keyboard_tab EIDAS 2014/0910 FI

whereas tekniset:

• whereas (16) 1
• whereas (29) 1
• whereas (72) 1

definitions:

8 artikla

Sähköisen tunnistamisen järjestelmien varmuustasot

1.   Sähköisen tunnistamisen järjestelmässä, joka on ilmoitettu 9 artiklan 1 kohdan nojalla, on kyseisen järjestelmän puitteissa myönnettyjen sähköisen tunnistamisen menetelmien osalta määritettävä matala, korotettu ja/tai korkea varmuustaso.

2.   Matalan, korotetun ja korkean varmuustason on oltava seuraavien kriteerien mukaisia:

a)

matala varmuustaso tarkoittaa sähköisen tunnistamisen järjestelmän yhteydessä sähköisen tunnistamisen menetelmää, joka tarjoaa rajallisen luottamustason henkilön väitetyn tai esitetyn henkilöllisyyden osalta ja jota luonnehditaan suhteessa siihen liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin sekä teknisiin tarkastuksiin, joiden tarkoituksena on vähentää henkilöllisyyden väärinkäytön tai muuttamisen riskiä;

b)

korotettu varmuustaso tarkoittaa sähköisen tunnistamisen järjestelmän yhteydessä sähköisen tunnistamisen menetelmää, joka tarjoaa merkittävän luottamustason henkilön väitetyn tai esitetyn henkilöllisyyden osalta ja jota luonnehditaan suhteessa siihen liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin sekä teknisiin tarkastuksiin, joiden tarkoituksena on vähentää merkittävässä määrin henkilöllisyyden väärinkäytön tai muuttamisen riskiä;

c)

korkea varmuustaso tarkoittaa sähköisen tunnistamisen järjestelmän yhteydessä sähköisen tunnistamisen menetelmää, joka tarjoaa korkeamman luottamustason henkilön väitetyn tai esitetyn henkilöllisyyden osalta kuin korotetun varmuustason omaava sähköisen tunnistamisen menetelmä ja jota luonnehditaan suhteessa siihen liittyviin teknisiin eritelmiin, standardeihin ja menettelyihin sekä teknisiin tarkastuksiin, joiden tarkoituksena on estää henkilöllisyyden väärinkäyttö tai muuttaminen.

3.   Asianmukaiset kansainväliset standardit huomioon ottaen ja jollei 2 kohdasta muuta johdu, komissio vahvistaa viimeistään 18 päivänä syyskuuta 2015 täytäntöönpanosäädöksillä tekniset vähimmäiseritelmät, -standardit ja -menettelyt; sähköisen tunnistamisen menetelmien matala, korotettu ja korkea varmuustaso määritellään 1 kohdan soveltamiseksi suhteessa niihin.

Nämä tekniset vähimmäiseritelmät, -standardit ja -menettelyt laaditaan ottaen huomioon seuraavien osatekijöiden luotettavuus ja laatu:

a)	menettely sellaisten luonnollisten henkilöiden ja oikeushenkilöiden henkilöllisyyden todistamiseksi ja todentamiseksi, jotka hakevat sähköisen tunnistamisen menetelmien myöntämistä;

b)	myöntämismenettely haetuille sähköisen tunnistamisen menetelmille;

c)	todentamismekanismi, jolla luonnollinen henkilö tai oikeushenkilö käyttää sähköisen tunnistamisen menetelmää vahvistaakseen henkilöllisyytensä luottavalle osapuolelle;

d)	toimija, joka myöntää sähköisen tunnistamisen menetelmiä;

e)	muu elin, joka osallistuu hakemukseen sähköisen tunnistamisen menetelmien myöntämiseksi; ja

f)	myönnettyjen sähköisen tunnistamisen menetelmien tekniset eritelmät ja turvaominaisuudet.

Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

19 artikla

Luottamuspalvelun tarjoajiin sovellettavat tietoturvavaatimukset

1.   Hyväksyttyjen ja ei-hyväksyttyjen luottamuspalvelun tarjoajien on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet hallitakseen tarjoamiensa luottamuspalvelujen tietoturvaan kohdistuvat riskit. Näillä toimenpiteillä on voitava varmistaa riskiin suhteutettu tietoturvataso, ottaen huomioon uusin tekninen kehitys. Erityisesti on toteutettava toimenpiteet tietoturvapoikkeamien vaikutusten ehkäisemiseksi ja minimoimiseksi sekä tällaisten mahdollisten poikkeamien haittavaikutusten ilmoittamiseksi sidosryhmille.

2.   Hyväksyttyjen ja ei-hyväksyttyjen luottamuspalvelun tarjoajien on ilman aiheetonta viivytystä mutta joka tapauksessa 24 tunnin kuluessa siitä, kun asia on tullut niiden tietoon, ilmoitettava valvontaelimelle ja tarvittaessa muille asianomaisille elimille, kuten toimivaltaiselle tietoturvasta vastaavalle kansalliselle elimelle tai tietosuojaviranomaiselle, kaikista tietoturvaloukkauksista ja eheyden menetyksistä, joilla on huomattavia vaikutuksia tarjottuun luottamuspalveluun tai sen puitteissa ylläpidettyihin henkilötietoihin.

Jos on todennäköistä, että tietoturvaloukkaus tai eheyden menetys vaikuttaa haitallisesti luonnolliseen henkilöön tai oikeushenkilöön, jolle luottamuspalvelu on tarjottu, luottamuspalvelun tarjoajan on myös tiedotettava luonnolliselle henkilölle tai oikeushenkilölle tietoturvaloukkauksesta tai eheyden menetyksestä ilman aiheetonta viivytystä.

Tarvittaessa ja erityisesti silloin, kun tietoturvaloukkaus tai eheyden menetys koskee kahta tai useampaa jäsenvaltiota, ilmoitetun valvontaelimen on tiedotettava asiasta muiden asianomaisten jäsenvaltioiden valvontaelimille ja ENISAlle.

Ilmoitetun valvontaelimen on tiedotettava asiasta yleisölle tai vaadittava luottamuspalvelun tarjoajaa tiedottamaan siitä, jos se katsoo, että tietoturvaloukkauksen tai eheyden menetyksen julkistaminen on yleisen edun mukaista.

3.   Valvontaelimen on toimitettava ENISAlle kerran vuodessa tiivistelmä luottamuspalvelun tarjoajilta saamistaan tietoturvaloukkausta tai eheyden menetystä koskevista ilmoituksista.

4.   Komissio voi täytäntöönpanosäädöksillä:

a)	määrittää 1 kohdassa tarkoitetut toimenpiteet tarkemmin; ja

b)	määritellä 2 kohdan soveltamiseen liittyvät muotoseikat ja menettelyt, mukaan lukien määräajat.

Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

3   JAKSO

Hyväksytyt luottamuspalvelut

22 artikla

Luotetut luettelot

1.   Kunkin jäsenvaltion on laadittava, ylläpidettävä ja julkaistava luotettuja luetteloja, jotka sisältävät tietoa niiden vastuulle kuuluvista hyväksytyistä luottamuspalvelun tarjoajista ja niiden tarjoamista hyväksytyistä luottamuspalveluista.

2.   Jäsenvaltioiden on laadittava, ylläpidettävä ja julkaistava suojatusti 1 kohdassa tarkoitetut sähköisesti allekirjoitetut tai leimatut luotetut luettelot muodossa, joka soveltuu automaattiseen käsittelyyn.

3.   Jäsenvaltioiden on ilman aiheetonta viivytystä ilmoitettava komissiolle tiedot kansallisten luotettujen luettelojen laatimisesta, ylläpitämisestä ja julkaisemisesta vastaavasta elimestä sekä yksityiskohtaiset tiedot tällaisten luettelojen julkaisupaikasta, luotettujen luettelojen allekirjoittamisessa tai leimaamisessa käytetyistä varmenteista ja niiden tietojen mahdollisista muutoksista.

4.   Komissio asettaa julkisesti saataville suojatusti 3 kohdassa tarkoitetut tiedot sähköisesti allekirjoitetussa tai leimatussa muodossa, joka soveltuu automaattiseen käsittelyyn.

5.   Komissio täsmentää viimeistään 18 päivänä syyskuuta 2015 täytäntöönpanosäädöksillä 1 kohdassa tarkoitetut tiedot ja määrittelee 1–4 kohdan soveltamiseen liittyvät luotettujen luetteloiden tekniset eritelmät ja muotoseikat. Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.