РЕГЛАМЕНТ (ЕС) № 910/2014 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 23 юли 2014 година
относно електронната идентификация и удостоверителните услуги при електронни трансакции на вътрешния пазар и за отмяна на Директива 1999/93/ЕО
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 114 от него,
като взеха предвид предложението на Европейската комисия,
след предаване на проекта на законодателния акт на националните парламенти,
като взеха предвид становището на Европейския икономически и социален комитет (1),
в съответствие с обикновената законодателна процедура (2),
като имат предвид, че:
(1)
Изграждането на доверие в онлайн средата е ключов фактор за икономическото и социалното развитие. Липсата на доверие, по-конкретно поради впечатлението за липса на правна сигурност, кара потребителите, предприятията и публичните органи да се колебаят при извършването на електронни трансакции и при въвеждането на нови услуги.
(2)
Целта на настоящия регламент е да се повиши доверието в електронните трансакции на вътрешния пазар, като се предостави обща основа за надеждно взаимодействие по електронен път между гражданите, предприятията и публичните органи, чрез което ще се увеличи ефективността на обществените и частните онлайн услуги, електронния бизнес и електронната търговия в Съюза.
(3)
Директива 1999/93/ЕО на Европейския парламент и на Съвета (3) обхваща електронните подписи, но не предоставя цялостна трансгранична и междусекторна рамка за сигурни, надеждни и лесни за използване електронни трансакции. С настоящия регламент се разширяват и задълбочават достиженията на посочената директива.
(4)
В съобщението на Комисията от 26 август 2010 г., озаглавено „Програма в областта на цифровите технологии за Европа“, беше констатирано, че разпокъсаността на цифровия пазар, липсата на оперативна съвместимост и растящата киберпрестъпност са основните пречки пред навлизането на цифровата икономика в един благоприятен цикъл на развитие. В Доклада за гражданството на ЕС за 2010 г., озаглавен „Премахване на пречките за упражняване на правата на гражданите на ЕС“, Комисията подчерта също необходимостта да се разрешат основните проблеми, които възпрепятстват гражданите на Съюза да се възползват от предимствата на цифровия единен пазар и трансграничните цифрови услуги.
(5)
В заключенията си от 4 февруари 2011 г. и от 23 октомври 2011 г. Европейският съвет прикани Комисията да съдейства за изграждането на цифров единен пазар до 2015 г., да ускори напредъка в ключови области на цифровата икономика и да насърчи цялостната интеграция на цифровия единен пазар чрез улесняване на трансграничното използване на онлайн услуги, и по-специално - чрез улесняване на сигурни електронна идентификация и електронно удостоверяване на автентичност.
(6)
В заключенията си от 27 май 2011 г. Съветът прикани Комисията да допринесе към цифровия единен пазар чрез създаването на подходящи условия за взаимно трансгранично признаване на ключовите фактори, като електронна идентификация, електронни документи, електронни подписи и услуги по електронно доставяне, и за оперативно съвместими услуги на електронното управление в целия Европейски съюз
(7)
Европейският парламент в резолюцията си от 21 септември 2010 г. относно доизграждането на вътрешния пазар по отношение на електронната търговия (4) подчерта значението на сигурността на електронните услуги, и по-конкретно на електронните подписи, както и на необходимостта от създаване на публична ключова инфраструктура на общоевропейско равнище, и призова Комисията да създаде Портал на европейските заверяващи органи, за да се гарантира трансгранична оперативна съвместимост на електронните подписи и да се повиши сигурността на трансакциите, извършвани по интернет.
(8)
С Директива 2006/123/ЕО на Европейския парламент и на Съвета (5) от държавите членки се изисква да установят „звена за единичен контакт“ (ЗЕК), чрез които да се гарантира, че всички процедури и формалности, свързани с достъпа до и упражняването на дейност по предоставяне на услуги, могат да бъдат лесно изпълнени от разстояние и по електронен път чрез съответното ЗЕК и със съответните компетентни органи. При редица онлайн услуги, достъпът до които се осъществява чрез ЗЕК, се изискват електронна идентификация, електронно удостоверяване на автентичност и електронен подпис.
(9)
В повечето случаи гражданите не могат да използват своята електронна идентификация за удостоверяване на идентичността си в друга държава членка, тъй като националните схеми за електронна идентификация в тяхната държава не се признават в други държави членки. Тази електронна бариера не позволява на доставчиците на услуги да се възползват в пълна степен от преимуществата на вътрешния пазар. Взаимното признаване на средствата за електронна идентификация ще улесни трансграничното предоставяне на редица услуги на вътрешния пазар и ще спомогне предприятията да извършват трансгранична дейност, без да се сблъскват с множество пречки при взаимодействието си с публичните органи.
(10)
С Директива 2011/24/ЕС на Европейския парламент и на Съвета (6) се установява мрежа от национални органи, отговорни за електронното здравеопазване. С цел повишаване на безопасността и непрекъсваемостта на трансграничното здравно обслужване от мрежата се изисква да разработва насоки за трансграничен достъп до електронни здравни данни и услуги, включително чрез подкрепа за „общи мерки за идентифициране и удостоверяване на автентичност с цел да се улесни възможността за предаване на данни при трансгранично здравно обслужване“. Взаимното признаване на електронната идентификация и електронното удостоверяване на автентичност е ключов фактор за превръщането на трансграничното здравно обслужване на европейските граждани в реалност. Когато хората пътуват с цел лечение, достъпът до тяхната здравна документация трябва да е възможен в държавата, където се извършва лечението. Това изисква солидна, сигурна и надеждна правна рамка по отношение на електронната идентификация.
(11)
Настоящият регламент следва да се прилага в пълно съответствие с принципите, свързани със защитата на личните данни, съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета (7). В това отношение, предвид принципа на взаимно признаване, установен с настоящия регламент, удостоверяването на автентичност за онлайн услуга следва да засяга обработването само на тези данни за идентификация, които са подходящи, от значение и не надхвърлят необходимото за получаването на достъп до тази онлайн услуга. Освен това доставчиците на удостоверителни услуги и надзорните органи следва да съблюдават изискванията по Директива 95/46/ЕО във връзка с поверителността и сигурността на обработването.
(12)
Една от целите на настоящия регламент е да се премахнат съществуващите бариери пред трансграничната употреба на използваните в отделните държави членки средства за електронна идентификация, за да се удостовери автентичност поне за обществените услуги. С него не се цели намеса по отношение на системите за управление на електронната самоличност и свързаните с тях инфраструктури, установени в държавите членки. Целта на настоящия регламент е да се гарантира, че при достъпа до трансгранични онлайн услуги, предлагани от държавите членки, е възможно да се осъществят сигурна електронна идентификация и сигурно електронно удостоверяване на автентичност.
(13)
Държавите членки следва да запазят правото си да използват или да въвеждат, за целите на електронната идентификация, средства за достъп до онлайн услуги. Те следва също да могат да решават дали да привлекат частния сектор в предоставянето на такива средства. Държавите членки следва да не бъдат задължени да уведомяват Комисията за своите схеми за електронна идентификация. Изборът дали да уведомят Комисията за всички или за някои от използваните на национално равнище схеми за електронна идентификация при достъп най-малкото до обществени онлайн услуги или специфични услуги, или да не уведомяват за никои от тях, зависи изцяло от държавите членки.
(14)
В настоящият регламент трябва да се определят някои условия във връзка с това, кои средства за електронна идентификация трябва да се признават, както и по какъв начин следва да става уведомяването за схемите за електронна идентификация. Тези условия следва да спомогнат за изграждането на необходимото доверие между държавите членки по отношение на използваните от тях схеми за електронна идентификация, както и за взаимното признаване на средствата за електронна идентификация, попадащи в обхвата на схемите, за които е извършено уведомяване. Принципът на взаимно признаване следва да се прилага, ако схемата за електронна идентификация на уведомяващата държава членка отговаря на условията за уведомяване и уведомлението е публикувано в Официален вестник на Европейския съюз. Принципът на взаимно признаване обаче следва да се отнася единствено за удостоверяването на автентичност за онлайн услуга. Достъпът до тези онлайн услуги и окончателното им доставяне на заявителя следва да бъдат тясно обвързани с правото на получаване на такива услуги според условията, определени в националното законодателство.
(15)
Задължението за признаване на средства за електронна идентификация следва да се отнася само до тези средства, чието ниво на осигуреност на самоличността съответства или надвишава нивото, необходимо за въпросната онлайн услуга. Освен това посоченото задължение следва да се отнася само за случаите, когато въпросният орган от публичния сектор прилага ниво на осигуреност „значително“ или „високо“ по отношение на достъпа до тази онлайн услуга. Държавите членки следва да могат и занапред, в съответствие с правото на Съюза, да признават средства за електронна идентификация с по-ниски нива на осигуреност на самоличността.
(16)
Нивата на осигуреност следва да характеризират степента на надеждност на средството за електронна идентификация при установяване на самоличността на дадено лице, като по този начин се гарантира, че лицето, претендиращо, че има определена самоличност, действително е лицето, на което е приписана тази самоличност. Нивото на осигуреност зависи от степента на надеждност, което средството за електронна идентификация предоставя по отношение на претендираната или заявена самоличност на дадено лице, като се вземат под внимание процесите (например доказване на самоличността и проверка, и удостоверяване на автентичността), управленските дейности (например издаването на средства за електронна идентификация от страна на даден субект и процедурата за издаване на такива средства) и извършваните технически проверки. Съществуват различни технически определения и описания за нива на осигуреност в резултат от финансирани от Съюза широкомащабни пилотни проекти, стандартизационни и международни дейности. По-конкретно широкомащабните пилотни проекти STORK и ISO 29115 се отнасят, наред с другото, за нива 2, 3 и 4, които следва да бъдат отчетени в максимална степен при установяване на минимални технически изисквания, стандарти и процедури за нива на осигуреност „ниско“, „значително“ и „високо“ по смисъла на настоящия регламент, като същевременно се осигури последователно прилагане на настоящия регламент, по-специално по отношение на нивото на осигуреност „високо“ във връзка с доказването на самоличността при издаване на квалифицирани удостоверения. Установените изисквания следва да бъдат неутрални по отношение на технологиите. Постигането на необходимите изисквания за сигурност следва да бъде възможно посредством различни технологии.
(17)
Държавите членки следва да насърчават частния сектор да ползва на доброволна основа средства за електронна идентификация в рамките на схема за идентификация, за която е извършено уведомяване, когато възникне такава нужда за онлайн услуги или електронни трансакции. Възможността да се използват такива средства за електронна идентификация би позволила на частния сектор да разчита на електронна идентификация и електронно удостоверяване на автентичност, които вече се използват широко в редица държави членки най-малко при обществените услуги, и би облекчила трансграничния достъп на предприятията и гражданите до онлайн услуги. За улеснение на трансграничното използване от частния сектор на такива средства за електронна идентификация предоставяната от всяка държава членка възможност за удостоверяване на автентичност следва да бъде на разположение на доверяващите се страни от частния сектор, установени извън територията на тази държава членка, при същите условия, които се прилагат спрямо доверяващите се страни от частния сектор, установени в тази държава членка. Следователно, по отношение на доверяващите се страни от частния сектор, уведомяващата държава членка може да определи условия за достъп до средството за удостоверяване на автентичност. Тези условия за достъп може да дават информация дали средството за удостоверяване на автентичност, отнасящо се до схемата, за която има уведомление, понастоящем е предоставено на разположение на доверяващи се страни от частния сектор.
(18)
В настоящия регламент следва да се предвиди, че уведомяващата държава членка, страната, издаваща средството за електронна идентификация, и страната, ръководеща процедурата по удостоверяване на автентичност, носят отговорност при неизпълнение на съответните си задължения по настоящия регламент. Независимо от това настоящият регламент следва да се прилага в съответствие с националните правила относно отговорността. Поради това той не засяга тези национални правила, например по отношение на определянето на щетите или приложимите процедурни правила, включително тежестта на доказване.
(19)
Сигурността на схемите за електронна идентификация е основен фактор за надеждно трансгранично взаимно признаване на средствата за електронна идентификация. В този контекст държавите членки следва да си сътрудничат по отношение на сигурността и оперативната съвместимост на схемите за електронна идентификация на равнището на Съюза. В случай че схемите за електронна идентификация правят необходимо използването от доверяващите се страни на национално равнище на специален хардуер или софтуер, трансграничната оперативна съвместимост изисква тези държави членки да не налагат на доверяващите се страни, установени извън тяхната територия, такива изисквания и свързани с тях разходи. В този случай следва да се обсъдят и разработят подходящи решения в границите на обхвата на рамката за оперативна съвместимост. Въпреки това техническите изисквания, които произтичат от свойствени за националните средства за електронна идентификация характеристики и които е вероятно да засегнат притежателите на такива електронни средства (например смарткарти), са неизбежни.
(20)
Сътрудничеството между държавите членки следва да спомага за техническата оперативна съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, за да се осигури високо равнище на доверие и сигурност, отговарящо на степента на риск. Обменът на информация и споделянето на добри практики между държавите членки с оглед на взаимното признаване между тях следва да спомагат за това сътрудничество.
(21)
С настоящия регламент следва да се установи и обща правна рамка за използването на удостоверителни услуги. Той обаче не следва да създава общо задължение за използването им или да създава точка за достъп за всички съществуващи удостоверителни услуги. По-специално той не следва да обхваща предоставянето на услуги, използвани изключително в рамките на затворени системи между определен набор от участници, които не оказват въздействие върху трети страни. Например системи, установени във фирмени или публични администрации за управлението на вътрешни процедури, които използват удостоверителни услуги, не следва да подлежат на изискванията по настоящия регламент. Единствено предоставяни на обществеността удостоверителни услуги, които оказват въздействие върху трети страни, следва да отговарят на изискванията, предвидени в настоящия регламент. Настоящият регламент не следва да обхваща и аспектите, свързани със сключването и действителността на договори или други правни задължения, когато в националното право или в правото на Съюза са предвидени изисквания по отношение на формата. Освен това той следва да не засяга националните изисквания за формата, които се отнасят до публичните регистри, и по-конкретно търговските и поземлените регистри.
(22)
С цел да се допринесе за общото им трансгранично използване, удостоверителните услуги следва да се допускат като доказателство при съдебни производства във всички държави членки. Правната сила на удостоверителните услуги се определя от националното право, освен ако в настоящия регламент не е предвидено друго.
(23)
Доколкото настоящият регламент създава задължение за признаване на удостоверителна услуга, тази удостоверителна услуга може да бъде отхвърлена само ако носителят на задължението не може да я прочете или провери поради технически причини извън неговия пряк контрол. Това задължение само по себе си обаче не следва да налага на публичен орган да се сдобива с хардуера и софтуера, необходими за техническото разчитане на всички съществуващи удостоверителни услуги.
(24)
В съответствие с правото на Съюза държавите членки могат да запазят националните си разпоредби или да въведат такива по отношение на удостоверителните услуги, доколкото тези услуги не са напълно хармонизирани с настоящия регламент. Удостоверителните услуги, които обаче отговарят на изискванията на настоящия регламент, следва да могат да се движат свободно на вътрешния пазар.
(25)
Държавите членки следва да запазят правото си да определят други видове удостоверителни услуги в допълнение към съдържащите се в изчерпателния списък на удостоверителни услуги, предвиден в настоящия регламент, за целите на признаването им на национално равнище като квалифицирани удостоверителни услуги.
(26)
С оглед на темповете на развитие на технологиите настоящият регламент следва да възприеме подход, който е открит към иновациите.
(27)
Настоящият регламент следва да бъде неутрален по отношение на технологиите. Произтичащите от него правни последици следва да могат да се постигнат с всякакви технически средства, при условие че са спазени изискванията на настоящия регламент.
(28)
С цел да се повиши доверието особено на малките и средните предприятия (МСП) и на потребителите във вътрешния пазар и да се насърчи използването на удостоверителни услуги и продукти, следва да се въведат понятията „квалифицирани удостоверителни услуги“ и „доставчик на квалифицирани удостоверителни услуги“, за да се определят изисквания и задължения, които гарантират висока степен на сигурност на всички използвани или предоставяни квалифицирани удостоверителни услуги и продукти.
(29)
В съответствие със задълженията по Конвенцията на Организацията на обединените нации за правата на хората с увреждания, одобрена с Решение 2010/48/ЕО на Съвета (8), и по-специално член 9 от Конвенцията, хората с увреждания следва да могат да използват удостоверителни услуги и продукти за крайния потребител, използвани при предоставянето на тези услуги, на равни начала с останалите потребители. Следователно когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хората с увреждания. Оценката за практическата осъществимост следва да включва, наред с другото, съображения от техническо и икономическо естество.
(30)
Държавите членки следва да определят надзорен орган или надзорни органи, които да извършват надзорните дейности по настоящия регламент. Освен това държавите членки следва да могат да вземат решение, при взаимно споразумение с друга държава членка, за определянето на надзорен орган на територията на тази друга държава членка.
(31)
Надзорните органи следва да си сътрудничат с органите по защита на данните, например като ги уведомяват за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има основания да се смята, че са нарушени правилата за защита на личните данни. Предоставянето на информация следва по-конкретно да обхваща инциденти, свързани със сигурността, и пробиви в защитата на личните данни.
(32)
Всички доставчици на удостоверителни услуги следва да бъдат задължени да използват добри практики по отношение на сигурността съобразно рисковете, свързани с тяхната дейност, така че да се стимулира доверието на потребителите в единния пазар.
(33)
Разпоредбите относно използването на псевдоними в удостоверенията следва да не възпрепятстват държавите членки да изискват идентификация на лицата в съответствие с правото на Съюза или националното право.
(34)
Всички държави членки следва да спазват общи основни изисквания по отношение на надзора, за да се гарантира съпоставимо ниво на сигурност на квалифицираните удостоверителни услуги. С цел да се улесни последователното прилагане на тези изисквания в целия Съюз, държавите членки следва да приемат съпоставими процедури и да обменят информация за своите надзорни дейности и най-добри практики в областта.
(35)
Спрямо всички доставчици на удостоверителни услуги следва да се прилагат изискванията на настоящия регламент, и по-специално изискванията по отношение на сигурността и отговорността за осигуряването на дължимата грижа, прозрачност и отчетност по отношение на техните операции и услуги. Същевременно обаче, като се взема предвид видът на услугите, предоставяни от доставчиците на удостоверителни услуги, е целесъобразно да се прави разграничение по отношение на тези изисквания между доставчиците на квалифицирани и неквалифицирани услуги.
(36)
Установяването на режим на надзор за всички доставчици на удостоверителни услуги следва да гарантира равни условия за сигурността и отчетността на извършваните от тях операции и услуги и така да допринесе за защитата на потребителите и функционирането на вътрешния пазар. Доставчиците на неквалифицирани удостоверителни услуги следва да подлежат на облекчена и ответна последваща надзорна дейност, обоснована от естеството на извършваните от тях услуги и операции. Поради това надзорният орган следва да няма общо задължение да извършва надзор на доставчиците на неквалифицирани услуги. Надзорният орган следва да предприема действия само когато е получил информация (например от самия доставчик на неквалифицирани удостоверителни услуги, от друг надзорен орган, чрез уведомяване от потребител или делови партньор или въз основа на собствено разследване), че доставчик на неквалифицирани удостоверителни услуги не спазва изискванията на настоящия регламент.
(37)
С настоящия регламент следва да се предвиди отговорност за всички доставчици на удостоверителни услуги. По-конкретно с регламента се установява режимът на отговорност, съгласно който всички доставчици на удостоверителни услуги следва да носят отговорност за щети, причинени на физическо или юридическо лице поради неспазване на задълженията по настоящия регламент. С цел да се улесни извършването на оценката на финансовия риск, който доставчиците на удостоверителни услуги може да се наложи да поемат или за който следва да осигурят покритие чрез застрахователни полици, с настоящия регламент се дава възможност на доставчиците на удостоверителни услуги да поставят, при определени условия, ограничения върху използването на предоставяните от тях услуги и да не носят отговорност за щети, произтичащи от използването на услуги, надхвърлящи тези ограничения. Клиентите следва да бъдат предварително и надлежно информирани за тези ограничения. Тези ограничения следва да са разпознаваеми от трета страна, например чрез включване на информация относно ограниченията в условията, при които се предоставя услугата, или по друг разпознаваем начин. С цел тези принципи да получат реално изражение, настоящият регламент следва да се прилага в съответствие с националните разпоредби относно отговорността. Поради това настоящият регламент не засяга тези национални разпоредби, например относно определението за щети, намерение, небрежност или съответните приложими процесуални разпоредби.
(38)
Уведомяването за пробиви в системите за сигурност и оценките на риска за сигурността са от съществено значение за предоставянето на адекватна информация на засегнатите страни в случай на пробив на сигурността или нарушаване на целостта на системите.
(39)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за уведомяване в случай на пробиви, надзорните органи следва да предоставят обобщена информация на Комисията и на Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA).
(40)
За да се даде възможност на Комисията и на държавите членки да направят оценка на ефективността на въведения с настоящия регламент механизъм за засилен надзор, от надзорните органи следва да се изисква да докладват за своите дейности. Това би спомогнало за улесняване на обмена на добри практики между надзорните органи и би гарантирало проверката по отношение на последователното и ефикасно прилагане на основните изисквания за надзор във всички държави членки.
(41)
За осигуряване на устойчивост и трайност на квалифицираните удостоверителни услуги и за стимулиране на доверието на потребителите в тяхната непрекъснатост надзорните органи следва да проверяват наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си.
(42)
За улесняване на надзора върху доставчиците на квалифицирани удостоверителни услуги, например когато даден доставчик предлага услугите си на територията на друга държава членка, където не подлежи на надзор, или когато компютрите на даден доставчик се намират на територията на държава членка, различна от неговата държава по установяване, следва да се създаде система за взаимопомощ между надзорните органи на държавите членки.
(43)
С цел да се гарантира съответствието на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях услуги с установените в настоящия регламент изисквания, орган за оценяване на съответствието следва да извършва оценяване на съответствието, а изготвените доклади за оценяване на съответствието следва да се изпращат от доставчиците на квалифицирани удостоверителни услуги до надзорния орган. В случаите, когато надзорният орган изисква от доставчик на квалифицирана удостоверителна услуга да изпрати доклад за оценяване на съответствието ad hoc, надзорният орган следва да спазва в частност принципите на доброто управление, включително задължението да посочи мотиви за решенията си, както и принципа на пропорционалност. Поради това надзорният орган следва да мотивира надлежно решението си, изискващо оценяване на съответствието ad hoc.
(44)
Целта на настоящия регламент е да се осигури съгласувана рамка, така че да се предложи високо ниво на защита и правна сигурност на удостоверителните услуги. В това отношение, когато разглежда оценяването на съответствието на продукти и услуги, Комисията следва по целесъобразност да се стреми към единодействие със съществуващите европейски и международни схеми в областта, като например Регламент (ЕО) № 765/2008 на Европейския парламент и на Съвета (9), с който се определят изискванията за акредитация на органите за оценяване на съответствието и надзор на пазара на продуктите.
(45)
За да се позволи ефикасен процес на започване, който следва да доведе до включването на доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги в доверителни списъци, следва да се насърчават предварителните контакти между евентуалните доставчици на квалифицирани удостоверителни услуги и компетентния надзорен орган с оглед улесняването на надлежни проверки, водещи до обезпечаването на квалифицирани удостоверителни услуги.
(46)
Доверителните списъци са съществени елементи за доверието между стопанските субекти, тъй като отразяват квалифицирания статут на даден доставчик на услуги, който подлежи на надзор.
(47)
Доверието в онлайн услугите и удобството при ползването им са изключително важни, за да могат потребителите напълно да се възползват от електронните услуги и съзнателно да разчитат на тях. За тази цел следва да се създаде марка за доверие на ЕС, за да се обозначават квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги. Такава марка за доверие на ЕС за квалифицирани удостоверителни услуги ще доведе до ясно разграничение на квалифицираните удостоверителни услуги от другите удостоверителни услуги, като по този начин се способства за прозрачността на пазара. Използването на марка за доверие на ЕС от доставчиците на квалифицирани удостоверителни услуги следва да бъде на доброволна основа и не следва да поражда други изисквания освен предвидените в настоящия регламент.
(48)
Наред с високата степен на сигурност, необходима за гарантиране на взаимното признаване на електронни подписи, в някои конкретни случаи, например в контекста на Решение № 2009/767/ЕО на Комисията (10), следва да се приемат и електронни подписи с по-ниска степен на сигурност.
(49)
С настоящия регламент следва да се установи принципът, че правната сила на електронен подпис не може да бъде оспорена на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирания електронен подпис. Правната сила на електронните подписи обаче се определя от националното право, с изключение на включените в настоящия регламент изисквания квалифицираният електронен подпис да има същата правна сила като саморъчния подпис.
(50)
Тъй като компетентните органи в държавите членки понастоящем използват различни формати на усъвършенствани електронни подписи, за да подпишат своите документи по електронен път, необходимо е в държавите членки да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни подписи при получаването на документи, подписани електронно. По подобен начин когато компетентните органи в държавите членки използват усъвършенствани електронни печати, ще бъде необходимо да се осигури възможност за техническа обработка на определен брой формати на усъвършенствани електронни печати.
(51)
Следва да се предостави възможност титулярят на електронния подпис да възлага обслужването на устройства за създаване на квалифицирани електронни подписи на трета страна, при условие че са въведени подходящи механизми и процедури, гарантиращи, че титулярят разполага с едноличен контрол върху използването на данните, свързани със създаването на електронния му подпис, и че при използването на устройството са изпълнени изискванията по отношение на квалифицирания електронен подпис.
(52)
Създаването на електронни подписи от разстояние, при което средата на създаване на електронен подпис се управлява от доставчик на удостоверителни услуги от името на титуляря на електронния подпис, се очаква да се развие поради многобройните икономически предимства, които предоставя. При все това, с цел да се гарантира, че тези електронни подписи получават същото правно признаване като електронните подписи, създавани в среда, изцяло управлявана от потребителя, доставчиците, които предлагат услуги на електронен подпис от разстояние, следва да прилагат специфични процедури за сигурността на управление и административната сигурност и да използват надеждни системи и продукти, включително сигурни електронни канали на комуникация, с цел да се гарантира надеждността на средата на създаване на електронния подпис и да се гарантира, че тази среда е използвана единствено под контрола на титуляря на електронния подпис. В случай на квалифициран електронен подпис, създаден чрез устройство за създаване на електронен подпис от разстояние, следва да се прилагат изискванията, приложими за доставчиците на квалифицирани удостоверителни услуги, които са изброени в настоящия регламент.
(53)
Спирането на валидността на квалифицираните удостоверения е установена оперативна практика на доставчиците на удостоверителни услуги в редица държави членки и се различава от отмяната по това, че води до временна загуба на валидност на дадено удостоверение. От съображения за правна сигурност е необходимо статутът на спиране на валидността на удостоверение винаги да е ясно отбелязан. За тази цел доставчиците на удостоверителни услуги следва да поемат отговорност ясно да отбелязват статута на удостоверението и, в случай че валидността му е спряна - точния срок на спиране. Настоящият регламент не следва да налага на доставчиците на удостоверителни услуги или на държавите членки да използват спирането, а по-скоро в регламента следва да се предвидят правила за прозрачност по отношение на условията, при които е възможно да се прибягва до него.
(54)
Трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения е предварително условие за трансграничното признаване на квалифицираните електронни подписи. Във връзка с това квалифицираните удостоверения не следва да подлежат на каквито и да било задължителни изисквания, надхвърлящи изискванията, предвидени в настоящия регламент. На национално равнище обаче включването в квалифицирани удостоверения на специфични данни, като например уникални идентификатори, следва да бъде позволено, при условие че тези специфични данни не възпрепятстват трансграничната оперативна съвместимост и признаването на квалифицираните удостоверения и електронните подписи.
(55)
Сертифицирането на сигурността на информационните технологии на базата на международни стандарти като ISO 15408 и други подобни методи за оценка и механизми за взаимно признаване е важен инструмент за проверка на сигурността на устройствата за създаване на квалифициран електронен подпис и следва да се насърчава. Иновативните решения и услуги, като подписването чрез мобилни устройства и подписването в облак, обаче са основани на такива технически и организационни решения за устройствата за създаване на квалифициран електронен подпис, за които все още може да не са налице стандарти за сигурност или за които първото сертифициране на сигурността на информационните технологии е в процес на извършване. Равнището на сигурност на такива устройства за създаване на квалифициран електронен подпис може да бъде оценено чрез използване на алтернативни процеси само когато не са налице такива стандарти за сигурност или когато първото сертифициране на сигурността на информационните технологии е в процес на извършване. Тези процеси следва да са съпоставими със стандартите за сертифициране на сигурността на информационните технологии, доколкото техните равнища на сигурност са равностойни. Тези процеси могат да бъдат улеснени чрез партньорски проверки.
(56)
В настоящия регламент са определени изискванията за устройствата за създаване на квалифицирани електронни подписи с оглед да се осигури функционалността на усъвършенстваните електронни подписи. Настоящият регламент не следва да обхваща цялата системна среда, в която действат тези устройства. Поради това обхватът на сертифицирането на устройствата за създаване на квалифицирани електронни подписи следва да бъде ограничен до хардуера и системния софтуер, използвани за управлението и защитата на данните за създаване на електронен подпис, които са създадени, съхранявани или обработвани в устройството за създаване на електронен подпис. Както е описано подробно в съответните стандарти, обхватът на задължението за сертифициране не следва да включва приложения за създаване на електронен подпис.
(57)
С цел да се осигури правна сигурност относно валидността на подписа от съществено значение е да се уточнят подробно компонентите на квалифицирания електронен подпис, които следва да се подложат на оценяване от доверяващата се страна, извършваща валидирането. Освен това, чрез уточняването на изискванията към доставчиците на квалифицирани удостоверителни услуги, които могат да предоставят квалифицирана услуга по валидиране на доверяващи се страни, които не желаят или не са в състояние да извършват сами валидиране на квалифицирани електронни подписи, следва да се стимулират инвестициите в подобни услуги от страна на частния и публичния сектор. Двата елемента следва да направят валидирането на електронни подписи лесно и удобно за всички страни на равнището на Съюза.
(58)
Когато за дадена трансакция се изисква квалифициран електронен печат от юридическо лице, квалифицираният електронен подпис на упълномощения представител на юридическото лице следва да се приема равностойно.
(59)
Електронните печати следва да служат като доказателство, че даден електронен документ е издаден от юридическо лице, като гарантират надеждния произход и целостта на документа.
(60)
Доставчиците на удостоверителни услуги, които издават квалифицирани удостоверения за електронен печат, следва да изпълнят необходимите мерки, за да могат да установят самоличността на физическото лице, представляващо юридическото лице, на което е предоставено квалифицирано удостоверение за електронен печат, когато установяването на самоличността е необходимо на национално равнище в контекста на съдебно или административно производство.
(61)
Настоящият регламент следва да осигури дългосрочното съхраняване на информация, за да се осигури правната валидност на електронните подписи и електронните печати за продължителен период от време и да се гарантира, че те могат да бъдат валидирани независимо от бъдещи промени в технологиите.
(62)
С цел да се гарантира сигурността на квалифицираните електронни времеви печати, настоящият регламент следва да изисква използването на усъвършенстван електронен печат или усъвършенстван електронен подпис, или на други равностойни методи. Може да се предвиди, че е възможно иновациите да доведат до нови технологии, които могат да осигурят равностойно ниво на сигурност за времевите печати. Винаги когато се използва метод, различен от усъвършенстван електронен печат или усъвършенстван електронен подпис, доставчикът на квалифицирани удостоверителни услуги следва да докаже в доклада за оценяване на съответствието, че този метод осигурява равностойно ниво на сигурност и е съобразен със задълженията, определени в настоящия регламент.
(63)
Електронните документи са важни за по-нататъшното развитие на трансграничните електронни трансакции на вътрешния пазар. С настоящия регламент следва да се установи принципът, че правната сила на електронен документ не може да бъде оспорена на основанието, че той е в електронна форма, с цел да се гарантира, че електронна трансакция няма да бъде отхвърлена единствено на основанието, че даден документ е в електронна форма.
(64)
При разглеждането на формати на усъвършенствани електронни подписи и печати Комисията следва да се основава на съществуващите практики, стандарти и законодателство, и по-специално на Решение 2011/130/ЕС на Комисията (11).
(65)
Освен при удостоверяването на автентичността на документ, издаден от юридическо лице, електронните печати могат да се използват за удостоверяване на автентичността на цифровите активи на юридическо лице, като софтуерен код или сървъри.
(66)
Особено важно е да се предвиди правна рамка, която да улеснява трансграничното признаване на съществуващите национални правни системи, свързани с услугите за електронна препоръчана поща. Тази рамка би могла да открие и нови пазарни възможности за доставчиците на удостоверителни услуги от Съюза за предлагане на нови паневропейски услуги за електронна препоръчана поща.
(67)
Услугите по удостоверяване на автентичността на уебсайт осигуряват средство, с което посетител на уебсайт може да бъде уверен, че зад уебсайта стои реален и легитимен субект. Тези услуги допринасят за изграждането на доверието в осъществяването на стопанска дейност онлайн, тъй като потребителите ще имат доверие в уебсайт, чиято автентичност е била удостоверена. Предоставянето и използването на услугите по удостоверяване на автентичността на уебсайт са изцяло на доброволна основа. Въпреки това, с цел удостоверяването на автентичността на уебсайт да се превърне в средство за повишаване на доверието, за подобряване на работата на потребителя с уебсайта, както и за увеличаване на растежа в рамките на вътрешния пазар, настоящият регламент следва да установи минимални задължения за сигурност и отговорност за доставчиците и техните услуги. За тази цел бяха взети предвид резултатите от съществуващите инициативи на сектора, като например форума на сертифициращите органи/браузъри - CA/B Forum. В допълнение настоящият регламент не следва да възпрепятства използването на други средства или методи за удостоверяване на автентичността на уебсайт, които не попадат в обхвата на настоящия регламент, нито следва да попречи на доставчиците от трета държава на услуги по удостоверяване на автентичността на уебсайт да предоставят своите услуги на потребители в Съюза. При все това услугите по удостоверяване на автентичността на уебсайт, извършвани от доставчика от трета държава, следва да бъдат признати за квалифицирани в съответствие с настоящия регламент само ако има сключено международно споразумение между Съюза и държавата на установяване на доставчика.
(68)
Съгласно разпоредбите на Договора за функционирането на Европейския съюз (ДФЕС) относно установяването понятието „юридически лица“ оставя на субектите свободата да избират правно организационната форма, която смятат за подходяща за осъществяването на своята дейност. Следователно „юридически лица“ по смисъла на ДФЕС означава всички образувания, учредени или регламентирани съгласно правото на държава членка, независимо от тяхната правна форма.
(69)
Институциите, органите, службите и агенциите на Съюза се насърчават да признават електронната идентификация и удостоверителните услуги, обхванати от настоящия регламент, за целта на административното сътрудничество, като се възползват по-специално от съществуващите добри практики и резултатите от текущите проекти в областите от обхвата на настоящия регламент.
(70)
С цел допълване на някои подробни технически аспекти на настоящия регламент по гъвкав и бърз начин, в съответствие с член 290 ДФЕС на Комисията следва да се делегира правомощието да приема актове във връзка с критериите, които трябва да бъдат спазвани от органите, отговарящи за сертифицирането на устройства за създаване на квалифициран електронен подпис. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище. При подготовката и изготвянето на делегирани актове Комисията следва да осигури едновременното и своевременно предаване на съответните документи по подходящ начин на Европейския парламент и на Съвета.
(71)
С цел да се осигурят еднакви условия за изпълнение на настоящия регламент на Комисията следва да бъдат предоставени изпълнителни правомощия, по-конкретно за определяне на референтните номера на стандартите, чието използване ще създаде презумпция за съответствие с някои изисквания, предвидени в настоящия регламент. Тези правомощия следва да се упражняват в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (12).
(72)
При приемането на делегирани актове или актове за изпълнение Комисията следва да взема надлежно предвид стандартите и техническите спецификации, разработвани в рамките на европейските и международните организации и органи по стандартизация, по-специално Европейския комитет по стандартизация (CEN), Европейския институт за стандарти в далекосъобщенията (ETSI), Международната организация по стандартизация (ISO) и Международния съюз по далекосъобщения (ITU), с оглед на това да се гарантират високо ниво на сигурност и оперативна съвместимост на електронната идентификация и удостоверителните услуги.
(73)
С оглед на правната сигурност и яснота Директива 1999/93/ЕО следва да бъде отменена.
(74)
За да се гарантира правна сигурност за стопанските субекти, които вече използват квалифицирани удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, е нужно да се предвиди достатъчно дълъг преходен период. По подобен начин следва да се установят преходни мерки за устройства за създаване на надежден подпис, чието съответствие е било определено в съответствие с Директива 1999/93/ЕО, както и за доставчиците на удостоверителни услуги, издаващи квалифицирани удостоверения преди 1 юли 2016 г. На последно място, необходимо е също на Комисията да се предоставят средства да приема актове за изпълнение и делегирани актове преди тази дата.
(75)
Датите на прилагане, определени в настоящия регламент, не засягат съществуващите задължения, които държавите членки вече имат по силата на правото на Съюза, и по-специално по Директива 2006/123/ЕО.
(76)
Доколкото целите на настоящия регламент не могат да бъдат постигнати в достатъчна степен от държавите членки, а следователно, с оглед обхвата на действието, могат да бъдат постигнати по-добре на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.
(77)
Проведена беше консултация с Европейския надзорен орган по защита на данните в съответствие с член 28, параграф 2 от Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (13) и той даде становище на 27 септември 2012 г. (14),
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
С оглед да се гарантира правилното функциониране на вътрешния пазар, като същевременно се цели постигане на подходящо равнище на сигурност на средствата за електронна идентификация и удостоверителни услуги, с настоящия регламент:
а)
се определят условията, при които държавите членки признават средствата за електронна идентификация на физически и юридически лица, които средства попадат в обхвата на дадена схема за електронна идентификация на друга държава членка, за която е извършено уведомяване;
б)
се определят правилата за удостоверителните услуги, по-специално за електронни трансакции; и
в)
се установява правна рамка за електронните подписи, електронните печати, електронните времеви печати, електронните документи, услугите за електронна препоръчана поща и услугите по удостоверяване автентичността на уебсайтове.
Член 2
Обхват
1. Настоящият регламент се прилага за схеми за електронна идентификация, за които е извършено уведомяване от държава членка, както и за установени в Съюза доставчици на удостоверителни услуги.
2. Настоящият регламент не се прилага за предоставянето на удостоверителни услуги, използвани единствено в рамките на затворени системи, произтичащи от националното право или от споразумения между определен кръг от участници.
3. Настоящият регламент не засяга националното право или правото на Съюза, свързано със сключването и действителността на договори или други правни или процедурни задължения по отношение на формата.
Член 3
Определения
За целите на настоящия регламент се прилагат следните определения:
1)
„електронна идентификация“ означава процес на използване на данни в електронна форма за идентификация на лица, които данни представляват по уникален начин дадено физическо или юридическо лице, или физическо лице, представляващо юридическо лице;
2)
„средство за електронна идентификация“ означава материална и/или нематериална единица, която съдържа данни за идентификация на лица, която се използва за удостоверяване на автентичност за онлайн услуга;
3)
„данни за идентификация на лица“ означава набор от данни, които позволяват да се установи самоличността на физическо или юридическо лице, или на физическо лице, представляващо юридическо лице;
4)
„схема за електронна идентификация“ означава система за електронна идентификация, при която средства за електронна идентификация се издават на физически или юридически лица, или физически лица, представляващи юридически лица;
5)
„удостоверяване на автентичност“ означава електронен процес, който позволява електронната идентификация на физическо или юридическо лице или потвърждаването на произхода и целостта на данни в електронна форма;
6)
„доверяваща се страна“ означава физическо или юридическо лице, което разчита на електронна идентификация или удостоверителна услуга;
7)
„орган от публичния сектор“ означава държавен, регионален или местен орган, публичноправна организация или сдружение, съставено от един или повече такива органи или от една или повече такива публичноправни организации, или частен субект, на който поне един от тези органи, организации или асоциации са възложили да предоставя обществени услуги, когато действа при условията на това възлагане;
8)
„публичноправна организация означава организация, както е определено в член 2, параграф 1, точка 4 от Директива 2014/24/ЕС на Европейския парламент и на Съвета (15);
9)
„титуляр на електронен подпис“ означава физическо лице, което създава електронен подпис;
10)
„електронен подпис“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, и които титулярят на електронния подпис използва, за да се подписва;
11)
„усъвършенстван електронен подпис“ означава електронен подпис, който отговаря на изискванията, посочени в член 26;
12)
„квалифициран електронен подпис“ означава усъвършенстван електронен подпис, който е създаден от устройство за създаване на квалифициран електронен подпис и се основава на квалифицирано удостоверение за електронни подписи;
13)
„данни за създаване на електронен подпис“ означава уникални данни, които се използват от титуляря на електронния подпис за създаването на електронен подпис;
14)
„удостоверение за електронен подпис“ означава електронен атестат, който свързва данните за валидиране на електронен подпис с физическо лице и потвърждава най-малко името или псевдонима на това лице;
15)
„квалифицирано удостоверение за електронен подпис“ означава удостоверение за електронни подписи, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение I;
16)
„удостоверителна услуга“ означава електронна услуга, обикновено предоставяна срещу възнаграждение, която се състои във:
а)
създаването, проверката и валидирането на електронни подписи, електронни печати или електронни времеви печати, услуги за електронна препоръчана поща, както и удостоверения, свързани с тези услуги; или
б)
създаването, проверката и валидирането на удостоверения за автентичност на уебсайт; или
в)
съхраняването на електронни подписи, печати или удостоверения, свързани с тези услуги;
17)
„квалифицирана удостоверителна услуга“ означава удостоверителна услуга, която отговаря на приложимите изисквания, определени в настоящия регламент;
18)
„орган за оценяване на съответствието“ означава орган съгласно определението в член 2, точка 13 от Регламент (ЕО) № 765/2008, който е акредитиран в съответствие със същия регламент като компетентен да извършва оценяване на съответствието на доставчик на квалифицирани удостоверителни услуги и на предоставяните от този доставчик квалифицирани удостоверителни услуги;
19)
„доставчик на удостоверителни услуги“ означава физическо или юридическо лице, което предоставя една или повече удостоверителни услуги като доставчик на квалифицирани или на неквалифицирани удостоверителни услуги;
20)
„доставчик на квалифицирани удостоверителни услуги“ означава доставчик на удостоверителни услуги, който предоставя една или повече квалифицирани удостоверителни услуги и е получил квалифицирания си статут от надзорен орган;
21)
„продукт“ означава хардуер, софтуер или съответните компоненти на хардуер или софтуер, предвидени да се използват при предоставянето на удостоверителни услуги;
22)
„устройство за създаване на електронен подпис“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен подпис;
23)
„устройство за създаване на квалифициран електронен подпис“ означава устройство за създаване на електронен подпис, което отговаря на изискванията, предвидени в приложение II;
24)
„създател на печат“ означава юридическо лице, което създава електронен печат;
25)
„електронен печат“ означава данни в електронна форма, които се добавят към други данни в електронна форма или са логически свързани с тях, за да се гарантират произходът и целостта на последните;
26)
„усъвършенстван електронен печат“ означава електронен печат, който отговаря на изискванията, посочени в член 36;
27)
„квалифициран електронен печат“ означава усъвършенстван електронен печат, който е създаден от устройство за създаване на квалифициран електронен печат и се основава на квалифицирано удостоверение за електронен печат;
28)
„данни за създаване на електронен печат“ означава уникални данни, които се използват от създателя на електронния печат за създаването на електронен печат;
29)
„удостоверение за електронен печат“ означава електронен атестат, който свързва данните за валидиране на електронен печат с юридическо лице и потвърждава името на това лице;
30)
„квалифицирано удостоверение за електронен печат“ означава удостоверение за електронен печат, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение III;
31)
„устройство за създаване на електронен печат“ означава конфигуриран софтуер или хардуер, който се използва за създаването на електронен печат;
32)
„устройство за създаване на квалифициран електронен печат“ означава устройство за създаване на електронен печат, което отговаря mutatis mutandis на изискванията, предвидени в приложение II;
33)
„електронен времеви печат“ означава данни в електронна форма, които свързват други данни в електронна форма с конкретен момент във времето и представляват доказателство, че последните данни са съществували в съответния момент;
34)
„квалифициран електронен времеви печат“ означава електронен времеви печат, който отговаря на изискванията, предвидени в член 42;
35)
„електронен документ“ означава всяко съдържание, съхранявано в електронна форма, по-специално текстови или звуков, визуален или аудио-визуален запис;
36)
„услуга за електронна препоръчана поща“ означава услуга, която позволява предаването на данни между трети страни по електронен път, предоставя доказателство във връзка с обработката на предаваните данни, включително доказателство за изпращането и получаването на данните, и защитава предаваните данни срещу риск от загуба, кражба, повреда или непозволени изменения;
37)
„квалифицирана услуга за електронна препоръчана поща“ означава услуга за електронна препоръчана поща, която отговаря на изискванията, предвидени в член 44;
38)
„удостоверение за автентичност на уебсайт“ означава удостоверение, което позволява да се удостовери автентичността на уебсайт, като го свързва с физическото или юридическото лице, на което е издадено удостоверението;
39)
„квалифицирано удостоверение за автентичност на уебсайт“ означава удостоверение за автентичност на уебсайт, което се издава от доставчик на квалифицирани удостоверителни услуги и отговаря на изискванията, предвидени в приложение IV;
40)
„данни за валидиране“ означава данни, които се използват за валидиране на електронен подпис или електронен печат;
41)
„валидиране“ означава процеса на проверка и потвърждаване на валидността на електронен подпис или печат.
Член 4
Принцип на вътрешния пазар
1. Предоставянето на удостоверителни услуги на територията на държава членка от доставчик на удостоверителни услуги, установен в друга държава членка, не подлежи на ограничения на основания, които попадат в обхвата на настоящия регламент.
2. Продуктите и удостоверителните услуги, които отговарят на изискванията на настоящия регламент, са разрешени за свободно движение в рамките на вътрешния пазар.
Член 5
Обработка и защита на данни
1. Обработката на лични данни се извършва в съответствие с Директива 95/46/ЕО.
2. Без да се засяга правната сила, дадена на псевдонимите съгласно националното право, няма забрана за използване на псевдоними при електронни трансакции.
ГЛАВА II
ЕЛЕКТРОННА ИДЕНТИФИКАЦИЯ
Член 6
Взаимно признаване
1. Когато националното право или административната практика изискват електронна идентификация чрез средства за електронна идентификация и удостоверяване на автентичност за достъпа до дадена услуга, предоставяна онлайн от орган от публичния сектор в една държава членка, средствата за електронна идентификация, издадени в друга държава членка, се признават в първата държава членка за целите на трансграничното удостоверяване на автентичност за тази онлайн услуга, при условие че са изпълнени следните условия:
а)
средствата за електронна идентификация се издават в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9;
б)
нивото на осигуреност на средствата за електронна идентификация съответства на ниво на осигуреност, равно или по-високо от нивото на осигуреност, изисквано от съответния орган от публичния сектор, за онлайн достъпа до тази услуга в първата държава членка, при условие че нивото на осигуреност на тези средства за електронна идентификация съответства на ниво на осигуреност „значително“ или „високо“;
в)
съответният орган от публичния сектор използва ниво на осигуреност „значително“ или „високо“ по отношение на онлайн достъпа до тази услуга.
Това признаване се извършва не по-късно от 12 месеца след като Комисията публикува списъка, посочен в първа алинея, буква а).
2. Средствата за електронна идентификация, издадени в рамките на схема за електронна идентификация, включена в списъка, публикуван от Комисията съгласно член 9, които съответстват на ниво на осигуреност „ниско“, могат да бъдат признати от органи от публичния сектор за целите на трансгранично удостоверяване на автентичност за услугите, предоставяни онлайн от тези органи.
Член 7
Допускане за уведомяване относно схеми за електронна идентификация
Дадена схема за електронна идентификация се допуска за уведомяване съгласно член 9, параграф 1, ако всяко едно от следните условия е изпълнено:
а)
средствата за електронна идентификация в рамките на схемата за електронна идентификация са издадени:
i)
от уведомяващата държава членка;
ii)
по поръчение на уведомяващата държава членка; или
iii)
независимо от уведомяващата държава членка и са признати от тази държава членка;
б)
средствата за електронна идентификация в рамките на схемата за електронна идентификация могат да бъдат използвани за достъп до най-малко една услуга, която е предоставяна от орган от публичния сектор и която изисква електронна идентификация в уведомяващата държава членка;
в)
схемата за елетронна идентификация и издаваните по нея средства за електронна идентификация отговарят на изискванията на поне едно от нивата на осигуреност, предвидени в акта за изпълнение, установени в член 8, параграф 3;
г)
уведомяващата държава членка гарантира, че данните за идентификация на лицето, представляващи по уникален начин въпросното лице, се приписват на физическото или юридическото лице, посочено в член 3, точка 1, в момента на издаване на средството за електронна идентификация в рамките на тази схема в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
д)
страната, издаваща електронното средство за идентификация в рамките на тази схема, гарантира, че средството за електронна идентификация се приписва на лицето, посочено в буква г) от настоящия член, в съответствие с техническите спецификации, стандарти и процедури за съответното ниво на осигуреност, установени в акта за изпълнение, посочен в член 8, параграф 3;
е)
уведомяващата държава членка осигурява възможност за удостоверяване на автентичност онлайн, така че всяка доверяваща се страна, установена на територията на друга държава членка, да може да потвърди данните за идентификация на лицето, получени в електронна форма.
За доверяващи се страни, различни от органи от публичния сектор, уведомяващата държава членка може да определи условия за достъп до това удостоверяване на автентичност. Трансграничното удостоверяване на автентичност се предоставя безплатно, когато се извършва във връзка с онлайн услуга, предоставяна от орган от публичния сектор.
Държавите членки не налагат никакви специфични несъразмерни технически изисквания за доверяващи се страни, които възнамеряват да извършват такова удостоверяване на автентичност, когато тези изисквания пречат на оперативната съвместимост на схемите за електронна идентификация, за които е извършено уведомяване, или сериозно я възпрепятстват;
ж)
най-малко шест месеца преди уведомяването по член 9, параграф 1 уведомяващата държава членка предоставя на останалите държави членки за целите на задължението по член 12, параграф 5 описание на въпросната схема в съответствие с процедурните условия, установени в посочените в член 12, параграф 7 актове за изпълнение;
з)
схемата за електронна идентификация отговаря на изискванията, установени в акта за изпълнение, посочен в член 12, параграф 8.
Член 8
Нива на осигуреност на схеми за електронна идентификация
1. Схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, включва определяне на нива на осигуреност „ниско“, „значително“ и/или „високо“, приписвани на средства за електронна идентификация, издавани в рамките на тази схема.
2. Нивата на осигуреност „ниско“, „значително“ и „високо“ отговарят съответно на следните критерии:
а)
ниво на осигуреност „ниско“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя ограничена степен на надеждност на претендираната или заявената самоличност на дадено лице, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
б)
ниво на осигуреност „значително“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя значителна степен на надеждност на претендираната или заявената самоличност на дадено лице и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се понижи значително рискът от злоупотреба или промяна на самоличността;
в)
ниво на осигуреност „високо“ се отнася за средство за електронна идентификация в контекста на схема за електронна идентификация, което предоставя по-висока степен на надеждност на претендираната или заявената самоличност на дадено лице, отколкото средствата за електронна идентификация с ниво на осигуреност „значително“, и се характеризира с препратка към съответни технически спецификации, стандарти и процедури, включително технически проверки, чиято цел е да се предотврати злоупотреба или промяна на самоличността.
3. До 18 септември 2015 г., като отчита съответните международни стандарти и при спазване на параграф 2, Комисията установява посредством актове за изпълнение минимални технически спецификации, стандарти и процедури, по отношение на които за целите на параграф 1 се определят нива на осигуреност „ниско“, „значително“ и „високо“ за средства за електронна идентификация.
Тези минимални технически спецификации, стандарти и процедури се установяват въз основа на надеждността и качеството на следните елементи:
а)
процедурата за доказване и проверка на самоличността на физически или юридически лица, подаващи искане за издаване на средство за електронна идентификация;
б)
процедурата по издаване на поисканото средство за електронна идентификация;
в)
механизма за удостоверяване на автентичност, чрез който физическото или юридическото лице използва средството за електронна идентификация, за да потвърди своята самоличност на доверяваща се страна;
г)
субекта, издаващ средството за електронна идентификация;
д)
всеки друг орган, имащ отношение към заявлението за издаване на средството за електронна идентификация; и
е)
техническите спецификации и спецификациите за сигурността на издаваните средства за електронна идентификация.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 9
Уведомяване
1. Уведомяващата държава членка уведомява Комисията за следната информация и без излишно забавяне съобщава за всички последващи изменения в нея:
а)
описание на схемата за електронна идентификация, включително нивата на осигуреност и издателя или издателите на средството за електронна идентификация в рамките на схемата;
б)
приложимия режим на надзор и информация за режима на отговорност по отношение на следното:
i)
страната, която издава средството за електронна идентификация; и
ii)
страната, която извършва процедурата по удостоверяване на автентичността;
в)
органа или органите, отговарящи за схемата за електронна идентификация;
г)
информация за субекта или субектите, които управляват регистрацията на уникалните идентификационни данни на лицата;
д)
описание как са спазени изискванията, установени в актовете за изпълнение, посочени в член 12, параграф 8;
е)
описание на удостоверяването на автентичността, посочено в член 7, буква е);
ж)
условията за спиране или отмяна на схемата за електронна идентификация, за която е извършено уведомяване, или на удостоверяването на автентичност, или на съответните застрашени части.
2. Една година след датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8, Комисията публикува в Официален вестник на Европейския съюз списък на схемите за електронна идентификация, за които е извършено уведомяване съгласно параграф 1 от настоящия член, и свързаната с тях основна информация.
3. Ако Комисията получи уведомление след изтичане на срока, посочен в параграф 2, тя публикува в Официален вестник на Европейския съюз измененията на списъка, посочен в параграф 2, в рамките на два месеца от датата на получаване на уведомлението.
4. Държава членка може да подаде в Комисията искане схема за електронна идентификация, за която същата държава членка е извършила уведомяване, да бъде заличена от списъка по параграф 2. Комисията публикува в Официален вестник на Европейския съюз съответните изменения на списъка в рамките на един месец от датата на получаване на искането на държавата членка.
5. Комисията може посредством актове за изпълнение да определи обстоятелствата, форматите и процедурите по отношение на уведомленията по параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 10
Пробив в сигурността
1. Ако схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1, или удостоверяването на автентичност, посочено в член 7, буква е), са нарушени или частично застрашени по начин, който засяга надеждността на трансграничното удостоверяване на автентичност на тази схема, уведомяващата държава членка незабавно спира или отменя това трансгранично удостоверяване на автентичност или съответните застрашени части и информира другите държави членки и Комисията.
2. Когато пробивът или застрашаването на сигурността, посочени в параграф 1, бъдат отстранени, уведомяващата държава членка възобновява трансграничното удостоверяване на автентичност и без неоснователно забавяне информира другите държави членки и Комисията.
3. Ако пробивът или нарушаването на сигурността, посочени в параграф 1, не бъдат отстранени в рамките на три месеца от спирането или отмяната, уведомяващата държава членка информира другите държави членки и Комисията за прекратяването на схемата за електронна идентификация.
Комисията публикува без неоснователно забавяне съответните изменения на списъка по член 9, параграф 2 в Официален вестник на Европейския съюз.
Член 11
Отговорност
1. За неспазване на задълженията си по член 7, букви г) и е) при трансгранична трансакция уведомяващата държава членка носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице.
2. Страната, издаваща средството за електронна идентификация, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задължението по член 7, буква д) при трансгранична трансакция.
3. Страната, извършващ процедурата по удостоверяване на автентичност, носи отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неспособност да гарантира правилното функциониране на удостоверяването на автентичност по член 7, буква е) при трансгранична трансакция.
4. Параграфи 1, 2 и 3 се прилагат в съответствие с националните правила относно отговорността.
5. Параграфи 1, 2 и 3 не засягат отговорността - съгласно националното право - на страните по трансакция, при която се използват средства за електронна идентификация, попадащи в обхвата на схемата за електронна идентификация, за която е извършено уведомяване съгласно член 9, параграф 1.
Член 12
Сътрудничество и оперативна съвместимост
1. Националните схеми за електронна идентификация, за които се извършва уведомяване съгласно член 9, параграф 1, са оперативно съвместими.
2. За целите на параграф 1 се установява рамка за оперативна съвместимост.
3. Рамката за оперативна съвместимост отговаря на следните критерии:
а)
има за цел да е технологично неутрална и не допуска дискриминация между специфичните национални технически решения за електронна идентификация в рамките на дадена държава членка;
б)
спазва европейските и международните стандарти, когато това е възможно;
в)
улеснява спазването на принципа за защита на личния живот още при разработването; и
г)
гарантира, че личните данни се обработват в съответствие с Директива 95/46/ЕО.
4. Рамката за оперативна съвместимост се състои от:
а)
задаване на минимални технически изисквания във връзка с нивата на осигуреност съгласно член 8;
б)
категоризиране на националните нива на осигуреност на схемите на електронна идентификация, за които е извършено уведомяване, по нива на осигуреност съгласно член 8;
в)
задаване на минимални технически изисквания за оперативна съвместимост;
г)
задаване на минимален набор от данни за идентификация на лицето, представляващи по уникален начин физическо или юридическо лице, които са достъпни посредством схеми за електронна идентификация;
д)
процедурни правила;
е)
механизми за уреждане на спорове; и
ж)
общи оперативни стандарти за сигурност.
5. Държавите членки си сътрудничат по следните въпроси:
а)
оперативна съвместимост на схеми за електронна идентификация, за които е извършено уведомяване съгласно член 9, параграф 1, и на схеми за електронна идентификация, за които държавите членки имат намерение да направят уведомяване; и
б)
сигурност на схемите за електронна идентификация.
6. Сътрудничеството между държавите членки се състои от:
а)
обмена на информация, опит и добри практики във връзка със схемите за електронна идентификация, и по-специално във връзка с техническите изисквания, свързани с оперативната съвместимост и нивата на осигуреност;
б)
обмена на информация, опит и добри практики във връзка с използването на нивата на осигуреност на схемите за електронна идентификация съгласно член 8;
в)
партньорска проверка на схемите за електронна идентификация, попадащи в обхвата на настоящия регламент; и
г)
анализ на значимите новости в сектора на електронната идентификация.
7. С оглед постигането на висока степен на доверие и сигурност, отговарящи на степента на риск, до 18 март 2015 г. Комисията установява посредством актове за изпълнение процедурните условия, необходими за улесняване на сътрудничеството между държавите членки, посочено в параграфи 5 и 6.
8. С цел да се установят еднакви условия за изпълнение на изискването по параграф 1, до 18 септември 2015 г. Комисията, като спазва критериите по параграф 3 и като отчита резултатите от сътрудничеството между държавите членки, приема актове за изпълнение относно рамка за оперативна съвместимост съгласно установеното в параграф 4.
9. Актовете за изпълнение, посочени в параграфи 7 и 8 от настоящия член, се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА III
УДОСТОВЕРИТЕЛНИ УСЛУГИ
РАЗДЕЛ 1
Общи разпоредби
Член 13
Отговорност и тежест на доказване
1. Без да се засяга параграф 2, доставчиците на удостоверителни услуги носят отговорност за щети, нанесени умишлено или поради небрежност на физическо или юридическо лице поради неизпълнение на задълженията по настоящия регламент.
Тежестта на доказване, че щетите са били нанесени умишлено или поради небрежност от страна на доставчик на неквалифицирани удостоверителни услуги, пада върху физическото или юридическото лице, подало иск във връзка с щетите, посочени в първа алинея.
Наличието на умисъл или небрежност от страна на доставчик на квалифицирани удостоверителни услуги се презюмира, освен ако този доставчик на квалифицирани удостоверителни услуги докаже, че посочените в първа алинея щети са настъпили без умисъл или небрежност от страна на същия доставчик на квалифицирани удостоверителни услуги.
2. Когато доставчици на удостоверителни услуги информират надлежно и предварително своите клиенти относно ограниченията върху използването на предоставяните от тях услуги и когато тези ограничения са разпознаваеми за трети страни, доставчиците на удостоверителни услуги не носят отговорност за щети, произтичащи от използване на услугите по начин, превишаващ посочените ограничения.
3. Параграфи 1 и 2 се прилагат в съответствие с националните правила относно отговорността.
Член 14
Международни аспекти
1. Удостоверителните услуги, предоставяни от доставчици на удостоверителни услуги, установени в трета държава, се признават за равностойни от правна гледна точка на квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, ако удостоверителните услуги с произход от трета държава са признати съгласно споразумение, сключено между Съюза и въпросната трета държава или международна организация в съответствие с член 218 от ДФЕС.
2. Споразуменията, посочени в параграф 1, гарантират по-специално, че:
а)
изискванията, приложими спрямо доставчици на квалифицирани удостоверителни услуги, установени в Съюза, и предоставяните от тях квалифицирани удостоверителни услуги, са спазени от доставчиците на удостоверителни услуги в третата държава или международните организации, с които е сключено споразумението, и от предоставяните от тях удостоверителни услуги;
б)
квалифицираните удостоверителни услуги, предоставяни от доставчици на квалифицирани удостоверителни услуги, установени в Съюза, са признати за равностойни от правна гледна точка на удостоверителни услуги, предоставяни от доставчици на удостоверителни услуги в третата държава или международна организация, с която е сключено споразумението.
Член 15
Достъпност за хора с увреждания
Когато това е практически осъществимо, предоставяните удостоверителни услуги и използваните при предоставянето на тези услуги продукти за крайния потребител следва да бъдат достъпни за хора с увреждания.
Член 16
Санкции
Държавите членки определят правилата относно санкциите, приложими при нарушаване на настоящия регламент. Предвидените санкции са ефективни, пропорционални и възпиращи.
РАЗДЕЛ 2
Надзор
Член 17
Надзорен орган
1. Държавите членки определят надзорен орган, установен на тяхна територия, или, при наличие на взаимно споразумение с друга държава членка, надзорен орган, установен във въпросната друга държава членка. Този орган е отговорен за изпълнението на задачите по надзора в определящата държава членка.
На надзорните органи се предоставят необходимите правомощия и достатъчни ресурси за изпълнението на техните задачи.
2. Държавите членки съобщават на Комисията наименованията и адресите на определените от тях надзорни органи.
3. Функцията на на надзорния орган е следната:
а)
да осъществява надзор върху доставчици на квалифицирани удостоверителни услуги, установени на територията на определящата държава членка, за да се гарантира, посредством предварителни и последващи действия по надзора, че тези доставчици на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, предвидени в настоящия регламент;
б)
при необходимост да предприема действия по отношение на доставчици на неквалифицирани удостоверителни услуги, установени на територията на определящата държава членка, посредством последващи действия по надзора, когато получи информация, съгласно която се твърди, че тези доставчици на неквалифицирани удостоверителни услуги или предоставяните от тях удостоверителни услуги не отговарят на изискванията, предвидени в настоящия регламент.
4. За целите на параграф 3 и при спазване на предвидените в него ограничения задачите на надзорния орган включват по-конкретно:
а)
да си сътрудничи с други надзорни органи и да им оказва съдействие в съответствие с член 18;
б)
да анализира докладите за оценяване на съответствието, посочени в член 20, параграф 1 и член 21, параграф 1;
в)
да информира други надзорни органи и обществеността за пробиви в сигурността или нарушаване на целостта в съответствие с член 19, параграф 2;
г)
да докладва на Комисията за своите основни дейности в съответствие с параграф 6 от настоящия член;
д)
да извършва одити или да изисква от орган за оценяване на съответствието да проведе оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги в съответствие с член 20, параграф 2;
е)
да си сътрудничи с органите по защита на данните, по-специално като без неоснователно забавяне ги информира за резултатите от одитите на доставчици на квалифицирани удостоверителни услуги, при които има предполагаеми нарушения на правилата за защита на личните данни;
ж)
да предоставя квалифициран статут на доставчици на удостоверителни услуги и на предоставяните от тях услуги и да отнема този статут в съответствие с членове 20 и 21;
з)
да информира органа, отговорен за националния доверителен списък, посочен в член 22, параграф 3, за своите решения за представяне или отнемане на квалифициран статут, освен в случаите, когато въпросният орган е и надзорен орган;
и)
да проверява наличието и правилното прилагане на разпоредбите относно плана за осигуряване на непрекъснатост на обслужването в случаите, когато доставчиците на квалифицирани удостоверителни услуги прекъснат дейността си, включително относно начините за запазване на достъпа до информацията в съответствие с член 24, параграф 2, буква з);
й)
да изисква от доставчиците на удостоверителни услуги да отстранят всяко неизпълнение на изискванията, посочени в настоящия регламент.
5. Държавите членки могат да изискват от надзорния орган да изгражда, поддържа и актуализира инфраструктура за удостоверяване в съответствие с условията по националното право.
6. Всяка година до 31 март всеки надзорен орган изпраща на Комисията доклад относно основните си дейности през предходната календарна година, наред с обобщена информация относно уведомленията за нарушения, получени от доставчици на удостоверителни услуги, в съответствие с член 19, параграф 2.
7. Комисията предоставя на държавите членки годишния доклад, посочен в параграф 6.
8. Комисията може да определи посредством актове за изпълнение форматите и процедурите по отношение на доклада, посочен в параграф 6. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 18
Взаимопомощ
1. Надзорните органи си сътрудничат с оглед обмен на добри практики.
Всеки надзорен орган, при получаване на обосновано искане от друг надзорен орган, му осигурява помощта, необходима за последователното осъществяване на дейностите на надзорните органи. Взаимопомощта може да обхваща по-специално искания за информация, както и надзорни мерки, като искания за извършване на проверки, свързани с докладите за оценяване на съответствието, както е посочено в членове 20 и 21.
2. Надзорен орган, до който е изпратено искане за помощ, може да откаже да го изпълни на някое от следните основания:
а)
надзорният орган не е компетентен да предостави исканата помощ;
б)
исканата помощ не е пропорционална на надзорните функции, изпълнявани от надзорния орган в съответствие с член 17;
в)
при условие че исканата помощ би била несъвместима с настоящия регламент.
3. При необходимост държавите членки могат да разрешат на съответните си надзорни органи да провеждат съвместни разследвания, в които участват служители на надзорни органи от други държави членки. Механизмите и процедурите за осъществяването на тези съвместни действия се договарят и установяват от съответните държави членки съгласно националното им право.
Член 19
Изисквания за сигурност, които се прилагат към доставчиците на удостоверителни услуги
1. Доставчиците на квалифицирани и неквалифицирани удостоверителни услуги предприемат подходящи технически и организационни мерки за управление на рисковете за сигурността на предоставяните от тях удостоверителни услуги. При тези мерки се вземат предвид най-новите технически достижения, за да се гарантира, че равнището на сигурност е пропорционално на степента на риска. В частност се предприемат мерки за предотвратяване и свеждане до минимум на въздействието на инциденти, свързани със сигурността, и за информиране на заинтересованите страни относно нежеланите последици от такива инциденти.
2. В случай на пробив в сигурността или нарушаване на целостта, които имат съществено въздействие върху предоставяната удостоверителна услуга или върху съхраняваните лични данни, доставчиците на квалифицирани и неквалифицирани удостоверителни услуги уведомяват за това без излишно забавяне, но при всички случаи в срок от 24 часа от момента, в който са узнали за настъпилото събитие, надзорния орган и, когато е приложимо, други компетентни органи, например компетентния национален орган в областта на информационната сигурност или органа по защита на данните.
Когато има вероятност пробивът в сигурността или нарушаването на целостта да окажат негативно въздействие върху физическо или юридическо лице, на което е предоставена удостоверителната услуга, доставчикът на удостоверителни услуги уведомява без излишно забавяне за пробива в сигурността или нарушаването на целостта и въпросното физическо или юридическо лице.
При необходимост, и особено ако пробивът в сигурността или нарушаването на целостта засягат две или повече държави членки, уведоменият надзорен орган информира надзорните органи в останалите засегнати държави членки и ENISA.
Ако прецени, че разгласяването на пробива в сигурността или нарушаването на целостта е в обществен интерес, уведоменият надзорен орган информира обществеността или изисква от доставчика на удостоверителни услуги да направи това.
3. Веднъж годишно надзорният орган представя на ENISA обобщение на уведомленията за пробиви в сигурността и нарушения на целостта, получени от доставчиците на удостоверителни услуги.
4. Комисията може посредством актове за изпълнение:
а)
да уточни допълнително мерките, посочени в параграф 1; и
б)
да определи форматите и процедурите, включително сроковете, приложими за целите на параграф 2.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 3
Квалифицирани удостоверителни услуги
Член 20
Надзор над доставчиците на квалифицирани удостоверителни услуги
1. Доставчиците на квалифицирани удостоверителни услуги са обект на одит най-малко веднъж на 24 месеца за тяхна собствена сметка от орган за оценяване на съответствието. Целта на одита е да се потвърди, че доставчиците на квалифицирани удостоверителни услуги и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Доставчиците на квалифицирани удостоверителни услуги представят на надзорния орган съответния доклад за оценяване на съответствието в срок от три работни дни след като го получат.
2. Без да се засяга параграф 1, надзорният орган може по всяко време да извърши одит или да поиска от орган за оценяване на съответствието да направи оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги за тяхна собствена сметка, за да потвърди, че те и предоставяните от тях квалифицирани удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент. Ако има съмнение, че са нарушени правилата за защита на личните данни, надзорният орган уведомява за резултатите от своите одити органите по защита на данните.
3. Ако надзорният орган поиска от доставчика на квалифицирани удостоверителни услуги да вземе мерки, за да изпълни неизпълнените от него изисквания по настоящия регламент, и ако този доставчик не предприеме необходимите действия, ако е приложимо, в определения от надзорния орган срок, надзорният орган, като вземе под внимание по-специално степента, продължителността и последиците от това неизпълнение, може да отнеме квалифицирания статут на този доставчик или на съответната предоставяна от него услуга и да информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1. Надзорният орган уведомява доставчика на квалифицирани удостоверителни услуги за отнемането на неговия квалифициран статут или на квалифицирания статут на съответната услуга.
4. Посредством актове за изпълнение Комисията може да определи референтните номера на следните стандарти:
а)
за акредитацията на органите за оценяване на съответствието и за доклада за оценяване на съответствието, посочени в параграф 1;
б)
за правилата за извършване на одит, според които органите за оценяване на съответствието ще извършват своето оценяване на съответствието на доставчиците на квалифицирани удостоверителни услуги, както е посочено в параграф 1.
Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 21
Начало на предоставянето на квалифицирана удостоверителна услуга
1. Когато доставчици на удостоверителни услуги без квалифициран статут възнамеряват да започнат да предоставят квалифицирани удостоверителни услуги, те изпращат на надзорния орган уведомление за намерението си заедно с доклад за оценяване на съответствието, съставен от органа за оценяване на съответствието.
2. Надзорният орган проверява дали доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в настоящия регламент, и по-специално на изискванията за доставчиците на квалифицирани удостоверителни услуги и за предоставяните от тях квалифицирани удостоверителни услуги.
Ако надзорният орган прецени, че доставчикът на удостоверителни услуги и предоставяните от него удостоверителни услуги отговарят на изискванията, посочени в първа алинея, надзорният орган предоставя квалифициран статут на доставчика на удостоверителни услуги и на предоставяните от него удостоверителни услуги и информира посочения в член 22, параграф 3 орган, за да може той да актуализира доверителните списъци по член 22, параграф 1 в срок от три месеца след уведомяването съгласно параграф 1 от настоящия член.
Ако проверката не приключи в тримесечен срок от уведомяването, надзорният орган информира доставчика на удостоверителни услуги, като посочва причините за забавянето и срока, в който трябва да приключи проверката.
3. Доставчиците на квалифицирани удостоверителни услуги могат да започнат да предоставят квалифицирани удостоверителни услуги, след като квалифицираният статут бъде отбелязан в доверителните списъци, посочени в член 22, параграф 1.
4. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграфи 1 и 2. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 22
Доверителни списъци
1. Всяка държава членка създава, поддържа и публикува доверителни списъци, които съдържат информация за доставчиците на квалифицирани удостоверителни услуги, за които носи отговорност, както и за предоставяните от тези доставчици квалифицирани удостоверителни услуги.
2. Държавите членки създават, поддържат и публикуват по сигурен начин предвидените в параграф 1 доверителни списъци, които са подписани и подпечатани по електронен път във форма, подходяща за автоматизирана обработка.
3. Държавите членки уведомяват без излишно забавяне Комисията за органа, натоварен със създаването, поддържането и публикуването на националните доверителни списъци, за мястото, където се публикуват тези списъци, за удостоверенията, които се използват за подписване или подпечатване на доверителни списъци, както и за всички последващи промени в тях.
4. Комисията предоставя на обществеността чрез сигурен канал информацията, посочена в параграф 3, подписана и подпечатана по електронен път и във форма, подходяща за автоматизирана обработка.
5. До 18 септември 2015 г. Комисията посредством актове за изпълнение уточнява информацията, посочена в параграф 1, и определя техническите спецификации и форматите на доверителните списъци за целите на параграфи 1-4. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 23
Марка за доверие на ЕС за квалифицирани удостоверителни услуги
1. След като посоченият в член 21, параграф 2, втора алинея квалифициран статут бъде отбелязан в доверителния списък по член 22, параграф 1, доставчиците на квалифицирани удостоверителни услуги могат да използват марката за доверие на ЕС, за да обозначат по прост, разпознаваем и ясен начин предоставяните от тях квалифицирани удостоверителни услуги.
2. Когато използват марката за доверие на ЕС за квалифицираните удостоверителни услуги, посочени в параграф 1, доставчиците на квалифицирани удостоверителни услуги правят необходимото на уебсайта им да присъства линк към съответния доверителен списък.
3. До 1 юли 2015 г. Комисията определя посредством актове за изпълнение спецификациите относно формата, и по-конкретно представянето, състава, размера и оформлението на марката на доверие на ЕС за обозначаване на квалифицирани удостоверителни услуги. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 24
Изисквания към доставчиците на квалифицирани удостоверителни услуги
1. При издаването на квалифицирано удостоверение за удостоверителна услуга доставчикът на квалифицирани удостоверителни услуги проверява чрез подходящи средства и в съответствие с националното право самоличността и, ако е приложимо, всички специфични данни за физическото или юридическото лице, на което се издава квалифицираното удостоверение.
Информацията, посочена в първа алинея, се проверява от доставчика на квалифицирани удостоверителни услуги пряко или чрез трета страна в съответствие с националното право:
а)
чрез личното присъствие на физическото лице или на упълномощен представител на юридическото лице; или
б)
дистанционно, чрез средство за електронна идентификация, като за целта преди издаването на квалифицираното удостоверение е било осигурено физическото присъствие на физическото лице или на упълномощен представител на юридическото лице и въпросното средство отговоря на изискванията на член 8 по отношение на нивата на осигуреност „значително“ или „високо“; или
в)
чрез удостоверение за квалифициран електронен подпис или за квалифициран електронен печат, издадено в съответствие с буква а) или б); или
г)
чрез използване на други признати на национално равнище методи за идентификация, които дават ниво на осигуреност, равностойно на физическото присъствие по отношение на надежността. Равностойното ниво на осигуреност се потвърждава от орган за оценяване на съответствието.
2. Доставчик на квалифицирани удостоверителни услуги:
а)
информира надзорния орган относно всяка промяна в предоставянето от него на квалифицирани удостоверителни услуги, включително за намерението да преустанови тези дейностти;
б)
наема персонал и, ако е приложимо, подизпълнители, които притежават необходимите експертни знания, надеждност, опит и квалификация и са преминали подходящо обучение относно правилата за сигурност и защита на личните данни, и прилага съответстващи на европейските или международните стандарти административни и управленски процедури;
в)
във връзка с риска от отговорност за нанесени щети в съответствие с член 13 поддържа достатъчни финансови ресурси и/или сключва подходяща застраховка за отговорност в съответствие с националното право;
г)
преди встъпването в договорни отношения информира по ясен и разбираем начин всяко лице, което иска да използва квалифицирана удостоверителна услуга, за точните условия и ред за използване на тази услуга, включително за всякакви ограничения, свързани с използването ѝ;
д)
използва надеждни системи и продукти, които са защитени срещу промяна, и гарантира техническата сигурност и надеждност на поддържаните от тях процеси;
е)
използва надеждни системи за съхранение на предоставените му данни във вид, позволяващ проверка, така че:
i)
те да са публично достъпни за извличане само в случаите, когато е получено съгласието на лицето, за което се отнасят данните;
ii)
само упълномощени лица да могат да въвеждат информация и да внасят промени в съхраняваните данни;
iii)
да може да бъде проверена автентичността на данните;
ж)
взема подходящи мерки срещу подправяне и кражба на данни;
з)
записва и съхранява на разположение за подходящ срок, включително след като доставчикът на квалифицирани удостоверителни услуги е преустановил дейността си, цялата имаща отношение информация във връзка с данните, издадени и получени от доставчик на квалифицирани удостоверителни услуги, и по-специално с оглед предоставяне на доказателство при съдебни производства и осигуряване на приемственост при предоставянето на услугата. Тези записи могат да бъдат направени по електронен път;
и)
в съответствие с разпоредбите, подложени на проверка от надзорния орган съгласно член 17, параграф 4, буква и), разполага с актуализиран план за осигуряване на непрекъснатост на обслужването в случай на прекратяване на дейността;
й)
осигурява законосъобразна обработка на лични данни в съответствие с Директива 95/46/ЕО;
к)
в случай на доставчици на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения - създава база данни с удостоверения и редовно я актуализира.
3. Ако доставчик на квалифицирани удостоверителни услуги, който издава квалифицирани удостоверения, реши да отмени удостоверение, той регистрира тази отмяна в неговата база данни с удостоверения и публикува отменения статут на удостоверението своевременно, но във всички случаи в срок до24 часа след като бъде получено искането. Отмяната става валидна веднага след като бъде публикувана.
4. Във връзка с параграф 3 доставчиците на квалифицирани удостоверителни услуги, които издават квалифицирани удостоверения, предоставят на всяка доверяваща се страна информация относно валидността или отмяната на издадените от тях квалифицирани удостоверения. Тази информация се предоставя на разположение по всяко време и дори след срока на валидност на удостоверението най-малко въз основа на удостоверение по автоматизиран начин, който е надежден, безплатен и ефикасен.
5. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за надеждни системи и продукти, които отговарят на изискванията по параграф 2, букви д) и е) от настоящия член. Съответствието с изискванията по настоящия член се презюмира, когато надеждните системи и продукти отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 4
Електронни подписи
Член 25
Правна сила на електронните подписи
1. Правната сила и допустимостта на електронния подпис като доказателство при съдебни производства не могат да бъда оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни подписи.
2. Правната сила на квалифицирания електронен подпис е равностойна на тази на саморъчния подпис.
3. Квалифицираният електронен подпис, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен подпис във всички други държави членки.
Член 26
Изисквания към усъвършенстваните електронни подписи
Усъвършенстваният електронен подпис отговаря на следните изисквания:
а)
свързан е по уникален начин с титуляря на подписа;
б)
може да идентифицира титуляря на подписа;
в)
създаден е чрез данни за създаване на електронен подпис, които титулярят на електронния подпис може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, които са подписани с него, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 27
Електронни подписи в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, същата държава членка признава усъвършенствани електронни подписи, усъвършенствани електронни подписи, основани на квалифицирано удостоверение за електронни подписи, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен подпис, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни подписи, основани на квалифицирано удостоверение, и квалифицирани електронни подписи поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен подпис с равнище на сигурност, по-високо от това на квалифицирания електронен подпис.
4. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за усъвършенствани електронни подписи. Съответствието с изискванията относно усъвършенстваните електронни подписи, посочени в параграфи 1 и 2 от настоящия член и в член 26, се презюмира, когато усъвършенстваният електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията, посредством актове за изпълнение, определя референтните формати на усъвършенстваните електронни подписи или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 28
Квалифицирани удостоверения за електронни подписи
1. Квалифицираните удостоверения за електронни подписи отговарят на изискванията, предвидени в приложение I.
2. Квалифицираните удостоверения за електронни подписи не подлежат на каквото и да било задължително изискване, което надхвърля изискванията, предвидени в приложение I.
3. Квалифицираните удостоверения за електронни подписи могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни подписи.
4. Ако квалифицирано удостоверение за електронни подписи бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирано удостоверение за електронен подпис при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен подпис бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спряното удостоверение е видим за срока на спирането в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронен подпис. Съответствието с изискванията, предвидени в приложение I, се презюмира, когато квалифицираните удостоверения за електронен подпис отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 29
Изисквания към устройствата за създаване на квалифициран електронен подпис
1. Устройствата за създаване на квалифициран електронен подпис отговарят на изискванията, предвидени в приложение II.
2. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за устройства за създаване на квалифициран електронен подпис. Съответствието с изискванията, предвидени в приложение II, се презюмира, когато устройството за създаване на квалифициран електронен подпис отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 30
Сертифициране на устройствата за създаване на квалифициран електронен подпис
1. Съответствието на устройствата за създаване на квалифициран електронен подпис с изискванията, предвидени в приложение II, се сертифицира от съответните публичноправни или частни организации, определени от държавите членки.
2. Държавите членки съобщават на Комисията наименованията и адресите на публичноправната или частната организация, посочена в параграф 1. Комисията предоставя тази информация на разположение на държавите членки.
3. Посоченото в параграф 1 сертифициране се основава на едно от следните условия:
а)
процес на оценка на сигурността, осъществен в съответствие с един от стандартите за оценка на сигурността на продукти на информационните технологии, включени в списъка, изготвен в съответствие с втората алинея; или
б)
процес, различен от посочения в буква а), при условие че при него са използвани съпоставими равнища на сигурност и че посочената в параграф 1 публичноправна или частна организация е уведомила Комисията за въпросния процес. Този процес може да се използва само при липса на стандартите, посочени в буква а), или когато посоченият в буква а) процес на оценка на сигурността се извършва в момента.
Комисията изготвя посредством актове за изпълнение списък на стандартите за оценка на сигурността на продукти на информационните технологии, посочени в буква а). Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
4. На Комисията се предоставя правомощието да приема делегирани актове в съответствие с член 47 за установяване на конкретните критерии, на които трябва да отговарят определените органи, посочени в параграф 1 от настоящия член.
Член 31
Публикуване на списък на сертифицираните устройства за създаване на квалифициран електронен подпис
1. Държавите членки уведомяват Комисията без излишно забавяне и не по-късно от един месец след приключване на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които са сертифицирани от посочените в член 30, параграф 1 организации. Те също така уведомяват Комисията без излишно забавяне и не по-късно от един месец след отмяна на сертифицирането за устройствата за създаване на квалифициран електронен подпис, които вече не отговарят на условията за сертифициране.
2. Въз основа на получената информация Комисията изготвя, публикува и поддържа списък на сертифицираните устройства за създаване на квалифициран електронен подпис.
3. Комисията може да определи посредством актове за изпълнение форматите и процедурите за целите на параграф 1. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 32
Изисквания към валидирането на квалифицирани електронни подписи
1. В процеса на валидиране на квалифициран електронен подпис се потвърждава валидността на квалифицирания електронен подпис, при условие че:
а)
удостоверението в подкрепа на подписа към момента на подписването е било квалифицирано удостоверение за електронен подпис, отговарящо на приложение I;
б)
квалифицираното удостоверение е издадено от доставчик на квалифицирани удостоверителни услуги и е било валидно към момента на подписването;
в)
данните за валидиране на подписа съответстват на данните, предоставени от доверяващата се страна;
г)
уникалният набор от данни, представляващи титуляря на електронния подпис в удостоверението, е надлежно предаден на доверяващата се страна;
д)
ако към момента на подписването е бил използван псевдоним, то това е ясно указано на доверяващата се страна;
е)
електронният подпис е създаден от устройство за създаване на квалифициран електронен подпис;
ж)
целостта на подписаните данни не е застрашена;
з)
изискванията по член 26 са били изпълнени към момента на подписването.
2. Използваната за валидиране на квалифицирания електронен подпис система предоставя на доверяващата се страна правилния резултат от процеса на валидиране и ѝ позволява да открие евентуални проблеми, свързани със сигурността.
3. Комисията може да определи посредством актове за изпълнение референтните номера на стандартите за валидиране на квалифицирани електронни подписи. Съответствието с изискванията, предвидени в параграф 1, се презюмира, когато валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 33
Услуга по квалифицирано валидиране на квалифицирани електронни подписи
1. Услугата по квалифицирано валидиране на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който:
а)
извършва валидиране в съответствие с член 32, параграф 1; и
б)
дава възможност на доверяващите се страни да получат резултата от процеса на валидиране по автоматизиран начин, който е надежден и ефикасен и носи усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчика на услугата по квалифицирано валидиране.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано валидиране, посочена в параграф 1. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по валидирането на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 34
Услуга по квалифицирано съхраняване на квалифицирани електронни подписи
1. Услугата по квалифицирано съхраняване на квалифицирани електронни подписи може да се предоставя единствено от доставчик на квалифицирани удостоверителни услуги, който използва процедури и технологии, позволяващи надеждността на квалифицирания електронен подпис да се разшири извън срока на технологична валидност.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за услугата по квалифицирано съхраняване на квалифицирани електронни подписи. Съответствието с изискванията, определени в параграф 1, се презюмира, когато услугата по квалифицирано съхраняване на квалифицирани електронни подписи отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 5
Електронни печати
Член 35
Правна сила на електронните печати
1. Правната сила и допустимостта на електронния печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговоря на изискванията за квалифицирани електронни печати.
2. Квалифицираният електронен печат се ползва от презумпция за цялост на данните и точност на произхода на тези данни, за които се отнася квалифицираният електронен печат.
3. Квалифицираният електронен печат, основан на квалифицирано удостоверение, издадено в една държава членка, се признава за квалифициран електронен печат във всички други държави членки.
Член 36
Изисквания към квалифицираните електронни печати
Квалифицираният електронен печат отговаря на следните изисквания:
а)
свързан е по уникален начин със създателя на печата;
б)
може да идентифицира създателя на печата;
в)
създаден е чрез данни за създаване на електронен печат, които създателят на електронния печат може да използва с висока степен на доверие и единствено под свой контрол; и
г)
свързан е с данните, за които се отнася, по начин, позволяващ да бъде открита всяка последваща промяна в тях.
Член 37
Електронни печати в публичните услуги
1. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, същата държава членка признава усъвършенствани електронни печати, усъвършенствани електронни печати, основани на квалифицирано удостоверение за електронни печати, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
2. Ако за използване на онлайн услуга, предлагана от орган от публичния сектор или от негово име, дадена държава членка изисква усъвършенстван електронен печат, основан на квалифицирано удостоверение, същата държава членка признава усъвършенствани електронни печати, основани на квалифицирано удостоверение, и квалифицирани електронни печати поне във форматите или с използване на методите, определени в актовете за изпълнение, посочени в параграф 5.
3. За трансгранично използване при онлайн услуга, предлагана от орган от публичния сектор, държавите членки не изискват електронен печат с ниво на сигурност, по-високо от това на квалифицирания електронен печат.
4. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за усъвършенстваните електронни печати. Съответствието с изискванията относно усъвършенстваните електронни печати, посочени в параграфи 1 и 2 от настоящия член и в член 36, се презюмира, когато усъвършенстваният електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
5. До 18 септември 2015 г. и като отчита съществуващите практики, стандарти и правни актове на Съюза, Комисията посредством актове за изпълнение определя референтните формати на усъвършенстваните електронни печати или референтните методи, когато се използват алтернативни формати. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 38
Квалифицирани удостоверения за електронни печати
1. Квалифицираните удостоверения за електронни печати отговарят на изискванията, предвидени в приложение III.
2. Квалифицираните удостоверения за електронни печати не подлежат на каквито и да било задължителни изисквания, които надхвърлят изискванията, предвидени в приложение III.
3. Квалифицираните удостоверения за електронни печати могат да включват допълнителни незадължителни специфични данни. Тези данни не засягат оперативната съвместимост и признаването на квалифицираните електронни печати.
4. Ако квалифицирано удостоверение за електронен печат бъде отменено след първоначалното активиране, то губи валидността си от момента на отмяната и неговият статут не може да бъде възстановен при никакви обстоятелства.
5. Държавите членки могат да определят национални правила относно временното спиране на валидността на квалифицирани удостоверения за електронни печати при спазване на следните условия:
а)
ако квалифицирано удостоверение за електронен печат бъде временно спряно, то губи валидността си за срока на спирането;
б)
срокът на спирането се отбелязва ясно в базата данни за удостоверенията, а статутът на спиране е видим за срока на това спиране в рамките на услугата, предоставяща информация за статута на удостоверението.
6. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицирани удостоверения за електронни печати. Съответствието с изискванията, предвидени в приложение III, се презюмира, когато квалифицираното удостоверение за електронен печат отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
Член 39
Устройства за създаване на квалифицирани електронни печати
1. Член 29 се прилага mutatis mutandis към изискванията за устройства за създаване на квалифицирани електронни печати.
2. Член 30 се прилага mutatis mutandis към сертифицирането на устройства за създаване на квалифицирани електронни печати.
3. Член 31 се прилага mutatis mutandis към публикуването на списък на сертифицираните устройства за създаване на квалифицирани електронни печати.
Член 40
Валидиране и съхраняване на квалифицирани електронни печати
Членове 32, 33 и 34 се прилагат mutatis mutandis към валидирането и съхраняването на квалифицирани електронни печати.
РАЗДЕЛ 6
Електронни времеви печати
Член 41
Правна сила на електронните времеви печати
1. Правната сила и допустимостта на електронния времеви печат като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма или че не отговаря на изискванията за квалифициран електронен времеви печат.
2. Квалифицираният електронен времеви печат се ползва от презумпцията за точност на указаните от него дата и час и за цялост на данните, с които са обвързани датата и часът.
3. Квалифицираният електронен времеви печат, издаден в една държава членка, се признава за квалифициран електронен времеви печат във всички държави членки.
Член 42
Изисквания към квалифицираните електронни времеви печати
1. Квалифицираният електронен времеви печат отговаря на следните изисквания:
а)
обвързва датата и часа с данните по начин, който до голяма степен изключва възможността за незабелязана промяна на данните;
б)
основава се на източник на точно време, свързан с координираното универсално време; и
в)
подписан е с усъвършенстван електронен подпис или е подпечатан с усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги или с друг равностоен метод.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за обвързване на датата и часа с данните и за източниците на точно време. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато обвързването на датата и часа с данните и източника на точно време отговарят на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 7
Услуги за електронна препоръчана поща
Член 43
Правна сила на услугите за електронна препоръчана поща
1. Правната сила и допустимостта на данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, не могат да бъдат оспорени като доказателство в съдебни производства единствено на основанието, че са в електронна форма или че не отговарят на изискванията за квалифицирана услуга за електронна препоръчана поща.
2. Данните, изпращани и получавани чрез използване на услуги за електронна препоръчана поща, се ползват от презумпцията за цялост на данните, за изпращане на тези данни от идентифицирания изпращач, тяхното получаване от идентифицирания получател и за точност на указаните чрез квалифицираната услуга за електронна препоръчана поща дата и час на изпращане и получаване на данните.
Член 44
Изисквания към квалифицираните услуги за електронна препоръчана поща
1. Квалифицираните услуги за електронна препоръчана поща отговарят на следните изисквания:
а)
предоставят се от един или повече доставчици на квалифицирани удостоверителни услуги;
б)
гарантират с високо ниво на доверие идентификацията на изпращача;
в)
гарантират идентификацията на получателя преди доставянето на данните;
г)
изпращането и получаването на данни е обезпечено чрез усъвършенстван електронен подпис или усъвършенстван електронен печат на доставчик на квалифицирани удостоверителни услуги по начин, който изключва всякаква възможност за незабелязана промяна на данните;
д)
всяка промяна на данните, необходима за целите на изпращането или получаването на данните, се обозначава ясно за подателя и за получателя на данните;
е)
датата и часът на изпращане и получаване, както и всяка промяна на данните се указват чрез квалифициран електронен времеви печат.
Ако данните се предават между двама или повече доставчици на квалифицирани удостоверителни услуги, изискванията по букви а) - е) се прилагат към всички доставчици на квалифицирани удостоверителни услуги.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за процесите на изпращане и получаване на данни. Съответствието с изискванията, посочени в параграф 1, се презюмира, когато процесите на изпращане и получаване на данни съответстват на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
РАЗДЕЛ 8
Удостоверяване автентичността на уебсайтове
Член 45
Изисквания към квалифицираните удостоверения за автентичност на уебсайтове
1. Квалифицираните удостоверения за автентичност на уебсайтове отговарят на изискванията, предвидени в приложение IV.
2. Комисията може да установи посредством актове за изпълнение референтните номера на стандартите за квалифицираните удостоверения за автентичност на уебсайтове. Съответствието с изискванията, предвидени в приложение IV, се презюмира, когато дадено квалифицирано удостоверение за автентичност на уебсайт отговаря на тези стандарти. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 48, параграф 2.
ГЛАВА IV
ЕЛЕКТРОННИ ДОКУМЕНТИ
Член 46
Правна сила на електронните документи
Правната сила и допустимостта на електронен документ като доказателство в съдебни производства не могат да бъдат оспорени единствено на основанието, че той е в електронна форма.
ГЛАВА V
РАЗПОРЕДБИ ОТНОСНО ДЕЛЕГИРАНЕ НА ПРАВОМОЩИЯ И АКТОВЕ ЗА ИЗПЪЛНЕНИЕ
Член 47
Упражняване на делегирането
1. Правомощието да приема делегирани актове се предоставя на Комисията при спазване на определените в настоящия член условия.
2. Правомощието да приема делегирани актове, посочено в член 30, параграф 4, се предоставя на Комисията за неограничен срок, считано от 17 септември 2014 г.
3. Делегирането на правомощия, посочено в член 30, параграф 4, може да бъде оттеглено по всяко време от Европейския парламент или от Съвета. С решението за оттегляне се прекратява посоченото в него делегиране на правомощия. То поражда действие в деня след публикуването на решението в Официален вестник на Европейския съюз или на по-късна, посочена в решението дата. То не засяга действителността на делегираните актове, които вече са в сила.
4. Веднага след като приеме делегиран акт Комисията го нотифицира едновременно на Европейския парламент и на Съвета.
5. Делегиран акт, приет съгласно член 30, параграф 4, влиза в сила само ако Европейският парламент или Съветът не са представили възражения в срок от два месеца след нотифицирането на акта на Европейския парламент и Съвета или ако преди изтичането на този срок и Европейският парламент, и Съветът са уведомили Комисията, че няма да представят възражения. Този срок се удължава с два месеца по инициатива на Европейския парламент или на Съвета.
Член 48
Процедура на комитет
1. Комисията се подпомага от комитет. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.
2. При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Преглед
Комисията прави преглед на прилагането на настоящия регламент и докладва на Европейския парламент и на Съвета не по-късно от 1 юли 2020 г. Комисията преценява по-специално дали обхватът на настоящия регламент или конкретни негови разпоредби, включително член 6, член 7, буква е), членове 34, 43, 44 и 45, е подходящо да се изменят, като се отчитат придобитият по време на прилагането на настоящия регламент опит и развитието на технологиите, пазара и правната уредба.
Посоченият в първа алинея доклад се придружава, ако е необходимо, от законодателни предложения.
Освен това след доклада по първа алинея Комисията представя на Европейския парламент и на Съвета на всеки четири години доклад относно напредъка в постигането на набелязаните в настоящия регламент цели.
Член 50
Отмяна
1. Директива 1999/93/ЕО се отменя, считано от 1 юли 2016 г.
2. Позоваванията на отменената директива се считат за позовавания на настоящия регламент.
Член 51
Преходни мерки
1. Устройствата за създаване на защитени подписи, чието съответствие е било определено съгласно член 3, параграф 4 от Директива 1999/93/ЕО, се считат за устройства за създаване на квалифицирани подписи съгласно настоящия регламент.
2. Квалифицираните удостоверения, издадени на физически лица в съответствие с Директива 1999/93/ЕО, се считат за квалифицирани удостоверения за електронни подписи съгласно настоящия регламент до изтичане на срока им.
3. Доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, представя на надзорния орган доклад за оценяване на съответствието в най-кратък срок, но не по-късно от 1 юли 2017 г. До представянето на такъв доклад за оценяване на съответствието и до приключването на оценяването му от надзорния орган този доставчик на услуги по сертифициране се счита за квалифициран доставчик на удостоверителни услуги съгласно настоящия регламент.
4. Ако доставчик на услуги по сертифициране, който издава квалифицирани удостоверения съгласно Директива 1999/93/ЕО, не представи на надзорния орган доклад за оценяване на съответствието в посочения в параграф 3 срок, този доставчик на услуги по сертифициране не се счита за доставчик на квалифицирани удостоверителни услуги съгласно настоящия регламент, считано от 2 юли 2017 г.
Член 52
Влизане в сила
1. Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз.
2. Настоящият регламент се прилага от 1 юли 2016 г. с изключение на следното:
а)
член 8, параграф 3, член 9, параграф 5, член 12, параграфи 2 - 9, член 17, параграф 8, член 19, параграф 4, член 20, параграф 4, член 21, параграф 4, член 22, параграф 5, член 23, параграф 3, член 24, параграф 5, член 27, параграфи 4 и 5, член 28, параграф 6, член 29, параграф 2, член 30, параграфи 3 и 4, член 31, параграф 3, член 32, параграф 3, член 33, параграф 2, член 34, параграф 2, член 37, параграфи 4 и 5, член 38, параграф 6, член 42, параграф 2, член 44, параграф 2, член 45, параграф 2 и членове 47 и 48 се прилагат, считано от 17 септември 2014 г.;
б)
член 7, член 8, параграфи 1 и 2, членове 9 - 11 и член 12, параграф 1 се прилагат от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8;
в)
член 6 се прилага, считано от три години от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8.
3. Когато схемата за електронна идентификация, за която се извършва уведомяване, е включена в списъка, публикуван от Комисията по силата на член 9, преди датата, посочена в параграф 2, буква в) от настоящия член, признаването на средствата за електронна идентификация в рамките на въпросната схема по силата на член 6 се извършва не по-късно от 12 месеца след публикуването на схемата, но не преди датата, посочена в параграф 2, буква в) от настоящия член.
4. Независимо от параграф 2, буква в) от настоящия член дадена държава членка може да реши, че средствата за електронна идентификация в рамките на схемата за електронна идентификация, за която се извършва уведомяване по силата на член 9, параграф 1 от страна на друга държава членка, се признават в първата държава членка, считано от датата на прилагане на актовете за изпълнение, посочени в член 8, параграф 3 и член 12, параграф 8. Съответните държави членки информират Комисията. Комисията оповестява публично тази информация.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки.
Съставено в Брюксел на 23 юли 2014 година.
EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS (ES) Nr. 910/2014
2014 m. liepos 23 d.
dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB
EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,
atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį,
atsižvelgdami į Europos Komisijos pasiūlymą,
teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams,
atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę (1),
laikydamiesi įprastos teisėkūros procedūros (2),
kadangi:
(1)
pasitikėjimo internetine aplinka skatinimas yra svarbus ekonominės ir socialinės plėtros veiksnys. Trūkstant pasitikėjimo, ypač dėl pastebimo teisinio tikrumo trūkumo, vartotojai, įmonės ir viešosios valdžios institucijos vengia vykdyti operacijas elektroniniu būdu ir pradėti naudotis naujomis paslaugomis;
(2)
šiuo reglamentu siekiama stiprinti pasitikėjimą elektroninėmis operacijomis vidaus rinkoje, suteikiant bendrą pagrindą saugiai vykdyti elektronines piliečių, verslo ir viešosios valdžios institucijų tarpusavio operacijas, taip didinant viešųjų ir privačiųjų internetinių paslaugų, elektroninio verslo ir elektroninės prekybos veiksmingumą Sąjungoje;
(3)
Europos Parlamento ir Tarybos direktyva 1999/93/EB (3) iš esmės buvo skirta tik elektroniniams parašams, nenustatant išsamios tarpvalstybinės ir tarpšakinės sistemos, kuria būtų užtikrintos saugios, patikimos ir patogios naudoti elektroninės operacijos. Šiuo reglamentu patobulinamas ir išplečiamas tos direktyvos acquis;
(4)
2010 m. rugpjūčio 26 d. Komisijos komunikate „Europos skaitmeninė darbotvarkė“ nurodyta, kad skaitmeninės rinkos susiskaidymas, sąveikumo stoka ir elektroninių nusikaltimų gausėjimas yra pagrindinės sėkmingo skaitmeninės ekonomikos ciklo užtikrinimo kliūtys. 2010 m. ES pilietybės ataskaitoje „Kliūčių ES piliečių teisėms šalinimas“ Komisija dar kartą pabrėžė poreikį spręsti pagrindines problemas, trukdančias Sąjungos piliečiams naudotis bendrosios skaitmeninės rinkos ir tarpvalstybinių skaitmeninių paslaugų teikiamais privalumais;
(5)
2011 m. vasario 4 d. ir 2011 m. spalio 23 d. išvadose Europos Vadovų Taryba paprašė Komisijos ne vėliau kaip 2015 m. sukurti bendrąją skaitmeninę rinką, kad, sudarant palankesnes sąlygas tarpvalstybiniu mastu naudotis internetinėmis paslaugomis ypač daug dėmesio skiriant saugios elektroninės atpažinties ir tapatumo nustatymo palengvinimui, būtų galima daryti sparčią pažangą pagrindinėse skaitmeninės ekonomikos srityse ir skatinti visiškai integruotos bendrosios skaitmeninės rinkos kūrimąsi;
(6)
2011 m. gegužės 27 d. išvadose Taryba ragino Komisiją prisidėti prie bendrosios skaitmeninės rinkos kūrimo nustatant tinkamas pagrindinių priemonių, kaip antai elektroninės atpažinties, elektroninių dokumentų, elektroninių parašų ir elektroninio pristatymo paslaugų, abipusio tarpvalstybinio pripažinimo ir sąveikių e. valdžios paslaugų teikimo visoje Europos Sąjungoje sąlygas;
(7)
2010 m. rugsėjo 21 d. rezoliucijoje dėl elektroninės prekybos vidaus rinkos užbaigimo (4) Europos Parlamentas pabrėžė, kad svarbu užtikrinti elektroninių paslaugų, ypač elektroninių parašų, saugumą, ir kad Europos lygiu būtina sukurti pamatinę viešąją infrastruktūrą, bei paprašė Komisijos sukurti Europos tinkamumo patvirtinimo institucijų portalą, siekiant užtikrinti tarpvalstybinį elektroninių parašų sąveikumą ir padidinti internetu sudarytų sandorių saugumą;
(8)
Europos Parlamento ir Tarybos direktyva 2006/123/EB (5) reikalaujama, kad valstybės narės įsteigtų „kontaktinius centrus“ (toliau - KC) siekiant užtikrinti, jog būtų galima lengvai, nuotoliniu būdu, elektroninėmis priemonėmis per atitinkamą kontaktinį centrą susisiekiant su reikiamomis valdžios institucijomis, atlikti visas procedūras ir formalumus, susijusius su teise teikti paslaugas ir ja naudotis. Daugeliui internetinių paslaugų, teikiamų per KC, reikalinga elektroninė atpažintis, tapatumo nustatymas ir parašas;
(9)
daugeliu atveju piliečiai negali pasinaudoti savo elektroninės atpažinties priemonėmis, kad jų tapatybė būtų nustatyta kitoje valstybėje narėje, nes jų šalyje taikomos nacionalinės elektroninės atpažinties schemos kitose valstybėse narėse nepripažįstamos. Ta elektroninė kliūtis trukdo paslaugų teikėjams pasinaudoti visais vidaus rinkos privalumais. Abipusiu pagrindu pripažintos elektroninės atpažinties priemonės palengvins tarpvalstybinį įvairių paslaugų teikimą vidaus rinkoje ir suteiks įmonėms galimybę vykdyti veiklą tarpvalstybiniu pagrindu, išvengiant daugelio problemų, kylančių santykiuose su viešosios valdžios institucijomis;
(10)
Europos Parlamento ir Tarybos direktyva 2011/24/ES (6) įsteigtas už e. sveikatą atsakingų nacionalinės valdžios institucijų tinklas. Siekiant pagerinti tarpvalstybinių sveikatos priežiūros paslaugų saugumą ir tęstinumą, reikalaujama, kad šis tinklas parengtų tarpvalstybinio prisijungimo prie elektroninių sveikatos priežiūros duomenų ir paslaugų gaires, įskaitant padėtų rengti „bendras identifikavimo ir autentifikavimo priemones, kad būtų sudarytos palankesnės sąlygos perduoti duomenis teikiant tarpvalstybines sveikatos priežiūros paslaugas“. Abipusis elektroninės atpažinties ir tapatumo nustatymo priemonių pripažinimas yra labai svarbus Europos piliečių tarpvalstybinės sveikatos priežiūros faktinio užtikrinimo veiksnys. Kai žmonės keliauja gydymosi tikslais, jų medicininiai duomenys turi būti prieinami jų gydymosi šalyje. Tam būtina vientisa, saugi ir patikima elektroninės atpažinties sistema;
(11)
šis reglamentas turėtų būti taikomas visiškai laikantis asmens duomenų apsaugos principų, numatytų Europos Parlamento ir Tarybos direktyvoje 95/46/EB (7). Šiuo klausimu, atsižvelgiant į šiuo reglamentu nustatytą abipusio pripažinimo principą, internetinės paslaugos tapatumo nustatymas turėtų būti susijęs tik su tų atpažinties duomenų, kurie yra adekvatūs, susiję ir nepertekliniai tam, kad būtų galima pasinaudoti ta internetine paslauga, tvarkymu. Be to, patikimumo užtikrinimo paslaugų teikėjai ir priežiūros įstaigos turėtų laikytis Direktyvos 95/46/EB reikalavimų, susijusių su konfidencialumu ir duomenų tvarkymo saugumu;
(12)
vienas šio reglamento uždavinių - pašalinti esamas valstybėse narėse naudojamų elektroninės atpažinties priemonių, reikalingų norint nustatyti tapatybę bent siekiant pasinaudoti viešosiomis paslaugomis, tarpvalstybinio naudojimo kliūtis. Šiuo reglamentu nesiekiama kištis į valstybėse narėse įdiegtų elektroninės atpažinties valdymo sistemas ir su jomis susijusias infrastruktūras. Šio reglamento tikslas - užtikrinti, kad naudojantis valstybių narių siūlomomis tarpvalstybinėmis internetinėmis paslaugomis būtų galima užtikrinti saugią elektroninę atpažintį ir tapatumo nustatymą;
(13)
valstybėms narėms turėtų būti palikta laisvė elektroninės atpažinties tikslais naudoti arba diegti priemones, reikalingas norint pasinaudoti internetinėmis paslaugomis. Be to, joms turėtų būti suteikta galimybė spręsti, ar į tų priemonių užtikrinimą įtraukti privatųjį sektorių. Valstybės narės neturėtų būti įpareigojamos pranešti Komisijai apie savo elektroninės atpažinties schemas. Valstybės narės turėtų pačios spręsti, ar pranešti Komisijai apie visas elektroninės atpažinties schemas, nacionaliniu lygiu taikomas tam, kad būtų galima pasinaudoti bent viešosiomis internetinėmis paslaugomis arba tam tikromis paslaugomis, ar pranešti tik apie kai kurias schemas, ar visai apie jas nepranešti;
(14)
šiame reglamente turi būti nustatytos tam tikros sąlygos, numatančios, kurios elektroninės atpažinties priemonės turi būti pripažįstamos ir kokiu būdu turėtų būti pranešama apie elektroninės atpažinties schemas. Tos sąlygos turėtų padėti valstybėms narėms įgyti būtiną pasitikėjimą viena kitos elektroninės atpažinties schemomis ir abipusiai pripažinti elektroninės atpažinties priemones, kurioms taikomos schemos, apie kurias pranešta. Abipusio pripažinimo principas turėtų būti taikomas, jeigu pranešančiosios valstybės narės elektroninės atpažinties schema laikomasi pranešimo sąlygų ir jeigu pranešimas buvo paskelbtas Europos Sąjungos oficialiajame leidinyje. Vis dėlto abipusio pripažinimo principas turėtų būti susijęs tik su internetinės paslaugos tapatumo nustatymu. Galimybė naudotis tomis internetinėmis paslaugomis ir galutinis jų suteikimas prašytojui turėtų būti glaudžiai susieti su teise gauti tokias paslaugas nacionalinės teisės aktuose nustatytomis sąlygomis;
(15)
pareiga pripažinti elektroninės atpažinties priemones turėtų būti susijusi tik su tomis priemonėmis, kurių tapatybės saugumo užtikrinimo lygis atitinka arba yra aukštesnis už lygį, kurio reikalaujama norint pasinaudoti ta konkrečia internetine paslauga. Be to, ta pareiga turėtų būti taikoma tik tuomet, kai konkreti viešojo sektoriaus įstaiga taiko pakankamą arba aukštą saugumo užtikrinimo lygį norint pasinaudoti ta internetine paslauga. Pagal Sąjungos teisę valstybės narės turėtų galėti pasirinkti, ar pripažinti elektroninės atpažinties priemones, kurių tapatybės saugumo užtikrinimo lygis yra žemesnis;
(16)
saugumo užtikrinimo lygiais turėtų būti apibūdinamas elektroninės atpažinties priemonės patikimumo laipsnis nustatant asmens tapatybę ir taip užtikrinant, kad asmuo, kuris pareiškia turintis tam tikrą tapatybę iš tiesų yra asmuo, kuriam ta tapatybė buvo priskirta. Saugumo užtikrinimo lygis priklauso nuo pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnio, kuris nurodomas elektroninės atpažinties priemonėmis, atsižvelgiant į procesus (pavyzdžiui, tapatybės įrodymą ir patikrinimą bei tapatumo nustatymą), valdymo veiklą (pavyzdžiui, elektroninės atpažinties priemones išduodantį subjektą ir tokių priemonių išdavimo tvarką) ir įgyvendintas techninės kontrolės priemones. Vykdant Sąjungos finansuojamus didelio masto bandomuosius projektus, standartizaciją ir tarptautinę veiklą nustatyta įvairių saugumo užtikrinimo lygių techninių reikalavimų ir aprašymų. Visų pirma didelio masto bandomajame projekte STORK ir ISO 29115 nurodomi, inter alia, 2, 3 ir 4 lygiai, į kuriuos reikėtų kuo labiau atsižvelgti nustatant minimalius techninius reikalavimus, standartus ir procedūras, taikomus žemam, pakankamam ir aukštam saugumo užtikrinimo lygiams, kaip apibrėžta šiame reglamente, siekiant užtikrinti nuoseklų šio reglamento taikymą, visų pirma aukšto saugumo užtikrinimo lygio, susijusio su tapatybės identifikavimu siekiant išduoti kvalifikuotus sertifikatus, atžvilgiu. Nustatyti reikalavimai turėtų būti technologiniu požiūriu neutralūs. Turėtų būti įmanoma įvykdyti būtinus saugumo reikalavimus taikant skirtingas technologijas;
(17)
valstybės narės turėtų skatinti privatųjį sektorių atpažinties tikslais savanoriškai naudoti elektroninės atpažinties priemones pagal schemą, apie kurią pranešta, kai to reikia norint pasinaudoti internetinėmis paslaugomis arba atlikti elektronines operacijas. Galimybė naudoti tokias elektroninės atpažinties priemones leistų privačiajam sektoriui pasikliauti elektronine atpažintimi ir tapatumo nustatymu, kurie jau plačiai taikomi daugumoje valstybių narių bent viešųjų paslaugų tikslais, ir sudaryti įmonėms bei piliečiams palankesnes sąlygas tarpvalstybiniu mastu naudotis tų valstybių narių teikiamomis internetinėmis paslaugomis. Kad privačiajam sektoriui būtų lengviau naudoti tokias elektroninės atpažinties priemones tarpvalstybiniu mastu, privačiojo sektoriaus pasikliaujančiosioms šalims, kurios įsteigtos ne tos valstybės narės teritorijoje, turėtų būti sudarytos sąlygos naudotis bet kurios valstybės narės teikiama tapatumo nustatymo galimybe tokiomis pačiomis sąlygomis, kurios taikomos toje valstybėje narėje įsteigtoms privačiojo sektoriaus pasikliaujančiosioms šalims. Todėl pranešančioji valstybė narė privačiojo sektoriaus pasikliaujančiosioms šalims gali nustatyti naudojimosi tapatumo nustatymo priemonėmis sąlygas. Tokiose naudojimosi sąlygose gali būti pateikiama informacija, ar privačiojo sektoriaus pasikliaujančiosios šalys šiuo metu turi galimybę naudotis tapatumo nustatymo priemone, susijusia su schema, apie kurią pranešta;
(18)
šiuo reglamentu turėtų būti numatoma pranešančiosios valstybės narės, elektroninės atpažinties priemonę išduodančios šalies ir tapatumo nustatymo procedūrą vykdančios šalies atsakomybė už atitinkamų pareigų pagal šį reglamentą nevykdymą. Tačiau šis reglamentas turėtų būti taikomas laikantis nacionalinių atsakomybę reglamentuojančių taisyklių. Todėl jis neturi poveikio toms nacionalinėms taisyklėms, pavyzdžiui, dėl žalos apibrėžties arba dėl atitinkamų taikytinų procedūrinių taisyklių, įskaitant dėl įrodinėjimo pareigos.
(19)
elektroninių atpažinties schemų saugumas itin svarbus patikimam tarpvalstybiniam elektroninių atpažinties priemonių abipusiam pripažinimui. Atsižvelgdamos į tai, valstybės narės Sąjungos lygiu turėtų bendradarbiauti elektroninių atpažinties schemų saugumo ir sąveikumo užtikrinimo srityje. Jeigu tam, kad pasikliaujančiosios šalys nacionaliniu lygiu galėtų naudotis elektroninėmis atpažinties schemomis, reikalingos specialios aparatinės ar programinės įrangos, laikantis tarpvalstybinio sąveikumo principo tos valstybės narės ne jų teritorijoje įsteigtoms pasikliaujančiosioms šalims neturėtų nustatyti tokių reikalavimų ir susijusių sąnaudų. Tuo atveju reikėtų aptarti ir rasti tinkamus sprendimo būdus, neviršijant sąveikumo sistemos apimties. Nepaisant to, techniniai reikalavimai, susiję su nacionalinių elektroninių atpažinties priemonių konkrečiomis specifikacijomis, kurie, kaip tikėtina, turės poveikį tokių elektroninių priemonių (pvz., lustinių kortelių) turėtojams, yra neišvengiami;
(20)
valstybių narių bendradarbiavimas turėtų padėti užtikrinti elektroninės atpažinties schemų, apie kurias pranešta, techninį sąveikumą, siekiant aukšto lygio pasitikėjimo ir rizikos lygį atitinkančio saugumo. Tokį bendradarbiavimą turėtų palengvinti valstybių narių keitimasis informacija ir geriausia praktika, siekiant užtikrinti abipusį pripažinimą;
(21)
šiuo reglamentu taip pat turėtų būti nustatyta bendroji teisinė patikimumo užtikrinimo paslaugų naudojimo sistema. Vis dėlto juo neturėtų būti nustatyta bendra pareiga naudotis šiomis paslaugomis arba įdiegti prieigos tašką visoms esamoms patikimumo užtikrinimo paslaugoms. Visų pirma juo neturėtų būti reglamentuojamas paslaugų, kuriomis naudojamasi tik uždarose sistemose tarp apibrėžtos grupės dalyvių ir kurios neturi poveikio trečiosioms šalims, teikimas. Pavyzdžiui, šio reglamento reikalavimai neturėtų būti taikomi sistemoms, sukurtoms versle arba viešojo valdymo institucijose siekiant valdyti vidaus procedūras, kuriose naudojamasi patikimumo užtikrinimo paslaugomis. Tik visuomenei teikiamos patikimumo užtikrinimo paslaugos, kurios turi poveikio trečiosioms šalims, turėtų atitikti šiame reglamente nustatytus reikalavimus. Šiuo reglamentu neturėtų būti reglamentuojami ir aspektai, susiję su sutarčių sudarymu arba kitų teisinių pareigų nustatymu ir šių sutarčių bei pareigų galiojimu, kai yra nacionalinės arba Sąjungos teisės aktais nustatytų reikalavimų dėl formos. Be to, juo nedaromas poveikis nacionalinės formos reikalavimams, susijusiems su viešaisiais registrais, visų pirma, komerciniais ir žemės registrais;
(22)
siekiant paskatinti jų bendrą tarpvalstybinį naudojimą, patikimumo užtikrinimo paslaugas turėtų būti galima naudoti kaip įrodymus visų valstybių narių teismo procesuose. Patikimumo užtikrinimo paslaugų teisinė galia turi būti reglamentuojama nacionalinės teisės aktuose, išskyrus atvejus, jei šiame reglamente būtų numatyta kitaip;
(23)
tiek, kiek šiuo reglamentu nustatoma pareiga pripažinti patikimumo užtikrinimo paslaugą, tokia patikimumo užtikrinimo paslauga gali būti atmesta tik tuo atveju, jeigu asmuo, kuriam skirta pareiga dėl techninių priežasčių, kurios tiesiogiai nuo jo nepriklauso, negali jos perskaityti arba patikrinti. Vis dėlto dėl tos pareigos viešoji įstaiga savaime neprivalo įsigyti aparatinės ar programinės įrangos, būtinos visų esamų patikimumo užtikrinimo paslaugų techniniam nuskaitymui;
(24)
valstybės narės gali palikti galioti arba nustatyti Sąjungos teisę atitinkančias nacionalines nuostatas, susijusias su patikimumo užtikrinimo paslaugomis tiek, kiek tos paslaugos nėra visiškai suderintos pagal šį reglamentą. Vis dėlto šį reglamentą atitinkančios patikimumo užtikrinimo paslaugos turėtų būti laisvai platinamos vidaus rinkoje;
(25)
valstybėms narėms turėtų būti palikta laisvė apibrėžti kitas, į šiame reglamente numatytą galutinį patikimumo užtikrinimo paslaugų sąrašą neįtrauktas patikimumo užtikrinimo paslaugas, kad jos nacionaliniu mastu būtų pripažįstamos kaip kvalifikuotos patikimumo užtikrinimo paslaugos;
(26)
atsižvelgiant į technologijų pažangos tempą, šiame reglamente turėtų būti įtvirtintas palankumo naujovių diegimui principas;
(27)
šis reglamentas turėtų būti neutralus technologiniu požiūriu. Šiuo reglamentu suteiktas teisines galias turėtų būti galima įgyvendinti bet kokiomis techninėmis priemonėmis, atitinkančiomis šio reglamento reikalavimus;
(28)
siekiant sustiprinti visų pirma mažųjų ir vidutinių įmonių (toliau - MVĮ) bei vartotojų pasitikėjimą vidaus rinka ir paskatinti patikimumo užtikrinimo paslaugų ir produktų naudojimą, turėtų būti įvestos naujos - kvalifikuotų patikimumo užtikrinimo paslaugų ir kvalifikuotų patikimumo užtikrinimo paslaugų teikėjo - sąvokos, kad būtų galima nurodyti reikalavimus ir pareigas, kuriais būtų užtikrintas aukštas bet kokių naudojamų arba teikiamų kvalifikuotų patikimumo užtikrinimo paslaugų ir produktų saugumo lygis;
(29)
atsižvelgiant į pareigas, nustatytas pagal Jungtinių Tautų neįgaliųjų teisių konvenciją, patvirtintą Tarybos sprendimu 2010/48/EB (8), ypač pagal Konvencijos 9 straipsnį, neįgalieji turėtų galėti vienodomis sąlygomis, kaip ir vartotojai, naudotis patikimumo užtikrinimo paslaugomis ir galutinio vartojimo produktais, naudojamais teikiant tas paslaugas. Todėl, jeigu įmanoma, neįgaliesiems turėtų būti sudaroma galimybė naudotis teikiamomis patikimumo užtikrinimo paslaugomis ir teikiant tas paslaugas naudojamais galutinio vartojimo produktais. Atliekant įgyvendinamumo vertinimą, inter alia, turėtų būti vertinami techniniai ir ekonominiai aspektai;
(30)
valstybės narės turėtų paskirti priežiūros įstaigą ar įstaigas, kad jos vykdytų priežiūros veiklą pagal šį reglamentą. Be to, valstybės narės turėtų galėti nuspręsti, abipusiu pagrindu susitarusios su kita valstybe nare, paskirti priežiūros įstaigą tos kitos valstybės narės teritorijoje;
(31)
priežiūros įstaigos turėtų bendradarbiauti su duomenų apsaugos institucijomis, pavyzdžiui, informuodamos jas apie kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų audito rezultatus tais atvejais, kai tikėtina, kad buvo pažeistos asmens duomenų apsaugos taisyklės. Informacija visų pirma turėtų būti teikiama apie saugumo incidentus ir asmens duomenų naudojimo pažeidimus;
(32)
visi patikimumo užtikrinimo paslaugų teikėjai turėtų vadovautis gerąja saugumo praktika, atitinkančia su jų veikla susijusią riziką, kad būtų sustiprintas vartotojų pasitikėjimas bendrąja rinka;
(33)
nuostatomis dėl slapyvardžių naudojimo sertifikatuose neturėtų būti kliudoma valstybėms narėms reikalauti nustatyti asmenų tapatybę pagal Sąjungos arba nacionalinės teisės aktus;
(34)
siekiant užtikrinti panašų kvalifikuotų patikimumo užtikrinimo paslaugų saugumo lygį, visos valstybės narės turėtų laikytis bendrų esminių priežiūros reikalavimų. Kad tuos reikalavimus būtų lengviau nuosekliai taikyti visoje Sąjungoje, valstybės narės turėtų patvirtinti palyginamas procedūras ir keistis informacija apie savo vykdomą priežiūros veiklą bei geriausia praktika šioje srityje;
(35)
šiame reglamente nustatyti reikalavimai, visų pirma reikalavimai dėl saugumo ir atsakomybės, turėtų būti taikomi visiems patikimumo užtikrinimo paslaugų teikėjams, siekiant užtikrinti deramą stropumą, skaidrumą ir atskaitomybę jiems atliekant savo veiklą ir teikiant paslaugas. Vis dėlto, atsižvelgiant į patikimumo užtikrinimo paslaugų teikėjų teikiamų paslaugų rūšį, tikslinga tų reikalavimų atžvilgiu atskirti kvalifikuotus ir nekvalifikuotus patikimumo užtikrinimo paslaugų teikėjus;
(36)
nustačius priežiūros režimą visiems patikimumo užtikrinimo paslaugų teikėjams būtų užtikrintos vienodos sąlygos jų atliekamos veiklos ir teikiamų paslaugų saugumo ir atskaitomybės atžvilgiu, taip prisidedant prie vartotojų apsaugos ir vidaus rinkos veikimo. Nekvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams turėtų būti taikoma negriežta ir pasyvi ex-post priežiūra, grindžiama jų teikiamų paslaugų ir atliekamos veiklos pobūdžiu. Todėl priežiūros įstaiga neturėtų turėti bendros pareigos prižiūrėti nekvalifikuotus paslaugų teikėjus. Priežiūros įstaiga turėtų imtis veiksmų tik tuomet, kai yra informuojama (pavyzdžiui, paties nekvalifikuoto paslaugų teikėjo, kitos priežiūros įstaigos, vartotojo ar verslo partnerio pranešimu arba atlikusi tyrimą), kad nekvalifikuotas patikimumo užtikrinimo paslaugų teikėjas nesilaiko šio reglamento reikalavimų;
(37)
šiuo reglamentu turėtų būti numatoma visų patikimumo užtikrinimo paslaugų teikėjų atsakomybė. Visų pirma, juo nustatomas atsakomybės režimas, pagal kurį visi patikimumo užtikrinimo paslaugų teikėjai turėtų būti atsakingi už žalą, kurią patyrė fizinis ar juridinis asmuo, nes nebuvo laikomasi šiame reglamente numatytų pareigų. Siekiant palengvinti finansinės rizikos, kurią gali patirti patikimumo užtikrinimo paslaugų teikėjai arba dėl kurios jie turėtų apsidrausti, įvertinimą, šiuo reglamentu patikimumo užtikrinimo paslaugų teikėjams leidžiama tam tikromis sąlygomis nustatyti naudojimosi savo teikiamomis paslaugomis ribas ir nebūti atsakingiems už žalą, patirtą dėl to, kad buvo naudojamasi tuos apribojimus viršijančiomis paslaugomis. Klientai turėtų būti tinkamai iš anksto informuoti apie apribojimus. Trečioji šalis turėtų atpažinti tuos apribojimus, pavyzdžiui, įtraukiant informaciją apie tuos apribojimus į teikiamos paslaugos sąlygas arba kitais atpažįstamais būdais. Norint, kad tie principai galiotų, šis reglamentas turėtų būti taikomas laikantis nacionalinių atsakomybę reglamentuojančių taisyklių. Todėl šiuo reglamentu nedaromas poveikis nacionalinėms taisyklėms, pavyzdžiui, reglamentuojančioms žalos apibrėžtį, tyčią, neatsargumą ar atitinkamas taikomas procedūrines taisykles;
(38)
siekiant suinteresuotosioms šalims suteikti tinkamos informacijos saugumo ar vientisumo pažeidimo atveju, labai svarbu, kad būtų pranešama apie saugumo pažeidimus ir kad būtų atliekami saugumo rizikos vertinimai;
(39)
kad Komisija ir valstybės narės galėtų įvertinti šiuo reglamentu sukurto pranešimų apie pažeidimus mechanizmo veiksmingumą, turėtų būti reikalaujama, kad priežiūros įstaigos teiktų Komisijai ir Europos Sąjungos tinklų ir informacijos apsaugos agentūrai (ENISA) informacijos suvestines;
(40)
kad Komisija ir valstybės narės galėtų įvertinti šiuo reglamentu nustatyto geresnės priežiūros mechanizmo veiksmingumą, turėtų būti reikalaujama, kad priežiūros įstaigos teiktų ataskaitas apie savo veiklą. Tai padėtų palengvinti priežiūros įstaigų keitimąsi gerąja praktika ir užtikrintų patikrą, ar esminiai priežiūros reikalavimai visose valstybėse narėse yra įgyvendinami nuosekliai ir veiksmingai;
(41)
kad būtų užtikrintas kvalifikuotų patikimumo užtikrinimo paslaugų tvarumas ir pastovumas bei sustiprintas vartotojų pasitikėjimas kvalifikuotų patikimumo užtikrinimo paslaugų tęstinumu, priežiūros įstaigos turėtų patikrinti, ar tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai nutraukia veiklą, parengtos nutraukimo planų nuostatos ir ar jos teisingai taikomos;
(42)
siekiant palengvinti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų priežiūrą, pavyzdžiui, kai teikėjas teikia paslaugas kitos valstybės narės teritorijoje ir joje jam netaikoma priežiūra arba kai paslaugos teikėjo kompiuteriai yra kitos nei jo įsisteigimo valstybės narės teritorijoje, turėtų būti nustatyta valstybių narių priežiūros įstaigų savitarpio pagalbos sistema;
(43)
siekiant užtikrinti, kad kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos paslaugos atitiktų šiame reglamente nustatytus reikalavimus, atitikties vertinimus turėtų atlikti atitikties vertinimo įstaiga, o po to parengtas atitikties įvertinimo ataskaitas kvalifikuotų patikimumo užtikrinimo paslaugų teikėjai turėtų pateikti priežiūros įstaigai. Kiekvieną kartą reikalaudama, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas pateiktų ad hoc atitikties vertinimo ataskaitą, priežiūros įstaiga turėtų visų pirma laikytis gero administravimo principų, įskaitant pareigą pagrįsti savo sprendimus, taip pat laikytis proporcingumo principo. Todėl priežiūros įstaiga turėtų deramai pagrįsti sprendimą reikalauti ad hoc atitikties vertinimo;
(44)
šiuo reglamentu siekiama užtikrinti nuoseklią sistemą, kad būtų pasiektas aukštas patikimumo užtikrinimo paslaugų apsaugos ir teisinio tikrumo lygis. Šiuo požiūriu Komisija, spręsdama produktų ir paslaugų atitikties vertinimo klausimus, turėtų, jei taikytina, ieškoti sąveikos su šiuo metu taikomais susijusiais Europos ir tarptautiniais modeliais, kaip antai Europos Parlamento ir Tarybos reglamentu (EB) Nr. 765/2008 (9), kuriuo nustatomi atitikties vertinimo įstaigų akreditavimo ir produktų rinkos priežiūros reikalavimai;
(45)
kad būtų galima užtikrinti veiksmingą inicijavimo procesą, kuriuo kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos turėtų būti įtraukiami į patikimus sąrašus, turėtų būti paskatintas numatomų kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų ir kompetentingos priežiūros įstaigos preliminarus bendravimas, siekiant sudaryti palankesnes sąlygas deramam stropumui, kuris būtinas teikiant kvalifikuotas patikimumo užtikrinimo paslaugas;
(46)
patikimi sąrašai yra labai svarbūs tam, kad būtų įgyjamas rinkos dalyvių tarpusavio pasitikėjimas, nes juose, atliekant priežiūrą, nurodomas paslaugos teikėjo kvalifikacijos statusas;
(47)
pasitikėjimas internetinėmis paslaugomis ir tų paslaugų patogumas yra būtini, kad naudotojai galėtų visapusiškai naudotis ir sąmoningai pasitikėti elektroninėmis paslaugomis. Šiuo tikslu turėtų būti sukurtas ES pasitikėjimo ženklas, kad būtų galima atpažinti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų teikiamas kvalifikuotas patikimumo užtikrinimo paslaugas,. Tokiu ES pasitikėjimo ženklu kvalifikuotos patikimumo užtikrinimo paslaugos būtų akivaizdžiai atskirtos nuo kitų patikimumo užtikrinimo paslaugų, taip prisidedant prie rinkos skaidrumo. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ES pasitikėjimo ženklą turėtų naudoti savanoriškai ir dėl tokio naudojimo neturėtų atsirasti kitų, nei šiame reglamente numatytų, reikalavimų;
(48)
nors siekiant užtikrinti abipusį elektroninių parašų pripažinimą būtinas aukštas saugumo lygis, tam tikrais atvejais, kaip antai susijusiais su Komisijos sprendimu 2009/767/EB (10), taip pat turėtų būti priimami elektroniniai parašai, kuriais užtikrinamas žemesnio lygio saugumas;
(49)
šiuo reglamentu turėtų būti nustatytas principas, kad negalima atsisakyti pripažinti elektroninio parašo teisinės galios tik dėl to, kad parašas yra elektroninis arba kad jis neatitinka kvalifikuoto elektroninio parašo reikalavimų. Tačiau elektroninių parašų teisinė galia turi būti reglamentuojama nacionalinės teisės aktuose, išskyrus šiame reglamente numatytus reikalavimus, pagal kuriuos kvalifikuoto elektroninio parašo teisinė galia turėtų būti lygiavertė rašytiniam parašui;
(50)
kadangi valstybių narių kompetentingos institucijos dabar naudoja įvairaus formato pažangiuosius elektroninius parašus savo dokumentams pasirašyti elektroniniu būdu, būtina užtikrinti, kad valstybės narės, priimdamos elektroniniu būdu pasirašytus dokumentus, gebėtų techniškai apdoroti bent keletą pažangiojo elektroninio parašo formatų. Atitinkamai, kai valstybių narių kompetentingos institucijos naudoja pažangiuosius elektroninius spaudus, reikėtų užtikrinti, kad jos gebėtų patvirtinti bent kelių formatų pažangiuosius elektroninius spaudus;
(51)
pasirašančiam asmeniui turėtų būti sudaryta galimybė kvalifikuotų elektroninio parašo kūrimo įtaisų priežiūrą pavesti trečiajai šaliai su sąlyga, kad įdiegti tinkami mechanizmai ir procedūros, skirti užtikrinti, jog elektroninio parašo kūrimo duomenų naudojimą kontroliuoja tik pasirašantis asmuo ir kad naudojant įtaisą laikomasi kvalifikuotam elektroniniam parašui keliamų reikalavimų;
(52)
nuotolinių elektroninių parašų kūrimas, kai šio elektroninio parašo kūrimo aplinką valdo patikimumo užtikrinimo paslaugos teikėjas pasirašančio asmens vardu, turėtų plėstis dėl įvairiapusės jo ekonominės naudos. Vis dėlto siekiant užtikrinti, kad tokie elektroniniai parašai būtų teisiškai pripažįstami taip pat kaip ir vien vartotojo valdomoje aplinkoje sukurti elektroniniai parašai, nuotolinio elektroninio parašo paslaugos teikėjai turėtų taikyti konkrečias valdymo bei administracines saugumo procedūras ir naudoti patikimas sistemas bei produktus, įskaitant saugius elektroninius ryšių kanalus, siekiant užtikrinti, kad elektroninio parašo kūrimo aplinka būtų patikima ir kad ji būtų naudojama prižiūrint vien pasirašančiam asmeniui. Kai kvalifikuotas elektroninis parašas sukurtas naudojant nuotolinio elektroninio parašo kūrimo įtaisą, turėtų būti taikomi šiame reglamente nustatyti kvalifikuotiems patikimumo užtikrinimo paslaugos teikėjams keliami reikalavimai;
(53)
kvalifikuotų sertifikatų galiojimo sustabdymas yra įprasta patikimumo paslaugų teikėjų darbo praktika keliose valstybėse narėse; tai nėra atšaukimas ir dėl to sertifikatas laikinai netenka galios. Siekiant užtikrinti teisinį tikrumą, visada turi būti aiškiai nurodytas sertifikato statusas - galiojimas sustabdytas. Tuo tikslu patikimumo užtikrinimo paslaugų teikėjai turėtų būti atsakingi už tai, kad būtų aiškiai nurodytas sertifikato statusas, o galiojimo sustabdymo atveju - konkretus laikotarpis, kuriuo sertifikato galiojimas sustabdytas. Šiuo reglamentu neturėtų būti nustatoma, kad patikimumo užtikrinimo paslaugų teikėjai ar valstybės narės privalo taikyti sustabdymą, tačiau turėtų būti nustatytos skaidrumo taisyklės, kada ir kokiais atvejais galima taikyti tokią praktiką;
(54)
tarpvalstybinis sąveikumas ir kvalifikuotų sertifikatų pripažinimas yra tarpvalstybinio kvalifikuotų elektroninių parašų pripažinimo prielaida. Todėl kvalifikuotiems sertifikatams neturėtų būti taikoma jokių privalomų reikalavimų, viršijančių šiame reglamente nustatytus reikalavimus. Vis dėlto nacionaliniu lygiu kvalifikuotuose sertifikatuose turėtų būti leidžiama naudoti specifinius požymius, kaip antai unikalius atpažinimo ženklus, su sąlyga, kad tokie specifiniai požymiai netrukdo tarpvalstybiniam sąveikumui ir kvalifikuotų sertifikatų bei elektroninių parašų pripažinimui;
(55)
IT saugumo sertifikavimas, grindžiamas tarptautiniais standartais tokiais kaip antai ISO 15408 bei atitinkamais vertinimo metodais ir abipusio pripažinimo susitarimais, yra svarbi priemonė siekiant patikrinti kvalifikuotų elektroninio parašo kūrimo įtaisų saugumą ir jis turėtų būti skatinamas. Vis dėlto novatoriški sprendimai ir paslaugos, kaip antai mobilusis elektroninis parašas ir debesijos elektroninis parašas, yra paremti kvalifikuotų elektroninio parašo kūrimo įtaisų, kurių saugumo standartų dar gali ir nebūti arba dar tik vyksta pirmasis IT saugumo sertifikavimas, techniniu ir organizaciniu sprendimu. Tokių kvalifikuotų elektroninio parašo kūrimo įtaisų saugumo lygis galėtų būti įvertintas taikant alternatyvius procesus tik tuo atveju, kai tokių saugumo standartų dar nėra ir kai vyksta pirmasis IT saugumo sertifikavimas. Tie procesai turėtų būti panašūs į IT saugumo sertifikavimo standartus tiek, kad jų saugumo lygiai būtų lygiaverčiai. Tuos procesus galėtų palengvinti tarpusavio vertinimas;
(56)
šiame reglamente turėtų būti nustatyti kvalifikuotiems elektroninio parašo kūrimo įtaisams keliami reikalavimai, siekiant užtikrinti pažangiųjų elektroninių parašų funkcionalumą. Šis reglamentas neturėtų būti taikomas visai sistemos aplinkai, kurioje veikia tokia įranga. Todėl kvalifikuotų parašo kūrimo įtaisų sertifikavimas turėtų būti taikomas tik aparatinei ir sistemos programinei įrangai, naudojamai parašo kūrimo įtaisų sukurtiems, saugomiems arba apdorotiems parašo kūrimo duomenims valdyti ir juos apsaugoti. Kaip išsamiai nurodyta atitinkamuose standartuose, sertifikavimo pareiga neturėtų būti taikoma parašo kūrimo taikomosioms programoms;
(57)
siekiant užtikrinti parašo galiojimo teisinį tikrumą, labai svarbu išsamiai nurodyti, kokias kvalifikuoto elektroninio parašo sudedamąsias dalis turėtų įvertinti galiojimą tvirtinanti pasikliaujančioji šalis. Be to, reikalavimų nustatymas kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams, kurie gali teikti kvalifikuotą galiojimo patvirtinimo paslaugą pasikliaujančiosioms šalims, kurios pačios nenori arba negali atlikti kvalifikuotų elektroninių parašų galiojimo patvirtinimo, turėtų paskatinti privatųjį ir viešąjį sektorių investuoti į tokias paslaugas. Įgyvendinus abu šiuos elementus, kvalifikuoto elektroninio parašo galiojimo patvirtinimas Sąjungos lygmeniu turėtų tapti lengvas ir patogus visoms šalims;
(58)
kai operacijai atlikti reikalingas juridinio asmens kvalifikuotas elektroninis spaudas, lygiai taip pat turėtų būti priimamas to juridinio asmens įgaliotojo atstovo kvalifikuotas elektroninis parašas;
(59)
elektroniniai spaudai turėtų būti įrodymas, kad elektroninį dokumentą išdavė juridinis asmuo, užtikrinant dokumento kilmę ir vientisumą;
(60)
kvalifikuotus elektroninių spaudų sertifikatus išduodantys patikimumo užtikrinimo paslaugų teikėjai turėtų įgyvendinti priemones, būtinas nustatyti fizinio asmens, atstovaujančio juridiniam asmeniui, kuriam suteiktas kvalifikuotas elektroninio spaudo sertifikatas, tapatybę, kai toks tapatybės nustatymas būtinas nacionaliniu lygiu, atsižvelgiant į teismo ar administracinius procesus;
(61)
šiuo reglamentu turėtų būti užtikrinta ilgalaikis informacijos išsaugojimas, t. y. siekiant užtikrinti elektroninio parašo ir elektroninių spaudų teisinį galiojimą ilgą laiką ir garantuoti, kad jų galiojimas būtų patvirtintas nepaisant būsimų technologinių pokyčių;
(62)
siekiant užtikrinti kvalifikuotų elektroninių laiko žymų saugumą, šiuo reglamentu turėtų būti reikalaujama naudoti pažangųjį elektroninį spaudą arba pažangųjį elektroninį parašą arba kitus lygiaverčius metodus. Numatoma, kad dėl inovacijų gali atsirasti naujos technologijos, kuriomis būtų galima užtikrinti lygiavertį laiko žymų saugumo lygį. Kai naudojamas kitas, ne pažangiojo elektroninio spaudo ar pažangiojo elektroninio parašo, metodas, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai atitikties turėtų įvertinimo ataskaitose įrodyti, kad tokiu metodu užtikrinamas lygiavertis saugumo lygis ir laikomasi šiame reglamente nustatytų pareigų;
(63)
elektroniniai dokumentai yra svarbūs tolesnei tarpvalstybinių elektroninių operacijų vidaus rinkoje plėtrai. Šiame reglamente turėtų būti nustatomas principas, kad negalima atsisakyti pripažinti elektroninio dokumento teisinės galios tik dėl to, kad dokumentas yra elektroninis siekiant užtikrinti, kad elektroninė operacija nebūtų atmesta tik dėl to, kad dokumentas yra elektroninis;
(64)
spręsdama pažangiųjų elektroninių parašų ir spaudų formatų klausimus, Komisija turėtų remtis šiuo metu taikoma praktika, standartais ir teisės aktais, ypač Komisijos sprendimu 2011/130/ES (11);
(65)
be juridinio asmens išduoto dokumento tapatumo nustatymo, elektroniniai spaudai gali būti naudojami siekiant nustatyti bet kokio juridinio asmens skaitmeninio turto, kaip antai programinės įrangos kodo ar serverių, tapatumą;
(66)
būtina numatyti teisinį pagrindą, kad būtų sudaromos palankesnės sąlygos tarpvalstybiniam esamų nacionalinių teisės sistemų, susijusių su elektroninio registruoto pristatymo paslaugomis, pripažinimui. Be to, ta sistema galėtų atverti naujas rinkos galimybes Sąjungos patikimumo užtikrinimo paslaugų teikėjams siūlyti naujas Europos masto elektroninio registruoto pristatymo paslaugas;
(67)
naudodamasis interneto svetainių tapatumo nustatymo paslaugomis interneto svetainės lankytojas gali būti tikras, kad interneto svetainė priklauso tikram ir teisėtam subjektui. Tos paslaugos prisideda prie pasitikėjimo kūrimo ir suteikia drąsos vykdyti verslą internetu, nes vartotojai pasitikės interneto svetaine, kurios tapatumas nustatytas. Interneto svetainės tapatumo nustatymo paslaugų teikimas ir naudojimas yra visiškai savanoriškas. Vis dėlto norint, kad interneto svetainės tapatumo nustatymas taptų pasitikėjimo didinimo priemone, kuri pagerintų vartotojo patirtį ir toliau skatintų vidaus rinkos augimą, šiame reglamente teikėjams ir jų paslaugoms turėtų būti nustatytos minimalios saugumo ir atsakomybės pareigos. Tuo tikslu buvo atsižvelgta į šiuo metu sektoriuje įgyvendinamų iniciatyvų, pavyzdžiui, Sertifikavimo institucijų ir naršyklių verslo forumo - CA/B Forumas rezultatus. Be to, šiuo reglamentu neturėtų būti trukdoma naudoti kitų interneto svetainės tapatumo nustatymo priemonių ar metodų, kuriems netaikomas šis reglamentas, ir kliudoma trečiųjų valstybių interneto svetainės tapatumo nustatymo paslaugų teikėjams teikti savo paslaugas Sąjungoje esantiems klientams. Vis dėlto trečiosios valstybės teikėjo interneto svetainės tapatumo nustatymo paslaugos turėtų būti pripažintos kvalifikuotomis pagal šį reglamentą, tik jeigu Sąjunga ir valstybė, kurioje įsisteigęs teikėjas, yra sudariusios tarptautinį susitarimą;
(68)
remiantis Sutarties dėl Europos Sąjungos veikimo (toliau - SESV) nuostatomis dėl įsisteigimo pagal juridinių asmenų sąvoką veiklos vykdytojai gali laisvai pasirinkti teisinę formą, kuri, jų manymu, yra tinkama jų veiklai vykdyti. Todėl juridiniai asmenys, kaip apibrėžta SESV, yra visi subjektai, kurie yra įsteigti pagal valstybės narės teisės aktus arba kurie yra reglamentuojami tokiais teisės aktais, neatsižvelgiant į jų teisinę formą;
(69)
Sąjungos institucijos, įstaigos ir agentūros administracinio bendradarbiavimo tikslu yra skatinamos pripažinti elektroninę atpažintį ir patikimumo užtikrinimo paslaugas, kurioms taikomas šis reglamentas, remiantis visų pirma esama gerąja praktika ir šiuo metu vykdomų projektų rezultatais srityse, kurioms taikomas šis reglamentas;
(70)
siekiant lanksčiai ir greitai papildyti tam tikrus šio reglamento išsamius techninius aspektus, pagal SESV 290 straipsnį Komisijai turėtų būti deleguoti įgaliojimai priimti aktus dėl kriterijų, kuriuos turi atitikti už kvalifikuotų elektroninio parašo kūrimo įtaisų sertifikavimą atsakingos įstaigos. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais. Atlikdama su deleguotaisiais aktais susijusį parengiamąjį darbą ir rengdama jų tekstus Komisija turėtų užtikrinti, kad atitinkami dokumentai būtų vienu metu, laiku ir tinkamai perduodami Europos Parlamentui ir Tarybai;
(71)
siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai, visų pirma tam, kad ji nurodytų standartų, kurių laikantis būtų suteikiama prezumpcija dėl atitikties tam tikriems šiame reglamente nustatytiems reikalavimams užtikrinimo, referencinius numerius. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011 (12);
(72)
priimdama deleguotuosius arba įgyvendinimo aktus Komisija turėtų deramai atsižvelgti į Europos ir tarptautinių standartizacijos organizacijų ir įstaigų, visų pirma Europos standartizacijos komiteto (CEN), Europos telekomunikacijų standartų instituto (ETSI), Tarptautinės standartizacijos organizacijos (ISO) ir Tarptautinės telekomunikacijų sąjungos (ITU) parengtus standartus bei technines specifikacijas, kad būtų užtikrintas aukštas elektroninės atpažinties ir patikimumo užtikrinimo paslaugų saugumo lygis;
(73)
dėl teisinio tikrumo ir aiškumo Direktyva 1999/93/EB turėtų būti panaikinta;
(74)
siekiant užtikrinti teisinį tikrumą rinkos dalyviams, kurie jau naudoja pagal Direktyvą 1999/93/EB fiziniams asmenims išduotus kvalifikuotus sertifikatus, reikia numatyti pakankamą pereinamąjį laikotarpį. Lygiai taip pat reikėtų nustatyti pereinamojo laikotarpio priemones dėl pažangaus parašo kūrimo įtaisų, kurių atitiktis buvo nustatyta pagal Direktyvą 1999/93/EB, ir pereinamojo laikotarpio priemones sertifikavimo paslaugų teikėjams, kurie išduos sertifikatus anksčiau nei 2016 m. liepos 1 d. Galiausiai, taip pat reikia suteikti Komisijai galimybę iki tos datos priimti įgyvendinimo ir deleguotuosius aktus;
(75)
šiame reglamente nustatyti taikymo terminai nedaro poveikio jau turimiems valstybių narių įsipareigojimams pagal Sąjungos teisę, visų pirma pagal Direktyvą 2006/123/EB;
(76)
kadangi šio reglamento tikslų, valstybės narės negali deramai pasiekti, o dėl siūlomo veiksmo masto ir poveikio tų tikslų būtų geriau siekti Sąjungos lygiu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali priimti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šiuo reglamentu neviršijama to, kas būtina tiems tikslams pasiekti;
(77)
vadovaujantis Europos Parlamento ir Tarybos reglamento (EB) Nr. 45/2001 (13) 28 straipsnio 2 dalimi buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu, kuris pateikė nuomonę 2012 m. rugsėjo 27 d. (14),
PRIĖMĖ ŠĮ REGLAMENTĄ:
I SKYRIUS
BENDROSIOS NUOSTATOS
1 straipsnis
Dalykas
Siekiant užtikrinti tinkamą vidaus rinkos veikimą, kartu siekiant tinkamo elektroninės atpažinties priemonių ir patikimumo užtikrinimo paslaugų saugumo lygio, šiuo reglamentu:
a)
nustatomos sąlygos, kuriomis valstybės narės pripažįsta fizinių ir juridinių asmenų elektroninės atpažinties priemones, kurioms taikoma kitos valstybės narės elektroninės atpažinties schema, apie kurią pranešta;
b)
nustatomos patikimumo užtikrinimo paslaugų, visų pirma elektroninių operacijų, taisyklės, ir
c)
nustatoma elektroninių parašų, elektroninių spaudų, elektroninių laiko žymų, elektroninių dokumentų, elektroninio registruoto pristatymo paslaugų ir interneto svetainių tapatumo nustatymo sertifikavimo paslaugų teisinė sistema.
2 straipsnis
Taikymo sritis
1. Šis reglamentas taikomas elektroninės atpažinties schemoms, apie kurias pranešė valstybė narė, ir Sąjungoje įsisteigusiems patikimumo užtikrinimo paslaugų teikėjams.
2. Šis reglamentas netaikomas patikimumo užtikrinimo paslaugų, kuriomis naudojamasi tik uždarose sistemose, sukurtose pagal nacionalinės teisės aktus arba apibrėžtose dalyvių grupės susitarimais, teikimui.
3. Šis reglamentas nedaro poveikio nacionalinės arba Sąjungos teisės aktams, susijusiems su sutarčių sudarymu arba kitų teisinių ar procedūrinių pareigų nustatymu ir šių sutarčių bei pareigų galiojimu, susijusių su forma.
3 straipsnis
Terminų apibrėžtys
Šiame reglamente vartojamų terminų apibrėžtys:
1. elektroninė atpažintis- elektroninių asmens tapatybės duomenų, kuriais nurodomas konkretus fizinis ar juridinis asmuo arba juridiniam asmeniui atstovaujantis fizinis asmuo, naudojimo procesas;
2. elektroninės atpažinties priemonė- materialus ir (arba) nematerialus objektas su asmens tapatybės duomenimis, naudojamas internetinės paslaugos tapatumui nustatyti;
3. asmens tapatybės duomenys- duomenų rinkinys, pagal kurį galima nustatyti fizinio ar juridinio asmens arba juridiniam asmeniui atstovaujančio fizinio asmens tapatybę;
4. elektroninės atpažinties schema- elektroninės atpažinties sistema, pagal kurią fiziniams ar juridiniams asmenims arba juridiniams asmenims atstovaujantiems fiziniams asmenims išduodamos elektroninės atpažinties priemonės;
5. tapatumo nustatymas- elektroninis procesas, leidžiantis patvirtinti fizinio arba juridinio asmens elektroninę atpažintį arba elektroninės formos duomenų kilmę ir vientisumą;
6. pasikliaujančioji šalis- fizinis arba juridinis asmuo, kuris pasikliauja elektronine atpažintimi ar patikimumo užtikrinimo paslauga;
7. viešojo sektoriaus įstaiga- valstybės, regioninė arba vietos valdžios institucija, viešosios teisės reglamentuojama įstaiga ar vienos arba kelių tokių institucijų arba vienos ar kelių tokių viešosios teisės reglamentuojamų įstaigų sudaryta asociacija arba bent vienos iš šių institucijų, įstaigų ar asociacijų teikti viešąsias paslaugas įgaliotas privatusis subjektas, kai jis veikia pagal tokį įgaliojimą;
8. viešosios teisės reglamentuojamas subjektas- subjektas, kaip apibrėžta Europos Parlamento ir Tarybos direktyvos 2014/24/ES (15) 2 straipsnio 1 dalies 4 punkte;
9. pasirašantis asmuo- fizinis asmuo, kuris sukuria elektroninį parašą;
10. elektroninis parašas- elektroninės formos duomenys, kurie yra prijungti prie kitų elektroninės formos duomenų arba logiškai susieti su jais ir kuriuos pasirašantis asmuo naudoja pasirašydamas;
11. pažangusis elektroninis parašas- elektroninis parašas, atitinkantis 26 straipsnyje nustatytus reikalavimus;
12. kvalifikuotas elektroninis parašas- pažangusis elektroninis parašas, sukurtas naudojant kvalifikuotą elektroninio parašo kūrimo įtaisą ir patvirtintas kvalifikuotu elektroninio parašo sertifikatu;
13. elektroninio parašo kūrimo duomenys- unikalūs duomenys, kuriuos pasirašantis asmuo naudoja kurdamas elektroninį parašą;
14. elektroninio parašo sertifikatas- elektroninis liudijimas, kuriuo elektroninio parašo patvirtinimo duomenys susiejami su fiziniu asmeniu ir kuriuo patvirtinamas bent to asmens vardas ir pavardė arba slapyvardis;
15. kvalifikuotas elektroninio parašo sertifikatas- elektroninio parašo sertifikatas, kurį išduoda kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir kuris atitinka I priede nustatytus reikalavimus;
16. patikimumo užtikrinimo paslauga- elektroninė paslauga, kuri paprastai teikiama už atlygį ir kurią sudaro:
a)
elektroninių parašų, elektroninių spaudų arba elektroninių laiko žymų kūrimas, patikrinimas ir patvirtinimas, elektroninio registruoto pristatymo paslaugos ir su tomis paslaugomis susiję sertifikatai arba
b)
interneto svetainių tapatumo nustatymo sertifikatų kūrimas, patikrinimas ir patvirtinimas, arba
c)
elektroninių parašų, spaudų arba su tomis paslaugomis susijusių sertifikatų ilgalaikis išsaugojimas;
17. kvalifikuota patikimumo užtikrinimo paslauga- šiame reglamente nustatytus taikytinus reikalavimus atitinkanti patikimumo užtikrinimo paslauga;
18. atitikties vertinimo įstaiga- Reglamento (EB) Nr. 765/2008 2 straipsnio 13 punkte apibrėžta įstaiga, pagal tą reglamentą akredituota kaip kompetentinga įstaiga atlikti kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo ir jo teikiamų kvalifikuotų patikimumo užtikrinimo paslaugų atitikties vertinimą;
19. patikimumo užtikrinimo paslaugų teikėjas- fizinis arba juridinis asmuo, teikiantis vieną arba daugiau patikimumo užtikrinimo paslaugų arba kaip kvalifikuotas, arba kaip nekvalifikuotas patikimumo užtikrinimo paslaugų teikėjas;
20. kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas- patikimumo užtikrinimo paslaugų teikėjas, teikiantis vieną ar daugiau kvalifikuotų patikimumo užtikrinimo paslaugų, kuriam priežiūros įstaiga yra suteikusi kvalifikacijos statusą;
21. produktas- aparatinė arba programinė įranga, arba svarbios aparatinės arba programinės įrangos sudedamosios dalys, skirtos naudoti teikiant patikimumo užtikrinimo paslaugas;
22. elektroninio parašo kūrimo įtaisas- sukonfigūruota programinė arba aparatinė įranga, naudojama elektroniniam parašui kurti;
23. kvalifikuotas elektroninio parašo kūrimo įtaisas- elektroninio parašo kūrimo įtaisas, atitinkantis II priede nustatytus reikalavimus;
24. spaudo kūrėjas- juridinis asmuo, kuris sukuria elektroninį spaudą;
25. elektroninis spaudas- elektroninės formos duomenys, prijungti prie kitų elektroninės formos duomenų arba su jais logiškai susieti, kad būtų užtikrinta pastarųjų kilmė ir vientisumas;
26. pažangusis elektroninis spaudas- elektroninis spaudas, atitinkantis 36 straipsnyje nustatytus reikalavimus;
27. kvalifikuotas elektroninis spaudas- pažangusis elektroninis spaudas, sukurtas naudojant kvalifikuotą elektroninio spaudo kūrimo įtaisą ir patvirtintas kvalifikuotu elektroninio spaudo sertifikatu;
28. elektroninio spaudo kūrimo duomenys- unikalūs duomenys, kuriuos elektroninio spaudo kūrėjas naudoja kurdamas elektroninį spaudą;
29. elektroninio spaudo sertifikatas- elektroninis liudijimas, kuriuo elektroninio spaudo patvirtinimo duomenys susiejami su juridiniu asmeniu ir kuriuo patvirtinamas to asmens pavadinimas;
30. kvalifikuotas elektroninio spaudo sertifikatas- elektroninio spaudo sertifikatas, kurį išduoda kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir kuris atitinka III priede nustatytus reikalavimus;
31. elektroninio spaudo kūrimo įtaisas- sukonfigūruota programinė arba aparatinė įranga, naudojama elektroniniam spaudui kurti;
32. kvalifikuotas elektroninio spaudo kūrimo įtaisas- elektroninio spaudo kūrimo įtaisas, atitinkantis mutatis mutandis II priede nustatytus reikalavimus;
33. elektroninė laiko žyma- elektroninės formos duomenys, kuriais kiti elektroninės formos duomenys susiejami su tam tikru laiku ir taip sukuriamas įrodymas, kad pastarieji egzistavo tuo metu;
34. kvalifikuota elektroninė laiko žyma- elektroninė laiko žyma, atitinkanti 42 straipsnyje nustatytus reikalavimus;
35. elektroninis dokumentas- bet koks turinys, saugomas elektronine forma, visų pirma tekstas ar garsas, vaizdo arba garso ir vaizdo įrašas;
36. elektroninio registruoto pristatymo paslauga- paslauga, kuria sudaroma galimybė perduoti duomenis elektroninėmis priemonėmis tarp trečiųjų šalių ir kuria suteikiama su perduodamų duomenų tvarkymu susijusių įrodymų, įskaitant duomenų išsiuntimo ir gavimo įrodymą, ir kuria perduodami duomenys apsaugomi nuo praradimo, vagystės, sugadinimo arba neteisėto pakeitimo rizikos;
37. kvalifikuota elektroninio registruoto pristatymo paslauga- elektroninio registruoto pristatymo paslauga, atitinkanti 44 straipsnyje nustatytus reikalavimus;
38. interneto svetainės tapatumo nustatymo sertifikatas- liudijimas, suteikiantis galimybę nustatyti interneto svetainės tapatumą ir susiejantis interneto svetainę su fiziniu ar juridiniu asmeniu, kuriam buvo išduotas sertifikatas;
39. kvalifikuotas interneto svetainės tapatumo nustatymo sertifikatas- interneto svetainės tapatumo nustatymo sertifikatas, kurį išduoda kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir kuris atitinka IV priede nustatytus reikalavimus;
40. patvirtinimo duomenys- duomenys, naudojami patvirtinti elektroninio parašo arba elektroninio spaudo galiojimą;
41. patvirtinimas- patikrinimo ir patvirtinimo, kad elektroninis parašas ar spaudas galioja, procedūra.
4 straipsnis
Vidaus rinkos principas
1. Dėl priežasčių, kurios patenka į šio reglamento reglamentuojamas sritis, valstybės narės teritorijoje patikimumo užtikrinimo paslaugas patikimumo užtikrinimo paslaugų teikėjas, įsisteigęs kitoje valstybėje narėje, gali teikti be apribojimų.
2. Šį reglamentą atitinkančius produktus ir patikimumo užtikrinimo paslaugas leidžiama laisvai platinti vidaus rinkoje.
5 straipsnis
Duomenų tvarkymas ir apsauga
1. Asmens duomenys tvarkomi laikantis Direktyvos 95/46/EB.
2. Nedarant poveikio slapyvardžiams suteiktai teisinei galiai pagal nacionalinę teisę, vykdant elektronines operacijas nedraudžiama naudoti slapyvardžių.
II SKYRIUS
ELEKTRONINĖ ATPAŽINTIS
6 straipsnis
Abipusis pripažinimas
1. Kai pagal nacionalinės teisės aktus arba nacionalinę administracinę praktiką reikalaujama, kad norint vienoje valstybėje narėje pasinaudoti viešojo sektoriaus įstaigos teikiama internetine paslauga būtina užtikrinti elektroninę atpažintį naudojant elektronines atpažinties priemones ir tapatumo nustatymą, tos internetinės paslaugos tarpvalstybinio tapatumo nustatymo tikslais pirmojoje valstybėje narėje pripažįstamos kitoje valstybėje narėje išduotos elektroninės atpažinties priemonės, su sąlyga, kad įvykdomos šios sąlygos:
a)
elektroninės atpažinties priemonė yra išduota pagal elektroninės atpažinties schemą, kuri yra įtraukta į Komisijos pagal 9 straipsnį skelbiamą sąrašą;
b)
elektroninės atpažinties priemonės saugumo užtikrinimo lygis atitinka saugumo užtikrinimo lygį, kuris yra lygiavertis saugumo užtikrinimo lygiui, kurio reikalauja atitinkama viešojo sektoriaus įstaiga, kad būtų galima pasinaudoti ta internetine paslauga pirmojoje valstybėje narėje, arba yra už jį aukštesnis, su sąlyga, kad tos elektroninės atpažinties priemonės saugumo užtikrinimo lygis atitinka pakankamą arba aukštą saugumo užtikrinimo lygį;
c)
atitinkama viešojo sektoriaus įstaiga taiko pakankamą arba aukštą saugumo užtikrinimo lygį galimybės naudotis ta internetine paslauga atžvilgiu.
Toks pripažinimas atliekamas ne vėliau kaip per 12 mėnesių po to, kai Komisija paskelbia sąrašą, nurodytą pirmos pastraipos a punkte.
2. Elektroninės atpažinties priemonė, išduota pagal į Komisijos pagal 9 straipsnį paskelbtą sąrašą įtrauktą elektroninės atpažinties schemą ir atitinkanti žemą saugumo užtikrinimo lygį, gali būti viešojo sektoriaus įstaigų pripažįstama tų įstaigų teikiamos internetinės paslaugos tarpvalstybinio tapatumo nustatymo tikslais.
7 straipsnis
Pranešimo apie elektroninės atpažinties schemas atitiktis reikalavimams
Elektroninės atpažinties schema atitinka pranešimo apie ją pagal 9 straipsnio 1 dalį reikalavimus, su sąlyga, kad įvykdomos visos šios sąlygos:
a)
elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą yra išduotos:
i)
pranešančiosios valstybės narės;
ii)
pagal pranešančiosios valstybės narės suteiktą įgaliojimą ar
iii)
nepriklausomai nuo pranešančiosios valstybės narės ir yra tos valstybės narės pripažintos;
b)
elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą gali būti naudojamos norint pasinaudoti bent viena viešojo sektoriaus įstaigos teikiama paslauga, kuria reikalaujama užtikrinti elektroninę atpažintį pranešančiojoje valstybėje narėje;
c)
elektroninės atpažinties schema ir pagal ją išduodamos elektroninės atpažinties priemonės tenkina bent vieno iš saugumo užtikrinimo lygių reikalavimus, nustatytus 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;
d)
pranešančioji valstybė narė užtikrina, kad asmens tapatybės duomenys, kuriais nurodomas konkretus atitinkamas asmuo, būtų susieti su 3 straipsnio 1 punkte nurodytu fiziniu arba juridiniu asmeniu elektroninės atpažinties priemonės išdavimo pagal tą schemą metu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;
e)
elektroninę atpažinties priemonę pagal tą schemą išduodanti šalis užtikrina, kad elektroninė atpažinties priemonė būtų susieta su šio straipsnio d punkte nurodytu asmeniu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;
f)
pranešančioji valstybė narė užtikrina tapatumo nustatymo internete galimybę, kad bet kuri pasikliaujančioji šalis, įsteigta kitos valstybės narės teritorijoje, galėtų patvirtinti gautus elektroninės formos asmens tapatybės duomenis.
Pasikliaujančiosioms šalims, kurios nėra viešojo sektoriaus įstaigos, pranešančioji valstybė narė gali nustatyti naudojimosi ta tapatumo nustatymo galimybe tvarką. Tarpvalstybinis tapatumo nustatymas yra nemokamas, kai jis susijęs su viešojo sektoriaus įstaigos teikiama internetine paslauga.
Valstybės narės nenustato pasikliaujančiosioms šalims, kurios ketina atlikti tokį tapatumo nustatymą, jokių specialių neproporcingų techninių reikalavimų, kai dėl tokių reikalavimų užkertamas kelias arba kyla esminių kliūčių elektroninės atpažinties schemų, apie kurias pranešta, sąveikumui;
g)
bent prieš šešis mėnesius iki pranešimo pagal 9 straipsnio 1 dalį pranešančioji valstybė narė kitoms valstybėms narėms 12 straipsnio 5 dalyje nustatytos pareigos įvykdymo tikslais pateikia tos schemos aprašymą pagal procedūrines sąlygas, nustatytas 12 straipsnio 7 dalyje nurodytuose įgyvendinimo aktuose;
h)
elektroninės atpažinties schema atitinka 12 straipsnio 8 dalyje nurodytame įgyvendinimo akte nustatytus reikalavimus.
8 straipsnis
Elektroninės atpažinties schemų saugumo užtikrinimo lygiai
1. Elektroninės atpažinties schemoje, apie kurią pranešta pagal 9 straipsnio 1 dalį, apibrėžiami elektroninės atpažinties priemonių, išduodamų pagal tą schemą, žemas, pakankamas ir (arba) aukštas saugumo užtikrinimo lygiai.
2. Žemas, pakankamas ir aukštas saugumo užtikrinimo lygiai atitinkamai atitinka šiuos kriterijus:
a)
žemas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas ribotas pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis - sumažinti netinkamo pasinaudojimo tapatybe arba jos pakeitimo riziką;
b)
pakankamas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas pakankamas pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis - labai sumažinti netinkamo pasinaudojimo tapatybe arba jos pakeitimo riziką;
c)
aukštas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas aukštesnis pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis nei pakankamo saugumo užtikrinimo lygio elektroninės atpažinties priemone ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis - užkirsti kelią netinkamam pasinaudojimui tapatybe arba jos pakeitimui.
3. Ne vėliau kaip 2015 m. rugsėjo 18 d., atsižvelgdama į atitinkamus tarptautinius standartus ir laikydamasi 2 dalies, Komisija priima įgyvendinimo aktus, kuriais nustato minimalias technines specifikacijas, standartus ir procedūras, kuriomis remiantis 1 dalies tikslais apibrėžiami elektroninės atpažinties priemonių žemas, pakankamas ir aukštas saugumo užtikrinimo lygiai.
Tos minimalios techninės specifikacijos, standartai ir procedūros nustatomi remiantis tuo, ar toliau nurodyti elementai yra patikimi ir kokybiški:
a)
fizinių ar juridinių asmenų, pateikusių prašymą išduoti elektroninės atpažinties priemones, tapatybės įrodymo ir patikrinimo procedūra;
b)
prašomų elektroninės atpažinties priemonių išdavimo procedūra;
c)
tapatumo nustatymo mechanizmas, kurį taikant fizinis arba juridinis asmuo naudojasi elektroninės atpažinties priemone, kad patvirtintų pasikliaujančiajai šaliai savo tapatybę;
d)
elektroninės atpažinties priemonę išduodantis subjektas;
e)
bet kuri kita įstaiga, dalyvaujanti teikiant prašymą išduoti elektroninės atpažinties priemonę, ir
f)
išduotos elektroninės atpažinties priemonės techninės ir saugumo specifikacijos.
Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
9 straipsnis
Pranešimas
1. Pranešančioji valstybė narė praneša Komisijai toliau nurodomą informaciją ir nedelsdama informuoja apie visus vėlesnius jos pakeitimus:
a)
elektroninės atpažinties schemos, apie kurią pranešama, aprašą, įskaitant jos saugumo užtikrinimo lygius ir elektroninės atpažinties priemonių pagal schemą išdavėją ar išdavėjus;
b)
taikytiną priežiūros režimą ir informaciją apie atsakomybės režimą, susijusius su:
i)
elektroninės atpažinties priemonę išduodančia šalimi ir
ii)
tapatumo nustatymo procedūrą vykdančia šalimi;
c)
valdžios instituciją arba institucijas, atsakingas už elektroninės atpažinties schemą;
d)
informaciją apie subjektą arba subjektus, kurie tvarko unikalių asmens tapatybės duomenų registraciją;
e)
aprašymą, kaip vykdomi 12 straipsnio 8 dalyje nurodytuose įgyvendinimo aktuose nustatyti reikalavimai;
f)
7 straipsnio f punkte nurodyto tapatumo nustatymo aprašą;
g)
elektroninės atpažinties schemos, apie kurią pranešama, tapatumo nustatymo arba atitinkamų nepatikimų sudedamųjų dalių naudojimo sustabdymo arba atšaukimo nuostatas.
2. Praėjus vieneriems metams po 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos Komisija Europos Sąjungos oficialiajame leidinyje paskelbia elektroninės atpažinties schemų, apie kurias buvo pranešta pagal šio straipsnio 1 dalį, sąrašą ir pagrindinę informaciją apie šias schemas.
3. Jei Komisija gauna pranešimą pasibaigus 2 dalyje nurodytam laikotarpiui, ji per du mėnesius nuo to pranešimo gavimo dienos paskelbia Europos Sąjungos oficialiajame leidinyje 2 dalyje nurodyto sąrašo pakeitimus.
4. Valstybė narė gali pateikti Komisijai prašymą iš 2 dalyje nurodyto sąrašo išbraukti elektroninės atpažinties schemą, apie kurią pranešė ta valstybė narė. Komisija atitinkamus sąrašo pakeitimus Europos Sąjungos oficialiajame leidinyje paskelbia per vieną mėnesį nuo valstybės narės prašymo gavimo dienos.
5. Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia pranešimo teikimo pagal 1 dalį aplinkybes, formatus ir procedūras. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
10 straipsnis
Apsaugos pažeidimas
1. Kai elektroninės atpažinties schema, apie kurią pranešta pagal 9 straipsnio 1 dalį, arba 7 straipsnio f punkte nurodytas tapatumo nustatymas pažeidžiami arba jų patikimumas iš dalies sumažėja taip, kad tai turi poveikio tos schemos tarpvalstybinio tapatumo nustatymo patikimumui, pranešančioji valstybė narė nedelsdama sustabdo arba atšaukia tą tarpvalstybinį tapatumo nustatymą arba atitinkamas nepatikimas sudedamąsias dalis ir apie tai informuoja kitas valstybes nares ir Komisiją.
2. Kai 1 dalyje nurodytas pažeidimas pašalinamas ar patikimumas atkuriamas, pranešančioji valstybė narė atkuria tarpvalstybinį tapatumo nustatymą ir nepagrįstai nedelsdama apie tai praneša kitoms valstybėms narėms ir Komisijai.
3. Jei per tris mėnesius nuo sustabdymo ar atšaukimo 1 dalyje nurodytas pažeidimas nepašalinamas ar patikimumas neatkuriamas, pranešančioji valstybė narė kitoms valstybėms narėms ir Komisijai praneša apie elektroninės atpažinties schemos panaikinimą.
Atitinkamus 9 straipsnio 2 dalyje nurodyto sąrašo pakeitimus Komisija nepagrįstai nedelsdama skelbia Europos Sąjungos oficialiajame leidinyje.
11 straipsnis
Atsakomybė
1. Pranešančioji valstybė narė atsako už tyčia ar dėl neatsargumo bet kuriam fiziniam ar juridiniam asmeniui padarytą žalą dėl 7 straipsnio d ir f punktuose nustatytų pareigų nevykdymo atliekant tarpvalstybinę operaciją.
2. Elektroninės atpažinties priemonę išduodanti šalis atsako už tyčia ar dėl neatsargumo bet kuriam fiziniam ar juridiniam asmeniui padarytą žalą dėl 7 straipsnio e punkte nurodytos pareigos nevykdymo atliekant tarpvalstybinę operaciją.
3. Tapatumo nustatymo procedūrą vykdanti šalis atsako už tyčia ar dėl neatsargumo bet kuriam fiziniam arba juridiniam asmeniui padarytą žalą dėl 7 straipsnio f punkte nurodyto tinkamo tapatumo nustatymo vykdymo neužtikrinimo atliekant tarpvalstybinę operaciją.
4. 1, 2 ir 3 dalys taikomos laikantis nacionalinių atsakomybę reglamentuojančių taisyklių.
5. 1, 2 ir 3 dalys nedaro poveikio operacijos, kuriai naudojamos elektroninės atpažinties priemonės, kurioms taikoma elektroninės atpažinties schema, apie kurią pranešta pagal 9 straipsnio 1 dalį, šalių atsakomybei pagal nacionalinę teisę.
12 straipsnis
Bendradarbiavimas ir sąveikumas
1. Nacionalinės elektroninės atpažinties schemos, apie kurias pranešta pagal 9 straipsnio 1 dalį, turi būti sąveikios.
2. 1 dalies tikslais nustatoma sąveikumo sistema.
3. Sąveikumo sistema turi atitikti šiuos kriterijus:
a)
ja siekiama būti neutralia technologiniu požiūriu ir ja nediskriminuojami jokie konkretūs nacionaliniai elektroninės atpažinties techniniai sprendimai valstybėje narėje;
b)
jei įmanoma, ji atitinka Europos ir tarptautinius standartus;
c)
ja sudaromos palankios sąlygos įgyvendinti projektuojant numatytos privatumo apsaugos principą; ir
d)
ja užtikrinama, kad asmens duomenys būtų tvarkomi pagal Direktyvą 95/46/EB.
4. Sąveikumo sistemą sudaro:
a)
nuoroda į minimalius techninius reikalavimus, susijusius su 8 straipsnyje numatytais saugumo užtikrinimo lygiais;
b)
elektroninės atpažinties schemų, apie kurias pranešta, nacionalinių saugumo užtikrinimo lygių suderinimas su 8 straipsnyje numatytais saugumo užtikrinimo lygiais;
c)
nuoroda į minimalius techninius sąveikumo reikalavimus;
d)
nuoroda į minimalų asmens tapatybės duomenų, kuriais nurodomas konkretus fizinis ar juridinis asmuo, rinkinį, prieinamą pasitelkiant elektroninės atpažinties schemas;
e)
darbo tvarkos taisyklės;
f)
ginčų sprendimo tvarka; ir
g)
bendri veiklos saugumo standartai.
5. Valstybės narės bendradarbiauja šiais klausimais:
a)
dėl elektroninės atpažinties schemų, apie kurias pranešta pagal 9 straipsnio 1 dalį, ir elektroninės atpažinties schemų, apie kurias valstybės narės ketina pranešti, sąveikumo ir
b)
dėl elektroninės atpažinties schemų saugumo.
6. Valstybių narių bendradarbiavimą sudaro:
a)
keitimasis informacija, patirtimi ir gerąja praktika, susijusiomis su elektroninės atpažinties schemomis, ir visų pirma su techniniais reikalavimais, susijusiais su sąveikumu ir saugumo užtikrinimo lygiais;
b)
keitimasis informacija, patirtimi ir gerąja praktika, susijusiomis su darbu taikant 8 straipsnyje numatytus elektroninės atpažinties schemų saugumo užtikrinimo lygius;
c)
elektroninės atpažinties schemų, kurioms taikomas šis reglamentas, tarpusavio vertinimas, ir
d)
atitinkamų pokyčių elektroninės atpažinties sektoriuje nagrinėjimas.
7. Ne vėliau kaip 2015 m. kovo 18 d. Komisija priima įgyvendinimo aktus, kuriais nustato procedūrines sąlygas, būtinas sudaryti palankesnes 5 ir 6 dalyse nurodyto valstybių narių bendradarbiavimo sąlygas, siekiant skatinti aukštą pasitikėjimo lygį ir rizikos laipsnį atitinkantį saugumą.
8. Siekiant nustatyti vienodas 1 dalyje nustatyto reikalavimo įgyvendinimo sąlygas, ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, remdamasi 3 dalyje nustatytais kriterijais ir atsižvelgdama į valstybių narių bendradarbiavimo rezultatus, priima įgyvendinimo aktus dėl 4 dalyje įtvirtintos sąveikumo sistemos.
9. Šio straipsnio 7 ir 8 dalyse nurodyti įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
III SKYRIUS
PATIKIMUMO UŽTIKRINIMO PASLAUGOS
1 SKIRSNIS
Bendrosios nuostatos
13 straipsnis
Atsakomybė ir įrodinėjimo pareiga
1. Nedarant poveikio 2 daliai, patikimumo užtikrinimo paslaugų teikėjai atsako už tyčia ar dėl neatsargumo fiziniam ar juridiniam asmeniui padarytą žalą dėl pareigų pagal šį reglamentą nevykdymo.
Pareiga įrodyti nekvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčią arba neatsargumą tenka fiziniam ar juridiniam asmeniui, reikalaujančiam atlyginti pirmoje pastraipoje nurodytą žalą.
Kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčia ar neatsargumas yra prezumiuojami, nebent kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas įrodo, kad pirmoje pastraipoje nurodyta žala padaryta nesant to kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčios ar neatsargumo.
2. Kai patikimumo užtikrinimo paslaugų teikėjai iš anksto tinkamai informuoja savo klientus apie naudojimosi jų teikiamomis paslaugomis apribojimus ir kai tie apribojimai trečiosioms šalims yra atpažįstami, patikimumo užtikrinimo paslaugų teikėjai neatsako už žalą, padarytą naudojantis paslaugomis viršijant nurodytus apribojimus.
3. 1 ir 2 dalys taikomos laikantis nacionalinių atsakomybę reglamentuojančių taisyklių.
14 straipsnis
Tarptautiniai aspektai
1. Trečiojoje valstybėje įsisteigusių patikimumo užtikrinimo paslaugų teikėjų teikiamos patikimumo užtikrinimo paslaugos pripažįstamos kaip teisiškai lygiavertės Sąjungoje įsisteigusių kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms, kai patikimumo užtikrinimo paslaugos, kurių kilmės šalis yra trečioji valstybė, yra pripažįstamos pagal Sąjungos ir atitinkamos trečiosios valstybės arba tarptautinės organizacijos susitarimą pagal SESV 218 straipsnį.
2. 1 dalyje nurodytais susitarimais užtikrinama, visų pirma, kad:
a)
trečiųjų valstybių arba tarptautinių organizacijų, su kuriomis sudaryti susitarimai, patikimumo užtikrinimo paslaugų teikėjai laikytųsi Sąjungoje įsisteigusiems kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms taikomų reikalavimų;
b)
Sąjungoje įsisteigusių kvalifikuotų patikimumo užtikrinimo paslaugos teikėjų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos būtų pripažįstamos kaip teisiškai lygiavertės trečiųjų valstybių arba tarptautinių organizacijų, su kuriomis sudaryti susitarimai, patikimumo užtikrinimo paslaugų teikėjų teikiamoms patikimumo užtikrinimo paslaugoms.
15 straipsnis
Neįgaliųjų galimybės
Kai įmanoma, neįgaliesiems turi sudaroma galimybė naudotis teikiamomis patikimumo užtikrinimo paslaugomis ir teikiant tas paslaugas naudojamais galutinio vartojimo produktais.
16 straipsnis
Sankcijos
Valstybės narės nustato sankcijų, taikytinų už šio reglamento pažeidimus, taisykles. Numatytos sankcijos turi būti veiksmingos, proporcingos ir atgrasančios.
2 SKIRSNIS
Priežiūra
17 straipsnis
Priežiūros įstaiga
1. Valstybės narės paskiria jų teritorijoje įsteigtą priežiūros įstaigą arba, abipusiu sutarimu su kita valstybe nare, toje kitoje valstybėje narėje įsteigtą priežiūros įstaigą. Ta įstaiga atsako už priežiūros funkcijų vykdymą paskiriančiojoje valstybėje narėje.
Priežiūros įstaigoms suteikiami būtini įgaliojimai ir pakankamai išteklių jų funkcijoms vykdyti.
2. Valstybės narės praneša Komisijai atitinkamų jų paskirtų priežiūros įstaigų pavadinimus ir adresus.
3. Priežiūros įstaigos vaidmuo:
a)
prižiūrėti paskiriančiosios valstybės narės teritorijoje įsisteigusius kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus siekiant ex ante ir ex post priežiūros veikla užtikrinti, kad tie patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitiktų šiame reglamente nustatytus reikalavimus;
b)
vykdant ex post priežiūros veiklą, prireikus imtis veiksmų dėl paskiriančiosios valstybės narės teritorijoje įsisteigusių nekvalifikuotų patikimumo užtikrinimo paslaugų teikėjų, kai pranešama, kad tie nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ar jų teikiamos patikimumo užtikrinimo paslaugos tariamai neatitinka šiame reglamente nustatytų reikalavimų.
4. Taikant 3 dalį ir laikantis joje numatytų apribojimų, priežiūros įstaigos funkcijos yra visų pirma:
a)
bendradarbiauti su kitomis priežiūros įstaigomis ir teikti joms pagalbą pagal 18 straipsnį;
b)
analizuoti 20 straipsnio 1 dalyje ir 21 straipsnio 1 dalyje nurodytas atitikties įvertinimo ataskaitas;
c)
informuoti kitas priežiūros įstaigas ir visuomenę apie saugumo ar vientisumo pažeidimus pagal 19 straipsnio 2 dalį;
d)
vadovaujantis šio straipsnio 6 dalimi, teikti Komisijai ataskaitas apie savo pagrindinę veiklą;
e)
vykdyti auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą pagal 20 straipsnio 2 dalį;
f)
bendradarbiauti su duomenų apsaugos institucijomis, visų pirma, nepagrįstai nedelsiant jas informuojant apie kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų audito rezultatus kai tikėtina, kad buvo pažeistos asmens duomenų apsaugos taisyklės;
g)
patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms paslaugoms suteikti kvalifikacijos statusą ir jį panaikinti pagal 20 ir 21 straipsnius;
h)
pranešti 22 straipsnio 3 dalyje nurodytai už nacionalinį patikimą sąrašą atsakingai įstaigai apie savo sprendimus suteikti arba panaikinti kvalifikacijos statusą, nebent ta įstaiga taip pat būtų priežiūros įstaiga;
i)
patikrinti, ar priimtos ir teisingai taikomos nuostatos dėl nutraukimo planų tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai nutraukia savo veiklą, be kita ko, patikrinti, kaip informacija laikoma prieinama pagal 24 straipsnio 2 dalies h punktą;
j)
reikalauti, kad patikimumo užtikrinimo paslaugų teikėjai ištaisytų šiame reglamente nustatytų reikalavimų vykdymo pažeidimus.
5. Valstybės narės gali reikalauti, kad priežiūros įstaiga, laikydamasi nacionalinėje teisėje nustatytų sąlygų, sukurtų, tvarkytų ir atnaujintų patikimumo užtikrinimo infrastruktūrą.
6. Kiekviena priežiūros įstaiga kasmet ne vėliau kaip kovo 31 d. pateikia Komisijai ataskaitą apie praėjusiais kalendoriniais metais vykdytą pagrindinę veiklą kartu su pranešimų apie pažeidimus, gautų iš patikimumo užtikrinimo paslaugų teikėjų pagal 19 straipsnio 2 dalį, suvestine.
7. Komisija pateikia valstybėms narėms 6 dalyje nurodytą metinę ataskaitą.
8. Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia 6 dalyje nurodytos ataskaitos teikimo formatus ir procedūras. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
18 straipsnis
Savitarpio pagalba
1. Priežiūros įstaigos bendradarbiauja, siekdamos keistis gerąja praktika.
Priežiūros įstaiga, gavusi pagrįstą kitos priežiūros įstaigos prašymą, suteikia tai įstaigai pagalbą, kad priežiūros įstaigų veikla būtų vykdoma nuosekliai. Savitarpio pagalba visų pirma gali apimti informacijos prašymus ir priežiūros priemones, kaip antai prašymus atlikti patikras, susijusias su 20 ir 21 straipsniuose nurodytomis atitikties įvertinimo ataskaitomis.
2. Priežiūros įstaiga, kuriai teikiamas pagalbos prašymas, gali atsisakyti patenkinti tą prašymą esant kuriam nors iš šių pagrindų:
a)
priežiūros įstaiga nėra kompetentinga suteikti prašomą pagalbą;
b)
prašoma pagalba nėra proporcinga priežiūros įstaigos priežiūros veiklai, vykdomai pagal 17 straipsnį;
c)
prašomos pagalbos suteikimas būtų nesuderinamas su šiuo reglamentu.
3. Prireikus valstybės narės gali atitinkamoms savo priežiūros įstaigoms leisti atlikti bendrus tyrimus, kuriuose dalyvautų kitų valstybių narių priežiūros įstaigų darbuotojai. Dėl tokių bendrų veiksmų tvarkos ir procedūrų susitaria ir jas nustato atitinkamos valstybės narės, laikydamosi savo nacionalinės teisės aktų.
19 straipsnis
Patikimumo užtikrinimo paslaugų teikėjams keliami saugumo reikalavimai
1. Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai imasi reikiamų techninių ir organizacinių priemonių, kad būtų valdoma rizika, kylanti jų teikiamų patikimumo užtikrinimo paslaugų saugumui. Atsižvelgiant į naujausius technologinius pokyčius, tomis priemonėmis užtikrinama, kad saugumo lygis atitiktų rizikos lygį. Visų pirma imamasi priemonių, kad būtų išvengta saugumo incidentų, jog būtų kuo labiau sumažintas jų poveikis ir kad suinteresuotieji subjektai būtų informuoti apie neigiamą tokių incidentų poveikį.
2. Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, nepagrįstai nedelsdami, ir bet kuriuo atveju per 24 valandas nuo to momento, kai apie tai sužino, praneša priežiūros įstaigai ir, prireikus, kitoms atitinkamomis įstaigomis, kaip antai informacijos saugumo klausimais kompetentingai nacionalinei įstaigai arba duomenų apsaugos institucijai, apie visus saugumo arba vientisumo pažeidimus, turėjusius didelį poveikį teikiamai patikimumo užtikrinimo paslaugai arba ją teikiant naudojamiems asmens duomenims.
Kai saugumo ar vientisumo pažeidimas galėtų turėti neigiamo poveikio fiziniam ar juridiniam asmeniui, kuriam teikiama patikimumo užtikrinimo paslauga, patikimumo užtikrinimo paslaugų teikėjas taip pat nepagrįstai nedelsdamas praneša apie saugumo ar vientisumo pažeidimą tam fiziniam ar juridiniam asmeniui.
Prireikus - visų pirma, kai saugumo arba vientisumo pažeidimas yra susijęs su dviem arba daugiau valstybių narių - pranešimą gavusi priežiūros įstaiga informuoja kitų atitinkamų valstybių narių priežiūros įstaigas ir ENISA.
Jei pranešimą gavusi priežiūros įstaiga nustato, kad saugumo ar vientisumo pažeidimo atskleidimas yra svarbus visuomenei, ji informuoja visuomenę arba pareikalauja, kad tą padarytų patikimumo užtikrinimo paslaugų teikėjas.
3. Priežiūros įstaiga kartą per metus pateikia ENISA iš patikimumo užtikrinimo paslaugų teikėjų gautų pranešimų apie saugumo ar vientisumo pažeidimus suvestinę.
4. Komisija gali priimti įgyvendinimo aktus, kuriais:
a)
tiksliau apibrėžia 1 dalyje nurodytas priemones ir
b)
apibrėžia formatus ir procedūras, įskaitant terminus, taikytinus 2 dalies tikslais.
Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
3 SKYRIUS
Kvalifikuotos patikimumo užtikrinimo paslaugos
20 straipsnis
Kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų priežiūra
1. Atitikties vertinimo įstaiga atlieka kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą jų lėšomis bent kas 24 mėnesius. Audito tikslas - patvirtinti, kad kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai po to parengtą atitikties įvertinimo ataskaitą priežiūros įstaigai pateikia per trijų darbo dienų laikotarpį nuo jos gavimo dienos.
2. Nedarant poveikio 1 daliai, priežiūros įstaiga gali bet kuriuo metu atlikti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų jų atitikties įvertinimą tų patikimumo užtikrinimo paslaugų teikėjų lėšomis, siekiant patvirtinti, kad jie ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kai nustatoma, kad buvo pažeistos asmens duomenų apsaugos taisyklės, priežiūros įstaiga praneša duomenų apsaugos institucijoms savo atliktų auditų rezultatus.
3. Kai priežiūros įstaiga reikalauja, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ištaisytų bet kuriuos šiame reglamente nustatytų reikalavimų vykdymo pažeidimus ir kai tas teikėjas to nepadaro, jei taikytina, per priežiūros įstaigos nustatytą laikotarpį, priežiūros įstaiga, atsižvelgdama visų pirma į tokių pažeidimų mastą, trukmę ir pasekmes, gali panaikinti to teikėjo arba pažeidimo paveiktų jo teikiamų paslaugų kvalifikacijos statusą ir pranešti apie tai 22 straipsnio 3 dalyje nurodytai įstaigai, kad būtų galima atnaujinti 22 straipsnio 1 dalyje nurodytus patikimus sąrašus. Priežiūros įstaiga informuoja kvalifikuotą patikimumo užtikrinimo paslaugų teikėją apie jo kvalifikacijos statuso arba atitinkamos paslaugos kvalifikacijos statuso panaikinimą.
4. Komisija gali priimti įgyvendinimo aktus, kuriais nustato toliau nurodytų standartų referencinius numerius:
a)
atitikties vertinimo įstaigų akreditavimo ir 1 dalyje nurodytos atitikties vertinimo ataskaitos;
b)
audito taisyklių, pagal kurias atitikties vertinimo įstaigos atliks 1 dalyje nurodytą kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą.
Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
21 straipsnis
Kvalifikuotos patikimumo užtikrinimo paslaugos inicijavimas
1. Kai kvalifikacijos statuso neturintys patikimumo užtikrinimo paslaugų teikėjai ketina pradėti teikti kvalifikuotas patikimumo užtikrinimo paslaugas, jie priežiūros įstaigai pateikia pranešimą apie savo ketinimą kartu su atitikties vertinimo įstaigos parengta atitikties įvertinimo ataskaita.
2. Priežiūros įstaiga patikrina, ar patikimumo užtikrinimo paslaugų teikėjas ir jo teikiamos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus, ir ypač, kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms numatytus reikalavimus.
Jei priežiūros įstaiga padaro išvadą, kad patikimumo užtikrinimo paslaugų teikėjas ir jo teikiamos patikimumo užtikrinimo paslaugos atitinka pirmoje pastraipoje nurodytus reikalavimus, priežiūros įstaiga jam suteikia kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo, o jo teikiamoms paslaugoms - kvalifikuotų patikimumo užtikrinimo paslaugų statusą ir ne vėliau kaip per tris mėnesius nuo pranešimo pateikimo pagal šio straipsnio 1 dalį dienos apie tai praneša 22 straipsnio 3 dalyje nurodytai įstaigai, kad būtų galima atnaujinti 22 straipsnio 1 dalyje nurodytus patikimus sąrašus.
Jeigu per tris mėnesius nuo pranešimo dienos patikrinimas nebaigiamas, priežiūros įstaiga apie tai praneša patikimumo užtikrinimo paslaugų teikėjui, nurodydama vėlavimo priežastis ir laikotarpį, per kurį patikrinimas bus baigtas.
3. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai gali pradėti teikti kvalifikuotas patikimumo užtikrinimo paslaugas po to, kai kvalifikuotas statusas nurodomas patikimuose sąrašuose, nurodytuose 22 straipsnio 1 dalyje.
4. Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia formatus ir procedūras 1 ir 2 dalių tikslais. Tie įgyvendinimo aktai priimami pagal 48 straipsnio 2 dalyje nurodytą nagrinėjimo procedūrą.
22 straipsnis
Patikimi sąrašai
1. Kiekviena valstybė narė sudaro, tvarko ir skelbia patikimus sąrašus, įskaitant informaciją apie kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus, už kuriuos ji atsako, ir apie jų teikiamas kvalifikuotas patikimumo užtikrinimo paslaugas.
2. Valstybės narės sudaro, tvarko ir saugiai skelbia 1 dalyje nurodytus elektroniniu būdu pasirašytus arba užantspauduotus patikimus sąrašus, pateikdama juos tokia forma, kad juos būtų galima tvarkyti automatizuotomis priemonėmis.
3. Valstybės narės nepagrįstai nedelsdamos, pateikia Komisijai informaciją apie įstaigą, atsakingą už nacionalinių patikimų sąrašų sudarymą, tvarkymą ir skelbimą, ir išsamius duomenis apie tai, kur tokie sąrašai skelbiami, apie sertifikatus, naudojamus patikimiems sąrašams pasirašyti arba jiems patvirtinti spaudu, ir apie šios informacijos pasikeitimus.
4. Komisija saugiu ryšių kanalu visuomenei pateikia 3 dalyje numatytą elektroniniu būdu pasirašytą arba užantspauduotą informaciją tokia forma, kad ją būtų galima tvarkyti automatizuotomis priemonėmis.
5. Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija priima įgyvendinimo aktus, kuriais patikslina 1 dalyje nurodytą informaciją ir apibrėžia patikimų sąrašų technines specifikacijas ir formatus, taikytinus 1-4 dalių tikslais. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
23 straipsnis
Kvalifikuotų patikimumo užtikrinimo paslaugų ES pasitikėjimo ženklas
1. Po to, kai 21 straipsnio 2 dalies antroje pastraipoje nurodytas kvalifikacijos statusas nurodomas 22 straipsnio 1 dalyje nurodytuose patikimuose sąrašuose, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai gali naudoti ES pasitikėjimo ženklą paprastai, atpažįstamai ir aiškiai žymėti savo teikiamas kvalifikuotas patikimumo užtikrinimo paslaugas.
2. Naudodami ES pasitikėjimo ženklą 1 dalyje nurodytoms kvalifikuotoms patikimumo užtikrinimo paslaugoms, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai užtikrina, kad jų interneto svetainėje būtų pateikta nuoroda į atitinkamą patikimą sąrašą.
3. Ne vėliau kaip 2015 m. liepos 1 d. Komisija priima įgyvendinimo aktus, nustatančius specifikaciją, susijusią su forma, ir visų pirma su ES pasitikėjimo ženklo, skirto kvalifikuotoms patikimumo užtikrinimo paslaugoms, pateikimu, sandara, dydžiu ir dizainu. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
24 straipsnis
Kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams keliami reikalavimai
1. Išduodamas kvalifikuotą patikimumo užtikrinimo paslaugos sertifikatą, kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas tinkamomis priemonėmis pagal nacionalinės teisės aktus patikrina fizinio ar juridinio asmens, kuriam išduodamas kvalifikuotas sertifikatas, tapatybę ir, jeigu taikytina, visus jo specifinius požymius.
Pirmoje pastraipoje nurodytą informaciją kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, tikrina tiesiogiai arba patikėdamas tą atlikti trečiajai šaliai pagal nacionalinę teisę:
a)
fiziškai dalyvaujant fiziniam asmeniui arba juridinio asmens įgaliotajam atstovui; arba
b)
nuotoliniu būdu, naudodamas elektroninės atpažinties priemones, jei prieš išduodant kvalifikuotą sertifikatą jų atžvilgiu buvo užtikrintas fizinio ar juridinio asmens įgaliotojo atstovo fizinis dalyvavimas, ir kurios atitinka 8 straipsnyje nustatytus „pakankamo“ ir „aukšto“ saugumo užtikrinimo lygių reikalavimus; arba
c)
naudodamas pagal a arba b punktą išduotą kvalifikuotą elektroninio parašo arba elektroninio spaudo sertifikatą, arba
d)
naudodamas kitus nacionaliniu lygiu pripažintus tapatybės nustatymo būdus, kuriais užtikrinamas fiziniam dalyvavimui lygiavertis saugumo užtikrinimas. Lygiavertį saugumo užtikrinimą turi patvirtinti atitikties vertinimo įstaiga.
2. Kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, teikiantis kvalifikuotas patikimumo užtikrinimo paslaugas:
a)
informuoja priežiūros įstaigą apie bet kokius savo kvalifikuotų patikimumo užtikrinimo paslaugų teikimo pakeitimus ir ketinimą nutraukti tą veiklą;
b)
samdo darbuotojus ir, jei taikytina, subrangovus, kurie turi būtinos kompetencijos, yra patikimi, turi būtinos patirties ir kvalifikacijos, yra tinkamai apmokyti saugumo ir asmens duomenų apsaugos taisyklių, ir taiko Europos arba tarptautinius standartus atitinkančias administracines bei valdymo procedūras;
c)
atsakomybės už žalą rizikos atžvilgiu pagal 13 straipsnį, disponuoja pakankamais finansiniais ištekliais ir (arba) gauna tinkamą atsakomybės draudimą pagal nacionalinės teisės aktus;
d)
prieš užmegzdamas sutartinius santykius, aiškiai ir išsamiai informuoja visus asmenis, kurie nori naudotis kvalifikuota patikimumo užtikrinimo paslauga, apie tikslias naudojimosi ta paslauga sąlygas, įskaitant bet kokius naudojimosi ja apribojimus;
e)
naudoja patikimas sistemas ir produktus, kurie yra apsaugoti nuo pakeitimų, ir užtikrina jų palaikomo proceso techninį saugumą ir patikimumą;
f)
jam pateiktus duomenis patikrinama forma saugo patikimose sistemose, kad:
i)
juos būtų galima viešai gauti tik gavus asmens, su kuriuo yra susiję šie duomenys, sutikimą;
ii)
saugomų duomenų įrašus ir pakeitimus galėtų daryti tik įgalioti asmenys;
iii)
būtų galima patikrinti duomenų tikrumą;
g)
imasi tinkamų apsaugos nuo duomenų klastojimo ir vagystės priemonių;
h)
tinkamą laikotarpį, įskaitant kvalifikuotam patikimumo užtikrinimo paslaugų teikėjui nutraukus veiklą, registruoja ir laiko prieinama visą susijusią informaciją dėl kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo parengtų ir gautų duomenų, visų pirma tam, kad šią informaciją būtų galima panaudoti teismo procese kaip įrodymą ir siekiant užtikrinti paslaugų tęstinumą. Tokia informacija gali būti registruojama elektroniniu būdu;
i)
turi atnaujinamą nutraukimo planą, kad užtikrintų paslaugų tęstinumą, atsižvelgdami į priežiūros įstaigos pagal 17 straipsnio 4 dalies i punktą patikrintas nuostatas;
j)
užtikrina teisėtą asmens duomenų tvarkymą pagal Direktyvą 95/46/EB;
k)
tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai išduoda kvalifikuotus sertifikatus - sukuria ir atnaujina sertifikatų duomenų bazę.
3. Jei kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, išduodantis kvalifikuotus sertifikatus nusprendžia atšaukti sertifikatą, tokį atšaukimą jis užregistruoja savo sertifikatų duomenų bazėje ir laiku paskelbia apie sertifikato atšaukimo statusą, ir bet kuriuo atveju per 24 valandas po prašymo gavimo dienos. Atšaukimas įsigalioja nedelsiant po jo paskelbimo.
4. Atsižvelgdami į 3 dalį, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, išduodantys kvalifikuotus sertifikatus, kiekvienai pasikliaujančiajai šaliai pateikia informaciją apie jų išduotų kvalifikuotų sertifikatų galiojimą arba atšaukimą. Ši informacija bet kuriuo metu, net ir pasibaigus sertifikato galiojimo laikotarpiui, pateikiama bent apie kiekvieną sertifikatą taikant automatizuotą būdą, kuris yra saugus, nemokamas ir veiksmingas.
5. Komisija gali priimti įgyvendinimo aktus, kuriais nustato patikimoms sistemoms ir produktams, kurie atitinka šio straipsnio 2 dalies e ir f punktų reikalavimus, taikomų standartų referencinius numerius. Jeigu patikimos sistemos ir produktai atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
4 SKIRSNIS
Elektroniniai parašai
25 straipsnis
Elektroninių parašų teisinė galia
1. Negalima atsisakyti pripažinti elektroninio parašo teisinės galios ir jo tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad parašas yra elektroninis arba kad jis neatitinka kvalifikuoto elektroninių parašų reikalavimų.
2. Kvalifikuoto elektroninio parašo teisinė galia yra lygiavertė rašytiniam parašui.
3. Kvalifikuotas elektroninis parašas, patvirtintas vienoje valstybėje narėje išduotu kvalifikuotu sertifikatu, visose kitose valstybėse narėse pripažįstamas kaip kvalifikuotas elektroninis parašas.
26 straipsnis
Pažangiojo elektroninio parašo reikalavimai
Pažangusis elektroninis parašas turi atitikti toliau išvardytus reikalavimus:
a)
būti vienareikšmiškai susietas su pasirašančiu asmeniu;
b)
pagal jį galima nustatyti pasirašančio asmens tapatybę;
c)
sukurtas naudojant elektroninio parašo kūrimo duomenis, kuriuos tik pats pasirašantis asmuo gali labai patikimai naudoti; ir
d)
susietas su juo pasirašytais duomenimis taip, kad bet koks tų duomenų pakeitimas būtų pastebimas.
27 straipsnis
Elektroniniai parašai viešųjų paslaugų srityje
1. Jei valstybė narė pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius parašus, kvalifikuotais elektroninių parašų sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.
2. Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.
3. Valstybės narės nereikalauja, kad tarpvalstybinio naudojimosi viešojo sektoriaus įstaigos teikiama internetine paslauga atveju būtų naudojamas elektroninis parašas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio parašo.
4. Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams parašams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis parašas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 26 straipsnyje pažangiesiems elektroniniams parašams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
5. Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių parašų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
28 straipsnis
Kvalifikuoti elektroninių parašų sertifikatai
1. Kvalifikuoti elektroninių parašų sertifikatai turi atitikti I priede nustatytus reikalavimus.
2. Kvalifikuotiems elektroninių parašų sertifikatams netaikoma jokių privalomų reikalavimų, viršijančių I priede nustatytus reikalavimus.
3. Kvalifikuoti elektroninių parašų sertifikatai gali turėti neprivalomų papildomų specifinių požymių. Tie požymiai nedaro poveikio kvalifikuotų elektroninių parašų sąveikumui ir pripažinimui.
4. Jeigu iš pradžių aktyvintas kvalifikuotas elektroninio parašo sertifikatas vėliau atšaukiamas, jis netenka galios nuo jo atšaukimo momento, o jo statuso jokiomis aplinkybėmis negalima atkurti.
5. Valstybės narės gali nustatyti kvalifikuotų elektroninių parašų sertifikatų galiojimo laikino sustabdymo nacionalines taisykles, laikydamosi šių sąlygų:
a)
jei kvalifikuoto elektroninio parašo sertifikato galiojimas buvo laikinai sustabdytas, tas sertifikatas netenka galios sustabdymo laikotarpiu;
b)
galiojimo sustabdymo laikotarpis yra aiškiai nurodomas sertifikatų duomenų bazėje, o tai, kad sertifikato galiojimas yra sustabdytas, galiojimo sustabdymo laikotarpiu matoma teikiant informaciją apie sertifikato statusą.
6. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio parašo sertifikatams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio parašo sertifikatas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis I priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
29 straipsnis
Reikalavimai kvalifikuotiems elektroninio parašo kūrimo įtaisams
1. Kvalifikuoti elektroninio parašo kūrimo įtaisai turi atitikti II priede nustatytus reikalavimus.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio parašo kūrimo įtaisams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio parašo kūrimo įtaisas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis II priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
30 straipsnis
Kvalifikuotų elektroninio parašo kūrimo įtaisų sertifikavimas
1. Kvalifikuotų elektroninio parašo kūrimo įtaisų atitiktį II priede nustatytiems reikalavimams sertifikuoja valstybių narių paskirtos atitinkamos viešosios ar privačiosios įstaigos.
2. Valstybės narės praneša Komisijai 1 dalyje nurodytų viešųjų ar privačiųjų įstaigų pavadinimus ir adresus. Komisija tą informaciją pateikia valstybėms narėms.
3. 1 dalyje nurodytas sertifikavimas grindžiamas viena iš šių procedūrų:
a)
saugumo vertinimo procedūra, atlikta pagal vieną iš informacinių technologijų produktų saugumo vertinimo standartų, įtrauktų į sąrašą nustatytą pagal antrą pastraipą, arba
b)
kita nei a punkte nurodyta procedūra su sąlyga, kad joje taikomi panašūs saugumo lygiai, o 1 dalyje nurodyta viešoji ar privačioji įstaiga apie tą procedūrą praneša Komisijai. Ta procedūra gali būti taikoma tik tuo atveju, kai nėra a punkte nurodytų standartų arba kai tebevyksta a punkte nurodyta saugumo vertinimo procedūra.
Komisija priimdama įgyvendinimo aktus sudaro iš informacinių technologijų produktų, nurodytų a punkte, saugumo vertinimo standartų sąrašą. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
4. Komisijai pagal 47 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus dėl specialiųjų kriterijų, kuriuos turėtų atitikti šio straipsnio 1 dalyje nurodytos paskirtos įstaigos, nustatymo.
31 straipsnis
Sertifikuotų kvalifikuotų elektroninio parašo kūrimo įtaisų sąrašo skelbimas
1. Valstybės narės nepagrįstai nedelsdamos ir ne vėliau kaip per vieną mėnesį po sertifikavimo užbaigimo dienos, pateikia Komisijai informaciją apie kvalifikuotus elektroninio parašo kūrimo įtaisus, kuriuos sertifikavo 30 straipsnio 1 dalyje nurodytos įstaigos. Be to, nepagrįstai nedelsdamos ir ne vėliau kaip per vieną mėnesį po sertifikavimo atšaukimo dienos, jos pateikia Komisijai informaciją apie elektroninio parašo kūrimo įtaisus, kurie nebebus sertifikuojami.
2. Remdamasi gauta informacija Komisija sudaro, skelbia ir prižiūri sertifikuotų kvalifikuotų elektroninio parašo kūrimo įtaisų sąrašą.
3. Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia formatus ir procedūras, taikytinus 1 dalies tikslais. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
32 straipsnis
Reikalavimai kvalifikuotų elektroninių parašų galiojimo patvirtinimui
1. Kvalifikuoto elektroninio parašo galiojimo patvirtinimo procedūra patvirtinamas kvalifikuoto elektroninio parašo galiojimas su sąlyga, kad:
a)
sertifikatas, kuriuo tvirtinamas parašas, pasirašymo metu buvo kvalifikuotas elektroninio parašo sertifikatas, atitinkantis I priedą;
b)
kvalifikuotą sertifikatą išdavė kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir jis galiojo pasirašymo metu;
c)
parašo patvirtinimo duomenys atitinka pasikliaujančiajai šaliai pateiktus duomenis;
d)
unikalus duomenų, kuriais sertifikate nurodomas pasirašantis asmuo, rinkinys tinkamai pateikiamas pasikliaujančiajai šaliai;
e)
jei pasirašymo metu buvo naudojamas slapyvardis, tai aiškiai nurodoma pasikliaujančiajai šaliai;
f)
elektroninis parašas sukurtas naudojant kvalifikuotą elektroninio parašo kūrimo įtaisą;
g)
nebuvo pažeistas pasirašytų duomenų vientisumas;
h)
pasirašymo metu buvo laikomasi 26 straipsnyje nurodytų reikalavimų.
2. Sistema, naudojama kvalifikuoto elektroninio parašo galiojimo patvirtinimo tikslais, duoda pasikliaujančiajai šaliai teisingą galiojimo patvirtinimo procedūros rezultatą ir leidžia pasikliaujančiai šaliai nustatyti bet kokias su saugumu susijusias problemas.
3. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotų elektroninių parašų galiojimo patvirtinimo standartų referencinius numerius. Jeigu kvalifikuotų elektroninių parašų galiojimo patvirtinimas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
33 straipsnis
Kvalifikuotų elektroninių parašų kvalifikuota galiojimo patvirtinimo paslauga
1. Kvalifikuotų elektroninių parašų kvalifikuotą galiojimo patvirtinimo paslaugą gali teikti tik kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, kuris:
a)
suteikia galiojimo patvirtinimą pagal 32 straipsnio 1 dalį, ir
b)
suteikia pasikliaujančiosioms šalims galimybę galiojimo patvirtinimo procedūros rezultatą gauti automatizuotu būdu, kuris būtų patikimas, veiksmingas ir susietas su kvalifikuotos galiojimo patvirtinimo paslaugos teikėjo pažangiuoju elektroniniu parašu arba pažangiuoju elektroniniu spaudu.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato 1 dalyje nurodytoms kvalifikuotoms galiojimo patvirtinimo paslaugoms taikomų standartų referencinius numerius. Jeigu kvalifikuoto elektroninio parašo galiojimo patvirtinimo paslauga atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
34 straipsnis
Kvalifikuotų elektroninių parašų kvalifikuota ilgalaikės apsaugos paslauga
1. Kvalifikuotų elektroninių parašų kvalifikuotą ilgalaikės apsaugos paslaugą gali teikti tik kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, taikantis procedūras ir metodus, kuriais galima toliau užtikrinti kvalifikuoto elektroninio parašo patikimumą pasibaigus technologinio galiojimo laikotarpiui.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotų elektroninių parašų kvalifikuotos ilgalaikės apsaugos paslaugos standartų referencinius numerius. Jeigu kvalifikuotų elektroninių parašų kvalifikuotos ilgalaikės apsaugos paslaugos priemonės atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
5 SKIRSNIS
Elektroniniai spaudai
35 straipsnis
Elektroninio spaudo teisinė galia
1. Negalima atsisakyti pripažinti elektroninio spaudo teisinės galios ir jo tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad spaudas yra elektroninis arba kad jis neatitinka kvalifikuotų elektroninių spaudų reikalavimų.
2. Kvalifikuotam elektroniniam spaudui taikoma prezumpcija dėl duomenų, su kuriais susietas kvalifikuotas elektroninis spaudas, vientisumo ir tų duomenų kilmės tinkamumo.
3. Kvalifikuotas elektroninis spaudas, patvirtintas vienoje valstybėje narėje išduotu kvalifikuotu sertifikatu, visose kitose valstybėse narėse pripažįstamas kvalifikuotu elektroniniu spaudu.
36 straipsnis
Reikalavimai pažangiesiems elektroniniams spaudams
Pažangusis elektroninis spaudas turi atitikti toliau išvardytus reikalavimus:
a)
jis turi būti vienareikšmiškai susietas su spaudo kūrėju;
b)
pagal jį galima nustatyti spaudo kūrėjo tapatybę;
c)
jis turi būti sukurtas naudojant elektroninio spaudo kūrimo duomenis, kuriuos spaudo kūrėjas gali labai patikimai pats naudoti kurdamas elektroninį spaudą, ir
d)
jis turi būti susietas su juo nurodomais duomenimis taip, kad būtų pastebimas bet koks vėlesnis tų duomenų pakeitimas.
37 straipsnis
Elektroniniai spaudai viešųjų paslaugų srityje
1. Jei valstybė narė pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius spaudus, kvalifikuotais elektroninių spaudų sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.
2. Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.
3. Valstybės narės nereikalauja, kad norint tarpvalstybiniu lygiu pasinaudoti viešojo sektoriaus įstaigos teikiama internetine paslauga būtų naudojamas elektroninis spaudas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio spaudo.
4. Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams spaudams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis spaudas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 36 straipsnyje pažangiesiems elektroniniams spaudams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
5. Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių spaudų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
38 straipsnis
Kvalifikuoti elektroninių spaudų sertifikatai
1. Kvalifikuoti elektroninių spaudų sertifikatai turi atitikti III priede nustatytus reikalavimus.
2. Kvalifikuotiems elektroninių spaudų sertifikatams netaikoma jokių privalomų reikalavimų, viršijančių III priede nustatytus reikalavimus.
3. Kvalifikuoti elektroninių spaudų sertifikatai gali turėti neprivalomų papildomų specifinių požymių. Tie požymiai nedaro poveikio kvalifikuotų elektroninių spaudų sąveikumui ir pripažinimui.
4. Jeigu iš pradžių aktyvintas kvalifikuotas elektroninio spaudo sertifikatas vėliau atšaukiamas, jis netenka galios nuo jo atšaukimo momento, o jo statuso jokiomis aplinkybėmis negalima atkurti.
5. Valstybės narės gali nustatyti kvalifikuotų elektroninių spaudų sertifikatų galiojimo laikino sustabdymo nacionalines taisykles, laikydamosi šių sąlygų:
a)
jei kvalifikuoto elektroninio spaudo sertifikato galiojimas buvo laikinai sustabdytas, tas sertifikatas netenka galios sustabdymo laikotarpiu;
b)
galiojimo sustabdymo laikotarpis yra aiškiai nurodomas sertifikatų duomenų bazėje ir tai, kad sertifikato galiojimas yra sustabdytas, galiojimo sustabdymo laikotarpiu matoma teikiant informaciją apie sertifikato statusą.
6. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio spaudo sertifikatams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio spaudo sertifikatas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis III priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
39 straipsnis
Kvalifikuoti elektroninio spaudo kūrimo įtaisai
1. Kvalifikuotiems elektroninio spaudo kūrimo įtaisams mutatis mutandis taikomi 29 straipsnyje nustatyti reikalavimai.
2. Kvalifikuotų elektroninio spaudo kūrimo įtaisų sertifikavimui mutatis mutandis taikomas 30 straipsnis.
3. Sertifikuotų kvalifikuotų elektroninio spaudo kūrimo įtaisų sąrašo skelbimui mutatis mutandis taikomas 31 straipsnis.
40 straipsnis
Kvalifikuotų elektroninių spaudų galiojimo patvirtinimas ir ilgalaikė apsauga
Kvalifikuotų elektroninių spaudų galiojimo patvirtinimui ir ilgalaikei apsaugai mutatis mutandis taikomi 32, 33 ir 34 straipsniai.
6 SKIRSNIS
Elektroninė laiko žyma
41 straipsnis
Elektroninių laiko žymų teisinė galia
1. Negalima atsisakyti pripažinti elektroninės laiko žymos teisinės galios ir jos tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad žyma yra elektroninė arba kad ji neatitinka kvalifikuotoms elektroninėms laiko žymoms keliamų reikalavimų.
2. Kvalifikuotai elektroninei laiko žymai taikoma prezumpcija dėl datos ir laiko, kurie joje nurodomi, tikslumo ir duomenų, su kuriais susieta data ir laikas, vientisumo.
3. Kvalifikuota elektroninė laiko žyma, išduota vienoje valstybėje narėje, pripažįstama kaip kvalifikuota elektroninė laiko žyma visose valstybėse narėse.
42 straipsnis
Kvalifikuotoms elektroninėms laiko žymoms keliami reikalavimai
1. Kvalifikuota elektroninė laiko žyma turi atitikti šiuos reikalavimus:
a)
ji susieja datą ir laiką su duomenimis taip, kad pagrįstai neliktų galimybės nepastebimai pakeisti duomenų;
b)
ji grindžiama tiksliu laiko šaltiniu, susietu su suderintuoju pasauliniu laiku, ir
c)
ji pasirašyta naudojant kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo pažangųjį elektroninį parašą arba patvirtinta jo pažangiuoju elektroniniu spaudu arba lygiaverčiu būdu.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato datos ir laiko susiejimo su duomenimis ir tikslių laiko šaltinių standartų referencinius numerius. Jeigu datos ir laiko susiejimas su duomenimis ir tikslus laiko šaltinis atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
7 SKIRSNIS
Elektroninio registruoto pristatymo paslaugos
43 straipsnis
Elektroninio registruoto pristatymo paslaugų teisinė galia
1. Negalima atsisakyti pripažinti naudojantis elektroninio registruoto pristatymo paslaugomis išsiųstų ir gautų duomenų teisinės galios ir jų tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad jis yra elektroninis arba kad neatitinka kvalifikuotoms elektroninio registruoto pristatymo paslaugoms keliamų reikalavimų.
2. Naudojantis kvalifikuotomis elektroninio registruoto pristatymo paslaugomis išsiųstų ir gautų duomenų atveju preziumuojama, kad tie duomenys yra vientisi, duomenis išsiuntė siuntėjas ir juos gavo gavėjas, kurių tapatybės žinomos, o duomenų išsiuntimo ir gavimo data bei laikas, nurodyti naudojantis kvalifikuotomis elektroninio registruoto pristatymo paslaugomis, yra tikslūs.
44 straipsnis
Kvalifikuotoms elektroninio registruoto pristatymo paslaugoms keliami reikalavimai
1. Kvalifikuotos elektroninio registruoto pristatymo paslaugos turi atitikti šiuos reikalavimus:
a)
jas teikia vienas arba daugiau kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas (-ai);
b)
jos užtikrina galimybę labai patikimai nustatyti siuntėjo tapatybę;
c)
jos turi užtikrinti, kad būtų nustatyta gavėjo tapatybė prieš duomenis pristatant;
d)
duomenų siuntimas ir gavimas yra apsaugoti kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo pažangiuoju elektroniniu parašu arba pažangiuoju elektroniniu spaudu taip, kad neliktų galimybės nepastebimai pakeisti duomenų;
e)
bet koks duomenų pakeitimas, būtinas norint išsiųsti arba gauti duomenis, aiškiai nurodomas duomenų siuntėjui ir gavėjui;
f)
duomenų išsiuntimo, gavimo ir bet kokio duomenų pakeitimo data ir laikas yra nurodyti naudojant kvalifikuotą elektroninę laiko žymą.
Kai vienas ar daugiau kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų perduoda duomenis vienas kitam, a-f punktų reikalavimai taikomi visiems kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato duomenų siuntimo ir gavimo procesams taikomų standartų referencinius numerius. Jeigu duomenų siuntimo ir gavimo procesas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
8 SKIRSNIS
Interneto svetainės tapatumo nustatymas
45 straipsnis
Kvalifikuotiems interneto svetainės tapatumo nustatymo sertifikatams keliami reikalavimai
1. Kvalifikuoti interneto svetainės tapatumo nustatymo sertifikatai turi atitikti IV priede nustatytus reikalavimus.
2. Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems interneto svetainės tapatumo nustatymo sertifikatams taikytinų standartų referencinius numerius. Jeigu kvalifikuotas interneto svetainės tapatumo nustatymo sertifikatas atitinka tuos standartus, laikoma, kad yra užtikrinta atitiktis IV priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.
IV SKYRIUS
ELEKTRONINIAI DOKUMENTAI
46 straipsnis
Elektroninių dokumentų teisinė galia
Negalima atsisakyti pripažinti elektroninio dokumento teisinės galios ir jo tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad jis yra elektroninis.
V SKYRIUS
ĮGALIOJIMŲ DELEGAVIMAS IR ĮGYVENDINIMO NUOSTATOS
47 straipsnis
Įgaliojimų delegavimas
1. Įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami šiame straipsnyje nustatytomis sąlygomis.
2. 30 straipsnio 4 dalyje nurodyti įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami neribotam laikotarpiui nuo 2014 m. rugsėjo 17 d.
3. Europos Parlamentas arba Taryba gali bet kada atšaukti 30 straipsnio 4 dalyje nurodytus deleguotuosius įgaliojimus. Sprendimu dėl įgaliojimų atšaukimo nutraukiami tame sprendime nurodyti įgaliojimai priimti deleguotuosius aktus. Sprendimas įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje arba vėlesnę jame nurodytą dieną. Jis nedaro poveikio jau galiojančių deleguotųjų aktų galiojimui.
4. Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos Parlamentui ir Tarybai.
5. Pagal 30 straipsnio 4 dalį priimtas deleguotasis aktas įsigalioja tik tuo atveju, jeigu per du mėnesius nuo pranešimo Europos Parlamentui ir Tarybai apie šį aktą dienos nei Europos Parlamentas, nei Taryba nepareiškia prieštaravimų arba jeigu dar nepasibaigus šiam laikotarpiui ir Europos Parlamentas, ir Taryba praneša Komisijai, kad prieštaravimų nereikš. Europos Parlamento arba Tarybos iniciatyva šis laikotarpis pratęsiamas dviem mėnesiais.
48 straipsnis
Komiteto procedūra
1. Komisijai padeda komitetas. Tas komitetas - tai komitetas, kaip nustatyta Reglamente (ES) Nr. 182/2011.
2. Kai daroma nuoroda į šią dalį, taikomas Reglamento (ES) Nr. 182/2011 5 straipsnis.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
49 straipsnis
Peržiūra
Komisija atlieka šio reglamento taikymo peržiūrą ir pateikia Europos Parlamentui ir Tarybai ataskaitą ne vėliau kaip 2020 m. liepos 1 d. Komisija visų pirma įvertina, ar tinkama pakeisti šio reglamento taikymo sritį ar specifines jo nuostatas, įskaitant 6 straipsnį, 7 straipsnio f punktą, 34, 43, 44 ir 45 straipsnius, atsižvelgiant į taikant šį reglamentą įgytą patirtį, taip pat į technologinius, rinkos ir teisinius pokyčius.
Kartu su pirmoje pastraipoje nurodyta ataskaita prireikus pateikiami pasiūlymai dėl teisėkūros procedūra priimamų aktų.
Be to, Komisija kas ketverius metus po pirmoje pastraipoje nurodytos ataskaitos Europos Parlamentui ir Tarybai pateikia pažangos siekiant šio reglamento tikslų ataskaitą.
50 straipsnis
Panaikinimas
1. Direktyva 1999/93/EB panaikinama nuo 2016 m. liepos 1 d.
2. Nuorodos į panaikintą direktyvą laikomos nuorodomis į šį reglamentą.
51 straipsnis
Pereinamojo laikotarpio priemonės
1. Pažangūs parašo kūrimo įtaisai, kurių atitiktis buvo nustatyta pagal Direktyvos 1999/93/EB 3 straipsnio 4 dalį, pagal šį reglamentą laikomi kvalifikuotais elektroninio parašo kūrimo įtaisais.
2. Pagal Direktyvą 1999/93/EB fiziniams asmenims išduoti kvalifikuoti sertifikatai pagal šį reglamentą laikomi kvalifikuotais elektroninių parašų sertifikatais iki jų galiojimo pabaigos.
3. Kvalifikuotus sertifikatus pagal Direktyvą 1999/93/EB išduodantis sertifikavimo paslaugų teikėjas kuo greičiau, bet ne vėliau kaip 2017 m. liepos 1 d. priežiūros įstaigai pateikia atitikties įvertinimo ataskaitą. Kol nepateikiama tokia atitikties įvertinimo ataskaita ir priežiūros įstaiga baigia jos įvertinimą, tas sertifikavimo paslaugų teikėjas pagal šį reglamentą laikomas kvalifikuotu patikimumo užtikrinimo paslaugų teikėju.
4. Jei kvalifikuotus sertifikatus pagal Direktyvą 1999/93/EB išduodantis sertifikavimo paslaugų teikėjas per 3 dalyje nurodytą laikotarpį priežiūros įstaigai nepateikia atitikties įvertinimo ataskaitos, tas sertifikavimo paslaugų teikėjas pagal šį reglamentą nuo 2017 m. liepos 2 d. nelaikomas kvalifikuotu patikimumo užtikrinimo paslaugų teikėju.
52 straipsnis
Įsigaliojimas
1. Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.
2. Šis reglamentas taikomas nuo 2016 m. liepos 1 d., išskyrus:
a)
8 straipsnio 3 dalį, 9 straipsnio 5 dalį, 12 straipsnio 2-9 dalis, 17 straipsnio 8 dalį, 19 straipsnio 4 dalį, 20 straipsnio 4 dalį, 21 straipsnio 4 dalį, 22 straipsnio 5 dalį, 23 straipsnio 3 dalį, 24 straipsnio 5 dalį, 27 straipsnio 4 ir 5 dalis, 28 straipsnio 6 dalį, 29 straipsnio 2 dalį, 30 straipsnio 3 ir 4 dalis, 31 straipsnio 3 dalį, 32 straipsnio 3 dalį, 33 straipsnio 2 dalį, 34 straipsnio 2 dalį, 37 straipsnio 4 ir 5 dalis, 38 straipsnio 6 dalį, 42 straipsnio 2 dalį, 44 straipsnio 2 dalį, 45 straipsnio 2 dalį, 47 ir 48 straipsnius, kurie taikomi nuo 2014 m. rugsėjo 17 d.;
b)
7 straipsnį, 8 straipsnio 1 ir 2 dalis, 9 straipsnį, 10 straipsnį, 11 straipsnį, 12 straipsnio 1 dalį, kurie taikomi nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos;
c)
6 straipsnį, kuris pradedamas taikyti praėjus trejiems metams nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos.
3. Kai elektroninės atpažinties schema, apie kurią pranešta, įtraukiama į Komisijos pagal 9 straipsnį skelbiamą sąrašą iki šio straipsnio 2 dalies c punkte nurodytos datos, elektroninės atpažinties priemonių pagal tą schemą pripažinimas vadovaujantis 6 straipsniu atliekamas ne vėliau kaip per 12 mėnesių po to, kai paskelbiama apie tą schemą, tačiau ne anksčiau kaip šio straipsnio 2 dalies c punkte nurodytą datą.
4. Nepaisant šio straipsnio 2 dalies c punkto, valstybė narė gali nuspręsti, kad elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą, apie kurią kita valstybė narė pranešė vadovaudamasi 9 straipsnio 1 dalimi, yra pripažįstamos pirmojoje valstybėje narėje nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos. Atitinkamos valstybės narės informuoja Komisiją. Komisija šią informaciją skelbia viešai.
Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.
Priimta Briuselyje 2014 m. liepos 23 d.