EIDAS 2014/0910 EL

1. Τα κράτη μέλη ορίζουν εποπτικό φορέα εγκατεστημένο στην επικράτειά τους - ή, κατόπιν αμοιβαίας συμφωνίας με άλλο κράτος μέλος, εποπτικό φορέα εγκατεστημένο στο κράτος μέλος αυτό. Ο εν λόγω φορέας είναι υπεύθυνος για την άσκηση καθηκόντων εποπτείας στο κράτος μέλος που τον ορίζει.

Στους εποπτικούς φορείς ανατίθενται οι αναγκαίες εξουσίες και διατίθενται επαρκείς πόροι για την άσκηση των καθηκόντων τους.

2. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τα ονόματα και τις διευθύνσεις των αντίστοιχων εποπτικών φορέων που έχουν ορίσει.

3. Ο εποπτικός φορέας έχει τον ακόλουθο ρόλο:

α)

εποπτεύει τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τους έχει ορίσει, προκειμένου να διασφαλίζει, με εκ των προτέρων και εκ των υστέρων εποπτικές δραστηριότητες, ότι οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και οι εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν πληρούν τις απαιτήσεις που θεσπίζει ο παρών κανονισμός·

β)

αναλαμβάνει δράση, όταν είναι αναγκαίο, σχετικά με μη εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τον έχει ορίσει, με εκ των υστέρων εποπτικές δραστηριότητες, όταν γίνεται αποδέκτης πληροφοριών σύμφωνα με τις οποίες οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης ή οι υπηρεσίες εμπιστοσύνης που παρέχουν εικάζεται ότι δεν πληρούν τις απαιτήσεις που ορίζονται στον παρόντα κανονισμό.

4. Για τους σκοπούς της παραγράφου 3 και με την επιφύλαξη των περιορισμών που προβλέπονται σε αυτήν, ο εποπτικός φορέας έχει καθήκον, ιδίως:

α)	να συνεργάζεται με άλλους εποπτικούς φορείς και να τους παρέχει βοήθεια, σύμφωνα με το άρθρο 18·

β)	να αναλύει τις εκθέσεις αξιολόγησης της συμμόρφωσης που αναφέρονται στο άρθρο 20 παράγραφος 1 και στο άρθρο 21 παράγραφος 1·

γ)	να ενημερώνει τους λοιπούς εποπτικούς φορείς και το κοινό σχετικά με περιπτώσεις παραβίασης της ασφάλειας ή απώλειας της ακεραιότητας σύμφωνα με το άρθρο 19 παράγραφος 2·

δ)	να αναφέρει στην Επιτροπή σχετικά με τις κύριες δραστηριότητές του σύμφωνα με την παράγραφο 6 του παρόντος άρθρου·

ε)	να διενεργεί ελέγχους ή να ζητεί από οργανισμό αξιολόγησης της συμμόρφωσης να πραγματοποιήσει αξιολόγηση της συμμόρφωσης εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 20 παράγραφος 2·

στ)	να συνεργάζεται με τις αρχές προστασίας δεδομένων, ιδίως ενημερώνοντάς τες, χωρίς αδικαιολόγητη καθυστέρηση, σχετικά με τα αποτελέσματα των ελέγχων εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης, όταν υπάρχουν ενδείξεις ότι έχουν παραβιαστεί οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα·

ζ)	να χορηγεί έγκριση στους παρόχους υπηρεσιών εμπιστοσύνης και στις υπηρεσίες που αυτοί παρέχουν, καθώς και να αποσύρει την έγκριση αυτή σύμφωνα με τα άρθρα 20 και 21·

η)	να ενημερώνει τον φορέα που είναι αρμόδιος για τον εθνικό κατάλογο εμπιστοσύνης που αναφέρεται στο άρθρο 22 παράγραφος 3 σχετικά με τις αποφάσεις του για τη χορήγηση ή την απόσυρση έγκρισης, εκτός αν ο εν λόγω φορέας είναι επίσης ο εποπτικός φορέας·

θ)

να ελέγχει την ύπαρξη και την ορθή εφαρμογή των διατάξεων σχετικά με τα σχέδια τερματισμού, στις περιπτώσεις κατά τις οποίες ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης παύει τις δραστηριότητές του, περιλαμβανομένου του τρόπου με τον οποίο διασφαλίζεται η πρόσβαση στις πληροφορίες, σύμφωνα με το άρθρο 24 παράγραφος 2 στοιχείο η)·

ι)	να απαιτεί από τους παρόχους υπηρεσιών εμπιστοσύνης να αίρουν οποιαδήποτε παράλειψη συμμόρφωσης προς τις απαιτήσεις του παρόντος κανονισμού.

5. Τα κράτη μέλη μπορούν να απαιτούν ότι ο εν λόγω εποπτικός φορέας δημιουργεί, διατηρεί και ενημερώνει υποδομή εμπιστοσύνης, σύμφωνα με τους όρους του εθνικού δικαίου.

6. Έως τις 31 Μαρτίου εκάστου έτους, κάθε εποπτικός φορέας υποβάλλει στην Επιτροπή έκθεση σχετικά με τις κύριες δραστηριότητες του προηγούμενου ημερολογιακού έτους, όπως επίσης και συνοπτική παρουσίαση των κοινοποιήσεων παραβίασης που έλαβε από παρόχους υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 19 παράγραφος 2.

7. Η Επιτροπή θέτει στη διάθεση των κρατών μελών την ετήσια έκθεση που αναφέρεται στην παράγραφο 6.

8. Η Επιτροπή δύναται να καθορίζει, με εκτελεστικές πράξεις, τους μορφότυπους και τις διαδικασίες για την έκθεση που προβλέπεται στην παράγραφο 6. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 24

Απαιτήσεις για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης

1. Κατά την έκδοση εγκεκριμένου πιστοποιητικού για υπηρεσία_εμπιστοσύνης, ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης προβαίνει, με κατάλληλα μέσα και σύμφωνα με το εθνικό δίκαιο, σε εξακρίβωση της ταυτότητας και, κατά περίπτωση, τυχόν ειδικών χαρακτηριστικών του φυσικού ή νομικού προσώπου για το οποίο εκδίδεται εγκεκριμένο πιστοποιητικό.

Οι πληροφορίες που αναφέρονται στο πρώτο εδάφιο εξακριβώνονται από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης είτε άμεσα είτε μέσω τρίτου σύμφωνα με το εθνικό δίκαιο:

α)	με φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου, ή

β)

εξ αποστάσεως, με τη χρήση μέσων ηλεκτρονικής ταυτοποίησης για τα οποία, πριν από την έκδοση του εγκεκριμένου πιστοποιητικού, έχει διασφαλιστεί η φυσική παρουσία του φυσικού προσώπου ή εξουσιοδοτημένου εκπροσώπου του νομικού προσώπου και τα οποία πληρούν τις απαιτήσεις του άρθρου 8 όσον αφορά το «βασικό» ή το «υψηλό» επίπεδο διασφάλισης, ή

γ)	μέσω πιστοποιητικού εγκεκριμένης ηλεκτρονικής υπογραφής ή εγκεκριμένης ηλεκτρονικής σφραγίδας που έχει εκδοθεί σύμφωνα με το στοιχείο α) ή β), ή

δ)	με τη χρήση άλλων μεθόδων ταυτοποίησης αναγνωρισμένων σε εθνικό επίπεδο που παρέχουν διασφάλιση ισοδύναμη με τη φυσική παρουσία. Η ισοδύναμη διασφάλιση επιβεβαιώνεται από οργανισμό αξιολόγησης της συμμόρφωσης.

2. Οι εγκεκριμένοι πάροχοι υπηρεσιών που παρέχουν εγκεκριμένες υπηρεσίες εμπιστοσύνης:

α)	ενημερώνουν τον εποπτικό φορέα για κάθε αλλαγή όσον αφορά την παροχή των εγκεκριμένων υπηρεσιών εμπιστοσύνης του, περιλαμβανομένης της πρόθεσης παύσης των εν λόγω δραστηριοτήτων·

β)

απασχολούν προσωπικό και, κατά περίπτωση, υπεργολάβους που διαθέτουν την απαραίτητη τεχνογνωσία, αξιοπιστία, πείρα και προσόντα και έχουν λάβει κατάλληλη εκπαίδευση σχετικά με την ασφάλεια και τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα, εφαρμόζουν δε διοικητικές και διαχειριστικές διαδικασίες που ανταποκρίνονται σε ευρωπαϊκά ή διεθνή πρότυπα·

γ)	όσον αφορά την ευθύνη για τις ζημίες σύμφωνα με το άρθρο 13, διατηρούν επαρκείς οικονομικούς πόρους και/ή αποκτούν κατάλληλη ασφαλιστική κάλυψη, σύμφωνα με το εθνικό δίκαιο·

δ)

προτού συνάψουν συμβατική σχέση, ενημερώνουν, με σαφή και ολοκληρωμένο τρόπο, κάθε πρόσωπο που επιθυμεί να χρησιμοποιήσει εγκεκριμένη υπηρεσία_εμπιστοσύνης σχετικά με τους ακριβείς όρους και τις προϋποθέσεις για τη χρήση της εν λόγω υπηρεσίας, συμπεριλαμβανομένων τυχόν περιορισμών όσον αφορά τη χρήση της·

ε)	χρησιμοποιούν αξιόπιστα συστήματα και προϊόντα τα οποία προστατεύονται από τροποποιήσεις και διασφαλίζουν την τεχνική ασφάλεια και αξιοπιστία των διεργασιών που υποστηρίζονται από αυτά·

στ)

χρησιμοποιούν αξιόπιστα συστήματα για την αποθήκευση των δεδομένων που τους παρέχονται, σε επαληθεύσιμη μορφή, ούτως ώστε:

i)	να είναι δημοσίως διαθέσιμα για άντληση μόνον εφόσον έχει ληφθεί η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα,

ii)	μόνον εξουσιοδοτημένα πρόσωπα να μπορούν να πραγματοποιούν καταχωρίσεις και τροποποιήσεις στα αποθηκευμένα δεδομένα,

iii)	να μπορεί να ελέγχεται η αυθεντικότητα των δεδομένων·

ζ)	λαμβάνουν κατάλληλα μέτρα κατά της πλαστογραφίας και της κλοπής δεδομένων·

η)

καταγράφουν και διατηρούν προσβάσιμο για κατάλληλη χρονική περίοδο, ακόμη και μετά την παύση των δραστηριοτήτων του εγκεκριμένου παρόχου υπηρεσιών εμπιστοσύνης, το σύνολο των συναφών πληροφοριών που αφορούν δεδομένα τα οποία έχουν εκδοθεί και ληφθεί από τον εγκεκριμένο πάροχο υπηρεσιών εμπιστοσύνης, ιδίως για την παροχή αποδεικτικών στοιχείων σε νομικές διαδικασίες και για τη διασφάλιση της συνέχειας της υπηρεσίας· η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα·

θ)	διαθέτουν ενημερωμένο σχέδιο τερματισμού με σκοπό την εξασφάλιση της συνέχειας της υπηρεσίας σύμφωνα με διατάξεις ελεγμένες από τον εποπτικό φορέα δυνάμει του άρθρου 17 παράγραφος 4 στοιχείο θ)·

ι)	εξασφαλίζουν τη νόμιμη επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με την οδηγία 95/46/ΕΚ·

ια)	σε περίπτωση εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά, συγκροτούν βάση δεδομένων για τα πιστοποιητικά, την οποία τηρούν ενημερωμένη.

3. Όταν εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά αποφασίζουν να ανακαλέσουν ένα πιστοποιητικό, καταχωρίζουν την εν λόγω ανάκληση στη βάση δεδομένων για τα πιστοποιητικά και δημοσιοποιούν την ανάκληση του πιστοποιητικού εγκαίρως και σε κάθε περίπτωση εντός 24 ωρών από την παραλαβή της αίτησης. Η ανάκληση αυτή αρχίζει να ισχύει αμέσως μετά τη δημοσιοποίησή της.

4. Αναφορικά με την παράγραφο 3, οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης που εκδίδουν εγκεκριμένα πιστοποιητικά παρέχουν σε κάθε βασιζόμενο_μέρος πληροφορίες για την ισχύ ή την ανάκληση των εγκεκριμένων πιστοποιητικών που έχουν εκδοθεί από αυτούς. Οι εν λόγω πληροφορίες είναι διαθέσιμες, τουλάχιστον για κάθε χωριστό πιστοποιητικό, ανά πάσα στιγμή και πέραν της περιόδου ισχύος του πιστοποιητικού, κατά τρόπο αυτοματοποιημένο που είναι αξιόπιστος, δωρεάν και αποτελεσματικός.

5. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, αριθμούς αναφοράς προτύπων για τα αξιόπιστα συστήματα και προϊόντα που είναι σύμφωνα με τις απαιτήσεις της παραγράφου 2 στοιχεία ε) και στ) του παρόντος άρθρου. Η συμμόρφωση με τις απαιτήσεις που ορίζονται στο παρόν άρθρο τεκμαίρεται εφόσον τα αξιόπιστα συστήματα και προϊόντα πληρούν τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 4

Ηλεκτρονικές υπογραφές

Άρθρο 45

Απαιτήσεις για εγκεκριμένα πιστοποιητικά γνησιότητας ιστότοπου

1. Τα εγκεκριμένα πιστοποιητικά γνησιότητας ιστοτόπων πληρούν τις απαιτήσεις του παραρτήματος IV.

2. Η Επιτροπή δύναται, μέσω εκτελεστικών πράξεων, να καθορίζει αριθμούς αναφοράς προτύπων για εγκεκριμένα πιστοποιητικά γνησιότητας ιστοτόπων. Η συμμόρφωση με τις απαιτήσεις που ορίζονται στο παράρτημα IV τεκμαίρεται εφόσον ένα εγκεκριμένο πιστοποιητικό_γνησιότητας_ιστότοπου πληροί τα πρότυπα αυτά. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΚΕΦΑΛΑΙΟ IV

ΗΛΕΚΤΡΟΝΙΚΑ ΕΓΓΡΑΦΑ

whereas

(76) Δεδομένου ότι οι στόχοι του παρόντος κανονισμού δεν μπορούν να επιτευχθούν επαρκώς από τα κράτη μέλη και συνεπώς, λόγω της κλίμακας της δράσης, μπορούν όμως να επιτευχθούν καλύτερα σε επίπεδο Ένωσης, η Ένωση δύναται να θεσπίζει μέτρα σύμφωνα με την αρχή της επικουρικότητας, όπως ορίζεται στο άρθρο 5 της Συνθήκης για την Ευρωπαϊκή Ένωση. Σύμφωνα με την αρχή της αναλογικότητας, όπως διατυπώνεται στο εν λόγω άρθρο, ο παρών κανονισμός δεν υπερβαίνει τα αναγκαία όρια για την επίτευξη των στόχων αυτών.

- = -

keyboard_tab EIDAS 2014/0910 EL

EIDAS 2014/0910 EL