EIDAS 2014/0910 ET

1. Ilma et see piiraks lõike 2 kohaldamist, vastutavad usaldusteenuse osutajad füüsilisele või juriidilisele isikule tahtlikult või ettevaatamatusest tekitatud kahju eest, mis tuleneb käesolevas määruses sätestatud kohustuste täitmata jätmisest.

Kvalifitseerimata usaldusteenuse osutaja tegevuse tahtlikkuse või ettevaatamatuse tõendamise kohustus lasub füüsilisel või juriidilisel isikul, kes väidab, et talle on põhjustatud esimeses lõigus osutatud kahju.

Eeldatakse, et kvalifitseeritud usaldusteenuse osutaja on tegutsenud tahtlikult või ettevaatamatusest, kui nimetatud kvalifitseeritud usaldusteenuse osutaja ei tõesta, et esimeses lõigus osutatud kahju põhjustati ilma selle kvalifitseeritud usaldusteenuse osutaja tahtliku või ettevaatamatu tegutsemiseta.

2. Kui usaldusteenuse osutajad teavitavad oma kliente eelnevalt nõuetekohaselt nende poolt osutatavate teenuste kasutamise piirangutest ja need piirangud on kolmandatele isikutele arusaadavad, siis ei vastuta usaldusteenuse osutajad kahju eest, mis tuleneb osutatud piiranguid ületavast teenuste kasutamisest.

3. Lõikeid 1 ja 2 kohaldatakse kooskõlas siseriiklike vastutust käsitlevate eeskirjadega.

Artikkel 18

Vastastikune abi

1. Järelevalveasutused teevad koostööd heade tavade vahetamiseks.

Järelevalveasutus annab teiselt järelevalveasutuselt saadud põhjendatud taotluse korral kõnealusele asutusele abi, et järelevalveasutuste tegevus saaks toimuda järjepidevalt. Vastastikune abi võib hõlmata eelkõige teabenõudeid ja järelevalvemeetmeid, näiteks taotlusi artiklites 20 ja 21 osutatud vastavushindamisaruannetega seotud kontrollide läbiviimiseks.

2. Järelevalveasutus, kellele abitaotlus on adresseeritud, võib taotluse täitmisest keelduda mis tahes järgmisel alusel:

a)	järelevalveasutus ei ole pädev taotletavat abi andma;

b)	taotletav abi ei ole proportsionaalne järelevalveasutuse poolt kooskõlas artikliga 17 teostatava järelevalvega;

c)	taotletava abi andmine oleks vastuolus käesoleva määrusega.

3. Kui see on asjakohane, võivad liikmesriigid anda oma vastavatele järelevalveasutustele volitused korraldada ühiseid uurimisi, millesse on kaasatud teiste liikmesriikide järelevalveasutuste töötajad. Asjaomased liikmesriigid lepivad kokku sellise ühistegevuse korra ja protseduurid ning kehtestavad need oma riigi õiguse kohaselt.

Artikkel 22

Usaldusnimekirjad

1. Iga liikmesriik koostab, haldab ja avaldab usaldusnimekirju, mis sisaldavad teavet tema vastutusalasse kuuluvate kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate kvalifitseeritud usaldusteenuste kohta.

2. Liikmesriigid koostavad elektrooniliselt allkirjastatud või e-templiga varustatud, lõikes 1 osutatud usaldusnimekirjad, haldavad neid ja avaldavad need turvalisel viisil ja automaatseks töötlemiseks sobivas formaadis.

3. Liikmesriigid edastavad komisjonile põhjendamatu viivituseta teabe, mis hõlmab riigisiseste usaldusnimekirjade koostamise, haldamise ja avaldamise eest vastutavat asutust, kõnealuste nimekirjade avaldamise koha üksikasju, nimekirjade allkirjastamiseks või templiga varustamiseks kasutatavaid sertifikaate ning nimekirjade mis tahes muudatusi.

4. Komisjon teeb lõikes 3 osutatud teabe turvalise kanali kaudu avalikkusele kättesaadavaks automaatseks töötlemiseks sobivas, elektrooniliselt allkirjastatud või e-templiga varustatud formaadis.

5. Komisjon täpsustab hiljemalt 18. septembriks 2015 rakendusaktidega lõikes 1 osutatud teabe ning määrab kindlaks lõigete 1–4 kohaldamisega seotud usaldusnimekirjade tehnilised kirjeldused ja formaadid. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 24

Nõuded kvalifitseeritud usaldusteenuse osutajatele

1. Usaldusteenusele kvalifitseeritud sertifikaati väljastades kontrollib kvalifitseeritud usaldusteenuse osutaja asjakohaste vahenditega ja siseriikliku õiguse kohaselt selle füüsilise või juriidilise isiku identiteeti, kellele kvalifitseeritud sertifikaat väljastatakse, ja vajaduse korral tema eritunnuseid.

Kvalifitseeritud usaldusteenuse osutaja kontrollib esimeses lõigus osutatud teavet siseriikliku õiguse kohaselt kas otse või kolmandale isikule tuginedes. Kontrollimine toimub ühel järgmisel moel:

a)	füüsilise isiku või juriidilise isiku volitatud esindaja füüsilise kohaloleku alusel või

kaughindamise teel, kasutades e-identimise vahendeid, mille puhul enne kvalifitseeritud sertifikaadi väljastamist tagati füüsilise isiku või juriidilise isiku volitatud esindaja füüsiline kohalolek ja mis vastavad artiklis 8 kehtestatud nõuetele seoses märkimisväärse või kõrge usaldusväärsuse tasemega, või

c)	kooskõlas punktiga a või b väljastatud kvalifitseeritud e-allkirja või kvalifitseeritud e-templi sertifikaadi abil või

d)	kasutades muid riiklikul tasandil tunnustatud identimismeetodeid, mis tagavad füüsilise kohalolekuga samaväärse usaldusväärsuse. Nimetatud samaväärne usaldusväärsus peab olema vastavushindamisasutuse poolt kinnitatud.

2. Kvalifitseeritud usaldusteenuseid osutav kvalifitseeritud usaldusteenuse osutaja:

a)	teavitab järelevalveasutust muutusest oma kvalifitseeritud usaldusteenuste osutamises ja kavatsusest kõnealune tegevus lõpetada;

võtab tööle personali ja vajaduse korral alltöövõtjad, kellel on vajalik pädevus, usaldusväärsus, kogemus ja kvalifikatsioon ning kes on saanud turva- ja isikuandmete kaitse eeskirjade alal asjakohase koolituse ja rakendavad Euroopa või rahvusvahelistele standarditele vastavaid haldus- ja juhtimismenetlusi;

c)	seoses artikli 13 kohase vastutusega võimalike kahjude eest omab piisavat hulka rahalisi vahendeid ja/või sõlmib asjakohase vastutuskindlustuse kooskõlas siseriikliku õigusega;

d)	teavitab enne lepingu sõlmimist kõiki kvalifitseeritud usaldusteenust kasutada soovivaid isikuid selgelt ja põhjalikult kõnealuse teenuse kasutamise täpsetest tingimustest, sealhulgas kõigist selle kasutamise piirangutest;

e)	kasutab usaldusväärseid süsteeme ja tooteid, mis on kaitstud muutmise eest, ja tagab nende toetatavate toimingute tehnilise turvalisuse ja usaldusväärsuse;

kasutab usaldusväärseid süsteeme talle esitatud andmete säilitamiseks ehtsuse tõendamist võimaldavas formaadis nii, et:

i)	need on otsingutes avalikult kättesaadavad üksnes siis, kui isik, kellega andmed on seotud, on andnud selleks nõusoleku,

ii)	säilitatud andmeid saavad sisestada ja muuta üksnes selleks volitatud isikud,

iii)	on võimalik kindlaks teha, kas andmed on ehtsad;

g)	võtab asjakohaseid meetmeid andmete võltsimise ja varguse vastu;

salvestab ja hoiavad kättesaadavana sobiva tähtaja jooksul, sealhulgas pärast seda, kui kvalifitseeritud usaldusteenuse osutaja on tegevuse lõpetanud, kogu asjakohase teabe kvalifitseeritud usaldusteenuse osutaja väljastatud ja saadud andmete kohta, eelkõige tõendina kasutamiseks kohtumenetlustes ja selleks, et tagada teenuse järjepidevus. Sellised andmed võib salvestada elektrooniliselt;

i)	omab teenuse järjepidevuse tagamiseks ajakohast tegevuse lõpetamise kava, mis vastab järelevalveasutuse poolt artikli 17 lõike 4 punkti i kohaselt kontrollitud sätetele;

j)	tagab isikuandmete seadusliku töötlemise vastavalt direktiivile 95/46/EÜ;

k)	juhul kui kvalifitseeritud usaldusteenuse osutaja väljastab kvalifitseeritud sertifikaate, loob sertifikaatide andmebaasi ja ajakohastab seda.

3. Kui kvalifitseeritud sertifikaate väljastav kvalifitseeritud usaldusteenuse osutaja otsustab sertifikaadi tühistada, registreerib ta tühistamise oma sertifikaatide andmebaasis ning avaldab sertifikaadi tühistatud staatuse aegsasti, ning igal juhul 24 tunni jooksul pärast vastava taotluse saamist. Tühistamine jõustub kohe pärast selle avaldamist.

4. Seoses lõikega 3 annavad kvalifitseeritud sertifikaate väljastavad kvalifitseeritud usaldusteenuse osutajad tuginevatele isikutele teavet nende väljastatud kvalifitseeritud sertifikaatide kehtivus- või tühistamisstaatuse kohta. Kõnealune teave tehakse igal ajal ning pärast sertifikaadi kehtivusaja lõppu vähemalt iga sertifikaadi kohta eraldi kättesaadavaks automaatsel viisil, mis on usaldusväärne, tasuta ja tõhus.

5. Komisjon võib rakendusaktidega kehtestada käesoleva artikli lõike 2 punktides e ja f esitatud nõuetele vastavate usaldusväärsete süsteemide ja toodete standardite viitenumbrid. Kui usaldusväärsed süsteemid ja tooted vastavad kõnealustele standarditele, loetakse need käesolevas artiklis sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

4. JAGU

E-allkirjad

Artikkel 28

E-allkirjade kvalifitseeritud sertifikaadid

1. E-allkirjade kvalifitseeritud sertifikaadid peavad vastama I lisas sätestatud nõuetele.

2. E-allkirjade kvalifitseeritud sertifikaatide suhtes ei kohaldata ühtegi kohustuslikku nõuet, mis ületab I lisas sätestatud nõudeid.

3. E-allkirja kvalifitseeritud sertifikaadid võivad hõlmata mittekohustuslikke täiendavaid eritunnuseid. need tunnused ei mõjuta kvalifitseeritud e-allkirjade koosvõimet ega tunnustamist.

4. Kui e-allkirjade kvalifitseeritud sertifikaat tühistatakse pärast esialgset aktiveerimist, kaotab see alates tühistamise hetkest kehtivuse ega saa oma staatust mingil juhul tagasi.

5. Liikmesriigid võivad järgmistel tingimustel kehtestada siseriiklikud eeskirjad e-allkirja kvalifitseeritud sertifikaatide ajutiseks peatamiseks:

a)	kui e-allkirja kvalifitseeritud sertifikaat on ajutiselt peatatud, on kõnealune sertifikaat peatamise ajavahemikul kehtetu;

b)	peatamise ajavahemik on sertifikaatide andmebaasis selgesti märgitud ja sertifikaatide staatuse kohta teavet andva teenuse kaudu saab peatamise ajavahemikul teavet peatamisstaatuse kohta.

6. Komisjon võib rakendusaktidega kehtestada e-allkirja kvalifitseeritud sertifikaatide standardite viitenumbrid. Kui e-allkirja kvalifitseeritud sertifikaat vastab kõnealustele standarditele, loetakse see I lisas sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 38

E-templi kvalifitseeritud sertifikaadid

1. E-templi kvalifitseeritud sertifikaadid peavad vastama III lisas sätestatud nõuetele.

2. E-templi kvalifitseeritud sertifikaatide suhtes ei kohaldata ühtegi kohustuslikku nõuet, mis ületab III lisas sätestatud nõudeid.

3. E-templi kvalifitseeritud sertifikaadid võivad hõlmata mittekohustuslikke täiendavaid eritunnuseid. need tunnused ei mõjuta kvalifitseeritud e-templite koosvõimet ega tunnustamist.

4. Kui e-templi kvalifitseeritud sertifikaat tühistatakse pärast esialgset aktiveerimist, kaotab see alates tühistamise hetkest kehtivuse ega saa oma staatust mingil juhul tagasi.

5. Liikmesriigid võivad järgmistel tingimustel kehtestada siseriiklikud eeskirjad e-templi kvalifitseeritud sertifikaatide ajutiseks peatamiseks:

a)	kui e-templi kvalifitseeritud sertifikaat on ajutiselt peatatud, on kõnealune sertifikaat peatamise ajavahemikul kehtetu;

b)	peatamise ajavahemik on sertifikaatide andmebaasis selgesti märgitud ja sertifikaatide staatuse kohta teavet andva teenuse kaudu saab peatamise ajavahemikul teavet sertifikaatide staatuse kohta.

6. Komisjon võib rakendusaktidega kehtestada e-templi kvalifitseeritud sertifikaatide standardite viitenumbrid. Kui e-templi kvalifitseeritud sertifikaat vastab kõnealustele standarditele, loetakse see III lisas sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 42

Nõuded kvalifitseeritud e-ajatemplitele

1. Kvalifitseeritud e-ajatempel vastab järgmistele nõuetele:

a)	see seob kuupäeva ja ajahetke andmetega sellisel viisil, mis mõistlikkuse piires välistab andmete tuvastamatu muutmise võimaluse;

b)	see põhineb täpsel ajaallikal, mis on seotud koordineeritud maailmaajaga, ning

c)	see on allkirjastatud kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkirjaga või kinnitatud kvalifitseeritud usaldusteenuse osutaja täiustatud e-templiga või mõne muu samaväärse meetodi abil.

2. Komisjon võib rakendusaktidega kehtestada kuupäeva ja ajahetke andmetega sidumise ja täpsete ajaallikate standardite viitenumbrid. Kui kuupäeva ja ajahetke andmetega sidumine ja täpne ajaallikas vastavad kõnealustele standarditele, loetakse need lõikes 1 sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

7. JAGU

Registreeritud e-andmevahetusteenused

Artikkel 44

Nõuded kvalifitseeritud registreeritud e-andmevahetusteenustele

1. Kvalifitseeritud registreeritud e-andmevahetusteenused peavad vastama järgmistele nõuetele:

a)	neid pakub üks või mitu kvalifitseeritud usaldusteenuse osutajat;

b)	need tagavad saatja väga usaldusväärse identimise;

c)	need tagavad adressaadi identimise enne andmete kättetoimetamist;

d)	andmete saatmine ja kättesaamine on kaitstud kvalifitseeritud usaldusteenuse osutaja pakutava täiustatud e-allkirja või täiustatud e-templiga viisil, mis välistab andmete tuvastamatu muutmise võimaluse;

e)	mis tahes muudatusi andmete saatmiseks või kättesaamiseks vajalikes andmetes näidatakse andmete saatjale ja adressaadile selgesti;

f)	andmete saatmise, kättesaamise ja mis tahes muudatuste tegemise kuupäev ja ajahetk näidatakse kvalifitseeritud e-ajatempliga.

Kui andmeid saadetakse kahe või enama kvalifitseeritud usaldusteenuse osutaja vahel, kohaldatakse punktides a–f osutatud nõudeid kõikide kvalifitseeritud usaldusteenuse osutajate suhtes.

2. Komisjon võib rakendusaktidega kehtestada andmete saatmise ja kättesaamise protsesse käsitlevate standardite viitenumbrid. Kui andmete saatmise ja kättesaamise protsess vastab kõnealustele standarditele, loetakse see lõikes 1 sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

8. JAGU

Veebisaidi autentimine

Artikkel 52

Jõustumine

1. Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

2. Käesolevat määrust kohaldatakse alates 1. juulist 2016, välja arvatud järgmised sätted:

artikli 8 lõiget 3, artikli 9 lõiget 5, artikli 12 lõikeid 2–9, artikli 17 lõiget 8, artikli 19 lõiget 4, artikli 20 lõiget 4, artikli 21 lõiget 4, artikli 22 lõiget 5, artikli 23 lõiget 3, artikli 24 lõiget 5, artikli 27 lõikeid 4 ja 5, artikli 28 lõiget 6, artikli 29 lõiget 2, artikli 30 lõikeid 3 ja 4, artikli 31 lõiget 3, artikli 32 lõiget 3, artikli 33 lõiget 2, artikli 34 lõiget 2, artikli 37 lõikeid 4 ja 5, artikli 38 lõiget 6, artikli 42 lõiget 2, artikli 44 lõiget 2, artikli 45 lõiget 2 ning artikleid 47 ja 48 kohaldatakse alates 17. septembrist 2014;

b)	artiklit 7, artikli 8 lõikeid 1 ja 2, artikleid 9, 10 ja 11 ning artikli 12 lõiget 1 kohaldatakse alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise alguskuupäevast;

c)	artiklit 6 kohaldatakse kolm aastat alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise alguskuupäevast.

3. Kui teadaantud e-identimise süsteem on nimekirjas, mille komisjon avaldab artikli 9 kohaselt enne käesoleva artikli lõike 2 punktis c osutatud kuupäeva, tunnustatakse selle süsteemi kohast e-identimise vahendit vastavalt artiklile 6 hiljemalt 12 kuud pärast vastava süsteemi avaldamist, kuid mitte enne käesoleva artikli lõike 2 punktis c osutatud kuupäeva.

4. Ilma et see piiraks käesoleva artikli lõike 2 punkti c kohaldamist, võib liikmesriik otsustada, et muu liikmesriigi poolt artikli 9 lõike 1 kohaselt teada antud e-identimise süsteemi kohaseid e-identimise vahendeid tunnustatakse esimesena nimetatud liikmesriigis alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise kuupäevast. Asjaomased liikmesriigid teavitavad sellest komisjoni. Komisjon avalikustab nimetatud teabe.

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

Brüssel, 23. juuli 2014

Euroopa Parlamendi nimel

president

M. SCHULZ

Nõukogu nimel

eesistuja

S. GOZI

(1) ELT C 351, 15.11.2012, lk 73.

(2) Euroopa Parlamendi 3. aprilli 2014. aasta seisukoht (Euroopa Liidu Teatajas seni avaldamata) ja nõukogu 23. juuli 2014. aasta otsus.

(3) Euroopa Parlamendi ja nõukogu 13. detsembri 1999. aasta direktiiv 1999/93/EÜ elektroonilisi allkirju käsitleva ühenduse raamistiku kohta (EÜT L 13, 19.1.2000, lk 12).

(4) ELT C 50 E, 21.2.2012, lk 1.

(5) Euroopa Parlamendi ja nõukogu 12. detsembri 2006. aasta direktiiv 2006/123/EÜ teenuste kohta siseturul (ELT L 376, 27.12.2006, lk 36).

(6) Euroopa Parlamendi ja nõukogu 9. märtsi 2011. aasta direktiiv 2011/24/EL patsiendiõiguste kohaldamise kohta piiriüleses tervishoius (ELT L 88, 4.4.2011, lk 45).

(7) Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, 23.11.1995, lk 31).

(8) Nõukogu 26. novembri 2009. aasta otsus 2010/48/EÜ Ühinenud Rahvaste Organisatsiooni puuetega inimeste õiguste konventsiooni sõlmimise kohta Euroopa Ühenduse nimel (ELT L 23, 27.1.2010, lk 35).

(9) Euroopa Parlamendi ja nõukogu 9. juuli 2008. aasta määrus (EÜ) nr 765/2008, millega sätestatakse akrediteerimise ja turujärelevalve nõuded seoses toodete turustamisega ja tunnistatakse kehtetuks määrus (EMÜ) nr 339/93 (ELT L 218, 13.8.2008, lk 30).

(10) Komisjoni 16. oktoobri 2009. aasta otsus 2009/767/EÜ, millega kehtestatakse meetmed elektrooniliste haldustoimingute kasutamise lihtsustamiseks nn ühtsete kontaktpunktide kaudu, mis on sätestatud Euroopa Parlamendi ja nõukogu direktiivis 2006/123/EÜ teenuste kohta siseturul (ELT L 274, 20.10.2009, lk 36).

(11) Komisjoni 25. veebruari 2011. aasta otsus 2011/130/EL, millega kehtestatakse pädevate asutuste poolt elektrooniliselt allkirjastatud dokumentide piiriülese töötlemise miinimumnõuded vastavalt Euroopa Parlamendi ja nõukogu direktiivile 2006/123/EÜ teenuste kohta siseturul (ELT L 53, 26.2.2011, lk 66).

(12) Euroopa Parlamendi ja nõukogu 16. veebruari 2011. aasta määrus (EL) nr 182/2011, millega kehtestatakse eeskirjad ja üldpõhimõtted, mis käsitlevad liikmesriikide läbiviidava kontrolli mehhanisme, mida kohaldatakse komisjoni rakendamisvolituste teostamise suhtes (ELT L 55, 28.2.2011, lk 13).

(13) Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrus (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (EÜT L 8, 12.1.2001, lk 1).

(14) ELT C 28, 30.1.2013, lk 6.

(15) Euroopa Parlamendi ja nõukogu 26. veebruari 2014. aasta direktiiv 2014/24/EL, milles käsitletakse riigihankeid ja millega tunnistatakse kehtetuks direktiiv 2004/18/EÜ (ELT L 94, 28.3.2014, lk 65).

I LISA

NÕUDED E-ALLKIRJA KVALIFITSEERITUD SERTIFIKAATIDELE

E-allkirja kvalifitseeritud sertifikaadid peavad sisaldama järgmist:

a)	vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud e-allkirja kvalifitseeritud sertifikaadina;

kvalifitseeritud sertifikaate väljastava kvalifitseeritud usaldusteenuse osutajat üheselt mõistetavalt tähistavad andmed, mis sisaldavad vähemalt selle liikmesriigi nime, kus kõnealune teenuseosutaja asub, ning

—	kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—	kui tegemist on füüsilise isikuga: isiku nimi;

c)	vähemalt allkirja andja nimi või varjunimi; kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

d)	e-allkirja valideerimisandmed, mis vastavad e-allkirja andmiseks vajalikele andmetele;

e)	üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

f)	kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

g)	väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

h)	koht, kus punktis g osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

i)	nende teenuste koht, mille abil on võimalik uurida kvalifitseeritud sertifikaadi kehtivust;

j)	kui e-allkirja valideerimisandmetega seotud e-allkirja andmiseks vajalikud andmed asuvad kvalifitseeritud e-allkirja andmise vahendis, siis vähemalt automaatseks töötlemiseks sobivas formaadis asjakohane viide kõnealusele kohale.

II LISA

NÕUDED KVALIFITSEERITUD E-ALLKIRJA ANDMISE VAHENDITELE

Kvalifitseeritud e-allkirja andmise vahendid tagavad asjakohaste tehniliste ja menetluslike vahendite abil vähemalt selle, et:

a)	e-allkirja andmiseks kasutatavate e-allkirja andmiseks vajalike andmete konfidentsiaalsus on piisavalt tagatud;

b)	e-allkirja andmiseks kasutatavad e-allkirja andmiseks vajalikud andmed võivad reaalselt esineda ainult ühe korra;

c)	on piisavalt kindel, et e-allkirja andmiseks kasutatavaid e-allkirja andmiseks vajalikke andmeid ei saa tuletada ja et e-allkiri on piisavalt kaitstud praegu kättesaadava tehnoloogia abil võltsimise vastu;

d)	õiguspärane allkirja andja saab e-allkirja andmiseks kasutatavaid e-allkirja andmiseks vajalikke andmeid piisavalt kaitsta, et teised isikud ei saaks neid kasutada.

Kvalifitseeritud e-allkirja andmise vahendid ei tohi muuta allkirjastatavaid andmeid ega takistada selliste andmete esitamist allkirja andjale enne allkirja andmist.

E-allkirja andmiseks vajalikke andmeid võib allkirja andja nimel luua või hallata üksnes kvalifitseeritud usaldusteenuse osutaja.

Ilma et see piiraks punkti 1 alapunkti d kohaldamist, võib kvalifitseeritud usaldusteenuse osutaja, kes haldab e-allkirja andmiseks vajalikke andmeid allkirja andja nimel, dubleerida e-allkirja andmiseks vajalikud andmed üksnes varukoopiate omamiseks, eeldusel et on täidetud järgmised tingimused:

a)	dubleeritud andmekogumi turvatase peab olema sama mis algsel andmekogumil;

b)	dubleeritud andmekogumite arv ei ületa teenuse järjepidevuse tagamiseks vajalikku miinimumi.

III LISA

NÕUDED E-TEMPLITE KVALIFITSEERITUD SERTIFIKAATIDELE

E-templite kvalifitseeritud sertifikaadid peavad sisaldama järgmist:

a)	vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud e-templi kvalifitseeritud sertifikaadina;

—	kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—	kui tegemist on füüsilise isikuga: isiku nimi;

c)	vähemalt e-templi andja nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides;

d)	e-templi valideerimisandmed, mis vastavad e-templi loomiseks vajalikele andmetele;

e)	üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

f)	kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

g)	väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

h)	koht, kus punktis g osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

i)	nende teenuste koht, mille abil on võimalik uurida kvalifitseeritud sertifikaadi kehtivust;

j)	kui e-templi valideerimisandmetega seotud e-templi loomiseks vajalikud andmed asuvad kvalifitseeritud e-templi loomise vahendis, siis vähemalt automaatseks töötlemiseks sobivas formaadis asjakohane viide kõnealusele kohale.

IV LISA

NÕUDED VEEBISAIDI AUTENTIMISE KVALIFITSEERITUD SERTIFIKAATIDELE

Kvalifitseeritud sertifikaadid veebisaidi autentimiseks peavad sisaldama järgmist:

a)	vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud veebisaidi autentimise kvalifitseeritud sertifikaadina;

—	kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—	kui tegemist on füüsilise isikuga: isiku nimi;

kui tegemist on füüsilise isikuga: vähemalt selle isiku nimi või varjunimi, kellele sertifikaat on väljastatud. Kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

kui tegemist on juriidilise isikuga: vähemalt selle juriidilise isiku nimi, kellele sertifikaat on väljastatud, ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides;

d)	selle füüsilise või juriidilise isiku aadressi elemendid, kellele sertifikaat on väljastatud, sealhulgas vähemalt linn ja riik; kui see on asjakohane, siis sellisel kujul, nagu need on esitatud ametlikes dokumentides;

e)	selle domeeni nimi/nende domeenide nimed, mida haldab füüsiline või juriidiline isik, kellele sertifikaat on väljastatud;

f)	üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

g)	kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

h)	väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

i)	koht, kus punktis h osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

j)	nende sertifikaadi kehtivusega seotud teenuste koht, mille abil on võimalik uurida kvalifitseeritud sertifikaadi kehtivust.

whereas

(14) Käesolevas määruses tuleb sätestada mõned tingimused selle kohta, milliseid e-identimise vahendeid peab tunnustama ja kuidas e-identimise süsteemidest peaks teavitama.
need tingimused peaksid aitama liikmesriikidel luua vajalikku usaldust üksteise e-identimise süsteemide vastu ning vastastikku tunnustada e-identimise vahendeid, mis kuuluvad nende teavitatud süsteemidesse.
Vastastikuse tunnustamise põhimõtet tuleks rakendada juhul, kui teavitava liikmesriigi e-identimise süsteem täidab teavitamise tingimusi ja teavitus on avaldatud Euroopa Liidu Teatajas.
Vastastikuse tunnustamise põhimõtet tuleks siiski järgida ainult internetipõhiste teenuste autentimisel.
Juurdepääs kõnealustele internetipõhistele teenustele ja nende lõplik osutamine taotlejale peaksid olema tihedalt seotud õigusega selliseid teenuseid siseriiklikes õigusaktides sätestatud tingimustel tarbida.

- = -

(16) Tagatistasemed peaksid kajastama, mil määral on e-identimise vahend isikusamasuse tuvastamiseks usaldusväärne, andes seega kindluse, et ennast teatud isikuna esitlev isik on tõepoolest isik, kellele need isikuandmed on omistatud.
Tagatistaseme liik sõltub sellest, mil määral on see e-identimise vahend usaldusväärne isiku väidetava või tema poolt kinnitatud isikusamasuse tuvastamiseks, võttes arvesse menetlusi (näiteks isikusamasuse tõendamine ja kontrollimine ning autentimine), haldustegevust (näiteks e-identimise vahendeid väljastav üksus ja selliste vahendite väljastamise menetlus) ja rakendatavat tehnilist kontrolli.
Liidu rahastatud suurprojektide, standardimise ja rahvusvahelise tegevuse tulemusena on koostatud erinevaid tagatistasemete tehnilisi määratlusi ja kirjeldusi.
Suurprojekt STORK ja ISO 29115 osutavad eelkõige muu hulgas tasemetele 2, 3 ja 4, mida tuleks igati arvesse võtta tehniliste miinimumnõuete, standardite ja menetluste kehtestamisel madala, märkimisväärse ja kõrge tagatistaseme jaoks käesoleva määruse tähenduses, tagades samal ajal käesoleva määruse järjekindla kohaldamise eelkõige kõrge tagatistaseme puhul, mis on seotud isikusamasuse tõendamisega kvalifitseeritud sertifikaatide väljastamisel.
Kehtestatavad tingimused peaksid olema tehnoloogiliselt neutraalsed.
Vajalikke turvanõudeid peaks olema võimalik saavutada erinevate tehnoloogiate abil.

- = -

(19) E-identimise süsteemide turvalisus on põhitegur e-identimise süsteemide usaldusväärseks piiriüleseks vastastikuseks tunnustamiseks.
Seoses sellega peaksid liikmesriigid tegema liidu tasandil koostööd e-identimise süsteemide koosvõime ja turvalisuse küsimustes.
Juhul kui e-identimise süsteemid võivad nõuda tuginevatelt isikutelt teatava riist- või tarkvara kasutamist riigi tasandil, eeldab piiriülene koosvõime, et nimetatud liikmesriigid ei kehtestaks selliseid nõudeid väljaspool tema territooriumi asuvatele tuginevatele isikutele ega nõuaks nendega seonduvate kulude katmist.
Sellisel juhul tuleks sobivaid lahendusi arutada ja need välja töötada koosvõime raamistiku piires.
Teisalt ei ole võimalik vältida tehnilisi nõudeid, mis tulenevad riigisiseste e-identimise vahendite tehnilisest kirjeldusest ja mis tõenäoliselt mõjutavad selliste elektrooniliste vahendite (nt kiipkaardid) kasutajaid.

- = -

(21) Käesoleva määrusega tuleks luua ka üldine õigusraamistik usaldusteenuste kasutamiseks.
Määrusega ei tuleks siiski kehtestada üldist kohustust neid teenuseid kasutada või rajada juurdepääsupunkt kõigi olemasolevate usaldusteenuste jaoks.
Eelkõige ei peaks määrus hõlmama selliste teenuste osutamist, mida kindlaksmääratud hulk osalejaid kasutab eranditult suletud süsteemides ning mis ei mõjuta kolmandaid isikuid.
Näiteks ei tuleks käesoleva määruse nõudeid kohaldada ettevõtete või avaliku halduse asutustes usaldusteenuseid kasutavate sisemenetluste haldamiseks loodud süsteemide suhtes.
Käesolevas määruses sätestatud nõuetele peaksid vastama üksnes need üldsusele osutatavad usaldusteenused, mis mõjutavad kolmandaid isikuid.
Samuti ei peaks käesolev määrus hõlmama lepingute sõlmimise ja kehtivuse või muude juriidiliste kohustuste tekkimise ja kehtivusega seotud aspekte, juhul kui vorminõuded on sätestatud siseriiklikus või liidu õiguses.
Samuti ei peaks käesolev määrus mõjutama siseriiklikke vorminõudeid avalike registrite, eelkõige äriregistri ja kinnistusraamatu kohta.

- = -

(46) Usaldusnimekirjad on turu korraldajate vahelise usalduse loomisel väga olulised, sest need näitavad teenuseosutaja kvalifitseeritud staatust järelevalve ajal.

- = -

(55) Rahvusvahelistel standarditel põhinev infotehnoloogia turvasertifitseerimine (näiteks ISO 15408 ja seonduvad hindamismeetodid ja vastastikuse tunnustamise kord) on oluline kvalifitseeritud e-allkirja andmise vahendi turvalisuse verifitseerimise vahend ja selle kasutamist tuleks edendada.
Innovaatilised lahendused ja teenused, näiteks allkirja andmine mobiiltelefoniga ja pilvepõhiselt, tuginevad aga kvalifitseeritud allkirja andmise vahenditega seotud tehnilistele ja organisatoorsetele lahendustele, millele ei pruugi veel turvastandardit olla või mille esmane infotehnoloogia turvasertifitseerimine on pooleli.
Kvalifitseeritud e-allkirja andmise vahendite turvalisuse taset võiks hinnata alternatiivsete protsesside abil üksnes juhul, kui turvastandardit ei ole või kui esmane infotehnoloogia turvasertifitseerimine on pooleli.
need protsessid peaksid olema võrreldavad infotehnoloogia turvasertifitseerimise standarditega, kui tegu on samaväärsete turvatasemetega.
Selliste protsesside juures võiks olla kasu vastastikusest hindamisest.

- = -

(57) Allkirja kehtivusega seotud õiguskindluse tagamiseks on väga oluline täpsustada, milliseid kvalifitseeritud e-allkirja osi peaks valideeriv tuginev isik hindama.
Lisaks peaks selliste nõuete määratlemine, mida esitatakse kvalifitseeritud usaldusteenuse osutajatele, kes võivad osutada kvalifitseeritud valideerimisteenust tuginevatele isikutele, kes ei soovi või ei saa ise kvalifitseeritud e-allkirju valideerida, innustama era- ja avalikku sektorit sellistesse teenustesse investeerima.
need mõlemad asjaolud peaksid muutma kvalifitseeritud e-allkirjade valideerimise liidu tasandil lihtsaks ja mugavaks kõigile osalistele.

- = -

keyboard_tab EIDAS 2014/0910 ET

EIDAS 2014/0910 ET