EIDAS 2014/0910 EL

1. Τα κράτη μέλη ορίζουν εποπτικό φορέα εγκατεστημένο στην επικράτειά τους - ή, κατόπιν αμοιβαίας συμφωνίας με άλλο κράτος μέλος, εποπτικό φορέα εγκατεστημένο στο κράτος μέλος αυτό. Ο εν λόγω φορέας είναι υπεύθυνος για την άσκηση καθηκόντων εποπτείας στο κράτος μέλος που τον ορίζει.

Στους εποπτικούς φορείς ανατίθενται οι αναγκαίες εξουσίες και διατίθενται επαρκείς πόροι για την άσκηση των καθηκόντων τους.

2. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τα ονόματα και τις διευθύνσεις των αντίστοιχων εποπτικών φορέων που έχουν ορίσει.

3. Ο εποπτικός φορέας έχει τον ακόλουθο ρόλο:

α)

εποπτεύει τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τους έχει ορίσει, προκειμένου να διασφαλίζει, με εκ των προτέρων και εκ των υστέρων εποπτικές δραστηριότητες, ότι οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και οι εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν πληρούν τις απαιτήσεις που θεσπίζει ο παρών κανονισμός·

β)

αναλαμβάνει δράση, όταν είναι αναγκαίο, σχετικά με μη εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τον έχει ορίσει, με εκ των υστέρων εποπτικές δραστηριότητες, όταν γίνεται αποδέκτης πληροφοριών σύμφωνα με τις οποίες οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης ή οι υπηρεσίες εμπιστοσύνης που παρέχουν εικάζεται ότι δεν πληρούν τις απαιτήσεις που ορίζονται στον παρόντα κανονισμό.

4. Για τους σκοπούς της παραγράφου 3 και με την επιφύλαξη των περιορισμών που προβλέπονται σε αυτήν, ο εποπτικός φορέας έχει καθήκον, ιδίως:

α)	να συνεργάζεται με άλλους εποπτικούς φορείς και να τους παρέχει βοήθεια, σύμφωνα με το άρθρο 18·

β)	να αναλύει τις εκθέσεις αξιολόγησης της συμμόρφωσης που αναφέρονται στο άρθρο 20 παράγραφος 1 και στο άρθρο 21 παράγραφος 1·

γ)	να ενημερώνει τους λοιπούς εποπτικούς φορείς και το κοινό σχετικά με περιπτώσεις παραβίασης της ασφάλειας ή απώλειας της ακεραιότητας σύμφωνα με το άρθρο 19 παράγραφος 2·

δ)	να αναφέρει στην Επιτροπή σχετικά με τις κύριες δραστηριότητές του σύμφωνα με την παράγραφο 6 του παρόντος άρθρου·

ε)	να διενεργεί ελέγχους ή να ζητεί από οργανισμό αξιολόγησης της συμμόρφωσης να πραγματοποιήσει αξιολόγηση της συμμόρφωσης εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 20 παράγραφος 2·

στ)	να συνεργάζεται με τις αρχές προστασίας δεδομένων, ιδίως ενημερώνοντάς τες, χωρίς αδικαιολόγητη καθυστέρηση, σχετικά με τα αποτελέσματα των ελέγχων εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης, όταν υπάρχουν ενδείξεις ότι έχουν παραβιαστεί οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα·

ζ)	να χορηγεί έγκριση στους παρόχους υπηρεσιών εμπιστοσύνης και στις υπηρεσίες που αυτοί παρέχουν, καθώς και να αποσύρει την έγκριση αυτή σύμφωνα με τα άρθρα 20 και 21·

η)	να ενημερώνει τον φορέα που είναι αρμόδιος για τον εθνικό κατάλογο εμπιστοσύνης που αναφέρεται στο άρθρο 22 παράγραφος 3 σχετικά με τις αποφάσεις του για τη χορήγηση ή την απόσυρση έγκρισης, εκτός αν ο εν λόγω φορέας είναι επίσης ο εποπτικός φορέας·

θ)

να ελέγχει την ύπαρξη και την ορθή εφαρμογή των διατάξεων σχετικά με τα σχέδια τερματισμού, στις περιπτώσεις κατά τις οποίες ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης παύει τις δραστηριότητές του, περιλαμβανομένου του τρόπου με τον οποίο διασφαλίζεται η πρόσβαση στις πληροφορίες, σύμφωνα με το άρθρο 24 παράγραφος 2 στοιχείο η)·

ι)	να απαιτεί από τους παρόχους υπηρεσιών εμπιστοσύνης να αίρουν οποιαδήποτε παράλειψη συμμόρφωσης προς τις απαιτήσεις του παρόντος κανονισμού.

5. Τα κράτη μέλη μπορούν να απαιτούν ότι ο εν λόγω εποπτικός φορέας δημιουργεί, διατηρεί και ενημερώνει υποδομή εμπιστοσύνης, σύμφωνα με τους όρους του εθνικού δικαίου.

6. Έως τις 31 Μαρτίου εκάστου έτους, κάθε εποπτικός φορέας υποβάλλει στην Επιτροπή έκθεση σχετικά με τις κύριες δραστηριότητες του προηγούμενου ημερολογιακού έτους, όπως επίσης και συνοπτική παρουσίαση των κοινοποιήσεων παραβίασης που έλαβε από παρόχους υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 19 παράγραφος 2.

7. Η Επιτροπή θέτει στη διάθεση των κρατών μελών την ετήσια έκθεση που αναφέρεται στην παράγραφο 6.

8. Η Επιτροπή δύναται να καθορίζει, με εκτελεστικές πράξεις, τους μορφότυπους και τις διαδικασίες για την έκθεση που προβλέπεται στην παράγραφο 6. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 30

Πιστοποίηση των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής

1. Η συμμόρφωση των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής προς τις απαιτήσεις του παραρτήματος II πιστοποιείται από αρμόδιους δημόσιους ή ιδιωτικούς φορείς που ορίζονται από τα κράτη μέλη.

2. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τις ονομασίες και τις διευθύνσεις των δημόσιων ή ιδιωτικών φορέων που αναφέρονται στην παράγραφο 1. Η Επιτροπή θέτει τις πληροφορίες στη διάθεση των κρατών μελών.

3. Η πιστοποίηση που αναφέρεται στην παράγραφο 1 βασίζεται σε ένα από τα ακόλουθα:

α)	διαδικασία αξιολόγησης της ασφάλειας διενεργούμενη σύμφωνα με κάποιο από τα πρότυπα για την αξιολόγηση της ασφάλειας των προϊόντων πληροφορικής που περιλαμβάνονται στον κατάλογο τον οποίο καταρτίζει η Επιτροπή σύμφωνα με το δεύτερο εδάφιο, ή

β)

διαδικασία διαφορετική από την αναφερόμενη στην περίπτωση α), εφόσον η διαδικασία αυτή χρησιμοποιεί συγκρίσιμα επίπεδα ασφάλειας και ο δημόσιος ή ιδιωτικός φορέας που αναφέρεται στην παράγραφο 1 γνωστοποιεί τη διαδικασία αυτή στην Επιτροπή. Η διαδικασία αυτή μπορεί να χρησιμοποιηθεί μόνο σε περίπτωση που δεν υφίστανται τα πρότυπα που αναφέρονται στο στοιχείο α) ή όταν βρίσκεται εν εξελίξει μια διαδικασία αξιολόγησης της ασφάλειας όπως αναφέρεται στο στοιχείο α).

Η Επιτροπή καταρτίζει με εκτελεστικές πράξεις κατάλογο προτύπων για την αξιολόγηση της ασφάλειας των προϊόντων πληροφορικής που αναφέρεται στο στοιχείο α). Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

4. Ανατίθεται στην Επιτροπή η εξουσία να εκδίδει κατ’ εξουσιοδότηση πράξεις σύμφωνα με το άρθρο 47 σχετικά με τον καθορισμό συγκεκριμένων κριτηρίων που πρέπει να πληρούνται από τους οριζόμενους φορείς που αναφέρονται στην παράγραφο 1 του παρόντος άρθρου.

Άρθρο 31

Δημοσίευση καταλόγου πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής

1. Τα κράτη μέλη κοινοποιούν στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από τη χορήγηση της πιστοποίησης, πληροφορίες για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής οι οποίες έχουν πιστοποιηθεί από τους φορείς που αναφέρονται στο άρθρο 30 παράγραφος 1. Κοινοποιούν επίσης στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από την ακύρωση της πιστοποίησης, πληροφορίες για τις διατάξεις δημιουργίας ηλεκτρονικής υπογραφής που δεν είναι πλέον πιστοποιημένες.

2. Βάσει των πληροφοριών που λαμβάνει, η Επιτροπή καταρτίζει, δημοσιεύει και τηρεί κατάλογο πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής.

3. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, μορφές και διαδικασίες για τους σκοπούς της παραγράφου 1. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 39

Εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής σφραγίδας

1. Το άρθρο 29 εφαρμόζεται κατ’ αναλογία στις απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής σφραγίδας.

2. Το άρθρο 30 εφαρμόζεται κατ’ αναλογία στην πιστοποίηση των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής σφραγίδας.

3. Το άρθρο 31 εφαρμόζεται κατ’ αναλογία στη δημοσίευση καταλόγου πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής σφραγίδας.

whereas

(41) Για να εξασφαλιστεί η βιωσιμότητα και η διάρκεια των εγκεκριμένων υπηρεσιών εμπιστοσύνης και να ενισχυθεί η εμπιστοσύνη των χρηστών στην απρόσκοπτη λειτουργία των εγκεκριμένων υπηρεσιών εμπιστοσύνης, οι εποπτικοί φορείς θα πρέπει να επαληθεύουν την ύπαρξη και την ορθή εφαρμογή των διατάξεων περί σχεδίων παύσης, σε περιπτώσεις κατά τις οποίες οι πάροχοι εγκεκριμένων υπηρεσιών εμπιστοσύνης παύουν τις δραστηριότητές τους.

- = -

(55) Η πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων με βάση διεθνή πρότυπα, όπως το ISO 15408 και συναφείς μέθοδοι αξιολόγησης και ρυθμίσεις αμοιβαίας αναγνώρισης, αποτελεί σημαντικό εργαλείο για την εξακρίβωση της ασφάλειας των εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής και θα πρέπει να προωθηθεί. Ωστόσο, διάφορες καινοτόμες λύσεις και υπηρεσίες (όπως η υπογραφή μέσω κινητών συσκευών και η υπογραφή μέσω εφαρμογών νέφους) στηρίζονται σε τεχνικές και οργανωτικές λύσεις για εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικών υπογραφών για τις οποίες ενδέχεται να μην υπάρχουν ακόμη πρότυπα ασφάλειας ή η πρώτη πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων να βρίσκεται υπό εξέλιξη. Το επίπεδο ασφαλείας παρόμοιων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής μπορεί να αξιολογείται με τη χρήση εναλλακτικών διαδικασιών μόνον όταν δεν είναι διαθέσιμα αυτά τα πρότυπα ασφαλείας ή όταν η πρώτη πιστοποίηση της ασφάλειας πληροφοριακών συστημάτων βρίσκεται υπό εξέλιξη. Οι διαδικασίες αυτές θα πρέπει να είναι συγκρίσιμες με τα πρότυπα πιστοποίησης της ασφάλειας πληροφοριακών συστημάτων στον βαθμό που τα επίπεδα ασφάλειάς τους είναι ισοδύναμα. Οι διαδικασίες αυτές θα μπορούσαν να διευκολύνονται με αξιολόγηση από ομοτίμους.

- = -

(56) Ο παρών κανονισμός θα πρέπει να ορίσει απαιτήσεις για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής προκειμένου να εξασφαλίζεται η λειτουργικότητα των προηγμένων ηλεκτρονικών υπογραφών. Ο παρών κανονισμός δεν θα πρέπει να καλύπτει ολόκληρο το περιβάλλον του συστήματος στο οποίο λειτουργούν οι διατάξεις αυτές. Συνεπώς, το πεδίο εφαρμογής για την πιστοποίηση εγκεκριμένων διατάξεων δημιουργίας υπογραφής θα πρέπει να περιορίζεται στο υλικό και στο λογισμικό του συστήματος που χρησιμοποιείται για τη διαχείριση και την προστασία των δεδομένων δημιουργίας υπογραφής που δημιουργούνται, αποθηκεύονται ή αποτελούν αντικείμενο επεξεργασίας στη συσκευή δημιουργίας υπογραφής. Όπως αναφέρεται αναλυτικά σε σχετικά πρότυπα, οι εφαρμογές δημιουργίας υπογραφής θα πρέπει να εξαιρούνται από το πεδίο της υποχρέωσης πιστοποίησης.

- = -

(70) Για να συμπληρωθούν ορισμένες λεπτομερείς τεχνικές πτυχές του παρόντος κανονισμού κατά τρόπο ευέλικτο και ταχύ, θα πρέπει να ανατεθεί στην Επιτροπή η εξουσία έκδοσης πράξεων, σύμφωνα με το άρθρο 290 ΣΛΕΕ σχετικά με τα κριτήρια που θα πρέπει να πληρούν τα όργανα που είναι υπεύθυνα για την πιστοποίηση διατάξεων δημιουργίας εγκεκριμένων ηλεκτρονικών υπογραφών. Έχει ιδιαίτερη σημασία να προβαίνει η Επιτροπή σε κατάλληλες διαβουλεύσεις κατά τη διάρκεια του προπαρασκευαστικού έργου της, μεταξύ άλλων και σε επίπεδο εμπειρογνωμόνων. Κατά την προετοιμασία και τη σύνταξη κατ’ εξουσιοδότηση πράξεων, η Επιτροπή θα πρέπει να διασφαλίζει την ταυτόχρονη, έγκαιρη και κατάλληλη διαβίβαση των σχετικών εγγράφων στο Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο.

- = -

keyboard_tab EIDAS 2014/0910 EL

EIDAS 2014/0910 EL