keyboard_tab EIDAS 2014/0910 DA

(9) I de fleste tilfælde kan borgere ikke bruge deres elektroniske ID til at autentificere sig i en anden medlemsstat, fordi de nationale elektroniske identifikationsordninger i deres eget land ikke anerkendes i andre medlemsstater.

  Denne elektroniske hindring udelukker tjenesteudbyderne fra at høste det fulde udbytte af det indre marked.

  Gensidigt anerkendte elektroniske identifikationsmidler vil gøre det lettere at udbyde en lang række tjenester på tværs af grænserne på det indre marked og sætte virksomhederne i stand til at udøve virksomhed på tværs af grænserne uden at skulle overvinde diverse hindringer i kontakten med de offentlige myndigheder.

(10) Europa-Parlamentets og Rådets direktiv 2011/24/EU (6) etablerer et netværk mellem de nationale myndigheder, der er ansvarlige for e-sundhed.

  For at øge sikkerheden og kontinuiteten i forbindelse med grænseoverskridende sundhedsydelser skal netværket udarbejde retningslinjer for adgang til elektroniske sundhedsoplysninger og –ydelser på tværs af grænserne og blandt andet støtte »fælles identifikations- og autentifikationsforanstaltninger for at gøre det lettere at overføre data ved grænseoverskridende sundhedsydelser«.

  Gensidig anerkendelse af elektronisk identifikation og autentifikation er afgørende for, at sundhedsydelser for Europas borgere på tværs af grænserne bliver en realitet.

  Når borgerne tager til udlandet for at få lægebehandling, skal deres medicinske data være tilgængelige i det land, hvor de skal behandles.

  Dette kræver en solid og sikker ramme for elektronisk identifikation, som de berørte parter har tillid til.

(13) Medlemsstaterne bør fortsat frit kunne anvende eller indføre midler med henblik på elektronisk identifikation for adgang til onlinetjenester.

  De bør også selv kunne bestemme, om den private sektor skal være med til at udbyde disse midler.

  Medlemsstaterne bør ikke være forpligtet til at anmelde deres elektroniske identifikationsordninger til Kommissionen.

  Valget mellem at anmelde alle, nogle eller ingen af de elektroniske identifikationsordninger, der anvendes på nationalt plan til som minimum at få adgang til offentlige onlinetjenester eller specifikke tjenester, til Kommissionen bør være op til medlemsstaterne.

(17) Medlemsstaterne bør tilskynde den private sektor til frivilligt at anvende elektroniske identifikationsmidler, der er omfattet af en anmeldt ordning, til identifikationsformål, når dette er nødvendigt med henblik på onlinetjenester eller elektroniske transaktioner.

  Muligheden for at anvende sådanne elektroniske identifikationsmidler vil betyde, at den private sektor kan benytte sig af elektronisk identifikation og autentifikation, der allerede anvendes i vid udstrækning i mange medlemsstater, i det mindste til offentlige tjenester, og gøre det lettere for virksomhederne og borgerne at få adgang til deres onlinetjenester på tværs af grænserne.

  For at gøre det lettere for den private sektor at bruge sådanne elektroniske identifikationsmidler på tværs af grænserne bør den autentifikationsmulighed, som en medlemsstat udbyder, stilles til rådighed for modtagerparter i den private sektor, der er hjemmehørende uden for medlemsstatens område, på samme betingelser, som gælder for modtagerparter i den private sektor, der er hjemmehørende i medlemsstaten.

  Med hensyn til modtagerparter i den private sektor kan den anmeldende medlemsstat fastsætte betingelser for adgang til autentifikationsmidlerne.

  Disse adgangsbetingelser kan omfatte oplysninger om, at autentifikationsmidlerne i tilknytning til den anmeldte ordning ikke i øjeblikket er til rådighed for modtagerparter i den private sektor.

(19) Sikkerheden i ordninger for elektronisk identifikation er central i en pålidelig grænseoverskridende gensidig anerkendelse af elektroniske identifikationsmidler.

  I den forbindelse bør medlemsstaterne samarbejde om sikkerhed og interoperabilitet i ordningerne for elektronisk identifikation på EU-plan.

  Når det i ordningerne for elektronisk identifikation kræves, at modtagerparter skal anvende bestemt hardware eller software på nationalt plan, indebærer grænseoverskridende interoperabilitet, at disse medlemsstater ikke må pålægge modtagerparter, der er hjemmehørende uden for deres område, sådanne krav og dermed forbundne omkostninger.

  I så fald bør passende løsninger drøftes og udformes inden for interoperabilitetsrammen.

  Dog er tekniske krav, der hidrører fra de iboende specifikationer for nationale elektroniske identifikationsmidler, og som kan berøre indehaverne af sådanne elektroniske midler (f.eks.

  smartkort), uundgåelige.

(22) For at bidrage til deres udbredte brug på tværs af grænserne bør det være muligt at bruge tillidstjenester som bevis i retssager i alle medlemsstater.

  Retsvirkningerne af tillidstjenester i medlemsstaterne defineres i national ret, medmindre andet er fastsat i denne forordning.

(32) For at styrke brugernes tillid til det indre marked bør det påhvile alle tillidstjenesteudbydere at følge en god sikkerhedspraksis, som er afpasset efter de risici, der er forbundet med deres aktiviteter.

(34) Alle medlemsstater bør følge fælles væsentlige tilsynskrav, så der tilvejebringes et ensartet sikkerhedsniveau for kvalificerede tillidstjenester.

  For at bidrage til en ensartet anvendelse af disse krav i hele Unionen bør medlemsstaterne indføre sammenlignelige procedurer og udveksle information om deres tilsynsvirksomhed og om bedste praksis på området.

(35) Alle tillidstjenesteudbydere bør være omfattet af kravene i denne forordning, navnlig hvad angår sikkerhed og erstatningsansvar for at sikre, at der udvises nødvendig omhu, gennemsigtighed og ansvarlighed i forbindelse med deres operationer og tjenester.

  Under hensyn til den type tjenester, som tillidstjenesteudbydere udbyder, er det imidlertid hensigtsmæssigt for disse kravs vedkommende at skelne mellem kvalificerede og ikkekvalificerede tillidstjenesteudbydere.

(36) Indførelse af en tilsynsordning for alle tillidstjenesteudbydere skulle sikre lige vilkår for deres operationers og tjenesters sikkerhed og ansvarlighed og dermed bidrage til beskyttelsen af brugerne og til det indre markeds funktion.

  Ikkekvalificerede tillidstjenesteudbydere bør underkastes et let og reaktivt efterfølgende tilsyn under hensyn til arten af deres tjenester og operationer.

  Tilsynsorganet bør således ikke have en generel pligt til at føre tilsyn med ikkekvalificerede tjenesteudbydere.

  Tilsynsorganet bør kun skride til handling, når det bliver underrettet (f.eks.

  af den ikkekvalificerede tillidstjenesteudbyder selv, af et andet tilsynsorgan, ved en anmeldelse fra en bruger eller forretningspartner eller på grundlag af sin egen efterforskning) om, at en ikkekvalificeret tillidstjenesteudbyder ikke opfylder denne forordnings krav.

(37) Denne forordning bør fastsætte alle tillidstjenesteudbyderes erstatningsansvar.

  Den indfører navnlig en erstatningsansvarsordning, hvorefter alle tillidstjenesteudbydere bør være erstatningsansvarlige for skader forvoldt mod en fysisk eller juridisk person på grund af manglende opfyldelse af denne forordnings forpligtelser.

  For at lette vurderingen af de økonomiske risici, som tillidstjenesteudbydere måske skal bære, eller som de bør forsikre sig imod, giver denne forordning tillidstjenesteudbydere mulighed for på visse betingelser at fastsætte begrænsninger i brugen af de tjenester, som de udbyder, og for at fralægge sig erstatningsansvaret for skader som følge af en brug af tjenesterne, der går videre end disse begrænsninger.

  Kunderne bør underrettes behørigt om begrænsningerne på forhånd.

  Disse begrænsninger bør være klare for en tredjepart, f.eks.

  ved oplysninger om begrænsningerne i vilkårene for den ydede tjeneste eller på andre tydelige måder.

  Med henblik på at gennemføre disse principper bør denne forordning anvendes i overensstemmelse med de nationale bestemmelser om erstatningsansvar.

  Denne forordning berører derfor ikke disse nationale bestemmelser om f.eks.

  definition af skadeserstatning, forsæt, uagtsomhed eller relevante gældende procedurebestemmelser.

(40) For at Kommissionen og medlemsstaterne kan vurdere effektiviteten af den forbedrede tilsynsordning, der indføres ved denne forordning, bør tilsynsorganerne anmodes om at aflægge rapport om deres aktiviteter.

  Dette vil fremme udvekslingen af god praksis mellem tilsynsorganerne og lette kontrollen af, at de væsentlige tilsynskrav gennemføres ensartet og effektivt i alle medlemsstater.

(41) For at garantere kvalificerede tillidstjenesters bæredygtighed og holdbarhed og styrke brugernes tillid til disse tjenesters kontinuitet bør tilsynsorganerne kontrollere, om der findes bestemmelser om planer for virksomhedsafbrydelse, og om de anvendes korrekt, i tilfælde hvor kvalificerede tillidstjenesteudbydere ophører med deres virksomhed.

(45) For at tillade en effektiv iværksættelsesproces, der bør føre til, at kvalificerede tillidstjenesteudbydere og deres kvalificerede tillidstjenester optages på positivlister, bør der tilskyndes til indledende kontakter mellem eventuelle fremtidige kvalificerede tillidstjenesteudbydere og de kompetente tilsynsorganer med det formål at fremme den nødvendige omhu, der er forudsætningen for levering af kvalificerede tillidstjenester.

(47) Tillid til og bekvemmelighed i forbindelse med onlinetjenester er afgørende elementer for brugerne, så de kan høste det fulde udbytte og bevidst benytte elektroniske tjenester.

  Med henblik herpå bør der indføres et EU-tillidsmærke for at udpege de kvalificerede tillidstjenester, som kvalificerede tillidstjenesteudbydere udbyder.

  Et sådant EU-tillidsmærke for kvalificerede tillidstjenester vil klart skelne mellem kvalificerede tillidstjenester og andre tillidstjenester og således bidrage til gennemsigtighed på markedet.

  De kvalificerede tillidstjenesteudbyderes anvendelse af et EU-tillidsmærke bør være frivillig og bør ikke medføre andre krav end dem, der allerede er fastsat i denne forordning.

(50) Da de kompetente myndigheder i medlemsstaterne i øjeblikket benytter forskellige formater for avancerede elektroniske signaturer til at underskrive deres dokumenter elektronisk, er det nødvendigt at sørge for, at medlemsstaterne teknisk kan understøtte i det mindste et vist antal formater for avancerede elektroniske signaturer, når de modtager dokumenter, der er underskrevet elektronisk.

  Tilsvarende er det nødvendigt at sørge for, at de kompetente myndigheder i medlemsstaterne, når de anvender avancerede elektroniske segl, understøtter i det mindste et vist antal formater for avancerede elektroniske segl.

(55) IT-sikkerhedscertificering baseret på internationale standarder som f.eks.

  ISO 15408 og dertil knyttede evalueringsmetoder og gensidige anerkendelsesordninger er et vigtigt redskab til at kontrollere sikkerheden af kvalificerede elektroniske signaturgenereringssystemer og bør fremmes.

  Innovative løsninger og tjenester som f.eks.

  mobil signatur, cloudsignatur benytter imidlertid tekniske og organisatoriske løsninger for kvalificerede elektroniske signaturgenereringssystemer, hvortil der eventuelt endnu ikke findes tilgængelige sikkerhedsstandarder, eller for hvilke den første IT-sikkerhedscertificering ikke er afsluttet.

  Kun i de tilfælde, hvor sådanne sikkerhedsstandarder ikke er tilgængelige, eller hvor den første IT-sikkerhedscertificering ikke er afsluttet, vil sikkerhedsniveauet for sådanne kvalificerede elektroniske signaturgenereringssystemer kunne evalueres under anvendelse af alternative processer.

  Disse processer bør være sammenlignelige med standarder for IT-sikkerhedscertificering, i det omfang deres sikkerhedsniveauer er ens.

  En fagfællebedømmelse (peer review) vil kunne lette disse processer.

(57) For at sikre retssikkerhed for så vidt angår signaturens gyldighed er det nødvendigt at specificere, hvilke elementer af en kvalificeret elektronisk signatur der bør vurderes af den modtagerpart, der foretager valideringen.

  Desuden bør fastlæggelsen af krav til kvalificerede tillidstjenesteudbydere, der kan udbyde en kvalificeret valideringstjeneste til modtagerparter, som ikke ønsker eller er i stand til selv at validere kvalificerede elektroniske signaturer, tilskynde den private og den offentlige sektor til at investere i sådanne tjenester.

  Tilsammen burde disse elementer gøre det nemt og bekvemt for alle parter at validere kvalificerede elektroniske signaturer på EU-plan.

(61) Denne forordning bør sikre langtidsopbevaring af information, for at sikre at elektroniske signaturer og elektroniske segl har retsgyldighed over et længere tidsrum, og garantere, at de kan valideres uanset fremtidige teknologiske ændringer.

(67) Webstedsautentifikationstjenester giver besøgende på et websted sikkerhed for, at der står en ægte og legitim enhed bag webstedet.

  Disse tjenester bidrager til at opbygge tilliden i forbindelse med onlineforretninger, da brugerne vil have tillid til et websted, som er autentificeret.

  Ydelse og brug af webstedsautentifikationstjenester er helt frivillig.

  For at webstedsautentifikation kan blive et middel til at fremme tilliden ved at give brugerne en bedre oplevelse og stimulere vækst på det indre marked bør denne forordning dog fastlægge minimumsforpligtelser for tjenesteudbyderne og deres tjenester med hensyn til sikkerhed og erstatningsansvar.

  Med henblik herpå er der taget hensyn til resultaterne af igangværende industriledede initiativer, f.eks.

  Certification Authorities/Browser Forum — CA/Browser Forum.

  Desuden bør denne forordning ikke hindre brugen af andre midler eller metoder til autentifikation af et websted, der ikke er omfattet af denne forordning, og bør heller ikke forhindre ydere af webstedsautentifikationstjenester i tredjelande i at yde deres tjenester til kunder i Unionen.

  En tjenesteudbyder i et tredjeland bør dog kun kunne få sine webstedsautentifikationstjenester anerkendt som kvalificerede i overensstemmelse med denne forordning, hvis der er indgået en international aftale mellem Unionen og det land, hvor tjenesteudbyderen er hjemmehørende.

(68) Begrebet »juridiske personer« i henhold til bestemmelserne i traktaten om Den Europæiske Unions funktionsmåde (TEUF) om etablering giver operatørerne mulighed for frit at vælge den retlige form, de måtte finde passende for udøvelsen af deres virksomhed.

  Begrebet »juridiske personer« i henhold til TEUF omfatter derfor alle enheder, der er oprettet i henhold til eller reguleret af en medlemsstats ret, uanset deres retlige form.