EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) Nr. 910/2014
af 23. juli 2014
om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR -
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),
efter den almindelige lovgivningsprocedure (2), og
ud fra følgende betragtninger:
(1)
Det er afgørende for den økonomiske og sociale udvikling, at der skabes tillid til onlineverdenen. Hvis tilliden mangler, især på grund af en formodning om manglende retssikkerhed, vil forbrugere, virksomheder og offentlige myndigheder tøve med at gennemføre transaktioner elektronisk og benytte nye tjenester.
(2)
Denne forordning har til formål at styrke tilliden til elektroniske transaktioner på det indre marked ved at skabe et fælles grundlag for sikker elektronisk interaktion mellem borgere, virksomheder og offentlige myndigheder og derved øge effektiviteten i de offentlige og private onlinetjenester, elektronisk forretningsførelse og elektronisk handel i Unionen.
(3)
Europa-Parlamentets og Rådets direktiv 1999/93/EF (3) dækkede elektroniske signaturer uden at skabe en omfattende ramme for sikre, pålidelige og brugervenlige elektroniske transaktioner på tværs af landegrænser og sektorer. Denne forordning styrker og udvider det nævnte direktivs regelsæt.
(4)
I Kommissionens meddelelse af 26. august 2010 med titlen »En digital dagsorden for Europa« påpeges det, at opsplitningen af det digitale marked, manglende interoperabilitet og stigende internetkriminalitet er alvorlige hindringer for en positiv udvikling af den digitale økonomi. I sin rapport om unionsborgerskab fra 2010 med titlen »Afskaffelse af hindringerne for unionsborgernes rettigheder« fremhævede Kommissionen endvidere behovet for at løse de væsentligste problemer, der forhindrer EU-borgere i at nyde fordelene ved et digitalt indre marked og digitale tjenesteydelser på tværs af landegrænserne.
(5)
Det Europæiske Råd opfordrede i sine konklusioner af 4. februar 2011 og af 23. oktober 2011 Kommissionen til at skabe et digitalt indre marked inden 2015 for at gøre hurtige fremskridt på nøgleområderne i den digitale økonomi og fremme et fuldt integreret digitalt indre marked ved at befordre brug af onlinetjenester på tværs af grænserne og lægge særlig vægt på at lette sikker elektronisk identifikation og autentifikation.
(6)
Rådet opfordrede i sine konklusioner af 27. maj 2011 Kommissionen til at bidrage til det digitale indre marked ved at skabe passende vilkår for gensidig anerkendelse af centrale mulighedsskabende teknologier på tværs af grænserne, såsom elektronisk identifikation, elektroniske dokumenter, elektroniske signaturer og elektroniske leveringstjenester samt for interoperable e-forvaltningstjenester i hele Den Europæiske Union.
(7)
Europa-Parlamentet understregede i sin beslutning af 21. september 2010 om gennemførelse af det indre marked for e-handel (4) betydningen af sikkerhed i forbindelse med elektroniske tjenester, navnlig elektroniske signaturer, samt af behovet for at etablere public key-infrastruktur på fælleseuropæisk plan, og det har opfordret Kommissionen til at etablere en gateway for europæiske valideringsmyndigheder for at sikre elektroniske signaturers grænseoverskridende interoperabilitet og øge sikkerheden for transaktioner, som foretages over internettet.
(8)
Ifølge Europa-Parlamentets og Rådets direktiv 2006/123/EF (5) skal medlemsstaterne oprette »kvikskranker« for at sikre, at samtlige procedurer og formaliteter i forbindelse med adgangen til at optage og udøve servicevirksomhed kan afvikles uden besvær, på afstand og ad elektronisk vej via den berørte kvikskranke og de kompetente myndigheder. Mange af de onlinetjenester, der er tilgængelige via kvikskranker, kræver elektronisk identifikation, autentifikation og signatur.
(9)
I de fleste tilfælde kan borgere ikke bruge deres elektroniske ID til at autentificere sig i en anden medlemsstat, fordi de nationale elektroniske identifikationsordninger i deres eget land ikke anerkendes i andre medlemsstater. Denne elektroniske hindring udelukker tjenesteudbyderne fra at høste det fulde udbytte af det indre marked. Gensidigt anerkendte elektroniske identifikationsmidler vil gøre det lettere at udbyde en lang række tjenester på tværs af grænserne på det indre marked og sætte virksomhederne i stand til at udøve virksomhed på tværs af grænserne uden at skulle overvinde diverse hindringer i kontakten med de offentlige myndigheder.
(10)
Europa-Parlamentets og Rådets direktiv 2011/24/EU (6) etablerer et netværk mellem de nationale myndigheder, der er ansvarlige for e-sundhed. For at øge sikkerheden og kontinuiteten i forbindelse med grænseoverskridende sundhedsydelser skal netværket udarbejde retningslinjer for adgang til elektroniske sundhedsoplysninger og -ydelser på tværs af grænserne og blandt andet støtte »fælles identifikations- og autentifikationsforanstaltninger for at gøre det lettere at overføre data ved grænseoverskridende sundhedsydelser«. Gensidig anerkendelse af elektronisk identifikation og autentifikation er afgørende for, at sundhedsydelser for Europas borgere på tværs af grænserne bliver en realitet. Når borgerne tager til udlandet for at få lægebehandling, skal deres medicinske data være tilgængelige i det land, hvor de skal behandles. Dette kræver en solid og sikker ramme for elektronisk identifikation, som de berørte parter har tillid til.
(11)
Denne forordning bør anvendes under fuld overholdelse af principperne vedrørende beskyttelse af personoplysninger i Europa-Parlamentets og Rådets direktiv 95/46/EF (7). For så vidt angår princippet om gensidig anerkendelse i denne forordning bør autentifikation i forbindelse med en onlinetjeneste derfor kun omfatte behandling af de identifikationsdata, der er tilstrækkelige, relevante og ikke omfatter mere, end hvad der kræves for at give adgang til den pågældende onlinetjeneste. Desuden bør tillidstjenesteudbydere og tilsynsorganer opfylde kravene i direktiv 95/46/EF om fortrolighed og behandlingssikkerhed.
(12)
Et af formålene med denne forordning er at fjerne de eksisterende hindringer for grænseoverskridende brug af elektroniske identifikationsmidler, der benyttes i medlemsstaterne for som minimum at autentificere offentlige tjenester. Forordningen har ikke til formål at gribe ind for så vidt angår de elektroniske identitetsforvaltningssystemer og dermed forbundne infrastrukturer, der er etableret i medlemsstaterne. Målet med denne forordning er at sørge for, at der findes sikker elektronisk identifikation og autentifikation, der gør det muligt at få adgang til grænseoverskridende onlinetjenester, som medlemsstaterne udbyder.
(13)
Medlemsstaterne bør fortsat frit kunne anvende eller indføre midler med henblik på elektronisk identifikation for adgang til onlinetjenester. De bør også selv kunne bestemme, om den private sektor skal være med til at udbyde disse midler. Medlemsstaterne bør ikke være forpligtet til at anmelde deres elektroniske identifikationsordninger til Kommissionen. Valget mellem at anmelde alle, nogle eller ingen af de elektroniske identifikationsordninger, der anvendes på nationalt plan til som minimum at få adgang til offentlige onlinetjenester eller specifikke tjenester, til Kommissionen bør være op til medlemsstaterne.
(14)
Denne forordning bør indeholde visse betingelser for, hvilke elektroniske identifikationsmidler der skal anerkendes, og for, hvordan de elektroniske identifikationsordninger bør anmeldes. Betingelserne bør hjælpe medlemsstaterne til at opbygge den nødvendige tillid til hinandens elektroniske identifikationsordninger og til gensidigt at anerkende elektroniske identifikationsmidler, der er omfattet af de anmeldte ordninger. Princippet om gensidig anerkendelse bør følges, hvis den anmeldende medlemsstats elektroniske identifikationsordning opfylder anmeldelsesbetingelserne, og hvis anmeldelsen har været offentliggjort i Den Europæiske Unions Tidende. Dog bør princippet om gensidig anerkendelse kun gælde for autentifikation i forbindelse med en onlinetjeneste. Adgangen til disse onlinetjenester og den endelige levering af tjenesterne til parter, der anmoder herom, bør afhænge nøje af retten til at modtage sådanne tjenester i henhold til betingelserne i den nationale lovgivning.
(15)
Pligten til at anerkende elektroniske identifikationsmidler bør kun vedrøre de midler, hvis identitetssikringsniveau svarer til eller er højere end det niveau, der kræves for den pågældende onlinetjeneste. Desuden bør pligten kun gælde, når den pågældende offentlige myndighed anvender sikringsniveauet »betydelig« eller »høj« i forbindelse med adgang til den pågældende onlinetjeneste. Medlemsstaterne bør i overensstemmelse med EU-retten frit kunne anerkende elektroniske identifikationsmidler, der har lavere identitetssikringsniveauer.
(16)
Sikringsniveauer bør afspejle graden af tillid til, at et elektronisk identifikationsmiddel kan fastslå identiteten på en person og således give sikkerhed for, at den person, der gør krav på en specifik identitet, faktisk er den person, hvortil identiteten er blevet knyttet. Sikringsniveauet afhænger af graden af tillid til, at det elektroniske identifikationsmiddel kan fastslå en persons påståede identitet, idet der tages hensyn til processer (for eksempel godtgørelse, kontrol og autentifikation af identitet), ledelsesaktiviteter (for eksempel den enhed, der udsteder det elektroniske identifikationsmiddel, og proceduren for udstedelse af sådanne midler) og iværksatte tekniske kontroller. Der eksisterer forskellige tekniske definitioner på og beskrivelser af sikringsniveauer som følge af EU-finansierede pilotprojekter i stor skala, standardiseringer og internationale aktiviteter. Navnlig i pilotprojekterne i stor skala STORK og ISO 29115 henvises der blandt andet til niveauerne 2, 3 og 4, som der bør tages størst muligt hensyn til ved fastsættelsen af tekniske minimumskrav, standarder og procedurer for sikringsniveauerne »lav«, »betydelig« og »høj« som omhandlet i denne forordning, samtidig med at der sikres ensartet anvendelse af denne forordning, især hvad angår sikringsniveauet »høj« i forbindelse med godtgørelse af identitet ved udstedelsen af kvalificerede certifikater. De fastsatte krav bør være teknologineutrale. Det bør være muligt at opfylde de nødvendige sikkerhedskrav med forskellige teknologier.
(17)
Medlemsstaterne bør tilskynde den private sektor til frivilligt at anvende elektroniske identifikationsmidler, der er omfattet af en anmeldt ordning, til identifikationsformål, når dette er nødvendigt med henblik på onlinetjenester eller elektroniske transaktioner. Muligheden for at anvende sådanne elektroniske identifikationsmidler vil betyde, at den private sektor kan benytte sig af elektronisk identifikation og autentifikation, der allerede anvendes i vid udstrækning i mange medlemsstater, i det mindste til offentlige tjenester, og gøre det lettere for virksomhederne og borgerne at få adgang til deres onlinetjenester på tværs af grænserne. For at gøre det lettere for den private sektor at bruge sådanne elektroniske identifikationsmidler på tværs af grænserne bør den autentifikationsmulighed, som en medlemsstat udbyder, stilles til rådighed for modtagerparter i den private sektor, der er hjemmehørende uden for medlemsstatens område, på samme betingelser, som gælder for modtagerparter i den private sektor, der er hjemmehørende i medlemsstaten. Med hensyn til modtagerparter i den private sektor kan den anmeldende medlemsstat fastsætte betingelser for adgang til autentifikationsmidlerne. Disse adgangsbetingelser kan omfatte oplysninger om, at autentifikationsmidlerne i tilknytning til den anmeldte ordning ikke i øjeblikket er til rådighed for modtagerparter i den private sektor.
(18)
Denne forordning bør fastsætte det erstatningsansvar, der påhviler den anmeldende medlemsstat, den part, der udsteder det elektroniske identifikationsmiddel, og den part, der udfører autentifikationsproceduren, hvis de ikke opfylder de relevante forpligtelser i henhold til denne forordning. Denne forordning bør imidlertid anvendes i overensstemmelse med nationale regler om erstatningsansvar. Derfor berører den ikke de nationale regler, der handler om f.eks. definition af skadeserstatning eller relevante gældende procedureregler, herunder bevisbyrden.
(19)
Sikkerheden i ordninger for elektronisk identifikation er central i en pålidelig grænseoverskridende gensidig anerkendelse af elektroniske identifikationsmidler. I den forbindelse bør medlemsstaterne samarbejde om sikkerhed og interoperabilitet i ordningerne for elektronisk identifikation på EU-plan. Når det i ordningerne for elektronisk identifikation kræves, at modtagerparter skal anvende bestemt hardware eller software på nationalt plan, indebærer grænseoverskridende interoperabilitet, at disse medlemsstater ikke må pålægge modtagerparter, der er hjemmehørende uden for deres område, sådanne krav og dermed forbundne omkostninger. I så fald bør passende løsninger drøftes og udformes inden for interoperabilitetsrammen. Dog er tekniske krav, der hidrører fra de iboende specifikationer for nationale elektroniske identifikationsmidler, og som kan berøre indehaverne af sådanne elektroniske midler (f.eks. smartkort), uundgåelige.
(20)
Samarbejdet mellem medlemsstaterne bør lette den tekniske interoperabilitet mellem de anmeldte elektroniske identifikationsordninger med henblik på at bidrage til et højt niveau af tillid og sikkerhed, der står i et passende forhold til risikoen. Udveksling af information og bedste praksis mellem medlemsstaterne med henblik på gensidig anerkendelse af identifikationsordningerne bør fremme et sådant samarbejde.
(21)
Denne forordning bør også fastlægge en generel lovramme for brug af tillidstjenester. Der bør dog ikke indføres en generel pligt til at bruge dem eller til at oprette et adgangspunkt for alle eksisterende tillidstjenester. Den bør navnlig ikke omfatte levering af tjenester, der udelukkende anvendes i lukkede systemer mellem et defineret sæt deltagere, der ikke har virkning over for tredjemand. For eksempel bør systemer, der er oprettet i virksomheder eller offentlige forvaltninger til styring af interne procedurer ved brug af tillidstjenester, ikke være omfattet af kravene i denne forordning. Kun tillidstjenester, der udbydes til offentligheden, og som har virkning over for tredjemand, bør opfylde kravene i denne forordning. Denne forordning bør heller ikke omfatte aspekter i forbindelse med indgåelse og gyldighed af kontrakter eller andre retlige forpligtelser, som ifølge national ret eller EU-ret er undergivet formkrav. Den bør heller ikke berøre nationale formkrav til offentlige registre, navnlig handelsregistre og tingbøger.
(22)
For at bidrage til deres udbredte brug på tværs af grænserne bør det være muligt at bruge tillidstjenester som bevis i retssager i alle medlemsstater. Retsvirkningerne af tillidstjenester i medlemsstaterne defineres i national ret, medmindre andet er fastsat i denne forordning.
(23)
I det omfang denne forordning indfører en pligt til at anerkende en tillidstjeneste, kan denne tillidstjeneste kun afvises, hvis den, som pligten er rettet mod, af tekniske grunde, som vedkommende ikke har nogen umiddelbar indflydelse på, ikke kan læse eller kontrollere den. Pligten bør dog ikke i sig selv indebære, at et offentligt organ skal skaffe den hardware eller software, der er nødvendig for den tekniske læsbarhed af alle eksisterende tillidstjenester.
(24)
Medlemsstaterne kan i overensstemmelse med EU-retten opretholde eller indføre nationale bestemmelser vedrørende tillidstjenester, for så vidt disse tjenester ikke er fuldt harmoniseret ved denne forordning. Der er dog fri bevægelighed på det indre marked for tillidstjenester, der overholder bestemmelserne i denne forordning.
(25)
Det bør stå medlemsstaterne frit for at fastlægge andre typer tillidstjenester ud over dem, der indgår i den lukkede liste over tillidstjenester, der er omfattet af denne forordning, med henblik på at anerkende dem på nationalt plan som kvalificerede tillidstjenester.
(26)
I betragtning af den hurtige teknologiske udvikling bør denne forordning følge en fremgangsmåde, der er åben over for innovation.
(27)
Denne forordning bør være teknologineutral. De retsvirkninger, den giver, bør kunne opnås ved et hvilket som helst teknisk middel, forudsat at kravene i denne forordning er opfyldt.
(28)
For at styrke især de små og mellemstore virksomheders (SMV'er) og forbrugernes tillid til det indre marked og fremme brugen af tillidstjenester og -produkter bør begreberne kvalificerede tillidstjenester og kvalificeret tillidstjenesteudbyder indføres med henblik på at opstille krav og forpligtelser, der skal sikre et højt niveau af sikkerhed for alle de tillidstjenester og -produkter, der benyttes eller udbydes.
(29)
I overensstemmelse med forpligtelserne i De Forenede Nationers konvention om handicappedes rettigheder, der blev godkendt ved Rådets afgørelse 2010/48/EF (8), særlig artikel 9 i konventionen, bør handicappede have mulighed for at benytte tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, på lige fod med andre forbrugere. Derfor bør tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, så vidt muligt være tilgængelige for handicappede. Gennemførlighedsvurderingen bør bl.a. omfatte tekniske og økonomiske hensyn.
(30)
Medlemsstaterne bør udpege et eller flere tilsynsorganer til at udføre tilsynsvirksomhed i henhold til denne forordning. Medlemsstaterne bør også efter gensidig aftale med en anden medlemsstat kunne beslutte at udpege et tilsynsorgan på den anden medlemsstats område.
(31)
Tilsynsorganerne bør samarbejde med databeskyttelsesmyndighederne, f.eks. ved at underrette dem om resultaterne af revisioner af kvalificerede tillidstjenesteudbydere, når der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger. Underretningen bør navnlig omfatte sikkerhedsrelaterede hændelser og brud på persondatasikkerheden.
(32)
For at styrke brugernes tillid til det indre marked bør det påhvile alle tillidstjenesteudbydere at følge en god sikkerhedspraksis, som er afpasset efter de risici, der er forbundet med deres aktiviteter.
(33)
Bestemmelserne om brug af pseudonymer i certifikater bør ikke forhindre medlemsstaterne i at stille krav om identifikation af personer i henhold til EU-ret eller national ret.
(34)
Alle medlemsstater bør følge fælles væsentlige tilsynskrav, så der tilvejebringes et ensartet sikkerhedsniveau for kvalificerede tillidstjenester. For at bidrage til en ensartet anvendelse af disse krav i hele Unionen bør medlemsstaterne indføre sammenlignelige procedurer og udveksle information om deres tilsynsvirksomhed og om bedste praksis på området.
(35)
Alle tillidstjenesteudbydere bør være omfattet af kravene i denne forordning, navnlig hvad angår sikkerhed og erstatningsansvar for at sikre, at der udvises nødvendig omhu, gennemsigtighed og ansvarlighed i forbindelse med deres operationer og tjenester. Under hensyn til den type tjenester, som tillidstjenesteudbydere udbyder, er det imidlertid hensigtsmæssigt for disse kravs vedkommende at skelne mellem kvalificerede og ikkekvalificerede tillidstjenesteudbydere.
(36)
Indførelse af en tilsynsordning for alle tillidstjenesteudbydere skulle sikre lige vilkår for deres operationers og tjenesters sikkerhed og ansvarlighed og dermed bidrage til beskyttelsen af brugerne og til det indre markeds funktion. Ikkekvalificerede tillidstjenesteudbydere bør underkastes et let og reaktivt efterfølgende tilsyn under hensyn til arten af deres tjenester og operationer. Tilsynsorganet bør således ikke have en generel pligt til at føre tilsyn med ikkekvalificerede tjenesteudbydere. Tilsynsorganet bør kun skride til handling, når det bliver underrettet (f.eks. af den ikkekvalificerede tillidstjenesteudbyder selv, af et andet tilsynsorgan, ved en anmeldelse fra en bruger eller forretningspartner eller på grundlag af sin egen efterforskning) om, at en ikkekvalificeret tillidstjenesteudbyder ikke opfylder denne forordnings krav.
(37)
Denne forordning bør fastsætte alle tillidstjenesteudbyderes erstatningsansvar. Den indfører navnlig en erstatningsansvarsordning, hvorefter alle tillidstjenesteudbydere bør være erstatningsansvarlige for skader forvoldt mod en fysisk eller juridisk person på grund af manglende opfyldelse af denne forordnings forpligtelser. For at lette vurderingen af de økonomiske risici, som tillidstjenesteudbydere måske skal bære, eller som de bør forsikre sig imod, giver denne forordning tillidstjenesteudbydere mulighed for på visse betingelser at fastsætte begrænsninger i brugen af de tjenester, som de udbyder, og for at fralægge sig erstatningsansvaret for skader som følge af en brug af tjenesterne, der går videre end disse begrænsninger. Kunderne bør underrettes behørigt om begrænsningerne på forhånd. Disse begrænsninger bør være klare for en tredjepart, f.eks. ved oplysninger om begrænsningerne i vilkårene for den ydede tjeneste eller på andre tydelige måder. Med henblik på at gennemføre disse principper bør denne forordning anvendes i overensstemmelse med de nationale bestemmelser om erstatningsansvar. Denne forordning berører derfor ikke disse nationale bestemmelser om f.eks. definition af skadeserstatning, forsæt, uagtsomhed eller relevante gældende procedurebestemmelser.
(38)
Det er afgørende, at brud på sikkerheden og sikkerhedsrisikovurderinger indberettes, så de berørte parter får fyldestgørende oplysninger i tilfælde af brud på sikkerheden eller tab af integritet.
(39)
For at Kommissionen og medlemsstaterne kan vurdere effektiviteten af den ordning for indberetning af brud på sikkerheden, der indføres ved denne forordning, bør tilsynsorganerne anmodes om at forelægge sammenfattende oplysninger for Kommissionen og Den Europæiske Unions Agentur for Net- og Informationssikkerhed (ENISA).
(40)
For at Kommissionen og medlemsstaterne kan vurdere effektiviteten af den forbedrede tilsynsordning, der indføres ved denne forordning, bør tilsynsorganerne anmodes om at aflægge rapport om deres aktiviteter. Dette vil fremme udvekslingen af god praksis mellem tilsynsorganerne og lette kontrollen af, at de væsentlige tilsynskrav gennemføres ensartet og effektivt i alle medlemsstater.
(41)
For at garantere kvalificerede tillidstjenesters bæredygtighed og holdbarhed og styrke brugernes tillid til disse tjenesters kontinuitet bør tilsynsorganerne kontrollere, om der findes bestemmelser om planer for virksomhedsafbrydelse, og om de anvendes korrekt, i tilfælde hvor kvalificerede tillidstjenesteudbydere ophører med deres virksomhed.
(42)
For at lette tilsynet med kvalificerede tillidstjenesteudbydere, for eksempel når en udbyder udbyder tjenester på en anden medlemsstats område og ikke er underkastet tilsyn der, eller når en udbyders computere befinder sig i en anden medlemsstat end den, hvor udbyderen er hjemmehørende, bør der indføres en ordning for gensidig bistand mellem tilsynsorganerne i medlemsstaterne.
(43)
For at sikre, at kvalificerede tillidstjenesteudbydere og de tjenester, de udbyder, opfylder kravene i denne forordning, bør et overensstemmelsesvurderingsorgan foretage en overensstemmelsesvurdering, og de kvalificerede tillidstjenesteudbydere bør forelægge tilsynsorganet de overensstemmelsesvurderingsrapporter, der herefter udarbejdes. Når tilsynsorganet kræver, at en kvalificeret tillidstjenesteudbyder forelægger en ad hoc-overensstemmelsesvurderingsrapport, bør tilsynsorganet især overholde princippet om god forvaltningspraksis, herunder pligten til at begrunde sine beslutninger, og proportionalitetsprincippet. Derfor bør tilsynsorganet behørigt begrunde sin beslutning om at kræve en ad hoc-overensstemmelsesvurdering.
(44)
Denne forordning har til formål at sikre en sammenhængende ramme med henblik på at opnå et højt sikkerheds- og retssikkerhedsniveau i tillidstjenester. Når Kommissionen behandler overensstemmelsesvurderingen af produkter og tjenester, bør den derfor, når det er hensigtsmæssigt, søge synergier med gældende relevante europæiske og internationale ordninger såsom Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 (9), som fastlægger kravene til akkreditering af overensstemmelsesvurderingsorganer og markedsovervågning af produkter.
(45)
For at tillade en effektiv iværksættelsesproces, der bør føre til, at kvalificerede tillidstjenesteudbydere og deres kvalificerede tillidstjenester optages på positivlister, bør der tilskyndes til indledende kontakter mellem eventuelle fremtidige kvalificerede tillidstjenesteudbydere og de kompetente tilsynsorganer med det formål at fremme den nødvendige omhu, der er forudsætningen for levering af kvalificerede tillidstjenester.
(46)
Positivlister er afgørende elementer for at opbygge tillid blandt markedsaktørerne, da de fastslår tjenesteudbyderens status som kvalificeret udbyder på tidspunktet for tilsyn.
(47)
Tillid til og bekvemmelighed i forbindelse med onlinetjenester er afgørende elementer for brugerne, så de kan høste det fulde udbytte og bevidst benytte elektroniske tjenester. Med henblik herpå bør der indføres et EU-tillidsmærke for at udpege de kvalificerede tillidstjenester, som kvalificerede tillidstjenesteudbydere udbyder. Et sådant EU-tillidsmærke for kvalificerede tillidstjenester vil klart skelne mellem kvalificerede tillidstjenester og andre tillidstjenester og således bidrage til gennemsigtighed på markedet. De kvalificerede tillidstjenesteudbyderes anvendelse af et EU-tillidsmærke bør være frivillig og bør ikke medføre andre krav end dem, der allerede er fastsat i denne forordning.
(48)
Et højt sikkerhedsniveau er nødvendigt for at sikre gensidig anerkendelse af elektroniske signaturer, men i særlige tilfælde, f.eks. i forbindelse med Kommissionens beslutning 2009/767/EF (10), bør der også accepteres elektroniske signaturer med et lavere sikringsniveau.
(49)
Denne forordning bør fastsætte princippet om, at en elektronisk signatur ikke må nægtes retsvirkning, alene af den grund at den er i elektronisk form, eller at den ikke opfylder alle kravene til en kvalificeret elektronisk signatur. Imidlertid fastsættes elektroniske signaturers retsvirkning i national ret, bortset fra kravene i denne forordning om, at en kvalificeret elektronisk signatur skal have samme retsvirkning som en håndskreven underskrift.
(50)
Da de kompetente myndigheder i medlemsstaterne i øjeblikket benytter forskellige formater for avancerede elektroniske signaturer til at underskrive deres dokumenter elektronisk, er det nødvendigt at sørge for, at medlemsstaterne teknisk kan understøtte i det mindste et vist antal formater for avancerede elektroniske signaturer, når de modtager dokumenter, der er underskrevet elektronisk. Tilsvarende er det nødvendigt at sørge for, at de kompetente myndigheder i medlemsstaterne, når de anvender avancerede elektroniske segl, understøtter i det mindste et vist antal formater for avancerede elektroniske segl.
(51)
Det bør være muligt for underskriveren at overdrage et kvalificeret elektronisk signaturgenereringssystem til tredjemands varetægt, forudsat at der anvendes passende mekanismer og procedurer til at sikre, at underskriveren bevarer fuld kontrol over brugen af sine elektroniske signaturgenereringsdata, og at brugen af systemet opfylder kravene til kvalificerede elektroniske signaturer.
(52)
Genereringen af elektroniske signaturer på afstand, hvor miljøet til elektronisk signaturgenerering forvaltes af en tillidstjenesteudbyder på vegne af underskriveren, forventes at udvikle sig på grund af de mange økonomiske fordele forbundet hermed. Med henblik på at sikre, at sådanne elektroniske signaturer opnår samme juridiske anerkendelse som elektroniske signaturer, der genereres ved hjælp af et miljø, der fuldt ud forvaltes af brugeren, skal de udbydere, der udbyder elektroniske signaturtjenester på afstand, dog anvende specifikke ledelsesmæssige og administrative sikkerhedsprocedurer og benytte pålidelige systemer og produkter, herunder sikre elektroniske kommunikationskanaler, med henblik på at sikre, at miljøet for elektronisk signaturgenerering er pålideligt, og at det udelukkende anvendes under underskriverens enekontrol. Hvis en kvalificeret elektronisk signatur er blevet genereret ved hjælp af et system til generering af elektroniske signaturer på afstand, bør de gældende krav til de kvalificerede tillidstjenesteudbydere i denne forordning finde anvendelse.
(53)
Suspensionen af kvalificerede certifikater er en etableret praksis blandt tillidstjenesteudbydere i en række medlemsstater, som adskiller sig fra spærring, og som medfører midlertidigt tab af et certifikats gyldighed. Af hensyn til retssikkerheden kræves det, at et certifikats suspensionsstatus altid angives klart. Derfor bør tillidstjenesteudbydere have ansvaret for klart at angive certifikatets status og, såfremt det er suspenderet, angive den præcise suspensionsperiode. Denne forordning bør ikke pålægge tillidstjenesteudbyderne eller medlemsstaterne at anvende suspension, men fastlægge gennemsigtighedsbestemmelser, når og hvor en sådan praksis findes.
(54)
Kvalificerede certifikaters grænseoverskridende interoperabilitet og anerkendelse er en forudsætning for kvalificerede elektroniske signaturers grænseoverskridende anerkendelse. Kvalificerede certifikater bør derfor ikke underlægges ufravigelige krav, der går videre end kravene i denne forordning. På nationalt plan bør det dog være tilladt at medtage særlige kendetegn såsom entydige identifikatorer i kvalificerede certifikater, hvis de særlige kendetegn ikke hindrer kvalificerede certifikaters og elektroniske signaturers grænseoverskridende interoperabilitet og anerkendelse.
(55)
IT-sikkerhedscertificering baseret på internationale standarder som f.eks. ISO 15408 og dertil knyttede evalueringsmetoder og gensidige anerkendelsesordninger er et vigtigt redskab til at kontrollere sikkerheden af kvalificerede elektroniske signaturgenereringssystemer og bør fremmes. Innovative løsninger og tjenester som f.eks. mobil signatur, cloudsignatur benytter imidlertid tekniske og organisatoriske løsninger for kvalificerede elektroniske signaturgenereringssystemer, hvortil der eventuelt endnu ikke findes tilgængelige sikkerhedsstandarder, eller for hvilke den første IT-sikkerhedscertificering ikke er afsluttet. Kun i de tilfælde, hvor sådanne sikkerhedsstandarder ikke er tilgængelige, eller hvor den første IT-sikkerhedscertificering ikke er afsluttet, vil sikkerhedsniveauet for sådanne kvalificerede elektroniske signaturgenereringssystemer kunne evalueres under anvendelse af alternative processer. Disse processer bør være sammenlignelige med standarder for IT-sikkerhedscertificering, i det omfang deres sikkerhedsniveauer er ens. En fagfællebedømmelse (peer review) vil kunne lette disse processer.
(56)
Denne forordning bør indeholde krav til kvalificerede elektroniske signaturgenereringssystemer, som skal sikre, at avancerede elektroniske signaturer fungerer hensigtsmæssigt. Denne forordning bør ikke omfatte det samlede omgivende miljø, som systemerne opererer i. Certificeringen af kvalificerede signaturgenereringssystemer bør derfor begrænses til hardware og software, der anvendes til at forvalte og beskytte de signaturgenereringsdata, der genereres, lagres eller behandles i signaturgenereringssystemet. Som anført i de relevante standarder bør certificeringspligten ikke omfatte applikationer til generering af signaturer.
(57)
For at sikre retssikkerhed for så vidt angår signaturens gyldighed er det nødvendigt at specificere, hvilke elementer af en kvalificeret elektronisk signatur der bør vurderes af den modtagerpart, der foretager valideringen. Desuden bør fastlæggelsen af krav til kvalificerede tillidstjenesteudbydere, der kan udbyde en kvalificeret valideringstjeneste til modtagerparter, som ikke ønsker eller er i stand til selv at validere kvalificerede elektroniske signaturer, tilskynde den private og den offentlige sektor til at investere i sådanne tjenester. Tilsammen burde disse elementer gøre det nemt og bekvemt for alle parter at validere kvalificerede elektroniske signaturer på EU-plan.
(58)
Når en transaktion kræver en juridisk persons kvalificerede elektroniske segl, bør en kvalificeret elektronisk signatur tilhørende den juridiske persons bemyndigede repræsentant, også accepteres.
(59)
Et elektronisk segl bør tjene som bevis for, at et elektronisk dokument er udstedt af en juridisk person, og give sikkerhed for dokumentets oprindelse og integritet.
(60)
Tillidstjenesteudbydere, der udsteder kvalificerede certifikater for elektroniske segl, bør anvende de nødvendige foranstaltninger til at fastslå identiteten på den fysiske person, der repræsenterer den juridiske person, som det kvalificerede certifikat for elektronisk segl udstedes til, når denne identifikation er nødvendig på nationalt plan som led i retlig eller administrativ forfølgning.
(61)
Denne forordning bør sikre langtidsopbevaring af information, for at sikre at elektroniske signaturer og elektroniske segl har retsgyldighed over et længere tidsrum, og garantere, at de kan valideres uanset fremtidige teknologiske ændringer.
(62)
Med henblik på at garantere kvalificerede elektroniske tidsstemplers sikkerhed bør denne forordning kræve, at der anvendes et avanceret elektronisk segl eller en avanceret elektronisk signatur eller andre tilsvarende metoder. Det kan forventes, at innovation kan føre til nye teknologier, som kan sikre et tilsvarende sikkerhedsniveau for tidsstempler. Når der anvendes en anden metode end avancerede elektroniske segl eller avancerede elektroniske signaturer, bør det påhvile den kvalificerede tillidstjenesteudbyder i overensstemmelsesvurderingsrapporten at godtgøre, at denne metode giver et tilsvarende sikkerhedsniveau og opfylder forpligtelserne i denne forordning.
(63)
Elektroniske dokumenter er vigtige for den videre udvikling af grænseoverskridende elektroniske transaktioner på det indre marked. Denne forordning bør fastsætte princippet om, at et elektronisk dokument ikke må nægtes retsvirkning af den grund, at det er i elektronisk form, for at sikre, at en elektronisk transaktion ikke afvises, alene af den grund at et dokument foreligger i elektronisk form.
(64)
Når Kommissionen behandler formaterne for avancerede elektroniske signaturer og segl, bør den tage udgangspunkt i eksisterende praksis, standarder og lovgivning, især Kommissionens afgørelse 2011/130/EU (11).
(65)
Ud over at kunne bruges til autentifikation af dokumenter, der er udstedt af en juridisk person, kan elektroniske segl bruges til at autentificere alle den juridiske persons digitale aktiver, som f.eks. softwarekode eller servere.
(66)
Det er vigtigt at fastlægge en retlig ramme for at lette grænseoverskridende anerkendelse mellem eksisterende nationale retsregler vedrørende elektroniske registrerede leveringstjenester. Denne ramme vil også kunne åbne nye markedsmuligheder for tillidstjenesteudbydere i Unionen med hensyn til at udbyde nye fælleseuropæiske tjenester for elektroniske registrerede leveringstjenester.
(67)
Webstedsautentifikationstjenester giver besøgende på et websted sikkerhed for, at der står en ægte og legitim enhed bag webstedet. Disse tjenester bidrager til at opbygge tilliden i forbindelse med onlineforretninger, da brugerne vil have tillid til et websted, som er autentificeret. Ydelse og brug af webstedsautentifikationstjenester er helt frivillig. For at webstedsautentifikation kan blive et middel til at fremme tilliden ved at give brugerne en bedre oplevelse og stimulere vækst på det indre marked bør denne forordning dog fastlægge minimumsforpligtelser for tjenesteudbyderne og deres tjenester med hensyn til sikkerhed og erstatningsansvar. Med henblik herpå er der taget hensyn til resultaterne af igangværende industriledede initiativer, f.eks. Certification Authorities/Browser Forum - CA/Browser Forum. Desuden bør denne forordning ikke hindre brugen af andre midler eller metoder til autentifikation af et websted, der ikke er omfattet af denne forordning, og bør heller ikke forhindre ydere af webstedsautentifikationstjenester i tredjelande i at yde deres tjenester til kunder i Unionen. En tjenesteudbyder i et tredjeland bør dog kun kunne få sine webstedsautentifikationstjenester anerkendt som kvalificerede i overensstemmelse med denne forordning, hvis der er indgået en international aftale mellem Unionen og det land, hvor tjenesteudbyderen er hjemmehørende.
(68)
Begrebet »juridiske personer« i henhold til bestemmelserne i traktaten om Den Europæiske Unions funktionsmåde (TEUF) om etablering giver operatørerne mulighed for frit at vælge den retlige form, de måtte finde passende for udøvelsen af deres virksomhed. Begrebet »juridiske personer« i henhold til TEUF omfatter derfor alle enheder, der er oprettet i henhold til eller reguleret af en medlemsstats ret, uanset deres retlige form.
(69)
EU-institutionerne, -organerne, -kontorerne og -agenturerne opfordres til at anerkende elektronisk identifikation og tillidstjenester dækket af denne forordning med henblik på administrativt samarbejde, der især udnytter eksisterende god praksis og resultaterne af igangværende projekter på de områder, der er dækket af denne forordning.
(70)
For at supplere visse detaljerede tekniske aspekter af denne forordning på fleksibel og hurtig vis, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF, for så vidt angår de kriterier, som de organer, der er ansvarlige for certificering af kvalificerede elektroniske signaturgenereringssystemer, skal opfylde. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau. Kommissionen bør i forbindelse med forberedelsen og udarbejdelsen af delegerede retsakter sørge for samtidig, rettidig og hensigtsmæssig fremsendelse af relevante dokumenter til Europa-Parlamentet og Rådet.
(71)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser, navnlig beføjelse til at opstille referencenumre på standarder, hvis anvendelse ville skabe formodning om overensstemmelse med bestemte krav, der er fastlagt i denne forordning. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (12).
(72)
Når Kommissionen vedtager delegerede retsakter eller gennemførelsesretsakter, bør den tage behørigt hensyn til de standarder og tekniske specifikationer, som europæiske og internationale standardiseringsorganisationer og organer har udarbejdet, navnlig Den Europæiske Standardiseringsorganisation (CEN), Det Europæiske Institut for Telestandarder (ETSI), Den Internationale Standardiseringsorganisation (ISO) og Den Internationale Telekommunikationsunion (ITU), for at sikre et højt sikkerheds- og interoperabilitetsniveau for elektroniske identifikations- og tillidstjenester.
(73)
Af hensyn til retssikkerheden og klarheden bør direktiv 1999/93/EF ophæves.
(74)
Af hensyn til retssikkerheden for de markedsoperatører, der allerede benytter kvalificerede certifikater, som er udstedt til fysiske personer i overensstemmelse med direktiv 1999/93/EF, er det nødvendigt at foreskrive en tilstrækkelig overgangsperiode. På samme måde bør der fastlægges overgangsforanstaltninger for sikre signaturgenereringssystemer, hvis opfyldelse af kravene er fastslået i overensstemmelse med direktiv 1999/93/EF, og for certificeringstjenesteudbydere, der udsteder kvalificerede certifikater inden den 1. juli 2016. Endelig er det også nødvendigt at give Kommissionen beføjelser til at vedtage gennemførelsesretsakter og delegerede retsakter før udløbet af overgangsperioden.
(75)
Anvendelsesdatoerne i denne forordning berører ikke eksisterende forpligtelser, som medlemsstaterne allerede har indgået i henhold til EU-retten, navnlig i henhold til direktiv 2006/123/EF.
(76)
Målene for denne forordning kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens omfang bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(77)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (13) og har afgivet en udtalelse den 27. september 2012 (14) -
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand
Med henblik på at sikre et velfungerende indre marked, samtidig med at der sigtes mod et tilstrækkeligt sikkerhedsniveau for elektroniske identifikationsmidler og tillidstjenester, er formålet med denne forordning at:
a)
fastlægge betingelserne for, hvordan medlemsstaterne anerkender elektroniske identifikationsmidler for fysiske og juridiske personer, der er omfattet af en anmeldt elektronisk identifikationsordning i en anden medlemsstat
b)
fastlægge regler for tillidstjenester, navnlig for elektroniske transaktioner, og
c)
opstille et retsgrundlag for elektroniske signaturer, elektroniske segl, elektroniske tidsstempler, elektroniske dokumenter, elektroniske registrerede leveringstjenester og certificeringstjenester for webstedsautentifikation.
Artikel 2
Anvendelsesområde
1. Denne forordning finder anvendelse på elektroniske identifikationsordninger, der er blevet anmeldt af en medlemsstat, samt på tillidstjenesteudbydere, der er hjemmehørende i Unionen.
2. Denne forordning finder ikke anvendelse på levering af tillidstjenester, der udelukkende anvendes i lukkede systemer i henhold til national ret eller aftaler mellem et defineret sæt deltagere.
3. Denne forordning påvirker ikke national ret eller EU-ret vedrørende kontrakters indgåelse og gyldighed eller andre retlige eller proceduremæssige forpligtelser, der vedrører formkrav.
Artikel 3
Definitioner
I denne forordning forstås ved:
1) »elektronisk identifikation«: det at bruge personidentifikationsdata i elektronisk form, der entydigt repræsenterer enten en fysisk eller juridisk person eller en fysisk person, der repræsenterer en juridisk person
2) »elektronisk identifikationsmiddel«: en materiel og/eller immateriel enhed, der indeholder personidentifikationsdata, og som bruges til autentifikation i forbindelse med en onlinetjeneste
3) »personidentifikationsdata«: et sæt data, der gør det muligt at fastslå identiteten på en fysisk eller juridisk person eller en fysisk person, der repræsenterer en juridisk person
4) »elektronisk identifikationsordning«: et system til elektronisk identifikation, under hvilket der udstedes elektroniske identifikationsmidler til fysiske eller juridiske eller fysiske personer, der repræsenterer juridiske personer
5) »autentifikation«: en elektronisk proces, der muliggør bekræftelse af den elektroniske identifikation af en fysisk eller juridisk person eller oprindelsen og integriteten af data i elektronisk form
6) »modtagerpart«: en fysisk eller juridisk person, der er afhængig af en elektronisk identifikations- eller tillidstjeneste
7) »offentlig myndighed«: en statslig, regional eller lokal myndighed, et offentligretligt organ eller en sammenslutning af en eller flere af disse myndigheder eller et eller flere af disse offentligretlige organer eller en privat enhed med mandat fra mindst en af disse myndigheder, organer eller sammenslutninger til at udbyde offentlige tjenester, når den optræder i henhold til et sådant mandat
8) »offentligretligt organ«: et organ som defineret i artikel 2, stk. 1, nr. 4), i Europa-Parlamentets og Rådets direktiv 2014/24/EU (15)
9) »underskriver«: en fysisk person, der genererer en elektronisk signatur
10) »elektronisk signatur«: data i elektronisk form, der er vedhæftet eller logisk tilknyttet andre data i elektronisk form, og som anvendes af underskriveren til at skrive under med
11) »avanceret elektronisk signatur«: en elektronisk signatur, der opfylder kravene i artikel 26
12) »kvalificeret elektronisk signatur«: en avanceret elektronisk signatur, der er genereret af et kvalificeret elektronisk signaturgenereringssystem og baseret på et kvalificeret certifikat for elektroniske signaturer
13) »elektroniske signaturgenereringsdata«: entydige data, som anvendes af underskriveren til at generere en elektronisk signatur
14) »certifikat for elektronisk signatur«: en elektronisk attestering, som knytter elektroniske signaturvalideringsdata til en fysisk person og mindst bekræfter denne persons navn eller pseudonym
15) »kvalificeret certifikat for elektronisk signatur«: et certifikat for elektroniske signaturer, som er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag I
16) »tillidstjeneste«: en elektronisk tjeneste, der normalt udføres mod betaling, og som består af:
a)
generering, kontrol og validering af elektroniske signaturer, elektroniske segl eller elektroniske tidsstempler, elektroniske registrerede leveringstjenester og certifikater relateret til disse tjenester, eller
b)
generering, kontrol og validering af certifikater for webstedsautentifikation, eller
c)
bevaring af elektroniske signaturer, segl eller certifikater relateret til disse tjenester
17) »kvalificeret tillidstjeneste«: en tillidstjeneste, der opfylder de krav, der er fastsat i denne forordning
18) »overensstemmelsesvurderingsorgan«: et organ som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008, der er akkrediteret i overensstemmelse med nævnte forordning med kompetence til at udføre overensstemmelsesvurderinger af en kvalificeret tillidstjenesteudbyder og de kvalificerede tillidstjenester, den udbyder
19) »tillidstjenesteudbyder«: en fysisk eller juridisk person, der udbyder en eller flere tillidstjenester, som enten en kvalificeret eller ikkekvalificeret tillidstjenesteudbyder
20) »kvalificeret tillidstjenesteudbyder«: en tillidstjenesteudbyder, der udbyder en eller flere kvalificerede tillidstjenester og har fået tildelt status som kvalificeret tillidstjenesteudbyder af tilsynsorganet
21) »produkt«: hardware eller software eller relevante hardware- eller softwarekomponenter, som er beregnet til at blive brugt til levering af tillidstjenester
22) »elektronisk signaturgenereringssystem«: konfigureret software eller hardware, der bruges til at generere en elektronisk signatur
23) »kvalificeret elektronisk signaturgenereringssystem«: et elektronisk signaturgenereringssystem, der opfylder kravene i bilag II
24) »forseglende part«: en juridisk person, der genererer et elektronisk segl
25) »elektronisk segl«: data i elektronisk form, der er vedhæftet eller logisk tilknyttet andre data i elektronisk form, og som giver sikkerhed for disse tilknyttede datas oprindelse og integritet
26) »avanceret elektronisk segl«: et elektronisk segl, der opfylder kravene fastsat i artikel 36
27) »kvalificeret elektronisk segl«: et avanceret elektronisk segl, der er genereret af et kvalificeret elektronisk seglgenereringssystem, og som er baseret på et kvalificeret certifikat for elektroniske segl
28) »elektroniske seglgenereringsdata«: entydige data, som anvendes af den forseglende part til at generere et elektronisk segl
29) »certifikat for elektronisk segl«: en elektronisk attestering, som knytter elektroniske seglvalideringsdata til en fysisk person og bekræfter denne persons navn
30) »kvalificeret certifikat for elektronisk segl«: et certifikat for et elektronisk segl, som er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag III
31) »elektronisk seglgenereringssystem«: konfigureret software eller hardware, der bruges til at generere et elektronisk segl
32) »kvalificeret elektronisk seglgenereringssystem«: et elektronisk seglgenereringssystem, der med de fornødne ændringer opfylder kravene i bilag II
33) »elektronisk tidsstempel«: data i elektronisk form, der forbinder andre data i elektronisk form med et bestemt tidspunkt og udgør bevis for, at disse andre data eksisterede på det pågældende tidspunkt
34) »kvalificeret elektronisk tidsstempel«: et elektronisk tidsstempel, der opfylder kravene i artikel 42
35) »elektronisk dokument«: al form for indhold, der er lagret i elektronisk form, især som tekst eller lyd eller i visuel eller audiovisuel form
36) »elektronisk registreret leveringstjeneste«: en tjeneste, der gør det muligt at sende data mellem tredjeparter ad elektronisk vej og dokumenterer behandlingen af de sendte data, herunder leverer bevis for afsendelse og modtagelse af dataene, og som beskytter de sendte data mod tab, tyveri, beskadigelse og uautoriseret ændring
37) »kvalificeret elektronisk registreret leveringstjeneste«: en elektronisk registreret leveringstjeneste, der opfylder kravene i artikel 44
38) »certifikat for webstedsautentifikation«: en attestering, der gør det muligt at autentificere et websted og knytter webstedet til den fysiske eller juridiske person, som certifikatet er udstedt til
39) »kvalificeret certifikat for webstedsautentifikation«: et certifikat for webstedsautentifikation, der er udstedt af en kvalificeret tillidstjenesteudbyder og opfylder kravene i bilag IV
40) »valideringsdata«: data, der bruges til at validere en elektronisk signatur eller et elektronisk segl
41) »validering«: en fremgangsmåde til at kontrollere og bekræfte gyldigheden af en elektronisk signatur eller et elektronisk segl.
Artikel 4
Principper vedrørende det indre marked
1. Tillidstjenesteudbydere har ret til uden restriktioner at udbyde deres tjenester i en anden medlemsstat end den, hvor de er hjemmehørende, når tjenesterne udbydes med et formål, der er omfattet af denne forordning.
2. Der er fri bevægelighed på det indre marked for produkter og tillidstjenester, der overholder bestemmelserne i denne forordning.
Artikel 5
Databehandling og databeskyttelse
1. Behandling af personoplysninger skal udføres i overensstemmelse med direktiv 95/46/EF.
2. Uden at den retsvirkning, der tillægges pseudonymer i henhold til den nationale ret dermed foregribes, må anvendelsen af pseudonymer i elektroniske transaktioner ikke forbydes.
KAPITEL II
ELEKTRONISK IDENTIFIKATION
Artikel 6
Gensidig anerkendelse
1. Når der i henhold til national ret eller administrativ praksis kræves elektronisk identifikation ved hjælp af et elektronisk identifikationsmiddel og autentifikation som forudsætning for adgang til en onlinetjeneste, der udbydes af en offentlig myndighed i en medlemsstat, skal det elektroniske identifikationsmiddel, der er udstedt i en anden medlemsstat, anerkendes i den første medlemsstat med henblik på grænseoverskridende autentifikation af denne onlinetjeneste, forudsat at følgende betingelser er opfyldt:
a)
det elektroniske identifikationsmiddel er udstedt under en elektronisk identifikationsordning, der er opført på den liste, som Kommissionen offentliggør i henhold til artikel 9
b)
sikringsniveauet for det elektroniske identifikationsmiddel svarer til et sikringsniveau, der modsvarer eller er højere end det sikringsniveau, der kræves af den relevante offentlige myndighed for at få adgang til den pågældende onlinetjeneste i den første medlemsstat, forudsat at sikringsniveauet for det pågældende elektroniske identifikationsmiddel svarer til sikringsniveauet »betydelig« eller »høj«
c)
den relevante offentlige myndighed anvender sikringsniveauet »betydelig« eller »høj« i forbindelse med adgang til den pågældende onlinetjeneste.
En sådan anerkendelse skal finde sted senest 12 måneder efter, at Kommissionen offentliggør den i første afsnit, litra a), omhandlede liste.
2. Et elektronisk identifikationsmiddel, der er udstedt under en elektronisk identifikationsordning, som er opført på den liste, som Kommissionen offentliggør i henhold til artikel 9, og som svarer til sikringsniveauet »lav«, kan anerkendes af offentlige myndigheder med henblik på grænseoverskridende autentifikation af disse myndigheders tjenester, der udbydes online.
Artikel 7
Antagelse af anmeldelser af elektroniske identifikationsordninger
En elektronisk identifikationsordning kan anmeldes i henhold til artikel 9, stk. 1, hvis alle nedenstående betingelser er opfyldt:
a)
det elektroniske identifikationsmiddel under den elektroniske identifikationsordning er udstedt:
i)
af den anmeldende medlemsstat
ii)
i henhold til et mandat fra den anmeldende medlemsstat, eller
iii)
uafhængigt af den anmeldende medlemsstat og anerkendt af den pågældende medlemsstat
b)
det elektroniske identifikationsmiddel under den elektroniske identifikationsordning kan bruges til at få adgang til mindst en tjeneste, som udbydes af en offentlig myndighed, og som kræver elektronisk identifikation i den anmeldende medlemsstat
c)
den elektroniske identifikationsordning og de elektroniske identifikationsmidler, der er udstedt i medfør heraf, opfylder kravene i mindst ét af de sikringsniveauer, der er fastsat i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3
d)
den anmeldende medlemsstat sikrer, at de personidentifikationsdata, der entydigt repræsenterer den pågældende person, i overensstemmelse med de tekniske specifikationer, standarderne og procedurerne for det relevante sikringsniveau, der er anført i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3, er knyttet til den i artikel 3, nr. 1), omhandlede fysisk eller juridisk person på tidspunktet for udstedelsen af de elektroniske identifikationsmidler under denne ordning
e)
den part, der udsteder det elektroniske identifikationsmiddel under denne ordning, sikrer, at det elektroniske identifikationsmiddel, der knyttes til den person, der er omhandlet i litra d) i nærværende artikel, er i overensstemmelse med de tekniske specifikationer, standarderne og procedurerne for det relevante sikringsniveau, der er fastsat i den gennemførelsesretsakt, som er omhandlet i artikel 8, stk. 3
f)
den anmeldende medlemsstat sikrer, at der er onlineadgang til autentifikation, så enhver modtagerpart, der er hjemmehørende på en anden medlemsstats område, kan bekræfte de personidentifikationsdata, der er modtaget i elektronisk form.
For modtagerparter, der ikke er offentlige myndigheder, kan den anmeldende medlemsstat fastsætte betingelser for adgang til den pågældende autentifikation. Den grænseoverskridende autentifikation skal foretages gratis, når den gennemføres i forbindelse med en onlinetjeneste, der udbydes af en offentlig myndighed.
Medlemsstaterne må ikke pålægge modtagerparter, som vil gennemføre en sådan autentifikation, urimelige tekniske krav, når sådanne krav forhindrer eller i væsentligt omfang hindrer interoperabilitet mellem de anmeldte elektroniske identifikationsordninger
g)
senest seks måneder forud for anmeldelsen i henhold til artikel 9, stk. 1, fremlægger den anmeldende medlemsstat på baggrund af forpligtelsen i artikel 12, stk. 5, en beskrivelse af ordningen for de andre medlemsstater i overensstemmelse med de proceduremæssige ordninger, der er fastsat ved de i artikel 12, stk. 7, omhandlede gennemførelsesretsakter
h)
den elektroniske identifikationsordning opfylder de krav, der er fastsat i den i artikel 12, stk. 8, omhandlede gennemførelsesretsakt.
Artikel 8
Sikringsniveauer for elektroniske identifikationsordninger
1. En elektronisk identifikationsordning, der er anmeldt i henhold til artikel 9, stk. 1, skal angive sikringsniveauerne »lav«, »betydelig« og/eller »høj« for de elektroniske identifikationsmidler, der er udstedt under den pågældende ordning.
2. Sikringsniveauerne »lav«, »betydelig« og »høj« skal opfylde følgende kriterier:
a)
sikringsniveauet »lav« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der udviser en begrænset grad af tillid til en persons påståede identitet, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten
b)
sikringsniveauet »betydelig« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der udviser en middelstor grad af tillid til en persons påståede identitet, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten
c)
sikringsniveauet »høj« henviser til et elektronisk identifikationsmiddel i en elektronisk identifikationsordning, der giver en højere grad af tillid til en persons påståede identitet end elektroniske identifikationsmidler med sikringsniveauet »betydelig«, og som er karakteriseret ved henvisning til tekniske specifikationer, standarder og hertil knyttede procedurer, herunder tekniske kontroller, hvis formål er at mindske risikoen for misbrug eller ændring af identiteten.
3. Senest den 18. september 2015 fastsætter Kommissionen, idet der tages hensyn til relevante internationale standarder og med forbehold af stk. 2, ved hjælp af gennemførelsesretsakter de tekniske minimumsspecifikationer, minimumsstandarder, og procedurer, der henvises til i forbindelse med fastsættelse af sikringsniveauerne »lav«, »betydelig« og »høj« for de elektroniske identifikationsmidler, jf. stk. 1.
Disse tekniske minimumsspecifikationer, minimumsstandarder, og procedurer udarbejdes på grundlag af pålideligheden og kvaliteten af følgende elementer:
a)
proceduren for godtgørelse og kontrol af identiteten på fysiske og juridiske personer, der ansøger om udstedelse af et elektronisk identifikationsmiddel
b)
proceduren for udstedelse af det pågældende elektroniske identifikationsmiddel
c)
autentifikationsmekanismen, hvorigennem den fysiske eller den juridiske person anvender det elektroniske identifikationsmiddel til at bekræfte vedkommendes identitet over for en modtagerpart
d)
enheden, der udsteder det elektroniske identifikationsmiddel
e)
ethvert andet organ, der er involveret i ansøgningsproceduren for udstedelse af det elektroniske identifikationsmiddel
f)
de tekniske specifikationer og sikkerhedsspecifikationerne for det udstedte elektroniske identifikationsmiddel.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 9
Anmeldelse
1. Den anmeldende medlemsstat meddeler Kommissionen nedenstående oplysninger og hurtigst muligt eventuelle senere ændringer heraf:
a)
en beskrivelse af den elektroniske identifikationsordning, herunder dens sikringsniveau og udstederen eller udstederne af elektroniske identifikationsmidler under ordningen
b)
den gældende tilsynsordning og oplysninger om erstatningsansvarsordningen med hensyn til følgende:
i)
den part, der udsteder det elektroniske identifikationsmiddel, og
ii)
den part, der udfører autentifikationsproceduren
c)
oplysning om, hvilken eller hvilke myndigheder der er ansvarlige for den elektroniske identifikationsordning
d)
oplysning om den eller de enheder, der forvalter registreringen af de entydige personidentifikationsdata
e)
en beskrivelse af, hvordan kravene i gennemførelsesretsakterne, jf. artikel 12, stk. 8, opfyldes
f)
en beskrivelse af den autentifikation, der er omhandlet i artikel 7, litra f)
g)
nærmere bestemmelser om suspension eller spærring af den anmeldte elektroniske identifikationsordning eller autentifikationen eller de kompromitterede dele heraf.
2. Et år fra anvendelsesdatoen for gennemførelsesretsakterne, jf. artikel 8, stk. 3, og artikel 12, stk. 8, offentliggør Kommissionen i Den Europæiske Unions Tidende en liste over de elektroniske identifikationsordninger, der er anmeldt i henhold til stk. 1 i nærværende artikel, med grundlæggende oplysninger om ordningerne.
3. Modtager Kommissionen en anmeldelse efter udløbet af den periode, der er fastsat i stk. 2, offentliggør den i Den Europæiske Unions Tidende ændringerne af den i stk. 2 omhandlede liste inden for to måneder fra datoen for modtagelsen af denne anmeldelse.
4. En medlemsstat kan anmode Kommissionen om at fjerne en elektronisk identifikationsordning, der er anmeldt af den pågældende medlemsstat, fra den i stk. 2 omhandlede liste. Kommissionen offentliggør i Den Europæiske Unions Tidende de tilsvarende ændringer til listen inden for en måned fra datoen for medlemsstatens anmodning.
5. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge vilkår, formater og procedurer for anmeldelser i medfør af stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 10
Sikkerhedsbrud
1. Er enten en anmeldt elektronisk identifikationsordning i henhold til artikel 9, stk. 1, eller en autentifikation, jf. artikel 7, litra f), udsat for sikkerhedsbrud eller delvist kompromitteres på en måde, som har indvirkning på pålideligheden af den grænseoverskridende autentifikation i denne ordning, suspenderer eller tilbagekalder den anmeldende medlemsstat omgående den pågældende grænseoverskridende autentifikation eller de pågældende kompromitterede dele og underretter de øvrige medlemsstater og Kommissionen herom.
2. Når sikkerhedsbruddet eller kompromitteringen i stk. 1 afhjælpes, genopretter den anmeldende medlemsstat den grænseoverskridende autentifikation og underretter hurtigst muligt de øvrige medlemsstater og Kommissionen herom.
3. Afhjælpes sikkerhedsbruddet eller kompromitteringen som omhandlet i stk. 1 ikke inden for tre måneder efter suspensionen eller spærringen, underretter den anmeldende medlemsstat de øvrige medlemsstater og Kommissionen om tilbagekaldelsen af den elektroniske identifikationsordning.
Kommissionen offentliggør hurtigst muligt de nødvendige ændringer til listen, jf. artikel 9, stk. 2, i Den Europæiske Unions Tidende.
Artikel 11
Erstatningsansvar
1. Den anmeldende medlemsstat er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelserne i henhold til artikel 7, litra d) og f), i forbindelse med en grænseoverskridende transaktion.
2. Den part, der udsteder det elektroniske identifikationsmiddel, er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelsen i henhold til artikel 7, litra e), i forbindelse med en grænseoverskridende transaktion.
3. Den part, der udfører autentifikationsproceduren, er erstatningsansvarlig for skader, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende sikring af den korrekte udførelse af autentifikationen i henhold til artikel 7, litra f), i forbindelse med en grænseoverskridende transaktion.
4. Stk. 1, 2 og 3 anvendes i overensstemmelse med nationale regler om erstatningsansvar.
5. Stk. 1, 2 og 3 berører ikke det erstatningsansvar, der i henhold til national ret påhviler parterne i en transaktion, hvor der benyttes elektroniske identifikationsmidler, som er omfattet af den elektroniske identifikationsordning, der anmeldes i henhold til artikel 9, stk. 1.
Artikel 12
Samarbejde og interoperabilitet
1. De nationale elektroniske identifikationsordninger, der anmeldes i henhold til artikel 9, stk. 1, skal være interoperable.
2. Med henblik på stk. 1 indføres der en interoperabilitetsramme.
3. Interoperabilitetsrammen skal opfylde følgende kriterier:
a)
den tager sigte på at være teknologineutral og forskelsbehandler ikke mellem specifikke nationale tekniske løsninger til elektronisk identifikation inden for en medlemsstat
b)
den følger europæiske og internationale standarder, når det er muligt
c)
den letter gennemførelsen af princippet om indbygget databeskyttelse (privacy by design), og
d)
den sikrer, at personoplysninger behandles i overensstemmelse med direktiv 95/46/EF.
4. Interoperabilitetsrammen skal omfatte:
a)
en henvisning til tekniske minimumskrav for sikringsniveauerne i artikel 8
b)
en kortlægning af nationale sikringsniveauer for anmeldte elektroniske identifikationsordninger under sikringsniveauerne i artikel 8
c)
en henvisning til tekniske minimumskrav for interoperabilitet
d)
en henvisning til et minimum af personidentifikationsdata, der entydigt repræsenterer en fysisk eller juridisk person, og som stilles til rådighed fra elektroniske identifikationsordninger
e)
forretningsorden
f)
tvistbilæggelsesordninger, og
g)
fælles operationelle sikkerhedsstandarder.
5. Medlemsstaterne skal samarbejde om følgende:
a)
interoperabilitet mellem de elektroniske identifikationsordninger, der er anmeldt i henhold til artikel 9, stk. 1, og de elektroniske identifikationsordninger, som medlemsstaterne har til hensigt at anmelde, og
b)
sikkerheden i de elektroniske identifikationsordninger.
6. Samarbejdet mellem medlemsstaterne omfatter:
a)
udvekslingen af oplysninger, erfaring og god praksis med hensyn til elektroniske identifikationsordninger og navnlig tekniske krav til interoperabilitet og sikringsniveauer
b)
udvekslingen af oplysninger, erfaring og god praksis med hensyn til arbejdet med sikringsniveauer i elektroniske identifikationsordninger i henhold til artikel 8
c)
fagfællebedømmelse (peer review) af elektroniske identifikationsordninger, der henhører under denne forordning, og
d)
undersøgelse af relevante udviklingstendenser i sektoren for elektronisk identifikation.
7. Senest den 18. marts 2015 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter de fornødne proceduremæssige ordninger for at lette samarbejdet mellem medlemsstaterne, jf. stk. 5 og 6, med henblik på at fremme et højt niveau af tillid og sikkerhed, der står i et passende forhold til risikoen.
8. Senest den 18. september 2015 vedtager Kommissionen med forbehold af kriterierne i stk. 3 og under hensyn til resultaterne af samarbejdet mellem medlemsstaterne gennemførelsesretsakter om interoperabilitetsrammen som fastsat i stk. 4 med henblik på at fastsætte ensartede betingelser for gennemførelsen af kravet i stk. 1.
9. De i stk. 7 og 8 i nærværende artikel omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
KAPITEL III
TILLIDSTJENESTER
AFDELING 1
Almindelige bestemmelser
Artikel 13
Erstatningsansvar og bevisbyrde
1. Uden at det berører stk. 2 er tillidstjenesteudbydere erstatningsansvarlige for skade, der forsætligt eller uagtsomt påføres en fysisk eller juridisk person som følge af manglende overholdelse af forpligtelserne i denne forordning.
Den fysiske eller juridiske person, der hævder at have lidt skade som omhandlet i første afsnit, bærer bevisbyrden for, at en ikkekvalificeret tillidstjenesteudbyder har handlet forsætligt eller uagtsomt.
En kvalificeret tillidstjenesteudbyder formodes at have handlet forsætligt eller uagtsomt, medmindre den pågældende kvalificerede tillidstjenesteudbyder beviser, at den i første afsnit omhandlede skade opstod uden forsæt eller uagtsomhed fra den pågældende kvalificerede tillidstjenesteudbyders side.
2. Når tillidstjenesteudbydere behørigt forudgående underretter deres kunder om begrænsningerne i forbindelse med anvendelsen af de tjenester, de udbyder, og når disse begrænsninger er identificerbare for tredjeparter, er tillidstjenesteudbydere ikke erstatningsansvarlige for skader, der påføres i forbindelse med anvendelse af tjenester, der går ud over de anførte begrænsninger.
3. Stk. 1 og 2 anvendes i overensstemmelse med nationale regler om erstatningsansvar.
Artikel 14
Internationale aspekter
1. Tillidstjenester der udbydes af tillidstjenesteudbydere, som er hjemmehørende i et tredjeland, anerkendes som retligt ligestillede med kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, der er hjemmehørende i Unionen, hvis de tillidstjenester, der har oprindelse i tredjelandet, anerkendes i henhold til en aftale, som er indgået mellem Unionen og det pågældende tredjeland eller en international organisation i overensstemmelse med artikel 218 i TEUF.
2. Aftaler som omhandlet i stk. 1 skal navnlig sikre, at:
a)
tillidstjenesteudbyderne i det tredjeland eller de internationale organisationer, som aftalen indgås med, og de tillidstjenester, de udbyder, opfylder de krav, der gælder for kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, og de kvalificerede tillidstjenester, de udbyder
b)
de kvalificerede tillidstjenester, der udbydes af kvalificerede tillidstjenesteudbydere, som er hjemmehørende i Unionen, anerkendes som retligt ligestillede med tillidstjenester, der udbydes af tillidstjenesteudbydere i det tredjeland eller den internationale organisation, som aftalen indgås med.
Artikel 15
Tilgængelighed for personer med handicap
Når det er muligt, gøres tillidstjenester og slutbrugerprodukter, der bruges til levering af disse tjenester, tilgængelige for handicappede.
Artikel 16
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner for overtrædelse af denne forordning. Sanktionerne skal være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
AFDELING 2
Tilsyn
Artikel 17
Tilsynsorganer
1. Hver medlemsstat udpeger et tilsynsorgan, der er hjemmehørende på dens område, eller, efter gensidig aftale med en anden medlemsstat, et tilsynsorgan, der er hjemmehørende i den pågældende anden medlemsstat. Dette organ er ansvarligt for tilsynsopgaver i den udpegende medlemsstat.
Tilsynsorganerne tillægges de nødvendige beføjelser og tilstrækkelige ressourcer til varetagelsen af deres opgaver.
2. Medlemsstaterne meddeler Kommissionen navn og adresse på de tilsynsorganer, de hver især har udpeget.
3. Tilsynsorganet har følgende rolle:
a)
at føre tilsyn med kvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område, for ved hjælp af forudgående og efterfølgende tilsynsvirksomhed at sikre, at disse kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, de udbyder, opfylder kravene i denne forordning
b)
om nødvendigt at gribe ind over for ikkekvalificerede tillidstjenesteudbydere, der er hjemmehørende på den udpegende medlemsstats område ved hjælp af efterfølgende tilsynsvirksomhed, når det underrettes om, at disse ikkekvalificerede tillidstjenesteudbydere eller de tillidstjenester, de udbyder, angiveligt ikke opfylder kravene i denne forordning.
4. Med henblik på stk. 3 og med forbehold af de deri fastsatte begrænsninger omfatter tilsynsorganets opgaver navnlig:
a)
at samarbejde med andre tilsynsorganer og yde dem bistand i overensstemmelse med artikel 18
b)
at analysere de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20, stk. 1, og artikel 21, stk. 1
c)
at underrette andre tilsynsorganer og offentligheden om brud på sikkerheden eller tab af integritet i overensstemmelse med artikel 19, stk. 2
d)
at aflægge rapport til Kommissionen om sin primære virksomhed i overensstemmelse med stk. 6 i nærværende artikel
e)
at foretage kontrolundersøgelser eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere i overensstemmelse med artikel 20, stk. 2
f)
at samarbejde med databeskyttelsesmyndighederne, navnlig ved hurtigst muligt at underrette dem om resultaterne af kontrolundersøgelser af kvalificerede tillidstjenesteudbydere, hvis der er mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger
g)
at tildele kvalificerede tillidstjenesteudbydere og de tjenester, de udbyder, status som kvalificeret og at trække denne status tilbage i overensstemmelse med artikel 20 og 21
h)
at underrette det organ, der er ansvarligt for den nationale positivliste, der er omhandlet i artikel 22, stk. 3, om sine afgørelser om tildeling eller tilbagetrækning af status som kvalificeret, medmindre dette organ også er tilsynsorganet
i)
at kontrollere, at der findes bestemmelser om planer for virksomhedsafbrydelse, og at de anvendes korrekt, i tilfælde hvor den kvalificerede tillidstjenesteudbyder afbryder sin virksomhed, herunder hvordan oplysninger forbliver tilgængelige i overensstemmelse med artikel 24, stk. 2, litra h)
j)
at pålægge tillidstjenesteudbydere at afhjælpe mangler i opfyldelsen af de krav, der er fastsat i denne forordning.
5. Medlemsstaterne kan kræve, at tilsynsorganet opretter, vedligeholder og ajourfører en tillidsinfrastruktur i overensstemmelse med betingelserne i national ret.
6. Senest den 31. marts hvert år forelægger tilsynsorganerne Kommissionen en rapport om det foregående kalenderårs primære tilsynsvirksomhed sammen med en sammenfatning af de indberetninger af brud på sikkerheden, som er modtaget fra tillidstjenesteudbydere i overensstemmelse med artikel 19, stk. 2.
7. Kommissionen gør den i stk. 6 omhandlede årlige rapport tilgængelig for medlemsstaterne.
8. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer for rapporteringen i medfør af stk. 6. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 18
Gensidig bistand
1. Tilsynsorganerne skal samarbejde med henblik på at udveksle god praksis.
Et tilsynsorgan skal efter modtagelsen af en begrundet anmodning fra et andet tilsynsorgan yde det pågældende organ bistand, således at tilsynsorganernes arbejde kan udføres på en ensartet måde. Den gensidige bistand kan navnlig omfatte anmodninger om oplysninger og tilsynsforanstaltninger, f.eks. anmodninger om at foretage inspektioner i forbindelse med de overensstemmelsesvurderingsrapporter, der er omhandlet i artikel 20 og 21.
2. Et tilsynsorgan, der modtager en anmodning om bistand, kan afvise denne anmodning med en af følgende begrundelser:
a)
tilsynsorganet er ikke kompetent til at yde den bistand, der anmodes om
b)
anmodningen om bistand står ikke i rimeligt forhold til tilsynsorganets tilsynsvirksomhed udført i overensstemmelse med artikel 17
c)
det ville være uforeneligt med denne forordning at yde den bistand, der anmodes om.
3. Når det er hensigtsmæssigt, kan medlemsstaterne tillade, at deres respektive tilsynsorganer i fællesskab gennemfører undersøgelser, hvor personale fra andre medlemsstaters tilsynsorganer deltager. Reglerne for og fremgangsmåden ved sådanne fælles aktioner skal aftales og fastlægges af de berørte medlemsstater i overensstemmelse med deres nationale ret.
Artikel 19
Sikkerhedskrav til tillidstjenesteudbydere
1. Kvalificerede og ikkekvalificerede tillidstjenesteudbydere skal træffe passende tekniske og organisatoriske foranstaltninger til at styre de sikkerhedsmæssige risici i forbindelse med de tillidstjenester, de udbyder. Under hensyn til den seneste teknologiske udvikling skal disse foranstaltninger garantere et sikkerhedsniveau, der svarer til risikoens omfang. Tillidstjenesteudbyderne bør navnlig tage skridt til at forhindre og minimere virkningen af sikkerhedsrelaterede hændelser og underrette de berørte parter om de negative virkninger af sådanne hændelser.
2. De kvalificerede og ikkekvalificerede tillidstjenesteudbydere, der konstaterer et brud på sikkerheden eller tab af integritet, som har en væsentlig indvirkning på den udbudte tillidstjeneste eller de berørte personoplysninger, skal hurtigst muligt og under alle omstændigheder inden for 24 timer efter at være blevet opmærksomme på forholdet underrette tilsynsorganet, og eventuelt andre relevante organer som f.eks. det kompetente nationale organ for informationssikkerhed eller databeskyttelsesmyndigheden.
Når det er sandsynligt, at et brud på sikkerheden eller tab af integritet vil krænke den fysiske eller juridiske person, som har modtaget tillidstjenesten, skal tillidstjenesteudbyderen også hurtigst muligt underrette den fysiske eller juridiske person om bruddet på sikkerheden eller tab af integritet.
Hvor det er relevant, og navnlig hvis et brud på sikkerheden eller tab af integritet berører to eller flere medlemsstater, skal det underrettede tilsynsorgan informere tilsynsorganerne i andre berørte medlemsstater og ENISA.
Det underrettede tilsynsorgan skal også informere offentligheden eller kræve, at tillidstjenesteudbyderen gør det, hvis det fastslår, at det er i offentlighedens interesse, at et brud på sikkerheden eller tab af integritet offentliggøres.
3. Tilsynsorganet forelægger en gang om året ENISA en sammenfattende rapport om de indberetninger af brud på sikkerheden eller tab af integritet, som det har modtaget fra tillidstjenesteudbyderne.
4. Kommissionen kan ved gennemførelsesretsakter:
a)
yderligere specificere de i stk. 1 omhandlede foranstaltninger, og
b)
vedtage formater og procedurer, herunder tidsfrister, for gennemførelsen af stk. 2.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 3
Kvalificerede tillidstjenesteydelser
Artikel 20
Tilsyn med kvalificerede tillidstjenesteudbydere
1. Kvalificerede tillidstjenesteudbydere skal kontrolleres af et overensstemmelsesvurderingsorgan for egen regning mindst hver 24. måned. Formålet med kontrollen er at bekræfte, at de kvalificerede tillidstjenesteudbydere og de kvalificerede tillidstjenester, som de udbyder, opfylder de krav, der er fastsat i denne forordning. De kvalificerede tillidstjenesteudbydere skal forelægge den resulterende overensstemmelsesvurderingsrapport for tilsynsorganet inden for en periode på tre arbejdsdage efter modtagelsen heraf.
2. Uden at dette berører stk. 1, kan tilsynsorganet til enhver tid foretage kontrol hos eller anmode et overensstemmelsesvurderingsorgan om at udføre en overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere for disses tillidstjenesteudbyderes regning for at bekræfte, at de og deres kvalificerede tillidstjenester opfylder de krav, der er fastsat i denne forordning. Ved mistanke om overtrædelse af reglerne om beskyttelse af personoplysninger skal tilsynsorganet underrette databeskyttelsesmyndighederne om resultaterne af deres kontrolundersøgelser.
3. Kræver tilsynsorganet, at den kvalificerede tillidstjenesteudbyder afhjælper enhver forsømmelse af at opfylde kravene i denne forordning, og hvis tjenesteudbyderen ikke handler i overensstemmelse hermed og eventuelt inden for en af tilsynsorganet fastsat frist, kan tilsynsorganet under særlig hensyntagen til den omtalte mangels omfang, varighed og konsekvenser tilbagetrække den pågældende tjenesteudbyders eller den pågældende tjenestes status som kvalificeret og informere det organ, der er omhandlet i artikel 22, stk. 3, med henblik på at føre positivlisten i artikel 22, stk. 1, ajour. Tilsynsorganet underretter den kvalificerede tillidstjenesteudbyder om tilbagetrækningen af vedkommendes eller af den pågældende kvalificerede tjenestes status som kvalificeret.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på følgende standarder:
a)
akkreditering af overensstemmelsesvurderingsorganerne og for overensstemmelsesvurderingsrapporten, jf. stk. 1
b)
revisionsregler, i henhold til hvilke overensstemmelsesvurderingsorganer udfører deres overensstemmelsesvurdering af de kvalificerede tillidstjenesteudbydere, jf. stk. 1.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 21
Iværksættelse af en kvalificeret tillidstjeneste
1. Ønsker en tillidstjenesteudbyder, der ikke har status som kvalificeret, at udbyde kvalificerede tillidstjenester, skal tjenesteudbyderen anmelde sin hensigt til tilsynsorganet og indsende en overensstemmelsesvurderingsrapport udstedt af et overensstemmelsesvurderingsorgan.
2. Tilsynsorganet kontrollerer, om tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, opfylder de i denne forordning fastsatte krav, og navnlig kravene til kvalificerede tillidstjenesteudbydere og disses kvalificerede tillidstjenester.
Konkluderer tilsynsorganet, at tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, overholder de i første afsnit omhandlede krav, tildeler tilsynsorganet tillidstjenesteudbyderen og de tillidstjenester, som vedkommende udbyder, status som kvalificeret og underretter senest tre måneder efter anmeldelsen, jf. stk. 1 i nærværende artikel, det organ, der er omhandlet i artikel 22, stk. 3, med henblik på at føre positivlisterne i artikel 22, stk. 1, ajour.
Er kontrollen ikke afsluttet inden tre måneder efter anmeldelsen, underretter tilsynsorganet tillidstjenesteudbyderen herom og forklarer årsagerne til forsinkelsen samt oplyser, hvornår kontrollen skal være afsluttet.
3. Kvalificerede tillidstjenesteudbydere kan begynde at udbyde den kvalificerede tillidstjeneste, når den kvalificerede status er indført på de i artikel 22, stk. 1, omhandlede positivlister.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer med henblik på stk. 1 og 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 22
Positivlister
1. Hver medlemsstat opretter, ajourfører og offentliggør positivlister herunder oplysninger om de kvalificerede tillidstjenesteudbydere, som den har ansvaret for, samt oplysninger om deres kvalificerede tillidstjenester.
2. Medlemsstaterne opretter, ajourfører og offentliggør under sikre forhold de elektronisk underskrevne eller forseglede positivlister, jf. stk. 1, i en form, der egner sig til automatiseret behandling.
3. Medlemsstaterne meddeler hurtigst muligt Kommissionen, hvilket organ der er ansvarligt for at oprette, ajourføre og offentliggøre de nationale positivlister, og hvor disse lister offentliggøres, og sender Kommissionen de certifikater, der er anvendt til underskrift eller forsegling af positivlisterne, og eventuelle ændringer heraf.
4. Kommissionen stiller de oplysninger, der er omhandlet i stk. 3, til rådighed for offentligheden via en sikker kommunikationsforbindelse og i en elektronisk underskrevet eller forseglet form, der egner sig til automatiseret behandling.
5. Senest den 18. september 2015 præciserer Kommissionen ved hjælp af gennemførelsesretsakter de oplysninger, der er anført i stk. 1, og fastlægger tekniske specifikationer og formater for positivlister med henblik på gennemførelsen af stk. 1-4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 23
EU-tillidsmærket for kvalificerede tillidstjenester
1. Efter at status som kvalificeret tillidstjenesteudbyder, jf. artikel 21, stk. 2, andet afsnit, er blevet angivet på den i artikel 22, stk. 1, omhandlede positivliste, kan kvalificerede tillidstjenesteudbydere anvende EU-tillidsmærket for på en enkel, genkendelig og klar måde at angive, hvilke kvalificerede tillidstjenester de udbyder.
2. Når EU-tillidsmærket anvendes for de i stk. 1 omhandlede kvalificerede tillidstjenester, skal de kvalificerede tillidstjenesteudbydere sikre, at der på deres websted findes et link til den relevante positivliste.
3. Senest den 1. juli 2015 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter specifikationer med hensyn til formen og navnlig præsentationsformen, sammensætningen, størrelsen og udformningen af EU-tillidsmærket for kvalificerede tillidstjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 24
Krav til kvalificerede tillidstjenesteudbydere
1. Når en kvalificeret tillidstjenesteudbyder udsteder et kvalificeret certifikat for en tillidstjeneste, skal vedkommende med hensigtsmæssige midler og i overensstemmelse med national ret kontrollere identiteten og eventuelt særlige kendetegn ved den fysiske eller juridiske person, som det kvalificerede certifikat udstedes til.
Oplysningerne i første afsnit kontrolleres af den kvalificerede tillidstjenesteudbyder enten direkte eller via en tredjemand i overensstemmelse med national ret:
a)
ved fysisk tilstedeværelse af den fysiske person eller den bemyndigede repræsentant for den juridiske person, eller
b)
uden fysisk tilstedeværelse ved hjælp af elektroniske identifikationsmidler, hvortil der forud for udstedelsen af et kvalificeret certifikat var sikret en fysisk tilstedeværelse af den fysiske person eller af en bemyndiget repræsentant for den juridiske person, og som lever op til kravene i artikel 8 med hensyn til sikringsniveauet »betydelig« eller »høj«, eller
c)
ved hjælp af et certifikat af en kvalificeret elektronisk signatur eller af et kvalificeret elektronisk segl udstedt i overensstemmelse med litra a) eller b), eller
d)
ved hjælp af andre identifikationsmetoder anerkendt på nationalt plan, som giver en sikkerhed, der for så vidt angår pålidelighed svarer til fysisk tilstedeværelse. Den tilsvarende sikkerhed skal bekræftes af et overensstemmelsesvurderingsorgan.
2. En kvalificeret tillidstjenesteudbyder, der udbyder kvalificerede tillidstjenester, skal:
a)
informere tilsynsorganet om ændringer i udbuddet af dennes kvalificerede tillidstjenester og om dennes hensigt om at ophøre med denne virksomhed
b)
beskæftige personale, og eventuelt underleverandører, der har den nødvendige ekspertviden og troværdighed og de nødvendige erfaringer, og kvalifikationer, og som har fået tilstrækkelig uddannelse i reglerne for sikkerhed og beskyttelse af personoplysninger og skal anvende administrative og ledelsesmæssige procedurer i overensstemmelse med europæiske eller internationale standarder
c)
i forbindelse med erstatningsansvaret for skader, have tilstrækkelige økonomiske ressourcer til rådighed, jf. artikel 13, og/eller anskaffe en passende ansvarsforsikring i overensstemmelse med national ret
d)
på en klar og let forståelig måde underrette de personer, der ønsker at gøre brug af en kvalificeret tillidstjeneste, om de nøjagtige vilkår for brugen af denne tjeneste, herunder eventuelle begrænsninger i brugen heraf, inden de indgår i et kontraktforhold
e)
anvende pålidelige systemer og produkter, som er beskyttet mod ændringer, og sikre den tekniske sikkerhed og pålidelighed i de processer, som disse systemer og produkter understøtter
f)
benytte pålidelige systemer til opbevaring af de data, den kvalificerede tillidstjenesteudbyder modtager, i kontrollerbar form, således at
i)
de kun er offentligt tilgængelige i de tilfælde, hvor den person, som dataene vedrører, har givet sit samtykke
ii)
kun bemyndigede personer kan foretage tilføjelser til og ændringer af de opbevarede data
iii)
dataenes ægthed kan kontrolleres
g)
træffe passende foranstaltninger imod forfalskning og tyveri af data
h)
i en rimelig periode registrere alle relevante oplysninger om de data, den kvalificerede tillidstjenesteudbyder har udstedt og modtaget, og sørge for, at de er tilgængelige, herunder efter at den kvalificerede tillidstjenesteudbyder har indstillet sin virksomhed, navnlig for at kunne fremlægge bevis i retssager og for at garantere tjenestens kontinuitet. Denne registrering kan ske elektronisk
i)
have en ajourført plan i tilfælde af virksomhedsafbrydelse for at sikre tjenestens kontinuitet i overensstemmelse med de bestemmelser, som tilsynsorganer kontrollerer i medfør af artikel 17, stk. 4, litra i)
j)
sikre, at personoplysninger behandles lovligt i overensstemmelse med direktiv 95/46/EF
k)
oprette og ajourføre en certifikatdatabase, når den kvalificerede tillidstjenesteudbyder udsteder kvalificerede certifikater.
3. Vælger en kvalificeret tillidstjenesteudbyder, der udsteder kvalificerede certifikater, at spærre et certifikat, skal denne registrere en sådan spærring i sin certifikatdatabase og offentliggøre spærringen af certifikatet i god tid, og under alle omstændigheder inden for 24 timer efter modtagelsen af anmodningen. Spærringen træder i kraft straks efter offentliggørelsen.
4. Med hensyn til stk. 3 skal kvalificerede tillidstjenesteudbydere, der udsteder kvalificerede certifikater, stille oplysninger om certifikaternes gyldighed eller spærring til rådighed for alle modtagerparter. Disse oplysninger skal som minimum for et certifikat ad gangen være automatisk og gratis tilgængelige til enhver tid og ud over gyldighedsperioden på pålidelig og effektiv vis.
5. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for pålidelige systemer og produkter, som opfylder kravene i stk. 2, litra e) og f), i nærværende artikel. Pålidelige systemer og produkter, der opfylder disse standarder, formodes at overholde kravene i nærværende artikel. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 4
Elektroniske signaturer
Artikel 25
Retsvirkninger af elektroniske signaturer
1. En elektronisk signatur må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at den er i elektronisk form, eller at den ikke opfylder kravene til kvalificerede elektroniske signaturer.
2. En kvalificeret elektronisk signatur har samme retsvirkning som en håndskreven underskrift.
3. En kvalificeret elektronisk signatur, som er baseret på et kvalificeret certifikat, der er udstedt i en medlemsstat, anerkendes som en kvalificeret elektronisk signatur i alle andre medlemsstater.
Artikel 26
Kravene til avancerede elektroniske signaturer
En avanceret elektronisk signatur skal opfylde følgende krav:
a)
den er entydigt knyttet til underskriveren
b)
den kan identificere underskriveren
c)
den genereres ved hjælp af elektroniske signaturgenereringsdata, som underskriveren med en høj grad af tillid kan anvende og har fuld kontrol med, og
d)
den er knyttet til de data, som er underskrevet med den, på en sådan måde, at en hvilken som helst senere ændring af disse data kan opdages.
Artikel 27
Elektroniske signaturer i offentlige tjenester
1. Kræver en medlemsstat en avanceret elektronisk signatur for at anvende en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske signaturer, avancerede elektroniske signaturer, som er baseret på et kvalificeret certifikat for elektroniske signaturer, og kvalificerede elektroniske signaturer som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
2. Kræver en medlemsstat en avanceret elektronisk signatur, som er baseret på et kvalificeret certifikat, for at anvende en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske signaturer, som er baseret på et kvalificeret certifikat, og kvalificerede elektroniske signaturer som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
3. I forbindelse med grænseoverskridende anvendelse af en onlinetjeneste, der udbydes af en offentlig myndighed, må medlemsstaterne ikke kræve en elektronisk signatur med et højere sikkerhedsniveau end det, der er forbundet med den kvalificerede elektroniske signatur.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for avancerede elektroniske signaturer. En avanceret elektronisk signatur, der opfylder disse standarder, formodes at overholde de krav til elektroniske signaturer, der er fastlagt i denne artikels stk. 1 og 2, og i artikel 26. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
5. Senest den 18. september 2015 og under hensyn til eksisterende praksis, standarder og EU-retsakter definerer Kommissionen ved hjælp af gennemførelsesretsakter referenceformater for avancerede elektroniske signaturer eller referencemetoder, når der anvendes alternative formater. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 28
Kvalificerede certifikater for elektroniske signaturer
1. Kvalificerede certifikater for elektroniske signaturer skal opfylde kravene i bilag I.
2. Kvalificerede certifikater for elektroniske signaturer må ikke være omfattet af ufravigelige krav, der går videre end kravene i bilag I.
3. Kvalificerede certifikater for elektroniske signaturer kan omfatte ikkeobligatoriske supplerende særlige kendetegn. Disse kendetegn må ikke påvirke interoperabiliteten mellem og anerkendelsen af kvalificerede elektroniske signaturer.
4. Såfremt et kvalificeret certifikat for elektroniske signaturer er blevet spærret efter den første aktivering, mister det sin gyldighed fra tidspunktet for spærringen, og dets status kan under ingen omstændigheder genetableres.
5. Medlemsstaterne kan fastsætte nationale regler for en midlertidig suspension af et kvalificeret certifikat for elektroniske signaturer på følgende betingelser:
a)
hvis et kvalificeret certifikat for elektroniske signaturer er blevet suspenderet midlertidigt, mister det sin gyldighed i suspensionsperioden
b)
suspensionsperioden angives klart i certifikatdatabasen, og suspensionsstatus gøres synlig i suspensionsperioden af den tjeneste, der formidler oplysninger om status for certifikatet.
6. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for elektroniske signaturer. Et kvalificeret certifikat for elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i bilag I. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 29
Krav til kvalificerede elektroniske signaturgenereringssystemer
1. Kvalificerede elektroniske signaturgenereringssystemer skal opfylde kravene i bilag II.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede elektroniske signaturgenereringssystemer. Et kvalificeret elektronisk signaturgenereringssystem, der opfylder disse standarder, formodes at overholde kravene i bilag II. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 30
Certificering af kvalificerede elektroniske signaturgenereringssystemer
1. Egnede offentlige eller private organer, der udpeges af medlemsstaterne, skal certificere overensstemmelsen mellem de kvalificerede elektroniske signaturgenereringssystemer og de i bilag II fastsatte krav.
2. Medlemsstaterne meddeler Kommissionen navn og adresse på de i stk. 1 omhandlede offentlige eller private organer. Kommissionen stiller disse oplysninger til rådighed for medlemsstaterne.
3. Certificeringen i stk. 1 baseres på en af følgende processer:
a)
en sikkerhedsevalueringsproces, som gennemføres i overensstemmelse med en af de standarder for sikkerhedsvurdering af informationsteknologiprodukter, der er opført på den liste, der er udarbejdet i overensstemmelse med andet afsnit, eller
b)
en anden proces end den i litra a) omhandlede, såfremt den anvender sammenlignelige sikkerhedsniveauer og såfremt det i stk. 1 omhandlede offentlige eller private organ meddeler denne proces til Kommissionen. Den pågældende proces kan kun anvendes, hvis de standarder, der er omhandlet i litra a), ikke findes, eller hvis en sikkerhedsevalueringsproces som omhandlet i litra a) ikke er afsluttet.
Kommissionen udarbejder ved hjælp af gennemførelsesretsakter en liste over standarder for sikkerhedsvurderingen af de informationsteknologiprodukter, der er omhandlet i litra a). Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
4. Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 47 vedrørende fastsættelsen af de særlige kriterier, som de i stk. 1 i nærværende artikel omhandlede udpegede organer skal opfylde.
Artikel 31
Offentliggørelse af en liste over certificerede kvalificerede elektroniske signaturgenereringssystemer
1. Medlemsstaterne forelægger uden unødig forsinkelse og senest en måned efter, at certificeringen er blevet afsluttet, Kommissionen oplysninger om de kvalificerede elektroniske signaturgenereringssystemer, der er certificeret af de organer, der er omhandlet i artikel 30, stk. 1. De underretter også hurtigst muligt og senest en måned efter, at certificeringen er blevet annulleret, Kommissionen om kvalificerede elektroniske signaturgenereringssystemer, der ikke længere er certificeret.
2. På grundlag af de modtagne oplysninger opstiller Kommissionen en liste over certificerede kvalificerede elektroniske signaturgenereringssystemer, som den offentliggør og fører ajour.
3. Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge formater og procedurer for gennemførelsen af stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 32
Krav til validering af kvalificerede elektroniske signaturer
1. Processen for validering af en kvalificeret elektronisk signatur skal bekræfte gyldigheden af en kvalificeret elektronisk signatur, såfremt:
a)
det certifikat, der støtter signaturen, på underskriftstidspunktet var et kvalificeret certifikat for elektronisk signatur, der var i overensstemmelse bilag I
b)
det kvalificerede certifikat var udstedt af en kvalificeret tillidstjenesteudbyder og var gyldigt på underskriftstidspunktet
c)
signaturvalideringsdataene stemmer overens med de data, der leveres til modtagerparten
d)
det entydige sæt data, der repræsenterer underskriveren i certifikatet, leveres korrekt til modtagerparten
e)
en eventuel anvendelse af et pseudonym fremgår klart for modtagerparten, såfremt der på underskriftstidspunktet blev anvendt et pseudonym
f)
den elektroniske signatur er genereret af et kvalificeret elektronisk signaturgenereringssystem
g)
de underskrevne datas integritet ikke er bragt i fare
h)
kravene i artikel 26 var opfyldt på underskriftstidspunktet.
2. Det system, der anvendes til validering af den kvalificerede elektroniske signatur, skal levere det korrekte resultat af valideringsprocessen til modtagerparten og gøre det muligt for vedkommende at opdage eventuelle sikkerhedsproblemer.
3. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for validering af kvalificerede elektroniske signaturer. En validering af kvalificerede elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 33
Kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer
1. En kvalificeret valideringstjeneste for kvalificerede elektroniske signaturer må kun stilles til rådighed af en kvalificeret tillidstjenesteudbyder, der
a)
udfører validering i overensstemmelse med artikel 32, stk. 1, og
b)
gør det muligt for modtagerparter automatisk at modtage resultatet af valideringsprocessen på pålidelig og effektiv vis, hvor resultatet er forsynet med valideringstjenesteudbyderens avancerede elektroniske signatur eller avancerede elektroniske segl.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede valideringstjenester, jf. stk. 1. En valideringstjeneste for en kvalificeret elektronisk signatur, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 34
Kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer
1. En kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer må kun stilles til rådighed af en kvalificeret tillidstjenesteudbyder, der anvender procedurer og teknologier, der gør det muligt at forlænge pålideligheden af den kvalificerede elektroniske signatur ud over den teknologiske gyldighedsperiode.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer. En kvalificeret tjeneste til bevaring af kvalificerede elektroniske signaturer, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 5
Elektroniske segl
Artikel 35
Retsvirkninger af elektroniske segl
1. Et elektronisk segl må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form, eller at det ikke opfylder kravene til kvalificerede elektroniske segl.
2. For et kvalificeret elektronisk segl, gælder der en formodning for integriteten af de data og nøjagtigheden af oprindelsen af de data, som det kvalificerede elektroniske segl er knyttet til.
3. Et kvalificeret elektronisk segl, som er baseret på et kvalificeret certifikat og udstedt i en medlemsstat, anerkendes som et kvalificeret elektronisk segl i alle andre medlemsstater.
Artikel 36
Krav til avancerede elektroniske segl
Et avanceret elektronisk segl skal opfylde følgende krav:
a)
det er entydigt knyttet til den forseglende part
b)
det kan identificere den forseglende part
c)
det genereres ved hjælp af elektroniske seglgenereringsdata, som den forseglende part med en høj grad af tillid og fuld kontrol kan anvende til at generere elektroniske segl, og
d)
det er knyttet til de data, som det vedrører, på en sådan måde, at en hvilken som helst senere ændring af disse data kan opdages.
Artikel 37
Elektroniske segl i offentlige tjenester
1. Kræver en medlemsstat et avanceret elektronisk segl som forudsætning for adgang til en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske segl, avancerede elektroniske segl, som er baseret på et kvalificeret certifikat for elektroniske segl, og kvalificerede elektroniske segl som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
2. Kræver en medlemsstat et avanceret elektronisk segl, som er baseret på et kvalificeret certifikat som forudsætning for adgang til en onlinetjeneste, der udbydes af eller på vegne af en offentlig myndighed, skal den pågældende medlemsstat anerkende avancerede elektroniske segl, som er baserede på et kvalificeret certifikat, og kvalificerede elektroniske segl som minimum i de formater eller ved anvendelse af de metoder, der er defineret i de i stk. 5 omhandlede gennemførelsesretsakter.
3. I forbindelse med grænseoverskridende anvendelse af en onlinetjeneste, der udbydes af en offentlig myndighed, må medlemsstaterne ikke kræve et elektronisk segl på et højere sikkerhedsniveau end det, der er forbundet med et kvalificeret elektronisk segl.
4. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for avancerede elektroniske segl. Et avanceret elektronisk segl, der opfylder disse standarder, formodes at overholde de krav til elektroniske segl, der er fastlagt i denne artikels stk. 1 og 2 og i artikel 36. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
5. Senest den 18. september 2015 og under hensyn til eksisterende praksis, standarder og EU-retsakter definerer Kommissionen ved hjælp af gennemførelsesretsakter referenceformater for avancerede elektroniske segl eller referencemetoder, når der anvendes alternative formater. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 38
Kvalificerede certifikater for elektroniske segl
1. Kvalificerede certifikater for elektroniske segl skal opfylde kravene i bilag III.
2. Kvalificerede certifikater for elektroniske segl må ikke undergives ufravigelige krav, der går videre end kravene i bilag III.
3. Kvalificerede certifikater for elektroniske segl kan omfatte ikkeobligatoriske supplerende særlige kendetegn. Disse kendetegn må ikke påvirke interoperabiliteten mellem og anerkendelsen af kvalificerede elektroniske segl.
4. Såfremt et kvalificeret certifikat for elektronisk segl er blevet spærret efter den første aktivering, mister det sin gyldighed fra tidspunktet for spærringen, og dets status kan under ingen omstændigheder ændres.
5. Medlemsstaterne kan fastsætte nationale regler for en midlertidig suspension af kvalificerede certifikater for elektroniske segl på følgende betingelser:
a)
hvis et kvalificeret certifikat for elektronisk segl er blevet suspenderet midlertidigt, mister det sin gyldighed i suspensionsperioden
b)
suspensionsperioden angives klart i certifikatdatabasen og suspensionsstatus gøres synlig i suspensionsperioden af den tjeneste, der formidler oplysninger om status for certifikatet.
6. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for elektroniske segl. Et kvalificeret certifikat for elektroniske segl, der opfylder disse standarder, formodes at overholde kravene i bilag III. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
Artikel 39
Kvalificerede elektroniske seglgenereringssystemer
1. Artikel 29 finder tilsvarende anvendelse for så vidt angår kravene til kvalificerede elektroniske seglgenereringssystemer.
2. Artikel 30 finder tilsvarende anvendelse for så vidt angår certificering af kvalificerede elektroniske seglgenereringssystemer.
3. Artikel 31 finder tilsvarende anvendelse for så vidt angår offentliggørelse af en liste over certificerede kvalificerede elektroniske seglgenereringssystemer.
Artikel 40
Validering og bevaring af kvalificerede elektroniske segl
Artikel 32, 33 og 34 finder tilsvarende anvendelse for så vidt angår validering og bevaring af kvalificerede elektroniske segl.
AFDELING 6
Elektroniske tidsstempler
Artikel 41
Retsvirkninger af elektroniske tidsstempler
1. Et elektronisk tidsstempel må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form, eller at det ikke opfylder kravene til et kvalificeret elektronisk tidsstempel.
2. For et kvalificeret elektronisk tidsstempel gælder der en formodning for nøjagtigheden af den dato og det tidspunkt, som det angiver, og integriteten af de data, som dato- og tidsangivelsen er knyttet til.
3. Et kvalificeret elektronisk tidsstempel, som er udstedt i en medlemsstat, anerkendes som et kvalificeret elektronisk tidsstempel i alle medlemsstater.
Artikel 42
Krav til kvalificerede elektroniske tidsstempler
1. Kvalificerede elektroniske tidsstempler skal opfylde følgende krav:
a)
de forbinder dato og tidspunkt med data på en sådan måde, at det med rimelighed udelukker muligheden for at ændre dataene, uden at det opdages
b)
de bygger på en præcis tidskilde forbundet med koordineret universaltid, og
c)
de er forsynet med den kvalificerede tillidstjenesteudbyders avancerede elektroniske signatur eller forseglet med dennes avancerede elektroniske segl eller med en anden tilsvarende metode.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for forbindelsen af dato og tidspunkt med data og for brug af nøjagtige tidskilder. Forbindelsen af dato og tidspunkt med data og nøjagtige tidskilder, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 7
Elektroniske registrerede leveringstjenester
Artikel 43
Retsvirkning af elektroniske registrerede leveringstjenester
1. Data, der sendes og modtages via en elektronisk registreret leveringstjeneste, må ikke nægtes retsvirkning og anerkendelse som bevismateriale under retssager, alene af den grund at de er i en elektronisk form, eller at de ikke opfylder kravene til den kvalificerede, elektroniske registrerede leveringstjeneste.
2. Med hensyn til data, der sendes og modtages via en kvalificeret elektronisk registreret leveringstjeneste, gælder der en formodning om dataenes integritet, den valgte afsenders afsendelse og den valgte modtagers modtagelse af dataene og nøjagtigheden af den dato og det tidspunkt for afsendelse og modtagelse, som den kvalificerede elektroniske registrerede leveringstjeneste angiver.
Artikel 44
Krav til kvalificerede elektroniske registrerede leveringstjenester
1. Kvalificerede elektroniske registrerede leveringstjenester skal opfylde følgende krav:
a)
de udbydes af en eller flere kvalificerede tillidstjenesteudbydere
b)
de sikrer med en høj grad af tillid identifikation af afsenderen
c)
de sikrer forud for levering af dataene identifikation af modtageren
d)
afsendelsen og modtagelsen af data er beskyttet af en kvalificeret tillidstjenesteudbyders avancerede elektroniske signatur eller avancerede elektroniske segl på en sådan måde, at det er umuligt at ændre dataene, uden at det opdages
e)
hvis det er nødvendigt at ændre dataene, for at de kan sendes eller modtages, angives dette klart over for afsenderen og modtageren af dataene
f)
datoen og tidspunktet for afsendelse, modtagelse og en eventuel ændring af data angives ved hjælp af et kvalificeret elektronisk tidsstempel.
Overføres dataene mellem to eller flere kvalificerede tillidstjenesteudbydere, gælder kravene i litra a)-f) for samtlige kvalificerede tillidstjenesteudbydere.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for dataafsendelses- og -modtagelsesprocesser. En dataafsendelses- og -modtagelsesproces, der opfylder disse standarder, formodes at overholde kravene i stk. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
AFDELING 8
Webstedsautentifikation
Artikel 45
Krav til kvalificerede certifikater for webstedsautentifikation
1. Kvalificerede certifikater for webstedsautentifikation skal opfylde kravene i bilag IV.
2. Kommissionen kan ved hjælp af gennemførelsesretsakter opstille referencenumre på standarder for kvalificerede certifikater for webstedsautentifikation. Et kvalificeret certifikat for webstedsautentifikation, der opfylder disse standarder, formodes at overholde kravene i bilag IV. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 48, stk. 2.
KAPITEL IV
ELEKTRONISKE DOKUMENTER
Artikel 46
Retsvirkninger af elektroniske dokumenter
Et elektronisk dokument må ikke nægtes retsvirkning og anerkendelse som bevis under retssager, alene af den grund at det er i elektronisk form.
KAPITEL V
DELEGEREDE BEFØJELSER OG GENNEMFØRELSESBESTEMMELSER
Artikel 47
Udøvelse af de delegerede beføjelser
1. Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2. Beføjelsen til at vedtage delegerede retsakter, jf. artikel 30, stk. 4, tillægges Kommissionen for en ubegrænset periode fra den 17. september 2014.
3. Den i artikel 30, stk. 4, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om spærring bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Afgørelsen får virkning fra dagen efter offentliggørelsen i Den Europæiske Unions Tidende eller fra en senere dato, der fastsættes nærmere i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4. Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
5. En delegeret retsakt vedtaget i henhold til artikel 30, stk. 4, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har informeret Kommissionen om, at de ikke agter at gøre indsigelse. Denne frist forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 48
Udvalgsprocedure
1. Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2. Når der henvises til dette stykke, anvendes artikel 5 i forordning (EU) nr. 182/2011.
KAPITEL VI
AFSLUTTENDE BESTEMMELSER
Artikel 49
Revision
Kommissionen reviderer anvendelsen af denne forordning og aflægger rapport til Europa-Parlamentet og Rådet senest den 1. juli 2020. Kommissionen evaluerer navnlig, hvorvidt det er hensigtsmæssigt at ændre denne forordnings anvendelsesområde eller de specifikke bestemmelser heri, herunder artikel 6, artikel 7, litra f), samt artikel 34, 43, 44 og 45, under hensyntagen til de erfaringer, der er gjort med anvendelsen af denne forordning, og til den teknologiske, markedsmæssige og retlige udvikling.
Den i stk. 1 omhandlede rapport ledsages om nødvendigt af lovgivningsmæssige forslag.
Kommissionen forelægger endvidere hvert fjerde år efter udarbejdelsen af den i stk. 1 omhandlede rapport Europa-Parlamentet og Rådet en rapport om de fremskridt, der er gjort med hensyn til at opfylde målene for denne forordning.
Artikel 50
Ophævelse
1. Direktiv 1999/93/EF ophæves med virkning fra den 1. juli 2016.
2. Henvisninger til det ophævede direktiv betragtes som henvisninger til nærværende forordning.
Artikel 51
Overgangsforanstaltninger
1. Sikre signaturgenereringssystemer, for hvilke det er fastslået, at de opfylder kravene i artikel 3, stk. 4, i direktiv 1999/93/EF, anses for kvalificerede elektroniske signaturgenereringssystemer i henhold til nærværende forordning.
2. Kvalificerede certifikater, der er udstedt til fysiske personer i henhold til direktiv 1999/93/EF, anses for kvalificerede certifikater for elektroniske signaturer i henhold til nærværende forordning, indtil de udløber.
3. En certificeringstjenesteudbyder, der udsteder kvalificerede certifikater i henhold til direktiv 1999/93/EF, forelægger en overensstemmelsesvurderingsrapport for tilsynsorganet så hurtigt som muligt dog senest den 1. juli 2017. Indtil forelæggelsen af en sådan overensstemmelsesvurderingsrapport og tilsynsorganets gennemførelse af sin vurdering betragtes den pågældende certificeringstjenesteudbyder som en kvalificeret tillidstjenesteudbyder i henhold til nærværende forordning.
4. Forelægger en certificeringstjenesteudbyder, der udsteder kvalificerede certifikater i henhold til direktiv 1999/93/EF ikke en overensstemmelsesvurderingsrapport for tilsynsorganet inden for den i stk. 3 omhandlede frist, betragtes den pågældende certificeringstjenesteudbyder ikke som en kvalificeret tillidstjenesteudbyder i henhold til denne forordning fra den 2. juli 2017.
Artikel 52
Ikrafttræden
1. Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
2. Denne forordning anvendes fra den 1. juli 2016, bortset fra følgende bestemmelser:
a)
artikel 8, stk. 3, artikel 9, stk. 5, artikel 12, stk. 2-9, artikel 17, stk. 8, artikel 19, stk. 4, artikel 20, stk. 4, artikel 21, stk. 4, artikel 22, stk. 5, artikel 23, stk. 3, artikel 24, stk. 5, artikel 27, stk. 4 og 5, artikel 28, stk. 6, artikel 29, stk. 2, artikel 30, stk. 3 og 4, artikel 31, stk. 3, artikel 32, stk. 3, artikel 33, stk. 2, artikel 34, stk. 2, artikel 37, stk. 4 og 5, artikel 38, stk. 6, artikel 42, stk. 2, artikel 44, stk. 2, artikel 45, stk. 2, artikel 47 and 48 finder anvendelse fra den 17. september 2014
b)
artikel 7, artikel 8, stk. 1 og 2, artikel 9, 10, 11 og artikel 12, stk. 1, finder anvendelse fra datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter
c)
artikel 6 finder anvendelse fra tre år efter datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter.
3. Opføres den anmeldte elektroniske identifikationsordning på den liste, som Kommissionen offentliggør i henhold til artikel 9, før den i stk. 2, litra c), i nærværende artikel omhandlede dato, sker anerkendelsen af det elektroniske identifikationsmiddel i medfør af denne ordning i henhold til artikel 6 senest 12 måneder efter offentliggørelsen af denne ordning, dog ikke før den i stk. 2, litra c), i nærværende artikel omhandlede dato.
4. Uanset stk. 2, litra c), i nærværende artikel kan en medlemsstat beslutte, at et elektronisk identifikationsmiddel i medfør af den elektroniske identifikationsordning, som en anden medlemsstat har anmeldt i henhold til artikel 9, stk. 1, anerkendes i den første medlemsstat fra datoen for anvendelsen af de i artikel 8, stk. 3, og artikel 12, stk. 8, omhandlede gennemførelsesretsakter. De pågældende medlemsstater underretter Kommissionen. Kommissionen offentliggør disse oplysninger.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 23. juli 2014.
UREDBA (EU) br. 910/2014 EUROPSKOG PARLAMENTA I VIJEĆA
od 23. srpnja 2014.
o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ
EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,
uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 114.,
uzimajući u obzir prijedlog Europske komisije,
nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,
uzimajući u obzir mišljenje Europskog gospodarskog i socijalnog odbora (1),
u skladu s redovnim zakonodavnim postupkom (2),
budući da:
(1)
Izgradnja povjerenja u online okruženje ključna je za gospodarski i socijalni razvoj. Zbog nedostatka povjerenja, posebno zbog osjećaja pravne nesigurnosti, potrošači, poduzeća i tijela javne vlasti oklijevaju provoditi transakcije elektroničkim putem te koristiti odnosno uvoditi nove usluge.
(2)
Ovom Uredbom nastoji se povećati povjerenje u elektroničke transakcije na unutarnjem tržištu pružanjem zajedničkog temelja za sigurnu elektroničku interakciju između građana, poduzećâ i tijela javne vlasti, povećavajući time djelotvornost javnih i privatnih online usluga, elektroničkog poslovanja i elektroničke trgovine u Uniji.
(3)
Direktivom 1999/93/EZ Europskog parlamenta i Vijeća (3) uređeni su elektronički potpisi, no nije utvrđen sveobuhvatan prekogranični i međusektorski okvir za sigurne i vjerodostojne elektroničke transakcije te elektroničke transakcije koje bi bile jednostavne za korištenje. Ovom se Uredbom unapređuje i širi pravna stečevina navedene Direktive.
(4)
U Komunikaciji Komisije od 26. kolovoza 2010. pod nazivom „Digitalni program za Europu” rascjepkanost digitalnog tržišta, nedostatak interoperabilnosti i povećanje mrežnog kriminala prepoznati su kao glavne prepreke uspješnom ciklusu digitalnog gospodarstva. U svome Izvješću EU-a o građanstvu iz 2010. pod nazivom „Ukidanje prepreka za prava građana EU-a” Komisija je dodatno istaknula nužnost rješavanja glavnih poteškoća koje građane Unije priječe u korištenju pogodnostima digitalnog jedinstvenog tržišta i prekograničnih digitalnih usluga.
(5)
U svojim zaključcima od 4. veljače 2011. i 23. listopada 2011. Europsko vijeće pozvalo je Komisiju da do 2015. uspostavi jedinstveno digitalno tržište radi brzog napretka u ključnim područjima digitalnog gospodarstva i promicanja potpuno integriranog jedinstvenog digitalnog tržišta olakšavanjem prekogranične uporabe online usluga, uz pridavanje posebne pozornosti olakšavanju sigurne elektroničke identifikacije i autentikacije.
(6)
Vijeće je u svojim zaključcima od 27. svibnja 2011. pozvalo Komisiju da doprinese jedinstvenom digitalnom tržištu stvaranjem odgovarajućih uvjeta za uzajamno priznavanje ključnih prekograničnih čimbenika, kao što su elektronička identifikacija, elektronički dokumenti, elektronički potpisi i usluge elektroničke dostave, te uvjeta za interoperabilne usluge e-uprave širom Europske unije.
(7)
Europski parlament je u svojoj rezoluciji od 21. rujna 2010. o dovršetku formiranja unutarnjeg tržišta za elektroničku trgovinu (4) naglasio važnost sigurnosti elektroničkih usluga, naročito elektroničkih potpisa, i potrebu za stvaranjem infrastrukture javnog ključa (Public Key Infrastructure - PKI) na paneuropskoj razini, te je pozvao Komisiju da uspostavi europski portal tijelâ za validaciju radi osiguravanja prekogranične interoperabilnosti elektroničkih potpisa i povećavanja sigurnosti transakcija koje se obavljaju putem interneta.
(8)
Direktivom 2006/123/EZ Europskog parlamenta i Vijeća (5) od država članica se zahtijeva uspostava „jedinstvenih kontaktnih točaka” („JKT”) kako bi se osiguralo da se svi postupci i formalnosti povezani s pristupom uslužnoj djelatnosti i obavljanjem uslužne djelatnosti mogu lako obaviti, na daljinu i elektroničkim putem, preko odgovarajućeg JKT-a ili putem odgovarajućih tijela. Mnoge online usluge koje su dostupne putem JKT-a iziskuju elektroničku identifikaciju, autentikaciju i potpis.
(9)
U većini slučajeva građani ne mogu koristiti elektroničku identifikaciju u svrhu autentikacije u drugoj državi članici jer nacionalni sustavi elektroničke identifikacije u njihovoj zemlji nisu priznati u drugim državama članicama. Zbog te elektroničke prepreke pružatelji usluga ne mogu koristiti sve pogodnosti unutarnjeg tržišta. Uzajamno priznata sredstva elektroničke identifikacije olakšat će prekogranično pružanje brojnih usluga na unutarnjem tržištu te poduzećima omogućiti prekogranično poslovanje bez suočavanja s brojnim preprekama u interakcijama s tijelima javne vlasti.
(10)
Direktivom 2011/24/EU Europskog parlamenta i Vijeća (6) uspostavljena je mreža nacionalnih tijela odgovornih za eZdravstvo. Radi veće sigurnosti i kontinuiteta prekogranične zdravstvene zaštite, mreža bi trebala izrađivati smjernice o prekograničnom pristupu elektroničkim podacima i uslugama u području zdravstva, uključujući pružanjem podrške „zajedničkim mjerama za identifikaciju i autentikaciju radi olakšavanja prenosivosti podataka u prekograničnoj zdravstvenoj zaštiti”. Uzajamno priznavanje elektroničke identifikacije i autentikacije ključ je ostvarivanja prekogranične zdravstvene zaštite za europske građane. Kada ljudi putuju radi liječenja, njihovi medicinski podaci moraju biti dostupni u zemlji u kojoj se liječe. To iziskuje čvrst, siguran i pouzdan okvir elektroničke identifikacije.
(11)
Ova Uredba trebala bi se primjenjivati uz puno poštovanje načela povezanih sa zaštitom osobnih podataka predviđenih u Direktivi 95/46/EZ Europskog parlamenta i Vijeća (7). U tom pogledu, s obzirom na načelo uzajamnog priznavanja uspostavljeno ovom Uredbom, autentikacija bi se za online uslugu trebala odnositi na obradu samo onih identifikacijskih podataka koji su odgovarajući, relevantni i nisu preopsežni, za odobravanje pristupa toj usluzi online. Nadalje, pružatelji usluga povjerenja i nadležna tijela trebali bi poštovati zahtjeve prema Direktivi 95/46/EZ koji se tiču povjerljivosti i sigurnosti obrade.
(12)
Jedan od ciljeva ove Uredbe jest uklanjanje postojećih prepreka u prekograničnom korištenju sredstvima elektroničke identifikacije koja se koriste u državama članicama za autentikaciju, barem za javne usluge. Ova Uredba nema za cilj zadirati u elektroničke sustave upravljanja identitetom i s njima povezane infrastrukture uspostavljene u državama članicama. Cilj ove Uredbe jest osigurati da pri pristupu prekograničnim online uslugama koje nude države članice postoji mogućnost sigurne elektroničke identifikacije i autentikacije.
(13)
Države članice bi i dalje trebale biti u mogućnosti koristiti se sredstvima za potrebe elektroničke identifikacije radi pristupa online uslugama ili uvoditi takva sredstva. Također bi trebale moći odlučiti hoće li uključiti privatni sektor u pružanje tih sredstava. Države članice ne bi trebale biti obvezne Komisiji prijaviti svoje sustave elektroničke identifikacije. Države članice mogu birati hoće li Komisiji prijaviti sve sustave, pojedine sustave ili joj uopće neće prijaviti sustave elektroničke identifikacije koji se koriste na nacionalnoj razini za pristup barem javnim online uslugama ili specifičnim uslugama.
(14)
U ovoj Uredbi moraju biti određeni izvjesni uvjeti o tome koja sredstva elektroničke identifikacije moraju biti priznata i o načinu na koji bi sustave elektroničke identifikacije trebalo prijaviti. Ti bi uvjeti trebali pomoći državama članicama da izgrade nužno međusobno povjerenje u njihove sustave elektroničke identifikacije i uzajamno priznaju sredstva elektroničke identifikacije koja su obuhvaćena njihovim prijavljenim sustavima. Načelo uzajamnog priznavanja trebalo bi vrijediti ako sustav elektroničke identifikacije države članice koja provodi prijavljivanje ispunjava uvjete prijavljivanja i ako je prijava objavljena u Službenom listu Europske unije. Međutim, načelo uzajamnog priznavanja trebalo bi se odnositi samo na autentikaciju na online uslugu. Pristup tim online uslugama i njihovo konačno pružanje podnositelju trebali bi biti usko povezani s pravom primanja takvih usluga pod uvjetima određenima nacionalnim zakonodavstvom.
(15)
Obveza priznavanja sredstava elektroničke identifikacije trebala bi se odnositi samo na ona sredstva čija razina osiguranja identiteta odgovara razini koja je jednaka ili viša od razine koja se zahtijeva za dotičnu online uslugu. Pored toga, ta obveza trebala bi se primjenjivati samo kada dotično tijelo javnog sektora koristi razinu sigurnosti koja je „značajna” ili „visoka” u odnosu na pristup toj usluzi online. U skladu s pravom Unije, države članice trebale bi i dalje imati slobodu priznavanja sredstava elektroničke identifikacije koja imaju niže razine osiguranja identiteta.
(16)
Razine osiguranja identiteta trebale bi označivati stupanj pouzdanja u sredstva elektroničke identifikacije pri utvrđivanju identiteta osobe te na taj način osigurati da osoba koja se predstavlja pod određenim identiteom stvarno jest osoba kojoj je taj identitet dodijeljen. Razina sigurnosti ovisi o stupnju pouzdanja koji sredstvo elektroničke identifikacije pruža u odnosu na traženi ili utvrđeni identitet osobe uzimajući u obzir postupke (na primjer dokazivanje identiteta i verifikaciju te autentikaciju), aktivnosti upravljanja (na primjer tijelo koje izdaje sredstva elektroničke identifikacije i postupak izdavanja takvih sredstava) i provedene tehničke kontrole. Postoje različite tehničke definicije i opisi razina sigurnosti koje su posljedica opsežnih pilot-istraživanja financiranih sredstvima Unije, kao i normizacije i međunarodnih aktivnosti. Posebice, opsežni pilot-projekti STORK i ISO 29115 odnose se, između ostalog, na razine 2, 3 i 4, o čemu bi trebalo voditi u najvećoj mogućoj mjeri računa pri određivanju minimalnih tehničkih zahtjeva, normi i postupaka za nisku, značajnu i visoku razinu sigurnosti u smislu ove Uredbe, osiguravajući pritom dosljednu primjenu ove Uredbe, posebno u pogledu visoke razine sigurnosti koja se odnosi na dokazivanje identiteta za izdavanje kvalificiranih certifikata. Utvrđeni zahtjevi trebali bi biti tehnološki neutralni. Neophodne sigurnosne zahtjeve trebalo bi biti moguće ispuniti primjenom različitih tehnologija.
(17)
Države članice trebale bi poticati privatni sektor da dobrovoljno koristi sredstva elektroničke identifikacije u okviru prijavljenog sustava u svrhu identifikacije kada je to potrebno za online usluge ili elektroničke transakcije. Mogućnost korištenja takvim sredstvima elektroničke identifikacije privatnom bi sektoru omogućila da se pouzda u elektroničku identifikaciju i autentikaciju koje se već uvelike koriste u mnogim državama članicama barem za javne usluge, a poduzećima i građanima olakšala bi pristup prekograničnim online uslugama. Kako bi se privatnom sektoru olakšalo korištenje takvim sredstvima prekogranične elektroničke identifikacije, mogućnost autentikacije koju osiguravaju pojedine države članice trebala bi biti dostupna pouzdajućim stranama privatnog sektora s poslovnim nastanom izvan državnog područja te države članice pod istim onim uvjetima koji se primjenjuju na pouzdajuće strane privatnog sektora s poslovnim nastanom unutar te države članice. Shodno tome, u pogledu pouzdajućih strana privatnog sektora, država članica koja provodi prijavljivanje može odrediti uvjete pristupa sredstvima autentikacije. Ti uvjeti pristupa mogu ukazivati na to jesu li sredstva autentikacije koja se odnose na prijavljeni sustav trenutno dostupna pouzdajućim stranama privatnog sektora.
(18)
Ova Uredba trebala bi predvidjeti odgovornost države članice koja provodi prijavljivanje, strane koja izdaje sredstva elektroničke identifikacije i strane koja provodi postupak autentikacije za neispunjavanje odgovarajućih obveza prema ovoj Uredbi. Međutim, ova bi se Uredba trebala primjenjivati u skladu s nacionalnim pravilima o odgovornosti. Prema tome, ona ne utječe na nacionalna pravila, primjerice, o definiciji štete ili na pravila o odgovarajućim postupovnim pravilima koja su na snazi, uključujući teret dokaza.
(19)
Sigurnost sustava elektroničke identifikacije ključna je za vjerodostojno prekogranično uzajamno priznavanje sredstava elektroničke identifikacije. U vezi s tim, države članice trebale bi surađivati u pogledu sigurnosti i interoperabilnosti sustavâ elektroničke identifikacije na razini Unije. Uvijek kada sustavi elektroničke identifikacije zahtijevaju da pouzdajuće strane na nacionalnoj razini koriste poseban hardver ili softver, prekogranična interoperabilnost traži od tih država članica da pouzdajućim stranama s poslovnim nastanom izvan njihovog državnog područja ne nameće takve zahtjeve i pripadajuće troškove. U tom slučaju trebalo bi razmotriti i razviti odgovarajuća rješenja unutar područja primjene okvira za interoperabilnost. S druge strane, neizbježni su tehnički zahtjevi koji proizlaze iz nužno povezanih specifikacija nacionalnih sredstava elektroničke identifikacije i koji bi mogli utjecati na imatelje takvih elektroničkih sredstava (npr. pametnih kartica).
(20)
Suradnja država članica trebala bi olakšati tehničku interoperabilnost prijavljenih sustava elektroničke identifikacije u cilju poticanja visoke razine pouzdanosti i sigurnosti sukladno stupnju rizika. Razmjena informacija i najbolje prakse među državama članicama u cilju njihova uzajamnog priznavanja trebale bi pomoći takvoj suradnji.
(21)
Ovom bi se Uredbom također trebao uspostaviti opći pravni okvir za korištenje uslugama povjerenja. Međutim, njome se ne bi trebalo uvesti opću obvezu njihovog korištenja ili uvođenja pristupne točke za sve postojeće usluge povjerenja. Posebice, ona ne bi smjela obuhvaćati pružanje usluga koje se isključivo koriste unutar zatvorenih sustava među utvrđenom skupinom sudionika koji nemaju nikakav utjecaj na treće strane. Primjerice, sustavi uspostavljeni u poduzećima ili upravama javnih tijela radi upravljanja internim postupcima koji koriste usluge povjerenja ne bi trebali biti podložni zahtjevima ove Uredbe. Samo usluge povjerenja koje se pružaju javnosti i koje imaju učinke na treće strane trebale bi ispunjavati zahtjeve utvrđene u Uredbi. Ova Uredba ne bi trebala obuhvaćati ni aspekte koji se odnose na sklapanje i valjanost ugovorâ ili drugih pravnih obveza ako postoje zahtjevi vezani uz oblik utvrđeni nacionalnim pravom ili pravom Unije. Osim toga, ona ne bi trebala utjecati na nacionalne zahtjeve vezane uz oblik koji vrijede za javne registre, a posebno trgovačke registre i zemljišne knjige.
(22)
Radi doprinosa njihovom općem prekograničnom korištenju, trebalo bi biti moguće usluge povjerenja koristiti kao dokaze u sudskim postupcima u svim državama članicama. Pravne učinke usluga povjerenja potrebno je odrediti nacionalnim pravom, osim ako je drukčije predviđeno ovom Uredbom.
(23)
U mjeri u kojoj se ovom Uredbom stvara obveza priznavanja usluge povjerenja, takva usluga povjerenja može biti odbijena samo ako je osoba na koju se obveza odnosi, zbog tehničkih razloga na koje ona ne može neposredno utjecati, nije u mogućnosti učitati ili verificirati tu uslugu. Međutim, ta obveza sama po sebi ne bi smjela od javnog tijela zahtijevati nabavu hardvera ili softvera potrebnih za tehničku mogućnost učitavanja svih postojećih usluga povjerenja.
(24)
Države članice mogu zadržati ili uvesti nacionalne odredbe koje se odnose na usluge povjerenja, u skladu s pravom Unije, ako te usluge nisu u potpunosti usklađene s ovom Uredbom. Međutim, usluge povjerenja koje su u skladu s ovom Uredbom trebale bi slobodno cirkulirati na unutarnjem tržištu.
(25)
Države članice trebale bi i dalje moći slobodno određivati druge vrste usluga povjerenja, uz one koje su dio konačnog popisa usluga povjerenja predviđenog ovom Uredbom, u svrhu njihovog priznavanja na nacionalnoj razini kao kvalificiranih usluga povjerenja.
(26)
Zbog brzine tehnoloških promjena, ovom Uredbom trebalo bi usvojiti pristup otvoren za inovacije.
(27)
Ova Uredba trebala bi biti tehnološki neutralna. Pravni učinci koji se njome osiguravaju trebali bi biti ostvarivi bilo kojim tehničkim sredstvima pod uvjetom da su zahtjevi ove Uredbe ispunjeni.
(28)
Kako bi se povećalo povjerenje posebice malih i srednjih poduzeća (MSP-ova) te potrošača u unutarnje tržište i promicalo korištenje uslugama povjerenja i proizvodima povjerenja, trebalo bi uvesti pojmove „kvalificirana usluga povjerenja” i „kvalificirani pružatelj usluga povjerenja” s ciljem naznačivanja zahtjeva i obveza koji osiguravaju visoku razinu sigurnosti svih kvalificiranih usluga povjerenja i proizvoda povjerenja koji se koriste ili pružaju.
(29)
U skladu s obvezama prema Konvenciji Ujedinjenih naroda o pravima osoba s invaliditetom, koja je odobrena Odlukom Vijeća 2010/48/EZ (8), a posebno člankom 9. Konvencije, osobe s invaliditetom trebale bi moći koristiti usluge povjerenja i proizvode za krajnjeg korisnika koji se koriste pri pružanju tih usluga na ravnopravnoj osnovi s drugim potrošačima. Stoga bi, gdje je to moguće, usluge povjerenja i proizvodi za krajnjeg korisnika koji se koriste pri pružanju tih usluga trebali biti dostupni osobama s invaliditetom. Procjena izvedivosti trebala bi, između ostalog, uključivati tehničke i ekonomske aspekte.
(30)
Države članice trebale bi odrediti nadzorno tijelo ili nadzorna tijela za provedbu nadzornih aktivnosti prema ovoj Uredbi. Države članice također bi trebale moći odlučivati, na temelju uzajamnog dogovora s drugom državom članicom, o određivanju nadzornog tijela na državnom području te druge države članice.
(31)
Nadzorna tijela trebala bi surađivati s tijelima za zaštitu podataka, primjerice na način da ih obavješćuju o rezultatima revizija kvalificiranih pružatelja usluga povjerenja, u slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka. Pružanje informacija trebalo bi posebno obuhvaćati sigurnosne incidente te povrede povezane s osobnim podacima.
(32)
Svi pružatelji usluga povjerenja trebali bi biti dužni primjenjivati dobru sigurnosnu praksu primjerenu rizicima koji su povezani s njihovim aktivnostima kako bi se ojačalo povjerenje korisnikâ u jedinstveno tržište.
(33)
Odredbe o korištenju pseudonimom u certifikatima ne bi trebale sprečavati države članice da zahtijevaju identifikaciju osoba na temelju prava Unije ili nacionalnog prava.
(34)
Sve države članice trebale bi poštovati zajedničke osnovne kriterije nadzora radi osiguravanja usporedive sigurnosne razine zaštite kvalificiranih usluga povjerenja. Radi olakšavanja dosljedne primjene tih zahtjeva širom Unije, države članice trebale bi usvojiti usporedive postupke i razmjenjivati informacije o svojim aktivnostima nadzora i najboljoj praksi u tom području.
(35)
Svi pružatelji usluga povjerenja trebali bi biti podvrgnuti zahtjevima ove Uredbe, posebno onima koji se tiču sigurnosti i odgovornosti kako bi se osigurala odgovarajuća brzina pružanja i transparentnost njihovih djelatnosti i usluga te odgovornost za njihove djelatnosti i usluge. Međutim, uzimajući u obzir vrstu usluga koje pružaju pružatelji usluga povjerenja, potrebno je, u pogledu tih zahtjeva, razlikovati između kvalificiranih i nekvalificiranih pružatelja usluga povjerenja.
(36)
Uspostavljanje sustava nadzora za sve pružatelje usluga povjerenja trebalo bi osigurati ravnopravne tržišne uvjete u odnosu na sigurnost i odgovornost njihovih djelatnosti i usluga, doprinoseći na taj način zaštiti korisnikâ i funkcioniranju unutarnjeg tržišta. Nekvalificirani pružatelji usluga povjerenja trebali bi biti podvrgnuti neobvezujućim i reaktivnim naknadnim (ex post) nadzornim aktivnostima koje su opravdane zbog prirode njihovih usluga i djelatnosti. Nadzorno tijelo stoga ne bi trebalo imati opću obvezu nadzora nekvalificiranih davatelja usluga. Nadzorno tijelo trebalo bi djelovati samo kada je obaviješteno (primjerice od strane samog nekvalificiranog pružatelja usluga povjerenja, drugog nadzornog tijela, putem prijave korisnika ili poslovnog partnera ili na temelju vlastite istrage) da nekvalificirani pružatelj usluga povjerenja ne ispunjava zahtjeve ove Uredbe.
(37)
Ovom bi se Uredbom trebala predvidjeti odgovornost svih pružatelja usluga povjerenja. Njome se posebno uspostavlja sustav odgovornosti prema kojemu bi svi pružatelji usluga povjerenja trebali biti odgovorni za štetu nanesenu svakoj fizičkoj ili pravnoj osobi zbog neispunjavanja obveza u skladu s ovom Uredbom. Kako bi se olakšala procjena financijskog rizika koji bi pružatelji usluga povjerenja mogli snositi ili koji bi trebali pokriti policama osiguranja, ovom se Uredbom dopušta pružateljima usluga povjerenja da odrede ograničenja, pod određenim uvjetima, za korištenje uslugama koje oni pružaju te da ne podliježu odgovornosti za štete povezane s korištenjem uslugama koje prelazi takva ograničenja. Korisnike usluga trebalo bi na odgovarajući način i unaprijed obavješćivati o tim ograničenjima. Ta ograničenja trebala bi biti prepoznatljiva trećim osobama, na primjer, uvrštavanjem informacija o ograničenjima u uvjete poslovanja za pruženu uslugu ili putem drugih dopustivih sredstava. U svrhu provedbe tih načela u praksi, ovu bi Uredbu trebalo primjenjivati u skladu s nacionalnim pravilima o odgovornosti. Ova Uredba stoga ne utječe na nacionalna pravila, primjerice, o definiranju šteta, namjeri, nepažnji ili odgovarajuća postupovna pravila koja su na snazi.
(38)
Prijava povreda sigurnosti i procjena sigurnosnog rizika neophodna je radi pružanja odgovarajuće informacije zainteresiranim stranama, u slučaju povrede sigurnosti ili narušavanja cjelovitosti.
(39)
Kako bi Komisija i države članice mogle procijeniti djelotvornost mehanizma za prijavu povreda koji se uvodi ovom Uredbom, od nadzornih tijela trebalo bi zatražiti da Komisiji i Agenciji Europske unije za sigurnost mreža i podataka (ENISA) dostave sažete informacije.
(40)
Kako bi Komisija i države članice mogle procijeniti djelotvornost mehanizma pojačanog nadzora koji se uvodi ovom Uredbom, od nadzornih tijela trebalo bi zatražiti da izvješćuju o svojim aktivnostima. Time bi se olakšala razmjena dobre prakse između nadzornih tijela i osigurala provjera dosljedne i učinkovite provedbe osnovnih kriterija nadzora u svim državama članicama.
(41)
Radi osiguravanja održivosti i trajnosti kvalificiranih usluga povjerenja i jačanja pouzdanja korisnikâ u kontinuitet kvalificiranih usluga povjerenja, nadzorna tijela trebala bi provjeriti postojanje i pravilnu primjenu odredaba o planovima za slučaj prekida pružanja usluga u slučajevima kada kvalificirani pružatelji usluga povjerenja prestanu obavljati svoju djelatnost.
(42)
Radi olakšavanja nadzora kvalificiranih pružatelja usluga povjerenja, primjerice kada pružatelj pruža svoje usluge na državnom području druge države članice u kojoj ne podliježe nadzoru, ili kada su računala pružatelja smještena na državnom području države članice koja nije država u kojoj ima poslovni nastan, trebalo bi uspostaviti sustav uzajamne pomoći među nadzornim tijelima u državama članicama.
(43)
Kako bi se osigurala usklađenost kvalificiranih pružatelja usluga povjerenja i usluga koje oni pružaju sa zahtjevima određenima u ovoj Uredbi, tijelo za ocjenu sukladnosti trebalo bi provoditi ocjenjivanja sukladnosti, a tako dobivena izvješća o ocjenjivanju sukladnosti kvalificirani pružatelji usluga povjerenja trebali bi podnositi nadzornom tijelu. Uvijek kada nadzorno tijelo od kvalificiranog pružatelja usluga povjerenja zahtijeva podnošenje ad hoc izvješća o ocjenjivanju sukladnosti, to nadzorno tijelo trebalo bi posebno poštovati načela dobrog upravljanja, uključujući obvezu obrazlaganja svojih odluka, kao i načelo proporcionalnosti. Stoga bi nadzorno tijelo trebalo na odgovarajući način obrazložiti svoju odluku kojom zahtijeva ad hoc ocjenjivanje sukladnosti.
(44)
Cilj ove Uredbe jest osiguravanje dosljednog okvira radi pružanja visoke razine sigurnosti i pravne sigurnosti usluga povjerenja. U tom pogledu, kada se govori o ocjenjivanju sukladnosti proizvodâ i usluga, Komisija bi, prema potrebi, trebala težiti sinergijama s postojećim relevantnim europskim i međunarodnim sustavima poput Uredbe (EZ) br. 765/2008 Europskog parlamenta i Vijeća (9) o utvrđivanju zahtjeva za akreditaciju tijela za ocjenjivanje sukladnosti i za nadzor tržišta proizvoda.
(45)
Kako bi se omogućilo učinkovito pokretanje postupka koji bi trebao dovesti do uvrštavanja kvalificiranih pružatelja usluga povjerenja i kvalificiranih usluga povjerenja koje oni pružaju na pouzdane popise, trebalo bi poticati prethodno zajedničko djelovanje između potencijalnih pružatelja kvalificiranih usluga povjerenja i nadležnog nadzornog tijela radi olakšavanja dubinske analize koja vodi do pružanja kvalificiranih usluga povjerenja.
(46)
Pouzdani popisi bitni su elementi pri izgradnji povjerenja među tržišnim operatorima jer upućuju na kvalificirani status pružatelja usluga u trenutku nadzora.
(47)
Pouzdanje u uporabu online usluga i jednostavnost njihove uporabe imaju presudno značenje za to da njihovi korisnici mogu u potpunosti iskoristiti prednosti elektroničkih usluga i svjesno se pouzdati u njih. U tu svrhu trebalo bi stvoriti kvalificirani EU znak pouzdanosti kako bi se utvrdile kvalificirane usluge povjerenja koje pružaju kvalificirani pružatelji usluga povjerenja. Takvim EU znakom pouzdanosti za kvalificirane usluge povjerenja jasno bi se razlučile kvalificirane usluge povjerenja od drugih usluga povjerenja čime bi se doprinijelo transparentnosti na tržištu. Korištenje EU znakom pouzdanosti trebalo bi biti dobrovoljno za kvalificirane pružatelje usluga povjerenja te ne bi trebalo stvarati bilo koji drugi zahtjev osim onih koji su već predviđeni ovom Uredbom.
(48)
Iako je za osiguravanje uzajamnog priznavanja elektroničkih potpisa potrebna visoka razina sigurnosti, u posebnim slučajevima, kao na primjer u kontekstu Odluke Komisije 2009/767/EZ (10), elektronički potpisi s nižom razinom sigurnosne zaštite također bi trebali biti prihvaćeni.
(49)
Ovom bi Uredbom trebalo uspostaviti načelo prema kojem se elektroničkom potpisu ne bi smio uskratiti pravni učinak zbog toga što je on u elektroničkom obliku ili zbog toga što ne ispunjava zahtjeve kvalificiranog elektroničkog potpisa. Međutim, pravne učinke elektroničkih potpisa, osim zahtjeva predviđenih u ovoj Uredbi prema kojima bi kvalificirani elektronički potpis trebao imati jednake pravne učinke kao vlastoručni potpis, potrebno je odrediti nacionalnim pravom.
(50)
Budući da nadležna tijela u državama članicama trenutno koriste različite formate naprednih elektroničkih potpisa za elektroničko potpisivanje svojih dokumenata, potrebno je osigurati da države članice mogu tehnički podržati barem određeni broj formata naprednih elektroničkih potpisa kada prime elektronički potpisane dokumente. Slično tomu, kada nadležna tijela u državama članicama koriste napredne elektroničke pečate, bilo bi potrebno osigurati da podržavaju barem određeni broj formata naprednih elektroničkih pečata.
(51)
Potpisnik bi trebao moći povjeriti kvalificirana sredstva za izradu elektroničkog potpisa na čuvanje trećoj osobi, pod uvjetom da postoje odgovarajući mehanizmi i postupci kojima se osigurava da potpisnik ima isključivu kontrolu nad korištenjem svojim podacima za izradu elektroničkog potpisa, te da su pri korištenju tim sredstvom ispunjeni zahtjevi za kvalificirani elektronički potpis.
(52)
Izradu udaljenih elektroničkih potpisa kada okruženjem za izradu elektroničkog potpisa u ime potpisnika upravlja pružatelj usluga povjerenja trebalo bi povećati s obzirom na s time povezane višestruke gospodarske koristi. Međutim, kako bi se osiguralo da takvi elektronički potpisi budu u pravnom smislu jednako priznati kao i elektronički potpisi koji su u potpunosti izrađeni u okruženju kojim upravlja korisnik, pružatelji usluge udaljenog elektroničkog potpisa trebali bi primjenjivati posebne postupke upravljanja i postupke sigurnosnog administriranja te koristiti vjerodostojne sustave i proizvode, uključujući sigurne elektroničke komunikacijske kanale, kako bi jamčili da je okruženje za izradu elektroničkog potpisa pouzdano i da se koristi pod isključivom kontrolom potpisnika. Kada je kvalificirani elektronički potpis izrađen korištenjem sredstva za izradu udaljenog elektroničkog potpisa, trebali bi se primjenjivati zahtjevi primjenjivi na kvalificirane pružatelje usluge povjerenja određeni ovom Uredbom.
(53)
Suspenzija kvalificiranih certifikata ustaljena je praksa postupanja pružatelja usluga povjerenja u nizu država članica, a razlikuje se od opoziva te podrazumijeva privremeni gubitak valjanosti certifikata. Zbog razloga pravne sigurnosti suspenzija certifikata uvijek mora biti jasno naznačena. U tu bi svrhu pružatelji usluga povjerenja trebali biti odgovorni za jasno naznačavanje statusa certifikata i, ako je certifikat suspendiran, točnog razdoblja suspenzije. Ovom se Uredbom pružateljima usluga povjerenja ili državama članicama ne bi trebala nametati primjena suspenzije, već bi trebalo predvidjeti pravila o transparentnosti kada i ako je takva praksa dostupna.
(54)
Prekogranična interoperabilnost i priznavanje kvalificiranih certifikata preduvjet je za prekogranično priznavanje kvalificiranih elektroničkih potpisa. Kvalificirani certifikati stoga ne bi trebali podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u ovoj Uredbi. Međutim, na nacionalnoj bi razini trebalo dopustiti uvrštavanje posebnih značajki, poput jedinstvenih identifikatora, u kvalificirane certifikate, pod uvjetom da takve posebne značajke ne ometaju prekograničnu interoperabilnost i priznavanje kvalificiranih certifikata i elektroničkih potpisa.
(55)
Certificiranje sigurnosti informacijske tehnologije na temelju međunarodnih normi, kao što su ISO 15408 i povezani načini evaluacije i dogovori o uzajamnom priznavanju, važan je alat za verifikaciju sigurnosti kvalificiranih sredstava za izradu elektroničkih potpisa i trebalo bi ga promicati. Međutim, inovativna rješenja i usluge, kao što su potpisivanje pomoću mobilnih uređaja i potpisivanje pomoću tehnologije oblaka (cloud signing) oslanjaju se na tehnička i organizacijska rješenja za kvalificirana sredstva za izradu elektroničkih potpisa za koje sigurnosne norme možda još nisu dostupne ili za koje je prvo certificiranje sigurnosti informacijske tehnologije još uvijek u tijeku. Razinu sigurnosti takvih kvalificiranih sredstava za izradu elektroničkih potpisa moglo bi se ocjenjivati primjenom alternativnih postupaka samo ako takve sigurnosne norme nisu dostupne ili ako je prvo certificiranje sigurnosti informacijske tehnologije još uvijek u tijeku. Ti bi postupci trebali biti usporedivi s normama za certificiranje sigurnosti informacijske tehnologije ako su njihove razine sigurnosti jednakovrijedne. Stručna revizija mogla bi olakšati te postupke.
(56)
Ovom Uredbom trebalo bi utvrditi zahtjeve za kvalificirana sredstva za izradu elektroničkih potpisa kako bi se osigurala funkcionalnost naprednih elektroničkih potpisa. Ova Uredba ne bi trebala obuhvaćati cjelokupno okruženje sustava u kojemu se takva sredstva primjenjuju. Stoga bi se opseg certificiranja kvalificiranih sredstava za izradu elektroničkih potpisa trebao ograničiti na hardver i softver sustava koji se koristi za upravljanje i zaštitu podataka za izradu potpisa koji su izrađeni, pohranjeni ili obrađeni u sredstvu za izradu potpisa. Kao što je navedeno u relevantnim normama, područje primjene obveze certificiranja ne bi trebalo uključivati aplikacije za izradu potpisa.
(57)
Radi osiguravanja pravne sigurnosti u pogledu valjanosti potpisa, nužno je utvrditi komponente kvalificiranog elektroničkog potpisa koje bi trebala procijeniti pouzdajuća strana koja obavlja validaciju. Osim toga, utvrđivanjem zahtjeva za kvalificirane pružatelje usluga povjerenja koji mogu pružiti kvalificiranu uslugu validacije pouzdajućim stranama koje ne žele ili ne mogu same obaviti validaciju kvalificiranih elektroničkih potpisa, trebali bi potaknuti privatni i javni sektor na ulaganja u takve usluge. Oba elementa trebala bi za sve aktere na razini Unije omogućiti jednostavnu i praktičnu validaciju kvalificiranog elektroničkog potpisa.
(58)
Kada je za transakciju potreban kvalificirani elektronički pečat pravne osobe, kvalificirani elektronički potpis ovlaštenog predstavnika pravne osobe trebao bi biti jednako prihvatljiv.
(59)
Elektronički pečati trebali bi služiti kao dokaz da je elektronički dokument izdala pravna osoba, jamčeći na taj način izvornost i cjelovitost dokumenta.
(60)
Pružatelji usluga povjerenja koji izdaju kvalificirane certifikate za elektroničke pečate trebali bi primjenjivati neophodne mjere kako bi bili u mogućnosti utvrditi identitet fizičke osobe koja zastupa pravnu osobu kojoj je izdan kvalificirani certifikat za elektronički pečat, ako je takva identifikacija potrebna na nacionalnoj razini u kontekstu sudskog ili upravnog postupka.
(61)
Ovom bi Uredbom trebalo osigurati dugoročno čuvanje informacija kako bi se osigurala pravna valjanost elektroničkih potpisa i elektroničkih pečata tijekom duljih razdoblja, čime bi se zajamčila mogućnost njihove validacije neovisno o budućim tehnološkim promjenama.
(62)
Kako bi se osigurala sigurnost kvalificiranih elektroničkih vremenskih žigova, ovom bi se Uredbom trebalo zahtijevati korištenje naprednim elektroničkim pečatom ili naprednim elektroničkim potpisom ili drugim jednakovrijednim metodama. Pretpostavlja se da inovacije mogu dovesti do novih tehnologija kojima se može osigurati jednaka razina sigurnosti za vremenske žigove. Kad god se umjesto naprednog elektroničkog pečata ili naprednog elektroničkog potpisa koristi neka druga metoda, kvalificirani pružatelj usluga povjerenja trebao bi dokazati, u skladu s izvješćem o ocjenjivanju sukladnosti, da takva metoda osigurava jednakovrijednu razinu sigurnosti i da ispunjava obveze određene u ovoj Uredbi.
(63)
Elektronički dokumenti važni su za daljnji razvoj prekograničnih elektroničkih transakcija na unutarnjem tržištu. Ovom bi Uredbom trebalo uspostaviti načelo prema kojem se elektroničkom dokumentu ne bi smio uskratiti pravni učinak zbog toga što je on u elektroničkom obliku, a kako bi se osiguralo da elektronička transakcija ne bude odbijena samo zbog toga što je određeni dokument u elektroničkom obliku.
(64)
Komisija bi se pri razmatranju formata naprednih elektroničkih potpisa i pečata trebala osloniti na postojeću praksu, norme i zakonodavstvo, a posebno na Odluku Komisije 2011/130/EU (11).
(65)
Osim autentikacije dokumenta koji je izdala pravna osoba, elektronički pečati mogu se koristiti i za autentikaciju bilo koje digitalne imovine pravne osobe, kao što su softverski kod ili poslužitelji.
(66)
Bitno je osigurati pravni okvir kako bi se olakšalo prekogranično priznavanje među postojećim nacionalnim pravnim sustavima u odnosu na usluge elektroničke preporučene dostave. Tim bi se okvirom mogle otvoriti i nove tržišne mogućnosti za Unijine pružatelje usluga povjerenja jer će oni na paneuropskoj razini moći ponuditi nove usluge elektroničke preporučene dostave.
(67)
Usluge autentikacije mrežnih stranica osiguravaju sredstva pomoću kojih posjetitelj mrežnih stranica može biti siguran da iza tih mrežnih stranica stoji vjerodostojan i zakoniti subjekt. Te usluge doprinose izgradnji povjerenja i pouzdanja u vođenje poslovanja online jer će korisnici imati pouzdanja u mrežne stranice koje su autenticirane. Pružanje i korištenje uslugama autentikacije mrežnih stranica u cijelosti su dobrovoljni. Međutim, kako bi autentikacija mrežnih stranica postala sredstvo jačanja povjerenja, pružanja boljeg iskustva za korisnika i unapređivanja rasta na unutarnjem tržištu, ovom bi Uredbom trebalo utvrditi minimalne obveze u odnosu na sigurnost i odgovornost pružateljâ usluga i usluga koje oni pružaju. U tu svrhu, u obzir su uzeti rezultati postojećih industrijskih inicijativa, na primjer, Tijela za certificiranje/Forum preglednikâ - Forum CA/B. Osim toga, ova Uredba ne bi trebala ograničavati korištenje drugim sredstvima ili metodama autentikacije mrežnih stranica koji nisu obuhvaćeni ovom Uredbom niti bi trebala sprečavati pružatelje usluga autentikacije mrežnih stranica iz trećih zemalja da svoje usluge pružaju korisnicima u Uniji. Međutim, usluge autentikacije mrežnih stranica pružatelja usluga iz treće zemlje trebale bi se priznavati kao kvalificirane, u skladu s ovom Uredbom, samo ako je sklopljen međunarodni sporazum između Unije i zemlje u kojoj taj pružatelj usluge ima poslovni nastan.
(68)
U skladu s odredbama o poslovnom nastanu iz Ugovora o funkcioniranju Europske unije (UFEU), pojam „pravne osobe” gospodarskim subjektima ostavlja mogućnost da odaberu pravni oblik koji smatraju prikladnim za obavljanje svoje djelatnosti. Sukladno tomu, „pravne osobe”, u smislu UFEU-a, znači svi subjekti koji su osnovani prema pravu države članice ili uređeni pravom države članice, bez obzira na njihov pravni oblik.
(69)
Institucije, tijela, urede i agencije Unije potiče se da priznaju elektroničku identifikaciju i usluge povjerenja obuhvaćene ovom Uredbom u svrhu kapitalizacije administrativne suradnje, posebno u vezi s postojećom dobrom praksom i rezultatima projekata koji su u tijeku u područjima obuhvaćenima ovom Uredbom.
(70)
Kako bi se određeni podrobni tehnički aspekti ove Uredbe dopunili na fleksibilan i brz način, Komisiji bi, u pogledu kriterija koje trebaju ispuniti tijela odgovorna za certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa, trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a. Posebno je važno da Komisija tijekom svog pripremnog rada provede odgovarajuća savjetovanja, uključujući i ona na razini stručnjaka. Prilikom pripreme i izrade delegiranih akata, Komisija bi trebala osigurati da se relevantni dokumenti Europskom parlamentu i Vijeću šalju istodobno, na vrijeme i na primjeren način.
(71)
Kako bi se osiguravali jedinstveni uvjeti za provedbu ove Uredbe, posebno uvjeti za utvrđivanje referentnih brojeva normi čije bi korištenje predmnijevalo ispunjavanje određenih zahtjeva koji su utvrđeni u ovoj Uredbi, provedbene ovlasti trebalo bi dodijeliti Komisiji. Te bi se ovlasti trebale izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (12).
(72)
Komisija bi pri donošenju delegiranih ili provedbenih akata trebala posebno uzeti u obzir norme i tehničke specifikacije koje su izradile europske i međunarodne normizacijske organizacije i normizacijska tijela, posebno Europski odbor za normizaciju (CEN), Europski institut za telekomunikacijske norme (ETSI), Međunarodna organizacija za normizaciju (ISO) i Međunarodna telekomunikacijska unija (ITU), s ciljem osiguravanja visoke razine sigurnosti i interoperabilnosti elektroničke identifikacije i usluga povjerenja.
(73)
Zbog razloga pravne sigurnosti i jasnoće, Direktivu 1999/93/EZ trebalo bi staviti izvan snage.
(74)
Radi osiguravanja pravne sigurnosti za tržišne operatore koji već koriste kvalificirane certifikate izdane fizičkim osobama u skladu s Direktivom 1999/93/EZ, potrebno je osigurati dovoljno dugo prijelazno razdoblje. Slično tome, trebalo bi uspostaviti prijelazne mjere za sredstva za sigurnu izradu potpisa, čija je sukladnost utvrđena u skladu s Direktivom 1999/93/EZ, kao i za pružatelje usluga certificiranja koji su izdali kvalificirane certifikate prije 1. srpnja 2016. Naposljetku, također je potrebno Komisiji osigurati sredstva za donošenje provedbenih akata i delegiranih akata prije tog datuma.
(75)
Datumi primjene određeni u ovoj Uredbi ne utječu na postojeće obveze država članica prema pravu Unije, posebno prema Direktivi 2006/123/EZ.
(76)
S obzirom na to da ciljeve ove Uredbe ne mogu dostatno ostvariti države članice, nego se zbog opsega djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelnom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.
(77)
Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001 Europskog parlamenta i Vijeća (13) koji je dao mišljenje 27. rujna 2012. (14),
DONIJELI SU OVU UREDBU:
POGLAVLJE I.
OPĆE ODREDBE
Članak 1.
Predmet
S ciljem osiguravanja ispravnog funkcioniranja unutarnjeg tržišta, istodobno težeći primjerenoj razini sigurnosti sredstava elektroničke identifikacije i usluga povjerenja, ovom se Uredbom:
(a)
utvrđuju uvjeti pod kojima države članice priznaju sredstva elektroničke identifikacije fizičkih i pravnih osoba koja su obuhvaćena prijavljenim sustavom elektroničke identifikacije druge države članice;
(b)
utvrđuju pravila za usluge povjerenja, posebno za elektroničke transakcije; i
(c)
uspostavlja pravni okvir za elektroničke potpise, elektroničke pečate, elektroničke vremenske žigove, elektroničke dokumente, usluge elektroničke preporučene dostave i usluge certificiranja za autentikaciju mrežnih stranica.
Članak 2.
Područje primjene
1. Ova se Uredba primjenjuje na sustave elektroničke identifikacije koje je prijavila država članica, kao i na pružatelje usluga povjerenja koji imaju poslovni nastan u Uniji.
2. Ova se Uredba ne primjenjuje na pružanje usluga povjerenja koje se isključivo koriste unutar zatvorenih sustava koji proizlaze iz nacionalnog prava ili iz sporazumâ među utvrđenom skupinom sudionika.
3. Ova Uredba ne utječe na nacionalno pravo ili pravo Unije koje se odnosi na sklapanje i valjanost ugovorâ ili drugih pravnih ili postupovnih obveza u pogledu forme.
Članak 3.
Definicije
Za potrebe ove Uredbe primjenjuju se sljedeće definicije:
1.
„elektronička identifikacija” znači postupak korištenja osobnim identifikacijskim podacima u elektroničkom obliku koji na nedvojben način predstavljaju bilo fizičku ili pravnu osobu ili fizičku osobu koja predstavlja pravnu osobu;
2.
„sredstvo elektroničke identifikacije” znači materijalna i/ili nematerijalna jedinica koja sadrži osobne identifikacijske podatke i koja se koristi za autentikaciju na online uslugu;
3.
„osobni identifikacijski podaci” znači skup podataka koji omogućavaju da se utvrdi identitet fizičke ili pravne osobe ili fizičke osobe koja predstavlja pravnu osobu;
4.
„sustav elektroničke identifikacije” znači sustav za elektroničku identifikaciju u okviru kojega se izdaju sredstva elektroničke identifikacije fizičkim ili pravnim osobama ili fizičkim osobama koje predstavljaju pravne osobe;
5.
„autentikacija” znači elektronički postupak koji omogućava da elektronička identifikacija fizičke ili pravne osobe ili izvornost i cjelovitost podataka u elektroničkom obliku budu potvrđeni;
6.
„pouzdajuća strana” znači fizička ili pravna osoba koja se oslanja na elektroničku identifikaciju ili uslugu povjerenja;
7.
„tijelo javnog sektora” znači državno, regionalno ili lokalno tijelo, javnopravno tijelo ili udruženje koje se sastoji od jednog ili nekoliko takvih tijela ili jednog ili nekoliko takvih javnopravnih tijela ili privatni subjekt koji je ovlastilo barem jedno od tih vlasti, tijela ili udruženja za pružanje javnih usluga kada djeluju u okviru takve ovlasti;
8.
„javnopravno tijelo” znači tijelo definirano u članku 2. stavku 1. točki 4. Direktive 2014/24/EU Europskog parlamenta i Vijeća (15);
9.
„potpisnik” znači fizička osoba koja izrađuje elektronički potpis;
10.
„elektronički potpis” znači podaci u elektroničkom obliku koji su pridruženi ili su logički povezani s drugim podacima u elektroničkom obliku i koje potpisnik koristi za potpisivanje;
11.
„napredan elektronički potpis” znači elektronički potpis koji ispunjava zahtjeve navedene u članku 26.;
12.
„kvalificirani elektronički potpis” znači napredan elektronički potpis koji je izrađen pomoću kvalificiranih sredstava za izradu elektroničkog potpisa i temelji se na kvalificiranom certifikatu za elektroničke potpise;
13.
„podaci za izradu elektroničkog potpisa” znači jedinstveni podaci koje potpisnik koristi za izradu elektroničkog potpisa;
14.
„certifikat za elektronički potpis” znači elektronička potvrda koja povezuje podatke za validaciju elektroničkog potpisa s fizičkom osobom i potvrđuje barem ime ili pseudonim te osobe;
15.
„kvalificirani certifikat za elektronički potpis” znači certifikat za elektroničke potpise koji izdaje kvalificirani pružatelj usluga povjerenja i koji ispunjava zahtjeve utvrđene u Prilogu I.;
16.
„usluga povjerenja” znači elektronička usluga koja se u pravilu pruža uz naknadu i koja se sastoji od:
(a)
izrade, verifikacije i validacije elektroničkih potpisa, elektroničkih pečata ili elektroničkih vremenskih žigova, usluge elektroničke preporučene dostave i certifikata koji se odnose na te usluge; ili
(b)
izrade, verifikacije i validacije certifikata za autentikaciju mrežnih stranica; ili
(c)
čuvanja elektroničkih potpisa, pečata ili certifikata koji se odnose na te usluge;
17.
„kvalificirana usluga povjerenja” znači usluga povjerenja koja ispunjava odgovarajuće zahtjeve utvrđene u ovoj Uredbi;
18.
„tijelo za ocjenjivanje sukladnosti” znači tijelo u smislu članka 2. točke 13. Uredbe (EZ) br. 765/2008 koje je u skladu s tom Uredbom ovlašteno kao nadležno za provedbu ocjenjivanja sukladnosti kvalificiranog pružatelja usluga povjerenja i kvalificiranih usluga povjerenja koje on pruža;
19.
„pružatelj usluga povjerenja” znači fizička ili pravna osoba koja pruža jednu ili više usluga povjerenja bilo kao kvalificirani ili nekvalificirani pružatelj usluga povjerenja;
20.
„kvalificirani pružatelj usluga povjerenja” znači pružatelj usluga povjerenja koji pruža jednu ili više kvalificiranih usluga povjerenja i kojemu je nadzorno tijelo odobrilo kvalificirani status;
21.
„proizvod” znači hardver ili softver ili odgovarajuće komponente hardvera ili softvera koji su namijenjeni za korištenje u svrhu pružanja usluga povjerenja;
22.
„sredstvo za izradu elektroničkog potpisa” znači konfigurirani softver ili hardver koji se koristi za izradu elektroničkog potpisa;
23.
„kvalificirano sredstvo za izradu elektroničkog potpisa” znači sredstvo za izradu elektroničkog potpisa koje ispunjava zahtjeve utvrđene u Prilogu II.;
24.
„autor pečata” znači pravna osoba koja izrađuje elektronički pečat;
25.
„elektronički pečat” znači podaci u elektroničkom obliku koji su pridruženi drugim podacima u elektroničkom obliku ili su logički povezani s njima radi osiguravanja izvornosti i cjelovitosti tih podataka;
26.
„napredan elektronički pečat” znači elektronički pečat koji ispunjava zahtjeve navedene u članku 36.;
27.
„kvalificirani elektronički pečat” znači napredan elektronički pečat koji je izrađen pomoću kvalificiranog sredstva za izradu elektroničkog pečata i koji se temelji na kvalificiranom certifikatu za elektronički pečat;
28.
„podaci za izradu elektroničkog pečata” znači jedinstveni podaci koje autor elektroničkog pečata koristi za izradu elektroničkog pečata;
29.
„certifikat za elektronički pečat” znači elektronička potvrda koja povezuje podatke za validaciju elektroničkog pečata s pravnom osobom i potvrđuje naziv te osobe;
30.
„kvalificirani certifikat za elektronički pečat” znači certifikat za elektronički pečat koji izdaje kvalificirani pružatelj usluge povjerenja i koji ispunjava zahtjeve određene u Prilogu III.;
31.
„sredstvo za izradu elektroničkog pečata” znači konfigurirani softver ili hardver koji se koristi za izradu elektroničkog pečata;
32.
„sredstvo za izradu kvalificiranog elektroničkog pečata” znači sredstvo za izradu elektroničkog pečata koje mutatis mutandis ispunjava zahtjeve određene u Prilogu II.;
33.
„elektronički vremenski žig” znači podaci u elektroničkom obliku koji povezuju druge podatke u elektroničkom obliku s određenim vremenom i na taj način dokazuju da su ti podaci postojali u to vrijeme;
34.
„kvalificirani elektronički vremenski žig” znači elektronički vremenski žig koji ispunjava zahtjeve navedene u članku 42.;
35.
„elektronički dokument” znači svaki sadržaj koji je pohranjen u elektroničkom obliku, a posebno kao tekstualni ili zvučni, vizualni ili audiovizualni zapis;
36.
„usluga elektroničke preporučene dostave” znači usluga koja omogućava prijenos podataka među trećim stranama pomoću elektroničkih sredstava i pruža dokaz o postupanju s prenesenim podacima, uključujući dokaz o slanju i primanju podataka, čime se preneseni podaci štite od rizika gubitka, krađe, oštećenja ili bilo kakvih neovlaštenih preinaka;
37.
„kvalificirana usluga elektroničke preporučene dostave” znači usluga elektroničke preporučene dostave koja ispunjava zahtjeve utvrđene u članku 44.;
38.
„certifikat za autentikaciju mrežnih stranica” znači potvrda pomoću koje je moguće izvršiti autentikaciju mrežnih stranica te kojom se mrežne stranice povezuju s fizičkom ili pravnom osobom kojoj je izdan certifikat;
39.
„kvalificirani certifikat za autentikaciju mrežnih stranica” znači certifikat za autentikaciju mrežnih stranica koji izdaje kvalificirani pružatelj usluga povjerenja i koji ispunjava zahtjeve utvrđene u Prilogu IV.;
40.
„podaci za validaciju” znači podaci koji se koriste za validaciju elektroničkog potpisa ili elektroničkog pečata;
41.
„validacija” znači postupak verifikacije i potvrđivanja da su elektronički potpis ili pečat valjani.
Članak 4.
Načelo unutarnjeg tržišta
1. Pružanje usluga povjerenja na državnom području države članice od strane pružatelja usluge povjerenja s poslovnim nastanom u drugoj državi članici ne ograničava se zbog razloga koji ulaze u područje primjene ove Uredbe.
2. Proizvodima i uslugama povjerenja koji su u skladu s ovom Uredbom dopušta se slobodno cirkulirati na unutarnjem tržištu.
Članak 5.
Obrada i zaštita podataka
1. Obrada osobnih podataka provodi se u skladu s Direktivom 95/46/EZ.
2. Ne dovodeći u pitanje pravne učinke koje pseudonimi imaju prema nacionalnom pravu, korištenje pseudonimom u elektroničkim transakcijama nije zabranjeno.
POGLAVLJE II.
ELEKTRONIČKA IDENTIFIKACIJA
Članak 6.
Uzajamno priznavanje
1. Kada se prema nacionalnom pravu ili nacionalnom administrativnom praksom zahtijeva elektronička identifikacija pomoću sredstva elektroničke identifikacije i autentikacije radi pristupa usluzi koju tijelo javnog sektora pruža online u jednoj državi članici, sredstvo elektroničke identifikacije izdano u drugoj državi članici priznaje se u prvoj državi članici za potrebe prekogranične autentikacije na tu uslugu online, pod uvjetom da su ispunjeni sljedeći uvjeti:
(a)
sredstvo elektroničke identifikacije izdano je u okviru sustava elektroničke identifikacije koji je uvršten na popis koji je objavila Komisija na temelju članka 9.;
(b)
razina sigurnosti tih sredstava elektroničke identifikacije odgovara razini sigurnosti koja je jednaka ili viša od razine sigurnosti koju zahtijeva nadležno tijelo javnog sektora radi pristupa toj usluzi online u prvoj državi članici ili viša od te razine, pod uvjetom da razina sigurnosti tih sredstava elektroničke identifikacije odgovara značajnoj ili visokoj razini sigurnosti;
(c)
odgovarajuće tijelo javnog sektora primjenjuje značajnu ili visoku razinu sigurnosti u odnosu na pristupanje toj usluzi online.
Takvo priznavanje mora uslijediti najkasnije 12 mjeseci nakon što Komisija objavi popis iz prvog podstavka točke (a).
2. Sredstvo elektroničke identifikacije koje se izdaje u okviru sustava elektroničke identifikacije uvrštenog na popis koji je objavila Komisija na temelju članka 9. i koji odgovara niskoj razini sigurnosti, tijela javnog sektora mogu priznati za potrebe prekogranične autentikacije na uslugu koju ta tijela pružaju online.
Članak 7.
Prihvatljivost sustava elektroničke identifikacije za prijavu
Sustav elektroničke identifikacije prihvatljiv je za prijavu na temelju članka 9. stavka 1. pod uvjetom da budu ispunjeni svi sljedeći uvjeti:
(a)
sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije izdana su:
i.
od strane države članice koja provodi prijavljivanje;
ii.
u okviru mandata države članice koja provodi prijavljivanje; ili
iii.
neovisno o državi članici koja provodi prijavljivanje, a priznata su od strane te države članice;
(b)
sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije mogu se koristiti za pristup barem jednoj usluzi koju pruža tijelo javnog sektora i koja zahtijeva elektroničku identifikaciju u državi članici koja provodi prijavljivanje;
(c)
sustav elektroničke identifikacije i sredstva elektroničke identifikacije izdana u okviru tog sustava ispunjavaju zahtjeve barem jedne od razina sigurnosti određenih u provedbenom aktu iz članka 8. stavka 3.;
(d)
država članica koja provodi prijavljivanje osigurava da se osobni identifikacijski podaci koji nedvojbeno predstavljaju osobu o kojoj je riječ, u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću razinu sigurnosti određenu u provedbenom aktu iz članka 8. stavka 3., pripisuju fizičkoj ili pravnoj osobi iz članka 3. točke 1. u vrijeme kada su sredstva elektroničke identifikacije izdana u okviru tog sustava;
(e)
strana koja izdaje sredstva elektroničke identifikacije u okviru tog sustava osigurava da se sredstva elektroničke identifikacije pripisuju osobi iz točke (d) ovog članka u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću razinu sigurnosti određenu u provedbenom aktu iz članka 8. stavka 3.;
(f)
država članica koja provodi prijavljivanje osigurava dostupnost autentikacije online, tako da svaka pouzdajuća strana s poslovnim nastanom na državnom području druge države članice može potvrditi osobne identifikacijske podatke zaprimljene u elektroničkom obliku.
Za pouzdajuće strane koje nisu tijela javnog sektora, država članica koja provodi prijavljivanje može odrediti uvjete pristupa toj autentikaciji. Prekogranična autentikacija pruža se bez naknade kada se provodi online u vezi s uslugom koju pruža tijelo javnog sektora.
Države članice ne nameću bilo kakve posebne nerazmjerne tehničke zahtjeve pouzdajućim stranama koje namjeravaju provesti takvu autentikaciju ako takvi zahtjevi sprečavaju ili znatno ograničavaju interoperabilnost prijavljenih sustava elektroničke identifikacije;
(g)
najmanje šest mjeseci prije prijave na temelju članka 9. stavka 1., za potrebe obveze prema članku 12. stavku 5., država članica koja provodi prijavljivanje drugoj državi članici dostavlja opis tog sustava u skladu s postupovnim aranžmanima koji su utvrđeni provedbenim aktima iz članka 12. stavka 7.;
(h)
sustav elektroničke identifikacije ispunjava zahtjeve određene u provedbenom aktu iz članka 12. stavka 8.
Članak 8.
Razine sigurnosti sustava elektroničke identifikacije
1. Sustav elektroničke identifikacije koji je prijavljen na temelju članka 9. stavka 1. određuje nisku, značajnu i/ili visoku razinu sigurnosti koja se pripisuje sredstvima elektroničke identifikacije koja su izdana u okviru tog sustava.
2. Niska, značajna odnosno visoka razina sigurnosti moraju ispunjavati sljedeće kriterije:
(a)
niska razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža ograničen stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha smanjenje rizika zlouporabe ili promjene identiteta;
(b)
značajna razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža značajan stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta;
(c)
visoka razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža viši stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe od sredstava elektroničke identifikacije sa značajnom razinom sigurnosti te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta.
3. Komisija, uzimajući u obzir odgovarajuće međunarodne norme i podložno stavku 2., provedbenim aktima do 18. rujna 2015. određuje minimalne tehničke specifikacije, norme i postupke u odnosu na koje se za sredstva elektroničke identifikacije u smislu stavka 1. utvrđuju niska, značajna i visoka razina sigurnosti.
Te minimalne tehničke specifikacije, norme i postupci određuju se upućivanjem na pouzdanost i kvalitetu sljedećih elemenata:
(a)
postupka radi dokazivanja i verifikacije identiteta fizičke ili pravne osobe koja podnosi zahtjev za izdavanje sredstava elektroničke identifikacije;
(b)
postupka za izdavanje traženih sredstava elektroničke identifikacije;
(c)
mehanizma autentikacije putem kojeg fizička ili pravna osoba koristi sredstva elektroničke identifikacije za potvrđivanje svoga identiteta pouzdajućoj strani;
(d)
tijela koje izdaje sredstvo elektroničke identifikacije;
(e)
svakog drugog tijela uključenog u podnošenje zahtjeva za izdavanje sredstava elektroničke identifikacije; i
(f)
tehničkih i sigurnosnih specifikacija izdanih sredstava elektroničke identifikacije.
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 9.
Prijavljivanje
1. Država članica koja provodi prijavljivanje Komisiji prijavljuje sljedeće informacije i, bez odgađanja, sve njihove naknadne izmjene:
(a)
opis sustava elektroničke identifikacije, uključujući njegove razine sigurnosti i izdavatelja ili izdavatelje sredstava elektroničke identifikacije u okviru sustava;
(b)
primjenjivi sustav nadzora i informacije o pravilima o odgovornosti s obzirom na sljedeće:
i.
stranu koja izdaje sredstvo elektroničke identifikacije; i
ii.
stranu koja provodi postupak autentikacije;
(c)
tijelo ili tijela odgovorno (odgovorna) za sustav elektroničke identifikacije;
(d)
informacije o subjektu ili subjektima koji upravljaju registracijom jedinstvenih osobnih identifikacijskih podataka;
(e)
opis načina ispunjavanja zahtjeva određenih u provedbenim aktima iz članka 12. stavka 8.;
(f)
opis autentikacije iz članka 7. točke (f);
(g)
dogovori za suspenziju ili opoziv bilo prijavljenog sustava elektroničke identifikacije ili autentikacije ili ugroženih dijelova o kojima je riječ.
2. Godinu dana od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8., Komisija u Službenom listu Europske unije objavljuje popis sustavâ elektroničke identifikacije koji su prijavljeni na temelju stavka 1. ovog članka i osnovne informacije o njima.
3. Ako Komisija primi prijavu nakon isteka razdoblja iz stavka 2., ona u Službenom listu Europske unije objavljuje izmjene popisa iz stavka 2., u roku od dva mjeseca od datuma primitka te prijave.
4. Država članica može Komisiji podnijeti zahtjev za uklanjanje sustava elektroničke identifikacije koji je prijavila ta država članica s popisa iz stavka 2. Komisija objavljuje odgovarajuće izmjene popisa u Službenom listu Europske unije u roku od mjeseca dana od datuma primitka zahtjeva države članice.
5. Komisija može provedbenim aktima utvrditi okolnosti, oblike i postupke prijava prema stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 10.
Povreda sigurnosti
1. U slučaju povrede ili djelomičnog ugrožavanja bilo sustava elektroničke identifikacije koji je prijavljen na temelju članka 9. stavka 1. ili autentikacije iz članka 7. točke (f) na način koji utječe na pouzdanost prekogranične autentikacije tog sustava, država članica koja provodi prijavljivanje bez odgađanja suspendira ili opoziva tu prekograničnu autentikaciju ili ugrožene dijelove o kojima je riječ i obavješćuje ostale države članice i Komisiju.
2. Kada je povreda ili ugrožavanje iz stavka 1. otklonjeno, država članica koja provodi prijavljivanje ponovno uspostavlja prekograničnu autentikaciju i bez odgađanja obavješćuje ostale države članice i Komisiju.
3. Ako povreda ili ugrožavanje iz stavka 1. nije otklonjeno u roku od 3 mjeseca od suspenzije ili opoziva, država članica koja provodi prijavljivanje obavješćuje druge države članice i Komisiju o povlačenju sustava elektroničke identifikacije.
Komisija u Službenom listu Europske unije bez odgađanja objavljuje odgovarajuće izmjene popisa iz članka 9. stavka 2.
Članak 11.
Odgovornost
1. Država članica koja provodi prijavljivanje odgovorna je za štetu koja je namjerno ili nepažnjom prouzročena svakoj fizičkoj ili pravnoj osobi nepoštovanjem obveza pri prekograničnoj transakciji prema članku 7. točkama (d) i (f).
2. Strana koja izdaje sredstva elektroničke identifikacije odgovara za štetu koja je namjerno ili nepažnjom prouzročena svakoj fizičkoj ili pravnoj osobi nepoštovanjem obveza pri prekograničnoj transakciji iz članka 7. točke (e).
3. Strana koja provodi postupak autentikacije odgovorna je za štetu koja je namjerno ili nepažnjom prouzročena svakoj fizičkoj ili pravnoj osobi nepoštovanjem obveze osiguravanja ispravne provedbe autentikacije iz članka 7. točke (f) pri prekograničnoj transakciji.
4. Stavci 1., 2. i 3. primjenjuju se u skladu s nacionalnim pravilima o odgovornosti.
5. Stavci 1., 2. i 3. ne dovode u pitanje odgovornost prema nacionalnom pravu stranaka transakcije u kojoj se koriste sredstva elektroničke identifikacije obuhvaćena sustavom elektroničke identifikacije prijavljenim na temelju članka 9. stavka 1.
Članak 12.
Suradnja i interoperabilnost
1. Nacionalni sustavi elektroničke identifikacije prijavljeni na temelju članka 9. stavka 1. moraju biti interoperabilni.
2. Za potrebe stavka 1., uspostavlja se okvir za interoperabilnost.
3. Okvir za interoperabilnost mora ispunjavati sljedeće kriterije:
(a)
za cilj ima tehnološku neutralnost i ne pravi razliku između bilo kojih posebnih nacionalnih tehničkih rješenja za elektroničku identifikaciju unutar određene države članice;
(b)
pridržava se europskih i međunarodnih normi, kada je to moguće;
(c)
olakšava provedbu načela „ugrađene zaštite privatnosti”; i
(d)
osigurava obradu osobnih podataka u skladu s Direktivom 95/46/EZ.
4. Okvir za interoperabilnost sastoji se od:
(a)
upućivanja na minimalne tehničke zahtjeve koji se odnose na razine sigurnosti prema članku 8.;
(b)
raspoređivanja nacionalnih razina sigurnosti prijavljenih sustava elektroničke identifikacije na razine sigurnosti prema članku 8.;
(c)
upućivanja na minimalne tehničke zahtjeve za interoperabilnost;
(d)
upućivanja na najmanji skup osobnih identifikacijskih podataka koji na nedvojben način predstavljaju fizičku ili pravnu osobu i kojim raspolažu sustavi elektroničke identifikacije;
(e)
poslovnika;
(f)
dogovorâ za rješavanje sporova; i
(g)
zajedničkih operativnih sigurnosnih normi.
5. Države članice surađuju u pogledu sljedećeg:
(a)
interoperabilnosti sustava elektroničke identifikacije koji su prijavljeni na temelju članka 9. stavka 1. i sustava elektroničke identifikacije koje države članice namjeravaju prijaviti; i
(b)
sigurnosti sustavâ elektroničke identifikacije.
6. Suradnja među državama članicama sastoji se od:
(a)
razmjene informacija, iskustva i dobre prakse u vezi sa sustavima elektroničke identifikacije i posebno u vezi s tehničkim zahtjevima koji se odnose na interoperabilnost i razine sigurnosti;
(b)
razmjene informacija, iskustva i dobre prakse u vezi s radom s razinama sigurnosti sustavâ elektroničke identifikacije u skladu s člankom 8.;
(c)
stručnog pregleda sustava elektroničke identifikacije obuhvaćenih ovom Uredbom; i
(d)
pregleda odgovarajućih kretanja u sektoru elektroničke identifikacije.
7. Komisija provedbenim aktima do 18. ožujka 2015. uspostavlja potrebne postupovne aranžmane kako bi olakšala suradnju među državama članicama iz stavaka 5. i 6., s ciljem poticanja visoke razine povjerenja i sigurnosti koja je primjerena stupnju rizika.
8. Komisija u svrhu određivanja jednakih uvjeta za provedbu zahtjeva prema stavku 1. do 18. rujna 2015. donosi provedbene akte o okviru za interoperabilnost kako je određeno u stavku 4., podložno kriterijima određenima u stavku 3. te uzimajući u obzir rezultate suradnje među državama članicama.
9. Provedbeni akti iz stavaka 7. i 8. ovog članka donose se u skladu s postupkom ispitivanja iz članka 48. stavka 2.
POGLAVLJE III.
USLUGE POVJERENJA
ODJELJAK 1.
Opće odredbe
Članak 13.
Odgovornost i teret dokaza
1. Ne dovodeći u pitanje stavak 2., pružatelji usluga povjerenja odgovorni su za štetu koja je namjerno ili nepažnjom prouzročena svakoj fizičkoj ili pravnoj osobi zbog nepoštovanja obveza prema ovoj Uredbi.
Teret dokazivanja namjere ili nepažnje nekvalificiranog pružatelja usluga povjerenja je na fizičkoj ili pravnoj osobi koja zahtijeva naknadu štete iz prvog podstavka.
Namjera ili nepažnja kvalificiranog pružatelja usluga povjerenja pretpostavlja se, osim ako kvalificirani pružatelj usluga povjerenja dokaže da je šteta iz prvog podstavka nastala bez namjere ili nepažnje tog kvalificiranog pružatelja usluga povjerenja.
2. U slučaju kada pružatelji usluga povjerenja propisno i unaprijed obavijeste svoje korisnike o ograničenjima pri korištenju uslugama koje pružaju i kada su ta ograničenja prepoznatljiva za treće strane, pružatelji usluga povjerenja ne odgovaraju za štete koje nastanu zbog korištenja uslugama kojim se prekoračuju naznačena ograničenja.
3. Stavci 1. i 2. primjenjuju se u skladu s nacionalnim pravilima o odgovornosti.
Članak 14.
Međunarodni aspekti
1. Usluge povjerenja koje pružaju pružatelji usluga povjerenja s poslovnim nastanom u trećoj zemlji priznaju se kao pravno jednake kvalificiranim uslugama povjerenja koje pružaju kvalificirani pružatelji usluga povjerenja s poslovnim nastanom u Uniji kada su usluge povjerenja iz treće zemlje priznate u okviru sporazuma sklopljenog između Unije i treće zemlje o kojoj je riječi ili određene međunarodne organizacije u skladu s člankom 218. UFEU-a.
2. Sporazumima iz stavka 1. posebno se osigurava da:
(a)
pružatelji usluga povjerenja u trećoj zemlji ili međunarodne organizacije s kojima je sklopljen sporazum i usluge povjerenja koje oni pružaju ispunjavaju zahtjeve koji se primjenjuju na kvalificirane pružatelje usluga povjerenja s poslovnim nastanom u Uniji i na kvalificirane usluge povjerenja koje oni pružaju;
(b)
kvalificirane usluge povjerenja koje pružaju kvalificirani pružatelji usluga povjerenja s poslovnim nastanom u Uniji budu priznate kao pravno jednake uslugama povjerenja koje pružaju pružatelji usluga povjerenja u trećoj zemlji ili koje pružaju međunarodne organizacije s kojima je sklopljen sporazum.
Članak 15.
Dostupnost za osobe s invaliditetom
Kada je to moguće, usluge povjerenja i proizvodi za krajnje korisnike korišteni pri pružanju tih usluga dostupni su osobama s invaliditetom.
Članak 16.
Sankcije
Države članice utvrđuju pravila o sankcijama koje se primjenjuju na povrede ove Uredbe. Te sankcije moraju biti djelotvorne, razmjerne i odvraćajuće.
ODJELJAK 2.
Nadzor
Članak 17.
Nadzorno tijelo
1. Države članice određuju nadzorno tijelo s poslovnim nastanom na njihovom državnom području ili, prema uzajamnom dogovoru s drugom državom članicom, nadzorno tijelo s poslovnim nastanom u toj drugoj državi članici. To tijelo je odgovorno za zadaće nadzora u državi članici koja ga određuje.
Nadzornim se tijelima dodjeljuju potrebne ovlasti i odgovarajuća sredstva za obavljanje njihovih zadaća.
2. Države članice obavješćuju Komisiju i druge države članice o nazivima i adresama svojih nadzornih tijela koja su odredile.
3. Uloga nadzornog tijela jest sljedeća:
(a)
da nadzire kvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje kako bi se osiguralo, putem prethodnih (ex ante) i naknadnih (ex post) aktivnosti nadzora, da ti kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi;
(b)
da, prema potrebi, poduzima mjere u odnosu na nekvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje, putem naknadnih (ex post) aktivnosti nadzora, kada primi obavijest da ti nekvalificirani pružatelji usluga povjerenja ili usluge povjerenja koje oni pružaju navodno ne ispunjavaju zahtjeve utvrđene u ovoj Uredbi.
4. Za potrebe stavka 3. i podložno u njemu predviđenim ograničenjima, zadaće nadzornog tijela posebno uključuju:
(a)
suradnju s drugim nadzornim tijelima i pružanje pomoći tim tijelima u skladu s člankom 18.;
(b)
analiziranje izvješćâ o ocjenjivanju sukladnosti iz članka 20. stavka 1. i članka 21. stavka 1.;
(c)
obavješćivanje drugih nadzornih tijela i javnosti o povredama sigurnosti ili gubitku cjelovitosti u skladu s člankom 19. stavkom 2.;
(d)
izvješćivanje Komisije o svojim glavnim aktivnostima u skladu sa stavkom 6. ovog članka;
(e)
obavljanje revizija ili zahtijevanje od tijela za ocjenjivanje sukladnosti da provede ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja u skladu s člankom 20. stavkom 2.;
(f)
suradnju s tijelima za zaštitu podataka, a posebice obavješćujući ih, bez odgađanja, o rezultatima revizija kvalificiranih pružatelja usluga povjerenja, u slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka;
(g)
dodjeljivanje kvalificiranog statusa pružateljima usluga povjerenja i uslugama koje oni pružaju i ukidanje tog statusa u skladu s člancima 20. i 21.;
(h)
obavješćivanje tijela odgovornog za nacionalni pouzdani popis iz članka 22. stavka 3. o odlukama o dodjeljivanju ili ukidanju kvalificiranog statusa, osim ako je to tijelo ujedno i nadzorno tijelo;
(i)
provjeravanje postojanja i pravilne primjene odredaba o planovima prekida u slučajevima kada kvalificirani pružatelj usluga povjerenja prekine svoje aktivnosti, uključujući način na koji se održava dostupnost informacija u skladu s člankom 24. stavkom 2. točkom (h);
(j)
zahtijevanje od pružatelja usluga povjerenja da otklone svako nepoštovanje zahtjeva utvrđenih u ovoj Uredbi.
5. Države članice mogu od nadzornog tijela zahtijevati da uspostavi, održava i ažurira infrastrukturu povjerenja u skladu s uvjetima prema nacionalnom pravu.
6. Svako nadzorno tijelo Komisiji do 31. ožujka svake godine dostavlja izvješće o svojim glavnim aktivnostima u prethodnoj kalendarskoj godini, zajedno sa sažetkom obavijesti o povredama koje je primilo od pružatelja usluga povjerenja u skladu s člankom 19. stavkom 2.
7. Komisija stavlja na raspolaganje državama članicama godišnje izvješće iz stavka 6.
8. Komisija može provedbenim aktima utvrditi oblike i postupke izvješća iz stavka 6. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 18.
Uzajamna pomoć
1. Nadzorna tijela surađuju s ciljem razmjenjivanja dobre prakse.
Nadzorno tijelo, po primitku obrazloženog zahtjeva drugog nadzornog tijela, tom tijelu pruža pomoć kako bi se aktivnosti nadzornih tijela mogle provoditi na dosljedan način. Uzajamna pomoć može posebno obuhvaćati zahtjeve za informacijama i nadzorne mjere, kao što su zahtjevi za provođenje kontrola koje se odnose na izvješća o ocjenjivanju sukladnosti, kako je navedeno u člancima 20. i 21.
2. Nadzorno tijelo kojemu je upućen zahtjev za pomoć može odbiti taj zahtjev zbog bilo kojeg od sljedećih razloga:
(a)
nadzorno tijelo nije nadležno za pružanje tražene pomoći;
(b)
tražena pomoć nije razmjerna aktivnostima nadzora nadzornog tijela koje se provode u skladu s člankom 17.;
(c)
pružanje tražene pomoći ne bi bilo u skladu s ovom Uredbom.
3. Prema potrebi, države članice mogu ovlastiti svoja nadzorna tijela da provode zajedničke istrage u kojima sudjeluje osoblje nadzornih tijela iz drugih država članica. Dogovore i postupke za takva zajednička djelovanja dogovaraju i uspostavljaju dotične države članice u skladu sa svojim nacionalnim pravima.
Članak 19.
Sigurnosni zahtjevi primjenjivi na pružatelje usluga povjerenja
1. Kvalificirani i nekvalificirani pružatelji usluga povjerenja poduzimaju odgovarajuće tehničke i organizacijske mjere za upravljanje rizicima koji prijete sigurnosti usluga povjerenja koje oni pružaju. Uzimajući u obzir najnovija tehnološka rješenja, tim se mjerama osigurava da razina sigurnosti odgovara stupnju rizika. Posebno se poduzimaju mjere za sprečavanje i smanjivanje utjecaja sigurnosnih incidenata te za obavješćivanje dionika o neželjenim učincima bilo kakvih incidenata te vrste.
2. Kvalificirani i nekvalificirani pružatelji usluga povjerenja obavješćuju, bez odgađanja, ali u svakom slučaju u roku od 24 sata od saznanja za iste, nadzorno tijelo i, prema potrebi, druga odgovarajuća tijela, kao što je nadležno nacionalno tijelo za sigurnost informacija ili tijelo za zaštitu podataka, o svakoj povredi sigurnosti ili gubitku cjelovitosti koji imaju značajan utjecaj na pruženu uslugu povjerenja ili u njoj sadržane osobne podatke.
Ako je izgledno da bi povreda sigurnosti ili gubitak cjelovitosti mogli nepovoljno utjecati na fizičku ili pravnu osobu kojoj su pružene usluge povjerenja, pružatelj usluga povjerenja o povredi ili gubitku cjelovitosti bez odgađanja obavješćuje i tu fizičku ili pravnu osobu.
Prema potrebi, posebno ako se povreda sigurnosti ili gubitak cjelovitosti odnosi na dvije države članice ili više njih, prijavljeno nadzorno tijelo obavješćuje nadzorna tijela u drugim državama članicama na koje se to odnosi i ENISA-u.
Prijavljeno nadzorno tijelo obavješćuje javnost ili zahtijeva od pružatelja usluga povjerenja da to učini ako utvrdi da je otkrivanje povrede sigurnosti ili gubitka cjelovitosti u javnom interesu.
3. Nadzorno tijelo jednom godišnje dostavlja ENISA-i sažetak obavijesti o povredi sigurnosti i gubitku cjelovitosti koje je primilo od pružateljâ usluga povjerenja.
4. Komisija može provedbenim aktima:
(a)
podrobnije odrediti mjere iz stavka 1.; i
(b)
odrediti oblike i postupke, uključujući rokove, primjenjive za potrebe stavka 2.
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 3.
Kvalificirane usluge povjerenja
Članak 20.
Nadzor kvalificiranih pružatelja usluga povjerenja
1. Tijelo za ocjenjivanje sukladnosti obavlja reviziju pružatelja kvalificiranih usluga povjerenja o njihovu trošku i najmanje svaka 24 mjeseca. Svrha revizija sastoji se u potvrđivanju da kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. Kvalificirani pružatelji usluga povjerenja nadzornom tijelu podnose izvješće o ocjenjivanju sukladnosti u roku od tri radna dana od njegova primitka.
2. Ne dovodeći u pitanje stavak 1., nadzorno tijelo može u bilo kojem trenutku obaviti reviziju ili zahtijevati od tijela za ocjenjivanje sukladnosti da obavi ocjenjivanje sukladnosti pružatelja kvalificiranih usluga povjerenja, o trošku tih pružatelja usluga povjerenja, kako bi potvrdilo da pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. U slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka, nadzorno tijelo obavješćuje tijela za zaštitu podataka o rezultatima svojih revizija.
3. U slučaju kada nadzorno tijelo zahtijeva od pružatelja kvalificiranih usluga povjerenja da otkloni bilo kakvo nepoštovanje zahtjeva prema ovoj Uredbi i kada pružatelj usluge ne postupi u skladu s tim zahtjevom, te ako je to primjenjivo i u roku koji odredi nadzorno tijelo, nadzorno tijelo može, posebno uzimajući u obzir opseg, trajanje i posljedice tog nepoštovanja, ukinuti kvalificirani status tog pružatelja usluge ili obuhvaćene usluge koju on pruža te može za potrebe ažuriranja pouzdanih popisa iz članka 22. stavka 1. obavijestiti tijelo iz članka 22. stavka 3. Nadzorno tijelo obavješćuje kvalificiranog pružatelja usluga povjerenja o ukidanju njegova kvalificiranog statusa ili kvalificiranog statusa dotične usluge.
4. Komisija može provedbenim aktima utvrditi referentne brojeve sljedećih normi:
(a)
akreditacije tijela za ocjenu sukladnosti i za izvješće o ocjenjivanju sukladnosti iz stavka 1.;
(b)
pravila revizije prema kojima će tijela za ocjenjivanje sukladnosti provoditi ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja kako je navedeno u stavku 1.
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 21.
Početak pružanja kvalificirane usluge povjerenja
1. Ako pružatelji usluga povjerenja bez kvalificiranog statusa namjeravaju započeti s pružanjem kvalificiranih usluga povjerenja, oni nadzornom tijelu podnose prijavu o svojoj namjeri zajedno s izvješćem o ocjenjivanju sukladnosti koje je izdalo tijelo za ocjenjivanje sukladnosti.
2. Nadzorno tijelo provjerava je li pružatelj usluga povjerenja sukladan odnosno jesu li usluge povjerenja koje on pruža sukladne sa zahtjevima utvrđenima u ovoj Uredbi i posebno sa zahtjevima za kvalificirane pružatelje usluga povjerenja i za kvalificirane usluge povjerenja koje oni pružaju.
Ako nadzorno tijelo zaključi da su pružatelj usluga povjerenja i usluge povjerenja koje on pruža sukladni zahtjevima iz prvog podstavka, nadzorno tijelo odobrava kvalificirani status pružatelju usluga povjerenja i uslugama povjerenja koje on pruža te obavješćuje tijelo iz članka 22. stavka 3. u svrhu ažuriranja pouzdanih popisa iz članka 22. stavka 1., najkasnije tri mjeseca nakon prijave u skladu sa stavkom 1. ovog članka.
Ako provjera nije dovršena u roku od tri mjeseca od obavješćivanja, nadzorno tijelo o tome obavješćuje pružatelja usluga povjerenja, navodeći razloge za kašnjenje i rok do kojeg provjera mora biti dovršena.
3. Pružatelji kvalificiranih usluga povjerenja mogu početi pružati kvalificiranu uslugu povjerenja nakon što kvalificirani status bude naznačen na pouzdanim popisima iz članka 22. stavka 1.
4. Komisija može provedbenim aktima utvrditi oblike i postupke za potrebe stavaka 1. i 2. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 22.
Pouzdani popisi
1. Svaka država članica izrađuje, vodi i objavljuje pouzdane popise, uključujući informacije o kvalificiranim pružateljima usluga povjerenja za koje je ta država članica odgovorna, zajedno s informacijama o kvalificiranim uslugama povjerenja koje oni pružaju.
2. Države članice u obliku prikladnom za automatiziranu obradu i na siguran način izrađuju, vode i objavljuju elektronički potpisane ili pečaćene pouzdane popise iz stavka 1.
3. Države članice bez odgađanja obavješćuju Komisiju o informacijama o tijelu odgovornom za izradu, vođenje i objavljivanje nacionalnih pouzdanih popisa i detaljima o tome gdje se takvi popisi objavljuju, certifikatima korištenima za potpisivanje ili pečaćenje pouzdanih popisa i svim njihovim izmjenama.
4. Komisija stavlja na raspolaganje javnosti informacije iz stavka 3. na siguran način, u elektronički potpisanom ili pečaćenom formatu prikladnom za automatiziranu obradu.
5. Komisija putem provedbenih akata do 18. rujna 2015. navodi informacije iz stavka 1. i utvrđuje tehničke specifikacije i formate za pouzdane popise primjenjive za potrebe stavaka od 1. do 4. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 23.
EU znak pouzdanosti za kvalificirane usluge povjerenja
1. Nakon što kvalificirani status iz članka 21. stavka 2. drugog podstavka bude naznačen na popisu pružatelja usluga povjerenja iz članka 22. stavka 1., pružatelji kvalificiranih usluga povjerenja mogu se koristiti EU znakom pouzdanosti kako bi na jednostavan, prepoznatljiv i jasan način naznačili kvalificirane usluge povjerenja koje pružaju.
2. Pri korištenju EU znakom pouzdanosti za kvalificirane usluge povjerenja iz stavka 1. kvalificirani pružatelji usluga povjerenja osiguravaju da na njihovim mrežnim stranicama bude dostupna poveznica na odgovarajući popis pružatelja usluga povjerenja.
3. Komisija do 1. srpnja 2015. provedbenim aktima propisuje specifikacije u odnosu na oblik te posebno izgled, sastav, veličinu i dizajn EU znaka pouzdanosti za kvalificirane usluge povjerenja. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 24.
Zahtjevi u vezi s kvalificiranim pružateljima usluga povjerenja
1. Pri izdavanju kvalificiranog certifikata za uslugu povjerenja kvalificirani pružatelj usluga povjerenja provjerava, na odgovarajući način i u skladu s nacionalnim pravom, identitet i, ako je to primjenjivo, posebna obilježja fizičke ili pravne osobe kojoj se izdaje kvalificirani certifikat.
Informacije iz prvog podstavka provjerava kvalificirani pružatelj usluga povjerenja bilo izravno ili oslanjajući se na treću osobu u skladu s nacionalnim pravom:
(a)
fizičkom prisutnošću fizičke osobe ili ovlaštenog predstavnika pravne osobe; ili
(b)
na daljinu, pomoću sredstava elektroničke identifikacije, za koja je prije izdavanja kvalificiranog certifikata osigurana fizička prisutnost fizičke osobe ili ovlaštenog predstavnika pravne osobe i koja ispunjavaju zahtjeve određene u članku 8. u pogledu sigurnosnih razina „značajna” ili „visoka”; ili
(c)
pomoću certifikata kvalificiranog elektroničkog potpisa ili kvalificiranog elektroničkog pečata izdanog u skladu s točkom (a) ili (b); ili
(d)
pomoću drugih metoda identifikacije priznatih na nacionalnoj razini koja po pitanju pouzdanosti pružaju sigurnost jednaku fizičkoj prisutnosti. Jednaku sigurnost potvrđuje tijelo za ocjenjivanje sukladnosti.
2. Kvalificirani pružatelj usluga povjerenja:
(a)
obavješćuje nadzorno tijelo o svim promjenama u vezi s pružanjem svojih kvalificiranih usluga povjerenja te o namjeri prestanka obavljanja te djelatnosti;
(b)
zapošljava osoblje i, ako je to primjenjivo, podizvođače koji posjeduju potrebno stručno znanje, pouzdanost, iskustvo i kvalifikacije i koji su prošli odgovarajuće osposobljavanje u vezi sa sigurnošću i propisima o zaštiti osobnih podataka te primjenjuju upravne i upravljačke postupke u skladu s europskim ili međunarodnim normama;
(c)
u pogledu rizika od odgovornosti za štetu u skladu s člankom 13., raspolaže dostatnim financijskim sredstvima i/ili je sklopio odgovarajuće osiguranje od odgovornosti, u skladu s nacionalnim pravom;
(d)
prije stupanja u ugovorni odnos, obavješćuje, na jasan i sveobuhvatan način, svaku osobu koja želi koristiti kvalificiranu uslugu povjerenja o točnim uvjetima korištenja tom uslugom, uključujući bilo kakva ograničenja korištenja;
(e)
koristi vjerodostojne sustave i proizvode koji su zaštićeni od preinaka te osiguravaju tehničku sigurnost i pouzdanost postupaka koje ti sustavi i proizvodi podržavaju;
(f)
koristi vjerodostojne sustave za pohranu podataka koji su mu dostavljeni, u obliku koji se može provjeriti, kako bi:
i.
ti podaci bili javno dostupni za dohvat samo uz pristanak osobe na koju se ti podaci odnose;
ii.
samo ovlaštene osobe mogle obavljati nove unose u pohranjene podatke i mijenjati ih;
iii.
se mogla provjeriti autentičnost podataka;
(g)
poduzima odgovarajuće mjere protiv krivotvorenja i krađe podataka;
(h)
bilježi i čini dostupnima tijekom odgovarajućeg razdoblja, uključujući razdoblje nakon prestanka obavljanja djelatnosti kvalificiranog pružatelja usluga povjerenja, sve bitne informacije u vezi s podacima koje izdaje i prima kvalificirani pružatelj usluga povjerenja, a posebno za potrebe predlaganja dokaza u sudskim postupcima i u svrhu osiguravanja kontinuiteta usluge. Takvo se bilježenje može obavljati elektronički;
(i)
ima ažuriran plan prekida pružanja usluge radi osiguravanja njezina kontinuiteta u skladu s odredbama koje je potvrdilo nadzorno tijelo prema članku 17. stavku 4. točki (i);
(j)
osigurava zakonitu obradu osobnih podataka u skladu s Direktivom 95/46/EZ;
(k)
ako je riječ o kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane certifikate, uspostavlja i ažurira bazu podataka certifikata.
3. Ako kvalificirani pružatelj usluga povjerenja koji izdaje kvalificirane certifikate odluči opozvati certifikat, on registrira opoziv certifikata u svojoj bazi podataka certifikata i pravodobno objavljuje status opoziva certifikata, a u svakom slučaju unutar 24 sata nakon primitka zahtjeva. Opoziv stupa na snagu odmah nakon njegove objave.
4. Imajući u vidu stavak 3., kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane certifikate pružaju bilo kojoj pouzdajućoj strani informacije o statusu valjanosti ili opoziva kvalificiranih certifikata koje su izdali. Te informacije moraju biti dostupne barem za pojedinačne certifikate, u svakom trenutku i nakon isteka razdoblja valjanosti certifikata, na automatiziran način koji je pouzdan, besplatan i učinkovit.
5. Komisija može provedbenim aktima utvrditi referentne brojeve normi za vjerodostojne sustave i proizvode koji ispunjavaju zahtjeve u skladu sa stavkom 2. točkama (e) i (f) ovog članka. Ako vjerodostojni sustavi i proizvodi udovoljavaju tim normama, smatra se da su ispunjeni zahtjevi iz ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 4.
Elektronički potpisi
Članak 25.
Pravni učinci elektroničkih potpisa
1. Elektroničkom potpisu se kao dokazu u sudskim postupcima ne smiju uskratiti pravni učinak i dopuštenost samo zbog toga što je on u elektroničkom obliku ili zbog toga što ne ispunjava sve zahtjeve za kvalificirani elektronički potpis.
2. Kvalificirani elektronički potpis ima jednak pravni učinak kao vlastoručni potpis.
3. Kvalificirani elektronički potpis koji se temelji na kvalificiranom certifikatu izdanom u jednoj državi članici priznaje se kao kvalificirani elektronički potpis u svim ostalim državama članicama.
Članak 26.
Zahtjevi za napredne elektroničke potpise
Napredan elektronički potpis mora ispunjavati sljedeće zahtjeve:
(a)
na nedvojben način je povezan s potpisnikom;
(b)
omogućava identificiranje potpisnika;
(c)
izrađen je korištenjem podacima za izradu elektroničkog potpisa koje potpisnik može, uz visoku razinu pouzdanja, koristiti pod svojom isključivom kontrolom; i
(d)
povezan je s njime potpisanim podacima na način da se može otkriti bilo koja naknadna izmjena podataka.
Članak 27.
Elektronički potpisi u javnim uslugama
1. Ako država članica zahtijeva napredan elektronički potpis za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise, napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu za elektroničke potpise i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
2. Ako država članica zahtijeva napredan elektronički potpis koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički potpis više sigurnosne razine od kvalificiranog elektroničkog potpisa.
4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke potpise. Ako napredni elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke potpise iz stavaka 1. i 2. ovog članka te članka 26. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, putem provedbenih akata do 18. rujna 2015. utvrđuje referentne formate naprednih elektroničkih potpisa ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 28.
Kvalificirani certifikati za elektroničke potpise
1. Kvalificirani certifikati za elektroničke potpise moraju ispunjavati zahtjeve utvrđene u Prilogu I.
2. Kvalificirani certifikati za elektroničke potpise ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu I.
3. Kvalificirani certifikati za elektroničke potpise mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih potpisa.
4. Ako je kvalificirani certifikat za elektroničke potpise opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.
5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektronički potpis podložno sljedećim uvjetima:
(a)
ako je kvalificirani certifikat za elektronički potpis privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;
(b)
razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje se pružaju informacije o statusu certifikata.
6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektronički potpis. Ako kvalificirani certifikat za elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu I. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 29.
Zahtjevi za kvalificirana sredstva za izradu elektroničkih potpisa
1. Kvalificirana sredstva za izradu elektroničkih potpisa moraju ispunjavati zahtjeve utvrđene u Prilogu II.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirana sredstva za izradu elektroničkih potpisa. Ako kvalificirano sredstvo za izradu elektroničkog potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu II. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 30.
Certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa
1. Sukladnost kvalificiranih sredstava za izradu elektroničkih potpisa sa zahtjevima utvrđenima u Prilogu II. potvrđuju odgovarajuća javna ili privatna tijela koja određuju države članice.
2. Države članice obavješćuju Komisiju o nazivima i adresama javnih ili privatnih tijela iz stavka 1. Komisija stavlja te informacije na raspolaganje državama članicama.
3. Certificiranje iz stavka 1. temelji se na jednom od sljedećeg:
(a)
postupku sigurnosne evaluacije u skladu s jednom od normi za ocjenu sigurnosti proizvoda informacijske tehnologije uvrštenih na popis koji se utvrđuje u skladu s drugim podstavkom; ili
(b)
postupku različitom od postupka iz prethodne točke, pod uvjetom da on koristi usporedive sigurnosne razine te pod uvjetom da javno ili privatno tijelo iz stavka 1. obavijesti Komisiju o tom postupku. Taj se postupak može koristiti samo u slučaju nepostojanja normi navedenih u točki (a) ili kada je postupak sigurnosne evaluacije iz točke (a) u tijeku.
Komisija provedbenim aktima utvrđuje popis normi za ocjenu sigurnosti proizvoda informacijske tehnologije iz točke (a). Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
4. Komisija je ovlaštena donositi delegirane akte u skladu s člankom 47., u vezi s utvrđivanjem posebnih kriterija koje moraju ispuniti tijela iz stavka 1. ovog članka koja su određena.
Članak 31.
Objavljivanje popisa certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa
1. Države članice obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon dovršetka certificiranja, o informacijama o sredstvima za izradu kvalificiranog elektroničkog potpisa koja su certificirala tijela iz članka 30. stavka 1. Također obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon poništenja certificiranja, o informacijama o sredstvima za izradu elektroničkog potpisa koja više nisu certificirana.
2. Na temelju primljenih informacija Komisija izrađuje, objavljuje i vodi popis certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa.
3. Komisija može provedbenim aktima utvrditi formate i postupke primjenjive za potrebe stavka 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 32.
Zahtjevi za validaciju kvalificiranih elektroničkih potpisa
1. Postupkom validacije kvalificiranog elektroničkog potpisa potvrđuje se valjanost kvalificiranog elektroničkog potpisa pod sljedećim uvjetima:
(a)
certifikat koji podržava potpis je u trenutku potpisivanja bio kvalificirani certifikat za elektronički potpis koji je u skladu Prilogom I.;
(b)
kvalificirani certifikat izdao je kvalificirani pružatelj usluga povjerenja i bio je valjan u trenutku potpisivanja;
(c)
podaci za validaciju potpisa odgovaraju podacima koji se pružaju pouzdajućoj strani;
(d)
jedinstveni skup podataka koji predstavlja potpisnika u certifikatu ispravno je dostavljen pouzdajućoj strani;
(e)
korištenje pseudonimom, ako je pseudonim bio korišten u trenutku potpisivanja, jasno je naznačeno pouzdajućoj strani;
(f)
elektronički potpis izrađen je sredstvom za izradu kvalificiranog elektroničkog potpisa;
(g)
nije ugrožena cjelovitost potpisanih podataka;
(h)
zahtjevi predviđeni u članku 26. bili su ispunjeni u trenutku potpisivanja.
2. Sustav koji se upotrebljava za potvrđivanje kvalificiranog elektroničkog potpisa osigurava pouzdajućoj strani točan rezultat postupka validacije i omogućuje joj otkrivanje svih poteškoća bitnih za sigurnost.
3. Komisija može provedbenim aktima utvrditi referentne brojeve normi za validaciju kvalificiranih elektroničkih potpisa. Ako validacija kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 33.
Kvalificirana usluga validacije kvalificiranih elektroničkih potpisa
1. Kvalificiranu uslugu validacije kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji:
(a)
pruža validaciju u skladu s člankom 32. stavkom 1.; i
(b)
omogućuje pouzdajućim stranama primanje rezultata postupka validacije na automatizirani način koji je pouzdan, učinkovit i nosi napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluge validacije.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu validacije iz stavka 1. Ako usluga validacije kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 34.
Kvalificirana usluga čuvanja kvalificiranih elektroničkih potpisa
1. Kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji koristi postupke i tehnologije koje mogu produljiti pouzdanost kvalificiranog elektroničkog potpisa na razdoblje koje je dulje od razdoblja tehnološke valjanosti.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa. Ako dogovori za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 5.
Elektronički pečati
Članak 35.
Pravni učinci elektroničkih pečata
1. Elektroničkom pečatu se kao dokazu u sudskim postupcima ne smiju uskratiti pravni učinak i dopuštenost samo zbog toga što je on u elektroničkom obliku ili zbog toga što ne ispunjava sve zahtjeve za kvalificirani elektronički pečat.
2. Za kvalificirani elektronički pečat predmnijeva se cjelovitost podataka i točnost izvora podataka s kojima je kvalificirani elektronički pečat povezan.
3. Kvalificirani elektronički pečat koji se temelji na kvalificiranom certifikatu izdanom u jednoj državi članici priznaje se kao kvalificirani elektronički pečat u svim ostalim državama članicama.
Članak 36.
Zahtjevi za napredan elektronički pečat
Napredan elektronički pečat mora ispunjavati sljedeće zahtjeve:
(a)
na nedvojben način je povezan s autorom pečata;
(b)
omogućava identificiranje autora pečata;
(c)
izrađen je korištenjem podacima za izradu elektroničkog pečata koje autor pečata može, uz visoku razinu pouzdanja i pod svojom kontrolom, koristiti za izradu elektroničkog pečata; i
(d)
povezan je s podacima na koje se odnosi na takav način da se može otkriti bilo koja naknadna izmjena podataka.
Članak 37.
Elektronički pečati u javnim uslugama
1. Ako država članica zahtijeva napredan elektronički pečat za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate, napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu za elektroničke pečate i kvalificirane elektroničke pečate barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
2. Ako država članica zahtijeva napredan elektronički pečat koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu i kvalificiranom elektroničkom potpisu barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički pečat više sigurnosne razine od kvalificiranog elektroničkog pečata.
4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke pečate. Ako napredni elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke pečate iz stavaka 1. i 2. ovog članka i članka 36. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, do 18. rujna 2015. provedbenim aktima utvrđuje referentne formate naprednih elektroničkih pečata ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 38.
Kvalificirani certifikati za elektroničke pečate
1. Kvalificirani certifikati za elektroničke pečate moraju ispunjavati zahtjeve utvrđene u Prilogu III.
2. Kvalificirani certifikati za elektroničke pečate ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu III.
3. Kvalificirani certifikati za elektroničke pečate mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih pečata.
4. Ako je kvalificirani certifikat za elektronički pečat opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.
5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektroničke pečate podložno sljedećim uvjetima:
(a)
ako je kvalificirani certifikat za elektronički pečat privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;
(b)
razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje pružaju informacije o statusu certifikata.
6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektroničke pečate. Ako kvalificirani certifikat za elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu III. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 39.
Kvalificirana sredstva za izradu elektroničkog pečata
1. Članak 29. primjenjuje se mutatis mutandis na zahtjeve za kvalificirana sredstva za izradu elektroničkog pečata.
2. Članak 30. primjenjuje se mutatis mutandis na certificiranje kvalificiranih sredstva za izradu elektroničkog pečata.
3. Članak 31. primjenjuje se mutatis mutandis na objavu popisa certificiranih kvalificiranih sredstava za izradu elektroničkih pečata.
Članak 40.
Validacija i čuvanje kvalificiranih elektroničkih pečata
Članci 32., 33. i 34. primjenjuju se mutatis mutandis na validaciju i čuvanje kvalificiranih elektroničkih pečata.
ODJELJAK 6.
Elektronički vremenski žigovi
Članak 41.
Pravni učinak elektroničkih vremenskih žigova
1. Elektroničkom vremenskom žigu se kao dokazu u sudskim postupcima ne smiju uskratiti pravni učinak i dopuštenost samo zbog toga što je on u elektroničkom obliku ili zbog toga što ne ispunjava sve zahtjeve kvalificiranog elektroničkog vremenskog žiga.
2. Za kvalificirani elektronički vremenski žig predmnijeva se točnost datuma i vremena koje pokazuje te cjelovitost podataka s kojima su datum i vrijeme povezani.
3. Kvalificirani elektronički vremenski žig izdan u jednoj državi članici priznaje se kao kvalificirani elektronički vremenski žig u svim državama članicama.
Članak 42.
Zahtjevi za kvalificirane elektroničke vremenske žigove
1. Kvalificirani elektronički vremenski žig mora ispunjavati sljedeće zahtjeve:
(a)
povezuje datum i vrijeme s podacima na način kojim se u razumnoj mjeri isključuje mogućnost nezapažene promjene podataka;
(b)
temelji se na izvoru točnog vremena povezanom s koordiniranim svjetskim vremenom; i
(c)
potpisan je pomoću naprednog elektroničkog potpisa ili pečaćen pomoću naprednog elektroničkog pečata kvalificiranog pružatelja usluga povjerenja ili jednakovrijednom metodom.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za povezivanje datuma i vremena s podacima i za izvore točnog vremena. Ako povezivanje datuma i vremena s podacima i izvor točnog vremena udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 7.
Usluge elektroničke preporučene dostave
Članak 43.
Pravni učinak usluge elektroničke preporučene dostave
1. Podacima poslanima i primljenima uporabom usluge elektroničke preporučene dostave ne smije se kao dokazima u sudskim postupcima uskratiti pravni učinak i dopuštenost samo zbog toga što su oni u elektroničkom obliku ili zbog toga što ne ispunjavaju sve zahtjeve kvalificirane usluge elektroničke preporučene dostave.
2. Za podatke poslane i primljene uporabom kvalificirane usluge elektroničke preporučene dostave predmnijeva se cjelovitost podataka, slanje tih podataka od strane identificiranog pošiljatelja, njihov primitak od strane identificiranog primatelja te točnost datuma i vremena slanja i primitka podataka kako su naznačeni kvalificiranom uslugom elektroničke preporučene dostave.
Članak 44.
Zahtjevi za kvalificirane usluge elektroničke preporučene dostave
1. Kvalificirane usluge elektroničke preporučene dostave moraju ispunjavati sljedeće zahtjeve:
(a)
pruža ih jedan kvalificirani pružatelj usluga povjerenja ili više njih;
(b)
uz visoku razinu pouzdanja osiguravaju identifikaciju pošiljatelja;
(c)
osiguravaju identifikaciju primatelja prije dostave podataka;
(d)
slanje i primanje podataka osigurano je naprednim elektroničkim potpisom ili naprednim elektroničkim pečatom kvalificiranog pružatelja usluga povjerenja na način kojim se isključuje mogućnost nezapažene promjene podataka;
(e)
pošiljatelju i primatelju podataka jasno se naznačuje svaka promjena podataka potrebna radi slanja ili primanja podataka;
(f)
datum i vrijeme slanja, primanja i eventualne promjene podataka naznačuju se kvalificiranim elektroničkim vremenskim žigom.
U slučaju prijenosa podataka između dvaju kvalificiranih pružatelja usluga povjerenja ili više njih, zahtjevi iz točaka od (a) do (f) primjenjuju se na sve kvalificirane pružatelje usluga povjerenja.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za postupke slanja i primanja podataka. Ako postupak slanja i primanja podataka udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 8.
Autentikacija mrežnih stranica
Članak 45.
Zahtjevi za kvalificirane certifikate za autentikaciju mrežnih stranica
1. Kvalificirani certifikati za autentikaciju mrežnih stranica moraju ispunjavati zahtjeve utvrđene u Prilogu IV.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za autentikaciju mrežnih stranica. Ako kvalificirani certifikat za autentikaciju mrežnih stranica udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu IV. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
POGLAVLJE IV.
ELEKTRONIČKI DOKUMENTI
Članak 46.
Pravni učinci elektroničkih dokumenata
Elektroničkom dokumentu se kao dokazu u sudskim postupcima ne smiju uskratiti pravni učinak i dopuštenost samo zbog toga što je on u elektroničkom obliku.
POGLAVLJE V.
DELEGIRANJA OVLASTI I PROVEDBENE ODREDBE
Članak 47.
Izvršavanje ovlasti
1. Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.
2. Ovlast za donošenje delegiranih akata iz članka 30. stavka 4. dodjeljuje se Komisiji na neodređeno razdoblje počevši od 17. rujna 2014.
3. Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 30. stavka 4. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Opoziv proizvodi učinke dan nakon objave spomenute odluke u Službenom listu Europske unije ili na kasniji datum naveden u spomenutoj odluci. Opoziv ne utječe na valjanost delegiranih akata koji su već na snazi.
4. Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.
5. Delegirani akt donesen na temelju članka 30. stavka 4. stupa na snagu samo ako Europski parlament ili Vijeće u roku od dva mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne ulože nikakav prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće uložiti prigovore. Taj se rok produljuje za dva mjeseca na inicijativu Europskog parlamenta ili Vijeća.
Članak 48.
Postupak odbora
1. Komisiji pomaže odbor. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.
2. Kod upućivanja na ovaj stavak, primjenjuje se članak 5. Uredbe (EU) br. 182/2011.
POGLAVLJE VI.
ZAVRŠNE ODREDBE
Članak 49.
Preispitivanje
Komisija preispituje primjenu ove Uredbe i podnosi izvješće Europskom parlamentu i Vijeću najkasnije do 1. srpnja 2020. Komisija posebno provodi evaluaciju potrebe za izmjenom područja primjene ove Uredbe ili njezinih određenih odredaba, uključujući članak 6., članak 7. točku (f) te članke 34., 43., 44. i 45., uzimajući u obzir iskustvo stečeno primjenom ove Uredbe, kao i tehnološki, tržišni i pravni razvoj.
Izvješće iz prvog stavka je, prema potrebi, popraćeno zakonodavnim prijedlozima.
Osim toga, svake četiri godine nakon izvješća iz prvog stavka, Komisija podnosi izvješće Europskom parlamentu i Vijeću o napretku prema ostvarivanju ciljeva ove Uredbe.
Članak 50.
Stavljanje izvan snage
1. Direktiva 1999/93/EZ stavlja se izvan snage s učinkom od 1. srpnja 2016.
2. Upućivanja na Direktivu stavljenu izvan snage tumače se kao upućivanja na ovu Uredbu.
Članak 51.
Prijelazne mjere
1. Sredstva za sigurnu izradu potpisa čija je sukladnost utvrđena u skladu s člankom 3. stavkom 4. Direktive 1999/93/EZ smatraju se kvalificiranim sredstvima za izradu elektroničkih potpisa prema ovoj Uredbi.
2. Kvalificirani certifikati izdani fizičkim osobama prema Direktivi 1999/93/EZ smatraju se kvalificiranim certifikatima za elektroničke potpise prema ovoj Uredbi do njihova isteka.
3. Pružatelj usluga certificiranja koji izdaje kvalificirane certifikate u skladu s Direktivom 1999/93/EZ podnosi izvješće o ocjenjivanju sukladnosti nadzornom tijelu što je prije moguće, no najkasnije do 1. srpnja 2017. Do podnošenja takvog izvješća o ocjenjivanju sukladnosti i dovršetka ocjenjivanja od strane nadzornog tijela taj se pružatelj usluga certificiranja smatra kvalificiranim pružateljem usluga povjerenja prema ovoj Uredbi.
4. Ako pružatelj usluga certificiranja koji izdaje kvalificirane certifikate prema Direktivi 1999/93/EZ nadzornom tijelu ne podnese izvješće o ocjenjivanju sukladnosti u roku iz stavka 3., taj se pružatelj usluga certificiranja ne smatra kvalificiranim pružateljem usluga povjerenja prema ovoj Uredbi od 2. srpnja 2017.
Članak 52.
Stupanje na snagu
1. Ova Uredba stupa na snagu dvadesetog dana nakon dana objave u Službenom listu Europske unije.
2. Ova se Uredba primjenjuje od 1. srpnja 2016. izuzevši sljedeće:
(a)
članak 8. stavak 3., članak 9. stavak 5., članak 12. stavci od 2. do 9., članak 17. stavak 8., članak 19. stavak 4., članak 20. stavak 4., članak 21. stavak 4., članak 22. stavak 5., članak 23. stavak 3., članak 24. stavak 5., članak 27. stavci 4. i 5., članak 28. stavak 6., članak 29. stavak 2., članak 30. stavci 3. i 4., članak 31. stavak 3., članak 32. stavak 3., članak 33. stavak 2., članak 34. stavak 2., članak 37. stavci 4. i 5., članak 38. stavak 6., članak 42. stavak 2., članak 44. stavak 2., članak 45. stavak 2., članak 47. i članak 48. primjenjuju se od 17. rujna 2014.;
(b)
članak 7., članak 8. stavci 1. i 2., članci 9.,10., 11. i članak 12. stavak 1. primjenjuju se od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8.;
(c)
članak 6. primjenjuje se nakon tri godine od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8.
3. Ako je prijavljeni sustav elektroničke identifikacije uvršten na popis koji je objavila Komisija na temelju članka 9. prije datuma iz stavka 2. točke (c) ovog članka, priznavanje sredstava elektroničke identifikacije u okviru tog sustava na temelju članka 6. odvija se najkasnije 12 mjeseci nakon objave tog sustava, ali ne prije datuma iz stavka 2. točke (c) ovog članka.
4. Neovisno o stavku 2. točki (c) ovog članka, država članica može odlučiti da sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije koji je prijavila druga država članica na temelju člankom 9. stavka 1. budu priznata u prvoj državi članici od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8. Dotične države članice o tome obavješćuju Komisiju. Komisija objavljuje te informacije.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
Sastavljeno u Bruxellesu 23. srpnja 2014.