansierede pilotprojekter i stor skala, standardiseringer og internationale aktiviteter. Navnlig i pilotprojekterne i stor skala STORK og ISO 29115 henvises der blandt andet til niveauerne 2, 3 og 4, som der bør tages størst muligt hensyn til ved fastsættelsen af tekniske minimumskrav, standarder og procedurer for sikringsniveauerne »lav«, »betydelig« og »høj« som omhandlet i denne forordning, samtidig med at der sikres ensartet anvendelse af denne forordning, især hvad angår sikringsniveauet »høj« i forbindelse med godtgørelse af identitet ved udstedelsen af kvalificerede certifikater. De fastsatte krav bør være teknologineutrale. Det bør være muligt at opfylde de nødvendige sikkerhedskrav med forskellige teknologier.
(17)
Medlemsstaterne bør tilskynde den private sektor til frivilligt at anvende elektroniske identifikationsmidler, der er omfattet af en anmeldt ordning, til identifikationsformål, når dette er nødvendigt med henblik på onlinetjenester eller elektroniske transaktioner. Muligheden for at anvende sådanne elektroniske identifikationsmidler vil betyde, at den private sektor kan benytte sig af elektronisk identifikation og autentifikation, der allerede anvendes i vid udstrækning i mange medlemsstater, i det mindste til offentlige tjenester, og gøre det lettere for virksomhederne og borgerne at få adgang til deres onlinetjenester på tværs af grænserne. For at gøre det lettere for den private sektor at bruge sådanne elektroniske identifikationsmidler på tværs af grænserne bør den autentifikationsmulighed, som en medlemsstat udbyder, stilles til rådighed for modtagerparter i den private sektor, der er hjemmehørende uden for medlemsstatens område, på samme betingelser, som gælder for modtagerparter i den private sektor, der er hjemmehørende i medlemsstaten. Med hensyn til modtagerparter i den private sektor kan den anmeldende medlemsstat fastsætte betingelser for adgang til autentifikationsmidlerne. Disse adgangsbetingelser kan omfatte oplysninger om, at autentifikationsmidlerne i tilknytning til den anmeldte ordning ikke i øjeblikket er til rådighed for modtagerparter i den private sektor.
(18)
Denne forordning bør fastsætte det erstatningsansvar, der påhviler den anmeldende medlemsstat, den part, der udsteder det elektroniske identifikationsmiddel, og den part, der udfører autentifikationsproceduren, hvis de ikke opfylder de relevante forpligtelser i henhold til denne forordning. Denne forordning bør imidlertid anvendes i overensstemmelse med nationale regler om erstatningsansvar. Derfor berører den ikke de nationale regler, der handler om f.eks. definition af skadeserstatning eller relevante gældende procedureregler, herunder bevisbyrden.
(19)
Sikkerheden i ordninger for elektronisk identifikation er central i en pålidelig grænseoverskridende gensidig anerkendelse af elektroniske identifikationsmidler. I den forbindelse bør medlemsstaterne samarbejde om sikkerhed og interoperabilitet i ordningerne for elektronisk identifikation på EU-plan. Når det i ordningerne for elektronisk identifikation kræves, at modtagerparter skal anvende bestemt hardware eller software på nationalt plan, indebærer grænseoverskridende interoperabilitet, at disse medlemsstater ikke må pålægge modtagerparter, der er hjemmehørende uden for deres område, sådanne krav og dermed forbundne omkostninger. I så fald bør passende løsninger drøftes og udformes inden for interoperabilitetsrammen. Dog er tekniske krav, der hidrører fra de iboende specifikationer for nationale elektroniske identifikationsmidler, og som kan berøre indehaverne af sådanne elektroniske midler (f.eks. smartkort), uundgåelige.
(20)
Samarbejdet mellem medlemsstaterne bør lette den tekniske interoperabilitet mellem de anmeldte elektroniske identifikationsordninger med henblik på at bidrage til et højt niveau af tillid og sikkerhed, der står i et passende forhold til risikoen. Udveksling af information og bedste praksis mellem medlemsstaterne med henblik på gensidig anerkendelse af identifikationsordningerne bør fremme et sådant samarbejde.
(21)
Denne forordning bør også fastlægge en generel lovramme for brug af tillidstjenester. Der bør dog ikke indføres en generel pligt til at bruge dem eller til at oprette et adgangspunkt for alle eksisterende tillidstjenester. Den bør navnlig ikke omfatte levering af tjenester, der udelukkende anvendes i lukkede systemer mellem et defineret sæt deltagere, der ikke har virkning over for tredjemand. For eksempel bør systemer, der er oprettet i virksomheder eller offentlige forvaltninger til styring af interne procedurer ved brug af tillidstjenester, ikke være omfattet af kravene i denne forordning. Kun tillidstjenester, der udbydes til offentligheden, og som har virkning over for tredjemand, bør opfylde kravene i denne forordning. Denne forordning bør heller ikke omfatte aspekter i forbindelse med indgåelse og gyldighed af kontrakter eller andre retlige forpligtelser, som ifølge national ret eller EU-ret er undergivet formkrav. Den bør heller ikke berøre nationale formkrav til offentlige registre, navnlig handelsregistre og tingbøger.
(22)
For at bidrage til deres udbredte brug på tværs af grænserne bør det være muligt at bruge tillidstjenester som bevis i retssager i alle medlemsstater. Retsvirkningerne af tillidstjenester i medlemsstaterne defineres i national ret, medmindre andet er fastsat i denne forordning.
(23)
I det omfang denne forordning indfører en pligt til at anerkende en tillidstjeneste, kan denne tillidstjeneste kun afvises, hvis den, som pligten er rettet mod, af tekniske grunde, som vedkommende ikke har nogen umiddelbar indflydelse på, ikke kan læse eller kontrollere den. Pligten bør dog ikke i sig selv indebære, at et offentligt organ skal skaffe den hardware eller software, der er nødvendig for den tekniske læsbarhed af alle eksisterende tillidstjenester.
(24)
Medlemsstaterne kan i overensstemmelse med EU-retten opretholde eller indføre nationale bestemmelser vedrørende tillidstjenester, for så vidt disse tjenester ikke er fuldt harmoniseret ved denne forordning. Der er dog fri bevægelighed på det indre marked for tillidstjenester, der overholder bestemmelserne i denne forordning.
(25)
Det bør stå medlemsstaterne frit for at fastlægge andre typer tillidstjenester ud over dem, der indgår i den lukkede liste over tillidstjenester, der er omfattet af denne forordning, med henblik på at anerkende dem på nationalt plan som kvalificerede tillidstjenester.
(26)
I betragtning af den hurtige teknologiske udvikling bør denne forordning følge en fremgangsmåde, der er åben over for innovation.
(27)
Denne forordning bør være teknologineutral. De retsvirkninger, den giver, bør kunne opnås ved et hvilket som helst teknisk middel, forudsat at kravene i denne forordning er opfyldt.
(28)
For at styrke især de små og mellemstore virksomheders (SMV'er) og forbrugernes tillid til det indre marked og fremme brugen af tillidstjenester og -produkter bør begreberne kvalificerede tillidstjenester og kvalificeret tillidstjenesteudbyder indføres med henblik på at opstille krav og forpligtelser, der skal sikre et højt niveau af sikkerhed for alle de tillidstjenester og -produkter, der benyttes eller udbydes.
(29)
I overensstemmelse med forpligtelserne i De Forenede Nationers konvention om handicappedes rettigheder, der blev godkendt ved Rådets afgørelse 2010/48/EF (8), særlig artikel 9 i konventionen, bør handicappede have mulighed for at benytte tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, på lige fod med andre forbrugere. Derfor bør tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, så vidt muligt være tilgængelige for handicappede. Gennemførlighedsvurderingen bør bl.a. omfatte tekniske og økonomiske hensyn.
(30)
Medlemsstaterne bør udpege et eller flere tilsynsorganer til at udføre tilsynsvirksomhed i henhold til denne forordning. Medlemsstaterne bør også efter gensidig aftale med en anden medlemsstat kunne beslutte at udpege et tilsynsorgan på den anden medlemsstats område.
(31)
Tilsynsorganerne bør samarbejde med databeskyttelsesmyndighederne, f.eks. ved at underrette dem om resultaterne af revisioner af kvalificerede tillidstjenesteudbydere, når der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger. Underretningen bør navnlig omfatte sikkerhedsrelaterede hændelser og brud på persondatasikkerheden.
(32)
For at styrke brugernes tillid til det indre marked bør det påhvile alle tillidstjenesteudbydere at følge en god sikkerhedspraksis, som er afpasset efter de risici, der er forbundet med deres aktiviteter.
(33)
Bestemmelserne om brug af pseudonymer i certifikater bør ikke forhindre medlemsstaterne i at stille krav om identifikation af personer i henhold til EU-ret eller national ret.
(34)
Alle medlemsstater bør følge fælles væsentlige tilsynskrav, så der tilvejebringes et ensartet sikkerhedsniveau for kvalificerede tillidstjenester. For at bidrage til en ensartet anvendelse af disse krav i hele Unionen bør medlemsstaterne indføre sammenlignelige procedurer og udveksle information om deres tilsynsvirksomhed og om bedste praksis på området.
(35)
Alle tillidstjenesteudbydere bør være omfattet af kravene i denne forordning, navnlig hvad angår sikkerhed og erstatningsansvar for at sikre, at der udvises nødvendig omhu, gennemsigtighed og ansvarlighed i forbindelse med deres operationer og tjenester. Under hensyn til den type tjenester, som tillidstjenesteudbydere udbyder, er det imidlertid hensigtsmæssigt for disse kravs vedkommende at skelne mellem kvalificerede og ikkekvalificerede tillidstjenesteudbydere.
(36)
Indførelse af en tilsynsordning for alle tillidstjenesteudbydere skulle sikre lige vilkår for deres operationers og tjenesters sikkerhed og ansvarlighed og dermed bidrage til beskyttelsen af brugerne og til det indre markeds funktion. Ikkekvalificerede tillidstjenesteudbydere bør underkastes et let og reaktivt efterfølgende tilsyn under hensyn til arten af deres tjenester og operationer. Tilsynsorganet bør således ikke have en generel pligt til at føre tilsyn med ikkekvalificerede tjenesteudbydere. Tilsynsorganet bør kun skride til handling, når det bliver underrettet (f.eks. af den ikkekvalificerede tillidstjenesteudbyder selv, af et andet tilsynsorgan, ved en anmeldelse fra en bruger eller forretningspartner eller på grundlag af sin egen efterforskning) om, at en ikkekvalificeret tillidstjenesteudbyder ikke opfylder denne forordnings krav.
(37)
Denne forordning bør fastsætte alle tillidstjenesteudbyderes erstatningsansvar. Den indfører navnlig en erstatningsansvarsordning, hvorefter alle tillidstjenesteudbydere bør være erstatningsansvarlige for skader forvoldt mod en fysisk eller juridisk person på grund af manglende opfyldelse af denne forordnings forpligtelser. For at lette vurderingen af de økonomiske risici, som tillidstjenesteudbydere måske skal bære, eller som de bør forsikre sig imod, giver denne forordning tillidstjenesteudbydere mulighed for på visse betingelser at fastsætte begrænsninger i brugen af de tjenester, som de udbyder, og for at fralægge sig erstatningsansvaret for skader som følge af en brug af tjenesterne, der går videre end disse begrænsninger. Kunderne bør underrettes behørigt om begrænsningerne på forhånd. Disse begrænsninger bør være klare for en tredjepart, f.eks. ved oplysninger om begrænsningerne i vilkårene for den ydede tjeneste eller på andre tydelige måder. Med henblik på at gennemføre disse principper bør denne forordning anvendes i overensstemmelse med de nationale bestemmelser om erstatningsansvar. Denne forordning berører derfor ikke disse nationale bestemmelser om f.eks. definition af skadeserstatning, forsæt, uagtsomhed eller relevante gældende procedurebestemmelser.
(38)
Det er afgørende, at brud på sikkerheden og sikkerhedsrisikovurderinger indberettes, så de berørte parter får fyldestgørende oplysninger i tilfælde af brud på sikkerheden eller tab af integritet.
(39)
For at Kommissionen og medlemsstaterne kan vurdere effektiviteten af den ordning for indberetning af brud på sikkerheden, der indføres ved denne forordning, bør tilsynsorganerne anmodes om at forelægge sammenfattende oplysninger for Kommissionen og Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA).
(40)
For at Kommissionen og medlemsstaterne kan vurdere effektiviteten af den forbedrede tilsynsordning, der indføres ved denne forordning, bør tilsynsorganerne anmodes om at aflægge rapport om deres aktiviteter. Dette vil fremme udvekslingen af god praksis mellem tilsynsorganerne og lette kontrollen af, at de væsentlige tilsynskrav gennemføres ensartet og effektivt i alle medlemsstater.
(41)
For at garantere kvalificerede tillidstjenesters bæredygtighed og holdbarhed og styrke brugernes tillid til disse tjenesters kontinuitet bør tilsynsorganerne kontrollere, om der findes bestemmelser om planer for virksomhedsafbrydelse, og om de anvendes korrekt, i tilfælde hvor kvalificerede tillidstjenesteudbydere ophører med deres virksomhed.
(42)
For at lette tilsynet med kvalificerede tillidstjenesteudbydere, for eksempel når en udbyder udbyder tjenester på en anden medlemsstats område og ikke er underkastet tilsyn der, eller når en udbyders computere befinder sig i en anden medlemsstat end den, hvor udbyderen er hjemmehørende, bør der indføres en ordning for gensidig bistand mellem tilsynsorganerne i medlemsstaterne.
(43)
For at sikre, at kvalificerede tillidstjenesteudbydere og de tjenester, de udbyder, opfylder kravene i denne forordning, bør et overensstemmelsesvurderingsorgan foretage en overensstemmelsesvurdering, og de kvalificerede tillidstjenesteudbydere bør forelægge tilsynsorganet de overensstemmelsesvurderingsrapporter, der herefter udarbejdes. Når tilsynsorganet kræver, at en kvalificeret tillidstjenesteudbyder forelægger en ad hoc-overensstemmelsesvurderingsrapport, bør tilsynsorganet især overholde princippet om god forvaltningspraksis, herunder pligten til at begrunde sine beslutninger, og proportionalitetsprincippet. Derfor bør tilsynsorganet behørigt begrunde sin beslutning om at kræve en ad hoc-overensstemmelsesvurdering.
(44)
Denne forordning har til formål at sikre en sammenhængende ramme med henblik på at opnå et højt sikkerheds- og retssikkerhedsniveau i tillidstjenester. Når Kommissionen behandler overensstemmelsesvurderingen af produkter og tjenester, bør den derfor, når det er hensigtsmæssigt, søge synergier med gældende relevante europæiske og internationale ordninger såsom Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 (9), som fastlægger kravene til akkreditering af overensstemmelsesvurderingsorganer og markedsovervågning af produkter.
(45)
For at tillade en effektiv iværksættelsesproces, der bør føre til, at kvalificerede tillidstjenesteudbydere og deres kvalificerede tillidstjenester optages på positivlister, bør der tilskyndes til indledende kontakter mellem eventuelle fremtidige kvalificerede tillidstjenesteudbydere og de kompetente tilsynsorganer med det formål at fremme den nødvendige omhu, der er forudsætningen for levering af kvalificerede tillidstjenester.
(46)
Positivlister er afgørende elementer for at opbygge tillid blandt markedsaktørerne, da de fastslår tjenesteudbyderens status som kvalificeret udbyder på tidspunktet for tilsyn.
(47)
Tillid til og bekvemmelighed i forbindelse med onlinetjenester er afgørende elementer for brugerne, så de kan høste det fulde udbytte og bevidst benytte elektroniske tjenester. Med henblik herpå bør der indføres et EU-tillidsmærke for at udpege de kvalificerede tillidstjenester, som kvalificerede tillidstjenesteudbydere udbyder. Et sådant EU-tillidsmærke for kvalificerede tillidstjenester vil klart skelne mellem kvalificerede tillidstjenester og andre tillidstjenester og således bidrage til gennemsigtighed på markedet. De kvalificerede tillidstjenesteudbyderes anvendelse af et EU-tillidsmærke bør være frivillig og bør ikke medføre andre krav end dem, der allerede er fastsat i denne forordning.
(48)
Et højt sikkerhedsniveau er nødvendigt for at sikre gensidig anerkendelse af elektroniske signaturer, men i særlige tilfælde, f.eks. i forbindelse med Kommissionens beslutning 2009/767/EF (10), bør der også accepteres elektroniske signaturer med et lavere sikringsniveau.
(49)
Denne forordning bør fastsætte princippet om, at en elektronisk signatur ikke må nægtes retsvirkning, alene af den grund at den er i elektronisk form, eller at den ikke opfylder alle kravene til en kvalificeret elektronisk signatur. Imidlertid fastsættes elektroniske signaturers retsvirkning i national ret, bortset fra kravene i denne forordning om, at en kvalificeret elektronisk signatur skal have samme retsvirkning som en håndskreven underskrift.
(50)
Da de kompetente myndigheder i medlemsstaterne i øjeblikket benytter forskellige formater for avancerede elektroniske signaturer til at underskrive deres dokumenter elektronisk, er det nødvendigt at sørge for, at medlemsstaterne teknisk kan understøtte i det mindste et vist antal formater for avancerede elektroniske signaturer, når de modtager dokumenter, der er underskrevet elektronisk. Tilsvarende er det nødvendigt at sørge for, at de kompetente myndigheder i medlemsstaterne, når de anvender avancerede elektroniske segl, understøtter i det mindste et vist antal formater for avancerede elektroniske segl.
(51)
Det bør være muligt for underskriveren at overdrage et kvalificeret elektronisk signaturgenereringssystem til tredjemands varetægt, forudsat at der anvendes passende mekanismer og procedurer til at sikre, at underskriveren bevarer fuld kontrol over brugen af sine elektroniske signaturgenereringsdata, og at brugen af systemet opfylder kravene til kvalificerede elektroniske signaturer.
(52)
Genereringen af elektroniske signaturer på afstand, hvor miljøet til elektronisk signaturgenerering forvaltes af en tillidstjenesteudbyder på vegne af underskriveren, forventes at udvikle sig på grund af de mange økonomiske fordele forbundet hermed. Med henblik på at sikre, at sådanne elektroniske signaturer opnår samme juridiske anerkendelse som elektroniske signaturer, der genereres ved hjælp af et miljø, der fuldt ud forvaltes af brugeren, skal de udbydere, der udbyder elektroniske signaturtjenester på afstand, dog anvende specifikke ledelsesmæssige og administrative sikkerhedsprocedurer og benytte pålidelige systemer og produkter, herunder sikre elektroniske kommunikationskanaler, med henblik på at sikre, at miljøet for elektronisk signaturgenerering er pålideligt, og at det udelukkende anvendes under underskriverens enekontrol. Hvis en kvalificeret elektronisk signatur er blevet genereret ved hjælp af et system til generering af elektroniske signaturer på afstand, bør de gældende krav til de kvalificerede tillidstjenesteudbydere i denne forordning finde anvendelse.
(53)
Suspensionen af kvalificerede certifikater er en etableret praksis blandt tillidstjenesteudbydere i en række medlemsstater, som adskiller sig fra spærring, og som medfører midlertidigt tab af et certifikats gyldighed. Af hensyn til retssikkerheden kræves det, at et certifikats suspensionsstatus altid angives klart. Derfor bør tillidstjenesteudbydere have ansvaret for klart at angive certifikatets status og, såfremt det er suspenderet, angive den præcise suspensionsperiode. Denne forordning bør ikke pålægge tillidstjenesteudbyderne eller medlemsstaterne at anvende suspension, men fastlægge gennemsigtighedsbestemmelser, når og hvor en sådan praksis findes.
(54)
Kvalificerede certifikaters grænseoverskridende interoperabilitet og anerkendelse er en forudsætning for kvalificerede elektroniske signaturers grænseoverskridende anerkendelse. Kvalificerede certifikater bør derfor ikke underlægges ufravigelige krav, der går videre end kravene i denne forordning. På nationalt plan bør det dog være tilladt at medtage særlige kendetegn såsom entydige identifikatorer i kvalificerede certifikater, hvis de særlige kendetegn ikke hindrer kvalificerede certifikaters og elektroniske signaturers grænseoverskridende interoperabilitet og anerkendelse.
(55)
IT-sikkerhedscertificering baseret på internationale standarder som f.eks. ISO 15408 og dertil knyttede evalueringsmetoder og gensidige anerkendelsesordninger er et vigtigt redskab til at kontrollere sikkerheden af kvalificerede elektroniske signaturgenereringssystemer og bør fremmes. Innovative løsninger og tjenester som f.eks. mobil signatur, cloudsignatur benytter imidlertid tekniske og organisatoriske løsninger for kvalificerede elektroniske signaturgenereringssystemer, hvortil der eventuelt endnu ikke findes tilgængelige sikkerhedsstandarder, eller for hvilke den første IT-sikkerhedscertificering ikke er afsluttet. Kun i de tilfælde, hvor sådanne sikkerhedsstandarder ikke er tilgængelige, eller hvor den første IT-sikkerhedscertificering ikke er afsluttet, vil sikkerhedsniveauet for sådanne kvalificerede elektroniske signaturgenereringssystemer kunne evalueres under anvendelse af alternative processer. Disse processer bør være sammenlignelige med standarder for IT-sikkerhedscertificering, i det omfang deres sikkerhedsniveauer er ens. En fagfællebedømmelse (peer review) vil kunne lette disse processer.
(56)
Denne forordning bør indeholde krav til kvalificerede elektroniske signaturgenereringssystemer, som skal sikre, at avancerede elektroniske signaturer fungerer hensigtsmæssigt. Denne forordning bør ikke omfatte det samlede omgivende miljø, som systemerne opererer i. Certificeringen af kvalificerede signaturgenereringssystemer bør derfor begrænses til hardware og software, der anvendes til at forvalte og beskytte de signaturgenereringsdata, der genereres, lagres eller behandles i signaturgenereringssystemet. Som anført i de relevante standarder bør certificeringspligten ikke omfatte applikationer til generering af signaturer.
(57)
For at sikre retssikkerhed for så vidt angår signaturens gyldighed er det nødvendigt at specificere, hvilke elementer af en kvalificeret elektronisk signatur der bør vurderes af den modtagerpart, der foretager valideringen. Desuden bør fastlæggelsen af krav til kvalificerede tillidstjenesteudbydere, der kan udbyde en kvalificeret valideringstjeneste til modtagerparter, som ikke ønsker eller er i stand til selv at validere kvalificerede elektroniske signaturer, tilskynde den private og den offentlige sektor til at investere i sådanne tjenester. Tilsammen burde disse elementer gøre det nemt og bekvemt for alle parter at validere kvalificerede elektroniske signaturer på EU-plan.
(58)
Når en transaktion kræver en juridisk persons kvalificerede elektroniske segl, bør en kvalificeret elektronisk signatur tilhørende den juridiske persons bemyndigede repræsentant, også accepteres.
(59)
Et elektronisk segl bør tjene som bevis for, at et elektronisk dokument er udstedt af en juridisk person, og give sikkerhed for dokumentets oprindelse og integritet.
(60)
Tillidstjenesteudbydere, der udsteder kvalificerede certifikater for elektroniske segl, bør anvende de nødvendige foranstaltninger til at fastslå identiteten på den fysiske person, der repræsenterer den juridiske person, som det kvalificerede certifikat for elektronisk segl udstedes til, når denne identifikation er nødvendig på nationalt plan som led i retlig eller administrativ forfølgning.
(61)
Denne forordning bør sikre langtidsopbevaring af information, for at sikre at elektroniske signaturer og elektroniske segl har retsgyldighed over et længere tidsrum, og garantere, at de kan valideres uanset fremtidige teknologiske ændringer.
(62)
Med henblik på at garantere kvalificerede elektroniske tidsstemplers sikkerhed bør denne forordning kræve, at der anvendes et avanceret elektronisk segl eller en avanceret elektronisk signatur eller andre tilsvarende metoder. Det kan forventes, at innovation kan føre til nye teknologier, som kan sikre et tilsvarende sikkerhedsniveau for tidsstempler. Når der anvendes en anden metode end avancerede elektroniske segl eller avancerede elektroniske signaturer, bør det påhvile den kvalificerede tillidstjenesteudbyder i overensstemmelsesvurderingsrapporten at godtgøre, at denne metode giver et tilsvarende sikkerhedsniveau og opfylder forpligtelserne i denne forordning.
(63)
Elektroniske dokumenter er vigtige for den videre udvikling af grænseoverskridende elektroniske transaktioner på det indre marked. Denne forordning bør fastsætte princippet om, at et elektronisk dokument ikke må nægtes retsvirkning af den grund, at det er i elektronisk form, for at sikre, at en elektronisk transaktion ikke afvises, alene af den grund at et dokument foreligger i elektronisk form.
(64)
Når Kommissionen behandler formaterne for avancerede elektroniske signaturer og segl, bør den tage udgangspunkt i eksisterende praksis, standarder og lovgivning, især Kommissionens afgørelse 2011/130/EU (11).
(65)
Ud over at kunne bruges til autentifikation af dokumenter, der er udstedt af en juridisk person, kan elektroniske segl bruges til at autentificere alle den juridiske persons digitale aktiver, som f.eks. softwarekode eller servere.
(66)
Det er vigtigt at fastlægge en retlig ramme for at lette grænseoverskridende anerkendelse mellem eksisterende nationale retsregler vedrørende elektroniske registrerede leveringstjenester. Denne ramme vil også kunne åbne nye markedsmuligheder for tillidstjenesteudbydere i Unionen med hensyn til at udbyde nye fælleseuropæiske tjenester for elektroniske registrerede leveringstjenester.
(67)
Webstedsautentifikationstjenester giver besøgende på et websted sikkerhed for, at der står en ægte og legitim enhed bag webstedet. Disse tjenester bidrager til at opbygge tilliden i forbindelse med onlineforretninger, da brugerne vil have tillid til et websted, som er autentificeret. Ydelse og brug af webstedsautentifikationstjenester er helt frivillig. For at webstedsautentifikation kan blive et middel til at fremme tilliden ved at give brugerne en bedre oplevelse og stimulere vækst på det indre marked bør denne forordning dog fastlægge minimumsforpligtelser for tjenesteudbyderne og deres tjenester med hensyn til sikkerhed og erstatningsansvar. Med henblik herpå er der taget hensyn til resultaterne af igangværende industriledede initiativer, f.eks. Certification Authorities/Browser Forum - CA/Browser Forum. Desuden bør denne forordning ikke hindre brugen af andre midler eller metoder til autentifikation af et websted, der ikke er omfattet af denne forordning, og bør heller ikke forhindre ydere af webstedsautentifikationstjenester i tredjelande i at yde deres tjenester til kunder i Unionen. En tjenesteudbyder i et tredjeland bør dog kun kunne få sine webstedsautentifikationstjenester anerkendt som kvalificerede i overensstemmelse med denne forordning, hvis der er indgået en international aftale mellem Unionen og det land, hvor tjenesteudbyderen er hjemmehørende.
(68)
Begrebet »juridiske personer« i henhold til bestemmelserne i traktaten om Den Europæiske Unions funktionsmåde (TEUF) om etablering giver operatørerne mulighed for frit at vælge den retlige form, de måtte finde passende for udøvelsen af deres virksomhed. Begrebet »juridiske personer« i henhold til TEUF omfatter derfor alle enheder, der er oprettet i henhold til eller reguleret af en medlemsstats ret, uanset deres retlige form.
(69)
EU-institutionerne, -organerne, -kontorerne og -agenturerne opfordres til at anerkende elektronisk identifikation og tillidstjenester dækket af denne forordning med henblik på administrativt samarbejde, der især udnytter eksisterende god praksis og resultaterne af igangværende projekter på de områder, der er dækket af denne forordning.
(70)
For at supplere visse detaljerede tekniske aspekter af denne forordning på fleksibel og hurtig vis, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF, for så vidt angår de kriterier, som de organer, der er ansvarlige for certificering af kvalificerede elektroniske signaturgenereringssystemer, skal opfylde. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen bør i forbindelse med forberedelsen og udarbejdelsen af delegerede retsakter sørge for samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og Rådet.
(71)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser, navnlig beføjelse til at opstille referencenumre på standarder, hvis anvendelse ville skabe formodning om overensstemmelse med bestemte krav, der er fastlagt i denne forordning. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (12).
(72)
Når Kommissionen vedtager delegerede retsakter eller gennemførelsesretsakter, bør den tage behørigt hensyn til de standarder og tekniske specifikationer, som europæiske og internationale standardiseringsorganisationer og organer har udarbejdet, navnlig Den Europæiske Standardiseringsorganisation (CEN), Det Europæiske Institut for Telestandarder (ETSI), Den Internationale Standardiseringsorganisation (ISO) og Den Internationale Telekommunikationsunion (ITU), for at sikre et højt sikkerheds- og interoperabilitetsniveau for elektroniske identifikations- og tillidstjenester.
(73)
Af hensyn til retssikkerheden og klarheden bør direktiv 1999/93/EF ophæves.
(74)
Af hensyn til retssikkerheden for de markedsoperatører, der allerede benytter kvalificerede certifikater, som er udstedt til fysiske personer i overensstemmelse med direktiv 1999/93/EF, er det nødvendigt at foreskrive en tilstrækkelig overgangsperiode. På samme måde bør der fastlægges overgangsforanstaltninger for sikre signaturgenereringssystemer, hvis opfyldelse af kravene er fastslået i overensstemmelse med direktiv 1999/93/EF, og for certificeringstjenesteudbydere, der udsteder kvalificerede certifikater inden den 1. juli 2016. Endelig er det også nødvendigt at give Kommissionen beføjelser til at vedtage gennemførelsesretsakter og delegerede retsakter før udløbet af overgangsperioden.
(75)
Anvendelsesdatoerne i denne forordning berører ikke eksisterende forpligtelser, som medlemsstaterne allerede har indgået i henhold til EU-retten, navnlig i henhold til direktiv 2006/123/EF.
(76)
Målene for denne forordning kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens omfang bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(77)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (13) og har afgivet en udtalelse den 27. september 2012 (14) -
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand
Med henblik på at sikre et velfungerende indre marked, samtidig med at der sigtes mod et tilstrækkeligt sikkerhedsniveau for elektroniske identifikationsmidler og tillidstjenester, er formålet med denne forordning at:
a)
fastlægge betingelserne for, hvordan medlemsstaterne anerkender elektroniske identifikationsmidler for fysiske og juridiske personer, der er omfattet af en anmeldt elektronisk identifikationsordning i en anden medlemsstat
b)
fastlægge regler for tillidstjenester, navnlig for elektroniske transaktioner, og
c)
opstille et retsgrundlag for elektroniske signaturer, elektroniske segl, elektroniske tidsstempler, elektroniske dokumenter, elektroniske registrerede leveringstjenester og certificeringstjenester for webstedsautentifikation.
Artikel 2
Anvendelsesområde
1. Denne forordning finder anvendelse på elektroniske identifikationsordninger, der er blevet anmeldt af en medlemsstat, samt på tillidstjenesteudbydere, der er hjemmehørende i Unionen.
2. Denne forordning finder ikke anvendelse på levering af tillidstjenester, der udelukkende anvendes i lukkede systemer i henhold til national ret eller aftaler mellem et defineret sæt deltagere.
3. Denne forordning påvirker ikke national ret eller EU-ret vedrørende kontrakters indgåelse og gyldighed eller andre retlige eller proceduremæssige forpligtelser, der vedrører formkrav.
Artikel 3
Definitioner
I denne forordning forstås ved:
1) »elektronisk identifikation«: det at bruge personidentifikationsdata i elektronisk form, der entydigt repræsenterer enten en fysisk eller juridisk person eller en fysisk person, der repræsenterer en juridisk person
2) »elektronisk identifikationsmiddel«: en materiel og/eller immateriel enhed, der indeholder personidentifikationsdata, og som bruges til autentifikation i forbindelse med en onlinetjeneste
3) »personidentifikationsdata«: et sæt data, der gør det muligt at fastslå identiteten på en fysisk eller juridisk person eller en fysisk person, der repræsenterer en juridisk person
4) »elektronisk identifikationsordning«: et system til elektronisk identifikation, under hvilket der udstedes elektroniske identifikationsmidler til fysiske eller juridiske eller fysiske personer, der repræsenterer juridiske personer
5) »autentifikation«: en elektronisk proces, der muliggør bekræftelse af den elektroniske identifikation af en fysisk eller juridisk person eller oprindelsen og integriteten af data i elektronisk form
6) »modtagerpart«: en fysisk eller juridisk person, der er afhængig af en elektronisk identifikations- eller tillidstjeneste
7) »offentlig myndighed«: en statslig, regional eller lokal myndighed, et offentligretligt organ eller en sammenslutning af en eller flere af disse myndigheder eller et eller flere af disse offentligretlige organer eller en privat enhed med mandat fra mindst en af disse myndigheder, organer eller sammenslutninger til at udbyde offentlige tjenester, når den optræder i henhold til et sådant mandat
8) »offentligretligt organ«: et organ som defineret i artikel 2, stk. 1, nr. 4), i Europa-Parlamentets og Rådets direktiv 2014/24/EU (15)
9) »underskriver«: en fysisk person, der genererer en elektronisk signatur
10) »elektronisk signatur«: data i elektronisk form, der er vedhæftet eller logisk tilknyttet andre data i elektronisk form, og som anvendes af underskriveren til at skrive under med
11) »avanceret elektronisk signatur«: en elektronisk signatur, der opfylder kravene i artikel 26
12) »kvalificeret elektronisk signatur«: en avanceret elektronisk signatur, der er genereret af et kvalificeret elektronisk signaturgenereringssystem og baseret på et kvalificeret certifikat for elektroniske signaturer
13) »elektroniske signaturgenereringsdata«: entydige data, som anvendes af underskriveren til at generere en elektronisk signatur
14) »certifikat for elektronisk signatur«: en elektronisk attestering, som knytter elektroniske signaturvalideringsdata til en fysisk person og mindst bekræfter denne persons navn eller pseudonym
15) »kvalificeret certifikat for elektronisk signatur«: et certifikat for elektroniske signaturer, som er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag I
16) »tillidstjeneste«: en elektronisk tjeneste, der normalt udføres mod betaling, og som består af:
a)
generering, kontrol og validering af elektroniske signaturer, elektroniske segl eller elektroniske tidsstempler, elektroniske registrerede leveringstjenester og certifikater relateret til disse tjenester, eller
b)
generering, kontrol og validering af certifikater for webstedsautentifikation, eller
c)
bevaring af elektroniske signaturer, segl eller certifikater relateret til disse tjenester
17) »kvalificeret tillidstjeneste«: en tillidstjeneste, der opfylder de krav, der er fastsat i denne forordning
18) »overensstemmelsesvurderingsorgan«: et organ som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008, der er akkrediteret i overensstemmelse med nævnte forordning med kompetence til at udføre overensstemmelsesvurderinger af en kvalificeret tillidstjenesteudbyder og de kvalificerede tillidstjenester, den udbyder
19) »tillidstjenesteudbyder«: en fysisk eller juridisk person, der udbyder en eller flere tillidstjenester, som enten en kvalificeret eller ikkekvalificeret tillidstjenesteudbyder
20) »kvalificeret tillidstjenesteudbyder«: en tillidstjenesteudbyder, der udbyder en eller flere kvalificerede tillidstjenester og har fået tildelt status som kvalificeret tillidstjenesteudbyder af tilsynsorganet
21) »produkt«: hardware eller software eller relevante hardware- eller softwarekomponenter, som er beregnet til at blive brugt til levering af tillidstjenester
22) »elektronisk signaturgenereringssystem«: konfigureret software eller hardware, der bruges til at generere en elektronisk signatur
23) »kvalificeret elektronisk signaturgenereringssystem«: et elektronisk signaturgenereringssystem, der opfylder kravene i bilag II
24) »forseglende part«: en juridisk person, der genererer et elektronisk segl
25) »elektronisk segl«: data i elektronisk form, der er vedhæftet eller logisk tilknyttet andre data i elektronisk form, og som giver sikkerhed for disse tilknyttede datas oprindelse og integritet
26) »avanceret elektronisk segl«: et elektronisk segl, der opfylder kravene fastsat i artikel 36
27) »kvalificeret elektronisk segl«: et avanceret elektronisk segl, der er genereret af et kvalificeret elektronisk seglgenereringssystem, og som er baseret på et kvalificeret certifikat for elektroniske segl
28) »elektroniske seglgenereringsdata«: entydige data, som anvendes af den forseglende part til at generere et elektronisk segl
29) »certifikat for elektronisk segl«: en elektronisk attestering, som knytter elektroniske seglvalideringsdata til en fysisk person og bekræfter denne persons navn
30) »kvalificeret certifikat for elektronisk segl«: et certifikat for et elektronisk segl, som er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag III
31) »elektronisk seglgenereringssystem«: konfigureret software eller hardware, der bruges til at generere et elektronisk segl
32) »kvalificeret elektronisk seglgenereringssystem«: et elektronisk seglgenereringssystem, der med de fornødne ændringer opfylder kravene i bilag II
33) »elektronisk tidsstempel«: data i elektronisk form, der forbinder andre data i elektronisk form med et bestemt tidspunkt og udgør bevis for, at disse andre data eksisterede på det pågældende tidspunkt
34) »kvalificeret elektronisk tidsstempel«: et elektronisk tidsstempel, der opfylder kravene i artikel 42
35) »elektronisk dokument«: al form for indhold, der er lagret i elektronisk form, især som tekst eller lyd eller i visuel eller audiovisuel form
36) »elektronisk registreret leveringstjeneste«: en tjeneste, der gør det muligt at sende data mellem tredjeparter ad elektronisk vej og dokumenterer behandlingen af de sendte data, herunder leverer bevis for afsendelse og modtagelse af dataene, og som beskytter de sendte data mod tab, tyveri, beskadigelse og uautoriseret ændring
37) »kvalificeret elektronisk registreret leveringstjeneste«: en elektronisk registreret leveringstjeneste, der opfylder kravene i artikel 44
38) »certifikat for webstedsautentifikation«: en attestering, der gør det muligt at autentificere et websted og knytter webstedet til den fysiske eller juridiske person, som certifikatet er udstedt til
39) »kvalificeret certifikat for webstedsautentifikation«: et certifikat for webstedsautentifikation, der er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag IV
40) »valideringsdata«: data, der bruges til at validere en elektronisk signatur eller et elektronisk segl
41) »validering«: en fremgangsmåde til at kontrollere og bekræfte gyldigheden af en elektronisk signatur eller et elektronisk segl.
Artikel 4
Principper vedrørende det indre marked
1. Tillidstjenesteudbydere har ret til uden restriktioner at udbyde deres tjenester i en anden medlemsstat end den, hvor de er hjemmehørende, når tjenesterne udbydes med et formål, der er omfattet af denne forordning.
2. Der er fri bevægelighed på det indre marked for produkter og tillidstjenester, der overholder bestemmelserne i denne forordning.
Artikel 5
Databehandling og databeskyttelse
1. Behandling af personoplysninger skal udføres i overensstemmelse med direktiv 95/46/EF.
2. Uden at den retsvirkning, der tillægges pseudonymer i henhold til den nationale ret dermed foregribes, må anvendelsen af pseudonymer i elektroniske transaktioner ikke forbydes.
KAPITEL II
ELEKTRONISK IDENTIFIKATION
Artikel 6
Gensidig anerkendelse
1. Når der i henhold til national ret eller administrativ praksis kræves elektronisk identifikation ved hjælp af et elektronisk identifikationsmiddel og autentifikation som forudsætning for adgang til en onlinetjeneste, der udbydes af en offentlig myndighed i en medlemsstat, skal det elektroniske identifikationsmiddel, der er udstedt i en anden medlemsstat, anerkendes i den første medlemsstat med henblik på grænseoverskridende autentifikation af denne onlinetjeneste, forudsat at følgende betingelser er opfyldt:
a)
det elektroniske identifikationsmiddel er udstedt under en elektronisk identifikationsordning, der er opført på den liste, som Kommissionen offentliggør i henhold til artikel 9
b)
sikringsniveauet for det elektroniske identifikationsmiddel svarer til et sikringsniveau, der modsvarer eller er højere end det sikringsniveau, der kræves af den relevante offentlige myndighed for at få adgang til den pågældende onlinetjeneste i den første medlemsstat, forudsat at sikringsniveauet for det pågældende elektroniske identifikationsmiddel svarer til sikringsniveauet »betydelig« eller »høj«
c)
den relevante offentlige myndighed anvender sikringsniveauet »betydelig« eller »høj« i forbindelse med adgang til den pågældende onlinetjeneste.
En sådan anerkendelse skal finde sted senest 12 måneder efter, at Kommissionen offentliggør den i første afsnit, litra a), omhandlede liste.
2. Et elektronisk identifikationsmiddel, der er udstedt under en elektronisk identifikationsordning, som er opført på den liste, som Kommissionen offentliggør i henhold til artikel 9, og som svarer til sikringsniveauet »lav«, kan anerkendes af offentlige myndigheder med henblik på grænseoverskridende autentifikation af disse myndigheders tjenester, der udbydes online.
Artikel 7
Antagelse af anmeldelser af elektroniske identifikationsordninger
En elektronisk identifikationsordning kan anmeldes i henhold til artikel 9, stk. 1, hvis alle nedenstående betingelser er opfyldt:
a)
det elektroniske identifikationsmiddel under den elektroniske identifikationsordning er udstedt:
i)
af den anmeldende medlemsstat
ii)
i henhold til et mandat fra den anmeldende medlemsstat, eller
iii)
uafhængigt af den anmeldende medlemsstat og anerkendt af den pågældende medlemsstat
b)
det elektroniske identifikationsmiddel under den elektroniske identifikationsordning kan bruges til at få adgang til mindst en tjeneste, som udbydes af en offentlig myndighed, og som kræver elektronisk identifikation i den anmeldende medlemsstat
c)
den elektroniske identifikationsordning og de elektroniske identifikationsmidler, der er udstedt i medfør heraf, opfylder kravene i mindst ét af de sikringsniveauer, der er fastsat i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3
d)
den anmeldende medlemsstat sikrer, at de personidentifikationsdata, der entydigt repræsenterer den pågældende person, i overensstemmelse med de tekniske specifikationer, standarderne og procedurerne for det relevante sikringsniveau, der er anført i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3, er knyttet til den i artikel 3, nr. 1), omhandlede fysisk eller juridisk person på tidspunktet for udstedelsen af de elektroniske identifikationsmidler under denne ordning
e)
den part, der udsteder det elektroniske identifikationsmiddel under denne ordning, sikrer, at det elektroniske identifikationsmiddel, der knyttes til den person, der er omhandlet i litra d) i nærværende artikel, er i overensstemmelse med de tekniske specifikationer, standarderne og procedurerne for det relevante sikringsniveau, der er fastsat i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3
f)
den anmeldende medlemsstat sikrer, at der er onlineadgang til autentifikation, så enhver modtagerpart, der er hjemmehørende på en anden medlemsstats område, kan bekræfte de personidentifikationsdata, der er modtaget i elektronisk form.
For modtagerparter, der ikke er offentlige myndigheder, kan den anmeldende medlemsstat fastsætte betingelser for adgang til den pågældende autentifikation. Den grænseoverskridende autentifikation skal foretages gratis, når den gennemføres i forbindelse med en onlinetjeneste, der udbydes af en offentlig myndighed.
Medlemsstaterne må ikke pålægge modtagerparter, som vil gennemføre en sådan autentifikation, urimelige tekniske krav, når sådanne krav forhindrer eller i væsentligt omfang hindrer interoperabilitet mellem de anmeldte elektroniske identifikationsordninger
g)
senest seks måneder forud for anmeldelsen i henhold til artikel 9, stk. 1, fremlægger den anmeldende medlemsstat på baggrund af forpligtelsen i artikel 12, stk. 5, en beskrivelse af ordningen for de andre medlemsstater i overensstemmelse med de proceduremæssige ordninger, der er fastsat ved de i artikel 12, stk. 7, omhandlede gennemførelsesretsakter
h)
den elektroniske identifikationsordning opfylder de krav, der er fastsat i den i artikel 12, stk. 8, omhandlede gennemførelsesretsakt.
Artikel 8
Sikringsniveauer for elektroniske identifikationsordninger
1. En elektronisk identifikationsordning, der er anmeldt i henhold til artikel 9, stk. 1, skal angive sikringsniveauerne »lav«, »betydelig« og/eller »høj« for de elektroniske identifikationsmidler, der er udstedt under den pågældende ordning.
2. Sikringsniveauerne »lav«, »betydelig« og »høj« skal opfylde følgende kriterier:
a)
sikringsniveauet »lav« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der udviser en begrænset grad af tillid til en persons påståede identitet, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten
b)
sikringsniveauet »betydelig« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der udviser en middelstor grad af tillid til en persons påståede identitet, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten
c)
sikringsniveauet »høj« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der giver en højere grad af tillid til en persons påståede identitet end elektroniske identifikationsmidler med sikringsniveauet »betydelig«, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten.
3. Senest den 18. september 2015 fastsætter Kommissionen, idet der tages hensyn til relevante internationale standarder og med forbehold af stk. 2, ved hjælp af gennemførelsesretsakter de tekniske minimumsspecifikationer, minimumsstandarder, og procedurer, der henvises til i forbindelse med fastsættelse af sikringsniveauerne »lav«, »betydelig« og »høj« for de elektroniske identifikationsmidler, jf. stk. 1.
Disse tekniske minimumsspecifikationer, minimumsstandarder, og procedurer udarbejdes på grundlag af pålideligheden og kvaliteten af følgende elementer:
a)
proceduren for godtgørelse og kontrol af identiteten på fysiske og juridiske personer, der ansøger om udstedelse af et elektronisk identifikationsmiddel
b)
proceduren for udstedelse af det pågældende elektroniske identifikationsmiddel
c)
autentifikationsmekanismen, hvorigennem den fysiske eller den juridiske person anvender det elektroniske identifikationsmiddel til at bekræfte vedkommendes identitet over for en modtagerpart
d)
enheden, der udsteder det elektroniske identifikationsmiddel
e)
ethvert andet organ, der er involveret i ansøgningsproceduren for udstedelse af det elektroniske identifikationsmiddel
f)
de tekniske specifikationer og sikkerhedsspecifikationerne for det udstedte elektroniske identifikationsmiddel.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 9
Anmeldelse
1. Den anmeldende medlemsstat meddeler Kommissionen nedenstående oplysninger og hurtigst muligt eventuelle senere ændringer heraf:
a)
en beskrivelse af den elektroniske identifikationsordning, herunder dens sikringsniveau og udstederen eller udstederne af elektroniske identifikationsmidler under ordningen
b)
den gældende tilsynsordning og oplysninger om erstatningsansvarsordningen med hensyn til følgende:
i)
den part, der udsteder det elektroniske identifikationsmiddel, og
ii)
den part, der udfører autentifikationsproceduren
c)
oplysning om, hvilken eller hvilke myndigheder der er ansvarlige for den elektroniske identifikationsordning
d)
oplysning om den eller de enheder, der forvalter registreringen af de entydige personidentifikationsdata
e)
en beskrivelse af, hvordan kravene i gennemførelsesretsakterne, jf. artikel 12, stk. 8, opfyldes
f)
en beskrivelse af den autentifikation, der er omhandlet i artikel 7, litra f)
g)
nærmere bestemmelser om suspension eller spærring af den anmeldte elektroniske identifikationsordning eller autentifikationen eller de kompromitterede dele heraf.
2. Et år fra anvendelsesdatoen for gennemførelsesretsakterne, jf. artikel 8, stk. 3, og artikel 12, stk. 8, offentliggør Kommissionen i Den Europæiske Unions Tidende en liste over de elektroniske identifikationsordninger, der er anmeldt i henhold til stk. 1 i nærværende artikel, med grundlæggende oplysninger om ordningerne.
3. Modtager Kommissionen en anmeldelse efter udløbet af den periode, der er fastsat i stk. 2, offentliggør den i Den Europæiske Unions Tidende ændringerne af den i stk. 2 omhandlede liste inden for to måneder fra datoen for modtagelsen af denne anmeldelse.
4. En medlemsstat kan anmode Kommissionen om at fjerne en elektronisk identifikationsordning, der er anmeldt af den pågældende medlemsstat, fra den i stk. 2 omhandlede liste. Kommissionen offentliggør i Den Europæiske Unions Tidende de tilsvarende ændringer til listen inden for en måned fra datoen for medlemsstatens anmodning.
5. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge vilkår, formater og procedurer for anmeldelser i medfør af stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 10
Sikkerhedsbrud
1. Er enten en anmeldt elektronisk identifikationsordning i henhold til artikel 9, stk. 1, eller en autentifikation, jf. artikel 7, litra f), udsat for sikkerhedsbrud eller delvist kompromitteres på en måde, som har indvirkning på pålideligheden af den grænseoverskridende autentifikation i denne ordning, suspenderer eller tilbagekalder den anmeldende medlemsstat omgående den pågældende grænseoverskridende autentifikation eller de pågældende kompromitterede dele og underretter de øvrige medlemsstater og Kommissionen herom.
2. Når sikkerhedsbruddet eller kompromitteringen i stk. 1 afhjælpes, genopretter den anmeldende medlemsstat den grænseoverskridende autentifikation og underretter hurtigst muligt de øvrige medlemsstater og Kommissionen herom.
3. Afhjælpes sikkerhedsbruddet eller kompromitteringen som omhandlet i stk. 1 ikke inden for tre måneder efter suspensionen eller spærringen, underretter den anmeldende medlemsstat de øvrige medlemsstater og Kommissionen om tilbagekaldelsen af den elektroniske identifikationsordning.
Kommissionen offentliggør hurtigst muligt de nødvendige ændringer til listen, jf. artikel 9, stk. 2, i Den Europæiske Unions Tidende.
Artikel 11
Erstatningsansvar
1. Den anmeldende medlemsstat er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelserne i henhold til artikel 7, litra d) og f), i forbindelse med en grænseoverskridende transaktion.
2. Den part, der udsteder det elektroniske identifikationsmiddel, er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelsen i henhold til artikel 7, litra e), i forbindelse med en grænseoverskridende transaktion.
3. Den part, der udfører autentifikationsproceduren, er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende sikring af den korrekte udførelse af autentifikationen i henhold til artikel 7, litra f), i forbindelse med en grænseoverskridende transaktion.
4. Stk. 1, 2 og 3 anvendes i overensstemmelse med nationale regler om erstatningsansvar.
5. Stk. 1, 2 og 3 berører ikke det erstatningsansvar, der i henhold til national ret påhviler parterne i en transaktion, hvor der benyttes elektroniske identifikationsmidler, som er omfattet af den elektroniske identifikationsordning, der anmeldes i henhold til artikel 9, stk. 1.
Artikel 12
Samarbejde og interoperabilitet
1. De nationale elektroniske identifikationsordninger, der anmeldes i henhold til artikel 9, stk. 1, skal være interoperable.
2. Med henblik på stk. 1 indføres der en interoperabilitetsramme.
3. Interoperabilitetsrammen skal opfylde følgende kriterier:
a)
den tager sigte på at være teknologineutral og forskelsbehandler ikke mellem specifikke nationale tekniske løsninger til elektronisk identifikation inden for en medlemsstat
b)
den følger europæiske og internationale standarder, når det er muligt
c)
den letter gennemførelsen af princippet om indbygget databeskyttelse (privacy by design), og
d)
den sikrer, at personoplysninger behandles i overensstemmelse med direktiv 95/46/EF.
4. Interoperabilitetsrammen skal omfatte:
a)
en henvisning til tekniske minimumskrav for sikringsniveauerne i artikel 8
b)
en kortlægning af nationale sikringsniveauer for anmeldte elektroniske identifikationsordninger under sikringsniveauerne i artikel 8
c)
en henvisning til tekniske minimumskrav for interoperabilitet
d)
en henvisning til et minimum af personidentifikationsdata, der entydigt repræsenterer en fysisk eller juridisk person, og som stilles til rådighed fra elektroniske identifikationsordninger
e)
forretningsorden
f)
tvistbilæggelsesordninger, og
g)
fælles operationelle sikkerhedsstandarder.
5. Medlemsstaterne skal samarbejde om følgende:
a)
interoperabilitet mellem de elektroniske identifikationsordninger, der er anmeldt i henhold til artikel 9, stk. 1, og de elektroniske identifikationsordninger, som medlemsstaterne har til hensigt at anmelde, og
b)
sikkerheden i de elektroniske identifikationsordninger.
6. Samarbejdet mellem medlemsstaterne omfatter:
a)
udvekslingen af oplysninger, erfaring og god praksis med hensyn til elektroniske identifikationsordninger og navnlig tekniske krav til interoperabilitet og sikringsniveauer
b)
udvekslingen af oplysninger, erfaring og god praksis med hensyn til arbejdet med sikringsniveauer i elektroniske identifikationsordninger i henhold til artikel 8
c)
fagfællebedømmelse (peer review) af elektroniske identifikationsordninger, der henhører under denne forordning, og
d)
undersøgelse af relevante udviklingstendenser i sektoren for elektronisk identifikation.
7. Senest den 18. marts 2015 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter de fornødne proceduremæssige ordninger for at lette samarbejdet mellem medlemsstaterne, jf. stk. 5 og 6, med henblik på at fremme et højt niveau af tillid og sikkerhed, der står i et passende forhold til risikoen.
8. Senest den 18. september 2015 vedtager Kommissionen med forbehold af kriterierne i stk. 3 og under hensyn til resultaterne af samarbejdet mellem medlemsstaterne gennemførelsesretsakter om interoperabilitetsrammen som fastsat i stk. 4 med henblik på at fastsætte ensartede betingelser for gennemførelsen af kravet i stk. 1.
9. De i stk. 7 og 8 i nærværende artikel omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
KAPITEL III
TILLIDSTJENESTER
AFDELING 1
Almindelige bestemmelser
Artikel 13
Erstatningsansvar og bevisbyrde
1. Uden at det berører stk. 2 er tillidstjenesteudbydere erstatningsansvarlige for skade, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelserne i denne forordning.
Den fysiske eller juridiske person, der hævder at have lidt skade som omhandlet i første afsnit, bærer bevisbyrden for, at en ikkekvalificeret tillidstjenesteudbyder har handlet forsætligt eller uagtsomt.
En kvalificeret tillidstjenesteudbyder formodes at have handlet forsætligt eller uagtsomt, medmindre den pågældende kvalificerede tillidstjenesteudbyder beviser, at den i første afsnit omhandlede skade opstod uden forsæt eller uagtsomhed fra den pågældende kvalificerede tillidstjenesteudbyders side.
2. Når tillidstjenesteudbydere behørigt forudgående underretter deres kunder om begrænsningerne i forbindelse med anvendelsen af de tjenester, de udbyder, og når disse begrænsninger er identificerbare for tredjeparter, er tillidstjenesteudbydere ikke erstatningsansvarlige for skader, der påføres i forbindelse med anvendelse af tjenester, der går ud over de anførte begrænsninger.
3. Stk. 1 og 2 anvendes i overensstemmelse med nationale regler om erstatningsansvar.
Artikel 14
Internationale aspekter
1. Tillidstjenester der udbydes af tillidstjenesteudbydere, som er hjemmehørende i et tredjeland, anerkendes som retligt ligestillede med kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, der er hjemmehørende i Unionen, hvis de tillidstjenester, der har oprindelse i tredjelandet, anerkendes i henhold til en aftale, som er indgået mellem Unionen og det pågældende tredjeland eller en international organisation i overensstemmelse med artikel 218 i TEUF.
2. Aftaler som omhandlet i stk. 1 skal navnlig sikre, at:
a)
tillidstjenesteudbyderne i det tredjeland eller de internationale organisationer, som aftalen indgås med, og de tillidstjenester, de udbyder, opfylder de krav, der gælder for kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, og de kvalificerede tillidstjenester, de udbyder
b)
de kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, anerkendes som retligt ligestillede med tillidstjenester, der udbydes af tillidstjenesteudbydere i det tredjeland eller den internationale organisation, som aftalen indgås med.
Artikel 15
Tilgængelighed for personer med handicap
Når det er muligt, gøres tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, tilgængelige for handicappede.
Artikel 16
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner for overtrædelse af denne forordning. Sanktionerne skal være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
AFDELING 2
Tilsyn
Artikel 17
Tilsynsorganer
1. Hver medlemsstat udpeger et tilsynsorgan, der er hjemmehørende på dens område, eller, efter gensidig aftale med en anden medlemsstat, et tilsynsorgan, der er hjemmehørende i den pågældende anden medlemsstat. Dette organ er ansvarligt for tilsynsopgaver i den udpegende medlemsstat.
Tilsynsorganerne tillægges de nødvendige beføjelser og tilstrækkelige ressourcer til varetagelsen af deres opgaver.
2. Medlemsstaterne meddeler Kommissionen navn og adresse på de tilsynsorganer, de hver især har udpeget.
3. Tilsynsorganet har følgende rolle:
a)
at føre tilsyn med kvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område, for ved hjælp af forudgående og efterfølgende tilsynsvirksomhed at sikre, at disse kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, de udbyder, opfylder kravene i denne forordning
b)
om nødvendigt at gribe ind over for ikkekvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område ved hjælp af efterfølgende tilsynsvirksomhed, når det underrettes om, at disse ikkekvalificerede tillidstjenesteudbydere eller de tillidstjenester, de udbyder, angiveligt ikke opfylder kravene i denne forordning.
4. Med henblik på stk. 3 og med forbehold af de deri fastsatte begrænsninger omfatter tilsynsorganets opgaver navnlig:
a)
at samarbejde med andre tilsynsorganer og yde dem bistand i overensstemmelse med artikel 18
b)
at analysere de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20, stk. 1, og artikel 21, stk. 1
c)
at underrette andre tilsynsorganer og offentligheden om brud på sikkerheden eller tab af integritet i overensstemmelse med artikel 19, stk. 2
d)
at aflægge rapport til Kommissionen om sin primære virksomhed i overensstemmelse med stk. 6 i nærværende artikel
e)
at foretage kontrolundersøgelser eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere i overensstemmelse med artikel 20, stk. 2
f)
at samarbejde med databeskyttelsesmyndighederne, navnlig ved hurtigst muligt at underrette dem om resultaterne af kontrolundersøgelser af kvalificerede tillidstjenesteudbydere, hvis der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger
g)
at tildele kvalificerede tillidstjenesteudbydere og de tjenester, de udbyder, status som kvalificeret og at trække denne status tilbage i overensstemmelse med artikel 20 og 21
h)
at underrette det organ, der er ansvarligt for den nationale positivliste, der er omhandlet i artikel 22, stk. 3, om sine afgørelser om tildeling eller tilbagetrækning af status som kvalificeret, medmindre dette organ også er tilsynsorganet
i)
at kontrollere, at der findes bestemmelser om planer for virksomhedsafbrydelse, og at de anvendes korrekt, i tilfælde hvor den kvalificerede tillidstjenesteudbyder afbryder sin virksomhed, herunder hvordan oplysninger forbliver tilgængelige i overensstemmelse med artikel 24, stk. 2, litra h)
j)
at pålægge tillidstjenesteudbydere at afhjælpe mangler i opfyldelsen af de krav, der er fastsat i denne forordning.
5. Medlemsstaterne kan kræve, at tilsynsorganet opretter, vedligeholder og ajourfører en tillidsinfrastruktur i overensstemmelse med betingelserne i national ret.
6. Senest den 31. marts hvert år forelægger tilsynsorganerne Kommissionen en rapport om det foregående kalenderårs primære tilsynsvirksomhed sammen med en sammenfatning af de indberetninger af brud på sikkerheden, som er modtaget fra tillidstjenesteudbydere i overensstemmelse med artikel 19, stk. 2.
7. Kommissionen gør den i stk. 6 omhandlede årlige rapport tilgængelig for medlemsstaterne.
8. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer for rapporteringen i medfør af stk. 6. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 18
Gensidig bistand
1. Tilsynsorganerne skal samarbejde med henblik på at udveksle god praksis.
Et tilsynsorgan skal efter modtagelsen af en begrundet anmodning fra et andet tilsynsorgan yde det pågældende organ bistand, således at tilsynsorganernes arbejde kan udføres på en ensartet måde. Den gensidige bistand kan navnlig omfatte anmodninger om oplysninger og tilsynsforanstaltninger, f.eks. anmodninger om at foretage inspektioner i forbindelse med de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20 og 21.
2. Et tilsynsorgan, der modtager en anmodning om bistand, kan afvise denne anmodning med en af følgende begrundelser:
a)
tilsynsorganet er ikke kompetent til at yde den bistand, der anmodes om
b)
anmodningen om bistand står ikke i rimeligt forhold til tilsynsorganets tilsynsvirksomhed udført i overensstemmelse med artikel 17
c)
det ville være uforeneligt med denne forordning at yde den bistand, der anmodes om.
3. Når det er hensigtsmæssigt, kan medlemsstaterne tillade, at deres respektive tilsynsorganer i fællesskab gennemfører undersøgelser, hvor personale fra andre medlemsstaters tilsynsorganer deltager. Reglerne for og fremgangsmåden ved sådanne fælles aktioner skal aftales og fastlægges af de berørte medlemsstater i overensstemmelse med deres nationale ret.
Artikel 19
Sikkerhedskrav til tillidstjenesteudbydere
1. Kvalificerede og ikkekvalificerede tillidstjenesteudbydere skal træffe passende tekniske og organisatoriske foranstaltninger til at styre de sikkerhedsmæssige risici i forbindelse med de tillidstjenester, de udbyder. Under hensyn til den seneste teknologiske udvikling skal disse foranstaltninger garantere et sikkerhedsniveau, der svarer til risikoens omfang. Tillidstjenesteudbyderne bør navnlig tage skridt til at forhindre og minimere virkningen af sikkerhedsrelaterede hændelser og underrette de berørte parter om de negative virkninger af sådanne hændelser.
2. De kvalificerede og ikkekvalificerede tillidstjenesteudbydere, der konstaterer et brud på sikkerheden eller tab af integritet, som har en væsentlig indvirkning på den udbudte tillidstjeneste eller de berørte personoplysninger, skal hurtigst muligt og under alle omstændigheder inden for 24 timer efter at være blevet opmærksomme på forholdet underrette tilsynsorganet, og eventuelt andre relevante organer som f.eks. det kompetente nationale organ for informationssikkerhed eller databeskyttelsesmyndigheden.
Når det er sandsynligt, at et brud på sikkerheden eller tab af integritet vil krænke den fysiske eller juridiske person, som har modtaget tillidstjenesten, skal tillidstjenesteudbyderen også hurtigst muligt underrette den fysiske eller juridiske person om bruddet på sikkerheden eller tab af integritet.
Hvor det er relevant, og navnlig hvis et brud på sikkerheden eller tab af integritet berører to eller flere medlemsstater, skal det underrettede tilsynsorgan informere tilsynsorganerne i andre berørte medlemsstater og ENISA.
Det underrettede tilsynsorgan skal også informere offentligheden eller kræve, at tillidstjenesteudbyderen gør det, hvis det fastslår, at det er i offentlighedens interesse, at et brud på sikkerheden eller tab af integritet offentliggøres.
3. Tilsynsorganet forelægger en gang om året ENISA en sammenfattende rapport om de indberetninger af brud på sikkerheden eller tab af integritet, som det har modtaget fra tillidstjenesteudbyderne.
4. Kommissionen kan ved gennemførelsesretsakter:
a)
yderligere specificere de i stk. 1 omhandlede foranstaltninger, og
b)
vedtage formater og procedurer, herunder tidsfrister, for gennemførelsen af stk. 2.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 3
Kvalificerede tillidstjenesteydelser
Artikel 20
Tilsyn med kvalificerede tillidstjenesteudbydere
1. Kvalificerede tillidstjenesteudbydere skal kontrolleres af et overensstemmelsesvurderingsorgan for egen regning mindst hver 24. måned. Formålet med kontrollen er at bekræfte, at de kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, som de udbyder, opfylder de krav, der er fastsat i denne forordning. De kvalificerede tillidstjenesteudbydere skal forelægge den resulterende overensstemmelsesvurderingsrapport for tilsynsorganet inden for en periode på tre arbejdsdage efter modtagelsen heraf.
2. Uden at dette berører stk. 1, kan tilsynsorganet til enhver tid foretage kontrol hos eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere for disses tillidstjenesteudbyderes regning for at bekræfte, at de og deres kvalificerede tillidstjenester opfylder de krav, der er fastsat i denne forordning. Ved mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger skal tilsynsorganet underrette databeskyttelsesmyndighederne om resultaterne af deres kontrolundersøgelser.
3. Kræver tilsynsorganet, at den kvalificerede tillidstjenesteudbyder afhjælper enhver forsømmelse af at opfylde kravene i denne forordning, og hvis tjenesteudbyderen ikke handler i overensstemmelse hermed og eventuelt inden for en af tilsynsorganet fastsat frist, kan tilsynsorganet under særlig hensyntagen til den omtalte mangels omfang, varighed og konsekvenser tilbagetrække den pågældende tjenesteudbyders eller den pågældende tjenestes status som kvalificeret og informere det organ, der er omhandlet i artikel 22, stk. 3, med henblik på at føre positivlisten i artikel 22, stk. 1, ajour. Tilsynsorganet underretter den kvalificerede tillidstjenesteudbyder om tilbagetrækningen af vedkommendes eller af den pågældende kvalificerede tjenestes status som kvalificeret.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på følgende standarder:
a)
akkreditering af overensstemmelsesvurderingsorganerne og for overensstemmelsesvurderingsrapporten, jf. stk. 1
b)
revisionsregler, i henhold til hvilke overensstemmelsesvurderingsorganer udfører deres overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere, jf. stk. 1.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 21
Iværksættelse af en kvalificeret tillidstjeneste
1. Ønsker en tillidstjenesteudbyder, der ikke har status som kvalificeret, at udbyde kvalificerede tillidstjenester, skal tjenesteudbyderen anmelde sin hensigt til tilsynsorganet og indsende en overensstemmelsesvurderingsrapport udstedt af et overensstemmelsesvurderingsorgan.
2. Tilsynsorganet kontrollerer, om tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, opfylder de i denne forordning fastsatte krav, og navnlig kravene til kvalificerede tillidstjenesteudbydere og disses kvalificerede tillidstjenester.
Konkluderer tilsynsorganet, at tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, overholder de i første afsnit omhandlede krav, tildeler tilsynsorganet tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, status som kvalificeret og underretter senest tre måneder efter anmeldelsen, jf. stk. 1 i nærværende artikel, det organ, der er omhandlet i artikel 22, stk. 3, med henblik på at føre positivlisterne i artikel 22, stk. 1, ajour.
Er kontrollen ikke afsluttet inden tre måneder efter anmeldelsen, underretter tilsynsorganet tillidstjenesteudbyderen herom og forklarer årsagerne til forsinkelsen samt oplyser, hvornår kontrollen skal være afsluttet.
3. Kvalificerede tillidstjenesteudbydere kan begynde at udbyde den kvalificerede tillidstjeneste, når den kvalificerede status er indført på de i artikel 22, stk. 1, omhandlede positivlister.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer med henblik på stk. 1 og 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 22
Positivlister
1. Hver medlemsstat opretter, ajourfører og offentliggør positivlister herunder oplysninger om de kvalificerede tillidstjenesteudbydere, som den har ansvaret for, samt oplysninger om deres kvalificerede tillidstjenester.
2. Medlemsstaterne opretter, ajourfører og offentliggør under sikre forhold de elektronisk underskrevne eller forseglede positivlister, jf. stk. 1, i en form, der egner sig til automatiseret behandling.
3. Medlemsstaterne meddeler hurtigst muligt Kommissionen, hvilket organ der er ansvarligt for at oprette, ajourføre og offentliggøre de nationale positivlister, og hvor disse lister offentliggøres, og sender Kommissionen de certifikater, der er anvendt til underskrift eller forsegling af positivlisterne, og eventuelle ændringer heraf.
4. Kommissionen stiller de oplysninger, der er omhandlet i stk. 3, til rådighed for offentligheden via en sikker kommunikationsforbindelse og i en elektronisk underskrevet eller forseglet form, der egner sig til automatiseret behandling.
5. Senest den 18. september 2015 præciserer Kommissionen ved hjælp af gennemførelsesretsakter de oplysninger, der er anført i stk. 1, og fastlægger tekniske specifikationer og formater for positivlister med henblik på gennemførelsen af stk. 1-4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 23
EU-tillidsmærket for kvalificerede tillidstjenester
1. Efter at status som kvalificeret tillidstjenesteudbyder, jf. artikel 21, stk. 2, andet afsnit, er blevet angivet på den i artikel 22, stk. 1, omhandlede positivliste, kan kvalificerede tillidstjenesteudbydere anvende EU-tillidsmærket for på en enkel, genkendelig og klar måde at angive, hvilke kvalificerede tillidstjenester de udbyder.
2. Når EU-tillidsmærket anvendes for de i stk. 1 omhandlede kvalificerede tillidstjenester, skal de kvalificerede tillidstjenesteudbydere sikre, at der på deres websted findes et link til den relevante positivliste.
3. Senest den 1. juli 2015 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter specifikationer med hensyn til formen og navnlig præsentationsformen, sammensætningen, størrelsen og udformningen af EU-tillidsmærket for kvalificerede tillidstjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 24
Krav til kvalificerede tillidstjenesteudbydere
1. Når en kvalificeret tillidstjenesteudbyder udsteder et kvalificeret certifikat for en tillidstjeneste, skal vedkommende med hensigtsmæssige midler og i overensstemmelse med national ret kontrollere identiteten og eventuelt særlige kendetegn ved den fysiske eller juridiske person, som det kvalificerede certifikat udstedes til.
Oplysningerne i første afsnit kontrolleres af den kvalificerede tillidstjenesteudbyder enten direkte eller via en tredjemand i overensstemmelse med national ret:
a)
ved fysisk tilstedeværelse af den fysiske person eller den bemyndigede repræsentant for den juridiske person, eller
b)
uden fysisk tilstedeværelse ved hjælp af elektroniske identifikationsmidler, hvortil der forud for udstedelsen af et kvalificeret certifikat var sikret en fysisk tilstedeværelse af den fysiske person eller af en bemyndiget repræsentant for den juridiske person, og som lever op til kravene i artikel 8 med hensyn til sikringsniveauet »betydelig« eller »høj«, eller
c)
ved hjælp af et certifikat af en kvalificeret elektronisk signatur eller af et kvalificeret elektronisk segl udstedt i overensstemmelse med litra a) eller b), eller
d)
ved hjælp af andre identifikationsmetoder anerkendt på nationalt plan, som giver en sikkerhed, der for så vidt angår pålidelighed svarer til fysisk tilstedeværelse. Den tilsvarende sikkerhed skal bekræftes af et overensstemmelsesvurderingsorgan.
2. En kvalificeret tillidstjenesteudbyder, der udbyder kvalificerede tillidstjenester, skal:
a)
informere tilsynsorganet om ændringer i udbuddet af dennes kvalificerede tillidstjenester og om dennes hensigt om at ophøre med denne virksomhed
b)
beskæftige personale, og eventuelt underleverandører, der har den nødvendige ekspertviden og troværdighed og de nødvendige erfaringer, og kvalifikationer, og som har fået tilstrækkelig uddannelse i reglerne for sikkerhed og beskyttelse af personoplysninger og skal anvende administrative og ledelsesmæssige procedurer i overensstemmelse med europæiske eller internationale standarder
c)
i forbindelse med erstatningsansvaret for skader, have tilstrækkelige økonomiske ressourcer til rådighed, jf. artikel 13, og/eller anskaffe en passende ansvarsforsikring i overensstemmelse med national ret
d)
på en klar og let forståelig måde underrette de personer, der ønsker at gøre brug af en kvalificeret tillidstjeneste, om de nøjagtige vilkår for brugen af denne tjeneste, herunder eventuelle begrænsninger i brugen heraf, inden de indgår i et kontraktforhold
e)
anvende pålidelige systemer og produkter, som er beskyttet mod ændringer, og sikre den tekniske sikkerhed og pålidelighed i de processer, som disse systemer og produkter understøtter
f)
benytte pålidelige systemer til opbevaring af de data, den kvalificerede tillidstjenesteudbyder modtager, i kontrollerbar form, således at
i)
de kun er offentligt tilgængelige i de tilfælde, hvor den person, som dataene vedrører, har givet sit samtykke
ii)
kun bemyndigede personer kan foretage tilføjelser til og ændringer af de opbevarede data
iii)
dataenes ægthed kan kontrolleres
g)
træffe passende foranstaltninger imod forfalskning og tyveri af data
h)
i en rimelig periode registrere alle relevante oplysninger om de data, den kvalificerede tillidstjenesteudbyder har udstedt og modtaget, og sørge for, at de er tilgængelige, herunder efter at den kvalificerede tillidstjenesteudbyder har indstillet sin virksomhed, navnlig for at kunne fremlægge bevis i retssager og for at garantere tjenestens kontinuitet. Denne registrering kan ske elektronisk
i)
have en ajourført plan i tilfælde af virksomhedsafbrydelse for at sikre tjenestens kontinuitet i overensstemmelse med de bestemmelser, som tilsynsorganer kontrollerer i medfør af artikel 17, stk. 4, litra i)
j)
sikre, at personoplysninger behandles lovligt i overensstemmelse med direktiv 95/46/EF
k)
oprette og ajourføre en certifikatdatabase, når den kvalificerede tillidstjenesteudbyder udsteder kvalificerede certifikater.
3. Vælger en kvalificeret tillidstjenesteudbyder, der udsteder kvalificerede certifikater, at spærre et certifikat, skal denne registrere en sådan spærring i sin certifikatdatabase og offentliggøre spærringen af certifikatet i god tid, og under alle omstændigheder inden for 24 timer efter modtagelsen af anmodningen. Spærringen træder i kraft straks efter offentliggørelsen.
4. Med hensyn til stk. 3 skal kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede certifikater, stille oplysninger om certifikaternes gyldighed eller spærring til rådighed for alle modtagerparter. Disse oplysninger skal som minimum for et certifikat ad gangen være automatisk og gratis tilgængelige til enhver tid og ud over gyldighedsperioden på pålidelig og effektiv vis.
5. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for pålidelige systemer og produkter, som opfylder kravene i stk. 2, litra e) og f), i nærværende artikel. Pålidelige systemer og produkter, der opfylder disse standarder, formodes at overholde kravene i nærværende artikel. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 4
Elektroniske signaturer
Artikel 25
Retsvirkninger af elektroniske signaturer
1. En elektronisk signatur må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at den er i elektronisk form, eller at den ikke opfylder kravene til kvalificerede elektroniske signaturer.
2. En kvalificeret elektronisk signatur har samme retsvirkning som en håndskreven underskrift.
3. En kvalificeret elektronisk signatur, som er baseret på et kvalificeret certifikat, der er udstedt i en medlemsstat, anerkendes som en kvalificeret elektronisk signatur i alle andre medlemsstater.
Artikel 26
Kravene til avancerede elektroniske signaturer
En avanceret elektronisk signatur skal opfylde følgende krav:
a)
den er entydigt knyttet til underskriveren
b)
den kan identificere underskriveren
c)
den genereres ved hjælp af elektroniske signaturgenereringsdata, som underskriveren med en høj grad af tillid kan anvende og har fuld kontrol med, og
d)
den er knyttet til de data, som er underskrevet med den, på en sådan måde, at en hvilken som helst senere ændring af disse data kan opdages.
Artikel 27
Elektroniske signaturer i offentlige tjenester
1. Kræver en medlemsstat en avanceret elektronisk signatur for at anvende en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske signaturer, avancerede elektroniske signaturer, som er baseret på et kvalificeret certifikat for elektroniske signaturer, og kvalificerede elektroniske signaturer som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
2. Kræver en medlemsstat en avanceret elektronisk signatur, som er baseret på et kvalificeret certifikat, for at anvende en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske signaturer, som er baseret på et kvalificeret certifikat, og kvalificerede elektroniske signaturer som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
3. I forbindelse med grænseoverskridende anvendelse af en onlinetjeneste, der udbydes af en offentlig myndighed, må medlemsstaterne ikke kræve en elektronisk signatur med et højere sikkerhedsniveau end det, der er forbundet med den kvalificerede elektroniske signatur.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for avancerede elektroniske signaturer. En avanceret elektronisk signatur, der opfylder disse standarder, formodes at overholde de krav til elektroniske signaturer, der er fastlagt i denne artikels stk. 1 og 2, og i artikel 26. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
5. Senest den 18. september 2015 og under hensyn til eksisterende praksis, standarder og EU-retsakter definerer Kommissionen ved hjælp af gennemførelsesretsakter referenceformater for avancerede elektroniske signaturer eller referencemetoder, når der anvendes alternative formater. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 28
Kvalificerede certifikater for elektroniske signaturer
1. Kvalificerede certifikater for elektroniske signaturer skal opfylde kravene i bilag I.
2. Kvalificerede certifikater for elektroniske signaturer må ikke være omfattet af ufravigelige krav, der går videre end kravene i bilag I.
3. Kvalificerede certifikater for elektroniske signaturer kan omfatte ikkeobligatoriske supplerende særlige kendetegn. Disse kendetegn må ikke påvirke interoperabiliteten mellem og anerkendelsen af kvalificerede elektroniske signaturer.
4. Såfremt et kvalificeret certifikat for elektroniske signaturer er blevet spærret efter den første aktivering, mister det sin gyldighed fra tidspunktet for spærringen, og dets status kan under ingen omstændigheder genetableres.
5. Medlemsstaterne kan fastsætte nationale regler for en midlertidig suspension af et kvalificeret certifikat for elektroniske signaturer på følgende betingelser:
a)
hvis et kvalificeret certifikat for elektroniske signaturer er blevet suspenderet midlertidigt, mister det sin gyldighed i suspensionsperioden
b)
suspensionsperioden angives klart i certifikatdatabasen, og suspensionsstatus gøres synlig i suspensionsperioden af den tjeneste, der formidler oplysninger om status for certifikatet.
6. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for elektroniske signaturer. Et kvalificeret certifikat for elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i bilag I. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 29
Krav til kvalificerede elektroniske signaturgenereringssystemer
1. Kvalificerede elektroniske signaturgenereringssystemer skal opfylde kravene i bilag II.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede elektroniske signaturgenereringssystemer. Et kvalificeret elektronisk signaturgenereringssystem, der opfylder disse standarder, formodes at overholde kravene i bilag II. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 30
Certificering af kvalificerede elektroniske signaturgenereringssystemer
1. Egnede offentlige eller private organer, der udpeges af medlemsstaterne, skal certificere overensstemmelsen mellem de kvalificerede elektroniske signaturgenereringssystemer og de i bilag II fastsatte krav.
2. Medlemsstaterne meddeler Kommissionen navn og adresse på de i stk. 1 omhandlede offentlige eller private organer. Kommissionen stiller disse oplysninger til rådighed for medlemsstaterne.
3. Certificeringen i stk. 1 baseres på en af følgende processer:
a)
en sikkerhedsevalueringsproces, som gennemføres i overensstemmelse med en af de standarder for sikkerhedsvurdering af informationsteknologiprodukter, der er opført på den liste, der er udarbejdet i overensstemmelse med andet afsnit, eller
b)
en anden proces end den i litra a) omhandlede, såfremt den anvender sammenlignelige sikkerhedsniveauer og såfremt det i stk. 1 omhandlede offentlige eller private organ meddeler denne proces til Kommissionen. Den pågældende proces kan kun anvendes, hvis de standarder, der er omhandlet i litra a), ikke findes, eller hvis en sikkerhedsevalueringsproces som omhandlet i litra a) ikke er afsluttet.
Kommissionen udarbejder ved hjælp af gennemførelsesretsakter en liste over standarder for sikkerhedsvurderingen af de informationsteknologiprodukter, der er omhandlet i litra a). Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
4. Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 47 vedrørende fastsættelsen af de særlige kriterier, som de i stk. 1 i nærværende artikel omhandlede udpegede organer skal opfylde.
Artikel 31
Offentliggørelse af en liste over certificerede kvalificerede elektroniske signaturgenereringssystemer
1. Medlemsstaterne forelægger uden unødig forsinkelse og senest en måned efter, at certificeringen er blevet afsluttet, Kommissionen oplysninger om de kvalificerede elektroniske signaturgenereringssystemer, der er certificeret af de organer, der er omhandlet i artikel 30, stk. 1. De underretter også hurtigst muligt og senest en måned efter, at certificeringen er blevet annulleret, Kommissionen om kvalificerede elektroniske signaturgenereringssystemer, der ikke længere er certificeret.
2. På grundlag af de modtagne oplysninger opstiller Kommissionen en liste over certificerede kvalificerede elektroniske signaturgenereringssystemer, som den offentliggør og fører ajour.
3. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer for gennemførelsen af stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 32
Krav til validering af kvalificerede elektroniske signaturer
1. Processen for validering af en kvalificeret elektronisk signatur skal bekræfte gyldigheden af en kvalificeret elektronisk signatur, såfremt:
a)
det certifikat, der støtter signaturen, på underskriftstidspunktet var et kvalificeret certifikat for elektronisk signatur, der var i overensstemmelse bilag I
b)
det kvalificerede certifikat var udstedt af en kvalificeret tillidstjenesteudbyder og var gyldigt på underskriftstidspunktet
c)
signaturvalideringsdataene stemmer overens med de data, der leveres til modtagerparten
d)
det entydige sæt data, der repræsenterer underskriveren i certifikatet, leveres korrekt til modtagerparten
e)
en eventuel anvendelse af et pseudonym fremgår klart for modtagerparten, såfremt der på underskriftstidspunktet blev anvendt et pseudonym
f)
den elektroniske signatur er genereret af et kvalificeret elektronisk signaturgenereringssystem
g)
de underskrevne datas integritet ikke er bragt i fare
h)
kravene i artikel 26 var opfyldt på underskriftstidspunktet.
2. Det system, der anvendes til validering af den kvalificerede elektroniske signatur, skal levere det korrekte resultat af valideringsprocessen til modtagerparten og gøre det muligt for vedkommende at opdage eventuelle sikkerhedsproblemer.
3. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for validering af kvalificerede elektroniske signaturer. En validering af kvalificerede elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 33
Kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer
1. En kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer må kun stilles til rådighed af en kvalificeret tillidstjenesteudbyder, der
a)
udfører validering i overensstemmelse med artikel 32, stk. 1, og
b)
gør det muligt for modtagerparter automatisk at modtage resultatet af valideringsprocessen på pålidelig og effektiv vis, hvor resultatet er forsynet med valideringstjenesteudbyderens avancerede elektroniske signatur eller avancerede elektroniske segl.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede valideringstjenester, jf. stk. 1. En valideringstjeneste for en kvalificeret elektronisk signatur, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 34
Kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer
1. En kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer må kun stilles til rådighed af en kvalificeret tillidstjenesteudbyder, der anvender procedurer og teknologier, der gør det muligt at forlænge pålideligheden af den kvalificerede elektroniske signatur ud over den teknologiske gyldighedsperiode.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer. En kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 5
Elektroniske segl
Artikel 35
Retsvirkninger af elektroniske segl
1. Et elektronisk segl må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form, eller at det ikke opfylder kravene til kvalificerede elektroniske segl.
2. For et kvalificeret elektronisk segl, gælder der en formodning for integriteten af de data og nøjagtigheden af oprindelsen af de data, som det kvalificerede elektroniske segl er knyttet til.
3. Et kvalificeret elektronisk segl, som er baseret på et kvalificeret certifikat og udstedt i en medlemsstat, anerkendes som et kvalificeret elektronisk segl i alle andre medlemsstater.
Artikel 36
Krav til avancerede elektroniske segl
Et avanceret elektronisk segl skal opfylde følgende krav:
a)
det er entydigt knyttet til den forseglende part
b)
det kan identificere den forseglende part
c)
det genereres ved hjælp af elektroniske seglgenereringsdata, som den forseglende part med en høj grad af tillid og fuld kontrol kan anvende til at generere elektroniske segl, og
d)
det er knyttet til de data, som det vedrører, på en sådan måde, at en hvilken som helst senere ændring af disse data kan opdages.
Artikel 37
Elektroniske segl i offentlige tjenester
1. Kræver en medlemsstat et avanceret elektronisk segl som forudsætning for adgang til en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske segl, avancerede elektroniske segl, som er baseret på et kvalificeret certifikat for elektroniske segl, og kvalificerede elektroniske segl som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
2. Kræver en medlemsstat et avanceret elektronisk segl, som er baseret på et kvalificeret certifikat som forudsætning for adgang til en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske segl, som er baserede på et kvalificeret certifikat, og kvalificerede elektroniske segl som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
3. I forbindelse med grænseoverskridende anvendelse af en onlinetjeneste, der udbydes af en offentlig myndighed, må medlemsstaterne ikke kræve et elektronisk segl på et højere sikkerhedsniveau end det, der er forbundet med et kvalificeret elektronisk segl.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for avancerede elektroniske segl. Et avanceret elektronisk segl, der opfylder disse standarder, formodes at overholde de krav til elektroniske segl, der er fastlagt i denne artikels stk. 1 og 2 og i artikel 36. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
5. Senest den 18. september 2015 og under hensyn til eksisterende praksis, standarder og EU-retsakter definerer Kommissionen ved hjælp af gennemførelsesretsakter referenceformater for avancerede elektroniske segl eller referencemetoder, når der anvendes alternative formater. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 38
Kvalificerede certifikater for elektroniske segl
1. Kvalificerede certifikater for elektroniske segl skal opfylde kravene i bilag III.
2. Kvalificerede certifikater for elektroniske segl må ikke undergives ufravigelige krav, der går videre end kravene i bilag III.
3. Kvalificerede certifikater for elektroniske segl kan omfatte ikkeobligatoriske supplerende særlige kendetegn. Disse kendetegn må ikke påvirke interoperabiliteten mellem og anerkendelsen af kvalificerede elektroniske segl.
4. Såfremt et kvalificeret certifikat for elektronisk segl er blevet spærret efter den første aktivering, mister det sin gyldighed fra tidspunktet for spærringen, og dets status kan under ingen omstændigheder ændres.
5. Medlemsstaterne kan fastsætte nationale regler for en midlertidig suspension af kvalificerede certifikater for elektroniske segl på følgende betingelser:
a)
hvis et kvalificeret certifikat for elektronisk segl er blevet suspenderet midlertidigt, mister det sin gyldighed i suspensionsperioden
b)
suspensionsperioden angives klart i certifikatdatabasen og suspensionsstatus gøres synlig i suspensionsperioden af den tjeneste, der formidler oplysninger om status for certifikatet.
6. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for elektroniske segl. Et kvalificeret certifikat for elektroniske segl, der opfylder disse standarder, formodes at overholde kravene i bilag III. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 39
Kvalificerede elektroniske seglgenereringssystemer
1. Artikel 29 finder tilsvarende anvendelse for så vidt angår kravene til kvalificerede elektroniske seglgenereringssystemer.
2. Artikel 30 finder tilsvarende anvendelse for så vidt angår certificering af kvalificerede elektroniske seglgenereringssystemer.
3. Artikel 31 finder tilsvarende anvendelse for så vidt angår offentliggørelse af en liste over certificerede kvalificerede elektroniske seglgenereringssystemer.
Artikel 40
Validering og bevaring af kvalificerede elektroniske segl
Artikel 32, 33 og 34 finder tilsvarende anvendelse for så vidt angår validering og bevaring af kvalificerede elektroniske segl.
AFDELING 6
Elektroniske tidsstempler
Artikel 41
Retsvirkninger af elektroniske tidsstempler
1. Et elektronisk tidsstempel må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form, eller at det ikke opfylder kravene til et kvalificeret elektronisk tidsstempel.
2. For et kvalificeret elektronisk tidsstempel gælder der en formodning for nøjagtigheden af den dato og det tidspunkt, som det angiver, og integriteten af de data, som dato- og tidsangivelsen er knyttet til.
3. Et kvalificeret elektronisk tidsstempel, som er udstedt i en medlemsstat, anerkendes som et kvalificeret elektronisk tidsstempel i alle medlemsstater.
Artikel 42
Krav til kvalificerede elektroniske tidsstempler
1. Kvalificerede elektroniske tidsstempler skal opfylde følgende krav:
a)
de forbinder dato og tidspunkt med data på en sådan måde, at det med rimelighed udelukker muligheden for at ændre dataene, uden at det opdages
b)
de bygger på en præcis tidskilde forbundet med koordineret universaltid, og
c)
de er forsynet med den kvalificerede tillidstjenesteudbyders avancerede elektroniske signatur eller forseglet med dennes avancerede elektroniske segl eller med en anden tilsvarende metode.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for forbindelsen af dato og tidspunkt med data og for brug af nøjagtige tidskilder. Forbindelsen af dato og tidspunkt med data og nøjagtige tidskilder, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 7
Elektroniske registrerede leveringstjenester
Artikel 43
Retsvirkning af elektroniske registrerede leveringstjenester
1. Data, der sendes og modtages via en elektronisk registreret leveringstjeneste, må ikke nægtes retsvirkning og anerkendelse som bevismateriale under retssager, alene af den grund at de er i en elektronisk form, eller at de ikke opfylder kravene til den kvalificerede, elektroniske registrerede leveringstjeneste.
2. Med hensyn til data, der sendes og modtages via en kvalificeret elektronisk registreret leveringstjeneste, gælder der en formodning om dataenes integritet, den valgte afsenders afsendelse og den valgte modtagers modtagelse af dataene og nøjagtigheden af den dato og det tidspunkt for afsendelse og modtagelse, som den kvalificerede elektroniske registrerede leveringstjeneste angiver.
Artikel 44
Krav til kvalificerede elektroniske registrerede leveringstjenester
1. Kvalificerede elektroniske registrerede leveringstjenester skal opfylde følgende krav:
a)
de udbydes af en eller flere kvalificerede tillidstjenesteudbydere
b)
de sikrer med en høj grad af tillid identifikation af afsenderen
c)
de sikrer forud for levering af dataene identifikation af modtageren
d)
afsendelsen og modtagelsen af data er beskyttet af en kvalificeret tillidstjenesteudbyders avancerede elektroniske signatur eller avancerede elektroniske segl på en sådan måde, at det er umuligt at ændre dataene, uden at det opdages
e)
hvis det er nødvendigt at ændre dataene, for at de kan sendes eller modtages, angives dette klart over for afsenderen og modtageren af dataene
f)
datoen og tidspunktet for afsendelse, modtagelse og en eventuel ændring af data angives ved hjælp af et kvalificeret elektronisk tidsstempel.
Overføres dataene mellem to eller flere kvalificerede tillidstjenesteudbydere, gælder kravene i litra a)-f) for samtlige kvalificerede tillidstjenesteudbydere.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for dataafsendelses- og -modtagelsesprocesser. En dataafsendelses- og -modtagelsesproces, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 8
Webstedsautentifikation
Artikel 45
Krav til kvalificerede certifikater for webstedsautentifikation
1. Kvalificerede certifikater for webstedsautentifikation skal opfylde kravene i bilag IV.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for webstedsautentifikation. Et kvalificeret certifikat for webstedsautentifikation, der opfylder disse standarder, formodes at overholde kravene i bilag IV. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
KAPITEL IV
ELEKTRONISKE DOKUMENTER
Artikel 46
Retsvirkninger af elektroniske dokumenter
Et elektronisk dokument må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form.
KAPITEL V
DELEGEREDE BEFØJELSER OG GENNEMFØRELSESBESTEMMELSER
Artikel 47
Udøvelse af de delegerede beføjelser
1. Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2. Beføjelsen til at vedtage delegerede retsakter, jf. artikel 30, stk. 4, tillægges Kommissionen for en ubegrænset periode fra den 17. september 2014.
3. Den i artikel 30, stk. 4, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om spærring bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Afgørelsen får virkning fra dagen efter offentliggørelsen i Den Europæiske Unions Tidende eller fra en senere dato, der fastsættes nærmere i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4. Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
5. En delegeret retsakt vedtaget i henhold til artikel 30, stk. 4, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har informeret Kommissionen om, at de ikke agter at gøre indsigelse. Denne frist forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 48
Udvalgsprocedure
1. Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2. Når der henvises til dette stykke, anvendes artikel 5 i forordning (EU) nr. 182/2011.
KAPITEL VI
AFSLUTTENDE BESTEMMELSER
Artikel 49
Revision
Kommissionen reviderer anvendelsen af denne forordning og aflægger rapport til Europa-Parlamentet og Rådet senest den 1. juli 2020. Kommissionen evaluerer navnlig, hvorvidt det er hensigtsmæssigt at ændre denne forordnings anvendelsesområde eller de specifikke bestemmelser heri, herunder artikel 6, artikel 7, litra f), samt artikel 34, 43, 44 og 45, under hensyntagen til de erfaringer, der er gjort med anvendelsen af denne forordning, og til den teknologiske, markedsmæssige og retlige udvikling.
Den i stk. 1 omhandlede rapport ledsages om nødvendigt af lovgivningsmæssige forslag.
Kommissionen forelægger endvidere hvert fjerde år efter udarbejdelsen af den i stk. 1 omhandlede rapport Europa-Parlamentet og Rådet en rapport om de fremskridt, der er gjort med hensyn til at opfylde målene for denne forordning.
Artikel 50
Ophævelse
1. Direktiv 1999/93/EF ophæves med virkning fra den 1. juli 2016.
2. Henvisninger til det ophævede direktiv betragtes som henvisninger til nærværende forordning.
Artikel 51
Overgangsforanstaltninger
1. Sikre signaturgenereringssystemer, for hvilke det er fastslået, at de opfylder kravene i artikel 3, stk. 4, i direktiv 1999/93/EF, anses for kvalificerede elektroniske signaturgenereringssystemer i henhold til nærværende forordning.
2. Kvalificerede certifikater, der er udstedt til fysiske personer i henhold til direktiv 1999/93/EF, anses for kvalificerede certifikater for elektroniske signaturer i henhold til nærværende forordning, indtil de udløber.
3. En certificeringstjenesteudbyder, der udsteder kvalificerede certifikater i henhold til direktiv 1999/93/EF, forelægger en overensstemmelsesvurderingsrapport for tilsynsorganet så hurtigt som muligt dog senest den 1. juli 2017. Indtil forelæggelsen af en sådan overensstemmelsesvurderingsrapport og tilsynsorganets gennemførelse af sin vurdering betragtes den pågældende certificeringstjenesteudbyder som en kvalificeret tillidstjenesteudbyder i henhold til nærværende forordning.
4. Forelægger en certificeringstjenesteudbyder, der udsteder kvalificerede certifikater i henhold til direktiv 1999/93/EF ikke en overensstemmelsesvurderingsrapport for tilsynsorganet inden for den i stk. 3 omhandlede frist, betragtes den pågældende certificeringstjenesteudbyder ikke som en kvalificeret tillidstjenesteudbyder i henhold til denne forordning fra den 2. juli 2017.
Artikel 52
Ikrafttræden
1. Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
2. Denne forordning anvendes fra den 1. juli 2016, bortset fra følgende bestemmelser:
a)
artikel 8, stk. 3, artikel 9, stk. 5, artikel 12, stk. 2-9, artikel 17, stk. 8, artikel 19, stk. 4, artikel 20, stk. 4, artikel 21, stk. 4, artikel 22, stk. 5, artikel 23, stk. 3, artikel 24, stk. 5, artikel 27, stk. 4 og 5, artikel 28, stk. 6, artikel 29, stk. 2, artikel 30, stk. 3 og 4, artikel 31, stk. 3, artikel 32, stk. 3, artikel 33, stk. 2, artikel 34, stk. 2, artikel 37, stk. 4 og 5, artikel 38, stk. 6, artikel 42, stk. 2, artikel 44, stk. 2, artikel 45, stk. 2, artikel 47 and 48 finder anvendelse fra den 17. september 2014
b)
artikel 7, artikel 8, stk. 1 og 2, artikel 9, 10, 11 og artikel 12, stk. 1, finder anvendelse fra datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter
c)
artikel 6 finder anvendelse fra tre år efter datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter.
3. Opføres den anmeldte elektroniske identifikationsordning på den liste, som Kommissionen offentliggør i henhold til artikel 9, før den i stk. 2, litra c), i nærværende artikel omhandlede dato, sker anerkendelsen af det elektroniske identifikationsmiddel i medfør af denne ordning i henhold til artikel 6 senest 12 måneder efter offentliggørelsen af denne ordning, dog ikke før den i stk. 2, litra c), i nærværende artikel omhandlede dato.
4. Uanset stk. 2, litra c), i nærværende artikel kan en medlemsstat beslutte, at et elektronisk identifikationsmiddel i medfør af den elektroniske identifikationsordning, som en anden medlemsstat har anmeldt i henhold til artikel 9, stk. 1, anerkendes i den første medlemsstat fra datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter. De pågældende medlemsstater underretter Kommissionen. Kommissionen offentliggør disse oplysninger.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 23. juli 2014.