РЕГЛАМЕНТ (ЕС) № 910/2014 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 23 юли 2014 година
относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Изграждането на доверие в онлайн средата е ключов фактор за икономическото и социалното развитие. Липсата на доверие, по-конкретно поради впечатлението за липса на правна сигурност, кара потребителите, предприятията и публичните органи да се колебаят при извършването на електронни трансакции и при въвеждането на нови услуги.
(2)
Целта на настоящия регламент е да се повиши доверието в електронните трансакции на вътрешния пазар, като се предостави обща основа за надеждно взаимодействие по електронен път между гражданите, предприятията и публичните органи, чрез което ще се увеличи ефективността на обществените и частните онлайн услуги, електронния бизнес и електронната търговия в Съюза.
(3)
Директива 1999/93/ЕО на Европейския парламент и на Съвета (3) обхваща електронните подписи, но не предоставя цялостна трансгранична и междусекторна рамка за сигурни, надеждни и лесни за използване електронни трансакции. С настоящия регламент се разширяват и задълбочават достиженията на посочената директива.
(4)
В съобщението на Комисията от 26 август 2010 г., озаглавено „Програма в областта на цифровите технологии за Европа“, беше констатирано, че разпокъсаността на цифровия пазар, липсата на оперативна съвместимост и растящата киберпрестъпност са основните пречки пред навлизането на цифровата икономика в един благоприятен цикъл на развитие. В Доклада за гражданството на ЕС за 2010 г., озаглавен „Премахване на пречките за упражняване на правата на гражданите на ЕС“, Комисията подчерта също необходимостта да се разрешат основните проблеми, които възпрепятстват гражданите на Съюза да се възползват от предимствата на цифровия единен пазар и трансграничните цифрови услуги.
(5)
В заключенията си от 4 февруари 2011 г. и от 23 октомври 2011 г. Европейският съвет прикани Комисията да съдейства за изграждането на цифров единен пазар до 2015 г., да ускори напредъка в ключови области на цифровата икономика и да насърчи цялостната интеграция на цифровия единен пазар чрез улесняване на трансграничното използване на онлайн услуги, и по-специално - чрез улесняване на сигурни електронна идентификация и електронно удостоверяване на автентичност.
(6)
В заключенията си от 27 май 2011 г. Съветът прикани Комисията да допринесе към цифровия единен пазар чрез създаването на подходящи условия за взаимно трансгранично признаване на ключовите фактори, като електронна идентификация, електронни документи, електронни подписи и услуги по електронно доставяне, и за оперативно съвместими услуги на електронното управление в целия Европейски съюз
(7)
Европейският парламент в резолюцията си от 21 септември 2010 г. относно доизграждането на вътрешния пазар по отношение на електронната търговия (4) подчерта значението на сигурността на електронните услуги, и по-конкретно на електронните подписи, както и на необходимостта от създаване на публична ключова инфраструктура на общоевропейско равнище, и призова Комисията да създаде Портал на европейските заверяващи органи, за да се гарантира трансгранична оперативна съвместимост на електронните подписи и да се повиши сигурността на трансакциите, извършвани по интернет.
(8)
С Директива 2006/123/ЕО на Европейския парламент и на Съвета (5) от държавите членки се изисква да установят „звена за единичен контакт“ (ЗЕК), чрез които да се гарантира, че всички процедури и формалности, свързани с достъпа до и упражняването на дейност по предоставяне на услуги, могат да бъдат лесно изпълнени от разстояние и по електронен път чрез съответното ЗЕК и със съответните компетентни органи. При редица онлайн услуги, достъпът до които се осъществява чрез ЗЕК, се изискват електронна идентификация, електронно удостоверяване на автентичност и електронен подпис.
(9)
В повечето случаи гражданите не могат да използват своята електронна идентификация за удостоверяване на идентичността си в друга държава членка, тъй като националните схеми за електронна идентификация в тяхната държава не се признават в други държави членки. Тази електронна бариера не позволява на доставчиците на услуги да се възползват в пълна степен от преимуществата на вътрешния пазар. Взаимното признаване на средствата за електронна идентификация ще улесни трансграничното предоставяне на редица услуги на вътрешния пазар и ще спомогне предприятията да извършват трансгранична дейност, без да се сблъскват с множество пречки при взаимодействието си с публичните органи.
(10)
С Директива 2011/24/ЕС на Европейския парламент и на Съвета (6) се установява мрежа от национални органи, отговорни за електронното здравеопазване. С цел повишаване на безопасността и непрекъсваемостта на трансграничното здравно обслужване от мрежата се изисква да разработва насоки за трансграничен достъп до електронни здравни данни и услуги, включително чрез подкрепа за „общи мерки за идентифициране и удостоверяване на автентичност с цел да се улесни възможността за предаване на данни при трансгранично здравно обслужване“. Взаимното признаване на електронната идентификация и електронното удостоверяване на автентичност е ключов фактор за превръщането на трансграничното здравно обслужване на европейските граждани в реалност. Когато хората пътуват с цел лечение, достъпът до тяхната здравна документация трябва да е възможен в държавата, където се извършва лечението. Това изисква солидна, сигурна и надеждна правна рамка по отношение на електронната идентификация.
(11)
Настоящият регламент следва да се прилага в пълно съответствие с принципите, свързани със защитата на личните данни, съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета (7). В това отношение, предвид принципа на взаимно признаване, установен с настоящия регламент, удостоверяването на автентичност за онлайн услуга следва да засяга обработването само на тези данни за идентификация, които са подходящи, от значение и не надхвърлят необходимото за получаването на достъп до тази онлайн услуга. Освен това доставчиците на удостоверителни услуги и надзорните органи следва да съблюдават изискванията по Директива 95/46/ЕО във връзка с поверителността и сигурността на обработването.
(12)
Една от целите на настоящия регламент е да се премахнат съществуващите бариери пред трансграничната употреба на използваните в отделните държави членки средства за електронна идентификация, за да се удостовери автентичност поне за обществените услуги. С него не се цели намеса по отношение на системите за управление на електронната самоличност и свързаните с тях инфраструктури, установени в държавите членки. Целта на настоящия регламент е да се гарантира, че при достъпа до трансгранични онлайн услуги, предлагани от държавите членки, е възможно да се осъществят сигурна електронна идентификация и сигурно електронно удостоверяване на автентичност.
(13)
Държавите членки следва да запазят правото си да използват или да въвеждат, за целите на електронната идентификация, средства за достъп до онлайн услуги. Те следва също да могат да решават дали да привлекат частния сектор в предоставянето на такива средства. Държавите членки следва да не бъдат задължени да уведомяват Комисията за своите схеми за електронна идентификация. Изборът дали да уведомят Комисията за всички или за някои от използваните на национално равнище схеми за електронна идентификация при достъп най-малкото до обществени онлайн услуги или специфични услуги, или да не уведомяват за никои от тях, зависи изцяло от държавите членки.
(14)
В настоящият регламент трябва да се определят някои условия във връзка с това, кои средства за електронна идентификация трябва да се признават, както и по какъв начин следва да става уведомяването за схемите за електронна идентификация. Тези условия следва да спомогнат за изграждането на необходимото доверие между държавите членки по отношение на използваните от тях схеми за електронна идентификация, както и за взаимното признаване на средствата за електронна идентификация, попадащи в обхвата на схемите, за които е извършено уведомяване. Принципът на взаимно признаване следва да се прилага, ако схемата за електронна идентификация на уведомяващата държава членка отговаря на условията за уведомяване и уведомлението е публикувано в Официален вестник на Европейския съюз. Принципът на взаимно признаване обаче следва да се отнася единствено за удостоверяването на автентичност за онлайн услуга. Достъпът до тези онлайн услуги и окончателното им доставяне на заявителя следва да бъдат тясно обвързани с правото на получаване на такива услуги според условията, определени в националното законодателство.
(15)
Задължението за признаване на средства за електронна идентификация следва да се отнася само до тези средства, чието ниво на осигуреност на самоличността съответства или надвишава нивото, необходимо за въпросната онлайн услуга. Освен това посоченото задължение следва да се отнася само за случаите, когато въпросният орган от публичния сектор прилага ниво на осигуреност „значително“ или „високо“ по отношение на достъпа до тази онлайн услуга. Държавите членки следва да могат и занапред, в съответствие с правото на Съюза, да признават средства за електронна идентификация с по-ниски нива на осигуреност на самоличността.
(16)
Нивата на осигуреност следва да характеризират степента на надеждност на средството за електронна идентификация при установяване на самоличността на дадено лице, като по този начин се гарантира, че лицето, претендиращо, че има определена самоличност, действително е лицето, на което е приписана тази самоличност. Нивото на осигуреност зависи от степента на надеждност, което средството за електронна идентификация предоставя по отношение на претендираната или заявена самоличност на дадено лице, като се вземат под внимание процесите (например доказване на самоличността и проверка, и удостоверяване на автентичността), управленските дейности (например издаването на средства за електронна идентификация от страна на даден субект и процедурата за издаване на такива средства) и извършваните технически проверки. Съществуват различни технически определения и описания за нива на осигуреност в резултат от финансирани от Съюза широкомащабни пилотни проекти, стандартизационни и международни дейности. По-конкретно широкомащабните пилотни проекти STORK и ISO 29115 се отнасят, наред с другото, за нива 2, 3 и 4, които следва да бъдат отчетени в максимална степен при установяване на минимални технически изисквания, стандарти и процедури за нива на осигуреност „ниско“, „значително“ и „високо“ по смисъла на настоящия регламент, като същевременно се осигури последователно прилагане на настоящия регламент, по-специално по отношение на нивото на осигуреност „високо“ във връзка с доказването на самоличността при издаване на квалифицирани удостоверения. Установените изисквания следва да бъдат неутрални по отношение на технологиите. Постигането на необходимите изисквания за сигурност следва да бъде възможно посредством различни технологии.
(17)
Държавите членки следва да насърчават частния сектор да ползва на доброволна основа средства за електронна идентификация в рамките на схема за идентификация, за която е извършено уведомяване, когато възникне такава нужда за онлайн услуги или електронни трансакции. Възможността да се използват такива средства за електронна идентификация би позволила на частния сектор да разчита на електронна идентификация и електронно удостоверяване на автентичност, които вече се използват широко в редица държави членки най-малко при обществените услуги, и би облекчила трансграничния достъп на предприятията и гражданите до онлайн услуги. За улеснение на трансграничното използване от частния сектор на такива средства за електронна идентификация предоставяната от всяка държава членка възможност за удостоверяване на автентичност следва да бъде на разположение на доверяващите се страни от частния сектор, установени извън територията на тази държава членка, при същите условия, които се прилагат спрямо доверяващите се страни от частния сектор, установени в тази държава членка. Следователно, по отношение на доверяващите се страни от частния сектор, уведомяващата държава членка може да определи условия за достъп до средството за удостоверяване на автентичност. Тези условия за достъп може да дават информация дали средството за удостоверяване на автентичност, отнасящо се до схемата, за която има уведомление, понастоящем е предоставено на разположение на доверяващи се страни от частния сектор.
(18)
В настоящия регламент следва да се предвиди, че уведомяващата държава членка, страната, издаваща средството за електронна идентификация, и страната, ръководеща процедурата по удостоверяване на автентичност, носят отговорност при неизпълнение на съответните си задължения по настоящия регламент. Независимо от това настоящият регламент следва да се прилага в съответствие с националните правила относно отговорността. Поради това той не засяга тези национални правила, например по отношение на определянето на щетите или приложимите процедурни правила, включително тежестта на доказване.
(19)
Сигурността на схемите за електронна идентификация е основен фактор за надеждно трансгранично взаимно признаване на средствата за електронна идентификация. В този контекст държавите членки следва да си сътрудничат по отношение на сигурността и оперативната съвместимост на схемите за електронна идентификация на равнището на Съюза. В случай че схемите за електронна идентификация правят необходимо използването от доверяващите се страни на национално равнище на специален хардуер или софтуер, трансграничната оперативна съвместимост изисква тези държави членки да не налагат на доверяващите се страни, установени извън тяхната територия, такива изисквания и свързани с тях разходи. В този случай следва да се обсъдят и разработят подходящи решения в границите на обхвата на рамката за оперативна съвместимост. Въпреки това техническите изисквания, които произтичат от свойствени за националните средства за електронна идентификация характеристики и които е вероятно да засегнат притежателите на такива електронни средства (например смарткарти), са неизбежни.
(20)
Сътрудничеството между държавите членки следва да спомага за техническата оперативна съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, за да се осигури високо равнище на доверие и сигурност, отговарящо на степента на риск. Обменът на информация и споделянето на добри практики между държавите членки с оглед на взаимното признаване между тях следва да спомагат за това сътрудничество.
(21)
С настоящия регламент следва да се установи и обща правна рамка за използването на удостоверителни услуги. Той обаче не следва да създава общо задължение за използването им или да създава точка за достъп за всички съществуващи удостоверителни услуги. По-специално той не следва да обхваща предоставянето на услуги, използвани изключително в рамките на затворени системи между определен набор от участници, които не оказват въздействие върху трети страни. Например системи, установени във фирмени или публични администрации за управлението на вътрешни процедури, които използват удостоверителни услуги, не следва да подлежат на изискванията по настоящия регламент. Единствено предоставяни на обществеността удостоверителни услуги, които оказват въздействие върху трети страни, следва да отговарят на изискванията, предвидени в настоящия регламент. Настоящият регламент не следва да обхваща и аспектите, свързани със сключването и действителността на договори или други правни задължения, когато в националното право или в правото на Съюза са предвидени изисквания по отношение на формата. Освен това той следва да не засяга националните изисквания за формата, които се отнасят до публичните регистри, и по-конкретно търговските и поземлените регистри.
(22)
С цел да се допринесе за общото им трансгранично използване, удостоверителните услуги следва да се допускат като доказателство при съдебни производства във всички държави членки. Правната сила на удостоверителните услуги се определя от националното право, освен ако в настоящия регламент не е предвидено друго.
(23)
Доколкото настоящият регламент създава задължение за признаване на удостоверителна услуга, тази удостоверителна услуга може да бъде отхвърлена само ако носителят на задължението не може да я прочете или провери поради технически причини извън неговия пряк контрол. Това задължение само по себе си обаче не следва да налага на публичен орган да се сдобива с хардуера и софтуера, необходими за техническото разчитане на всички съществуващи удостоверителни услуги.
(24)
В съответствие с правото на Съюза държавите членки могат да запазят националните си разпоредби или да въведат такива по отношение на удостоверителните услуги, доколкото тези услуги не са напълно хармонизирани с настоящия регламент. Удостоверителните услуги, които обаче отговарят на изискванията на настоящия регламент, следва да могат да се движат свободно на вътрешния пазар.
(25)
Държавите членки следва да запазят правото си да определят други видове удостоверителни услуги в допълнение към съдържащите се в изчерпателния списък на удостоверителни услуги, предвиден в настоящия регламент, за целите на признаването им на национално равнище като квалифицирани удостоверителни услуги.
(26)
С оглед на темповете на развитие на технологиите настоящият регламент следва да възприеме подход, който е открит към иновациите.
(27)
Настоящият регламент следва да бъде неутрален по отношение на технологиите. Произтичащите от него правни последици следва да могат да се постигнат с всякакви технически средства, при условие че са спазени изискванията на настоящия регламент.
(28)
С цел да се повиши доверието особено на малките и средните предприятия (МСП) и на потребителите във вътрешния пазар и да се насърчи използването на удостоверителни услуги и продукти, следва да се въведат понятията „квалифицирани удостоверителни услуги“ и „доставчик на квалифицирани удостоверителни услуги“, за да се определят изисквания и задължения, които гарантират висока степен на сигурност на всички използвани или предоставяни квалифицирани удостоверителни услуги и продукти.
(29)
В съответствие със задълженията по Конвенцията на Организацията на обединените нации за правата на хората с увреждания, одобрена с Решение 2010/48/ЕО на Съвета (8), и по-специално член 9 от Конвенцията, хората с увреждания следва да могат да използват удостоверителни услуги и продукти за крайния потребител, използвани при предоставянето на тези услуги, на равни начала с останалите потребители. Следователно когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хората с увреждания. Оценката за практическата осъществимост следва да включва, наред с другото, съображения от техническо и икономическо естество.
(30)
Държавите членки следва да определят надзорен орган или надзорни органи, които да извършват надзорните дейности по настоящия регламент. Освен това държавите членки следва да могат да вземат решение, при взаимно споразумение с друга държава членка, за определянето на надзорен орган на територията на тази друга държава членка.
(31)
Надзорните органи следва да си сътрудничат с органите по защита на данните, например като ги уведомяват за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има основания да се смята, че са нарушени правилата за защита на личните данни. Предоставянето на информация следва по-конкретно да обхваща инциденти, свързани със сигурността, и пробиви в защитата на личните данни.
(32)
Всички доставчици на удостоверителни услуги следва да бъдат задължени да използват добри практики по отношение на сигурността съобразно рисковете, свързани с тяхната дейност, така че да се стимулира доверието на потребителите в единния пазар.
(33)
Разпоредбите относно използването на псевдоними в удостоверенията следва да не възпрепятстват държавите членки да изискват идентификация на лицата в съответствие с правото на Съюза или националното право.
(34)
Всички държави членки следва да спазват общи основни изисквания по отношение на надзора, за да се гарантира съпоставимо ниво на сигурност на квалифицираните удостоверителни услуги. С цел да се улесни последователното прилагане на тези изисквания в целия Съюз, държавите членки следва да приемат съпоставими процедури и да обменят информация за своите надзорни дейности и най-добри практики в областта.
(35)
Спрямо всички доставчици на удостоверителни услуги следва да се прилагат изискванията на настоящия регламент, и по-специално изискванията по отношение на сигурността и отговорността за осигуряването на дължимата грижа, прозрачност и отчетност по отношение на техните операции и услуги. Същевременно обаче, като се взема предвид видът на услугите, предоставяни от доставчиците на удостоверителни услуги, е целесъобразно да се прави разграничение по отношение на тези изисквания между доставчиците на квалифицирани и неквалифицирани услуги.
(36)
Установяването на режим на надзор за всички доставчици на удостоверителни услуги следва да гарантира равни условия за сигурността и отчетността на извършваните от тях операции и услуги и така да допринесе за защитата на потребителите и функционирането на вътрешния пазар. Доставчиците на неквалифицирани удостоверителни услуги следва да подлежат на облекчена и ответна последваща надзорна дейност, обоснована от естеството на извършваните от тях услуги и операции. Поради това надзорният орган следва да няма общо задължение да извършва надзор на доставчиците на неквалифицирани услуги. Надзорният орган следва да предприема действия само когато е получил информация (например от самия доставчик на неквалифицирани удостоверителни услуги, от друг надзорен орган, чрез уведомяване от потребител или делови партньор или въз основа на собствено разследване), че доставчик на неквалифицирани удостоверителни услуги не спазва изискванията на настоящия регламент.
(37)
С настоящия регламент следва да се предвиди отговорност за всички доставчици на удостоверителни услуги. По-конкретно с регламента се установява режимът на отговорност, съгласно който всички доставчици на удостоверителни услуги следва да носят отговорност за щети, причинени на физическо или юридическо лице поради неспазване на задълженията по настоящия регламент. С цел да се улесни извършването на оценката на финансовия риск, който доставчиците на удостоверителни услуги може да се наложи да поемат или за който следва да осигурят покритие чрез застрахователни полици, с настоящия регламент се дава възможност на доставчиците на удостоверителни услуги да поставят, при определени условия, ограничения върху използването на предоставяните от тях услуги и да не носят отговорност за щети, произтичащи от използването на услуги, надхвърлящи тези ограничения. Клиентите следва да бъдат предварително и надлежно информирани за тези ограничения. Тези ограничения следва да са разпознаваеми от трета страна, например чрез включване на информация относно ограниченията в условията, при които се предоставя услугата, или по друг разпознаваем начин. С цел тези принципи да получат реално изражение, настоящият регламент следва да се прилага в съответствие с националните разпоредби относно отговорността. Поради това настоящият регламент не засяга тези национални разпоредби, например относно определението за щети, намерение, небрежност или съответните приложими процесуални разпоредби.
(38)
Уведомяването за пробиви в системите за сигурност и оценките на риска за сигурността са от съществено значение за предоставянето на адекватна информация на засегнатите страни в случай на пробив на сигурността или нарушаване на целостта на системите.
(39)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за уведомяване в случай на пробиви, надзорните органи следва да предоставят обобщена информация на Комисията и на Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA).
(40)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за засилен надзор, от надзорните органи следва да се изисква да докладват за своите дейности. Това би спомогнало за улесняване на обмена на добри практики между надзорните органи и би гарантирало проверката по отношение на последователното и ефикасно прилагане на основните изисквания за надзор във всички държави членки.
(41)
За осигуряване на устойчивост и трайност на квалифицираните удостоверителни услуги и за стимулиране на доверието на потребителите в тяхната непрекъснатост надзорните органи следва да проверяват наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си.
(42)
За улесняване на надзора върху доставчиците на квалифицирани удостоверителни услуги, например когато даден доставчик предлага услугите си на територията на друга държава членка, където не подлежи на надзор, или когато компютрите на даден доставчик се намират на територията на държава членка, различна от неговата държава по установяване, следва да се създаде система за взаимопомощ между надзорните органи на държавите членки.
(43)
С цел да се гарантира съответствието на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях услуги с установените в настоящия регламент изисквания, орган за оценяване на съответствието следва да извършва оценяване на съответствието, а изготвените доклади за оценяване на съответствието следва да се изпращат от доставчиците на квалифицирани удостоверителни услуги до надзорния орган. В случаите, когато надзорният орган изисква от доставчик на квалифицирана удостоверителна услуга да изпрати доклад за оценяване на съответствието ad hoc, надзорният орган следва да спазва в частност принципите на доброто управление, включително задължението да посочи мотиви за решенията си, както и принципа на пропорционалност. Поради това надзорният орган следва да мотивира надлежно решението си, изискващо оценяване на съответствието ad hoc.
(44)
Целта на настоящия регламент е да се осигури съгласувана рамка, така че да се предложи високо ниво на защита и правна сигурност на удостоверителните услуги. В това отношение, когато разглежда оценяването на съответствието на продукти и услуги, Комисията следва по целесъобразност да се стреми към единодействие със съществуващите европейски и международни схеми в областта, като например Регламент (ЕО) № 765/2008 на Европейския парламент и на Съвета (9), с който се определят изискванията за акредитация на органите за оценяване на съответствието и надзор на пазара на продуктите.
(45)
За да се позволи ефикасен процес на започване, който следва да доведе до включването на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги в доверителни списъци, следва да се насърчават предварителните контакти между евентуалните доставчици на квалифицирани удостоверителни услуги и компетентния надзорен орган с оглед улесняването на надлежни проверки, водещи до обезпечаването на квалифицирани удостоверителни услуги.
(46)
Доверителните списъци са съществени елементи за доверието между стопанските субекти, тъй като отразяват квалифицирания статут на даден доставчик на услуги, който подлежи на надзор.
(47)
Доверието в онлайн услугите и удобството при ползването им са изключително важни, за да могат потребителите напълно да се възползват от електронните услуги и съзнателно да разчитат на тях. За тази цел следва да се създаде марка за доверие на ЕС, за да се обозначават квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги. Такава марка за доверие на ЕС за квалифицирани удостоверителни услуги ще доведе до ясно разграничение на квалифицираните удостоверителни услуги от другите удостоверителни услуги, като по този начин се способства за прозрачността на пазара. Използването на марка за доверие на ЕС от доставчиците на квалифицирани удостоверителни услуги следва да бъде на доброволна основа и не следва да поражда други изисквания освен предвидените в настоящия регламент.
(48)
Наред с високата степен на сигурност, необходима за гарантиране на взаимното признаване на електронни подписи, в някои конкретни случаи, например в контекста на Решение № 2009/767/ЕО на Комисията (10), следва да се приемат и електронни подписи с по-ниска степен на сигурност.
(49)
С настоящия регламент следва да се установи принципът, че правната сила на електронен подпис не може да бъде оспорена на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирания електронен подпис. Правната сила на електронните подписи обаче се определя от националното право, с изключение на включените в настоящия регламент изисквания квалифицираният електронен подпис да има същата правна сила като саморъчния подпис.
(50)
Тъй като компетентните органи в държавите членки понастоящем използват различни формати на усъвършенствани електронни подписи, за да подпишат своите документи по електронен път, необходимо е в държавите членки да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни подписи при получаването на документи, подписани електронно. По подобен начин когато компетентните органи в държавите членки използват усъвършенствани електронни печати, ще бъде необходимо да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни печати.
(51)
Следва да се предостави възможност титулярят на електронния подпис да възлага обслужването на устройства за създаване на квалифицирани електронни подписи на трета страна, при условие че са въведени подходящи механизми и процедури, гарантиращи, че титулярят разполага с едноличен контрол върху използването на данните, свързани със създаването на електронния му подпис, и че при използването на устройството са изпълнени изискванията по отношение на квалифицирания електронен подпис.
(52)
Създаването на електронни подписи от разстояние, при което средата на създаване на електронен подпис се управлява от доставчик на удостоверителни услуги от името на титуляря на електронния подпис, се очаква да се развие поради многобройните икономически предимства, които предоставя. При все това, с цел да се гарантира, че тези електронни подписи получават същото правно признаване като електронните подписи, създавани в среда, изцяло управлявана от потребителя, доставчиците, които предлагат услуги на електронен подпис от разстояние, следва да прилагат специфични процедури за сигурността на управление и административната сигурност и да използват надеждни системи и продукти, включително сигурни електронни канали на комуникация, с цел да се гарантира надеждността на средата на създаване на електронния подпис и да се гарантира, че тази среда е използвана единствено под контрола на титуляря на електронния подпис. В случай на квалифициран електронен подпис, създаден чрез устройство за създаване на електронен подпис от разстояние, следва да се прилагат изискванията, приложими за доставчиците на квалифицирани удостоверителни услуги, които са изброени в настоящия регламент.
(53)
Спирането на валидността на квалифицираните удостоверения е установена оперативна практика на доставчиците на удостоверителни услуги в редица държави членки и се различава от отмяната по това, че води до временна загуба на валидност на дадено удостоверение. От съображения за правна сигурност е необходимо статутът на спиране на валидността на удостоверение винаги да е ясно отбелязан. За тази цел доставчиците на удостоверителни услуги следва да поемат отговорност ясно да отбелязват статута на удостоверението и, в случай че валидността му е спряна - точния срок на спиране. Настоящият регламент не следва да налага на доставчиците на удостоверителни услуги или на държавите членки да използват спирането, а по-скоро в регламента следва да се предвидят правила за прозрачност по отношение на условията, при които е възможно да се прибягва до него.
(54)
Трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения е предварително условие за трансграничното признаване на квалифицираните електронни подписи. Във връзка с това квалифицираните удостоверения не следва да подлежат на каквито и да било задължителни изисквания, надхвърлящи изискванията, предвидени в настоящия регламент. На национално равнище обаче включването в квалифицирани удостоверения на специфични данни, като например уникални идентификатори, следва да бъде позволено, при условие че тези специфични данни не възпрепятстват трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения и електронните подписи.
(55)
Сертифицирането на сигурността на информационните технологии на базата на международни стандарти като ISO 15408 и други подобни методи за оценка и механизми за взаимно признаване е важен инструмент за проверка на сигурността на устройствата за създаване на квалифициран електронен подпис и следва да се насърчава. Иновативните решения и услуги, като подписването чрез мобилни устройства и подписването в облак, обаче са основани на такива технически и организационни решения за устройствата за създаване на квалифициран електронен подпис, за които все още може да не са налице стандарти за сигурност или за които първото сертифициране на сигурността на информационните технологии е в процес на извършване. Равнището на сигурност на такива устройства за създаване на квалифициран електронен подпис може да бъде оценено чрез използване на алтернативни процеси само когато не са налице такива стандарти за сигурност или когато първото сертифициране на сигурността на информационните технологии е в процес на извършване. Тези процеси следва да са съпоставими със стандартите за сертифициране на сигурността на информационните технологии, доколкото техните равнища на сигурност са равностойни. Тези процеси могат да бъдат улеснени чрез партньорски проверки.
(56)
В настоящия регламент са определени изискванията за устройствата за създаване на квалифицирани електронни подписи с оглед да се осигури функционалността на усъвършенстваните електронни подписи. Настоящият регламент не следва да обхваща цялата системна среда, в която действат тези устройства. Поради това обхватът на сертифицирането на устройствата за създаване на квалифицирани електронни подписи следва да бъде ограничен до хардуера и системния софтуер, използвани за управлението и защитата на данните за създаване на електронен подпис, които са създадени, съхранявани или обработвани в устройството за създаване на електронен подпис. Както е описано подробно в съответните стандарти, обхватът на задължението за сертифициране не следва да включва приложения за създаване на електронен подпис.
(57)
С цел да се осигури правна сигурност относно валидността на подписа от съществено значение е да се уточнят подробно компонентите на квалифицирания електронен подпис, които следва да се подложат на оценяване от доверяващата се страна, извършваща валидирането. Освен това, чрез уточняването на изискванията към доставчиците на квалифицирани удостоверителни услуги, които могат да предоставят квалифицирана услуга по валидиране на доверяващи се страни, които не желаят или не са в състояние да извършват сами валидиране на квалифицирани електронни подписи, следва да се стимулират инвестициите в подобни услуги от страна на частния и публичния сектор. Двата елемента следва да направят валидирането на електронни подписи лесно и удобно за всички страни на равнището на Съюза.
(58)
Когато за дадена трансакция се изисква квалифициран електронен печат от юридическо лице, квалифицираният електронен подпис на упълномощения представител на юридическото лице следва да се приема равностойно.
(59)
Електронните печати следва да служат като доказателство, че даден електронен документ е издаден от юридическо лице, като гарантират надеждния произход и целостта на документа.
(60)
Доставчиците на удостоверителни услуги, които издават квалифицирани удостоверения за електронен печат, следва да изпълнят необходимите мерки, за да могат да установят самоличността на физическото лице, представляващо юридическото лице, на което е предоставено квалифицирано удостоверение за електронен печат, когато установяването на самоличността е необходимо на национално равнище в контекста на съдебно или административно производство.
(61)
Настоящият регламент следва да осигури дългосрочното съхраняване на информация, за да се осигури правната валидност на електронните подписи и електронните печати за продължителен период от време и да се гарантира, че те могат да бъдат валидирани независимо от бъдещи промени в технологиите.
(62)
С цел да се гарантира сигурността на квалифицираните електронни времеви печати, настоящият регламент следва да изисква използването на усъвършенстван електронен печат или усъвършенстван електронен подпис, или на други равностойни методи. Може да се предвиди, че е възможно иновациите да доведат до нови технологии, които могат да осигурят равностойно ниво на сигурност за времевите печати. Винаги когато се използва метод, различен от усъвършенстван електронен печат или усъвършенстван електронен подпис, доставчикът на квалифицирани удостоверителни услуги следва да докаже в доклада за оценяване на съответствието, че този метод осигурява равностойно ниво на сигурност и е съобразен със задълженията, определени в настоящия регламент.
(63)
Електронните документи са важни за по-нататъшното развитие на трансграничните електронни трансакции на вътрешния пазар. С настоящия регламент следва да се установи принципът, че правната сила на електронен документ не може да бъде оспорена на основанието, че той е в електронна форма, с цел да се гарантира, че електронна трансакция няма да бъде отхвърлена единствено на основанието, че даден документ е в електронна форма.
(64)
При разглеждането на формати на усъвършенствани електронни подписи и печати Комисията следва да се основава на съществуващите практики, стандарти и законодателство, и по-специално на Решение 2011/130/ЕС на Комисията (11).
(65)
Освен при удостоверяването на автентичността на документ, издаден от юридическо лице, електронните печати могат да се използват за удостоверяване на автентичността на цифровите активи на юридическо лице, като софтуерен код или сървъри.
(66)
Особено важно е да се предвиди правна рамка, която да улеснява трансграничното признаване на съществуващите национални правни системи, свързани с услугите за електронна препоръчана поща. Тази рамка би могла да открие и нови пазарни възможности за доставчиците на удостоверителни услуги от Съюза за предлагане на нови паневропейски услуги за електронна препоръчана поща.
(67)
Услугите по удостоверяване на автентичността на уебсайт осигуряват средство, с което посетител на уебсайт може да бъде уверен, че зад уебсайта стои реален и легитимен субект. Тези услуги допринасят за изграждането на доверието в осъществяването на стопанска дейност онлайн, тъй като потребителите ще имат доверие в уебсайт, чиято автентичност е била удостоверена. Предоставянето и използването на услугите по удостоверяване на автентичността на уебсайт са изцяло на доброволна основа. Въпреки това, с цел удостоверяването на автентичността на уебсайт да се превърне в средство за повишаване на доверието, за подобряване на работата на потребителя с уебсайта, както и за увеличаване на растежа в рамките на вътрешния пазар, настоящият регламент следва да установи минимални задължения за сигурност и отговорност за доставчиците и техните услуги. За тази цел бяха взети предвид резултатите от съществуващите инициативи на сектора, като например форума на сертифициращите органи/браузъри - CA/B Forum. В допълнение настоящият регламент не следва да възпрепятства използването на други средства или методи за удостоверяване на автентичността на уебсайт, които не попадат в обхвата на настоящия регламент, нито следва да попречи на доставчиците от трета държава на услуги по удостоверяване на автентичността на уебсайт да предоставят своите услуги на потребители в Съюза. При все това услугите по удостоверяване на автентичността на уебсайт, извършвани от доставчика от трета държава, следва да бъдат признати за квалифицирани в съответствие с настоящия регламент само ако има сключено международно споразумение между Съюза и държавата на установяване на доставчика.
(68)
Съгласно разпоредбите на Договора за функционирането на Европейския съюз (ДФЕС) относно установяването понятието „юридически лица“ оставя на субектите свободата да избират правно организационната форма, която смятат за подходяща за осъществяването на своята дейност. Следователно „юридически лица“ по смисъла на ДФЕС означава всички образувания, учредени или регламентирани съгласно правото на държава членка, независимо от тяхната правна форма.
(69)
Институциите, органите, службите и агенциите на Съюза се насърчават да признават електронната идентификация и удостоверителните услуги, обхванати от настоящия регламент, за целта на административното сътрудничество, като се възползват по-специално от съществуващите добри практики и резултатите от текущите проекти в областите от обхвата на настоящия регламент.
(70)
С цел допълване на някои подробни технически аспекти на настоящия регламент по гъвкав и бърз начин, в съответствие с член 290 ДФЕС на Комисията следва да се делегира правомощието да приема актове във връзка с критериите, които трябва да бъдат спазвани от органите, отговарящи за сертифицирането на устройства за създаване на квалифициран електронен подпис. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище. При подготовката и изготвянето на делегирани актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и на Съвета.
(71)
С цел да се осигурят еднакви условия за изпълнение на настоящия регламент на Комисията следва да бъдат предоставени изпълнителни правомощия, по-конкретно за определяне на референтните номера на стандартите, чието използване ще създаде презумпция за съответствие с някои изисквания, предвидени в настоящия регламент. Тези правомощия следва да се упражняват в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (12).
(72)
При приемането на делегирани актове или актове за изпълнение Комисията следва да взема надлежно предвид стандартите и техническите спецификации, разработвани в рамките на европейските и международните организации и органи по стандартизация, по-специално Европейския комитет по стандартизация (CEN), Европейския институт за стандарти в далекосъобщенията (ETSI), Международната организация по стандартизация (ISO) и Международния съюз по далекосъобщения (ITU), с оглед на това да се гарантират високо ниво на сигурност и оперативна съвместимост на електронната идентификация и удостоверителните услуги.
(73)
С оглед на правната сигурност и яснота Директива 1999/93/ЕО следва да бъде отменена.
(74)
За да се гарантира правна сигурност за стопанските субекти, които вече използват квалифицирани удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, е нужно да се предвиди достатъчно дълъг преходен период. По подобен начин следва да се установят преходни мерки за устройства за създаване на надежден подпис, чието съответствие е било определено в съответствие с Директива 1999/93/ЕО, както и за доставчиците на удостоверителни услуги, издаващи квалифицирани удостоверения преди 1 юли 2016 г. На последно място, необходимо е също на Комисията да се предоставят средства да приема актове за изпълнение и делегирани актове преди тази дата.
(75)
Датите на прилагане, определени в настоящия регламент, не засягат съществуващите задължения, които държавите членки вече имат по силата на правото на Съюза, и по-специално по Директива 2006/123/ЕО.
(76)
Доколкото целите на настоящия регламент не могат да бъдат постигнати в достатъчна степен от държавите членки, а следователно, с оглед обхвата на действието, могат да бъдат постигнати по-добре на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.
(77)
Проведена беше консултация с Европейския надзорен орган по защита на данните в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (13) и той даде становище на 27 септември 2012 г. (14),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С оглед да се гарантира правилното функциониране на вътрешния пазар, като същевременно се цели постигане на подходящо равнище на сигурност на средствата за електронна идентификация и удостоверителни услуги, с настоящия регламент:
а)
се определят условията, при които държавите членки признават средствата за електронна идентификация на физически и юридически лица, които средства попадат в обхвата на дадена схема за електронна идентификация на друга държава членка, за която е извършено уведомяване;
б)
се определят правилата за удостоверителните услуги, по-специално за електронни трансакции; и
в)
се установява правна рамка за електронните подписи, електронните печати, електронните времеви печати, електронните документи, услугите за електронна препоръчана поща и услугите по удостоверяване автентичността на уебсайтове.
Член 2
Обхват
1. Настоящият регламент се прилага за схеми за електронна идентификация, за които е извършено уведомяване от държава членка, както и за установени в Съюза доставчици на удостоверителни услуги.
2. Настоящият регламент не се прилага за предоставянето на удостоверителни услуги, използвани единствено в рамките на затворени системи, произтичащи от националното право или от споразумения между определен кръг от участници.
3. Настоящият регламент не засяга националното право или правото на Съюза, свързано със сключването и действителността на договори или други правни или процедурни задължения по отношение на формата.
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
1)
„електронна идентификация“ означава процес на използване на данни в електронна форма за идентификация на лица, които данни представляват по уникален начин дадено физическо или юридическо лице, или физическо лице, представляващо юридическо лице;
2)
„средство за електронна идентификация“ означава материална и/или нематериална единица, която съдържа данни за идентификация на лица, която се използва за удостоверяване на автентичност за онлайн услуга;
3)
„данни за идентификация на лица“ означава набор от данни, които позволяват да се установи самоличността на физическо или юридическо лице, или на физическо лице, представляващо юридическо лице;
4)
„схема за електронна идентификация“ означава система за електронна идентификация, при която средства за електронна идентификация се издават на физически или юридически лица, или физически лица, представляващи юридически лица;
5)
„удостоверяване на автентичност“ означава електронен процес, който позволява електронната идентификация на физическо или юридическо лице или потвърждаването на произхода и целостта на данни в електронна форма;
6)
„доверяваща се страна“ означава физическо или юридическо лице, което разчита на електронна идентификация или удостоверителна услуга;
7)
„орган от публичния сектор“ означава държавен, регионален или местен орган, публичноправна организация или сдружение, съставено от един или повече такива органи или от една или повече такива публичноправни организации, или частен субект, на който поне един от тези органи, организации или асоциации са възложили да предоставя обществени услуги, когато действа при условията на това възлагане;
8)
„публичноправна организация означава организация, както е определено в член 2, параграф 1, точка 4 от Директива 2014/24/ЕС на Европейския парламент и на Съвета (15);
9)
„титуляр на електронен подпис“ означава физическо лице, което създава електронен подпис;
10)
„електронен подпис“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, и които титулярят на електронния подпис използва, за да се подписва;
11)
„усъвършенстван електронен подпис“ означава електронен подпис, който отговаря на изискванията, посочени в член 26;
12)
„квалифициран електронен подпис“ означава усъвършенстван електронен подпис, който е създаден от устройство за създаване на квалифициран електронен подпис и се основава на квалифицирано удостоверение за електронни подписи;
13)
„данни за създаване на електронен подпис“ означава уникални данни, които се използват от титуляря на електронния подпис за създаването на електронен подпис;
14)
„удостоверение за електронен подпис“ означава електронен атестат, който свързва данните за валидиране на електронен подпис с физическо лице и потвърждава най-малко името или псевдонима на това лице;
15)
„квалифицирано удостоверение за електронен подпис“ означава удостоверение за електронни подписи, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение I;
16)
„удостоверителна услуга“ означава електронна услуга, обикновено предоставяна срещу възнаграждение, която се състои във:
а)
създаването, проверката и валидирането на електронни подписи, електронни печати или електронни времеви печати, услуги за електронна препоръчана поща, както и удостоверения, свързани с тези услуги; или
б)
създаването, проверката и валидирането на удостоверения за автентичност на уебсайт; или
в)
съхраняването на електронни подписи, печати или удостоверения, свързани с тези услуги;
17)
„квалифицирана удостоверителна услуга“ означава удостоверителна услуга, която отговаря на приложимите изисквания, определени в настоящия регламент;
18)
„орган за оценяване на съответствието“ означава орган съгласно определението в член 2, точка 13 от Регламент (ЕО) № 765/2008, който е акредитиран в съответствие със същия регламент като компетентен да извършва оценяване на съответствието на доставчик на квалифицирани удостоверителни услуги и на предоставяните от този доставчик квалифицирани удостоверителни услуги;
19)
„доставчик на удостоверителни услуги“ означава физическо или юридическо лице, което предоставя една или повече удостоверителни услуги като доставчик на квалифицирани или на неквалифицирани удостоверителни услуги;
20)
„доставчик на квалифицирани удостоверителни услуги“ означава доставчик на удостоверителни услуги, който предоставя една или повече квалифицирани удостоверителни услуги и е получил квалифицирания си статут от надзорен орган;
21)
„продукт“ означава хардуер, софтуер или съответните компоненти на хардуер или софтуер, предвидени да се използват при предоставянето на удостоверителни услуги;
22)
„устройство за създаване на електронен подпис“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен подпис;
23)
„устройство за създаване на квалифициран електронен подпис“ означава устройство за създаване на електронен подпис, което отговаря на изискванията, предвидени в приложение II;
24)
„създател на печат“ означава юридическо лице, което създава електронен печат;
25)
„електронен печат“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, за да се гарантират произходът и целостта на последните;
26)
„усъвършенстван електронен печат“ означава електронен печат, който отговаря на изискванията, посочени в член 36;
27)
„квалифициран електронен печат“ означава усъвършенстван електронен печат, който е създаден от устройство за създаване на квалифициран електронен печат и се основава на квалифицирано удостоверение за електронен печат;
28)
„данни за създаване на електронен печат“ означава уникални данни, които се използват от създателя на електронния печат за създаването на електронен печат;
29)
„удостоверение за електронен печат“ означава електронен атестат, който свързва данните за валидиране на електронен печат с юридическо лице и потвърждава името на това лице;
30)
„квалифицирано удостоверение за електронен печат“ означава удостоверение за електронен печат, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение III;
31)
„устройство за създаване на електронен печат“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен печат;
32)
„устройство за създаване на квалифициран електронен печат“ означава устройство за създаване на електронен печат, което отговаря mutatis mutandis на изискванията, предвидени в приложение II;
33)
„електронен времеви печат“ означава данни в електронна форма, които свързват други данни в електронна форма с конкретен момент във времето и представляват доказателство, че последните данни са съществували в съответния момент;
34)
„квалифициран електронен времеви печат“ означава електронен времеви печат, който отговаря на изискванията, предвидени в член 42;
35)
„електронен документ“ означава всяко съдържание, съхранявано в електронна форма, по-специално текстови или звуков, визуален или аудио-визуален запис;
36)
„услуга за електронна препоръчана поща“ означава услуга, която позволява предаването на данни между трети страни по електронен път, предоставя доказателство във връзка с обработката на предаваните данни, включително доказателство за изпращането и получаването на данните, и защитава предаваните данни срещу риск от загуба, кражба, повреда или непозволени изменения;
37)
„квалифицирана услуга за електронна препоръчана поща“ означава услуга за електронна препоръчана поща, която отговаря на изискванията, предвидени в член 44;
38)
„удостоверение за автентичност на уебсайт“ означава удостоверение, което позволява да се удостовери автентичността на уебсайт, като го свързва с физическото или юридическото лице, на което е издадено удостоверението;
39)
„квалифицирано удостоверение за автентичност на уебсайт“ означава удостоверение за автентичност на уебсайт, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение IV;
40)
„данни за валидиране“ означава данни, които се използват за валидиране на електронен подпис или електронен печат;
41)
„валидиране“ означава процеса на проверка и потвърждаване на валидността на електронен подпис или печат.
Член 4
Принцип на вътрешния пазар
1. Предоставянето на удостоверителни услуги на територията на държава членка от доставчик на удостоверителни услуги, установен в друга държава членка, не подлежи на ограничения на основания, които попадат в обхвата на настоящия регламент.
2. Продуктите и удостоверителните услуги, които отговарят на изискванията на настоящия регламент, са разрешени за свободно движение в рамките на вътрешния пазар.
Член 5
Обработка и защита на данни
1. Обработката на лични данни се извършва в съответствие с Директива 95/46/ЕО.
2. Без да се засяга правната сила, дадена на псевдонимите съгласно националното право, няма забрана за използване на псевдоними при електронни трансакции.
ГЛАВА II
ЕЛЕКТРОННА ИДЕНТИФИКАЦИЯ
Член 6
Взаимно признаване
1. Когато националното право или административната практика изискват електронна идентификация чрез средства за електронна идентификация и удостоверяване на автентичност за достъпа до дадена услуга, предоставяна онлайн от орган от публичния сектор в една държава членка, средствата за електронна идентификация, издадени в друга държава членка, се признават в първата държава членка за целите на трансграничното удостоверяване на автентичност за тази онлайн услуга, при условие че са изпълнени следните условия:
а)
средствата за електронна идентификация се издават в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9;
б)
нивото на осигуреност на средствата за електронна идентификация съответства на ниво на осигуреност, равно или по-високо от нивото на осигуреност, изисквано от съответния орган от публичния сектор, за онлайн достъпа до тази услуга в първата държава членка, при условие че нивото на осигуреност на тези средства за електронна идентификация съответства на ниво на осигуреност „значително“ или „високо“;
в)
съответният орган от публичния сектор използва ниво на осигуреност „значително“ или „високо“ по отношение на онлайн достъпа до тази услуга.
Това признаване се извършва не по-късно от 12 месеца след като Комисията публикува списъка, посочен в първа алинея, буква а).
2. Средствата за електронна идентификация, издадени в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9, които съответстват на ниво на осигуреност „ниско“, могат да бъдат признати от органи от публичния сектор за целите на трансгранично удостоверяване на автентичност за услугите, предоставяни онлайн от тези органи.
Член 7
Допускане за уведомяване относно схеми за електронна идентификация
Дадена схема за електронна идентификация се допуска за уведомяване съгласно член 9, параграф 1, ако всяко едно от следните условия е изпълнено:
а)
средствата за електронна идентификация в рамките на схемата за електронна идентификация са издадени:
i)
от уведомяващата държава членка;
ii)
по поръчение на уведомяващата държава членка; или
iii)
независимо от уведомяващата държава членка и са признати от тази държава членка;
б)
средствата за електронна идентификация в рамките на схемата за електронна идентификация могат да бъдат използвани за достъп до най-малко една услуга, която е предоставяна от орган от публичния сектор и която изисква електронна идентификация в уведомяващата държава членка;
в)
схемата за елетронна идентификация и издаваните по нея средства за електронна идентификация отговарят на изискванията на поне едно от нивата на осигуреност, предвидени в акта за изпълнение, установени в член 8, параграф 3;
г)
уведомяващата държава членка гарантира, че данните за идентификация на лицето, представляващи по уникален начин въпросното лице, се приписват на физическото или юридическото лице, посочено в член 3, точка 1, в момента на издаване на средството за електронна идентификация в рамките на тази схема в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
д)
страната, издаваща електронното средство за идентификация в рамките на тази схема, гарантира, че средството за електронна идентификация се приписва на лицето, посочено в буква г) от настоящия член, в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
е)
уведомяващата държава членка осигурява възможност за удостоверяване на автентичност онлайн, така че всяка доверяваща се страна, установена на територията на друга държава членка, да може да потвърди данните за идентификация на лицето, получени в електронна форма.
За доверяващи се страни, различни от органи от публичния сектор, уведомяващата държава членка може да определи условия за достъп до това удостоверяване на автентичност. Трансграничното удостоверяване на автентичност се предоставя безплатно, когато се извършва във връзка с онлайн услуга, предоставяна от орган от публичния сектор.
Държавите членки не налагат никакви специфични несъразмерни технически изисквания за доверяващи се страни, които възнамеряват да извършват такова удостоверяване на автентичност, когато тези изисквания пречат на оперативната съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, или сериозно я възпрепятстват;
ж)
най-малко шест месеца преди уведомяването по член 9, параграф 1 уведомяващата държава членка предоставя на останалите държави членки за целите на задължението по член 12, параграф 5 описание на въпросната схема в съответствие с процедурните условия, установени в посочените в член 12, параграф 7 актове за изпълнение;
з)
схемата за електронна идентификация отговаря на изискванията, установени в акта за изпълнение, посочен в член 12, параграф 8.
Член 8
Нива на осигуреност на схеми за електронна идентификация
1. Схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, включва определяне на нива на осигуреност „ниско“, „значително“ и/или „високо“, приписвани на средства за електронна идентификация, издавани в рамките на тази схема.
2. Нивата на осигуреност „ниско“, „значително“ и „високо“ отговарят съответно на следните критерии:
а)
ниво на осигуреност „ниско“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя ограничена степен на надеждност на претендираната или заявената самоличност на дадено лице, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
б)
ниво на осигуреност „значително“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя значителна степен на надеждност на претендираната или заявената самоличност на дадено лице и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
в)
ниво на осигуреност „високо“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя по-висока степен на надеждност на претендираната или заявената самоличност на дадено лице, отколкото средствата за електронна идентификация с ниво на осигуреност „значително“, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се предотврати злоупотреба или промяна на самоличността.
3. До 18 септември 2015 г., като отчита съответните международни стандарти и при спазване на параграф 2, Комисията установява посредством актове за изпълнение минимални технически спецификации, стандарти и процедури, по отношение на които за целите на параграф 1 се определят нива на осигуреност „ниско“, „значително“ и „високо“ за средства за електронна идентификация.
Тези минимални технически спецификации, стандарти и процедури се установяват въз основа на надеждността и качеството на следните елементи:
а)
процедурата за доказване и проверка на самоличността на физически или юридически лица, подаващи искане за издаване на средство за електронна идентификация;
б)
процедурата по издаване на поисканото средство за електронна идентификация;
в)
механизма за удостоверяване на автентичност, чрез който физическото или юридическото лице използва средството за електронна идентификация, за да потвърди своята самоличност на доверяваща се страна;
г)
субекта, издаващ средството за електронна идентификация;
д)
всеки друг орган, имащ отношение към заявлението за издаване на средството за електронна идентификация; и
е)
техническите спецификации и спецификациите за сигурността на издаваните средства за електронна идентификация.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 9
Уведомяване
1. Уведомяващата държава членка уведомява Комисията за следната информация и без излишно забавяне съобщава за всички последващи изменения в нея:
а)
описание на схемата за електронна идентификация, включително нивата на осигуреност и издателя или издателите на средството за електронна идентификация в рамките на схемата;
б)
приложимия режим на надзор и информация за режима на отговорност по отношение на следното:
i)
страната, която издава средството за електронна идентификация; и
ii)
страната, която извършва процедурата по удостоверяване на автентичността;
в)
органа или органите, отговарящи за схемата за електронна идентификация;
г)
информация за субекта или субектите, които управляват регистрацията на уникалните идентификационни данни на лицата;
д)
описание как са спазени изискванията, установени в актовете за изпълнение, посочени в член 12, параграф 8;
е)
описание на удостоверяването на автентичността, посочено в член 7, буква е);
ж)
условията за спиране или отмяна на схемата за електронна идентификация, за която е извършено уведомяване, или на удостоверяването на автентичност, или на съответните застрашени части.
2. Една година след датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8, Комисията публикува в Официален вестник на Европейския съюз списък на схемите за електронна идентификация, за които е извършено уведомяване съгласно параграф 1 от настоящия член, и свързаната с тях основна информация.
3. Ако Комисията получи уведомление след изтичане на срока, посочен в параграф 2, тя публикува в Официален вестник на Европейския съюз измененията на списъка, посочен в параграф 2, в рамките на два месеца от датата на получаване на уведомлението.
4. Държава членка може да подаде в Комисията искане схема за електронна идентификация, за която същата държава членка е извършила уведомяване, да бъде заличена от списъка по параграф 2. Комисията публикува в Официален вестник на Европейския съюз съответните изменения на списъка в рамките на един месец от датата на получаване на искането на държавата членка.
5. Комисията може посредством актове за изпълнение да определи обстоятелствата, форматите и процедурите по отношение на уведомленията по параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 10
Пробив в сигурността
1. Ако схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, или удостоверяването на автентичност, посочено в член 7, буква е), са нарушени или частично застрашени по начин, който засяга надеждността на трансграничното удостоверяване на автентичност на тази схема, уведомяващата държава членка незабавно спира или отменя това трансгранично удостоверяване на автентичност или съответните застрашени части и информира другите държави членки и Комисията.
2. Когато пробивът или застрашаването на сигурността, посочени в параграф 1, бъдат отстранени, уведомяващата държава членка възобновява трансграничното удостоверяване на автентичност и без неоснователно забавяне информира другите държави членки и Комисията.
3. Ако пробивът или нарушаването на сигурността, посочени в параграф 1, не бъдат отстранени в рамките на три месеца от спирането или отмяната, уведомяващата държава членка информира другите държави членки и Комисията за прекратяването на схемата за електронна идентификация.
Комисията публикува без неоснователно забавяне съответните изменения на списъка по член 9, параграф 2 в Официален вестник на Европейския съюз.
Член 11
Отговорност
1. За неспазване на задълженията си по член 7, букви г) и е) при трансгранична трансакция уведомяващата държава членка носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице.
2. Страната, издаваща средството за електронна идентификация, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задължението по член 7, буква д) при трансгранична трансакция.
3. Страната, извършващ процедурата по удостоверяване на автентичност, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неспособност да гарантира правилното функциониране на удостоверяването на автентичност по член 7, буква е) при трансгранична трансакция.
4. Параграфи 1, 2 и 3 се прилагат в съответствие с националните правила относно отговорността.
5. Параграфи 1, 2 и 3 не засягат отговорността - съгласно националното право - на страните по трансакция, при която се използват средства за електронна идентификация, попадащи в обхвата на схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1.
Член 12
Сътрудничество и оперативна съвместимост
1. Националните схеми за електронна идентификация, за които се извършва уведомяване съгласно член 9, параграф 1, са оперативно съвместими.
2. За целите на параграф 1 се установява рамка за оперативна съвместимост.
3. Рамката за оперативна съвместимост отговаря на следните критерии:
а)
има за цел да е технологично неутрална и не допуска дискриминация между специфичните национални технически решения за електронна идентификация в рамките на дадена държава членка;
б)
спазва европейските и международните стандарти, когато това е възможно;
в)
улеснява спазването на принципа за защита на личния живот още при разработването; и
г)
гарантира, че личните данни се обработват в съответствие с Директива 95/46/ЕО.
4. Рамката за оперативна съвместимост се състои от:
а)
задаване на минимални технически изисквания във връзка с нивата на осигуреност съгласно член 8;
б)
категоризиране на националните нива на осигуреност на схемите на електронна идентификация, за които е извършено уведомяване, по нива на осигуреност съгласно член 8;
в)
задаване на минимални технически изисквания за оперативна съвместимост;
г)
задаване на минимален набор от данни за идентификация на лицето, представляващи по уникален начин физическо или юридическо лице, които са достъпни посредством схеми за електронна идентификация;
д)
процедурни правила;
е)
механизми за уреждане на спорове; и
ж)
общи оперативни стандарти за сигурност.
5. Държавите членки си сътрудничат по следните въпроси:
а)
оперативна съвместимост на схеми за електронна идентификация, за които е извършено уведомяване съгласно член 9, параграф 1, и на схеми за електронна идентификация, за които държавите членки имат намерение да направят уведомяване; и
б)
сигурност на схемите за електронна идентификация.
6. Сътрудничеството между държавите членки се състои от:
а)
обмена на информация, опит и добри практики във връзка със схемите за електронна идентификация, и по-специално във връзка с техническите изисквания, свързани с оперативната съвместимост и нивата на осигуреност;
б)
обмена на информация, опит и добри практики във връзка с използването на нивата на осигуреност на схемите за електронна идентификация съгласно член 8;
в)
партньорска проверка на схемите за електронна идентификация, попадащи в обхвата на настоящия регламент; и
г)
анализ на значимите новости в сектора на електронната идентификация.
7. С оглед постигането на висока степен на доверие и сигурност, отговарящи на степента на риск, до 18 март 2015 г. Комисията установява посредством актове за изпълнение процедурните условия, необходими за улесняване на сътрудничеството между държавите членки, посочено в параграфи 5 и 6.
8. С цел да се установят еднакви условия за изпълнение на изискването по параграф 1, до 18 септември 2015 г. Комисията, като спазва критериите по параграф 3 и като отчита резултатите от сътрудничеството между държавите членки, приема актове за изпълнение относно рамка за оперативна съвместимост съгласно установеното в параграф 4.
9. Актовете за изпълнение, посочени в параграфи 7 и 8 от настоящия член, се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА III
УДОСТОВЕРИТЕЛНИ УСЛУГИ
РАЗДЕЛ 1
Общи разпоредби
Член 13
Отговорност и тежест на доказване
1. Без да се засяга параграф 2, доставчиците на удостоверителни услуги носят отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задълженията по настоящия регламент.
Тежестта на доказване, че щетите са били нанесени умишлено или поради небрежност от страна на доставчик на неквалифицирани удостоверителни услуги, пада върху физическото или юридическото лице, подало иск във връзка с щетите, посочени в първа алинея.
Наличието на умисъл или небрежност от страна на доставчик на квалифицирани удостоверителни услуги се презюмира, освен ако този доставчик на квалифицирани удостоверителни услуги докаже, че посочените в първа алинея щети са настъпили без умисъл или небрежност от страна на същия доставчик на квалифицирани удостоверителни услуги.
2. Когато доставчици на удостоверителни услуги информират надлежно и предварително своите клиенти относно ограниченията върху използването на предоставяните от тях услуги и когато тези ограничения са разпознаваеми за трети страни, доставчиците на удостоверителни услуги не носят отговорност за щети, произтичащи от използване на услугите по начин, превишаващ посочените ограничения.
3. Параграфи 1 и 2 се прилагат в съответствие с националните правила относно отговорността.
Член 14
Международни аспекти
1. Удостоверителните услуги, предоставяни от доставчици на удостоверителни услуги, установени в трета държава, се признават за равностойни от правна гледна точка на квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, ако удостоверителните услуги с произход от трета държава са признати съгласно споразумение, сключено между Съюза и въпросната трета държава или международна организация в съответствие с член 218 от ДФЕС.
2. Споразуменията, посочени в параграф 1, гарантират по-специално, че:
а)
изискванията, приложими спрямо доставчици на квалифицирани удостоверителни услуги, установени в Съюза, и предоставяните от тях квалифицирани удостоверителни услуги, са спазени от доставчиците на удостоверителни услуги в третата държава или международните организации, с които е сключено споразумението, и от предоставяните от тях удостоверителни услуги;
б)
квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, са признати за равностойни от правна гледна точка на удостоверителни услуги, предоставяни от доставчици на удостоверителни услуги в третата държава или международна организация, с която е сключено споразумението.
Член 15
Достъпност за хора с увреждания
Когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хора с увреждания.
Член 16
Санкции
Държавите членки определят правилата относно санкциите, приложими при нарушаване на настоящия регламент. Предвидените санкции са ефективни, пропорционални и възпиращи.
РАЗДЕЛ 2
Надзор
Член 17
Надзорен орган
1. Държавите членки определят надзорен орган, установен на тяхна територия, или, при наличие на взаимно споразумение с друга държава членка, надзорен орган, установен във въпросната друга държава членка. Този орган е отговорен за изпълнението на задачите по надзора в определящата държава членка.
На надзорните органи се предоставят необходимите правомощия и достатъчни ресурси за изпълнението на техните задачи.
2. Държавите членки съобщават на Комисията наименованията и адресите на определените от тях надзорни органи.
3. Функцията на на надзорния орган е следната:
а)
да осъществява надзор върху доставчици на квалифицирани удостоверителни услуги, установени на територията на определящата държава членка, за да се гарантира, посредством предварителни и последващи действия по надзора, че тези доставчици на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, предвидени в настоящия регламент;
б)
при необходимост да предприема действия по отношение на доставчици на неквалифицирани удостоверителни услуги, установени на територията на определящата държава членка, посредством последващи действия по надзора, когато получи информация, съгласно която се твърди, че тези доставчици на неквалифицирани удостоверителни услуги или предоставяните от тях удостоверителни услуги не отговарят на изискванията, предвидени в настоящия регламент.
4. За целите на параграф 3 и при спазване на предвидените в него ограничения задачите на надзорния орган включват по-конкретно:
а)
да си сътрудничи с други надзорни органи и да им оказва съдействие в съответствие с член 18;
б)
да анализира докладите за оценяване на съответствието, посочени в член 20, параграф 1 и член 21, параграф 1;
в)
да информира други надзорни органи и обществеността за пробиви в сигурността или нарушаване на целостта в съответствие с член 19, параграф 2;
г)
да докладва на Комисията за своите основни дейности в съответствие с параграф 6 от настоящия член;
д)
да извършва одити или да изисква от орган за оценяване на съответствието да проведе оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги в съответствие с член 20, параграф 2;
е)
да си сътрудничи с органите по защита на данните, по-специално като без неоснователно забавяне ги информира за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има предполагаеми нарушения на правилата за защита на личните данни;
ж)
да предоставя квалифициран статут на доставчици на удостоверителни услуги и на предоставяните от тях услуги и да отнема този статут в съответствие с членове 20 и 21;
з)
да информира органа, отговорен за националния доверителен списък, посочен в член 22, параграф 3, за своите решения за представяне или отнемане на квалифициран статут, освен в случаите, когато въпросният орган е и надзорен орган;
и)
да проверява наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си, включително относно начините за запазване на достъпа до информацията в съответствие с член 24, параграф 2, буква з);
й)
да изисква от доставчиците на удостоверителни услуги да отстранят всяко неизпълнение на изискванията, посочени в настоящия регламент.
5. Държавите членки могат да изискват от надзорния орган да изгражда, поддържа и актуализира инфраструктура за удостоверяване в съответствие с условията по националното право.
6. Всяка година до 31 март всеки надзорен орган изпраща на Комисията доклад относно основните си дейности през предходната календарна година, наред с обобщена информация относно уведомленията за нарушения, получени от доставчици на удостоверителни услуги, в съответствие с член 19, параграф 2.
7. Комисията предоставя на държавите членки годишния доклад, посочен в параграф 6.
8. Комисията може да определи посредством актове за изпълнение форматите и процедурите по отношение на доклада, посочен в параграф 6. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 18
Взаимопомощ
1. Надзорните органи си сътрудничат с оглед обмен на добри практики.
Всеки надзорен орган, при получаване на обосновано искане от друг надзорен орган, му осигурява помощта, необходима за последователното осъществяване на дейностите на надзорните органи. Взаимопомощта може да обхваща по-специално искания за информация, както и надзорни мерки, като искания за извършване на проверки, свързани с докладите за оценяване на съответствието, както е посочено в членове 20 и 21.
2. Надзорен орган, до който е изпратено искане за помощ, може да откаже да го изпълни на някое от следните основания:
а)
надзорният орган не е компетентен да предостави исканата помощ;
б)
исканата помощ не е пропорционална на надзорните функции, изпълнявани от надзорния орган в съответствие с член 17;
в)
при условие че исканата помощ би била несъвместима с настоящия регламент.
3. При необходимост държавите членки могат да разрешат на съответните си надзорни органи да провеждат съвместни разследвания, в които участват служители на надзорни органи от други държави членки. Механизмите и процедурите за осъществяването на тези съвместни действия се договарят и установяват от съответните държави членки съгласно националното им право.
Член 19
Изисквания за сигурност, които се прилагат към доставчиците на удостоверителни услуги
1. Доставчиците на квалифицирани и неквалифицирани удостоверителни услуги предприемат подходящи технически и организационни мерки за управление на рисковете за сигурността на предоставяните от тях удостоверителни услуги. При тези мерки се вземат предвид най-новите технически достижения, за да се гарантира, че равнището на сигурност е пропорционално на степента на риска. В частност се предприемат мерки за предотвратяване и свеждане до минимум на въздействието на инциденти, свързани със сигурността, и за информиране на заинтересованите страни относно нежеланите последици от такива инциденти.
2. В случай на пробив в сигурността или нарушаване на целостта, които имат съществено въздействие върху предоставяната удостоверителна услуга или върху съхраняваните лични данни, доставчиците на квалифицирани и неквалифицирани удостоверителни услуги уведомяват за това без излишно забавяне, но при всички случаи в срок от 24 часа от момента, в който са узнали за настъпилото събитие, надзорния орган и, когато е приложимо, други компетентни органи, например компетентния национален орган в областта на информационната сигурност или органа по защита на данните.
Когато има вероятност пробивът в сигурността или нарушаването на целостта да окажат негативно въздействие върху физическо или юридическо лице, на което е предоставена удостоверителната услуга, доставчикът на удостоверителни услуги уведомява без излишно забавяне за пробива в сигурността или нарушаването на целостта и въпросното физическо или юридическо лице.
При необходимост, и особено ако пробивът в сигурността или нарушаването на целостта засягат две или повече държави членки, уведоменият надзорен орган информира надзорните органи в останалите засегнати държави членки и ENISA.
Ако прецени, че разгласяването на пробива в сигурността или нарушаването на целостта е в обществен интерес, уведоменият надзорен орган информира обществеността или изисква от доставчика на удостоверителни услуги да направи това.
3. Веднъж годишно надзорният орган представя на ENISA обобщение на уведомленията за пробиви в сигурността и нарушения на целостта, получени от доставчиците на удостоверителни услуги.
4. Комисията може посредством актове за изпълнение:
а)
да уточни допълнително мерките, посочени в параграф 1; и
б)
да определи форматите и процедурите, включително сроковете, приложими за целите на параграф 2.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 3
Квалифицирани удостоверителни услуги
Член 20
Надзор над доставчиците на квалифицирани удостоверителни услуги
1. Доставчиците на квалифицирани удостоверителни услуги са обект на одит най-малко веднъж на 24 месеца за тяхна собствена сметка от орган за оценяване на съответствието. Целта на одита е да се потвърди, че доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Доставчиците на квалифицирани удостоверителни услуги представят на надзорния орган съответния доклад за оценяване на съответствието в срок от три работни дни след като го получат.
2. Без да се засяга параграф 1, надзорният орган може по всяко време да извърши одит или да поиска от орган за оценяване на съответствието да направи оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги за тяхна собствена сметка, за да потвърди, че те и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Ако има съмнение, че са нарушени правилата за защита на личните данни, надзорният орган уведомява за резултатите от своите одити органите по защита на данните.
3. Ако надзорният орган поиска от доставчика на квалифицирани удостоверителни услуги да вземе мерки, за да изпълни неизпълнените от него изисквания по настоящия регламент, и ако този доставчик не предприеме необходимите действия, ако е приложимо, в определения от надзорния орган срок, надзорният орган, като вземе под внимание по-специално степента, продължителността и последиците от това неизпълнение, може да отнеме квалифицирания статут на този доставчик или на съответната предоставяна от него услуга и да информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1. Надзорният орган уведомява доставчика на квалифицирани удостоверителни услуги за отнемането на неговия квалифициран статут или на квалифицирания статут на съответната услуга.
4. Посредством актове за изпълнение Комисията може да определи референтните номера на следните стандарти:
а)
за акредитацията на органите за оценяване на съответствието и за доклада за оценяване на съответствието, посочени в параграф 1;
б)
за правилата за извършване на одит, според които органите за оценяване на съответствието ще извършват своето оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги, както е посочено в параграф 1.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 21
Начало на предоставянето на квалифицирана удостоверителна услуга
1. Когато доставчици на удостоверителни услуги без квалифициран статут възнамеряват да започнат да предоставят квалифицирани удостоверителни услуги, те изпращат на надзорния орган уведомление за намерението си заедно с доклад за оценяване на съответствието, съставен от органа за оценяване на съответствието.
2. Надзорният орган проверява дали доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент, и по-специално на изискванията за доставчиците на квалифицирани удостоверителни услуги и за предоставяните от тях квалифицирани удостоверителни услуги.
Ако надзорният орган прецени, че доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в първа алинея, надзорният орган предоставя квалифициран статут на доставчика на удостоверителни услуги и на предоставяните от него удостоверителни услуги и информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1 в срок от три месеца след уведомяването съгласно параграф 1 от настоящия член.
Ако проверката не приключи в тримесечен срок от уведомяването, надзорният орган информира доставчика на удостоверителни услуги, като посочва причините за забавянето и срока, в който трябва да приключи проверката.
3. Доставчиците на квалифицирани удостоверителни услуги могат да започнат да предоставят квалифицирани удостоверителни услуги, след като квалифицираният статут бъде отбелязан в доверителните списъци, посочени в член 22, параграф 1.
4. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграфи 1 и 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 22
Доверителни списъци
1. Всяка държава членка създава, поддържа и публикува доверителни списъци, които съдържат информация за доставчиците на квалифицирани удостоверителни услуги, за които носи отговорност, както и за предоставяните от тези доставчици квалифицирани удостоверителни услуги.
2. Държавите членки създават, поддържат и публикуват по сигурен начин предвидените в параграф 1 доверителни списъци, които са подписани и подпечатани по електронен път във форма, подходяща за автоматизирана обработка.
3. Държавите членки уведомяват без излишно забавяне Комисията за органа, натоварен със създаването, поддържането и публикуването на националните доверителни списъци, за мястото, където се публикуват тези списъци, за удостоверенията, които се използват за подписване или подпечатване на доверителни списъци, както и за всички последващи промени в тях.
4. Комисията предоставя на обществеността чрез сигурен канал информацията, посочена в параграф 3, подписана и подпечатана по електронен път и във форма, подходяща за автоматизирана обработка.
5. До 18 септември 2015 г. Комисията посредством актове за изпълнение уточнява информацията, посочена в параграф 1, и определя техническите спецификации и форматите на доверителните списъци за целите на параграфи 1-4. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 23
Марка за доверие на ЕС за квалифицирани удостоверителни услуги
1. След като посоченият в член 21, параграф 2, втора алинея квалифициран статут бъде отбелязан в доверителния списък по член 22, параграф 1, доставчиците на квалифицирани удостоверителни услуги могат да използват марката за доверие на ЕС, за да обозначат по прост, разпознаваем и ясен начин предоставяните от тях квалифицирани удостоверителни услуги.
2. Когато използват марката за доверие на ЕС за квалифицираните удостоверителни услуги, посочени в параграф 1, доставчиците на квалифицирани удостоверителни услуги правят необходимото на уебсайта им да присъства линк към съответния доверителен списък.
3. До 1 юли 2015 г. Комисията определя посредством актове за изпълнение спецификациите относно формата, и по-конкретно представянето, състава, размера и оформлението на марката на доверие на ЕС за обозначаване на квалифицирани удостоверителни услуги. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 24
Изисквания към доставчиците на квалифицирани удостоверителни услуги
1. При издаването на квалифицирано удостоверение за удостоверителна услуга доставчикът на квалифицирани удостоверителни услуги проверява чрез подходящи средства и в съответствие с националното право самоличността и, ако е приложимо, всички специфични данни за физическото или юридическото лице, на което се издава квалифицираното удостоверение.
Информацията, посочена в първа алинея, се проверява от доставчика на квалифицирани удостоверителни услуги пряко или чрез трета страна в съответствие с националното право:
а)
чрез личното присъствие на физическото лице или на упълномощен представител на юридическото лице; или
б)
дистанционно, чрез средство за електронна идентификация, като за целта преди издаването на квалифицираното удостоверение е било осигурено физическото присъствие на физическото лице или на упълномощен представител на юридическото лице и въпросното средство отговоря на изискванията на член 8 по отношение на нивата на осигуреност „значително“ или „високо“; или
в)
чрез удостоверение за квалифициран електронен подпис или за квалифициран електронен печат, издадено в съответствие с буква а) или б); или
г)
чрез използване на други признати на национално равнище методи за идентификация, които дават ниво на осигуреност, равностойно на физическото присъствие по отношение на надежността. Равностойното ниво на осигуреност се потвърждава от орган за оценяване на съответствието.
2. Доставчик на квалифицирани удостоверителни услуги:
а)
информира надзорния орган относно всяка промяна в предоставянето от него на квалифицирани удостоверителни услуги, включително за намерението да преустанови тези дейностти;
б)
наема персонал и, ако е приложимо, подизпълнители, които притежават необходимите експертни знания, надеждност, опит и квалификация и са преминали подходящо обучение относно правилата за сигурност и защита на личните данни, и прилага съответстващи на европейските или международните стандарти административни и управленски процедури;
в)
във връзка с риска от отговорност за нанесени щети в съответствие с член 13 поддържа достатъчни финансови ресурси и/или сключва подходяща застраховка за отговорност в съответствие с националното право;
г)
преди встъпването в договорни отношения информира по ясен и разбираем начин всяко лице, което иска да използва квалифицирана удостоверителна услуга, за точните условия и ред за използване на тази услуга, включително за всякакви ограничения, свързани с използването ѝ;
д)
използва надеждни системи и продукти, които са защитени срещу промяна, и гарантира техническата сигурност и надеждност на поддържаните от тях процеси;
е)
използва надеждни системи за съхранение на предоставените му данни във вид, позволяващ проверка, така че:
i)
те да са публично достъпни за извличане само в случаите, когато е получено съгласието на лицето, за което се отнасят данните;
ii)
само упълномощени лица да могат да въвеждат информация и да внасят промени в съхраняваните данни;
iii)
да може да бъде проверена автентичността на данните;
ж)
взема подходящи мерки срещу подправяне и кражба на данни;
з)
записва и съхранява на разположение за подходящ срок, включително след като доставчикът на квалифицирани удостоверителни услуги е преустановил дейността си, цялата имаща отношение информация във връзка с данните, издадени и получени от доставчик на квалифицирани удостоверителни услуги, и по-специално с оглед предоставяне на доказателство при съдебни производства и осигуряване на приемственост при предоставянето на услугата. Тези записи могат да бъдат направени по електронен път;
и)
в съответствие с разпоредбите, подложени на проверка от надзорния орган съгласно член 17, параграф 4, буква и), разполага с актуализиран план за осигуряване на непрекъснатост на обслужването в случай на прекратяване на дейността;
й)
осигурява законосъобразна обработка на лични данни в съответствие с Директива 95/46/ЕО;
к)
в случай на доставчици на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения - създава база данни с удостоверения и редовно я актуализира.
3. Ако доставчик на квалифицирани удостоверителни услуги, който издава квалифицирани удостоверения, реши да отмени удостоверение, той регистрира тази отмяна в неговата база данни с удостоверения и публикува отменения статут на удостоверението своевременно, но във всички случаи в срок до24 часа след като бъде получено искането. Отмяната става валидна веднага след като бъде публикувана.
4. Във връзка с параграф 3 доставчиците на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения, предоставят на всяка доверяваща се страна информация относно валидността или отмяната на издадените от тях квалифицирани удостоверения. Тази информация се предоставя на разположение по всяко време и дори след срока на валидност на удостоверението най-малко въз основа на удостоверение по автоматизиран начин, който е надежден, безплатен и ефикасен.
5. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за надеждни системи и продукти, които отговарят на изискванията по параграф 2, букви д) и е) от настоящия член. Съответствието с изискванията по настоящия член се презюмира, когато надеждните системи и продукти отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 4
Електронни подписи
Член 25
Правна сила на електронните подписи
1. Правната сила и допустимостта на електронния подпис като доказателство при съдебни производства не могат да бъда оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни подписи.
2. Правната сила на квалифицирания електронен подпис е равностойна на тази на саморъчния подпис.
3. Квалифицираният електронен подпис, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен подпис във всички други държави членки.
Член 26
Изисквания към усъвършенстваните електронни подписи
Усъвършенстваният електронен подпис отговаря на следните изисквания:
а)
свързан е по уникален начин с титуляря на подписа;
б)
може да идентифицира титуляря на подписа;
в)
създаден е чрез данни за създаване на електронен подпис, които титулярят на електронния подпис може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, които са подписани с него, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 27
Електронни подписи в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, същата държава членка признава усъвършенствани електронни подписи, усъвършенствани електронни подписи, основани на квалифицирано удостоверение за електронни подписи, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни подписи, основани на квалифицирано удостоверение, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен подпис с равнище на сигурност, по-високо от това на квалифицирания електронен подпис.
4. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за усъвършенствани електронни подписи. Съответствието с изискванията относно усъвършенстваните електронни подписи, посочени в параграфи 1 и 2 от настоящия член и в член 26, се презюмира, когато усъвършенстваният електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията, посредством актове за изпълнение, определя референтните формати на усъвършенстваните електронни подписи или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 28
Квалифицирани удостоверения за електронни подписи
1. Квалифицираните удостоверения за електронни подписи отговарят на изискванията, предвидени в приложение I.
2. Квалифицираните удостоверения за електронни подписи не подлежат на каквото и да било задължително изискване, което надхвърля изискванията, предвидени в приложение I.
3. Квалифицираните удостоверения за електронни подписи могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни подписи.
4. Ако квалифицирано удостоверение за електронни подписи бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирано удостоверение за електронен подпис при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен подпис бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спряното удостоверение е видим за срока на спирането в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронен подпис. Съответствието с изискванията, предвидени в приложение I, се презюмира, когато квалифицираните удостоверения за електронен подпис отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 29
Изисквания към устройствата за създаване на квалифициран електронен подпис
1. Устройствата за създаване на квалифициран електронен подпис отговарят на изискванията, предвидени в приложение II.
2. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за устройства за създаване на квалифициран електронен подпис. Съответствието с изискванията, предвидени в приложение II, се презюмира, когато устройството за създаване на квалифициран електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 30
Сертифициране на устройствата за създаване на квалифициран електронен подпис
1. Съответствието на устройствата за създаване на квалифициран електронен подпис с изискванията, предвидени в приложение II, се сертифицира от съответните публичноправни или частни организации, определени от държавите членки.
2. Държавите членки съобщават на Комисията наименованията и адресите на публичноправната или частната организация, посочена в параграф 1. Комисията предоставя тази информация на разположение на държавите членки.
3. Посоченото в параграф 1 сертифициране се основава на едно от следните условия:
а)
процес на оценка на сигурността, осъществен в съответствие с един от стандартите за оценка на сигурността на продукти на информационните технологии, включени в списъка, изготвен в съответствие с втората алинея; или
б)
процес, различен от посочения в буква а), при условие че при него са използвани съпоставими равнища на сигурност и че посочената в параграф 1 публичноправна или частна организация е уведомила Комисията за въпросния процес. Този процес може да се използва само при липса на стандартите, посочени в буква а), или когато посоченият в буква а) процес на оценка на сигурността се извършва в момента.
Комисията изготвя посредством актове за изпълнение списък на стандартите за оценка на сигурността на продукти на информационните технологии, посочени в буква а). Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
4. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 47 за установяване на конкретните критерии, на които трябва да отговарят определените органи, посочени в параграф 1 от настоящия член.
Член 31
Публикуване на списък на сертифицираните устройства за създаване на квалифициран електронен подпис
1. Държавите членки уведомяват Комисията без излишно забавяне и не по-късно от един месец след приключване на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които са сертифицирани от посочените в член 30, параграф 1 организации. Те също така уведомяват Комисията без излишно забавяне и не по-късно от един месец след отмяна на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които вече не отговарят на условията за сертифициране.
2. Въз основа на получената информация Комисията изготвя, публикува и поддържа списък на сертифицираните устройства за създаване на квалифициран електронен подпис.
3. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 32
Изисквания към валидирането на квалифицирани електронни подписи
1. В процеса на валидиране на квалифициран електронен подпис се потвърждава валидността на квалифицирания електронен подпис, при условие че:
а)
удостоверението в подкрепа на подписа към момента на подписването е било квалифицирано удостоверение за електронен подпис, отговарящо на приложение I;
б)
квалифицираното удостоверение е издадено от доставчик на квалифицирани удостоверителни услуги и е било валидно към момента на подписването;
в)
данните за валидиране на подписа съответстват на данните, предоставени от доверяващата се страна;
г)
уникалният набор от данни, представляващи титуляря на електронния подпис в удостоверението, е надлежно предаден на доверяващата се страна;
д)
ако към момента на подписването е бил използван псевдоним, то това е ясно указано на доверяващата се страна;
е)
електронният подпис е създаден от устройство за създаване на квалифициран електронен подпис;
ж)
целостта на подписаните данни не е застрашена;
з)
изискванията по член 26 са били изпълнени към момента на подписването.
2. Използваната за валидиране на квалифицирания електронен подпис система предоставя на доверяващата се страна правилния резултат от процеса на валидиране и ѝ позволява да открие евентуални проблеми, свързани със сигурността.
3. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за валидиране на квалифицирани електронни подписи. Съответствието с изискванията, предвидени в параграф 1, се презюмира, когато валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 33
Услуга по квалифицирано валидиране на квалифицирани електронни подписи
1. Услугата по квалифицирано валидиране на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който:
а)
извършва валидиране в съответствие с член 32, параграф 1; и
б)
дава възможност на доверяващите се страни да получат резултата от процеса на валидиране по автоматизиран начин, който е надежден и ефикасен и носи усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчика на услугата по квалифицирано валидиране.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано валидиране, посочена в параграф 1. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 34
Услуга по квалифицирано съхраняване на квалифицирани електронни подписи
1. Услугата по квалифицирано съхраняване на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който използва процедури и технологии, позволяващи надеждността на квалифицирания електронен подпис да се разшири извън срока на технологична валидност.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано съхраняване на квалифицирани електронни подписи. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по квалифицирано съхраняване на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 5
Електронни печати
Член 35
Правна сила на електронните печати
1. Правната сила и допустимостта на електронния печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни печати.
2. Квалифицираният електронен печат се ползва от презумпция за цялост на данните и точност на произхода на тези данни, за които се отнася квалифицираният електронен печат.
3. Квалифицираният електронен печат, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен печат във всички други държави членки.
Член 36
Изисквания към квалифицираните електронни печати
Квалифицираният електронен печат отговаря на следните изисквания:
а)
свързан е по уникален начин със създателя на печата;
б)
може да идентифицира създателя на печата;
в)
създаден е чрез данни за създаване на електронен печат, които създателят на електронния печат може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, за които се отнася, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 37
Електронни печати в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, същата държава членка признава усъвършенствани електронни печати, усъвършенствани електронни печати, основани на квалифицирано удостоверение за електронни печати, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни печати, основани на квалифицирано удостоверение, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен печат с ниво на сигурност, по-високо от това на квалифицирания електронен печат.
4. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за усъвършенстваните електронни печати. Съответствието с изискванията относно усъвършенстваните електронни печати, посочени в параграфи 1 и 2 от настоящия член и в член 36, се презюмира, когато усъвършенстваният електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията посредством актове за изпълнение определя референтните формати на усъвършенстваните електронни печати или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 38
Квалифицирани удостоверения за електронни печати
1. Квалифицираните удостоверения за електронни печати отговарят на изискванията, предвидени в приложение III.
2. Квалифицираните удостоверения за електронни печати не подлежат на каквито и да било задължителни изисквания, които надхвърлят изискванията, предвидени в приложение III.
3. Квалифицираните удостоверения за електронни печати могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни печати.
4. Ако квалифицирано удостоверение за електронен печат бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирани удостоверения за електронни печати при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен печат бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спиране е видим за срока на това спиране в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронни печати. Съответствието с изискванията, предвидени в приложение III, се презюмира, когато квалифицираното удостоверение за електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 39
Устройства за създаване на квалифицирани електронни печати
1. Член 29 се прилага mutatis mutandis към изискванията за устройства за създаване на квалифицирани електронни печати.
2. Член 30 се прилага mutatis mutandis към сертифицирането на устройства за създаване на квалифицирани електронни печати.
3. Член 31 се прилага mutatis mutandis към публикуването на списък на сертифицираните устройства за създаване на квалифицирани електронни печати.
Член 40
Валидиране и съхраняване на квалифицирани електронни печати
Членове 32, 33 и 34 се прилагат mutatis mutandis към валидирането и съхраняването на квалифицирани електронни печати.
РАЗДЕЛ 6
Електронни времеви печати
Член 41
Правна сила на електронните времеви печати
1. Правната сила и допустимостта на електронния времеви печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговаря на изискванията за квалифициран електронен времеви печат.
2. Квалифицираният електронен времеви печат се ползва от презумпцията за точност на указаните от него дата и час и за цялост на данните, с които са обвързани датата и часът.
3. Квалифицираният електронен времеви печат, издаден в една държава членка, се признава за квалифициран електронен времеви печат във всички държави членки.
Член 42
Изисквания към квалифицираните електронни времеви печати
1. Квалифицираният електронен времеви печат отговаря на следните изисквания:
а)
обвързва датата и часа с данните по начин, който до голяма степен изключва възможността за незабелязана промяна на данните;
б)
основава се на източник на точно време, свързан с координираното универсално време; и
в)
подписан е с усъвършенстван електронен подпис или е подпечатан с усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги или с друг равностоен метод.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за обвързване на датата и часа с данните и за източниците на точно време. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато обвързването на датата и часа с данните и източника на точно време отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 7
Услуги за електронна препоръчана поща
Член 43
Правна сила на услугите за електронна препоръчана поща
1. Правната сила и допустимостта на данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, не могат да бъдат оспорени като доказателство в съдебни производства единствено на основанието, че са в електронна форма или че не отговарят на изискванията за квалифицирана услуга за електронна препоръчана поща.
2. Данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, се ползват от презумпцията за цялост на данните, за изпращане на тези данни от идентифицирания изпращач, тяхното получаване от идентифицирания получател и за точност на указаните чрез квалифицираната услуга за електронна препоръчана поща дата и час на изпращане и получаване на данните.
Член 44
Изисквания към квалифицираните услуги за електронна препоръчана поща
1. Квалифицираните услуги за електронна препоръчана поща отговарят на следните изисквания:
а)
предоставят се от един или повече доставчици на квалифицирани удостоверителни услуги;
б)
гарантират с високо ниво на доверие идентификацията на изпращача;
в)
гарантират идентификацията на получателя преди доставянето на данните;
г)
изпращането и получаването на данни е обезпечено чрез усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги по начин, който изключва всякаква възможност за незабелязана промяна на данните;
д)
всяка промяна на данните, необходима за целите на изпращането или получаването на данните, се обозначава ясно за подателя и за получателя на данните;
е)
датата и часът на изпращане и получаване, както и всяка промяна на данните се указват чрез квалифициран електронен времеви печат.
Ако данните се предават между двама или повече доставчици на квалифицирани удостоверителни услуги, изискванията по букви а) - е) се прилагат към всички доставчици на квалифицирани удостоверителни услуги.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за процесите на изпращане и получаване на данни. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато процесите на изпращане и получаване на данни съответстват на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 8
Удостоверяване автентичността на уебсайтове
Член 45
Изисквания към квалифицираните удостоверения за автентичност на уебсайтове
1. Квалифицираните удостоверения за автентичност на уебсайтове отговарят на изискванията, предвидени в приложение IV.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицираните удостоверения за автентичност на уебсайтове. Съответствието с изискванията, предвидени в приложение IV, се презюмира, когато дадено квалифицирано удостоверение за автентичност на уебсайт отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА IV
ЕЛЕКТРОННИ ДОКУМЕНТИ
Член 46
Правна сила на електронните документи
Правната сила и допустимостта на електронен документ като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма.
ГЛАВА V
РАЗПОРЕДБИ ОТНОСНО ДЕЛЕГИРАНЕ НА ПРАВОМОЩИЯ И АКТОВЕ ЗА ИЗПЪЛНЕНИЕ
Член 47
Упражняване на делегирането
1. Правомощието да приема делегирани актове се предоставя на Комисията при спазване на определените в настоящия член условия.
2. Правомощието да приема делегирани актове, посочено в член 30, параграф 4, се предоставя на Комисията за неограничен срок, считано от 17 септември 2014 г.
3. Делегирането на правомощия, посочено в член 30, параграф 4, може да бъде оттеглено по всяко време от Европейския парламент или от Съвета. С решението за оттегляне се прекратява посоченото в него делегиране на правомощия. То поражда действие в деня след публикуването на решението в Официален вестник на Европейския съюз или на по-късна, посочена в решението дата. То не засяга действителността на делегираните актове, които вече са в сила.
4. Веднага след като приеме делегиран акт Комисията го нотифицира едновременно на Европейския парламент и на Съвета.
5. Делегиран акт, приет съгласно член 30, параграф 4, влиза в сила само ако Европейският парламент или Съветът не са представили възражения в срок от два месеца след нотифицирането на акта на Европейския парламент и Съвета или ако преди изтичането на този срок и Европейският парламент, и Съветът са уведомили Комисията, че няма да представят възражения. Този срок се удължава с два месеца по инициатива на Европейския парламент или на Съвета.
Член 48
Процедура на комитет
1. Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.
2. При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Преглед
Комисията прави преглед на прилагането на настоящия регламент и докладва на Европейския парламент и на Съвета не по-късно от 1 юли 2020 г. Комисията преценява по-специално дали обхватът на настоящия регламент или конкретни негови разпоредби, включително член 6, член 7, буква е), членове 34, 43, 44 и 45, е подходящо да се изменят, като се отчитат придобитият по време на прилагането на настоящия регламент опит и развитието на технологиите, пазара и правната уредба.
Посоченият в първа алинея доклад се придружава, ако е необходимо, от законодателни предложения.
Освен това след доклада по първа алинея Комисията представя на Европейския парламент и на Съвета на всеки четири години доклад относно напредъка в постигането на набелязаните в настоящия регламент цели.
Член 50
Отмяна
1. Директива 1999/93/ЕО се отменя, считано от 1 юли 2016 г.
2. Позоваванията на отменената директива се считат за позовавания на настоящия регламент.
Член 51
Преходни мерки
1. Устройствата за създаване на защитени подписи, чието съответствие е било определено съгласно член 3, параграф 4 от Директива 1999/93/ЕО, се считат за устройства за създаване на квалифицирани подписи съгласно настоящия регламент.
2. Квалифицираните удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, се считат за квалифицирани удостоверения за електронни подписи съгласно настоящия регламент до изтичане на срока им.
3. Доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, представя на надзорния орган доклад за оценяване на съответствието в най-кратък срок, но не по-късно от 1 юли 2017 г. До представянето на такъв доклад за оценяване на съответствието и до приключването на оценяването му от надзорния орган този доставчик на услуги по сертифициране се счита за квалифициран доставчик на удостоверителни услуги съгласно настоящия регламент.
4. Ако доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, не представи на надзорния орган доклад за оценяване на съответствието в посочения в параграф 3 срок, този доставчик на услуги по сертифициране не се счита за доставчик на квалифицирани удостоверителни услуги съгласно настоящия регламент, считано от 2 юли 2017 г.
Член 52
Влизане в сила
1. Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
2. Настоящият регламент се прилага от 1 юли 2016 г. с изключение на следното:
а)
член 8, параграф 3, член 9, параграф 5, член 12, параграфи 2 - 9, член 17, параграф 8, член 19, параграф 4, член 20, параграф 4, член 21, параграф 4, член 22, параграф 5, член 23, параграф 3, член 24, параграф 5, член 27, параграфи 4 и 5, член 28, параграф 6, член 29, параграф 2, член 30, параграфи 3 и 4, член 31, параграф 3, член 32, параграф 3, член 33, параграф 2, член 34, параграф 2, член 37, параграфи 4 и 5, член 38, параграф 6, член 42, параграф 2, член 44, параграф 2, член 45, параграф 2 и членове 47 и 48 се прилагат, считано от 17 септември 2014 г.;
б)
член 7, член 8, параграфи 1 и 2, членове 9 - 11 и член 12, параграф 1 се прилагат от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8;
в)
член 6 се прилага, считано от три години от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8.
3. Когато схемата за електронна идентификация, за която се извършва уведомяване, е включена в списъка, публикуван от Комисията по силата на член 9, преди датата, посочена в параграф 2, буква в) от настоящия член, признаването на средствата за електронна идентификация в рамките на въпросната схема по силата на член 6 се извършва не по-късно от 12 месеца след публикуването на схемата, но не преди датата, посочена в параграф 2, буква в) от настоящия член.
4. Независимо от параграф 2, буква в) от настоящия член дадена държава членка може да реши, че средствата за електронна идентификация в рамките на схемата за електронна идентификация, за която се извършва уведомяване по силата на член 9, параграф 1 от страна на друга държава членка, се признават в първата държава членка, считано от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8. Съответните държави членки информират Комисията. Комисията оповестява публично тази информация.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 23 юли 2014 година.
EIROPAS PARLAMENTA UN PADOMES REGULA (ES) Nr. 910/2014
(2014. gada 23. jūlijs)
par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ Direktīvu 1999/93/EK
EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,
ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,
ņemot vērā Eiropas Komisijas priekšlikumu,
pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,
ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (1),
saskaņā ar parasto likumdošanas procedūru (2),
tā kā:
(1)
Ļoti svarīgs ekonomiskās un sociālās izaugsmes faktors ir uzticēšanās tiešsaistes videi. Uzticēšanās trūkums, jo īpaši tad, ja tas rodas šķietama juridiskās noteiktības trūkuma dēļ, liek patērētājiem, uzņēmumiem un publiskām iestādēm vilcināties veikt darījumus elektroniski un pieņemt jaunus pakalpojumus.
(2)
Šīs regulas mērķis ir stiprināt elektronisko darījumu uzticamību iekšējā tirgū, nodrošinot vienotu pamatu drošai elektroniskai mijiedarbībai starp iedzīvotājiem, uzņēmumiem, un publiskām iestādēm, tādējādi palielinot publisko un privāto tiešsaistes pakalpojumu, elektroniskās darījumdarbības un elektroniskās komercijas efektivitāti Savienībā.
(3)
Eiropas Parlamenta un Padomes Direktīva 1999/93/EK (3) attiecās tikai uz elektroniskajiem parakstiem, nenodrošinot visaptverošu pārrobežu un starpnozaru regulējumu drošiem, uzticamiem un viegli lietojamiem elektroniskiem darījumiem. Ar šo regulu tiek stiprināts un paplašināts minētās direktīvas acquis.
(4)
Komisijas 2010. gada 26. augusta paziņojumā “Digitālā programma Eiropai” tika konstatēts, ka galvenie šķēršļi, kas traucē izveidot digitālās ekonomikas noslēgto loku, ir digitālā tirgus sadrumstalotība, sadarbspējas trūkums un kibernoziedzības pieaugums. Arī 2010. gada ziņojumā par ES pilsonību “Likvidējot šķēršļus ES pilsoņu tiesību īstenošanai” Komisija uzsvēra, ka ir jāatrisina galvenās problēmas, kas Savienības pilsoņiem liedz izmantot digitālā vienotā tirgus un pārrobežu digitālo pakalpojumu sniegtos labumus.
(5)
2011. gada 4. februāra un 2011. gada 23. oktobra secinājumos Eiropadome Komisiju aicināja līdz 2015. gadam izveidot digitālo vienoto tirgu, panākt strauju progresu galvenajās digitālās ekonomikas jomās un veicināt pilnīgi integrētu digitālo vienoto tirgu, atvieglojot tiešsaistes pakalpojumu pārrobežu izmantošanu un īpašu uzmanību pievēršot drošas elektroniskās identifikācijas un autentifikācijas veicināšanai.
(6)
Padome 2011. gada 27. maija secinājumos aicināja Komisiju sniegt ieguldījumu digitālā vienotā tirgus izveidē, radot piemērotus apstākļus tādu svarīgāko katalizatoru savstarpējai pārrobežu atzīšanai kā elektroniskā identifikācija, elektroniski dokumenti, elektroniski paraksti un elektroniski piegādes pakalpojumi, kā arī piemērotus apstākļus e-pārvaldes pakalpojumu sadarbspējai visā Eiropas Savienībā.
(7)
Eiropas Parlaments 2010. gada 21. septembra rezolūcijā par iekšējā tirgus izveidi elektroniskās komercijas jomā (4) uzsvēra, cik nozīmīga ir elektronisko pakalpojumu drošība, īpaši elektronisko parakstu drošība, un ka nepieciešams izveidot publiskās atslēgas infrastruktūru visā Eiropā, un aicināja Komisiju izveidot Eiropas validācijas iestāžu vārteju, lai nodrošinātu elektronisko parakstu savstarpēju izmantojamību starpvalstu līmenī un palielinātu internetā veikto darījumu drošību.
(8)
Eiropas Parlamenta un Padomes Direktīvā 2006/123/EK (5) noteikts, ka dalībvalstīm jāizveido vienoti kontaktpunkti (VP), lai ar attiecīgā VP starpniecību visas procedūras un formalitātes, kas ir saistītas ar piekļuvi pakalpojumu sniegšanas darbībai un ar tās veikšanu, ar attiecīgajām iestādēm varētu viegli veikt no attāluma un elektroniskā veidā. Daudziem tiešsaistes pakalpojumiem, kas pieejami ar VP starpniecību, ir vajadzīga elektroniskā identifikācija, autentifikācija un elektroniskais paraksts.
(9)
Lielākajā daļā gadījumu iedzīvotāji nevar izmantot savu elektronisko identifikāciju, lai autentificētos citā dalībvalstī, jo viņu valsts elektroniskās identifikācijas shēmas nav atzītas citās dalībvalstīs. Minētais šķērslis elektronisko sistēmu jomā liedz pakalpojumu sniedzējiem pilnībā izmantot iekšējā tirgus labumus. Savstarpēji atzīti elektroniskās identifikācijas līdzekļi atvieglos daudzu pakalpojumu pārrobežu sniegšanu iekšējā tirgū un dos iespēju uzņēmumiem veikt pārrobežu darbību, neliekot pārvarēt daudzus šķēršļus saskarē ar publiskām iestādēm.
(10)
Ar Eiropas Parlamenta un Padomes Direktīvu 2011/24/ES (6) izveidoja to valsts iestāžu tīklu, kuras ir atbildīgas par e-veselību. Lai palielinātu pārrobežu veselības aprūpes drošību un nepārtrauktību, šim tīklam ir jāizstrādā pamatnostādnes par elektronisku veselības aprūpes datu un pakalpojumu pārrobežu pieejamību, tostarp atbalstot “kopīgus identifikācijas un autentifikācijas pasākumus, lai veicinātu datu nodošanu pārrobežu veselības aprūpē”. Elektroniskās identifikācijas un autentifikācijas savstarpējai atzīšanai ir būtiska nozīme, lai pārrobežu veselības aprūpe Eiropas iedzīvotājiem kļūtu par realitāti. Kad iedzīvotāji ārstēšanās nolūkā dodas uz citu valsti, viņu medicīniskajiem datiem ir jābūt pieejamiem valstī, kur notiek ārstēšanās. Tam ir jāizveido stabila, droša un uzticama elektroniskās identifikācijas sistēma.
(11)
Šī regula būtu jāpiemēro, pilnībā ievērojot personas datu aizsardzības principus, kas noteikti Eiropas Parlamenta un Padomes Direktīvā 95/46/EK (7). Šajā sakarā, ņemot vērā savstarpējas atzīšanas principu, kas noteikts ar šo regulu, tiešsaistes pakalpojuma autentifikācijai būtu jāattiecas tikai uz tādu identifikācijas datu apstrādi, kas ir pienācīgi, atbilstīgi un nav pārmērīgi, lai tiešsaistē piešķirtu piekļuvi minētajam pakalpojumam. Arī uzticamības pakalpojumu sniedzējiem un uzraudzības iestādēm būtu jāievēro prasības, kas Direktīvā 95/46/EK ir noteiktas attiecībā uz apstrādes konfidencialitāti un drošību.
(12)
Viens no šīs regulas mērķiem ir likvidēt šķēršļus, kas patlaban kavē to elektroniskās identifikācijas līdzekļu pārrobežu izmantošanu, kuri tiek lietoti dalībvalstīs, lai autentificētos vismaz sabiedriskajiem pakalpojumiem. Šīs regulas mērķis nav iejaukties dalībvalstīs jau izveidotajās elektroniskās identitātes pārvaldības sistēmās un ar to saistītās infrastruktūrās. Šīs regulas mērķis ir nodrošināt to, ka ar drošu elektronisko identifikāciju un autentifikāciju ir iespējams piekļūt dalībvalstu piedāvātajiem pārrobežu tiešsaistes pakalpojumiem.
(13)
Dalībvalstīm arī turpmāk vajadzētu būt iespējai izvēlēties to, kādus līdzekļus izmantot vai ieviest elektroniskās identifikācijas nolūkiem, lai piekļūtu tiešsaistes pakalpojumiem. Tām arī vajadzētu būt iespējai izlemt, vai minēto līdzekļu nodrošināšanā iesaistīt privāto sektoru. Dalībvalstīm nevajadzētu būt pienākumam paziņot Komisijai par savām elektroniskās identifikācijas shēmām. Dalībvalstis pašas var izvēlēties, vai paziņot Komisijai par visām vai dažām, vai neziņot ne par vienu no tām elektroniskās identifikācijas shēmām, kas valsts līmenī tiek izmantotas, lai piekļūtu vismaz tiešsaistes sabiedriskajiem pakalpojumiem vai kādiem konkrētiem pakalpojumiem.
(14)
Šajā regulā ir jāparedz daži nosacījumi attiecībā uz to, kuri elektroniskās identifikācijas līdzekļi ir jāatzīst un kā būtu jāpaziņo par elektroniskās identifikācijas shēmām. Minētajiem nosacījumiem būtu dalībvalstīm jāpalīdz veidot nepieciešamo uzticēšanos pārējo dalībvalstu elektroniskās identifikācijas shēmām un savstarpēji atzīt tos elektroniskās identifikācijas līdzekļus, kuri ietverti valstu paziņotajās shēmās. Savstarpējās atzīšanas princips būtu jāpiemēro, ja paziņotājas dalībvalsts elektroniskās identifikācijas shēmā ir izpildīti paziņošanas nosacījumi un paziņojums ir publicēts Eiropas Savienības Oficiālajā Vēstnesī. Tomēr savstarpējās atzīšanas principam būtu jāattiecas tikai uz autentificēšanos tiešsaistes pakalpojumam. Tam, kāda ir piekļuve minētajiem tiešsaistes pakalpojumiem un to galīgā piegāde pieprasītājam, vajadzētu būt cieši saistītam ar tiesībām saņemt šādus pakalpojumus saskaņā ar valsts tiesību aktos paredzētajiem nosacījumiem.
(15)
Pienākumam atzīt elektroniskās identifikācijas līdzekļus būtu jāattiecas tikai uz tiem līdzekļiem, kuru identitātes uzticamības līmenis ir vienāds ar līmeni, kāds nepieciešams konkrētajam tiešsaistes pakalpojumam, vai ir augstāks. Turklāt minētais pienākums būtu jāpiemēro tikai tad, ja konkrētā publiskā iestāde izmanto tādu uzticamības līmeni, kas attiecībā uz piekļuvi minētajam pakalpojumam tiešsaistē, ir “būtisks” vai “augsts”. Saskaņā ar Savienības tiesību aktiem dalībvalstīm arī turpmāk vajadzētu būt iespējai atzīt tādus elektroniskās identifikācijas līdzekļus, kuriem ir zemāks identitātes uzticamības līmenis.
(16)
Uzticamības līmeņiem būtu jāraksturo elektroniskās identifikācijas līdzekļu ticamības pakāpe personas identitātes noskaidrošanā, tādējādi nodrošinot pārliecību, ka persona, kas uzdodas par personu ar kādu konkrētu identitāti, patiešām ir tā persona, kurai minētā identitāte ir piešķirta. Uzticamības līmenis ir atkarīgs no ticamības pakāpes, ko elektroniskās identifikācijas līdzekļi nodrošina attiecībā uz personas uzdoto vai piedāvāto identitāti, ņemot vērā procesus (piemēram, identitātes pierādīšanu un verifikāciju, un autentifikāciju), pārvaldības darbības (piemēram, vienību, kura izsniedz elektroniskās identifikācijas līdzekļus un šādu līdzekļu izsniegšanas procedūru) un ieviesto tehnisko kontroli. Pastāv dažādas uzticamības līmeņu tehniskās definīcijas un apraksti, kas izstrādāti Savienības finansētos liela mēroga izmēģinājuma projektos, standartizācijas un starptautiskās darbībās. Konkrēti, liela mēroga izmēģinājuma projekts STORK un ISO 29115 cita starpā atsaucas uz 2., 3. un 4. līmeni, kas būtu vislielākajā mērā jāņem vērā, nosakot minimālās tehniskās prasības, standartus un procedūras zemam, būtiskam un augstam uzticamības līmenim šīs regulas nozīmē, vienlaikus nodrošinot konsekventu šīs regulas piemērošanu, jo īpaši attiecībā uz augstu uzticamības līmeni saistībā ar identitātes pierādīšanu, lai izsniegtu kvalificētus sertifikātus. Izstrādātajām prasībām vajadzētu būt tehnoloģiju ziņā neitrālām. Vajadzīgās drošības prasības būtu jāspēj nodrošināt ar dažādu tehnoloģiju palīdzību.
(17)
Dalībvalstīm būtu jāmudina privātais sektors brīvprātīgi izmantot paziņotajā shēmā ietvertos elektroniskās identifikācijas līdzekļus identificēšanas nolūkos, kad tas nepieciešams tiešsaistes pakalpojumiem vai elektroniskajiem darījumiem. Iespēja izmantot šādus elektroniskās identifikācijas līdzekļus privātajam sektoram dotu iespēju paļauties uz elektronisko identifikāciju un autentifikāciju, ko jau tagad daudzās dalībvalstīs plaši izmanto vismaz sabiedrisko pakalpojumu jomā, un šāda iespēja uzņēmumiem un iedzīvotājiem atvieglotu piekļuvi saviem tiešsaistes pakalpojumiem citās valstīs. Lai privātajam sektoram būtu vieglāk šādus elektroniskās identifikācijas līdzekļus izmantot citās valstīs, jebkuras dalībvalsts nodrošinātajai autentifikācijas iespējai vajadzētu būt pieejamai tām privātā sektora atkarīgajām pusēm, kas veic uzņēmējdarbību ārpus minētās dalībvalsts teritorijas, saskaņā ar tādiem pašiem nosacījumiem, kādus piemēro privātā sektora atkarīgajām pusēm, kas veic uzņēmējdarbību minētajā dalībvalstī. Tāpēc attiecībā uz privātā sektora atkarīgajām pusēm paziņotāja dalībvalsts var definēt noteikumus, kas attiecas uz piekļuvi autentifikācijas līdzekļiem. Šādos piekļuves noteikumos var būt sniegta informācija par to, vai ar paziņoto shēmu saistītie autentifikācijas līdzekļi privātā sektora atkarīgajām pusēm patlaban ir pieejami.
(18)
Šajā regulā būtu jāparedz paziņotājas dalībvalsts, elektroniskās identifikācijas līdzekļus izsniedzošās personas un autentifikācijas procedūru veicošās personas atbildība par šajā regulā noteikto attiecīgo pienākumu neizpildi. Tomēr šī regula būtu jāpiemēro saskaņā ar valstu noteikumiem par atbildību. Tāpēc tā neietekmē, piemēram, valsts noteikumus par zaudējumu definīciju vai attiecīgajiem piemērojamiem procesuālajiem noteikumiem, tostarp noteikumiem par pierādīšanas pienākumu.
(19)
Elektroniskās identifikācijas shēmu drošībai ir būtiska nozīme elektronisko identifikācijas līdzekļu uzticamai savstarpējai atzīšanai dažādās valstīs. Šādā kontekstā dalībvalstīm būtu jāsadarbojas jautājumā par elektroniskās identifikācijas shēmu drošību un sadarbspēju Savienības līmenī. Kad vien attiecībā uz elektroniskās identifikācijas shēmām ir vajadzīgs, lai atkarīgās puses valsts līmenī lietotu kādu konkrētu aparatūru vai programmatūru, pārrobežu sadarbspējas nolūkā ir nepieciešams, lai minētās dalībvalstis nenoteiktu šādas prasības un attiecīgas izmaksas atkarīgajām pusēm, kas veic uzņēmējdarbību ārpus šo dalībvalstu teritorijas. Minētajā gadījumā saistībā ar sadarbspējas sistēmas darbību būtu jāapspriež un jāizstrādā atbilstīgi risinājumi. Tomēr nav iespējams izvairīties no tehniskām prasībām, kas izriet no valstu elektroniskās identifikācijas ierīcēm piemītošām specifikācijām un kas var ietekmēt šādu elektronisko līdzekļu (piemēram, viedkaršu) turētājus.
(20)
Dalībvalstu sadarbībai būtu jāatvieglo paziņoto elektroniskās identifikācijas shēmu tehniskā sadarbspēja, lai sekmētu augsta līmeņa uzticamību un riska pakāpei atbilstošu drošību. Informācijas un paraugprakses apmaiņai dalībvalstu starpā ar mērķi panākt savstarpēju atzīšanu būtu jāpalīdz īstenot šādu sadarbību.
(21)
Ar šo regulu būtu arī jāizveido vispārējs tiesiskais regulējums uzticamības pakalpojumu izmantošanai. Tomēr ar šo regulu nebūtu jānosaka vispārīgs pienākums šos pakalpojumus izmantot vai instalēt piekļuves punktu visiem esošajiem uzticamības pakalpojumiem. Jo īpaši šai regulai nebūtu jāattiecas uz tādu pakalpojumu sniegšanu, kurus izmanto vienīgi noteikts dalībnieku kopums slēgtās sistēmās, kas neskar trešās personas. Piemēram, šīs regulas prasības nebūtu jāpiemēro sistēmām, kas izveidotas uzņēmumos vai valsts pārvaldēs, lai pārvaldītu iekšējas procedūras, izmantojot uzticamības pakalpojumus. Vienīgi sabiedrībai sniegtiem uzticamības pakalpojumiem, kas skar trešās personas, būtu jāatbilst šajā regulā noteiktajām prasībām. Šai regulai nebūtu jāattiecas arī uz tiem aspektiem, kas ir saistīti ar līgumu slēgšanu vai citu juridisku saistību uzņemšanos un šādu līgumu vai saistību derīgumu, ja attiecībā uz to veidu prasības noteiktas valsts vai Savienības tiesību aktos. Turklāt tai nebūtu jāietekmē valstu formātam izvirzītās prasības, kas attiecas uz publiskiem reģistriem, jo īpaši komercreģistriem un zemes reģistriem.
(22)
Lai veicinātu uzticamības pakalpojumu vispārēju pārrobežu izmantošanu, būtu jānodrošina iespēja tos izmantot kā pierādījumu tiesvedībā visās dalībvalstīs. Ja vien šajā regulā nav paredzēts citādi, uzticamības pakalpojumu juridiskais spēks ir jānosaka ar valsts tiesību aktiem.
(23)
Ciktāl ar šo regulu tiek noteikts pienākums atzīt kādu uzticamības pakalpojumu, šādu uzticamības pakalpojumu var noraidīt tikai tādā gadījumā, ja pienākuma adresāts to nevar nolasīt vai verificēt tehnisku iemeslu dēļ, ko adresāts nespēj tieši kontrolēt. Tomēr minētajam pienākumam nebūtu jānozīmē tas, ka publiskai struktūrai ir jāiegādājas tāda aparatūra un programmatūra, lai tā varētu tehniski nolasīt visus esošos uzticamības pakalpojumus.
(24)
Dalībvalstis, ievērojot Savienības tiesību aktus, var saglabāt vai ieviest valsts noteikumus attiecībā uz uzticamības pakalpojumiem, ja ar šo regulu veiktā saskaņošana attiecībā uz minētajiem pakalpojumiem nav pilnīga. Tomēr šīs regulas prasībām atbilstošiem uzticamības pakalpojumiem būtu jānodrošina brīva aprite iekšējā tirgū.
(25)
Dalībvalstīm arī turpmāk vajadzētu būt iespējai noteikt citus uzticamības pakalpojumu veidus papildus tiem, kas minēti šajā regulā iekļautajā uzticamības pakalpojumu pilnīgajā sarakstā, lai valsts līmenī tos varētu atzīt par kvalificētiem uzticamības pakalpojumiem.
(26)
Ņemot vērā tehnoloģiju attīstības ātrumu, šajā regulā būtu jāizmanto pieeja, kas paredz inovācijas iespēju.
(27)
Šai regulai vajadzētu būt tehnoloģiju ziņā neitrālai. No tās izrietošajām juridiskajām sekām vajadzētu būt panākamām ar jebkuriem tehniskiem līdzekļiem ar noteikumu, ka tiek izpildītas šīs regulas prasības.
(28)
Lai vairotu jo īpaši mazo un vidējo uzņēmumu (MVU) un patērētāju uzticēšanos iekšējam tirgum un veicinātu uzticamības pakalpojumu un produktu izmantošanu, būtu jāievieš jēdzieni “kvalificēti uzticamības pakalpojumi” un “kvalificēts uzticamības pakalpojumu sniedzējs”, lai noteiktu prasības un pienākumus, kas garantē augsta līmeņa drošību attiecībā uz jebkuru sniegto kvalificēto uzticamības pakalpojumu un lietoto produktu.
(29)
Atbilstīgi pienākumiem, kas noteikti ar Padomes Lēmumu 2010/48/EK (8) apstiprinātajā Apvienoto Nāciju Organizācijas Konvencijā par personu ar invaliditāti tiesībām, jo īpaši tās 9. pantā, personām ar invaliditāti vajadzētu būt iespējai izmantot uzticamības pakalpojumus un tiešo lietotāju produktus, kurus izmanto, sniedzot minētos pakalpojumus, ar tādiem pašiem nosacījumiem, kādi attiecas uz citiem patērētājiem. Tāpēc, ja iespējams, būtu jānodrošina, lai sniegtie uzticamības pakalpojumi un tiešo lietotāju produkti, ko izmanto minēto pakalpojumu sniegšanā, būtu pieejami personām ar invaliditāti. Pamatojuma izvērtējumā inter alia būtu jāietver tehniski un ekonomiski apsvērumi.
(30)
Dalībvalstīm būtu jāizraugās uzraudzības iestāde vai uzraudzības iestādes šajā regulā minēto uzraudzības darbību veikšanai. Dalībvalstīm arī vajadzētu būt iespējai, savstarpēji vienojoties ar citu dalībvalsti, izlemt par uzraudzības iestādes izraudzīšanos minētās citas dalībvalsts teritorijā.
(31)
Uzraudzības iestādēm būtu jāsadarbojas ar datu aizsardzības iestādēm, piemēram, informējot tās par kvalificēto uzticamības pakalpojumu sniedzēju revīzijas rezultātiem, ja šķiet, ka ir notikuši personas datu aizsardzības noteikumu pārkāpumi. Sniedzot informāciju, būtu jo īpaši jāietver drošības incidenti un personas datu pārkāpumi.
(32)
Visiem uzticamības pakalpojumu sniedzējiem būtu jānosaka pienākums ievērot labu praksi drošības jomā, kas atbilst ar to darbību saistītajiem riskiem, lai tādējādi sekmētu lietotāju uzticēšanos vienotajam tirgum.
(33)
Noteikumiem par pseidonīmu izmantošanu sertifikātos nebūtu jākavē dalībvalstis pieprasīt personu identifikāciju atbilstīgi Savienības vai valsts tiesību aktiem.
(34)
Visām dalībvalstīm būtu jāievēro kopējas būtiskas uzraudzības prasības, lai kvalificētu uzticamības pakalpojumu jomā nodrošinātu līdzvērtīgu drošības līmeni. Lai visā Savienībā būtu vieglāk konsekventi piemērot minētās prasības, dalībvalstīm būtu jāpieņem salīdzināmas procedūras un jāapmainās ar informāciju par savu uzraudzības darbību un paraugpraksi šajā jomā.
(35)
Visiem uzticamības pakalpojumu sniedzējiem būtu jāpiemēro šīs regulas prasības, jo īpaši drošības un atbildības jomā, lai nodrošinātu pienācīgu centību, pārredzamību un pārskatatbildību to darbībās un pakalpojumos. Tomēr, ņemot vērā uzticamības pakalpojumu sniedzēju sniegto pakalpojumu veidu, ir lietderīgi tiktāl, ciktāl tas attiecas uz minētajām prasībām, nošķirt kvalificētus un nekvalificētus uzticamības pakalpojumu sniedzējus.
(36)
Uzraudzības režīma izveidošanai attiecībā uz visiem uzticamības pakalpojumu sniedzējiem būtu jānodrošina vienlīdzīgi konkurences apstākļi to darbību un pakalpojumu drošībai un atbildībai par tiem, tādējādi sekmējot lietotāju aizsardzību un iekšējā tirgus darbību. Nekvalificētiem uzticamības pakalpojumu sniedzējiem būtu jāpiemēro atturīgas un reaģējošas ex post uzraudzības darbības, kuras attaisno to sniegto pakalpojumu un darbību būtība. Tāpēc uzraudzības iestādei nebūtu jānosaka vispārējs pienākums uzraudzīt nekvalificētus pakalpojumu sniedzējus. Uzraudzības iestādei būtu jārīkojas tikai tad, kad tā ir saņēmusi informāciju (piemēram, no paša nekvalificētā uzticamības pakalpojumu sniedzēja, citas uzraudzības iestādes, saņēmusi lietotāja vai darījumdarbības partnera paziņojumu vai uz pašas izmeklējumu pamata), ka nekvalificētais uzticamības pakalpojumu sniedzējs neievēro šajā regulā noteiktās prasības.
(37)
Šajā regulā būtu jāparedz visu uzticamības pakalpojumu sniedzēju atbildība. Jo īpaši tajā ir noteikts atbildības režīms, saskaņā ar kuru visiem uzticamības pakalpojumu sniedzējiem vajadzētu būt atbildīgiem par zaudējumu, kas radīts jebkurai fiziskai vai juridiskai personai šajā regulā minēto pienākumu neizpildes dēļ. Lai vienkāršāk novērtētu finansiālo risku, kāds uzticamības pakalpojumu sniedzējiem iespējams būtu jāuzņemas vai kāds tiem būtu jāsedz ar apdrošināšanas polisēm, ar šo regulu uzticamības pakalpojumu sniedzējiem tiek ļauts ar konkrētiem nosacījumiem noteikt ierobežojumus to sniegto pakalpojumu izmantošanai, un nenest atbildību par zaudējumiem, kas rodas izmantojot pakalpojumus, kuri pārsniedz šādus ierobežojumus. Patērētāji būtu iepriekš pienācīgi jāinformē par ierobežojumiem. Minētajiem ierobežojumiem vajadzētu būt atpazīstamiem trešai personai, piemēram, informāciju par ierobežojumiem ietverot sniegtā pakalpojuma noteikumos vai izmantojot citus atpazīstamus līdzekļus. Lai īstenotu minētos principus, šī regula būtu jāpiemēro saskaņā ar valstu noteikumiem par atbildību. Tāpēc šī regula neietekmē valstu noteikumus, piemēram, par zaudējumu, nodoma vai nolaidības definīciju vai attiecīgajiem piemērojamiem procesuālajiem noteikumiem.
(38)
Drošības pārkāpumu paziņošana un drošības risku izvērtēšana ir būtiski aspekti, kas drošības vai integritātes pārkāpumu gadījumā ļautu sniegt atbilstīgu informāciju attiecīgajām pusēm.
(39)
Lai Komisija un dalībvalstis varētu novērtēt ar šo regulu ieviestā pārkāpumu paziņošanas mehānisma efektivitāti, būtu jānosaka, lai uzraudzības iestādes iesniegtu Komisijai un Eiropas Savienības Tīklu un informācijas drošības aģentūrai (ENISA) informatīvus kopsavilkumus.
(40)
Lai Komisija un dalībvalstis varētu novērtēt ar šo regulu ieviestā pastiprinātas uzraudzības mehānisma efektivitāti, būtu jāpieprasa uzraudzības iestādēm iesniegt ziņojumus par savu darbību. Tas būtu lietderīgi, lai sekmētu labas prakses apmaiņu starp uzraudzības iestādēm, un nodrošinātu galveno uzraudzības prasību konsekventas un efektīvas īstenošanas pārbaudi visās dalībvalstīs.
(41)
Lai nodrošinātu kvalificētu uzticamības pakalpojumu ilgtspējību un ilglaicīgumu un sekmētu lietotāju uzticēšanos kvalificētu uzticamības pakalpojumu nepārtrauktībai, uzraudzības iestādēm būtu jāpārliecinās, vai pastāv darbības pārtraukšanas plāni un vai noteikumi par pārtraukšanas plāniem tiek pareizi piemēroti, gadījumos, kad kvalificētie uzticamības pakalpojumu sniedzēji pārtrauc savas darbības.
(42)
Dalībvalstīs būtu jāizveido uzraudzības iestāžu savstarpējas palīdzības sistēma, lai atvieglotu kvalificētu uzticamības pakalpojumu sniedzēju uzraudzību, piemēram, gadījumā, ja pakalpojumu sniedzējs pakalpojumus piedāvā citas dalībvalsts teritorijā un tur nav pakļauts uzraudzībai vai ja pakalpojumu sniedzēja datori atrodas citas dalībvalsts teritorijā, nevis tajā dalībvalstī, kurā minētais pakalpojumu sniedzējs veic uzņēmējdarbību.
(43)
Lai nodrošinātu kvalificētu uzticamības pakalpojumu sniedzēju un to sniegto pakalpojumu atbilstību šīs regulas prasībām, atbilstības novērtēšanas struktūrai būtu jāveic atbilstības novērtēšana, un kvalificētiem uzticamības pakalpojumu sniedzējiem būtu iegūtie atbilstības novērtēšanas ziņojumi jāiesniedz uzraudzības iestādei. Kad vien uzraudzības iestāde pieprasa kvalificētam uzticamības pakalpojumu sniedzējam iesniegt ad hoc atbilstības novērtēšanas ziņojumu, uzraudzības iestādei būtu jo īpaši jāievēro labas pārvaldības principi, tostarp pienākums sniegt pamatojumu saviem lēmumiem, kā arī proporcionalitātes princips. Tāpēc uzraudzības iestādei būtu pienācīgi jāpamato lēmums pieprasīt ad hoc atbilstības novērtēšanu.
(44)
Šīs regulas mērķis ir nodrošināt saskaņotu regulējumu, lai sniegtu augsta līmeņa drošību un juridisko noteiktību uzticamības pakalpojumiem. Šajā sakarā, risinot produktu un pakalpojumu atbilstības novērtēšanu, Komisijai attiecīgos gadījumos būtu jārod sinerģija ar esošajām attiecīgajām Eiropas un starptautiskajām sistēmām, piemēram, Eiropas Parlamenta un Padomes Regulu (EK) Nr. 765/2008 (9), kurā noteiktas atbilstības novērtēšanas struktūru akreditācijas un produktu tirgus uzraudzības prasības.
(45)
Lai efektīvi noritētu ieviešanas process, kura rezultātā kvalificētos uzticamības pakalpojumu sniedzējus un to sniegtos kvalificētos uzticamības pakalpojumus iekļautu uzticamības sarakstos, būtu jāsekmē iepriekšēja apspriešanās starp kvalificētiem uzticamības pakalpojumu sniedzējiem un kompetento uzraudzības iestādi, tādējādi atvieglojot uzticamības pārbaudi, kas jāveic pirms kvalificētu uzticamības pakalpojumu sniegšanas.
(46)
Uzticamības saraksti ir būtiski, lai panāktu uzticēšanos tirgus dalībnieku starpā, jo tajos norādīts pakalpojumu sniedzēja kvalifikācijas statuss uzraudzības laikā.
(47)
Ticamība tiešsaistes pakalpojumiem un ērta to izmantošana ir būtiska, lai lietotāji pilnībā gūtu labumu no elektroniskajiem pakalpojumiem un apzināti uz tiem paļautos. Šajā nolūkā būtu jārada ES uzticamības marķējums, lai identificētu kvalificētus uzticamības pakalpojumus, ko sniedz kvalificēti uzticamības pakalpojumu sniedzēji. Šāds ES uzticamības marķējums kvalificētiem uzticamības pakalpojumiem skaidri atšķirtu kvalificētus uzticamības pakalpojumus no citiem uzticamības pakalpojumiem, tādējādi sekmējot pārredzamību tirgū. ES uzticamības marķējuma izmantošanai kvalificētiem uzticamības pakalpojumu sniedzējiem vajadzētu būt brīvprātīgai, un tai nebūtu jārada nekādas citas prasības papildu tām, kas ir paredzētas šajā regulā.
(48)
Lai nodrošinātu elektronisko parakstu savstarpēju atzīšanu, drošības līmenim jābūt augstam, taču īpašos gadījumos, piemēram, saistībā ar Komisijas Lēmumu 2009/767/EK (10), būtu jāakceptē elektroniskie paraksti arī ar zemāku drošības nodrošinājuma līmeni.
(49)
Ar šo regulu būtu jānosaka princips, ka elektroniskā paraksta juridisko spēku nebūtu jānoraida elektroniskā formāta dēļ vai tādēļ, ka tas neatbilst kvalificētā elektroniskā paraksta prasībām. Tomēr elektronisko parakstu juridiskais spēks ir jānosaka ar valsts tiesību aktiem, izņemot šajā regulā noteiktās prasības, proti, ka kvalificētiem elektroniskajiem parakstiem būtu jāpiešķir līdzvērtīgs juridiskais spēks kā parakstiem ar roku.
(50)
Tā kā patlaban dalībvalstu kompetentās iestādes, savus dokumentus parakstot elektroniski, izmanto uzlabotu elektronisko parakstu dažādus formātus, ir jānodrošina, lai dalībvalstis spētu tehniski atbalstīt vismaz vairākus uzlabotu elektronisko parakstu formātus tad, kad tās saņem elektroniski parakstītus dokumentus. Tāpat, ja dalībvalstu kompetentās iestādes izmanto uzlabotus elektroniskos zīmogus, būtu jānodrošina, ka tās atbalstītu vismaz vairākus uzlabotu elektronisko zīmogu formātus.
(51)
Parakstītājam būtu jāspēj uzticēt kvalificētas elektroniskā paraksta radīšanas ierīces trešās personas aprūpei ar noteikumu, ka tiek īstenoti pienācīgi mehānismi un procedūras, kas garantē, ka tikai parakstītājs kontrolē sava elektroniskā paraksta radīšanas datu izmantošanu, un ka saistībā ar ierīces izmantošanu ir izpildītas kvalificētā elektroniskā paraksta prasības.
(52)
Aizvien biežāk notiek elektronisko parakstu attālināta izveide, proti, kad elektroniskais paraksts parakstītāja vārdā tiek izveidots vidē, ko pārvalda uzticamības pakalpojumu sniedzējs, jo tam ir daudzkārtējas ekonomiskas priekšrocības. Tomēr, lai nodrošinātu, ka šādi elektroniskie paraksti tiek juridiski atzīti tā pat kā tie elektroniskie paraksti, kas izveidoti vidē, kuru pilnībā pārvalda lietotājs, attālināta elektroniskā paraksta pakalpojuma sniedzējiem būtu jāpiemēro konkrētas drošības, pārvaldības un administratīvās procedūras, un jāizmanto uzticamas sistēmas un produkti, tostarp droši elektroniskie sakaru kanāli, ar mērķi garantēt elektroniskā paraksta izveides vides uzticamību un to, ka parakstītājs ir vienīgais, kurš kontrolē sava elektroniskā paraksta izveides vidi. Ja kvalificēts elektroniskais paraksts ir veidots ar attālināta elektroniskā paraksta izveides ierīci, būtu jāpiemēro prasības, kas saskaņā ar šo regulu ir piemērojamas kvalificētu uzticamības pakalpojumu sniedzējiem.
(53)
Kvalificēta sertifikāta apturēšana ir uzticamības pakalpojumu sniedzēju pieņemta darbības prakse vairākās dalībvalstīs, kura atšķiras no sertifikāta atsaukšanas un no kuras uz laiku izriet sertifikāta derīguma zudums. Juridiskās noteiktības dēļ vienmēr ir skaidri jānorāda sertifikāta apturēšanas statuss. Šajā nolūkā uzticamības pakalpojumu sniedzēji ir atbildīgi par to, lai skaidri norādītu sertifikāta statusu un, ja tas ir apturēts, precīzu laikposmu, uz kādu sertifikāts ir apturēts. Ar šo regulu uzticamības pakalpojumu sniedzējiem vai dalībvalstīm nebūtu jāuzliek par pienākumu izmantot apturēšanu, taču būtu jāparedz pārredzamības noteikumi, kad un kādos gadījumos šāda prakse ir pieejama.
(54)
Kvalificētu sertifikātu pārrobežu sadarbspēja un atzīšana ir kvalificētu elektronisko parakstu atzīšanas priekšnosacījums. Tāpēc uz kvalificētiem sertifikātiem nebūtu jāattiecas nevienai obligātai prasībai, kas pārsniedz šajā regulā noteiktās prasības. Tomēr valstu līmenī būtu jāļauj kvalificētos sertifikātos iekļaut raksturīgās pazīmes, piemēram, unikālos identifikatorus, ar noteikumu, ka šādas raksturīgās pazīmes nekavē kvalificētu sertifikātu un elektronisko parakstu pārrobežu sadarbspēju un atzīšanu.
(55)
IT drošības sertifikācija, kuras pamatā ir starptautiski standarti, piemēram, ISO 15408 un ar to saistītas novērtēšanas metodes un savstarpējās atzīšanas režīmi, ir būtisks instruments, lai verificētu kvalificēta elektroniskā paraksta radīšanas ierīču drošību, un tā būtu jāveicina. Tomēr inovatīviem risinājumiem un pakalpojumiem, piemēram, mobilajam parakstam un mākoņparakstam, ir nepieciešami kvalificēta elektroniskā paraksta radīšanas ierīču tehniski un organizatoriski risinājumi, kuriem drošības standarti iespējams vēl nav pieejami vai kuriem pašlaik notiek pirmā IT drošības sertifikācija. Šāda kvalificēta elektroniskā paraksta radīšanas ierīču drošības līmeni varētu novērtēt, izmantojot alternatīvus procesus, tikai tad, ja šādi drošības standarti nav pieejami, vai ja pašlaik notiek pirmā IT drošības sertifikācija. Minētajiem procesiem vajadzētu būt salīdzināmiem ar IT drošības sertifikācijas standartiem, ciktāl to drošības līmeņi ir līdzvērtīgi. Minētos procesus varētu sekmēt ar salīdzinošo izvērtēšanu.
(56)
Šajā regulā būtu jāizklāsta prasības kvalificēta elektroniskā paraksta radīšanas ierīcēm, lai nodrošinātu uzlabotu elektronisko parakstu funkcionalitāti. Šī regula neaptver visu sistēmvidi, kurā šādas ierīces darbojas. Tāpēc kvalificētu paraksta radīšanas ierīču sertifikācijas jomā būtu jāietver tikai aparatūra un sistēmas programmatūra, ko izmanto, lai pārvaldītu un aizsargātu paraksta izveides datus, kas tiek radīti, uzglabāti vai apstrādāti paraksta radīšanas ierīcē. Kā precizēts attiecīgos standartos, no sertifikācijas pienākuma jomas nebūtu jāizslēdz paraksta radīšanas lietojumprogrammatūra.
(57)
Lai nodrošinātu juridisko noteiktību attiecībā uz paraksta derīgumu, ir būtiski precizēt tos kvalificēta elektroniskā paraksta datus, kuri būtu jānovērtē atkarīgajai pusei, kura veic validāciju. Turklāt prasību precizēšana attiecībā uz tādiem kvalificētiem uzticamības pakalpojumu sniedzējiem, kas var sniegt kvalificētus validēšanas pakalpojumus atkarīgajām pusēm, kuras nevēlas vai nespēj pašas veikt kvalificētu elektronisko parakstu validāciju, būtu jāsekmē privātā un publiskā sektora ieguldījumi šādos pakalpojumos. Izpildot abus nosacījumus, kvalificēta elektroniskā paraksta validēšanai būtu jākļūst par vienkāršu un Savienības līmenī visām pusēm piemērotu procedūru.
(58)
Ja, veicot darījumu, vajadzīgs juridiskas personas kvalificēts elektroniskais zīmogs, jāakceptē būtu arī juridiskās personas pilnvarotā pārstāvja kvalificēts elektroniskais paraksts.
(59)
Elektroniskie zīmogi būtu jāizmanto kā pierādījums tam, ka elektronisko dokumentu izsniegusi juridiska persona, garantējot dokumenta izcelsmi un integritāti.
(60)
Uzticamības pakalpojumu sniedzējiem, kas izsniedz kvalificētus elektronisko zīmogu sertifikātus, būtu jāievieš vajadzīgie pasākumi, lai varētu noskaidrot fiziskas personas identitāti, kas pārstāv juridisko personu, kurai tiek sniegts kvalificēts elektroniskā zīmoga sertifikāts, ja šāda identifikācija ir vajadzīga valsts līmenī saistībā ar tiesvedību vai administratīviem procesiem.
(61)
Ar šo regulu būtu jānodrošina informācijas ilgtermiņa saglabāšana, lai nodrošinātu elektronisko parakstu un elektronisko zīmogu juridisko derīgumu ilgākos laikposmos un garantētu, ka tos var validēt neatkarīgi no turpmākas tehnoloģiju attīstības.
(62)
Lai nodrošinātu kvalificētu elektronisko laika zīmogu drošību, šajā regulā būtu jānosaka prasība izmantot uzlabotu elektronisko zīmogu vai uzlabotu elektronisko parakstu vai citas līdzvērtīgas metodes. Paredzams, ka inovāciju rezultātā varētu tapt jaunas tehnoloģijas, kas varētu nodrošināt līdzvērtīgu drošības līmeni laika zīmogiem. Ja tiek izmantota cita metode, kas nav uzlabots elektroniskais zīmogs vai uzlabots elektroniskais paraksts, būtu jāatstāj kvalificētā uzticamības pakalpojumu sniedzēja ziņā, vai atbilstības novērtēšanas ziņojumā parādīt, ka šāda metode nodrošina līdzvērtīgu drošības līmeni un atbilst šajā regulā noteiktajiem pienākumiem.
(63)
Elektroniskiem dokumentiem ir nozīme pārrobežu elektronisko darījumu turpmākai attīstībai iekšējā tirgū. Ar šo regulu būtu jānosaka princips, ka elektroniska dokumenta juridisko spēku nebūtu jānoraida elektroniskā formāta dēļ, lai nodrošinātu, ka elektronisku darījumu nenoraida tikai tādēļ, ka dokuments ir elektroniskā formātā.
(64)
Izskatot uzlabotu elektronisko parakstu un zīmogu formātus, Komisijai būtu jābalstās uz esošo praksi, standartiem un tiesību aktiem, jo īpaši Komisijas Lēmumu 2011/130/ES (11).
(65)
Elektroniskos zīmogus var izmantot ne vien juridiskas personas izsniegtu dokumentu autentificēšanai, bet arī visu juridiskas personas digitālo aktīvu, piemēram, programmatūru kodu vai serveru, autentificēšanai.
(66)
Ir būtiski izveidot tiesisko regulējumu, lai veicinātu pārrobežu atzīšanu starp esošajām valstu tiesību sistēmām attiecībā uz elektroniski reģistrētiem piegādes pakalpojumiem. Minētais regulējums varētu arī radīt jaunas tirgus iespējas Savienības uzticamības pakalpojumu sniedzējiem piedāvāt jaunus elektroniski reģistrētus piegādes pakalpojumus visā Eiropā.
(67)
Tīmekļa vietņu autentifikācijas pakalpojumi nodrošina veidu, kā tīmekļa vietnes apmeklētājs var būt drošs, ka par šo tīmekļa vietni atbild īsta un likumīga vienība. Minētie pakalpojumi palīdz veidot uzticēšanos un ticamību, veicot darījumdarbību tiešsaistē, jo lietotāji uzticēsies autentificētai tīmekļa vietnei. Tīmekļa vietņu autentifikācijas pakalpojumu sniegšana un izmantošana ir pilnīgi brīvprātīga. Tomēr, lai tīmekļa vietņu autentifikācija kļūtu par veidu, kā palielināt uzticēšanos, sniedzot labāku pieredzi lietotājam un turpmāku izaugsmi iekšējā tirgū, ar šo regulu būtu sniedzējiem un to sniegtajiem pakalpojumiem jānosaka minimālie drošības un atbildības pienākumi. Minētajā nolūkā vērā ir ņemti rezultāti, kas gūti nozares vadībā veiktajās iniciatīvās, piemēram, sertificēšanas iestāžu/pārlūku forums - CA/B forums. Turklāt šai regulai nebūtu jākavē citu veidu vai metožu izmantošana tīmekļa vietņu autentifikācijai, uz kuru šī regula neattiecas, un tai nebūtu jāliedz tīmekļa vietņu autentifikācijas pakalpojumu sniedzējiem no trešām valstīm sniegt to pakalpojumus Savienības klientiem. Tomēr būtu vajadzīgs, lai pakalpojumu sniedzējam no trešās valsts tīmekļa vietņu autentifikācijas pakalpojumi būtu atzīti par kvalificētiem pakalpojumiem saskaņā ar šo regulu tikai tad, ja ir noslēgts starptautisks nolīgums starp Savienību un valsti, kurā pakalpojumu sniedzējs veic uzņēmējdarbību.
(68)
Saskaņā ar Līguma par Eiropas Savienības darbību (LESD) noteikumiem par uzņēmējdarbības veikšanu jēdziens “juridiskas personas” sniedz uzņēmējiem izvēles brīvību attiecībā uz juridisko formu, ko tie uzskata par piemērotu, lai veiktu savas darbības. Tādējādi “juridiskas personas” LESD nozīmē ir visas vienības, kas izveidotas atbilstīgi kādas dalībvalsts tiesību aktiem vai ko šie tiesību akti reglamentē, neatkarīgi no to juridiskās formas.
(69)
Savienības iestādes, struktūras, birojus un aģentūras mudina atzīst elektronisko identifikāciju un uzticamības pakalpojumus, uz kuriem attiecas šī regula, lai aktīvāk izmantotu administratīvo sadarbību, jo īpaši attiecībā uz esošo labo praksi un rezultātiem, kas gūti patlaban īstenotajos projektos tajās jomās, uz kurām attiecas šī regula.
(70)
Lai elastīgi un ātri papildinātu dažus šajā regulā precīzi noteiktus tehniskos aspektus, pilnvaras pieņemt aktus saskaņā ar LESD 290. pantu būtu jādeleģē Komisijai attiecībā uz kritērijiem, kas jāievēro par kvalificētu elektroniskā paraksta radīšanas ierīču sertifikāciju atbildīgām iestādēm. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī. Komisijai, sagatavojot un izstrādājot deleģētos aktus, būtu jānodrošina vienlaicīga, savlaicīga un atbilstīga attiecīgo dokumentu nosūtīšana Eiropas Parlamentam un Padomei.
(71)
Lai nodrošinātu vienādus nosacījumus šīs regulas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai, jo īpaši attiecībā uz to standartu identifikācijas numuru precizēšanu, kuru izmantošana ļautu izdarīt pieņēmumu par dažu šajā regulā noteikto prasību ievērošanu. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (12).
(72)
Pieņemot deleģētos vai īstenošanas aktus, Komisijai būtu pienācīgi jāņem vērā Eiropas un starptautisko standartizācijas organizāciju un struktūra, jo īpaši Eiropas Standartizācijas komitejas (CEN), Eiropas Telekomunikāciju standartu institūta (ETSI), Starptautiskās Standartizācijas organizācijas (ISO) un Starptautiskās Telesakaru savienības (ITU) izstrādātie standarti un tehniskās specifikācijas, lai nodrošinātu elektroniskās identifikācijas un uzticamības pakalpojumu augsta līmeņa drošību un sadarbspēju.
(73)
Juridiskās noteiktības un skaidrības labad Direktīva 1999/93/EK būtu jāatceļ.
(74)
Lai nodrošinātu juridisko noteiktību tiem tirgus dalībniekiem, kuri jau izmanto kvalificētus sertifikātus, kas izsniegti fiziskām personām saskaņā ar Direktīvu 1999/93/EK, ir jāparedz pietiekami ilgs pārejas laikposms. Līdzīgā veidā būtu jānosaka pārejas pasākumi drošām paraksta radīšanas ierīcēm, kuru atbilstība ir noteikta saskaņā ar Direktīvu 1999/93/EK, kā arī sertifikācijas pakalpojumu sniedzējiem, kas izsniedz kvalificētus sertifikātus pirms 2016. gada 1. jūlija. Visbeidzot, ir arī jānodrošina, lai Komisijai būtu līdzekļi, kas tai ļautu īstenošanas aktus un deleģētos aktus pieņemt pirms minētās dienas.
(75)
Šajā regulā minētie piemērošanas datumi neskar esošos pienākumus, kas dalībvalstīm jau ir noteikti Savienības tiesību aktos, jo īpaši Direktīvā 2006/123/EK.
(76)
Ņemot vērā to, ka šīs regulas mērķus nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības mēroga dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai.
(77)
Saskaņā ar Eiropas Parlamenta un Padomes Regulas (EK) Nr. 45/2001 (13) 28. panta 2. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2012. gada 27. septembrī sniedza atzinumu (14),
IR PIEŅĒMUŠI ŠO REGULU.
I NODAĻA
VISPĀRĪGI NOTEIKUMI
1. pants
Priekšmets
Lai nodrošinātu iekšējā tirgus pienācīgu darbību, vienlaikus cenšoties panākt elektroniskās identifikācijas līdzekļu un uzticamības pakalpojumu pienācīgu drošības līmeni, šajā regulā:
a)
tiek izklāstīti nosacījumi, saskaņā ar kuriem dalībvalstis atzīst fizisku un juridisku personu elektroniskās identifikācijas līdzekļus, kuri ietverti citas dalībvalsts paziņotajā elektroniskās identifikācijas shēmā;
b)
tiek izklāstīti noteikumi par uzticamības pakalpojumiem, jo īpaši attiecībā uz elektroniskiem darījumiem; un
c)
tiek izveidots tiesiskais regulējums attiecībā uz elektroniskajiem parakstiem, elektroniskajiem zīmogiem, elektroniskajiem laika zīmogiem, elektroniskajiem dokumentiem, elektroniski reģistrētiem piegādes pakalpojumiem un sertifikācijas pakalpojumiem tīmekļa vietņu autentifikācijai.
2. pants
Darbības joma
1. Šo regulu piemēro elektroniskās identifikācijas shēmām, par kurām ir paziņojušas dalībvalstis, un uzticamības pakalpojumu sniedzējiem, kas veic uzņēmējdarbību Savienībā.
2. Šo regulu nepiemēro tādu uzticamības pakalpojumu sniegšanai, kurus izmanto vienīgi slēgtās sistēmās, kas izriet no valsts tiesību aktiem vai nolīgumiem starp noteiktu dalībnieku kopumu.
3. Šī regula neskar valstu vai Savienības tiesību aktus, kas saistīti ar līgumu slēgšanu un derīgumu vai citu juridisku vai procesuālu saistību uzņemšanos attiecībā uz formātu.
3. pants
Definīcijas
Šajā regulā izmanto šādas definīcijas:
1)
“elektroniskā identifikācija” ir tādu elektronisku personas identifikācijas datu izmantošanas process, kas unikālā veidā apliecina fiziskās vai juridiskās personas identitāti vai tādas fiziskas personas identitāti, kas pārstāv juridisku personu;
2)
“elektroniskās identifikācijas līdzekļi” ir materiāli un/vai nemateriāli elementi, kas ietver personas identifikācijas datus un ko izmanto, lai autentificētos tiešsaistes pakalpojumam;
3)
“personas identifikācijas dati” ir datu kopums, kas ļauj noskaidrot fiziskas vai juridiskas personas identitāti, vai tādas fiziskas personas identitāti, kas pārstāv juridisku personu;
4)
“elektroniskās identifikācijas shēma” ir elektroniskās identifikācijas sistēma, kurā elektroniskās identifikācijas līdzekļus izsniedz fiziskām vai juridiskām personām vai tādām fiziskām personām, kas pārstāv juridiskas personas;
5)
“autentifikācija” ir elektronisks process, kas dara iespējamu fiziskas vai juridiskas personas elektronisko identifikāciju vai elektronisko datu izcelsmes un integritātes apstiprināšanu;
6)
“atkarīgā puse” ir fiziska vai juridiska persona, kas paļaujas uz elektronisku identifikāciju vai uzticamības pakalpojumu;
7)
“publiskā iestāde” ir valsts, reģionāla vai pašvaldības iestāde, publisko tiesību subjekts vai apvienība, ko veido viena vai vairākas šādas iestādes vai viens vai vairāki šādi publisko tiesību subjekti, vai privāta vienība, ko pilnvarojusi vismaz viena no minētajām iestādēm, subjektiem vai apvienībām, lai sniegtu publiskus pakalpojumus, darbojoties saskaņā ar šādu pilnvarojumu;
8)
“publisko tiesību subjekts” ir struktūra, kas definēta Eiropas Parlamenta un Padomes Direktīvas 2014/24/ES (15) 2. panta 1. punkta 4. apakšpunktā;
9)
“parakstītājs” ir fiziska persona, kura rada elektronisku parakstu;
10)
“elektroniskais paraksts” ir elektroniski dati, kas pievienoti citiem elektroniskajiem datiem vai loģiski saistīti ar tiem un ko parakstītājs izmanto, lai parakstītos;
11)
“uzlabots elektroniskais paraksts” ir elektronisks paraksts, kas atbilst 26. pantā izklāstītajām prasībām;
12)
“kvalificēts elektroniskais paraksts” ir uzlabots elektroniskais paraksts, kas radīts ar kvalificētu elektroniskā paraksta radīšanas ierīci, pamatojoties uz kvalificētu elektroniskā paraksta sertifikātu;
13)
“elektroniskā paraksta radīšanas dati” ir unikāli dati, ko parakstītājs izmanto elektroniska paraksta radīšanai;
14)
“elektroniskā paraksta sertifikāts” ir elektronisks apliecinājums, kas saista elektroniskā paraksta validācijas datus ar fizisku personu un apliecina vismaz minētās personas vārdu vai pseidonīmu;
15)
“kvalificēts elektroniskā paraksta sertifikāts” ir elektroniskā paraksta sertifikāts, ko izsniedz kvalificēts uzticamības pakalpojumu sniedzējs un kas atbilst I pielikumā noteiktajām prasībām;
16)
“uzticamības pakalpojums” ir elektronisks pakalpojums, parasti par atlīdzību, kas ietver:
a)
elektronisko parakstu, elektronisko zīmogu vai elektronisko laika zīmogu, elektroniski reģistrētu piegādes pakalpojumu un ar minētajiem pakalpojumiem saistītu sertifikātu radīšanu, verifikāciju un validāciju; vai
b)
tīmekļa vietņu autentifikācijas sertifikātu radīšanu, verifikāciju un validāciju; vai
c)
ar minētajiem pakalpojumiem saistītu elektronisko parakstu, zīmogu vai sertifikātu saglabāšanu;
17)
“kvalificēts uzticamības pakalpojums” ir uzticamības pakalpojums, kas atbilst šajā regulā noteiktajām piemērojamām prasībām;
18)
“atbilstības novērtēšanas struktūra” ir Regulas (EK) Nr. 765/2008 2. panta 13. punktā definēta struktūra, kas saskaņā ar minēto regulu ir akreditēta kā kompetenta veikt kvalificēta uzticamības pakalpojumu sniedzēja un tā sniegtu kvalificētu uzticamības pakalpojumu atbilstības novērtējumu;
19)
“uzticamības pakalpojumu sniedzējs” ir fiziska vai juridiska persona, kas sniedz vienu vai vairākus uzticamības pakalpojumus vai nu kā kvalificēti, vai kā nekvalificēti uzticamības pakalpojumu sniedzēji;
20)
“kvalificēts uzticamības pakalpojumu sniedzējs” ir uzticamības pakalpojumu sniedzējs, kas sniedz vienu vai vairākus kvalificētus uzticamības pakalpojumus un kuram uzraudzības iestāde ir piešķīrusi kvalificētā statusu;
21)
“produkts” ir aparatūra vai programmatūra, vai aparatūras vai programmatūras attiecīgas sastāvdaļas, ko paredzēts izmantot uzticamības pakalpojumu sniegšanai;
22)
“elektroniskā paraksta radīšanas ierīce” ir konfigurēta programmatūra vai aparatūra, ko izmanto elektroniska paraksta radīšanai;
23)
“kvalificēta elektroniskā paraksta radīšanas ierīce” ir elektroniskā paraksta radīšanas ierīce, kas atbilst II pielikumā noteiktajām prasībām;
24)
“zīmoga radītājs” ir juridiska persona, kas rada elektronisku zīmogu;
25)
“elektroniskais zīmogs” ir elektroniski dati, kas pievienoti citiem elektroniskajiem datiem vai loģiski saistīti ar tiem, lai garantētu šo pēdējo izcelsmi un integritāti;
26)
“uzlabots elektroniskais zīmogs” ir elektronisks zīmogs, kas atbilst 36. pantā izklāstītajām prasībām;
27)
“kvalificēts elektroniskais zīmogs” ir uzlabots elektroniskais zīmogs, kas radīts ar kvalificētu elektroniskā zīmoga radīšanas ierīci un kura pamatā ir kvalificēts elektroniskā zīmoga sertifikāts;
28)
“elektroniskā zīmoga radīšanas dati” ir unikāli dati, ko elektroniskā zīmoga radītājs izmanto elektroniska zīmoga radīšanai;
29)
“elektroniskā zīmoga sertifikāts” ir elektronisks apliecinājums, kas saista elektroniskā zīmoga validācijas datus ar juridisku personu un apliecina minētās personas nosaukumu;
30)
“kvalificēts elektroniskā zīmoga sertifikāts” ir elektroniskā zīmoga sertifikāts, ko izsniedz kvalificēts uzticamības pakalpojumu sniedzējs un kas atbilst III pielikumā noteiktajām prasībām;
31)
“elektroniskā zīmoga radīšanas ierīce” ir konfigurēta programmatūra vai aparatūra, ko izmanto elektroniska zīmoga radīšanai;
32)
“kvalificēta elektroniskā zīmoga radīšanas ierīce” ir elektroniskā zīmoga radīšanas ierīce, kas mutatis mutandis atbilst II pielikumā noteiktajām prasībām;
33)
“elektroniskais laika zīmogs” ir elektroniski dati, kas saista citus elektroniskos datus ar konkrētu laiku, apstiprinot šo pēdējo esamību minētajā laikā;
34)
“kvalificēts elektroniskais laika zīmogs” ir elektroniskais laika zīmogs, kas atbilst 42. pantā noteiktajām prasībām;
35)
“elektronisks dokuments” ir jebkāds saturs, kas tiek glabāts elektroniskā formātā, jo īpaši teksta vai skaņas, vizuāls vai audiovizuāls ieraksts;
36)
“elektroniski reģistrēts piegādes pakalpojums” ir pakalpojums, kuru izmantojot, ar elektroniskiem līdzekļiem tiek nosūtīti dati starp trešām personām, sniedzot apliecinājumu par nosūtīto datu apstrādi, tostarp pierādījumu par datu nosūtīšanu un saņemšanu, un kuri nodrošina nosūtīto datu aizsardzību pret pazušanu, zādzību vai jebkādu neatļautu sagrozīšanu;
37)
“kvalificēts elektroniski reģistrēts piegādes pakalpojums” ir elektroniski reģistrēts piegādes pakalpojums, kas atbilst 44. pantā noteiktajām prasībām;
38)
“tīmekļa vietņu autentifikācijas sertifikāts” ir apliecinājums, kas ļauj autentificēt tīmekļa vietni un saista tīmekļa vietni ar fizisko vai juridisko personu, kurai sertifikāts ir izsniegts;
39)
“kvalificēts tīmekļa vietņu autentifikācijas sertifikāts” ir tīmekļa vietņu autentifikācijas sertifikāts, ko izsniedz kvalificēts uzticamības pakalpojumu sniedzējs un kas atbilst IV pielikumā noteiktajām prasībām;
40)
“validācijas dati” ir dati, ko izmanto elektroniska paraksta vai elektroniska zīmoga validācijai;
41)
“validācija” ir elektroniskā paraksta vai zīmoga verifikācija un apstiprināšana, ka tas ir derīgs.
4. pants
Iekšējā tirgus principi
1. Netiek ierobežota tādu uzticamības pakalpojumu sniegšanu kādā dalībvalstī, ko nodrošina citā dalībvalstī reģistrēts uzticamības pakalpojumu sniedzējs tādu iemeslu dēļ, kas izriet no jomām, uz ko attiecas šī regula.
2. Produktus un uzticamības pakalpojumus, kas atbilst šai regulai, var laist brīvā apritē iekšējā tirgū.
5. pants
Datu apstrāde un aizsardzība
1. Personas datus apstrādā saskaņā ar Direktīvu 95/46/EK.
2. Neskarot juridisko spēku, kas atbilstīgi valsts tiesību aktiem ir pseidonīmiem, pseidonīmu izmantošana elektroniskos darījumos nav aizliegta.
II NODAĻA
ELEKTRONISKĀ IDENTIFIKĀCIJA
6. pants
Savstarpējā atzīšana
1. Ja saskaņā ar valsts tiesību aktiem vai administratīvo praksi tāda pakalpojuma piekļuvei, ko publiskā iestāde tiešsaistē sniedz vienā dalībvalstī, ir nepieciešama elektroniskā identifikācija, izmantojot elektroniskās identifikācijas līdzekļus, tad elektroniskās identifikācijas līdzekļi, kuri izsniegti citā dalībvalstī tiek atzīti pirmajā dalībvalstī, lai veiktu minētā tiešsaistes pakalpojuma pārrobežu autentifikāciju, ar noteikumu, ka tiek ievēroti šādi nosacījumi:
a)
elektroniskās identifikācijas līdzekļus izsniedz saskaņā ar elektroniskās identifikācijas shēmu, kas iekļauta atbilstīgi 9. pantam Komisijas publicētā sarakstā;
b)
elektroniskās identifikācijas līdzekļu uzticamības līmenis atbilst tādam uzticamības līmenim, kas ir līdzvērtīgs vai lielāks par uzticamības līmeni, kādu noteikusi attiecīgā publiskā iestāde attiecībā uz piekļuvi tiešsaistes pakalpojumam pirmajā dalībvalstī, ar noteikumu, ka minēto elektroniskās identifikācijas līdzekļu uzticamības līmenis atbilst būtiskam vai augstam uzticamības līmenim;
c)
attiecīgā publiskā iestāde izmanto būtisku vai augstu uzticamības līmeni attiecībā uz piekļuvi minētajam pakalpojumam tiešsaistē.
Šāda atzīšana notiek vēlākais 12 mēnešus pēc tam, kad Komisija publicē pirmās daļas a) apakšpunktā minēto sarakstu.
2. Elektroniskās identifikācijas līdzekļus, kas izsniegti saskaņā ar elektroniskās identifikācijas shēmu, kura ir iekļauta atbilstīgi 9. pantam Komisijas publicētā sarakstā un kura atbilst zemam uzticamības līmenim, publiskās iestādes var atzīt, lai minētās iestādes veiktu tiešsaistē sniegta pakalpojuma pārrobežu autentifikāciju.
7. pants
Elektroniskās identifikācijas shēmu atbilstība paziņošanai
Par elektroniskās identifikācijas shēmu var paziņot saskaņā ar 9. panta 1. punktu ar noteikumu, ka ir izpildīti visi šie nosacījumi:
a)
elektroniskās identifikācijas līdzekļus saskaņā ar elektroniskās identifikācijas shēmu izsniedz:
i)
paziņotāja dalībvalsts;
ii)
atbilstīgi paziņotājas dalībvalsts pilnvarai; vai
iii)
neatkarīgi no paziņotājas dalībvalsts, un tos atzīst minētā dalībvalsts;
b)
elektroniskās identifikācijas līdzekļus saskaņā ar elektroniskās identifikācijas shēmu var izmantot, lai būtu pieejams vismaz viens pakaplojums, ko sniedz publiskā iestāde un saistībā ar ko paziņotājā dalībvalstī jāizmanto elektroniskā identifikācija;
c)
elektroniskās identifikācijas shēma un saskaņā ar to izsniegtie elektroniskās identifikācijas līdzekļi atbilst vismaz viena uzticamības līmeņa, kas ir izklāstīts 8. panta 3. punktā minētajā īstenošanas aktā, prasībām;
d)
paziņotāja dalībvalsts nodrošina, ka, izsniedzot elektroniskās identifikācijas līdzekļus saskaņā ar minēto shēmu, 3. panta 1. punktā minētajai fiziskai vai juridiskai personai saskaņā ar 8. panta 3. punktā minētā īstenošanas aktā izklāstītā attiecīgā uzticamības līmeņa tehniskajām specifikācijām, standartiem un procedūrām tiek piešķirti personas identifikācijas dati, kas unikāli apliecina attiecīgo personu;
e)
puse, kas izsniedz elektroniskās identifikācijas līdzekļus saskaņā ar minēto shēmu, nodrošina, ka elektroniskās identifikācijas līdzekļus piešķir šā panta d) punktā minētajai personai atbilstīgi 8. panta 3. punktā minētajā īstenošanas aktā izklāstītā attiecīgā uzticamības līmeņa tehniskajām specifikācijām, standartiem un procedūrām;
f)
paziņotāja dalībvalsts nodrošina, ka ir pieejama autentifikācija tiešsaistē, lai ikviena atkarīgā puse, kas veic uzņēmējdarbību citas dalībvalsts teritorijā, spēj apstiprināt elektroniskā formātā saņemtos personas identifikācijas datus.
Attiecībā uz atkarīgajām pusēm, kas nav publiskās iestādes, paziņotāja dalībvalsts var definēt noteikumus, kas attiecas uz piekļuvi minētajai autentifikācijai. Pārrobežu autentifikāciju sniedz bez maksas, kad to veic saistībā ar publiskās iestādes sniegtu tiešsaistes pakalpojumu.
Dalībvalstis neizvirza nekādas īpašas nesamērīgas tehniskas prasības tām atkarīgajām pusēm, kas plāno veikt šādu autentifikāciju, ja šādas prasības neļauj īstenot vai būtiski kavē paziņoto elektroniskās identifikācijas shēmu sadarbspēju;
g)
vismaz sešus mēnešus pirms paziņošanas saskaņā ar 9. panta 1. punktu paziņotāja dalībvalsts sakarā ar 12. panta 5. punktā noteikto pienākumu citām dalībvalstīm sniedz minētās shēmas aprakstu atbilstīgi 12. panta 7. punktā minētajos īsenošanas aktos noteiktajai procesuālajai kārtībai;
h)
elektroniskās identifikācijas shēma atbilst prasībām, kas izklāstītas 12. panta 8. punktā minētajā īstenošanas aktā.
8. pants
Elektroniskās identifikācijas shēmu uzticamības līmeņi
1. Elektroniskās identifikācijas shēmā, kas paziņota saskaņā ar 9. panta 1. punktu, precizē atbilstīgi minētajai shēmai izsniegto elektroniskās identifikācijas līdzekļu zemo, būtisko un/vai augsto uzticamības līmeni.
2. Zemais, būtiskais un augstais uzticamības līmenis atbilst attiecīgi šādiem kritērijiem:
a)
zems uzticamības līmenis attiecas uz elektroniskās identifikācijas līdzekļiem saistībā ar elektroniskās identifikācijas shēmu, kas sniedz ierobežotu ticamības pakāpi attiecībā uz personas apgalvotu vai paustu identitāti, un to raksturo atsauce uz tehniskajām specifikācijām, standartiem un procedūrām, kas ir ar to saistītas, tostarp tehnisko kontroli, kuru mērķis ir mazināt identitātes nepareizas izmantošanas vai izmainīšanas risku;
b)
būtisks uzticamības līmenis attiecas uz elektroniskās identifikācijas līdzekļiem saistībā ar elektroniskās identifikācijas shēmu, kas sniedz būtisku ticamības pakāpi attiecībā uz personas apgalvotu vai paustu identitāti, un to raksturo atsauce uz tehniskajām specifikācijām, standartiem un procedūrām, kas ir ar to saistītas, tostarp tehnisko kontroli, kuru mērķis ir būtiski mazināt identitātes nepareizas izmantošanas vai izmainīšanas risku;
c)
augsts uzticamības līmenis attiecas uz elektroniskās identifikācijas līdzekļiem saistībā ar elektroniskās identifikācijas shēmu, kas sniedz augstāku ticamības pakāpi attiecībā uz personas apgalvotu vai paustu identitāti nekā būtisks uzticamības līmenis, un to raksturo atsauce uz tehniskajām specifikācijām, standartiem un procedūrām, kas ir ar to saistītas, tostarp tehnisko kontroli, kuru mērķis ir novērst identitātes nepareizu izmantošanu vai izmainīšanu.
3. Līdz 2015. gada 18. septembrim, ņemot vērā attiecīgos starptautiskos standartus un ievērojot 2. punktu, Komisija ar īstenošanas aktiem nosaka minimālās tehniskās specifikācijas, standartus un procedūras, uz kuriem atsaucoties 1. punkta nolūkā ir noteikts elektroniskās identifikācijas līdzekļu zems, būtisks un augsts uzticamības līmenis.
Minētās minimālās tehniskās specifikācijas, standartus un procedūras nosaka, atsaucoties uz šādu turpmāk minētu elementu uzticamību un kvalitāti:
a)
procedūra, ar kuru pierāda un verificē to fizisko vai juridisko personu identitāti, kas iesniedz pieteikumu elektroniskās identifikācijas līdzekļu izsniegšanai;
b)
procedūra, ar kuru izsniedz pieprasītos elektroniskās identifikācijas līdzekļus;
c)
autentifikācijas mehānisms, ar kuru fiziskā vai juridiskā persona izmanto elektroniskās identifikācijas līdzekļus, lai apstiprinātu savu identitāti atkarīgajai pusei;
d)
vienība, kas izsniedz elektroniskās identifikācijas līdzekļus;
e)
jebkura cita struktūra, kas ir iesaistīta pieteikuma iesniegšanā attiecībā uz elektroniskās identifikācijas līdzekļiem; un
f)
izsniegto elektroniskās identifikācijas līdzekļu tehniskās un drošības specifikācijas.
Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
9. pants
Paziņošana
1. Paziņotāja dalībvalsts Komisijai paziņo turpmāk minēto informāciju un bez nepamatotas kavēšanās jebkādas turpmākas izmaiņas tajā:
a)
elektroniskās identifikācijas shēmas aprakstu, tostarp attiecībā uz tās uzticamības līmeņiem un elektroniskās identifikācijas līdzekļu izsniedzēju vai izsniedzējiem saskaņā ar shēmu;
b)
piemērojamo uzraudzības režīmu un informāciju par atbildības režīmu attiecībā uz:
i)
pusi, kas izsniedz elektroniskās identifikācijas līdzekļus; un
ii)
autentifikācijas procedūru veicošo pusi;
c)
iestādi vai iestādēm, kas ir atbildīga(-as) par elektroniskās identifikācijas shēmu;
d)
informāciju par vienību vai vienībām, kas pārvalda unikālo personas identifikācijas datu reģistrāciju;
e)
aprakstu, kurā izklāstīts, kā tiek pildītas prasības, kas izklāstītas 12. panta 8. punktā minētajos īstenošanas aktos;
f)
šīs regulas 7. panta f) punktā minētās autentifikācijas aprakstu;
g)
paziņotās elektroniskās identifikācijas shēmas vai autentifikācijas, vai attiecīgo kompromitēto daļu apturēšanas vai atsaukšanas kārtību.
2. Vienu gadu pēc 8. panta 3. punktā un 12. panta 8. punktā minēto īstenošanas aktu piemērošanas dienas Komisija Eiropas Savienības Oficiālajā Vēstnesī publicē to elektroniskās identifikācijas shēmu sarakstu, par kurām iesniegts paziņojums saskaņā ar šā panta 1. punktu, un pamatinformāciju par attiecīgajām shēmām.
3. Ja Komisija paziņojumu saņem pēc tam, kad ir beidzies 2. punktā minētais termiņš, tā Eiropas Savienības Oficiālajā Vēstnesī publicē grozījumus 2. punktā minētajā sarakstā divos mēnešos pēc minētā paziņojuma saņemšanas dienas.
4. Dalībvalsts var iesniegt Komisijai prasību no 2. punktā minētā saraksta izņemt elektroniskās identifikācijas shēmu, par kuru minētā dalībvalsts ir iesniegusi paziņojumu. Komisija mēneša laikā pēc dalībvalsts pieprasījuma saņemšanas dienas Eiropas Savienības Oficiālajā Vēstnesī publicē atbilstošos grozījumus sarakstā.
5. Komisija ar īstenošanas aktiem var noteikt tos nosacījumus, formātus un procedūras, kas jāievēro saistībā ar paziņojumiem saskaņā ar 1. punktu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
10. pants
Drošības pasākumu pārkāpumi
1. Ja saistībā ar elektroniskās identifikācijas shēmu, kas paziņota saskaņā ar 9. panta 1. punktu, vai autentifikāciju, kas minēta 7. panta f) punktā, ir konstatēts pārkāpums vai ja tā ir daļēji kompromitēta tādā veidā, kas ietekmē minētās shēmas pārrobežu autentifikācijas uzticamību, paziņotāja dalībvalsts nekavējoties aptur vai atsauc minēto pārrobežu autentifikāciju vai attiecīgās apdraudētās daļas un informē citas dalībvalstis un Komisiju.
2. Ja 1. punktā minētais pārkāpums vai kompromitējums ir novērsts, paziņotāja dalībvalsts bez nepamatotas kavēšanās atjauno pārrobežu autentifikāciju un informē citas dalībvalstis un Komisiju.
3. Ja 1. punktā minētais pārkāpums vai kompromitējums netiek novērsts trīs mēnešos pēc apturēšanas vai atsaukšanas, paziņotāja dalībvalsts paziņo citām dalībvalstīm un Komisijai par elektroniskās identifikācijas shēmas anulēšanu.
Komisija bez nepamatotas kavēšanās publicē Eiropas Savienības Oficiālajā Vēstnesī 9. panta 2. punktā minētā saraksta attiecīgos grozījumus.
11. pants
Atbildība
1. Paziņotāja dalībvalsts ir atbildīga par zaudējumu, kas apzināti vai nolaidības dēļ radies jebkurai fiziskai vai juridiskai personai tādēļ, ka pārrobežu darījumā nav ievēroti pienākumi, kas tai ir noteikti 7. panta d) un f) punktā.
2. Elektroniskās identifikācijas līdzekļus izsniedzošā puse ir atbildīga par zaudējumu, kas apzināti vai nolaidības dēļ radies jebkurai fiziskai vai juridiskai personai tādēļ, ka pārrobežu darījumā nav ievērots 7. panta e) punktā minētais pienākums.
3. Autentifikācijas procedūru veicošā puse ir atbildīga par zaudējumu, kas apzināti vai nolaidības dēļ radies jebkurai fiziskai vai juridiskai personai tādēļ, ka pārrobežu darījumā nav nodrošināta 7. panta f) punktā minētās autentifikācijas pareiza veikšana.
4. Šā panta 1., 2. un 3. punktu piemēro saskaņā ar valstu noteikumiem par atbildību.
5. Saskaņā ar valsts tiesību aktiem 1., 2. un 3. punkts neskar to pušu atbildību, kuras veic darījumu, izmantojot tādā elektroniskās identifikācijas shēmā ietvertos elektroniskās identifikācijas līdzekļus, par kuru ir paziņots, ievērojot 9. panta 1. punktu.
12. pants
Sadarbība un sadarbspēja
1. Valsts elektroniskās identifikācijas shēmas, par kurām ir paziņots, ievērojot 9. panta 1. punktu, ir sadarbspējīgas.
2. Šā panta 1. punkta vajadzībām izveido sadarbspējas sistēmu.
3. Sadarbspējas sistēma atbilst šādiem kritērijiem:
a)
tās mērķis ir būt tehnoloģiski neitrālai un tā nediskriminē nevienu konkrētu valsts tehnisko risinājumu attiecībā uz elektronisko identifikāciju dalībvalstī;
b)
ja iespējams, tā atbilst Eiropas un starptautiskajiem standartiem;
c)
tā sekmē integrētas privātuma aizsardzības principa īstenošanu; un
d)
tā nodrošina personas datu apstrādi saskaņā ar Direktīvu 95/46/EK.
4. Sadarbspējas sistēma ietver:
a)
atsauci uz minimālajām tehniskajām prasībām, kas ir saistītas ar 8. pantā minētajiem uzticamības līmeņiem;
b)
paziņoto elektroniskās identifikācijas shēmu valsts uzticamības līmeņu attiecināšanu uz 8. pantā minētajiem uzticamības līmeņiem;
c)
atsauci uz minimālajām tehniskajām prasībām attiecībā uz sadarbspēju;
d)
atsauci uz personas identifikācijas datu minimālo kopumu, kas unikāli apliecina fizisko vai juridisko personu un kas ir pieejams elektroniskās identifikācijas shēmās;
e)
procesuālo kārtību;
f)
strīdu izšķiršanas kārtību; un
g)
kopīgus operatīvās drošības standartus.
5. Dalībvalstis sadarbojas šādās jomās:
a)
elektroniskās identifikācijas shēmu, par kurām iesniegti paziņojumi saskaņā ar 9. panta 1. punktu, un elektroniskās identifikācijas shēmu, par kurām dalībvalstis plāno paziņot, sadarbspēja; un
b)
elektroniskās identifikācijas shēmu drošība.
6. Dalībvalstu sadarbība ietver:
a)
informācijas, pieredzes un labas prakses apmaiņu attiecībā uz elektroniskās identifikācijas shēmām un jo īpaši tehniskajām prasībām, kas ir saistītas ar sadarbspēju un uzticamības līmeņiem;
b)
informācijas, pieredzes un labas prakses apmaiņu attiecībā uz elektroniskās identifikācijas shēmu uzticamības līmeņiem saskaņā ar 8. pantu;
c)
to elektroniskās identifikācijas shēmu salīdzinošo izvērtēšanu, uz kurām attiecas šī regula; un
d)
attiecīgo attīstības tendenču izpēti elektroniskās identifikācijas nozarē.
7. Līdz 2015. gada 18. martam, pieņemot īstenošanas aktus, Komisija nosaka vajadzīgo procesuālo kārtību, lai veicinātu 5. un 6. punktā minēto dalībvalstu sadarbību, kas sekmētu riska pakāpei atbilstošu augsta līmeņa uzticamību un drošību.
8. Līdz 2015. gada 18. septembrim, lai noteiktu vienādus nosacījumus 1. punktā minētās prasības īstenošanai, Komisija, ievērojot 3. punktā izklāstītos kritērijus un ņemot vērā dalībvalstu sadarbības rezultātus, pieņem īstenošanas aktus attiecībā uz 4. punktā izklāstīto sadarbspējas sistēmu.
9. Šā panta 7. un 8. punktā minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
III NODAĻA
UZTICAMĪBAS PAKALPOJUMI
1. IEDAĻA
Vispārīgi noteikumi
13. pants
Atbildība un pierādīšanas pienākums
1. Neskarot 2. punktu, uzticamības pakalpojumu sniedzēji ir atbildīgi par zaudējumu, kas apzināti vai nolaidības dēļ radīts jebkurai fiziskai vai juridiskai personai tādēļ, ka nav ievēroti šajā regulā minētie pienākumi.
Pienākumu pierādīt nekvalificēta uzticamības pakalpojumu sniedzēja nodomu vai nolaidību uzņemas fiziska vai juridiska persona, kas iesniedz prasību par šā punkta pirmajā daļā minēto zaudējumu.
Tiek uzskatīts, ka ir bijis nodoms vai nolaidība no kvalificēta uzticamības pakalpojumu sniedzēja puses, ja vien minētais kvalificēts uzticamības pakalpojumu sniedzējs nepierāda, ka šā punkta pirmajā daļā minētais zaudējums ir noticis bez nodoma vai nolaidības no minētā kvalificēta uzticamības pakalpojumu sniedzēja puses.
2. Ja uzticamības pakalpojumu sniedzējs iepriekš laikus informē savus klientus par tā sniegto pakalpojumu lietošanas ierobežojumiem un ja minētie ierobežojumi ir trešām personām atpazīstami, uzticamības pakalpojumu sniedzējs nav atbildīgs par zaudējumiem, kas rodas izmantojot pakalpojumus, kuri pārsniedz norādītos ierobežojumus.
3. Šā panta 1. un 2. punktu piemēro saskaņā ar valstu noteikumiem par atbildību.
14. pants
Starptautiskie aspekti
1. Ja trešās valsts izcelsmes uzticamības pakalpojumi ir atzīti saskaņā ar nolīgumu, kas saskaņā ar LESD 218. pantu noslēgts starp Savienību un attiecīgo trešo valsti vai starptautisku organizāciju, tad uzticamības pakalpojumus, ko sniedz uzticamības pakalpojumu sniedzēji, kas veic uzņēmējdarbību trešās valstīs, atzīst kā juridiski līdzvērtīgus kvalificētiem uzticamības pakalpojumiem, ko sniedz kvalificēti uzticamības pakalpojumu sniedzēji, kas veic uzņēmējdarbību Savienībā.
2. Ar 1. punktā minētajiem nolīgumiem nodrošina jo īpaši, ka:
a)
prasības, kuras piemērojamas kvalificētiem uzticamības pakalpojumu sniedzējiem, kas veic uzņēmējdarbību Savienībā, un to sniegtajiem kvalificētiem uzticamības pakalpojumiem, ievēro uzticamības pakalpojumu sniedzēji trešā valstī vai starptautiskās organizācijās, ar kurām ir noslēgts nolīgums, un ka šīs prasības ievēro arī attiecībā uz to sniegtajiem uzticamības pakalpojumiem;
b)
kvalificētos uzticamības pakalpojumus, ko sniedz kvalificēti uzticamības pakalpojumu sniedzēji, kas veic uzņēmējdarbību Savienībā, atzīst kā juridiski līdzvērtīgus uzticamības pakalpojumiem, ko sniedz uzticamības pakalpojumu sniedzēji trešā valstī vai starptautiskā organizācija, ar ko ir noslēgts nolīgums.
15. pants
Pieejamība personām ar invaliditāti
Ja tas praktiski iespējams, piedāvātie uzticamības pakalpojumi un minēto pakalpojumu sniegšanā izmantotie tiešā lietotāja produkti ir pieejami personām ar invaliditāti.
16. pants
Sankcijas
Dalībvalstis paredz noteikumus par sankcijām, kas piemērojamas šīs regulas pārkāpumu gadījumā. Paredzētās sankcijas ir iedarbīgas, samērīgas un atturošas.
2. IEDAĻA
Uzraudzība
17. pants
Uzraudzības iestāde
1. Dalībvalstis izraugās uzraudzības iestādi, kas veic uzņēmējdarbību tās teritorijā, vai, pēc savstarpējas vienošanās ar citu dalībvalsti, uzraudzības iestādi, kas veic uzņēmējdarbību minētajā citā dalībvalstī. Minētā iestāde ir atbildīga par uzraudzības uzdevumiem dalībvalstī, kas veic izraudzīšanu.
Uzraudzības iestādēm piešķir pilnvaras un pienācīgus resursus, kas tām nepieciešami to uzdevumu izpildē.
2. Dalībvalstis paziņo Komisijai to attiecīgo uzraudzības iestāžu nosaukumus un adreses, ko tās ir izraudzījušās.
3. Uzraudzības iestādes uzdevumi ir šādi:
a)
uzraudzīt kvalificētus uzticamības pakalpojumu sniedzējus, kuri veic uzņēmējdarbību izraudzīšanas dalībvalsts teritorijā, lai, veicot ex ante un ex post uzraudzības darbības, nodrošinātu, ka minētie kvalificētie uzticamības pakalpojumu sniedzēji un to sniegtie kvalificētie uzticamības pakalpojumi atbilst šajā regulā noteiktajām prasībām;
b)
vajadzības gadījumā rīkoties attiecībā uz nekvalificētiem uzticamības pakalpojumu sniedzējiem, kuri veic uzņēmējdarbību izraudzīšanas dalībvalsts teritorijā, izmantojot ex post uzraudzības darbības, kad tiek saņemta informācija, ka minētie nekvalificētie uzticamības pakalpojumu sniedzēji vai to sniegtie uzticamības pakalpojumi, iespējams, neatbilst šajā regulā noteiktajām prasībām.
4. Piemērojot 3. punktu un ievērojot tajā noteiktos ierobežojumus, uzraudzības iestādes uzdevumi ietver jo īpaši:
a)
sadarbību ar citām uzraudzības iestādēm un palīdzības sniegšanu tām saskaņā ar 18. pantu;
b)
20. panta 1. punktā un 21. panta 1. punktā minēto atbilstības novērtēšanas ziņojumu analīzi;
c)
citu uzraudzības iestāžu un sabiedrības informēšanu par drošības pārkāpumiem vai integritātes zudumu saskaņā ar 19. panta 2. punktu;
d)
ziņojuma sniegšanu Komisijai par savām galvenajām darbībām saskaņā ar šā panta 6. punktu;
e)
revīzijas veikšanu vai lūgumu atbilstības novērtēšanas struktūrai veikt kvalificēto uzticamības pakalpojumu sniedzēju atbilstības novērtēšanu saskaņā ar 20. panta 2. punktu;
f)
sadarbību ar datu aizsardzības iestādēm, jo īpaši bez nepamatotas kavēšanās tās informējot par kvalificēto uzticamības pakalpojumu sniedzēju revīzijas rezultātiem, ja šķiet, ka ir notikuši personas datu aizsardzības noteikumu pārkāpumi;
g)
kvalifikācijas statusa piešķiršanu uzticamības pakalpojumu sniedzējiem un to sniegtajiem pakalpojumiem un šī statusa anulēšanu saskaņā ar 20. un 21. pantu;
h)
tās struktūras informēšanu, kas ir atbildīga par 22. panta 3. punktā minēto valsts uzticamības sarakstu, par lēmumiem piešķirt vai anulēt kvalificētā statusu, ja vien minētā struktūra nav arī uzraudzības iestāde;
i)
darbības pārtraukšanas plānu esamības un pareizas piemērošanas verifikāciju gadījumos, kad kvalificētais uzticamības pakalpojumu sniedzējs pārtrauc savas darbības, tostarp attiecībā uz to, kā tiek saglabāta informācijas pieejamība saskaņā ar 24. panta 2. punkta h) apakšpunktu;
j)
prasību, lai uzticamības pakalpojumu sniedzēji labotu jebkuru šajā regulā noteikto prasību neizpildi.
5. Dalībvalstis var prasīt uzraudzības iestādei izveidot, uzturēt un atjaunināt uzticamības infrastruktūru saskaņā ar valstu tiesību aktos paredzētajiem nosacījumiem.
6. Katru gadu līdz 31. martam katra uzraudzības iestāde iesniedz Komisijai pārskatu par iepriekšējā kalendārā gada laikā veiktajām galvenajām darbībām kopā ar kopsavilkumu par pārkāpumiem, par kuriem uzticamības pakalpojumu sniedzēji paziņojuši saskaņā ar 19. panta 2. punktu.
7. Komisija dara 6. punktā minēto ikgadējo pārskatu pieejamu dalībvalstīm.
8. Komisija ar īstenošanas aktiem var noteikt tos formātus un procedūras, kas jāievēro saistībā ar 6. punktā minēto ziņojumu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
18. pants
Savstarpēja palīdzība
1. Uzraudzības iestādes sadarbojas, lai apmainītos ar labu praksi.
Uzraudzības iestāde pēc pamatota pieprasījuma no citas uzraudzības iestādes saņemšanas sniedz minētajai iestādei palīdzību, tādējādi panākot uzraudzības iestāžu darbību konsekventu īstenošanu. Savstarpējā palīdzība jo īpaši var ietvert informācijas pieprasījumus un uzraudzības pasākumus, piemēram, pieprasījumus veikt ar 20. un 21. pantā minētajiem atbilstības novērtēšanas ziņojumiem saistītas pārbaudes.
2. Uzraudzības iestāde, kurai ir lūgta palīdzība, var noraidīt minēto pieprasījumu, pamatojoties uz jebkuru no šādiem iemesliem:
a)
uzraudzības iestāde nav kompetenta sniegt minēto palīdzību;
b)
lūgtā palīdzība nav samērīga ar uzraudzības iestādes uzraudzības darbībām, kas veiktas saskaņā ar 17. pantu;
c)
lūgtās palīdzības sniegšana būtu pretrunā šīs regulas noteikumiem.
3. Attiecīgā gadījumā dalībvalstis var pilnvarot to attiecīgās uzraudzības iestādes veikt kopīgu izmeklēšanu, kurā piedalās citu dalībvalstu uzraudzības iestāžu darbinieki. Attiecīgās dalībvalstis saskaņā ar valsts tiesību aktiem vienojas par kārtību un procedūrām attiecībā uz šādām kopīgām darbībām un izstrādā minēto kārtību un procedūras.
19. pants
Uzticamības pakalpojumu sniedzējiem piemērojamās drošības prasības
1. Kvalificēti un nekvalificēti uzticamības pakalpojumu sniedzēji veic piemērotus tehniskus un organizatoriskus pasākumus, lai pārvaldītu to sniegto uzticamības pakalpojumu drošībai radītos riskus. Ar minētajiem pasākumiem nodrošina drošības līmeni, kas ir samērīgs ar riska pakāpi, ņemot vērā jaunākos tehnoloģiskos sasniegumus. Jo īpaši veic pasākumus, lai novērstu un mazinātu drošības incidentu ietekmi un informētu ieinteresētās personas par jebkuru šādu incidentu negatīvo ietekmi.
2. Kvalificēti un nekvalificēti uzticamības pakalpojumu sniedzēji bez nepamatotas kavēšanās, bet jebkurā gadījumā 24 stundās pēc attiecīgās informācijas saņemšanas, paziņo uzraudzības iestādei un attiecīgā gadījumā citām attiecīgām struktūrām, piemēram, informācijas drošības jomā kompetentajai valsts struktūrai vai datu aizsardzības iestādei, par jebkuru tādu drošības pārkāpumu vai integritātes zudumu, kas būtiski ietekmē sniegtos uzticamības pakalpojumus vai tajos uzturētos personas datus.
Ja drošības pārkāpums vai integritātes zudums varētu nelabvēlīgi ietekmēt fizisku vai juridisku personu, kurai ir sniegts uzticamības pakalpojums, uzticamības pakalpojumu sniedzējs bez nepamatotas kavēšanās paziņo fiziskajai vai juridiskai personai par drošības pārkāpumu vai integritātes zudumu.
Vajadzības gadījumā, jo īpaši tad, ja drošības pārkāpums vai integritātes zudums skar divas vai vairākas dalībvalstis, informētā uzraudzības iestāde informē citu attiecīgo dalībvalstu uzraudzības iestādes un ENISA.
Ja informētā uzraudzības iestāde uzskata, ka drošības pārkāpuma vai integritātes zuduma publiskošana ir sabiedrības interesēs, tā informē sabiedrību vai pieprasa, lai to izdarītu uzticamības pakalpojumu sniedzējs.
3. Uzraudzības iestāde reizi gadā ENISA iesniedz kopsavilkumu par drošības pārkāpumiem un integritātes zudumu, par kuriem paziņojuši uzticamības pakalpojumu sniedzēji.
4. Komisija ar īstenošanas aktiem var:
a)
sīkāk precizēt 1. punktā minētos pasākumus; un
b)
noteikt formātus un procedūras, tostarp termiņus, kas jāievēro saistībā ar 2. punktu.
Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
3. IEDAĻA
Kvalificēti uzticamības pakalpojumi
20. pants
Kvalificētu uzticamības pakalpojumu sniedzēju uzraudzība
1. Kvalificētu uzticamības pakalpojumu sniedzēju revīziju par minēto pakalpojumu sniedzēju līdzekļiem vismaz ik pēc 24 mēnešiem veic atbilstības novērtēšanas struktūra. Revīzijas nolūks ir apstiprināt, ka kvalificētie uzticamības pakalpojumu sniedzēji un to sniegtie kvalificētie uzticamības pakalpojumi atbilst šajā regulā noteiktajām prasībām. Kvalificētie uzticamības pakalpojumu sniedzēji trīs darba dienās pēc iegūtā atbilstības novērtēšanas ziņojuma saņemšanas to iesniedz uzraudzības iestādei.
2. Neskarot 1. punktu, uzraudzības iestāde var jebkurā laikā veikt revīziju vai lūgt atbilstības novērtēšanas struktūrai veikt kvalificēto uzticamības pakalpojumu sniedzēju atbilstības novērtēšanu par minēto uzticamības pakalpojumu sniedzēju līdzekļiem, lai apstiprinātu, ka tie un to sniegtie kvalificētie uzticamības pakalpojumi atbilst šajā regulā noteiktajām prasībām. Ja personas datu aizsardzības noteikumi, iespējams, ir pārkāpti, uzraudzības iestāde par revīzijas rezultātiem informē datu aizsardzības iestādes.
3. Ja uzraudzības iestāde pieprasa kvalificētam uzticamības pakalpojumu sniedzējam labot jebkādu šajā regulā noteikto prasību neizpildi un ja minētais pakalpojumu sniedzējs attiecīgi nerīkojas termiņā, ko attiecīgā gadījumā noteikusi uzraudzības iestāde, uzraudzības iestāde, ņemot vērā jo īpaši attiecīgās neizpildes apjomu, ilgumu un sekas,var anulēt attiecīgā pakalpojumu sniedzēja vai konkrētā skartā sniegtā pakalpojuma kvalifikācijas statusu un informēt 22. panta 3. punktā minēto iestādi, lai tiktu atjaunināti 22. panta 1. punktā minētie uzticamības saraksti. Uzraudzības iestāde informē kvalificēto uzticamības pakalpojumu sniedzēju par tā kvalifikācijas statusa vai attiecīgā pakalpojuma kvalifikācijas statusa anulēšanu.
4. Komisija ar īstenošanas aktiem var ieviest identifikācijas numurus šādiem standartiem:
a)
atbilstības novērtēšanas struktūru akreditācijai un 1. punktā minētajam atbilstības novērtēšanas ziņojumam;
b)
to revīzijas noteikumiem, kurus ievērojot, atbilstības novērtēšanas struktūras, kā minēts 1. punktā, vērtēs kvalificēto uzticamības pakalpojumu sniedzēju atbilstību.
Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
21. pants
Kvalificētu uzticamības pakalpojumu sniegšanas uzsākšana
1. Ja uzticamības pakalpojumu sniedzēji, kuriem nav kvalificētā statusa, plāno sākt sniegt kvalificētos uzticamības pakalpojumus, tie uzraudzības iestādei iesniedz paziņojumu par savu nodomu kopā ar atbilstības novērtēšanas ziņojumu, ko izsniegusi atbilstības novērtēšanas struktūra.
2. Uzraudzības iestāde verificē, vai uzticamības pakalpojumu sniedzējs un tā sniegtie uzticamības pakalpojumi atbilst šajā regulā noteiktajām prasībām, un jo īpaši prasībām, kas noteiktas kvalificētiem uzticamības pakalpojumu sniedzējiem un to sniegtajiem kvalificētiem uzticamības pakalpojumiem.
Ja uzraudzības iestāde secina, ka uzticamības pakalpojumu sniedzējs un tā sniegtie uzticamības pakalpojumi atbilst pirmajā daļā minētajām prasībām, uzraudzības iestāde vēlākais trīs mēnešos pēc paziņojuma saņemšanas piešķir kvalificētā statusu uzticamības pakalpojumu sniedzējam un tā sniegtajiem uzticamības pakalpojumiem un informē 22. panta 3. punktā minēto struktūru, lai saskaņā ar šā panta 1. punktu atjauninātu 22. panta 1. punktā minētos uzticamības sarakstus.
Ja trīs mēnešos no paziņojuma saņemšanas verificēšana nav pabeigta, uzraudzības iestāde informē uzticamības pakalpojumu sniedzēju, norādot kavēšanās iemeslus un termiņu, līdz kuram verifikācija jāpabeidz.
3. Kvalificēts uzticamības pakalpojumu sniedzējs var sākt sniegt kvalificēto uzticamības pakalpojumu pēc tam, kad 22. panta 1. punktā minētajos uzticamības sarakstos ir norādīts kvalificētā statuss.
4. Komisija ar īstenošanas aktiem var noteikt formātus un procedūras, kas jāievēro saistībā ar 1. un 2. punktu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
22. pants
Uzticamības saraksti
1. Katra dalībvalsts izveido, uztur un publicē uzticamības sarakstus, tostarp informāciju par kvalificētajiem uzticamības pakalpojumu sniedzējiem, par kuriem tā ir atbildīga, kā arī informāciju par to sniegtajiem kvalificētajiem uzticamības pakalpojumiem.
2. Dalībvalstis drošā veidā izveido, uztur un publicē 1. punktā minētos uzticamības sarakstus, kuri ir elektroniski parakstīti vai apzīmogoti, turklāt sagatavoti automatizētai apstrādei piemērotā formātā.
3. Dalībvalstis bez nepamatotas kavēšanās paziņo Komisijai informāciju par struktūru, kura ir atbildīga par valsts uzticamības sarakstu izveidi, uzturēšanu un publicēšanu, un sīku informāciju par to, kur šādi saraksti ir publicēti, par sertifikātiem, kas izmantoti uzticamības sarakstu parakstīšanai vai apzīmogošanai, un par visām attiecīgajām izmaiņām.
4. Izmantojot drošu kanālu, Komisija publisko 3. punktā minēto informāciju, kura ir elektroniski parakstīta vai apzīmogota un sagatavota automatizētai apstrādei piemērotā formātā.
5. Līdz 2015. gada 18. septembrim Komisija ar īstenošanas aktiem precizē 1. punktā minēto informāciju un nosaka uzticamības sarakstu tehniskās specifikācijas un formātus, kas jāievēro saistībā ar 1. līdz 4. punktu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
23. pants
Kvalificētu uzticamības pakalpojumu ES marķējums
1. Pēc tam, kad 22. panta 1. punkta minētajos uzticamības sarakstos ir norādīts 21. panta 2. punkta otrajā daļā minētais kvalificētā statuss, kvalificēti uzticamības pakalpojumu sniedzēji var izmantot ES marķējumu, lai vienkāršā, atpazīstamā un skaidrā veidā norādītu to sniegtos kvalificētos uzticamības pakalpojumus.
2. Izmantojot ES marķējumu attiecībā uz 1. punktā minētajiem kvalificētajiem uzticamības pakalpojumiem, kvalificēti uzticamības pakalpojumu sniedzēji nodrošina, ka to tīmekļa vietnē ir pieejama saite uz attiecīgo uzticamības sarakstu.
3. Līdz 2015. gada 1. jūlijam Komisija ar īstenošanas aktiem sniedz precizējumus attiecībā uz kvalificētu uzticamības pakalpojumu ES marķējuma formu un jo īpaši tā izskatu, saturu, izmēriem un koncepciju. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
24. pants
Prasības kvalificētiem uzticamības pakalpojumu sniedzējiem
1. Izsniedzot kvalificētu sertifikātu uzticamības pakalpojumam, ar piemērotiem līdzekļiem un saskaņā ar valsts tiesību aktiem kvalificēts uzticamības pakalpojumu sniedzējs verificē tās fiziskās vai juridiskās personas identitāti, kurai izsniegts kvalificēts sertifikāts, un, ja vajadzīgs, šīs personas īpašās raksturīgās pazīmes.
Kvalificētais uzticamības pakalpojumu sniedzējs tieši vai paļaujoties uz trešo personu saskaņā ar valsts tiesību aktiem pirmajā daļā minēto informāciju verificē:
a)
fiziskās personas vai juridiskās personas pilnvarotā pārstāvja klātbūtnē; vai
b)
attālināti, izmantojot elektroniskās identifikācijas līdzekļus, attiecībā uz kuriem pirms kvalificētā sertifikāta izsniegšanas tika nodrošināta fiziskās personas vai juridiskās personas pilnvarotā pārstāvja klātbūtne un kuri atbilst 8. pantā izklāstītajām prasībām attiecībā uz “būtisku” vai “augstu” uzticamības līmeni, vai
c)
izmantojot kvalificētu elektronisko parakstu vai kvalificētu elektronisko zīmogu; kas izsniegti saskaņā ar a) vai b) apakšpunktu; vai
d)
izmantojot citas identifikācijas metodes, kuras ir atzītas valsts līmenī un kuras nodrošina fiziskai klātbūtnei līdzvērtīgu uzticamību. Atbilstības novērtēšanas struktūra apstiprina līdzvērtīgu uzticamību.
2. Kvalificēts uzticamības pakalpojumu sniedzējs, nodrošinot kvalificētus uzticamības pakalpojumus:
a)
informē uzraudzības iestādi par visām izmaiņām kvalificēto uzticamības pakalpojumu sniegšanā un par nodomu pārtraukt minētās darbības;
b)
nodarbina darbiniekus un vajadzības gadījumā apakšuzņēmējus, kuriem ir vajadzīgās zināšanas, uzticamība, pieredze un kvalifikācija un kuri un ir saņēmuši atbilstīgu apmācību par drošības un personas datu aizsardzības noteikumiem un piemēro Eiropas vai starptautiskiem standartiem atbilstīgas administratīvās un vadības procedūras;
c)
attiecībā uz risku sakarā ar atbildību par zaudējumiem saskaņā ar 13. pantu nodrošina pietiekamus finanšu resursus un/vai iegūst piemērotu atbildības apdrošināšanu atbilstīgi valsts tiesību aktiem;
d)
pirms iesaistīšanās līgumsaistībās skaidri un visaptveroši informē jebkuru personu, kura vēlas izmantot kvalificētus uzticamības pakalpojumus, par noteikumiem attiecībā uz minētā pakalpojuma izmantošanu, tostarp jebkurus tā izmantošanas ierobežojumus;
e)
izmanto uzticamas sistēmas un produktus, kas ir aizsargāti pret izmaiņām un nodrošina to piedāvāto procesu tehnisko drošību un uzticamību;
f)
izmanto uzticamas sistēmas tiem iesniegto datu uzglabāšanai verificējamā formā, lai:
i)
šie dati būtu publiski pieejami izguves nolūkā tikai tad, ja tam piekrīt persona, uz kuru attiecas izsniegtie dati;
ii)
glabāto datu ierakstus un izmaiņas varētu izdarīt tikai pilnvarotas personas;
iii)
varētu pārbaudīt datu autentiskumu;
g)
veic piemērotus pasākumus pret datu viltošanu un zādzību;
h)
uz attiecīgu laikposmu, tostarp pēc tam, kad kvalificētais uzticamības pakalpojumu sniedzējs ir izbeidzis darbību, reģistrē un nodrošina pieejamu visu attiecīgo informāciju par kvalificētā uzticamības pakalpojumu sniedzēja izsniegtajiem un saņemtajiem datiem, jo īpaši tādēļ, lai sniegtu pierādījumus tiesvedībā un lai nodrošinātu pakalpojuma nepārtrauktību. Šādu reģistrāciju var veikt elektroniski;
i)
ir sagatavojuši aktuālu darbības pārtraukšanas plānu, lai garantētu pakalpojumu nepārtrauktību atbilstoši noteikumiem, ko saskaņā ar 17. panta 4. punkta i) apakšpunktu ir verificējusi uzraudzības iestāde;
j)
garantē personas datu likumīgu apstrādi saskaņā ar Direktīvu 95/46/EK;
k)
gadījumā, ja kvalificēti uzticamības pakalpojumu sniedzēji izsniedz kvalificētus sertifikātus, izveido un atjaunina sertifikātu datubāzi.
3. Ja kvalificēts uzticamības pakalpojumu sniedzējs, kas izsniedz kvalificētus sertifikātus, nolemj atsaukt sertifikātu, tas reģistrē šādu atsaukumu savā sertifikātu datubāzē un laicīgi - jebkurā gadījumā 24 stundās pēc lūguma saņemšanas - publicē sertifikāta atsaukšanas statusu. Atsaukums stājas spēkā uzreiz pēc tā publicēšanas.
4. Attiecībā uz 3. punktu kvalificēti uzticamības pakalpojumu sniedzēji, kas izsniedz kvalificētus sertifikātus, ikvienai atkarīgajai pusei sniedz informāciju par tiem izsniegto kvalificēto sertifikātu derīgumu vai atsaukšanu. Šī informācija ir pieejama vismaz par katru sertifikātu jebkurā laikā un pēc sertifikāta derīguma termiņa beigām, automatizētā veidā, kas ir uzticams, bez maksas un efektīvs.
5. Komisija ar īstenošanas aktiem var ieviest uzticamu sistēmu un produktu standartu identifikācijas numurus, kas atbilst šā panta 2. punkta e) un f) apakšpunktā noteiktajām prasībām. Uzskata, ka atbilstība šajā pantā noteiktajām prasībām ir panākta tad, ja uzticamas sistēmas un produkti atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
4. IEDAĻA
Elektroniskie paraksti
25. pants
Elektronisko parakstu juridiskais spēks
1. Elektroniskajam parakstam ir neapšaubāms juridiskais spēks, tas ir pieņemams kā pierādījums tiesvedībā, un to nedrīkst noraidīt tikai elektroniskā formāta dēļ vai tādēļ, ka tas neatbilst kvalificētu elektronisko parakstu prasībām.
2. Kvalificēts elektronisks paraksts juridiskā spēka ziņā ir līdzvērtīgs parakstam ar roku.
3. Kvalificētu elektronisko parakstu, kura pamatā ir vienā dalībvalstī izsniegts kvalificēts sertifikāts, atzīst kā kvalificētu elektronisko parakstu visās citās dalībvalstīs.
26. pants
Prasības uzlabotiem elektroniskajiem parakstiem
Uzlabots elektroniskais paraksts atbilst šādām prasībām:
a)
tas ir unikālā veidā saistīts ar parakstītāju;
b)
tas spēj identificēt parakstītāju;
c)
tas radīts ar elektroniskā paraksta radīšanas datiem, kuru izmantošanu ar augstu ticamības līmeni var kontrolēt tikai un vienīgi parakstītājs; un
d)
tas ir saistīts ar parakstītajiem datiem tādā veidā, lai būtu atklājamas jebkādas turpmākas to izmaiņas.
27. pants
Elektroniskie paraksti sabiedrisko pakalpojumu jomā
1. Ja dalībvalsts pieprasa uzlabotu elektronisko parakstu, lai lietotu publiskās iestādes piedāvātus vai tās vārdā veiktus tiešsaistes pakalpojumus, minētā dalībvalsts atzīst uzlabotus elektroniskos parakstus, uzlabotus elektroniskos parakstus, kuru pamatā ir kvalificēts elektronisko parakstu sertifikāts, un kvalificētus elektroniskos parakstus vismaz tādos formātos vai izmantojot tādas metodes, kas definētas 5. punktā minētajos īstenošanas aktos.
2. Ja dalībvalsts pieprasa uzlabotu elektronisko parakstu, kura pamatā ir kvalificēts sertifikāts, lai lietotu publiskās iestādes piedāvātus vai tās vārdā veiktus tiešsaistes pakalpojumus, minētā dalībvalsts atzīst uzlabotus elektroniskos parakstus, kuru pamatā ir kvalificēts sertifikāts, un kvalificētus elektroniskos parakstus vismaz tādos formātos vai izmantojot tādas metodes, kas definētas 5. punktā minētajos īstenošanas aktos.
3. Attiecībā uz publiskās iestādes piedāvātu tiešsaistes pakalpojumu pārrobežu lietošanu dalībvalstis nepieprasa elektronisku parakstu ar tādu drošības līmeni, kas ir augstāks nekā kvalificētajam elektroniskam parakstam.
4. Komisija ar īstenošanas aktiem var ieviest uzlabotu elektronisko parakstu standartu identifikācijas numurus. Ja uzlabots elektroniskais paraksts atbilst minētajiem standartiem, uzskata, ka uzlabots elektroniskais paraksts atbilst šā panta 1. un 2. punktā un 26. pantā minētajām prasībām. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
5. Līdz 2015. gada 18. septembrim un ņemot vērā pastāvošo praksi, standartus un Savienības tiesību aktus, Komisija ar īstenošanas aktiem nosaka uzlabotu elektronisko parakstu atsauces formātus vai atsauces metodes gadījumiem, kad tiek izmantoti alternatīvi formāti. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
28. pants
Kvalificēti elektronisko parakstu sertifikāti
1. Kvalificēti elektronisko parakstu sertifikāti atbilst I pielikumā noteiktajām prasībām.
2. Uz kvalificētiem elektronisko parakstu sertifikātiem neattiecas neviena obligātā prasība, kas pārsniedz I pielikumā noteiktās prasības.
3. Kvalificēti elektronisko parakstu sertifikāti var ietvert papildu raksturīgas pazīmes, kas nav obligātas. Minētās pazīmes neskar kvalificētu elektronisko parakstu sadarbspēju un atzīšanu.
4. Ja kvalificēts elektronisko parakstu sertifikāts ir atsaukts pēc sākotnējas aktivizēšanas, tas vairs nav derīgs no tā atsaukšanas brīža, un tā statusu nekādā gadījumā nevar mainīt.
5. Dalībvalstis var noteikt valsts noteikumus par kvalificēta elektroniskā paraksta sertifikāta pagaidu apturēšanu, ievērojot šādus nosacījumus:
a)
ja kvalificētam elektroniskā paraksta sertifikātam piemēro pagaidu apturēšanu, minētais sertifikāts zaudē derīgumu uz apturēšanas laikposmu;
b)
apturēšanas laikposmu skaidri norāda sertifikātu datubāzē, un apturēšanas statuss apturēšanas laikposmā ir redzams pakalpojuma sniegšanas informācijā par sertifikāta statusu.
6. Komisija ar īstenošanas aktiem var ieviest kvalificētu elektroniskā paraksta sertifikātu standartu identifikācijas numurus. Uzskata, ka atbilstība I pielikumā noteiktajām prasībām ir panākta tad, ja kvalificēts elektroniskā paraksta sertifikāts atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
29. pants
Prasības kvalificētām elektroniskā paraksta radīšanas ierīcēm
1. Kvalificētas elektroniskā paraksta radīšanas ierīces atbilst II pielikumā noteiktajām prasībām.
2. Komisija ar īstenošanas aktiem var ieviest kvalificētu elektroniskā paraksta radīšanas ierīču standartu identifikācijas numurus. Uzskata, ka atbilstība II pielikumā noteiktajām prasībām ir panākta tad, ja kvalificētas elektroniskā paraksta radīšanas ierīces atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
30. pants
Kvalificētu elektroniskā paraksta radīšanas ierīču sertifikācija
1. Kvalificētu elektroniskā paraksta radīšanas ierīču atbilstību II pielikumā noteiktajām prasībām sertificē dalībvalstu izraudzītas attiecīgas publiskās vai privātās iestādes.
2. Dalībvalstis paziņo Komisijai 1. punktā minēto valsts vai privātā sektora iestāžu nosaukumus un adreses. Komisija minēto informāciju dara pieejamu dalībvalstīm.
3. Šā panta 1. punktā minētās sertifikācijas pamatā ir viena no šādām procedūrām:
a)
drošības novērtēšanas procedūra, kas veikta saskaņā ar kādu no standartiem, kuri noteikti attiecībā uz tādu informācijas tehnoloģiju produktu drošības novērtēšanu, kuri iekļauti sarakstā, kas izveidots saskaņā ar otro daļu; vai
b)
cita procedūra, kas nav minēta a) apakšpunktā, ar noteikumu, ka tā izmanto salīdzināmus drošības līmeņus un 1. punktā minētā publiskā vai privātā iestāde par minēto procedūru paziņo Komisijai. Minēto procedūru var izmantot tikai tad, ja nav a) apakšpunktā minēto standartu vai ja norit a) apakšpunktā minētā drošības novērtēšanas procedūra.
Komisija ar īstenošanas aktiem izveido tādu standartu sarakstu, kuri attiecas uz a) apakšpunktā minēto informācijas tehnoloģiju produktu drošības novērtēšanu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
4. Komisija tiek pilnvarota pieņemt deleģētos aktus saskaņā ar 47. pantu attiecībā uz tādu īpašu kritēriju izstrādi, kuri jāievēro šā panta 1. punktā minētajām izraudzītajām iestādēm.
31. pants
Sertificēto kvalificētu elektroniskā paraksta radīšanas ierīču saraksta publicēšana
1. Dalībvalstis bez nepamatotas kavēšanās un ne vēlāk kā vienu mēnesi pēc sertifikācijas pabeigšanas paziņo Komisijai informāciju par kvalificētām elektroniskā paraksta radīšanas ierīcēm, ko sertificējušas 30. panta 1. punktā minētās iestādes. Dalībvalstis bez nepamatotas kavēšanās un ne vēlāk kā vienu mēnesi pēc sertifikācijas anulēšanas Komisijai paziņo arī informāciju par tām elektroniskā paraksta radīšanas ierīcēm, kas vairs nav sertificētas.
2. Pamatojoties uz saņemto informāciju, Komisija izveido, publicē un atjaunina sarakstu, kurā uzskaitītas sertificētās kvalificētās elektroniskā paraksta radīšanas ierīces.
3. Komisija ar īstenošanas aktiem var noteikt tos formātus un procedūras, kas jāievēro saistībā ar 1. punktu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
32. pants
Prasības kvalificētu elektronisko parakstu validācijai
1. Kvalificēta elektroniskā paraksta validācijas procesā apstiprina kvalificēta elektroniskā paraksta derīgumu ar noteikumu, ka:
a)
sertifikāts, kas apliecina parakstu, parakstīšanas brīdī bija kvalificēts elektroniskā paraksta sertifikāts atbilstīgi I pielikumam;
b)
kvalificēto sertifikātu izsniedza kvalificēts uzticamības pakalpojumu sniedzējs, un tas parakstīšanas brīdī bija derīgs;
c)
paraksta validācijas dati atbilst datiem, kurus sniedz atkarīgajai pusei;
d)
unikālu datu kopums, kas apliecina sertifikātā minētā parakstītāja identitāti, ir pareizi nosūtīts atkarīgajai pusei;
e)
ja parakstīšanas brīdī tika izmantots pseidonīms, tas ir skaidri norādīts atkarīgajai pusei;
f)
elektroniskais paraksts tika izveidots ar kvalificētu elektroniskā paraksta radīšanas ierīci;
g)
parakstīto datu integritāte nav kompromitēta;
h)
parakstīšanas brīdī tika izpildītas 26. pantā noteiktās prasības;
2. Ar kvalificēta elektroniskā paraksta validēšanai izmantoto sistēmu atkarīgajai pusei tiek sniegti precīzi validēšanas rezultāti, ļaujot atkarīgajai pusei atklāt jebkādas ar drošību saistītas problēmas.
3. Komisija ar īstenošanas aktiem var ieviest kvalificētu elektronisko parakstu validācijas standartu identifikācijas numurus. Uzskata, ka atbilstība 1. punktā noteiktajām prasībām ir panākta tad, ja kvalificētu elektronisko parakstu validācija atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
33. pants
Kvalificētu elektronisko parakstu kvalificēti validēšanas pakalpojumi
1. Kvalificētu elektronisko parakstu kvalificētus validēšanas pakalpojumus var sniegt tikai kvalificēts uzticamības pakalpojumu sniedzējs, kurš:
a)
veic validāciju atbilstīgi 32. panta 1. punktam; un
b)
ļauj atkarīgajām pusēm saņemt validēšanas rezultātus automatizētā veidā, kas ir uzticams un efektīvs, nodrošinot, ka uz šā dokumenta ir kvalificēto validēšanas pakalpojumu sniedzēja uzlabots elektroniskais paraksts vai uzlabots elektroniskais zīmogs.
2. Komisija ar īstenošanas aktiem var ieviest 1. punktā minēto kvalificētu validēšanas pakalpojumu standartu identifikācijas numurus. Uzskata, ka atbilstība 1. punktā noteiktajām prasībām ir panākta tad, ja kvalificētu elektronisko parakstu validācija atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
34. pants
Kvalificētu elektronisko parakstu kvalificēti saglabāšanas pakalpojumi
1. Kvalificētu elektronisko parakstu kvalificētas saglabāšanas pakalpojumus var sniegt tikai kvalificēts uzticamības pakalpojumu sniedzējs, kas izmanto tādas procedūras un tehnoloģijas, ar kurām var nodrošināt kvalificētā elektroniskā paraksta uzticamību ilgāk par to tehnoloģiskā derīguma termiņu.
2. Komisija ar īstenošanas aktiem var ieviest kvalificētu elektronisko parakstu kvalificētas saglabāšanas pakalpojumu standartu identifikācijas numurus. Uzskata, ka atbilstība 1. punktā noteiktajām prasībām ir panākta tad, ja kvalificētu elektronisko parakstu kvalificētas saglabāšanas pakalpojumi atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
5. IEDAĻA
Elektroniskie zīmogi
35. pants
Elektronisko zīmogu juridiskais spēks
1. Elektroniskajam zīmogam ir neapšaubāms juridiskais spēks, tas ir pieņemams kā pierādījums tiesvedībā, un to nevar noraidīt tikai elektroniskā formāta dēļ vai tādēļ, ka tas neatbilst kvalificētu elektronisko zīmogu prasībām.
2. Attiecībā uz kvalificētu elektronisko zīmogu pastāv prezumpcija par minēto datu integritāti un to datu izcelsmes pareizību, ar kuriem kvalificētais elektronisko zīmogs ir saistīts.
3. Kvalificētu elektronisko zīmogu, kura pamatā ir vienā dalībvalstī izsniegts kvalificēts sertifikāts, atzīst kā kvalificētu elektronisko zīmogu visās citās dalībvalstīs.
36. pants
Prasības uzlabotiem elektroniskajiem zīmogiem
Uzlabots elektroniskais zīmogs atbilst šādām prasībām:
a)
tas ir unikālā veidā saistīts ar zīmoga radītāju;
b)
tas spēj identificēt zīmoga radītāju;
c)
tas radīts ar elektroniskā zīmoga radīšanas datiem, kuru izmantošanu ar augstu ticamības līmeni var kontrolēt tikai un vienīgi zīmoga radītājs elektroniskā zīmoga radīšanai; un
d)
tas ir saistīts ar attiecīgajiem datiem tādā veidā, lai būtu atklājamas jebkādas turpmākas to izmaiņas.
37. pants
Elektroniskie zīmogi sabiedrisko pakalpojumu jomā
1. Ja kāda dalībvalsts pieprasa uzlabotu elektronisko zīmogu, lai varētu lietot kādas publiskās iestādes piedāvātus vai tās vārdā veiktus tiešsaistes pakalpojumus, tad šī dalībvalsts atzīst uzlabotus elektroniskos zīmogus, uzlabotus elektroniskos zīmogus, kuru pamatā ir kvalificēts elektronisko zīmogu sertifikāts, un kvalificētus elektroniskos zīmogus vismaz tādos formātos vai izmantojot tādas metodes, kas definētas 5. punktā minētajos īstenošanas aktos.
2. Ja kāda dalībvalsts pieprasa uzlabotu elektronisko zīmogu, kura pamatā ir kvalificēts sertifikāts, lai varētu lietot kādas publiskās iestādes piedāvātus vai tās vārdā veiktus tiešsaistes pakalpojumus, tad šī dalībvalsts atzīst uzlabotus elektroniskos zīmogus, kuru pamatā ir kvalificēts sertifikāts, un kvalificētu elektronisko zīmogu vismaz tādos formātos vai izmantojot tādas metodes, kas definētas 5. punktā minētajos īstenošanas aktos.
3. Saistībā ar publiskās iestādes piedāvātu tiešsaistes pakalpojumu pārrobežu izmantojumu dalībvalstis nepieprasa elektronisku zīmogu ar tādu drošības nodrošinājuma līmeni, kas ir augstāks nekā kvalificētajam elektroniskam zīmogam.
4. Komisija ar īstenošanas aktiem var ieviest uzlabotu elektronisko zīmogu standartu identifikācijas numurus. Ja uzlabots elektroniskais zīmogs atbilst minētajiem standartiem, uzskata, ka uzlabots elektroniskais zīmogs atbilst šā panta 1. un 2. punktā un 36. pantā minētajām prasībām. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
5. Līdz 2015. gada 18. septembrim un ņemot vērā pastāvošo praksi, standartus un Savienības tiesību aktus, Komisija ar īstenošanas aktiem nosaka uzlabotu elektronisko zīmogu atsauces formātus vai atsauces metodes gadījumiem, kad tiek izmantoti alternatīvi formāti. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
38. pants
Kvalificēti elektronisko zīmogu sertifikāti
1. Kvalificēti elektronisko zīmogu sertifikāti atbilst III pielikumā noteiktajām prasībām.
2. Uz kvalificētiem elektronisko zīmogu sertifikātiem neattiecas neviena obligātā prasība, kas pārsniedz III pielikumā noteiktās prasības.
3. Kvalificēti elektronisko zīmogu sertifikāti var ietvert papildu raksturīgas pazīmes, kas nav obligātas. Minētās pazīmes neskar kvalificētu elektronisko zīmogu sadarbspēju un atzīšanu.
4. Ja kvalificēts elektroniskā zīmoga sertifikāts ir atsaukts pēc sākotnējas aktivizēšanas, tas vairs nav derīgs no tā atsaukšanas brīža, un tā statusu nekādā gadījumā nevar mainīt.
5. Dalībvalstis var paredzēt valsts noteikumus par kvalificētu elektronisko zīmogu sertifikātu pagaidu apturēšanu, ievērojot šādus nosacījumus:
a)
ja kvalificētam elektroniskā zīmoga sertifikātam piemēro pagaidu apturēšanu, minētais sertifikāts zaudē derīgumu uz apturēšanas laikposmu;
b)
apturēšanas laikposmu skaidri norāda sertifikātu datubāzē, un apturēšanas statuss apturēšanas laikposmā ir redzams pakalpojuma sniegšanas informācijā par sertifikāta statusu.
6. Komisija ar īstenošanas aktiem var ieviest kvalificētu elektronisko zīmogu sertifikātu standartu identifikācijas numurus. Uzskata, ka atbilstība III pielikumā noteiktajām prasībām ir panākta tad, ja kvalificēts elektroniskā zīmoga sertifikāts atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
39. pants
Kvalificētas elektroniskā zīmoga radīšanas ierīces
1. Prasībām, kas noteiktas attiecībā uz kvalificētām elektroniskā zīmoga radīšanas ierīcēm, 29. pantu piemēro mutatis mutandis.
2. Attiecībā uz kvalificēto elektroniskā zīmoga radīšanas ierīču sertifikāciju 30. pantu piemēro mutatis mutandis.
3. Attiecībā uz tāda saraksta publicēšanu, kurā uzskaitītas kvalificētas elektroniskā zīmoga radīšanas ierīces, kas ir sertificētas, 31. pantu piemēro mutatis mutandis.
40. pants
Kvalificētu elektronisko zīmogu validācija un saglabāšana
Attiecībā uz kvalificētu elektronisko zīmogu validāciju un saglabāšanu 32., 33. un 34. pantu piemēro mutatis mutandis.
6. IEDAĻA
Elektroniskie laika zīmogi
41. pants
Elektronisko laika zīmogu juridiskais spēks
1. Elektroniskajam laika zīmogam ir neapšaubāms juridiskais spēks, tas ir pieņemams kā pierādījums tiesvedībā, un to nevar noraidīt tikai elektroniskā formāta dēļ vai tādēļ, ka tas neatbilst kvalificētā elektroniskā laika zīmoga prasībām.
2. Attiecībā uz kvalificētu elektronisko laika zīmogu pastāv prezumpcija par tajā norādītā datuma un laika precizitāti un to datu integritāti, ar kuriem ir saistīts minētais datums un laiks.
3. Kvalificētu elektronisko laika zīmogu, kas izsniegts vienā dalībvalstī, atzīst kā kvalificētu elektronisko laika zīmogu visās dalībvalstīs.
42. pants
Prasības kvalificētiem elektroniskajiem laika zīmogiem
1. Kvalificēts elektroniskais laika zīmogs atbilst šādām prasībām:
a)
tas saista datumu un laiku ar datiem tādā veidā, lai samērīgi nepieļautu iespēju veikt datos neatklājamas izmaiņas;
b)
tas ir balstīts uz precīzu laika avotu, kas ir sasaistīts ar universālo koordinēto laiku; un
c)
tas ir parakstīts, izmantojot kvalificētā uzticamības pakalpojumu sniedzēja uzlabotu elektronisko parakstu, vai apzīmogots ar uzlabotu elektronisko zīmogu vai izmantojot kādu līdzvērtīgu metodi.
2. Komisija ar īstenošanas aktiem var ieviest standartu identifikācijas numurus attiecībā uz datuma un laika sasaisti ar datiem un attiecībā uz precīziem laika avotiem. Uzskata, ka atbilstība 1. punktā noteiktajām prasībām ir panākta tad, ja datuma un laika sasaiste ar datiem un precīzais laika avots atbilst šiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
7. IEDAĻA
Elektroniski reģistrēti piegādes pakalpojumi
43. pants
Elektroniski reģistrēta piegādes pakalpojuma juridiskais spēks
1. Datiem, kas nosūtīti un saņemti, izmantojot elektroniski reģistrētu piegādes pakalpojumu, ir juridiskais spēks un tie ir pieņemami kā pierādījums tiesvedībā, un tos nevar noraidīt tikai elektroniskā formāta dēļ vai tādēļ, ka tie neatbilst kvalificētā elektroniski reģistrētā piegādes pakalpojuma prasībām.
2. Attiecībā uz datiem, kas nosūtīti un saņemti, izmantojot kvalificētu elektroniski reģistrētu piegādes pakalpojumu, pastāv prezumpcija par datu integritāti, par to, ka minētos datus nosūtījis identificētais sūtītājs, ka tos saņēmis identificētais adresāts, un par kvalificētā elektroniski reģistrētā piegādes pakalpojumā norādīto datu nosūtīšanas un saņemšanas datuma un laika precizitāti.
44. pants
Prasības kvalificētiem elektroniski reģistrētiem piegādes pakalpojumiem
1. Kvalificēti elektroniski reģistrēti piegādes pakalpojumi atbilst šādām prasībām:
a)
tos sniedz viens vai vairāki kvalificēti uzticamības pakalpojumu sniedzēji;
b)
tie nodrošina augstu uzticamības pakāpi attiecībā uz sūtītāja identifikāciju;
c)
pirms datu piegādes tie nodrošina adresāta identifikāciju;
d)
datu nosūtīšanas un saņemšanas drošību apliecina ar kvalificēta uzticamības pakalpojumu sniedzēja uzlabotu elektronisko parakstu vai uzlabotu elektronisko zīmogu tādā veidā, lai nepieļautu iespēju veikt datos neatklājamas izmaiņas;
e)
visas izmaiņas datos, kuras jāveic datu saņemšanas vai nosūtīšanas nolūkā, skaidri norāda datu nosūtītājam un adresātam;
f)
datu nosūtīšanas, saņemšanas un jebkādu izmaiņu datumu un laiku norāda ar kvalificētu elektronisko laika zīmogu.
Ja datus pārsūta divu vai vairāku kvalificētu uzticamības pakalpojumu sniedzēju starpā, tad visiem kvalificētajiem uzticamības pakalpojumu sniedzējiem piemēro a) līdz f) apakšpunktā minētās prasības.
2. Komisija ar īstenošanas aktiem var ieviest datu nosūtīšanas un saņemšanas standartu identifikācijas numurus. Uzskata, ka atbilstība 1. punktā noteiktajām prasībām ir panākta tad, ja datu nosūtīšana un saņemšana atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
8. IEDAĻA
Tīmekļa vietņu autentifikācija
45. pants
Prasības kvalificētiem tīmekļa vietņu autentifikācijas sertifikātiem
1. Kvalificēti tīmekļa vietņu autentifikācijas sertifikāti atbilst IV pielikumā noteiktajām prasībām.
2. Komisija ar īstenošanas aktiem var ieviest kvalificētu tīmekļa vietņu autentifikācijas sertifikātu standartu identifikācijas numurus. Uzskata, ka atbilstība IV pielikumā noteiktajām prasībām ir panākta tad, ja kvalificēts tīmekļa vietņu autentifikācijas sertifikāts atbilst minētajiem standartiem. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 48. panta 2. punktā.
IV NODAĻA
ELEKTRONISKIE DOKUMENTI
46. pants
Elektronisko dokumentu juridiskais spēks
Elektroniskajam dokumentam ir juridiskais spēks, tas ir pieņemams kā pierādījums tiesvedībā, un to nedrīkst noraidīt tikai elektroniskā formāta dēļ.
V NODAĻA
PILNVARU DELEĢĒŠANA UN ĪSTENOŠANAS NOTEIKUMI
47. pants
Deleģēšanas īstenošana
1. Pilnvaras pieņemt deleģētos aktus Komisijai piešķir, ievērojot šajā pantā izklāstītos nosacījumus.
2. Pilnvaras pieņemt 30. panta 4. punktā minētos deleģētos aktus Komisijai piešķir uz nenoteiktu laiku no 2014. gada 17. septembra.
3. Eiropas Parlaments vai Padome jebkurā laikā var atsaukt 30. panta 4. punktā minēto pilnvaru deleģēšanu. Ar lēmumu par atsaukšanu izbeidz tajā norādīto pilnvaru deleģēšanu. Lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī vai vēlākā dienā, kas tajā norādīta. Tas neskar jau spēkā esošos deleģētos aktus.
4. Tiklīdz tā pieņem deleģētu aktu, Komisija par to paziņo vienlaikus Eiropas Parlamentam un Padomei.
5. Saskaņā ar 30. panta 4. punktu pieņemts deleģētais akts stājas spēkā tikai tad, ja divos mēnešos no dienas, kad minētais akts paziņots Eiropas Parlamentam un Padomei, ne Eiropas Parlaments, ne Padome nav izteikuši iebildumus vai ja pirms minētā laikposma beigām gan Eiropas Parlaments, gan Padome ir informējuši Komisiju par savu nodomu neizteikt iebildumus. Pēc Eiropas Parlamenta vai Padomes iniciatīvas šo laikposmu pagarina par diviem mēnešiem.
48. pants
Komiteju procedūra
1. Komisijai palīdz komiteja. Minētā komiteja ir komiteja Regulas (ES) Nr. 182/2011 nozīmē.
2. Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 5. pantu.
VI NODAĻA
NOBEIGUMA NOTEIKUMI
49. pants
Pārskatīšana
Komisija pārskata šīs regulas piemērošanu un ziņo Eiropas Parlamentam un Padomei ne vēlāk kā 2020. gada 1. jūlijā. Komisija jo īpaši novērtē, vai ir lietderīgi grozīt šīs regulas darbības jomu vai konkrētus tās noteikumus, tostarp 6. pantu, 7. panta f) punktu un 34., 43., 44. un 45. pantu, ņemot vērā šīs regulas piemērošanā gūto pieredzi, kā arī tehnoloģiskos sasniegumus un attīstību tirgus un tiesiskajā jomā.
Attiecīgā gadījumā pirmajā daļā minētajam ziņojumam pievieno tiesību aktu priekšlikumus.
Turklāt Komisija iesniedz ziņojumu Eiropas Parlamentam un Padomei reizi četros gados pēc pirmajā daļā minētā ziņojuma par panākumiem šīs regulas mērķu īstenošanā.
50. pants
Atcelšana
1. Direktīvu 1999/93/EK atceļ no 2016. gada 1. jūlija.
2. Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo regulu.
51. pants
Pārejas pasākumi
1. Drošas paraksta radīšanas ierīces, kuru atbilstība noteikta saskaņā ar Direktīvas 1999/93/EK 3. panta 4. punktu, uzskata par kvalificētām elektroniskā paraksta radīšanas ierīcēm saskaņā ar šo regulu.
2. Kvalificētus sertifikātus, kas izsniegti fiziskām personām saskaņā ar Direktīvu 1999/93/EK, saskaņā ar šo regulu uzskata par kvalificētiem elektroniskā paraksta sertifikātiem līdz to derīguma termiņa beigām.
3. Sertificēšanas pakalpojuma sniedzējs, kas izsniedz kvalificētus sertifikātus saskaņā ar Direktīvu 1999/93/EK, cik vien iespējams drīz, bet ne vēlāk kā 2017. gada 1. jūlijā uzraudzības iestādei iesniedz atbilstības novērtēšanas ziņojumu. Līdz šāda atbilstības novērtēšanas ziņojuma iesniegšanai un brīdim, kad uzraudzības iestāde ir beigusi to izskatīt, minēto sertificēšanas pakalpojuma sniedzēju uzskata par kvalificētu uzticamības pakalpojumu sniedzēju saskaņā ar šo regulu.
4. Ja sertificēšanas pakalpojuma sniedzējs, kas izsniedz kvalificētus sertifikātus saskaņā ar Direktīvu 1999/93/EK, 3. punktā minētajā termiņā neiesniedz atbilstības novērtēšanas ziņojumu uzraudzības iestādei, minēto sertificēšanas pakalpojuma sniedzēju neuzskata par kvalificētu uzticamības pakalpojumu sniedzēju saskaņā ar šo regulu no 2017. gada 2. jūlija.
52. pants
Stāšanās spēkā
1. Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.
2. Šo regulu piemēro no 2016. gada 1. jūlija, izņemot:
a)
8. panta 3. punktu, 9. panta 5. punktu, 12. panta 2. līdz 9. punktu, 17. panta 8. punktu, 19. panta 4. punktu, 20. panta 4. punktu, 21. panta 4. punktu, 22. panta 5. punktu, 23. panta 3. punktu, 24. panta 5. punktu, 27. panta 4. un 5. punktu, 28. panta 6. punktu, 29. panta 2. punktu, 30. panta 3. un 4. punktu, 31. panta 3. punktu, 32. panta 3. punktu, 33. panta 2. punktu, 34. panta 2. punktu, 37. panta 4. un 5. punktu, 38. panta 6. punktu, 42. panta 2. punktu, 44. panta 2. punktu, 45. panta 2. punktu, 47. un 48. pantu, kurus piemēro no 2014. gada 17. septembra;
b)
7. pantu, 8. panta 1. un 2. punktu, 9., 10. un 11. pantu un 12. panta 1. punktu, kurus piemēro no dienas, kad sāk piemērot 8. panta 3. punktā un 12. panta 8. punktā minētos īstenošanas aktus;
c)
6. pantu, ko piemēro, sākot no dienas, kad ir pagājuši trīs gadi kopš 8. panta 3. punktā un 12. panta 8. punktā minēto īstenošanas aktu piemērošanas dienas.
3. Ja sarakstā, ko Komisija atbilstīgi 9. pantam ir publicējusi pirms šā panta 2. punkta c) apakšpunktā minētās dienas, ir iekļauta paziņotā elektroniskās identifikācijas shēma, tad elektroniskās identifikācijas līdzekļu atzīšana atbilstoši minētajai shēmai saskaņā ar 6. pantu notiek ne vēlāk kā 12 mēnešus pēc minētās shēmas publicēšanas, bet ne ātrāk par dienu, kas minēta šā panta 2. punkta c) apakšpunktā.
4. Neatkarīgi no šā panta 2. punkta c) apakšpunkta dalībvalsts var pieņemt lēmumu, ka elektroniskās identifikācijas shēmai atbilstoši elektroniskās identifikācijas līdzekļi, par ko saskaņā ar 9. panta 1. punktu ir paziņojusi kāda cita dalībvalsts, pirmajā minētajā dalībvalstī tiek atzīti no dienas, kad tiek piemēroti 8. panta 3. punktā un 12. panta 8. punktā minētie īstenošanas akti. Attiecīgās dalībvalstis informē Komisiju. Komisija šo informāciju publisko.
Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.
Briselē, 2014. gada 23. jūlijā