EIDAS 2014/0910 EL

1. Το κοινοποιούν κράτος μέλος κοινοποιεί στην Επιτροπή τις ακόλουθες πληροφορίες και τυχόν μεταγενέστερες τροποποιήσεις τους, χωρίς αδικαιολόγητη καθυστέρηση:

α)	περιγραφή του συστήματος ηλεκτρονικής ταυτοποίησης, με αναφορά, μεταξύ άλλων, στα επίπεδα διασφάλισής του, στον εκδότη ή τους εκδότες των μέσων ηλεκτρονικής ταυτοποίησης στο πλαίσιο του συστήματος·

β)

το εφαρμοστέο καθεστώς εποπτείας και πληροφορίες για το καθεστώς ευθύνης όσον αφορά τα εξής:

i)	το μέρος που εκδίδει το μέσο_ηλεκτρονικής_ταυτοποίησης, και

ii)	το μέρος που χειρίζεται τη διαδικασία επαλήθευσης της ταυτότητας·

γ)	την αρχή ή τις αρχές που είναι υπεύθυνες για το σύστημα_ηλεκτρονικής_ταυτοποίησης·

δ)	πληροφορίες σχετικά με την οντότητα ή τις οντότητες που διαχειρίζονται την καταγραφή των μοναδικών δεδομένων ηλεκτρονικής ταυτοποίησης προσώπου·

ε)	περιγραφή του τρόπου με τον οποίο πληρούνται οι απαιτήσεις των εκτελεστικών πράξεων του άρθρου 12 παράγραφος 8·

στ)	περιγραφή της επαλήθευσης ταυτότητας που αναφέρεται στο άρθρο 7 στοιχείο στ)·

ζ)	τις ρυθμίσεις για την αναστολή ή την ανάκληση είτε του κοινοποιούμενου συστήματος ηλεκτρονικής ταυτοποίησης ή της επαλήθευσης ταυτότητας είτε των σχετικών τμημάτων αυτών που έχουν εκτεθεί σε κίνδυνο.

2. Ένα έτος από την ημερομηνία έναρξης ισχύος των εκτελεστικών πράξεων που αναφέρονται στο άρθρο 8 παράγραφος 3 και στο άρθρο 12 παράγραφος 8, η Επιτροπή δημοσιεύει στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης τον κατάλογο των συστημάτων ηλεκτρονικής ταυτοποίησης που κοινοποιήθηκαν σύμφωνα με την παράγραφο 1 του παρόντος άρθρου και τις βασικές πληροφορίες για αυτά.

3. Εάν η Επιτροπή λάβει κοινοποίηση μετά την πάροδο της αναφερόμενης στην παράγραφο 2 περιόδου, δημοσιεύει στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης τις τροποποιήσεις του καταλόγου της παραγράφου 2 εντός δύο μηνών από την ημερομηνία παραλαβής της εν λόγω κοινοποίησης.

4. Ένα κράτος μέλος μπορεί να υποβάλει στην Επιτροπή αίτημα για να διαγραφεί από τον κατάλογο της παραγράφου 2 το σύστημα_ηλεκτρονικής_ταυτοποίησης που έχει κοινοποιήσει. Η Επιτροπή δημοσιεύει στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης τις αντίστοιχες τροποποιήσεις του καταλόγου εντός μηνός από την ημερομηνία παραλαβής του αιτήματος του κράτους μέλους.

5. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, τις περιστάσεις, τους μορφότυπους και τις διαδικασίες για την κοινοποίηση βάσει της παραγράφου 1. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 10

Παραβίαση ασφάλειας

1. Όταν είτε το σύστημα_ηλεκτρονικής_ταυτοποίησης που έχει κοινοποιηθεί σύμφωνα με το άρθρο 9 παράγραφος 1 είτε η επαλήθευση_ταυτότητας που αναφέρεται στο άρθρο 7 στοιχείο στ) έχουν παραβιαστεί ή εκτεθεί μερικώς σε κίνδυνο κατά τρόπο που θίγει την αξιοπιστία της διασυνοριακής επαλήθευσης ταυτότητας του εν λόγω συστήματος, το κοινοποιούν κράτος μέλος αναστέλλει ή ανακαλεί χωρίς καθυστέρηση την εν λόγω διασυνοριακή επαλήθευση_ταυτότητας ή τα σχετικά τμήματα που έχουν εκτεθεί σε κίνδυνο και ενημερώνει τα άλλα κράτη μέλη και την Επιτροπή.

2. Όταν αντιμετωπιστεί η παραβίαση ή η έκθεση σε κίνδυνο που αναφέρεται στην παράγραφο 1, το κοινοποιούν κράτος μέλος αποκαθιστά τη διασυνοριακή επαλήθευση_ταυτότητας και ενημερώνει τα άλλα κράτη μέλη και την Επιτροπή χωρίς αδικαιολόγητη καθυστέρηση.

3. Αν η παραβίαση ή ο κίνδυνος που αναφέρονται στην παράγραφο 1 δεν αντιμετωπιστούν εντός τριών μηνών από την αναστολή ή την ανάκληση, το κοινοποιούν κράτος μέλος κοινοποιεί στα άλλα κράτη μέλη και στην Επιτροπή την απόσυρση του συστήματος ηλεκτρονικής ταυτοποίησης.

Η Επιτροπή δημοσιεύει χωρίς αδικαιολόγητη καθυστέρηση στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης τις αντίστοιχες τροποποιήσεις του καταλόγου του άρθρου 9 παράγραφος 2.

Άρθρο 17

Εποπτικός φορέας

1. Τα κράτη μέλη ορίζουν εποπτικό φορέα εγκατεστημένο στην επικράτειά τους - ή, κατόπιν αμοιβαίας συμφωνίας με άλλο κράτος μέλος, εποπτικό φορέα εγκατεστημένο στο κράτος μέλος αυτό. Ο εν λόγω φορέας είναι υπεύθυνος για την άσκηση καθηκόντων εποπτείας στο κράτος μέλος που τον ορίζει.

Στους εποπτικούς φορείς ανατίθενται οι αναγκαίες εξουσίες και διατίθενται επαρκείς πόροι για την άσκηση των καθηκόντων τους.

2. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τα ονόματα και τις διευθύνσεις των αντίστοιχων εποπτικών φορέων που έχουν ορίσει.

3. Ο εποπτικός φορέας έχει τον ακόλουθο ρόλο:

α)

εποπτεύει τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τους έχει ορίσει, προκειμένου να διασφαλίζει, με εκ των προτέρων και εκ των υστέρων εποπτικές δραστηριότητες, ότι οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και οι εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν πληρούν τις απαιτήσεις που θεσπίζει ο παρών κανονισμός·

β)

αναλαμβάνει δράση, όταν είναι αναγκαίο, σχετικά με μη εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης που είναι εγκατεστημένοι στην επικράτεια του κράτους μέλους που τον έχει ορίσει, με εκ των υστέρων εποπτικές δραστηριότητες, όταν γίνεται αποδέκτης πληροφοριών σύμφωνα με τις οποίες οι εν λόγω εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης ή οι υπηρεσίες εμπιστοσύνης που παρέχουν εικάζεται ότι δεν πληρούν τις απαιτήσεις που ορίζονται στον παρόντα κανονισμό.

4. Για τους σκοπούς της παραγράφου 3 και με την επιφύλαξη των περιορισμών που προβλέπονται σε αυτήν, ο εποπτικός φορέας έχει καθήκον, ιδίως:

α)	να συνεργάζεται με άλλους εποπτικούς φορείς και να τους παρέχει βοήθεια, σύμφωνα με το άρθρο 18·

β)	να αναλύει τις εκθέσεις αξιολόγησης της συμμόρφωσης που αναφέρονται στο άρθρο 20 παράγραφος 1 και στο άρθρο 21 παράγραφος 1·

γ)	να ενημερώνει τους λοιπούς εποπτικούς φορείς και το κοινό σχετικά με περιπτώσεις παραβίασης της ασφάλειας ή απώλειας της ακεραιότητας σύμφωνα με το άρθρο 19 παράγραφος 2·

δ)	να αναφέρει στην Επιτροπή σχετικά με τις κύριες δραστηριότητές του σύμφωνα με την παράγραφο 6 του παρόντος άρθρου·

ε)	να διενεργεί ελέγχους ή να ζητεί από οργανισμό αξιολόγησης της συμμόρφωσης να πραγματοποιήσει αξιολόγηση της συμμόρφωσης εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 20 παράγραφος 2·

στ)	να συνεργάζεται με τις αρχές προστασίας δεδομένων, ιδίως ενημερώνοντάς τες, χωρίς αδικαιολόγητη καθυστέρηση, σχετικά με τα αποτελέσματα των ελέγχων εγκεκριμένων παρόχων υπηρεσιών εμπιστοσύνης, όταν υπάρχουν ενδείξεις ότι έχουν παραβιαστεί οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα·

ζ)	να χορηγεί έγκριση στους παρόχους υπηρεσιών εμπιστοσύνης και στις υπηρεσίες που αυτοί παρέχουν, καθώς και να αποσύρει την έγκριση αυτή σύμφωνα με τα άρθρα 20 και 21·

η)	να ενημερώνει τον φορέα που είναι αρμόδιος για τον εθνικό κατάλογο εμπιστοσύνης που αναφέρεται στο άρθρο 22 παράγραφος 3 σχετικά με τις αποφάσεις του για τη χορήγηση ή την απόσυρση έγκρισης, εκτός αν ο εν λόγω φορέας είναι επίσης ο εποπτικός φορέας·

θ)

να ελέγχει την ύπαρξη και την ορθή εφαρμογή των διατάξεων σχετικά με τα σχέδια τερματισμού, στις περιπτώσεις κατά τις οποίες ο εγκεκριμένος πάροχος_υπηρεσιών_εμπιστοσύνης παύει τις δραστηριότητές του, περιλαμβανομένου του τρόπου με τον οποίο διασφαλίζεται η πρόσβαση στις πληροφορίες, σύμφωνα με το άρθρο 24 παράγραφος 2 στοιχείο η)·

ι)	να απαιτεί από τους παρόχους υπηρεσιών εμπιστοσύνης να αίρουν οποιαδήποτε παράλειψη συμμόρφωσης προς τις απαιτήσεις του παρόντος κανονισμού.

5. Τα κράτη μέλη μπορούν να απαιτούν ότι ο εν λόγω εποπτικός φορέας δημιουργεί, διατηρεί και ενημερώνει υποδομή εμπιστοσύνης, σύμφωνα με τους όρους του εθνικού δικαίου.

6. Έως τις 31 Μαρτίου εκάστου έτους, κάθε εποπτικός φορέας υποβάλλει στην Επιτροπή έκθεση σχετικά με τις κύριες δραστηριότητες του προηγούμενου ημερολογιακού έτους, όπως επίσης και συνοπτική παρουσίαση των κοινοποιήσεων παραβίασης που έλαβε από παρόχους υπηρεσιών εμπιστοσύνης σύμφωνα με το άρθρο 19 παράγραφος 2.

7. Η Επιτροπή θέτει στη διάθεση των κρατών μελών την ετήσια έκθεση που αναφέρεται στην παράγραφο 6.

8. Η Επιτροπή δύναται να καθορίζει, με εκτελεστικές πράξεις, τους μορφότυπους και τις διαδικασίες για την έκθεση που προβλέπεται στην παράγραφο 6. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 19

Απαιτήσεις ασφάλειας για τους παρόχους υπηρεσιών εμπιστοσύνης

1. Οι πάροχοι υπηρεσιών εμπιστοσύνης, εγκεκριμένοι και μη, λαμβάνουν τα κατάλληλα τεχνικά και οργανωτικά μέτρα διαχείρισης των κινδύνων για την ασφάλεια των υπηρεσιών εμπιστοσύνης που παρέχουν. Λαμβανομένων υπόψη των τελευταίων τεχνολογικών εξελίξεων, τα εν λόγω μέτρα διασφαλίζουν ότι το επίπεδο ασφαλείας είναι ανάλογο προς τον βαθμό του κινδύνου. Συγκεκριμένα, λαμβάνονται μέτρα για την πρόληψη και την ελαχιστοποίηση του αντικτύπου των συμβάντων που άπτονται της ασφάλειας, καθώς και για την ενημέρωση των ενδιαφερομένων σχετικά με τις δυσμενείς επιπτώσεις τυχόν παρόμοιων συμβάντων.

2. Οι πάροχοι υπηρεσιών εμπιστοσύνης, εγκεκριμένοι και μη, ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός 24 ωρών αφότου έλαβαν γνώση σχετικά, τον εποπτικό φορέα και, κατά περίπτωση, άλλους σχετικούς φορείς, όπως τον αρμόδιο εθνικό φορέα για την ασφάλεια των πληροφοριών ή την αρχή προστασίας δεδομένων, για οποιαδήποτε παραβίαση της ασφάλειας ή απώλεια της ακεραιότητας που έχει σημαντικό αντίκτυπο στην παρεχόμενη υπηρεσία_εμπιστοσύνης ή στα σχετικά δεδομένα προσωπικού χαρακτήρα.

Όταν η παραβίαση της ασφάλειας ή η απώλεια της ακεραιότητας είναι πιθανόν να επηρεάσει δυσμενώς φυσικό ή νομικό πρόσωπο στο οποίο έχει παρασχεθεί η υπηρεσία_εμπιστοσύνης, ο πάροχος_υπηρεσιών_εμπιστοσύνης ενημερώνει επίσης, χωρίς αδικαιολόγητη καθυστέρηση, το φυσικό ή νομικό πρόσωπο για την παραβίαση της ασφάλειας ή την απώλεια της ακεραιότητας.

Κατά περίπτωση, ιδίως εάν η παραβίαση της ασφάλειας ή η απώλεια της ακεραιότητας αφορά δύο ή περισσότερα κράτη μέλη, ο εποπτικός φορέας που έχει ενημερωθεί ενημερώνει τους εποπτικούς φορείς των άλλων ενδιαφερόμενων κρατών μελών και τον ENISA.

Ο εποπτικός φορέας που έχει ενημερωθεί ενημερώνει το κοινό ή ζητεί από τον πάροχο υπηρεσιών εμπιστοσύνης να το πράξει, εφόσον κρίνει ότι η δημοσιοποίηση της παραβίασης της ασφάλειας ή της απώλειας της ακεραιότητας εξυπηρετεί το δημόσιο συμφέρον.

3. Ο εποπτικός φορέας παρέχει μία φορά ετησίως στον ENISA σύνοψη των κοινοποιήσεων παραβίασης της ασφάλειας ή της απώλειας της ακεραιότητας που έχει λάβει από τους παρόχους υπηρεσιών εμπιστοσύνης.

4. Η Επιτροπή μπορεί, με εκτελεστικές πράξεις, να προβαίνει στις ακόλουθες ενέργειες:

α)	να εξειδικεύει περαιτέρω τα μέτρα της παραγράφου 1, και

β)	να καθορίζει τους μορφότυπους και τις διαδικασίες, συμπεριλαμβανομένων των προθεσμιών, που ισχύουν για τον σκοπό της παραγράφου 2.

Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

ΤΜΗΜΑ 3

Εγκεκριμένες υπηρεσίες εμπιστοσύνης

Άρθρο 21

Έναρξη εγκεκριμένης υπηρεσίας εμπιστοσύνης

1. Εάν πάροχοι υπηρεσιών εμπιστοσύνης που δεν είναι εγκεκριμένοι σκοπεύουν να αρχίσουν να παρέχουν εγκεκριμένες υπηρεσίες εμπιστοσύνης, υποβάλλουν στον εποπτικό φορέα κοινοποίηση της πρόθεσής τους μαζί με έκθεση αξιολόγησης της συμμόρφωσης εκδοθείσα από οργανισμό αξιολόγησης της συμμόρφωσης.

2. Ο εποπτικός φορέας εξακριβώνει αν ο πάροχος_υπηρεσιών_εμπιστοσύνης και οι υπηρεσίες εμπιστοσύνης που παρέχονται συμμορφώνονται προς τις απαιτήσεις του παρόντος κανονισμού, και ιδίως τις απαιτήσεις που προβλέπονται για τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης και για τις εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν.

Εάν ο εποπτικός φορέας καταλήξει στο συμπέρασμα ότι ο πάροχος_υπηρεσιών_εμπιστοσύνης και οι υπηρεσίες εμπιστοσύνης που παρέχει συμμορφώνονται προς τις απαιτήσεις που αναφέρονται στο πρώτο εδάφιο, χορηγεί έγκριση στον πάροχο υπηρεσιών εμπιστοσύνης και στις υπηρεσίες εμπιστοσύνης που παρέχει. Ενημερώνει τον φορέα που αναφέρεται στο άρθρο 22 παράγραφος 3 προκειμένου να ενημερώσει τους καταλόγους εμπιστοσύνης που αναφέρονται στο άρθρο 22 παράγραφος 1, το αργότερο τρεις μήνες από την κοινοποίηση σύμφωνα με την παράγραφο 1 του παρόντος άρθρου.

Εάν η εξακρίβωση δεν ολοκληρωθεί εντός τριών μηνών από την κοινοποίηση, ο εποπτικός φορέας ενημερώνει τον πάροχο υπηρεσιών εμπιστοσύνης εξηγώντας τους λόγους της καθυστέρησης και ορίζοντας την προθεσμία εντός της οποίας θα ολοκληρωθεί η εξακρίβωση.

3. Οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης μπορούν να αρχίσουν να παρέχουν τις εγκεκριμένες υπηρεσίες εμπιστοσύνης αφού η έγκριση καταχωριστεί στους καταλόγους εμπιστοσύνης που αναφέρονται στο άρθρο 22 παράγραφος 1.

4. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, μορφότυπους και διαδικασίες για τους σκοπούς των παραγράφων 1 και 2. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 22

Κατάλογοι εμπιστοσύνης

1. Κάθε κράτος μέλος καταρτίζει, τηρεί και δημοσιεύει καταλόγους εμπιστοσύνης συμπεριλαμβανομένων των πληροφοριών σχετικά με τους εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης για τους οποίους είναι αρμόδιο, καθώς και πληροφορίες σχετικά με τις εγκεκριμένες υπηρεσίες εμπιστοσύνης που παρέχουν.

2. Τα κράτη μέλη καταρτίζουν, τηρούν και δημοσιεύουν, με ασφαλή τρόπο, ηλεκτρονικά υπογεγραμμένους ή σφραγισμένους καταλόγους εμπιστοσύνης, όπως προβλέπονται στην παράγραφο 1, σε μορφή κατάλληλη για αυτοματοποιημένη επεξεργασία.

3. Τα κράτη μέλη κοινοποιούν στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση, πληροφορίες για τον φορέα που είναι υπεύθυνος για την κατάρτιση, την τήρηση και τη δημοσίευση εθνικών καταλόγων εμπιστοσύνης και στοιχεία για την τοποθεσία όπου δημοσιεύονται οι εν λόγω κατάλογοι, τα πιστοποιητικά που χρησιμοποιούνται για την υπογραφή ή τη σφράγισή τους και τυχόν τροποποιήσεις τους.

4. Η Επιτροπή θέτει στη διάθεση του κοινού, μέσω ασφαλούς διαύλου, τις πληροφορίες που αναφέρονται στην παράγραφο 3 σε ηλεκτρονικά υπογεγραμμένη ή σφραγισμένη μορφή, κατάλληλη για αυτοματοποιημένη επεξεργασία.

5. Έως τις 18 Σεπτεμβρίου 2015 η Επιτροπή διευκρινίζει, με την έκδοση εκτελεστικών πράξεων, τις πληροφορίες που περιγράφονται στην παράγραφο 1 και καθορίζει τις τεχνικές προδιαγραφές και τους μορφότυπους των καταλόγων εμπιστοσύνης που ισχύουν για τον σκοπό των παραγράφων 1 έως 4. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

Άρθρο 31

Δημοσίευση καταλόγου πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής

1. Τα κράτη μέλη κοινοποιούν στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από τη χορήγηση της πιστοποίησης, πληροφορίες για τις εγκεκριμένες διατάξεις δημιουργίας ηλεκτρονικής υπογραφής οι οποίες έχουν πιστοποιηθεί από τους φορείς που αναφέρονται στο άρθρο 30 παράγραφος 1. Κοινοποιούν επίσης στην Επιτροπή, χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο έναν μήνα από την ακύρωση της πιστοποίησης, πληροφορίες για τις διατάξεις δημιουργίας ηλεκτρονικής υπογραφής που δεν είναι πλέον πιστοποιημένες.

2. Βάσει των πληροφοριών που λαμβάνει, η Επιτροπή καταρτίζει, δημοσιεύει και τηρεί κατάλογο πιστοποιημένων εγκεκριμένων διατάξεων δημιουργίας ηλεκτρονικής υπογραφής.

3. Η Επιτροπή μπορεί να καθορίζει, με εκτελεστικές πράξεις, μορφές και διαδικασίες για τους σκοπούς της παραγράφου 1. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης στην οποία παραπέμπει το άρθρο 48 παράγραφος 2.

whereas

keyboard_tab EIDAS 2014/0910 EL

EIDAS 2014/0910 EL