EIDAS 2014/0910 EL

α)	έχει στόχο να είναι τεχνολογικά ουδέτερο και δεν κάνει διακρίσεις μεταξύ συγκεκριμένων εθνικών τεχνικών λύσεων για την ηλεκτρονική_ταυτοποίηση εντός του κράτους μέλους·

β)	ακολουθεί τα ευρωπαϊκά και διεθνή πρότυπα, όταν αυτό είναι εφικτό·

γ)	διευκολύνει την από σχεδίου εφαρμογή της αρχής της προστασίας της ιδιωτικής ζωής, και

δ)	εξασφαλίζει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την οδηγία 95/46/ΕΚ.

4. Το πλαίσιο διαλειτουργικότητας περιλαμβάνει τα εξής:

α)	αναφορά ελάχιστων τεχνικών απαιτήσεων σχετικά με τα επίπεδα διασφάλισης που προβλέπονται στο άρθρο 8·

β)	αντιστοίχιση των εθνικών επιπέδων διασφάλισης των κοινοποιημένων συστημάτων ηλεκτρονικής ταυτοποίησης με τα επίπεδα διασφάλισης που προβλέπονται στο άρθρο 8·

γ)	αναφορά ελάχιστων τεχνικών απαιτήσεων για τη διαλειτουργικότητα·

δ)	αναφορά σε ένα ελάχιστο σύνολο δεδομένων ταυτοποίησης προσώπου που αντιπροσωπεύουν κατά τρόπο μοναδικό ένα φυσικό ή νομικό πρόσωπο και διατίθενται από τα συστήματα ηλεκτρονικής ταυτοποίησης·

ε)	κανονισμό λειτουργίας·

στ)	ρυθμίσεις για την επίλυση διαφορών, και

ζ)	κοινά πρότυπα λειτουργικής ασφάλειας.

5. Τα κράτη μέλη συνεργάζονται ως προς τα ακόλουθα:

α)	τη διαλειτουργικότητα των συστημάτων ηλεκτρονικής ταυτοποίησης που κοινοποιούν σύμφωνα με το άρθρο 9 παράγραφος 1 και των συστημάτων ηλεκτρονικής ταυτοποίησης που προτίθενται να κοινοποιήσουν, και

β)	την ασφάλεια των συστημάτων ηλεκτρονικής ταυτοποίησης.

6. Η συνεργασία μεταξύ των κρατών μελών περιλαμβάνει τα εξής:

α)	ανταλλαγή πληροφοριών, πείρας και καλών πρακτικών σχετικά με τα συστήματα ηλεκτρονικής ταυτοποίησης και ιδίως σε ό,τι αφορά τις τεχνικές απαιτήσεις σχετικά με τη διαλειτουργικότητα και τα επίπεδα διασφάλισης·

β)	ανταλλαγή πληροφοριών, πείρας και καλών πρακτικών όσον αφορά την εφαρμογή των επιπέδων διασφάλισης των συστημάτων ηλεκτρονικής ταυτοποίησης που προβλέπονται στο άρθρο 8·

γ)	αξιολόγηση από ομοτίμους των συστημάτων ηλεκτρονικής ταυτοποίησης που εμπίπτουν στο πεδίο εφαρμογής του παρόντος κανονισμού, και

δ)	εξέταση των σχετικών εξελίξεων στον τομέα της ηλεκτρονικής ταυτοποίησης.

7. Έως τις 18 Μαρτίου 2015 η Επιτροπή καθορίζει, με εκτελεστικές πράξεις, τις αναγκαίες διαδικαστικές λεπτομέρειες προκειμένου να διευκολύνει τη συνεργασία μεταξύ των κρατών μελών που αναφέρεται στις παραγράφους 5 και 6, με σκοπό την προώθηση υψηλού επιπέδου εμπιστοσύνης και ασφάλειας αντίστοιχου με το βαθμό κινδύνου.

8. Έως τις 18 Σεπτεμβρίου 2015 και για τον σκοπό της θέσπισης ενιαίων όρων για την εφαρμογή της απαίτησης που προβλέπεται στην παράγραφο 1, η Επιτροπή εκδίδει εκτελεστικές πράξεις σχετικά με το πλαίσιο διαλειτουργικότητας, όπως ορίζεται στην παράγραφο 4, με την επιφύλαξη των κριτηρίων της παραγράφου 3 και λαμβανομένων υπόψη των αποτελεσμάτων της συνεργασίας μεταξύ των κρατών μελών.

9. Οι εκτελεστικές πράξεις που αναφέρονται στις παραγράφους 7 και 8 του παρόντος άρθρου εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΚΕΦΑΛΑΙΟ III

ΥΠΗΡΕΣΙΕΣ ΔΙΑΣΦΑΛΙΣΗΣ ΤΗΣ ΕΜΠΙΣΤΟΣΥΝΗΣ

ΤΜΗΜΑ 1

Γενικές διατάξεις

Άρθρο 24

Απαιτήσεις για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης

1. Κατά την έκδοση εγκεκριμένου πιστοποιητικού για υπηρεσία_εμπιστοσύνης, ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης προβαίνει, με κατάλληλα μέσα και σύμφωνα με το εθνικό δίκαιο, σε εξακρίβωση της ταυτότητας και, κατά περίπτωση, τυχόν ειδικών χαρακτηριστικών του φυσικού ή νομικού προσώπου για το οποίο εκδίδεται εγκεκριμένο πιστοποιητικό.

Οι πληροφορίες που αναφέρονται στο πρώτο εδάφιο εξακριβώνονται από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης είτε άμεσα είτε μέσω τρίτου σύμφωνα με το εθνικό δίκαιο:

α)	με φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου, ή

β)

εξ αποστάσεως, με τη χρήση μέσων ηλεκτρονικής ταυτοποίησης για τα οποία, πριν από την έκδοση του εγκεκριμένου πιστοποιητικού, έχει διασφαλιστεί η φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου και τα οποία πληρούν τις απαιτήσεις του άρθρου 8 όσον αφορά το «βασικό» ή το «υψηλό» επίπεδο διασφάλισης, ή

γ)	μέσω πιστοποιητικού εγκεκριμένης ηλεκτρονικής υπογραφής ή εγκεκριμένης ηλεκτρονικής σφραγίδας που έχει εκδοθεί σύμφωνα με το στοιχείο α) ή β), ή

δ)	με τη χρήση άλλων μεθόδων ταυτοποίησης αναγνωρισμένων σε εθνικό επίπεδο που παρέχουν διασφάλιση ισοδύναμη με τη φυσική παρουσία. Η ισοδύναμη διασφάλιση επιβεβαιώνεται από οργανισμό αξιολόγησης της συμμόρφωσης.

2. Οι εγκεκριμένοι πάροχοι υπηρεσιών που παρέχουν εγκεκριμένες υπηρεσίες εμπιστοσύνης:

α)	ενημερώνουν τον εποπτικό φορέα για κάθε αλλαγή όσον αφορά την παροχή των εγκεκριμένων υπηρεσιών εμπιστοσύνης του, περιλαμβανομένης της πρόθεσης παύσης των εν λόγω δραστηριοτήτων·

β)

απασχολούν προσωπικό και, κατά περίπτωση, υπεργολάβους που διαθέτουν την απαραίτητη τεχνογνωσία, αξιοπιστία, πείρα και προσόντα και έχουν λάβει κατάλληλη εκπαίδευση σχετικά με την ασφάλεια και τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα, εφαρμόζουν δε διοικητικές και διαχειριστικές διαδικασίες που ανταποκρίνονται σε ευρωπαϊκά ή διεθνή πρότυπα·

γ)	όσον αφορά την ευθύνη για τις ζημίες σύμφωνα με το άρθρο 13, διατηρούν επαρκείς οικονομικούς πόρους και/ή αποκτούν κατάλληλη ασφαλιστική κάλυψη, σύμφωνα με το εθνικό δίκαιο·

δ)

προτού συνάψουν συμβατική σχέση, ενημερώνουν, με σαφή και ολοκληρωμένο τρόπο, κάθε πρόσωπο που επιθυμεί να χρησιμοποιήσει εγκεκριμένη υπηρεσία_εμπιστοσύνης σχετικά με τους ακριβείς όρους και τις προϋποθέσεις για τη χρήση της εν λόγω υπηρεσίας, συμπεριλαμβανομένων τυχόν περιορισμών όσον αφορά τη χρήση της·

ε)	χρησιμοποιούν αξιόπιστα συστήματα και προϊόντα τα οποία προστατεύονται από τροποποιήσεις και διασφαλίζουν την τεχνική ασφάλεια και αξιοπιστία των διεργασιών που υποστηρίζονται από αυτά·

στ)

χρησιμοποιούν αξιόπιστα συστήματα για την αποθήκευση των δεδομένων που τους παρέχονται, σε επαληθεύσιμη μορφή, ούτως ώστε:

i)	να είναι δημοσίως διαθέσιμα για άντληση μόνον εφόσον έχει ληφθεί η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα,

ii)	μόνον εξουσιοδοτημένα πρόσωπα να μπορούν να πραγματοποιούν καταχωρίσεις και τροποποιήσεις στα αποθηκευμένα δεδομένα,

iii)	να μπορεί να ελέγχεται η αυθεντικότητα των δεδομένων·

ζ)	λαμβάνουν κατάλληλα μέτρα κατά της πλαστογραφίας και της κλοπής δεδομένων·

η)

καταγράφουν και διατηρούν προσβάσιμο για κατάλληλη χρονική περίοδο, ακόμη και μετά την παύση των δραστηριοτήτων του εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης, το σύνολο των συναφών πληροφοριών που αφορούν δεδομένα τα οποία έχουν εκδοθεί και ληφθεί από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης, ιδίως για την παροχή αποδεικτικών στοιχείων σε νομικές διαδικασίες και για τη διασφάλιση της συνέχειας της υπηρεσίας· η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα·

θ)	διαθέτουν ενημερωμένο σχέδιο τερματισμού με σκοπό την εξασφάλιση της συνέχειας της υπηρεσίας σύμφωνα με διατάξεις ελεγμένες από τον εποπτικό φορέα δυνάμει του άρθρου 17 παράγραφος 4 στοιχείο θ)·

ι)	εξασφαλίζουν τη νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την οδηγία 95/46/ΕΚ·

ια)	σε περίπτωση εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά, συγκροτούν βάση δεδομένων για τα πιστοποιητικά, την οποία τηρούν ενημερωμένη.

3. Όταν εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά αποφασίζουν να ανακαλέσουν ένα πιστοποιητικό, καταχωρίζουν την εν λόγω ανάκληση στη βάση δεδομένων για τα πιστοποιητικά και δημοσιοποιούν την ανάκληση του πιστοποιητικού εγκαίρως και σε κάθε περίπτωση εντός 24 ωρών από την παραλαβή της αίτησης. Η ανάκληση αυτή αρχίζει να ισχύει αμέσως μετά τη δημοσιοποίησή της.

4. Αναφορικά με την παράγραφο 3, οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά παρέχουν σε κάθε βασιζόμενο_μέρος πληροφορίες για την ισχύ ή την ανάκληση των εγκεκριμένων πιστοποιητικών που έχουν εκδοθεί από αυτούς. Οι εν λόγω πληροφορίες είναι διαθέσιμες, τουλάχιστον για κάθε χωριστό πιστοποιητικό, ανά πάσα στιγμή και πέραν της περιόδου ισχύος του πιστοποιητικού, κατά τρόπο αυτοματοποιημένο που είναι αξιόπιστος, δωρεάν και αποτελεσματικός.

5. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τα αξιόπιστα συστήματα και προϊόντα που είναι σύμφωνα με τις απαιτήσεις της παραγράφου 2 στοιχεία ε) και στ) του παρόντος άρθρου. Η συμμόρφωση με τις απαιτήσεις που ορίζονται στο παρόν άρθρο τεκμαίρεται εφόσον τα αξιόπιστα συστήματα και προϊόντα πληρούν τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 4

Ηλεκτρονικές υπογραφές

Άρθρο 29

Απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής

1. Οι εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής πληρούν τις απαιτήσεις του παραρτήματος II.

2. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής. Η συμμόρφωση με τις απαιτήσεις του παραρτήματος II τεκμαίρεται εφόσον η εγκεκριμένη διάταξη_δημιουργίας_ηλεκτρονικής_υπογραφής πληροί τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 31

Δημοσίευση καταλόγου πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής

1. Τα κράτη μέλη κοινοποιούν στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από τη χορήγηση της πιστοποίησης, πληροφορίες για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής οι οποίες έχουν πιστοποιηθεί από τους φορείς που αναφέρονται στο άρθρο 30 παράγραφος 1. Κοινοποιούν επίσης στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από την ακύρωση της πιστοποίησης, πληροφορίες για τις διατάξεις δημιουργίας ηλεκτρονικής υπογραφής που δεν είναι πλέον πιστοποιημένες.

2. Βάσει των πληροφοριών που λαμβάνει, η Επιτροπή καταρτίζει, δημοσιεύει και τηρεί κατάλογο πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής.

3. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, μορφές και διαδικασίες για τους σκοπούς της παραγράφου 1. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 39

Εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής σφραγίδας

1. Το άρθρο 29 εφαρμόζεται κατ’ αναλογία στις απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής σφραγίδας.

2. Το άρθρο 30 εφαρμόζεται κατ’ αναλογία στην πιστοποίηση των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής σφραγίδας.

3. Το άρθρο 31 εφαρμόζεται κατ’ αναλογία στη δημοσίευση καταλόγου πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής σφραγίδας.

Άρθρο 51

Μεταβατικά μέτρα

1. Οι ασφαλείς διατάξεις δημιουργίας υπογραφής των οποίων η συμμόρφωση έχει διαπιστωθεί σύμφωνα με το άρθρο 3 παράγραφος 4 της οδηγίας 1999/93/ΕΚ θεωρούνται εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής δυνάμει του παρόντος κανονισμού.

2. Εγκεκριμένα πιστοποιητικά που εκδίδονται για φυσικά πρόσωπα σύμφωνα με την οδηγία 1999/93/ΕΚ θεωρούνται εγκεκριμένα πιστοποιητικά για τις ηλεκτρονικές υπογραφές βάσει του παρόντος κανονισμού μέχρι την ημερομηνία λήξης τους.

3. Οι πάροχοι υπηρεσιών πιστοποίησης που εκδίδουν εγκεκριμένα πιστοποιητικά δυνάμει της οδηγίας 1999/93/ΕΚ υποβάλλουν έκθεση αξιολόγησης της συμμόρφωσης στον εποπτικό φορέα το συντομότερο δυνατόν και το αργότερο την 1η Ιουλίου 2017. Μέχρι την υποβολή της έκθεσης αξιολόγησης της συμμόρφωσης και την ολοκλήρωση της αξιολόγησης από τον εποπτικό φορέα, οι πάροχοι υπηρεσιών πιστοποίησης θεωρούνται εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης δυνάμει του παρόντος κανονισμού.

4. Εάν πάροχος υπηρεσιών πιστοποίησης που εκδίδει εγκεκριμένα πιστοποιητικά δυνάμει της οδηγίας 1999/93/ΕΚ δεν υποβάλει έκθεση αξιολόγησης της συμμόρφωσης στον εποπτικό φορέα εντός της προθεσμίας της παραγράφου 3, ο εν λόγω πάροχος δεν θεωρείται εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης δυνάμει του παρόντος κανονισμού από τις 2 Ιουλίου 2017.

Άρθρο 52

Έναρξη ισχύος

1. Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

2. Ο παρών κανονισμός εφαρμόζεται από την 1η Ιουλίου 2016, με εξαίρεση τις ακόλουθες διατάξεις:

α)

το άρθρο 8 παράγραφος 3, το άρθρο 9 παράγραφος 5, το άρθρο 12 παράγραφοι 2 ως 9, το άρθρο 17 παράγραφος 8, το άρθρο 19 παράγραφος 4, το άρθρο 20 παράγραφος 4, το άρθρο 21 παράγραφος 4, το άρθρο 22 παράγραφος 5, το άρθρο 23 παράγραφος 3, το άρθρο 24 παράγραφος 5, το άρθρο 27 παράγραφοι 4 και 5, το άρθρο 28 παράγραφος 6, το άρθρο 29 παράγραφος 2, το άρθρο 30 παράγραφοι 3 και 4, το άρθρο 31 παράγραφος 3, το άρθρο 32 παράγραφος 3, το άρθρο 33 παράγραφος 2, το άρθρο 34 παράγραφος 2, το άρθρο 37 παράγραφοι 4 και 5, το άρθρο 38 παράγραφος 6, το άρθρο 42 παράγραφος 2, το άρθρο 44 παράγραφος 2, το άρθρο 45 παράγραφος 2, τα άρθρα 47 και 48 θα τεθούν σε ισχύ από τις 17 Σεπτεμβρίου 2014·

β)	το άρθρο 7, το άρθρο 8 παράγραφοι 1 και 2, τα άρθρα 9, 10, 11 και το άρθρο 12 παράγραφος 1 θα τεθούν σε ισχύ από την ημερομηνία εφαρμογής των εκτελεστικών πράξεων που αναφέρονται στο άρθρο 8 παράγραφος 2 και στο άρθρο 12 παράγραφος 8·

γ)	το άρθρο 6 θα τεθεί σε ισχύ τρία έτη από την ημερομηνία εφαρμογής των εκτελεστικών πράξεων που αναφέρονται στο άρθρο 8 παράγραφος 3 και στο άρθρο 12 παράγραφος 8.

3. Στις περιπτώσεις όπου το κοινοποιούμενο σύστημα_ηλεκτρονικής_ταυτοποίησης περιλαμβάνεται στον κατάλογο που δημοσιεύεται από την Επιτροπή σύμφωνα με το άρθρο 9, πριν από την ημερομηνία που αναφέρεται στην παράγραφο 2 στοιχείο γ) του παρόντος άρθρου, η αναγνώριση των μέσων ηλεκτρονικής ταυτοποίησης στο πλαίσιο του εν λόγω συστήματος σύμφωνα με το άρθρο 6 πραγματοποιείται το αργότερο 12 μήνες μετά τη δημοσίευση του εν λόγω συστήματος, αλλά όχι πριν από την ημερομηνία που αναφέρεται στην παράγραφο 2 στοιχείο γ) του παρόντος άρθρου.

4. Κατά παρέκκλιση από την παράγραφο 2 στοιχείο γ) του παρόντος άρθρου, ένα κράτος μέλος μπορεί να αποφασίσει ότι τα μέσα ηλεκτρονικής ταυτοποίησης στο πλαίσιο συστήματος ηλεκτρονικής ταυτοποίησης που κοινοποιήθηκε σύμφωνα με το άρθρο 9 παράγραφος 1 από άλλο κράτος μέλος αναγνωρίζονται στο πρώτο κράτος μέλος από την ημερομηνία εφαρμογής των εκτελεστικών πράξεων που αναφέρονται στο άρθρο 8 παράγραφος 3 και στο άρθρο 12 παράγραφος 8. Στην περίπτωση αυτή, τα κράτη μέλη ενημερώνουν την Επιτροπή. Η Επιτροπή δημοσιοποιεί αυτές τις πληροφορίες.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

Βρυξέλλες, 23 Ιουλίου 2014.

Για το Ευρωπαϊκό Κοινοβούλιο

Ο Πρόεδρος

M. SCHULZ

Για το Συμβούλιο

Ο Πρόεδρος

S. GOZI

(1) ΕΕ C 351 της 15.11.2012, σ. 73.

(2) Θέση του Ευρωπαϊκού Κοινοβουλίου της 3ης Απριλίου 2014 (δεν έχει ακόμη δημοσιευθεί στην Επίσημη Εφημερίδα) και απόφαση του Συμβουλίου της 23ης Ιουλίου 2014.

(3) Οδηγία 1999/93/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 13ης Δεκεμβρίου 1999, σχετικά με το κοινοτικό πλαίσιο για ηλεκτρονικές υπογραφές (ΕΕ L 13 της 19.1.2000, σ. 12).

(4) ΕΕ C 50 E της 21.2.2012, σ. 1.

(5) Οδηγία 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Δεκεμβρίου 2006, σχετικά με τις υπηρεσίες στην εσωτερική αγορά (ΕΕ L 376 της 27.12.2006, σ. 36).

(6) Οδηγία 2011/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 9ης Μαρτίου 2011, περί εφαρμογής των δικαιωμάτων των ασθενών στο πλαίσιο της διασυνοριακής υγειονομικής περίθαλψης (ΕΕ L 88 της 4.4.2011, σ. 45).

(7) Οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281 της 23.11.1995, σ. 31).

(8) Απόφαση 2010/48/ΕΚ του Συμβουλίου, της 26ης Νοεμβρίου 2009, σχετικά με τη σύναψη, από την Ευρωπαϊκή Κοινότητα, της σύμβασης των Ηνωμένων Εθνών για τα δικαιώματα των ατόμων με αναπηρία (ΕΕ L 23 της 27.1.2010, σ. 35).

(9) Κανονισμός (ΕΚ) αριθ. 765/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 9ης Ιουλίου 2008, για τον καθορισμό των απαιτήσεων διαπίστευσης και εποπτείας της αγοράς όσον αφορά την εμπορία των προϊόντων και για την κατάργηση του κανονισμού (ΕΟΚ) αριθ. 339/93 (ΕΕ L 218 της 13.8.2008, σ. 30).

(10) Απόφαση 2009/767/ΕΚ της Επιτροπής, της 16ης Οκτωβρίου 2009, σχετικά με τη θέσπιση μέτρων που διευκολύνουν τη χρήση διαδικασιών με ηλεκτρονικά μέσα μέσω των ενιαίων κέντρων εξυπηρέτησης βάσει της οδηγίας 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με τις υπηρεσίες στην εσωτερική αγορά (ΕΕ L 274 της 20.10.2009, σ. 36).

(11) Απόφαση 2011/130/ΕΕ της Επιτροπής, της 25ης Φεβρουαρίου 2011, περί καθιέρωσης ελάχιστων απαιτήσεων για τη διασυνοριακή επεξεργασία εγγράφων τα οποία έχουν υπογραφεί ηλεκτρονικά από αρμόδιες αρχές, σύμφωνα με την οδηγία 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με τις υπηρεσίες στην εσωτερική αγορά (ΕΕ L 53 της 26.2.2011, σ. 66).

(12) Κανονισμός (ΕΕ) αριθ. 182/2011 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 16ης Φεβρουαρίου 2011, για τη θέσπιση κανόνων και γενικών αρχών σχετικά με τους τρόπους ελέγχου από τα κράτη μέλη της άσκησης των εκτελεστικών αρμοδιοτήτων από την Επιτροπή (ΕΕ L 55 της 28.2.2011, σ. 13).

(13) Κανονισμός (ΕΚ) αριθ. 45/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 18ης Δεκεμβρίου 2000, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Κοινότητας και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 8 της 12.1.2001, σ. 1).

(14) ΕΕ C 28 της 30.1.2013, σ. 6.

(15) Οδηγία 2014/24/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 26ης Φεβρουαρίου 2014, σχετικά με τις δημόσιες προμήθειες και την κατάργηση της οδηγίας 2004/18/ΕΚ (ΕΕ L 94 της 28.3.2014, σ. 65).

ΠΑΡΑΡΤΗΜΑ I

ΑΠΑΙΤΗΣΕΙΣ ΓΙΑ ΤΑ ΕΓΚΕΚΡΙΜΕΝΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΗΛΕΚΤΡΟΝΙΚΗΣ ΥΠΟΓΡΑΦΗΣ

Τα εγκεκριμένα πιστοποιητικά ηλεκτρονικής υπογραφής περιέχουν:

α)	ένδειξη, τουλάχιστον σε μορφή κατάλληλη για αυτοματοποιημένη επεξεργασία, ότι το πιστοποιητικό έχει εκδοθεί ως εγκεκριμένο πιστοποιητικό_ηλεκτρονικής_υπογραφής·

β)

ένα σύνολο δεδομένων που αντιπροσωπεύουν αναμφίσημα τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης ο οποίος έχει εκδώσει τα εγκεκριμένα πιστοποιητικά και περιλαμβάνουν τουλάχιστον το κράτος μέλος στο οποίο είναι εγκατεστημένος και

—	σε περίπτωση που πρόκειται για νομικό πρόσωπο: το όνομα και, κατά περίπτωση, τον αριθμό μητρώου του, όπως αναφέρεται στα επίσημα αρχεία,

—	σε περίπτωση που πρόκειται για φυσικό πρόσωπο: το όνομα του προσώπου·

γ)	τουλάχιστον το όνομα του υπογράφοντος ή ένα ψευδώνυμο· εάν χρησιμοποιείται ψευδώνυμο, πρέπει να αναφέρεται σαφώς·

δ)	δεδομένα_ επικύρωσης ηλεκτρονικής υπογραφής που αντιστοιχούν στα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής·

ε)	λεπτομέρειες για την έναρξη και τη λήξη της περιόδου ισχύος του πιστοποιητικού·

στ)	τον κωδικό ταυτότητας του πιστοποιητικού, ο οποίος πρέπει να είναι μοναδικός για τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης·

ζ)	την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα του εκδίδοντος εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης·

η)	την τοποθεσία όπου διατίθεται δωρεάν το πιστοποιητικό το οποίο τεκμηριώνει την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα που αναφέρεται στο στοιχείο ζ)·

θ)	την τοποθεσία των υπηρεσιών που μπορούν να χρησιμοποιηθούν για την άντληση πληροφοριών σχετικά με το καθεστώς ισχύος του εγκεκριμένου πιστοποιητικού·

ι)	σε περίπτωση που τα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής τα οποία σχετίζονται με τα δεδομένα_ επικύρωσης ηλεκτρονικής υπογραφής βρίσκονται σε εγκεκριμένη διάταξη_δημιουργίας_ηλεκτρονικής_υπογραφής, κατάλληλη σχετική ένδειξη, τουλάχιστον σε μορφή κατάλληλη για αυτοματοποιημένη επεξεργασία.

ΠΑΡΑΡΤΗΜΑ II

ΑΠΑΙΤΗΣΕΙΣ ΓΙΑ ΤΙΣ ΕΓΚΕΚΡΙΜΕΝΕΣ ΔΙΑΤΑΞΕΙΣ ΔΗΜΙΟΥΡΓΙΑΣ ΗΛΕΚΤΡΟΝΙΚΗΣ ΥΠΟΓΡΑΦΗΣ

Οι εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής διασφαλίζουν, με τα κατάλληλα τεχνικά και διαδικαστικά μέσα, τουλάχιστον ότι:

α)	διασφαλίζεται ευλόγως η εμπιστευτικότητα των δεδομένων δημιουργίας ηλεκτρονικής υπογραφής που χρησιμοποιούνται για τη δημιουργία της ηλεκτρονικής υπογραφής·

β)	τα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής που χρησιμοποιούνται για τη δημιουργία της ηλεκτρονικής υπογραφής μπορούν να προκύψουν στην πράξη μία μόνο φορά·

γ)	τα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής που χρησιμοποιούνται για τη δημιουργία ηλεκτρονικής υπογραφής δεν μπορούν, με εύλογη βεβαιότητα, να είναι παράγωγα και ότι η ηλεκτρονική_υπογραφή προστατεύεται με τρόπο αξιόπιστο από πλαστογραφία με τη χρήση της τρέχουσας τεχνολογίας·

δ)	τα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής που χρησιμοποιούνται για τη δημιουργία ηλεκτρονικής υπογραφής μπορούν να προστατεύονται κατά τρόπο αξιόπιστο από τον νόμιμο υπογράφοντα έναντι της χρησιμοποίησης τους από τρίτους.

Οι εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής δεν μεταβάλλουν τα προς υπογραφή δεδομένα ούτε εμποδίζουν την υποβολή των δεδομένων αυτών στον υπογράφοντα πριν από την υπογραφή.

Η δημιουργία ή η διαχείριση των δεδομένων δημιουργίας ηλεκτρονικής υπογραφής εκ μέρους του υπογράφοντος μπορεί να πραγματοποιείται μόνο από εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης.

Με την επιφύλαξη του σημείου 1 στοιχείο δ), οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που διαχειρίζονται δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής εκ μέρους του υπογράφοντος μπορούν να αναπαράγουν τα δεδομένα_δημιουργίας_ηλεκτρονικής_υπογραφής μόνο για λόγους δημιουργίας εφεδρικών αντιγράφων, εφόσον πληρούνται οι ακόλουθες προϋποθέσεις:

α)	η ασφάλεια των αναπαραγόμενων δεδομένων είναι στο ίδιο επίπεδο με αυτό της ασφάλειας των πρωτοτύπων·

β)	ο αριθμός των αναπαραγόμενων συνόλων δεδομένων δεν υπερβαίνει τον ελάχιστο αριθμό που απαιτείται για να εξασφαλιστεί η συνέχιση της υπηρεσίας.

ΠΑΡΑΡΤΗΜΑ III

ΑΠΑΙΤΗΣΕΙΣ ΓΙΑ ΤΑ ΕΓΚΕΚΡΙΜΕΝΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΗΛΕΚΤΡΟΝΙΚΩΝ ΣΦΡΑΓΙΔΩΝ

Τα εγκεκριμένα πιστοποιητικά ηλεκτρονικών σφραγίδων περιέχουν:

α)	ένδειξη, τουλάχιστον σε μορφή κατάλληλη για αυτοματοποιημένη επεξεργασία, ότι το πιστοποιητικό έχει εκδοθεί ως εγκεκριμένο πιστοποιητικό_ηλεκτρονικής_σφραγίδας·

β)

ένα σύνολο δεδομένων που αντιπροσωπεύουν αδιαμφισβήτητα τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης ο οποίος έχει εκδώσει τα εγκεκριμένα πιστοποιητικά και συμπεριλαμβάνουν τουλάχιστον το κράτος μέλος στο οποίο είναι εγκατεστημένος και

—	σε περίπτωση που πρόκειται για νομικό πρόσωπο: το όνομα και, κατά περίπτωση, τον αριθμό μητρώου του, όπως αναφέρεται στα επίσημα αρχεία,

—	σε περίπτωση που πρόκειται για φυσικό πρόσωπο: το όνομα του προσώπου·

γ)	τουλάχιστον το όνομα του δημιουργού της σφραγίδας και, κατά περίπτωση, τον αριθμό μητρώου του, όπως αναφέρεται στα επίσημα αρχεία·

δ)	δεδομένα_ επικύρωσης ηλεκτρονικής σφραγίδας που αντιστοιχούν στα δεδομένα_δημιουργίας_ηλεκτρονικής_σφραγίδας·

ε)	λεπτομέρειες για την έναρξη και τη λήξη της περιόδου ισχύος του πιστοποιητικού·

στ)	τον κωδικό ταυτότητας του πιστοποιητικού, ο οποίος πρέπει να είναι μοναδικός για τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης·

ζ)	την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα του εκδίδοντος εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης·

η)	την τοποθεσία όπου διατίθεται δωρεάν το πιστοποιητικό το οποίο τεκμηριώνει την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα που αναφέρεται στο στοιχείο ζ)·

θ)	την τοποθεσία των υπηρεσιών που μπορούν να χρησιμοποιηθούν για την άντληση πληροφοριών σχετικά με το καθεστώς ισχύος του εγκεκριμένου πιστοποιητικού·

ι)	σε περίπτωση που τα δεδομένα_δημιουργίας_ηλεκτρονικής_σφραγίδας τα οποία σχετίζονται με τα δεδομένα_ επικύρωσης ηλεκτρονικής σφραγίδας βρίσκονται σε εγκεκριμένη διάταξη_δημιουργίας_ηλεκτρονικής_σφραγίδας, κατάλληλη σχετική ένδειξη, τουλάχιστον σε μορφή κατάλληλη για αυτοματοποιημένη επεξεργασία.

ΠΑΡΑΡΤΗΜΑ IV

ΑΠΑΙΤΗΣΕΙΣ ΓΙΑ ΕΓΚΕΚΡΙΜΕΝΑ ΠΙΣΤΟΠΟΙΗΤΙΚΑ ΓΝΗΣΙΟΤΗΤΑΣ ΙΣΤΟΤΟΠΟΥ

Τα εγκεκριμένα πιστοποιητικά γνησιότητας ιστότοπου περιέχουν:

α)	ένδειξη, τουλάχιστον σε μορφή κατάλληλη για την αυτοματοποιημένη επεξεργασία, ότι το πιστοποιητικό έχει εκδοθεί ως εγκεκριμένο πιστοποιητικό_γνησιότητας_ιστότοπου·

β)

—	σε περίπτωση που πρόκειται για νομικό πρόσωπο: το όνομα και, κατά περίπτωση, τον αριθμό μητρώου του, όπως αναφέρεται στα επίσημα αρχεία,

—	σε περίπτωση που πρόκειται για φυσικό πρόσωπο: το όνομα του προσώπου·

γ)

για τα φυσικά πρόσωπα: τουλάχιστον το όνομα του προσώπου για το οποίο έχει εκδοθεί το πιστοποιητικό ή ψευδώνυμο. Εάν χρησιμοποιείται ψευδώνυμο, πρέπει να αναφέρεται σαφώς·

για τα νομικά πρόσωπα: τουλάχιστον το όνομα του νομικού προσώπου για το οποίο έχει εκδοθεί το πιστοποιητικό και, κατά περίπτωση, τον αριθμό μητρώου του, όπως αναφέρεται στα επίσημα αρχεία·

δ)	στοιχεία της διεύθυνσης, συμπεριλαμβανομένης τουλάχιστον της πόλης και του κράτους μέλους, του φυσικού ή νομικού προσώπου για το οποίο έχει εκδοθεί το πιστοποιητικό και, κατά περίπτωση, όπως αναφέρεται στα επίσημα αρχεία·

ε)	το ή τα ονόματα χώρου που ανήκουν στο φυσικό ή νομικό πρόσωπο για το οποίο έχει εκδοθεί το πιστοποιητικό·

στ)	λεπτομέρειες για την έναρξη και τη λήξη της περιόδου ισχύος του πιστοποιητικού·

ζ)	τον κωδικό ταυτότητας του πιστοποιητικού, ο οποίος πρέπει να είναι μοναδικός για τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης·

η)	την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα του εκδίδοντος εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης·

θ)	την τοποθεσία όπου διατίθεται δωρεάν το πιστοποιητικό το οποίο τεκμηριώνει την προηγμένη ηλεκτρονική_υπογραφή ή την προηγμένη ηλεκτρονική_σφραγίδα που αναφέρεται στο στοιχείο η)·

ι)	την τοποθεσία των υπηρεσιών κατάστασης ισχύος πιστοποιητικών που παρέχουν πληροφορίες σχετικά με την κατάσταση ισχύος του εγκεκριμένου πιστοποιητικού.

whereas

(24) Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν εθνικές διατάξεις συνάδουσες προς το ενωσιακό δίκαιο σχετικά με υπηρεσίες εμπιστοσύνης, εάν οι εν λόγω υπηρεσίες δεν εναρμονίζονται πλήρως με τον παρόντα κανονισμό. Εντούτοις, οι υπηρεσίες εμπιστοσύνης που συνάδουν με τον παρόντα κανονισμό θα πρέπει να κυκλοφορούν ελεύθερα στην εσωτερική αγορά.

- = -

(51) Θα πρέπει να είναι δυνατό για τον υπογράφοντα να αναθέτει τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικών υπογραφών στην επιμέλεια τρίτου μέρους, με την προϋπόθεση ότι εφαρμόζονται οι κατάλληλοι μηχανισμοί και διαδικασίες ώστε να διασφαλιστεί ότι ο υπογράφων έχει τον αποκλειστικό έλεγχο της χρήσης των δεδομένων δημιουργίας της ηλεκτρονικής υπογραφής του, καθώς και ότι η χρήση της διάταξης πληροί τις απαιτήσεις όσον αφορά τις εγκεκριμένες υπογραφές.

- = -

(55) Η πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων με βάση διεθνή πρότυπα, όπως το ISO 15408 και συναφείς μέθοδοι αξιολόγησης και ρυθμίσεις αμοιβαίας αναγνώρισης, αποτελεί σημαντικό εργαλείο για την εξακρίβωση της ασφάλειας των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής και θα πρέπει να προωθηθεί. Ωστόσο, διάφορες καινοτόμες λύσεις και υπηρεσίες (όπως η υπογραφή μέσω κινητών συσκευών και η υπογραφή μέσω εφαρμογών νέφους) στηρίζονται σε τεχνικές και οργανωτικές λύσεις για εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικών υπογραφών για τις οποίες ενδέχεται να μην υπάρχουν ακόμη πρότυπα ασφάλειας ή η πρώτη πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων να βρίσκεται υπό εξέλιξη. Το επίπεδο ασφαλείας παρόμοιων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής μπορεί να αξιολογείται με τη χρήση εναλλακτικών διαδικασιών μόνον όταν δεν είναι διαθέσιμα αυτά τα πρότυπα ασφαλείας ή όταν η πρώτη πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων βρίσκεται υπό εξέλιξη. Οι διαδικασίες αυτές θα πρέπει να είναι συγκρίσιμες με τα πρότυπα πιστοποίησης της ασφάλειας πληροφοριακών συστημάτων στον βαθμό που τα επίπεδα ασφάλειάς τους είναι ισοδύναμα. Οι διαδικασίες αυτές θα μπορούσαν να διευκολύνονται με αξιολόγηση από ομοτίμους.

- = -

(56) Ο παρών κανονισμός θα πρέπει να ορίσει απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής προκειμένου να εξασφαλίζεται η λειτουργικότητα των προηγμένων ηλεκτρονικών υπογραφών. Ο παρών κανονισμός δεν θα πρέπει να καλύπτει ολόκληρο το περιβάλλον του συστήματος στο οποίο λειτουργούν οι διατάξεις αυτές. Συνεπώς, το πεδίο εφαρμογής για την πιστοποίηση εγκεκριμένων διατάξεων δημιουργίας υπογραφής θα πρέπει να περιορίζεται στο υλικό και στο λογισμικό του συστήματος που χρησιμοποιείται για τη διαχείριση και την προστασία των δεδομένων δημιουργίας υπογραφής που δημιουργούνται, αποθηκεύονται ή αποτελούν αντικείμενο επεξεργασίας στη συσκευή δημιουργίας υπογραφής. Όπως αναφέρεται αναλυτικά σε σχετικά πρότυπα, οι εφαρμογές δημιουργίας υπογραφής θα πρέπει να εξαιρούνται από το πεδίο της υποχρέωσης πιστοποίησης.

- = -

(68) Η έννοια του «νομικού προσώπου» σύμφωνα με τις σχετικές με την εγκατάσταση διατάξεις της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) επιτρέπει στους οικονομικούς φορείς να επιλέγουν τη νομική μορφή που θεωρούν κατάλληλη για την άσκηση της δραστηριότητάς τους. Κατά συνέπεια, ως «νομικά πρόσωπα» κατά την έννοια της ΣΛΕΕ νοούνται όλες οι οντότητες που ιδρύονται σύμφωνα με τη νομοθεσία κράτους μέλους ή διέπονται από αυτήν, ανεξάρτητα από τη νομική μορφή τους.

- = -

(74) Για να εξασφαλιστεί ασφάλεια δικαίου για τους φορείς της αγοράς που χρησιμοποιούν ήδη εγκεκριμένα πιστοποιητικά εκδοθέντα από φυσικό πρόσωπο σύμφωνα με την οδηγία 1999/93/ΕΚ, είναι απαραίτητη η πρόβλεψη επαρκούς μεταβατικής περιόδου. Ομοίως, θα πρέπει να προβλεφθούν μεταβατικά μέτρα για τις ασφαλείς διατάξεις δημιουργίας υπογραφών, των οποίων η συμμόρφωση έχει καθοριστεί σύμφωνα με την οδηγία 1999/93/ΕΚ, καθώς και για τους παρόχους υπηρεσιών πιστοποίησης που εκδίδουν εγκεκριμένα πιστοποιητικά πριν από την 1η Ιουλίου 2016. Τέλος, είναι επίσης απαραίτητο να παρασχεθούν στην Επιτροπή μέσα για την έκδοση των εκτελεστικών πράξεων και των κατ’ εξουσιοδότηση πράξεων πριν από την ημερομηνία αυτή.

- = -

keyboard_tab EIDAS 2014/0910 EL

EIDAS 2014/0910 EL