keyboard_tab EIDAS 2014/0910 FI

whereas soveltamiseen:

definitions:

19 artikla

Luottamuspalvelun tarjoajiin sovellettavat tietoturvavaatimukset

1.   Hyväksyttyjen ja ei-hyväksyttyjen luottamuspalvelun tarjoajien on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet hallitakseen tarjoamiensa luottamuspalvelujen tietoturvaan kohdistuvat riskit. Näillä toimenpiteillä on voitava varmistaa riskiin suhteutettu tietoturvataso, ottaen huomioon uusin tekninen kehitys. Erityisesti on toteutettava toimenpiteet tietoturvapoikkeamien vaikutusten ehkäisemiseksi ja minimoimiseksi sekä tällaisten mahdollisten poikkeamien haittavaikutusten ilmoittamiseksi sidosryhmille.

2.   Hyväksyttyjen ja ei-hyväksyttyjen luottamuspalvelun tarjoajien on ilman aiheetonta viivytystä mutta joka tapauksessa 24 tunnin kuluessa siitä, kun asia on tullut niiden tietoon, ilmoitettava valvontaelimelle ja tarvittaessa muille asianomaisille elimille, kuten toimivaltaiselle tietoturvasta vastaavalle kansalliselle elimelle tai tietosuojaviranomaiselle, kaikista tietoturvaloukkauksista ja eheyden menetyksistä, joilla on huomattavia vaikutuksia tarjottuun luottamuspalveluun tai sen puitteissa ylläpidettyihin henkilötietoihin.

Jos on todennäköistä, että tietoturvaloukkaus tai eheyden menetys vaikuttaa haitallisesti luonnolliseen henkilöön tai oikeushenkilöön, jolle luottamuspalvelu on tarjottu, luottamuspalvelun tarjoajan on myös tiedotettava luonnolliselle henkilölle tai oikeushenkilölle tietoturvaloukkauksesta tai eheyden menetyksestä ilman aiheetonta viivytystä.

Tarvittaessa ja erityisesti silloin, kun tietoturvaloukkaus tai eheyden menetys koskee kahta tai useampaa jäsenvaltiota, ilmoitetun valvontaelimen on tiedotettava asiasta muiden asianomaisten jäsenvaltioiden valvontaelimille ja ENISAlle.

Ilmoitetun valvontaelimen on tiedotettava asiasta yleisölle tai vaadittava luottamuspalvelun tarjoajaa tiedottamaan siitä, jos se katsoo, että tietoturvaloukkauksen tai eheyden menetyksen julkistaminen on yleisen edun mukaista.

3.   Valvontaelimen on toimitettava ENISAlle kerran vuodessa tiivistelmä luottamuspalvelun tarjoajilta saamistaan tietoturvaloukkausta tai eheyden menetystä koskevista ilmoituksista.

4.   Komissio voi täytäntöönpanosäädöksillä:

a)	määrittää 1 kohdassa tarkoitetut toimenpiteet tarkemmin; ja

b)	määritellä 2 kohdan soveltamiseen liittyvät muotoseikat ja menettelyt, mukaan lukien määräajat.

Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

3   JAKSO

Hyväksytyt luottamuspalvelut

21 artikla

Hyväksytyn luottamuspalvelun aloittaminen

1.   Jos luottamuspalvelun tarjoajat, joilla ei ole hyväksyttyä asemaa, aikovat tarjota hyväksyttyjä luottamuspalveluja, niiden on toimitettava valvontaelimelle ilmoitus aikomuksestaan yhdessä vaatimustenmukaisuuden arviointilaitoksen myöntämän vaatimustenmukaisuuden arviointikertomuksen kanssa.

2.   Valvontaelin tarkastaa, täyttävätkö luottamuspalvelun tarjoaja ja sen tarjoamat luottamuspalvelut tässä asetuksessa säädetyt vaatimukset ja erityisesti hyväksyttyjä luottamuspalvelun tarjoajia ja niiden tarjoamia hyväksyttyjä luottamuspalveluja koskevat vaatimukset.

Jos valvontaelin päättää, että luottamuspalvelun tarjoaja ja sen tarjoamat luottamuspalvelut täyttävät ensimmäisessä alakohdassa tarkoitetut vaatimukset, valvontaelimen on myönnettävä luottamuspalvelun tarjoajalle ja sen tarjoamille luottamuspalveluille hyväksytty asema sekä ilmoitettava asiasta 22 artiklan 3 kohdassa tarkoitetulle elimelle 22 artiklan 1 kohdassa tarkoitettujen luotettujen luetteloiden ajan tasalle saattamista varten viimeistään kolmen kuukauden kuluttua tämän artiklan 1 kohdan mukaisesta ilmoituksesta.

Jos tarkastusta ei saada päätökseen kolmen kuukauden kuluessa ilmoituksesta, valvontaelimen on ilmoitettava asiasta luottamuspalvelun tarjoajalle ja yksilöitävä viivästyksen syyt ja ajanjakso, jonka aikana tarkastus on saatava päätökseen.

3.   Hyväksytyt luottamuspalvelun tarjoajat voivat ryhtyä tarjoamaan hyväksyttyä luottamuspalvelua sen jälkeen kun hyväksytty asema on merkitty 22 artiklan 1 kohdassa tarkoitettuihin luotettuihin luetteloihin.

4.   Komissio voi täytäntöönpanosäädöksillä määritellä 1 ja 2 kohdan soveltamiseen liittyvät muotoseikat ja menettelyt. Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

22 artikla

Luotetut luettelot

1.   Kunkin jäsenvaltion on laadittava, ylläpidettävä ja julkaistava luotettuja luetteloja, jotka sisältävät tietoa niiden vastuulle kuuluvista hyväksytyistä luottamuspalvelun tarjoajista ja niiden tarjoamista hyväksytyistä luottamuspalveluista.

2.   Jäsenvaltioiden on laadittava, ylläpidettävä ja julkaistava suojatusti 1 kohdassa tarkoitetut sähköisesti allekirjoitetut tai leimatut luotetut luettelot muodossa, joka soveltuu automaattiseen käsittelyyn.

3.   Jäsenvaltioiden on ilman aiheetonta viivytystä ilmoitettava komissiolle tiedot kansallisten luotettujen luettelojen laatimisesta, ylläpitämisestä ja julkaisemisesta vastaavasta elimestä sekä yksityiskohtaiset tiedot tällaisten luettelojen julkaisupaikasta, luotettujen luettelojen allekirjoittamisessa tai leimaamisessa käytetyistä varmenteista ja niiden tietojen mahdollisista muutoksista.

4.   Komissio asettaa julkisesti saataville suojatusti 3 kohdassa tarkoitetut tiedot sähköisesti allekirjoitetussa tai leimatussa muodossa, joka soveltuu automaattiseen käsittelyyn.

5.   Komissio täsmentää viimeistään 18 päivänä syyskuuta 2015 täytäntöönpanosäädöksillä 1 kohdassa tarkoitetut tiedot ja määrittelee 1–4 kohdan soveltamiseen liittyvät luotettujen luetteloiden tekniset eritelmät ja muotoseikat. Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

31 artikla

Sertifioitujen hyväksyttyjen sähköisen allekirjoituksen luontivälineiden luettelon julkaiseminen

1.   Jäsenvaltioiden on ilman aiheetonta viivytystä ja viimeistään kuukauden kuluttua sertifioinnin saattamisesta päätökseen ilmoitettava komissiolle tiedot 30 artiklan 1 kohdassa tarkoitettujen tahojen sertifioimista hyväksytyistä sähköisen allekirjoituksen luontivälineistä. Niiden on ilman aiheetonta viivytystä ja viimeistään kuukauden kuluttua sertifioinnin peruuttamisesta ilmoitettava komissiolle myös tiedot sähköisen allekirjoituksen luontivälineistä, joita ei enää sertifioida.

2.   Saamiensa tietojen perusteella komissio laatii ja julkaisee luettelon sertifioiduista hyväksytyistä sähköisen allekirjoituksen luontivälineistä sekä ylläpitää sitä.

3.   Komissio voi täytäntöönpanosäädöksillä määritellä 1 kohdan soveltamiseen liittyvät muotoseikat ja menettelyt. Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.