keyboard_tab EIDAS 2014/0910 ET

whereas teavitab:

definitions:

Artikkel 10

Turvarikkumine

1.   Kui artikli 9 lõike 1 kohaselt teavitatud e-identimise süsteemi või artikli 7 punktis f osutatud autentimist rikutakse või see on osaliselt ohustatud viisil, mis mõjutab selle süsteemi piiriülese autentimise usaldusväärsust, peatab või tühistab teavitav liikmesriik viivitamata selle piiriülese autentimise või asjaomaste ohustatud osade toimimise ning teavitab sellest teisi liikmesriike ja komisjoni.

2.   Pärast lõikes 1 osutatud rikkumise või ohu kõrvaldamist taastab teavitav liikmesriik piiriülese autentimise ning teavitab sellest ilma põhjendamatu viivituseta teisi liikmesriike ja komisjoni.

3.   Kui lõikes 1 osutatud rikkumist või ohtu ei kõrvaldata kolme kuu jooksul alates peatamisest või tühistamisest, teatab teavitav liikmesriik e-identimise süsteemi kasutamise lõpetamisest teistele liikmesriikidele ja komisjonile.

Komisjon avaldab põhjendamatu viivituseta Euroopa Liidu Teatajas artikli 9 lõikes 2 osutatud nimekirjas tehtud muudatused.

Artikkel 19

Usaldusteenuse osutajate suhtes kohaldatavad turvanõuded

1.   Kvalifitseeritud ja kvalifitseerimata usaldusteenuse osutajad võtavad asjakohased tehnilised ja korralduslikud meetmed, et ohjata nende osutatavate usaldusteenuste turvalisusega seotud riske. Tehnoloogia viimaseid arenguid arvesse võttes tagatakse nende meetmetega riski astmele vastav turvalisuse tase. Eelkõige võetakse meetmeid turvaintsidentide vältimiseks ja nende mõju minimeerimiseks ning sidusrühmade teavitamiseks intsidentide kahjulikust mõjust.

2.   Kvalifitseeritud ja kvalifitseerimata usaldusteenuse osutajad teavitavad järelevalveasutust ning vajaduse korral teisi asjakohaseid asutusi, nagu infoturbe eest vastutav pädev riiklik asutus või andmekaitseasutus, igast turvarikkumisest või tervikluse kaost, millel on märkimisväärne mõju osutatavale usaldusteenusele või selles sisalduvatele isikuandmetele, tehes seda põhjendamatu viivituseta, ent igal juhul 24 tunni jooksul pärast sellest teadasaamist.

Kui turvarikkumisel või tervikluse kaol on tõenäoliselt kahjulik mõju füüsilisele või juriidilisele isikule, kellele usaldusteenus on osutatud, teavitab usaldusteenuse osutaja põhjendamatu viivituseta ka füüsilist või juriidilist isikut turvarikkumisest või tervikluse kaost.

Kui see on asjakohane ja eelkõige juhul, kui turvarikkumine või tervikluse kadu hõlmab kahte või enamat liikmesriiki, teavitab teavitatud järelevalveasutus teiste asjaomaste liikmesriikide järelevalveasutusi ning ENISA-t.

Kui teavitatud järelevalveasutus leiab, et turvarikkumise või tervikluse kao avalikustamine on avalikes huvides, teavitab ta üldsust või nõuab üldsuse teavitamist asjaomaselt usaldusteenuse osutajalt.

3.   Järelevalveasutus esitab ENISA-le kord aastas kokkuvõtte usaldusteenuse osutajatelt saadud turvarikkumise või tervikluse kao teadetest.

4.   Komisjon võib rakendusaktidega:

a)	täpsustada lähemalt lõikes 1 osutatud meetmeid ning

b)	määrata kindlaks lõike 2 kohaldamisega seotud formaadid ja menetlused, sealhulgas tähtajad.

Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

3.   JAGU

Kvalifitseeritud usaldusteenus

Artikkel 20

Kvalifitseeritud usaldusteenuse osutajate järelevalve

1.   Vastavushindamisasutus auditeerib kvalifitseeritud usaldusteenuse osutajaid nende oma kulul vähemalt iga 24 kuu järel. Auditi eesmärk on saada kinnitust, et kvalifitseeritud usaldusteenuse osutajad ja nende osutatavad kvalifitseeritud usaldusteenused vastavad käesolevas määruses sätestatud nõuetele. Kvalifitseeritud usaldusteenuse osutaja esitavad vastavushindamisaruande järelevalveasutusele kolme tööpäeva pikkuse jooksul alates selle saamisest.

2.   Ilma et see piiraks lõike 1 kohaldamist, võib järelevalveasutus kvalifitseeritud usaldusteenuse osutajaid igal ajal auditeerida või nõuda, et vastavushindamisasutus teostaks kvalifitseeritud usaldusteenuse osutajate vastavushindamise nende kvalifitseeritud usaldusteenuse osutajate kulul kinnituse saamiseks, et kõnealused kvalifitseeritud usaldusteenuse osutajad ja nende osutatavad kvalifitseeritud usaldusteenused vastavad käesolevas määruses sätestatud nõuetele. Kui isikuandmete kaitse eeskirju on ilmselt rikutud, teavitab järelevalveasutus auditite tulemustest andmekaitseasutusi.

3.   Kui järelevalveasutus nõuab, et kvalifitseeritud usaldusteenuse osutaja heastaks käesolevas määruses sätestatud nõuete täitmata jätmise, kuid asjaomane teenuseosutaja ei tee seda, ning järelevalveasutuse seatud ajavahemiku jooksul (kui see on kohaldatav), võib järelevalveasutus eelkõige asjaomase rikkumise ulatust, kestust ja tagajärgi arvestades võtta sellelt teenuseosutajalt või tema osutatavalt asjaomaselt teenuselt kvalifitseeritud staatuse ning teavitada artikli 22 lõikes 3 osutatud asutust artikli 22 lõikes 1 osutatud usaldusnimekirjade ajakohastamise eesmärgil. Järelevalveasutus teavitab kvalifitseeritud usaldusteenuse osutajat temalt kvalifitseeritud staatuse või asjaomaselt teenuselt kvalifitseeritud staatuse äravõtmisest.

4.   Komisjon võib rakendusaktidega kehtestada järgmiste standardite viitenumbri:

a)	standardid vastavushindamisasutuste akrediteerimise ja lõikes 1 osutatud vastavushindamisaruande jaoks;

b)	standardid auditeerimiseeskirjade kohta, mille alusel vastavushindamisasutused hindavad kvalifitseeritud usaldusteenuse osutajate nõuetele vastavust, nagu on osutatud lõikes 1.

Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 21

Kvalifitseeritud usaldusteenuse osutamise alustamine

1.   Kui usaldusteenuse osutajad, kellel ei ole kvalifitseeritud staatust, kavatsevad alustada kvalifitseeritud usaldusteenuse osutamist, esitavad nad järelevalveasutusele teate oma kavatsusest ja vastavushindamisasutuse koostatud vastavushindamisaruande.

2.   Järelevalveasutus kontrollib usaldusteenuse osutaja ja tema osutatavate usaldusteenuste vastavust käesolevas määruses sätestatud nõuetele ning eelkõige kvalifitseeritud usaldusteenuse osutajatele ja nende osutatavatele kvalifitseeritud usaldusteenustele ette nähtud nõuetele.

Kui järelevalveasutus leiab, et usaldusteenuse osutaja ja tema osutatavad teenused vastavad esimeses lõigus osutatud nõuetele, annab järelevalveasutus usaldusteenuse osutajale ja tema osutatavatele usaldusteenustele kvalifitseeritud staatuse ning teavitab artikli 22 lõikes 3 osutatud asutust artikli 22 lõikes 1 osutatud usaldusnimekirjade ajakohastamise eesmärgil hiljemalt kolm kuud pärast käesoleva artikli lõike 1 kohast teavitamist.

Kui kontrolli ei ole kolme kuu jooksul alates teavitamisest lõpule viidud, teavitab järelevalveasutus usaldusteenuse osutajat viivituse põhjustest ja ajavahemikust, mille jooksul kontroll lõpule viiakse.

3.   Kvalifitseeritud usaldusteenuse osutaja võib alustada kvalifitseeritud usaldusteenuse osutamist, kui kvalifitseeritud staatus on kantud artikli 22 lõikes 1 osutatud usaldusnimekirjadesse.

4.   Komisjon võib rakendusaktidega kindlaks määrata lõigete 1 ja 2 kohaldamisega seotud formaadid ja menetlused. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 24

Nõuded kvalifitseeritud usaldusteenuse osutajatele

1.   Usaldusteenusele kvalifitseeritud sertifikaati väljastades kontrollib kvalifitseeritud usaldusteenuse osutaja asjakohaste vahenditega ja siseriikliku õiguse kohaselt selle füüsilise või juriidilise isiku identiteeti, kellele kvalifitseeritud sertifikaat väljastatakse, ja vajaduse korral tema eritunnuseid.

Kvalifitseeritud usaldusteenuse osutaja kontrollib esimeses lõigus osutatud teavet siseriikliku õiguse kohaselt kas otse või kolmandale isikule tuginedes. Kontrollimine toimub ühel järgmisel moel:

a)	füüsilise isiku või juriidilise isiku volitatud esindaja füüsilise kohaloleku alusel või

b)

kaughindamise teel, kasutades e-identimise vahendeid, mille puhul enne kvalifitseeritud sertifikaadi väljastamist tagati füüsilise isiku või juriidilise isiku volitatud esindaja füüsiline kohalolek ja mis vastavad artiklis 8 kehtestatud nõuetele seoses märkimisväärse või kõrge usaldusväärsuse tasemega, või

c)	kooskõlas punktiga a või b väljastatud kvalifitseeritud e-allkirja või kvalifitseeritud e-templi sertifikaadi abil või

d)	kasutades muid riiklikul tasandil tunnustatud identimismeetodeid, mis tagavad füüsilise kohalolekuga samaväärse usaldusväärsuse. Nimetatud samaväärne usaldusväärsus peab olema vastavushindamisasutuse poolt kinnitatud.

2.   Kvalifitseeritud usaldusteenuseid osutav kvalifitseeritud usaldusteenuse osutaja:

a)	teavitab järelevalveasutust muutusest oma kvalifitseeritud usaldusteenuste osutamises ja kavatsusest kõnealune tegevus lõpetada;

b)

võtab tööle personali ja vajaduse korral alltöövõtjad, kellel on vajalik pädevus, usaldusväärsus, kogemus ja kvalifikatsioon ning kes on saanud turva- ja isikuandmete kaitse eeskirjade alal asjakohase koolituse ja rakendavad Euroopa või rahvusvahelistele standarditele vastavaid haldus- ja juhtimismenetlusi;

c)	seoses artikli 13 kohase vastutusega võimalike kahjude eest omab piisavat hulka rahalisi vahendeid ja/või sõlmib asjakohase vastutuskindlustuse kooskõlas siseriikliku õigusega;

d)	teavitab enne lepingu sõlmimist kõiki kvalifitseeritud usaldusteenust kasutada soovivaid isikuid selgelt ja põhjalikult kõnealuse teenuse kasutamise täpsetest tingimustest, sealhulgas kõigist selle kasutamise piirangutest;

e)	kasutab usaldusväärseid süsteeme ja tooteid, mis on kaitstud muutmise eest, ja tagab nende toetatavate toimingute tehnilise turvalisuse ja usaldusväärsuse;

f)

kasutab usaldusväärseid süsteeme talle esitatud andmete säilitamiseks ehtsuse tõendamist võimaldavas formaadis nii, et: i) need on otsingutes avalikult kättesaadavad üksnes siis, kui isik, kellega andmed on seotud, on andnud selleks nõusoleku, ii) säilitatud andmeid saavad sisestada ja muuta üksnes selleks volitatud isikud, iii) on võimalik kindlaks teha, kas andmed on ehtsad;

g)	võtab asjakohaseid meetmeid andmete võltsimise ja varguse vastu;

h)

salvestab ja hoiavad kättesaadavana sobiva tähtaja jooksul, sealhulgas pärast seda, kui kvalifitseeritud usaldusteenuse osutaja on tegevuse lõpetanud, kogu asjakohase teabe kvalifitseeritud usaldusteenuse osutaja väljastatud ja saadud andmete kohta, eelkõige tõendina kasutamiseks kohtumenetlustes ja selleks, et tagada teenuse järjepidevus. Sellised andmed võib salvestada elektrooniliselt;

i)	omab teenuse järjepidevuse tagamiseks ajakohast tegevuse lõpetamise kava, mis vastab järelevalveasutuse poolt artikli 17 lõike 4 punkti i kohaselt kontrollitud sätetele;

j)	tagab isikuandmete seadusliku töötlemise vastavalt direktiivile 95/46/EÜ;

k)	juhul kui kvalifitseeritud usaldusteenuse osutaja väljastab kvalifitseeritud sertifikaate, loob sertifikaatide andmebaasi ja ajakohastab seda.

3.   Kui kvalifitseeritud sertifikaate väljastav kvalifitseeritud usaldusteenuse osutaja otsustab sertifikaadi tühistada, registreerib ta tühistamise oma sertifikaatide andmebaasis ning avaldab sertifikaadi tühistatud staatuse aegsasti, ning igal juhul 24 tunni jooksul pärast vastava taotluse saamist. Tühistamine jõustub kohe pärast selle avaldamist.

4.   Seoses lõikega 3 annavad kvalifitseeritud sertifikaate väljastavad kvalifitseeritud usaldusteenuse osutajad tuginevatele isikutele teavet nende väljastatud kvalifitseeritud sertifikaatide kehtivus- või tühistamisstaatuse kohta. Kõnealune teave tehakse igal ajal ning pärast sertifikaadi kehtivusaja lõppu vähemalt iga sertifikaadi kohta eraldi kättesaadavaks automaatsel viisil, mis on usaldusväärne, tasuta ja tõhus.

5.   Komisjon võib rakendusaktidega kehtestada käesoleva artikli lõike 2 punktides e ja f esitatud nõuetele vastavate usaldusväärsete süsteemide ja toodete standardite viitenumbrid. Kui usaldusväärsed süsteemid ja tooted vastavad kõnealustele standarditele, loetakse need käesolevas artiklis sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

4.   JAGU

E-allkirjad