keyboard_tab EIDAS 2014/0910 HR
BG CS DA DE EL EN ES ET FI FR GA HR HU IT LV LT MT NL PL PT RO SK SL SV print pdf
- 1 Članak 7. Prihvatljivost sustava elektroničke identifikacije za prijavu
- 2 Članak 8. Razine sigurnosti sustava elektroničke identifikacije
- 3 Članak 9. Prijavljivanje
- 2 Članak 12. Suradnja i interoperabilnost
- 7 Članak 17. Nadzorno tijelo
- 2 Članak 18. Uzajamna pomoć
- 2 Članak 19. Sigurnosni zahtjevi primjenjivi na pružatelje usluga povjerenja
- 2 Članak 20. Nadzor kvalificiranih pružatelja usluga povjerenja
- 2 Članak 21. Početak pružanja kvalificirane usluge povjerenja
- 1 Članak 22. Pouzdani popisi
- 2 Članak 23. EU znak pouzdanosti za kvalificirane usluge povjerenja
- 2 Članak 24. Zahtjevi u vezi s kvalificiranim pružateljima usluga povjerenja
- 5 Članak 27. Elektronički potpisi u javnim uslugama
- 3 Članak 28. Kvalificirani certifikati za elektroničke potpise
- 2 Članak 29. Zahtjevi za kvalificirana sredstva za izradu elektroničkih potpisa
- 2 Članak 30. Certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa
- 2 Članak 31. Objavljivanje popisa certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa
- 2 Članak 32. Zahtjevi za validaciju kvalificiranih elektroničkih potpisa
- 2 Članak 33. Kvalificirana usluga validacije kvalificiranih elektroničkih potpisa
- 2 Članak 34. Kvalificirana usluga čuvanja kvalificiranih elektroničkih potpisa
- 6 Članak 37. Elektronički pečati u javnim uslugama
- 3 Članak 38. Kvalificirani certifikati za elektroničke pečate
- 2 Članak 42. Zahtjevi za kvalificirane elektroničke vremenske žigove
- 2 Članak 44. Zahtjevi za kvalificirane usluge elektroničke preporučene dostave
- 2 Članak 45. Zahtjevi za kvalificirane certifikate za autentikaciju mrežnih stranica
POGLAVLJE I.
OPĆE ODREDBE
POGLAVLJE II.
ELEKTRONIČKA IDENTIFIKACIJA
POGLAVLJE III.
USLUGE POVJERENJA
ODJELJAK 1.
Opće odredbe
ODJELJAK 2.
Nadzor
ODJELJAK 3.
Kvalificirane usluge povjerenja
ODJELJAK 4.
Elektronički potpisi
ODJELJAK 5.
Elektronički pečati
ODJELJAK 6.
Elektronički vremenski žigovi
ODJELJAK 7.
Usluge elektroničke preporučene dostave
ODJELJAK 8.
Autentikacija mrežnih stranica
POGLAVLJE IV.
ELEKTRONIČKI DOKUMENTI
POGLAVLJE V.
DELEGIRANJA OVLASTI I PROVEDBENE ODREDBE
POGLAVLJE VI.
ZAVRŠNE ODREDBE
- elektroničke 94
- stavka 92
- povjerenja 91
- članka 80
- usluga 75
- koji 71
- identifikacije 60
- skladu 59
- potpisa 50
- koja 44
- podataka 43
- tijelo 43
- elektronički 41
- može 38
- kvalificirani 38
- koje 37
- elektroničkog 37
- kvalificiranog 34
- tijela 33
- izradu 32
- provedbenim 31
- sigurnosti 31
- kvalificiranih 31
- kvalificirane 31
- usluge 30
- aktima 30
- pružatelja 30
- certifikat 30
- komisija 29
- članice 29
- članak 29
- sustava 28
- Članak 27
- donose 26
- ispitivanja 26
- postupkom 26
- akti 26
- certifikata 25
- provedbeni 25
- članica 24
- stavak 23
- elektroničkih 21
- barem 21
- nadzorno 21
- utvrditi 20
- država 20
- sredstva 19
- potpis 19
- države 19
- informacije 19
Članak 9.
Prijavljivanje
1. Država članica koja provodi prijavljivanje Komisiji prijavljuje sljedeće informacije i, bez odgađanja, sve njihove naknadne izmjene:
(a) | opis sustava elektroničke identifikacije, uključujući njegove razine sigurnosti i izdavatelja ili izdavatelje sredstava elektroničke identifikacije u okviru sustava; |
(b) | primjenjivi sustav nadzora i informacije o pravilima o odgovornosti s obzirom na sljedeće:
|
(c) | tijelo ili tijela odgovorno (odgovorna) za sustav elektroničke identifikacije; |
(d) | informacije o subjektu ili subjektima koji upravljaju registracijom jedinstvenih osobnih identifikacijskih podataka; |
(e) | opis načina ispunjavanja zahtjeva određenih u provedbenim aktima iz članka 12. stavka 8.; |
(f) | opis autentikacije iz članka 7. točke (f); |
(g) | dogovori za suspenziju ili opoziv bilo prijavljenog sustava elektroničke identifikacije ili autentikacije ili ugroženih dijelova o kojima je riječ. |
2. Godinu dana od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8., Komisija u Službenom listu Europske unije objavljuje popis sustavâ elektroničke identifikacije koji su prijavljeni na temelju stavka 1. ovog članka i osnovne informacije o njima.
3. Ako Komisija primi prijavu nakon isteka razdoblja iz stavka 2., ona u Službenom listu Europske unije objavljuje izmjene popisa iz stavka 2., u roku od dva mjeseca od datuma primitka te prijave.
4. Država članica može Komisiji podnijeti zahtjev za uklanjanje sustava elektroničke identifikacije koji je prijavila ta država članica s popisa iz stavka 2. Komisija objavljuje odgovarajuće izmjene popisa u Službenom listu Europske unije u roku od mjeseca dana od datuma primitka zahtjeva države članice.
5. Komisija može provedbenim aktima utvrditi okolnosti, oblike i postupke prijava prema stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 7.
Prihvatljivost sustava elektroničke identifikacije za prijavu
Sustav elektroničke identifikacije prihvatljiv je za prijavu na temelju članka 9. stavka 1. pod uvjetom da budu ispunjeni svi sljedeći uvjeti:
(a) | sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije izdana su:
|
(b) | sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije mogu se koristiti za pristup barem jednoj usluzi koju pruža tijelo javnog sektora i koja zahtijeva elektroničku identifikaciju u državi članici koja provodi prijavljivanje; |
(c) | sustav elektroničke identifikacije i sredstva elektroničke identifikacije izdana u okviru tog sustava ispunjavaju zahtjeve barem jedne od razina sigurnosti određenih u provedbenom aktu iz članka 8. stavka 3.; |
(d) | država članica koja provodi prijavljivanje osigurava da se osobni identifikacijski podaci koji nedvojbeno predstavljaju osobu o kojoj je riječ, u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću razinu sigurnosti određenu u provedbenom aktu iz članka 8. stavka 3., pripisuju fizičkoj ili pravnoj osobi iz članka 3. točke 1. u vrijeme kada su sredstva elektroničke identifikacije izdana u okviru tog sustava; |
(e) | strana koja izdaje sredstva elektroničke identifikacije u okviru tog sustava osigurava da se sredstva elektroničke identifikacije pripisuju osobi iz točke (d) ovog članka u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću razinu sigurnosti određenu u provedbenom aktu iz članka 8. stavka 3.; |
(f) | država članica koja provodi prijavljivanje osigurava dostupnost autentikacije online, tako da svaka pouzdajuća strana s poslovnim nastanom na državnom području druge države članice može potvrditi osobne identifikacijske podatke zaprimljene u elektroničkom obliku. Za pouzdajuće strane koje nisu tijela javnog sektora, država članica koja provodi prijavljivanje može odrediti uvjete pristupa toj autentikaciji. Prekogranična autentikacija pruža se bez naknade kada se provodi online u vezi s uslugom koju pruža tijelo javnog sektora. Države članice ne nameću bilo kakve posebne nerazmjerne tehničke zahtjeve pouzdajućim stranama koje namjeravaju provesti takvu autentikaciju ako takvi zahtjevi sprečavaju ili znatno ograničavaju interoperabilnost prijavljenih sustava elektroničke identifikacije; |
(g) | najmanje šest mjeseci prije prijave na temelju članka 9. stavka 1., za potrebe obveze prema članku 12. stavku 5., država članica koja provodi prijavljivanje drugoj državi članici dostavlja opis tog sustava u skladu s postupovnim aranžmanima koji su utvrđeni provedbenim aktima iz članka 12. stavka 7.; |
(h) | sustav elektroničke identifikacije ispunjava zahtjeve određene u provedbenom aktu iz članka 12. stavka 8. |
Članak 8.
Razine sigurnosti sustava elektroničke identifikacije
1. Sustav elektroničke identifikacije koji je prijavljen na temelju članka 9. stavka 1. određuje nisku, značajnu i/ili visoku razinu sigurnosti koja se pripisuje sredstvima elektroničke identifikacije koja su izdana u okviru tog sustava.
2. Niska, značajna odnosno visoka razina sigurnosti moraju ispunjavati sljedeće kriterije:
(a) | niska razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža ograničen stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha smanjenje rizika zlouporabe ili promjene identiteta; |
(b) | značajna razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža značajan stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta; |
(c) | visoka razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža viši stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe od sredstava elektroničke identifikacije sa značajnom razinom sigurnosti te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta. |
3. Komisija, uzimajući u obzir odgovarajuće međunarodne norme i podložno stavku 2., provedbenim aktima do 18. rujna 2015. određuje minimalne tehničke specifikacije, norme i postupke u odnosu na koje se za sredstva elektroničke identifikacije u smislu stavka 1. utvrđuju niska, značajna i visoka razina sigurnosti.
Te minimalne tehničke specifikacije, norme i postupci određuju se upućivanjem na pouzdanost i kvalitetu sljedećih elemenata:
(a) | postupka radi dokazivanja i verifikacije identiteta fizičke ili pravne osobe koja podnosi zahtjev za izdavanje sredstava elektroničke identifikacije; |
(b) | postupka za izdavanje traženih sredstava elektroničke identifikacije; |
(c) | mehanizma autentikacije putem kojeg fizička ili pravna osoba koristi sredstva elektroničke identifikacije za potvrđivanje svoga identiteta pouzdajućoj strani; |
(d) | tijela koje izdaje sredstvo elektroničke identifikacije; |
(e) | svakog drugog tijela uključenog u podnošenje zahtjeva za izdavanje sredstava elektroničke identifikacije; i |
(f) | tehničkih i sigurnosnih specifikacija izdanih sredstava elektroničke identifikacije. |
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 9.
Prijavljivanje
1. Država članica koja provodi prijavljivanje Komisiji prijavljuje sljedeće informacije i, bez odgađanja, sve njihove naknadne izmjene:
(a) | opis sustava elektroničke identifikacije, uključujući njegove razine sigurnosti i izdavatelja ili izdavatelje sredstava elektroničke identifikacije u okviru sustava; |
(b) | primjenjivi sustav nadzora i informacije o pravilima o odgovornosti s obzirom na sljedeće:
|
(c) | tijelo ili tijela odgovorno (odgovorna) za sustav elektroničke identifikacije; |
(d) | informacije o subjektu ili subjektima koji upravljaju registracijom jedinstvenih osobnih identifikacijskih podataka; |
(e) | opis načina ispunjavanja zahtjeva određenih u provedbenim aktima iz članka 12. stavka 8.; |
(f) | opis autentikacije iz članka 7. točke (f); |
(g) | dogovori za suspenziju ili opoziv bilo prijavljenog sustava elektroničke identifikacije ili autentikacije ili ugroženih dijelova o kojima je riječ. |
2. Godinu dana od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8., Komisija u Službenom listu Europske unije objavljuje popis sustavâ elektroničke identifikacije koji su prijavljeni na temelju stavka 1. ovog članka i osnovne informacije o njima.
3. Ako Komisija primi prijavu nakon isteka razdoblja iz stavka 2., ona u Službenom listu Europske unije objavljuje izmjene popisa iz stavka 2., u roku od dva mjeseca od datuma primitka te prijave.
4. Država članica može Komisiji podnijeti zahtjev za uklanjanje sustava elektroničke identifikacije koji je prijavila ta država članica s popisa iz stavka 2. Komisija objavljuje odgovarajuće izmjene popisa u Službenom listu Europske unije u roku od mjeseca dana od datuma primitka zahtjeva države članice.
5. Komisija može provedbenim aktima utvrditi okolnosti, oblike i postupke prijava prema stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 12.
Suradnja i interoperabilnost
1. Nacionalni sustavi elektroničke identifikacije prijavljeni na temelju članka 9. stavka 1. moraju biti interoperabilni.
2. Za potrebe stavka 1., uspostavlja se okvir za interoperabilnost.
3. Okvir za interoperabilnost mora ispunjavati sljedeće kriterije:
(a) | za cilj ima tehnološku neutralnost i ne pravi razliku između bilo kojih posebnih nacionalnih tehničkih rješenja za elektroničku identifikaciju unutar određene države članice; |
(b) | pridržava se europskih i međunarodnih normi, kada je to moguće; |
(c) | olakšava provedbu načela „ugrađene zaštite privatnosti”; i |
(d) | osigurava obradu osobnih podataka u skladu s Direktivom 95/46/EZ. |
4. Okvir za interoperabilnost sastoji se od:
(a) | upućivanja na minimalne tehničke zahtjeve koji se odnose na razine sigurnosti prema članku 8.; |
(b) | raspoređivanja nacionalnih razina sigurnosti prijavljenih sustava elektroničke identifikacije na razine sigurnosti prema članku 8.; |
(c) | upućivanja na minimalne tehničke zahtjeve za interoperabilnost; |
(d) | upućivanja na najmanji skup osobnih identifikacijskih podataka koji na nedvojben način predstavljaju fizičku ili pravnu osobu i kojim raspolažu sustavi elektroničke identifikacije; |
(e) | poslovnika; |
(f) | dogovorâ za rješavanje sporova; i |
(g) | zajedničkih operativnih sigurnosnih normi. |
5. Države članice surađuju u pogledu sljedećeg:
(a) | interoperabilnosti sustava elektroničke identifikacije koji su prijavljeni na temelju članka 9. stavka 1. i sustava elektroničke identifikacije koje države članice namjeravaju prijaviti; i |
(b) | sigurnosti sustavâ elektroničke identifikacije. |
6. Suradnja među državama članicama sastoji se od:
(a) | razmjene informacija, iskustva i dobre prakse u vezi sa sustavima elektroničke identifikacije i posebno u vezi s tehničkim zahtjevima koji se odnose na interoperabilnost i razine sigurnosti; |
(b) | razmjene informacija, iskustva i dobre prakse u vezi s radom s razinama sigurnosti sustavâ elektroničke identifikacije u skladu s člankom 8.; |
(c) | stručnog pregleda sustava elektroničke identifikacije obuhvaćenih ovom Uredbom; i |
(d) | pregleda odgovarajućih kretanja u sektoru elektroničke identifikacije. |
7. Komisija provedbenim aktima do 18. ožujka 2015. uspostavlja potrebne postupovne aranžmane kako bi olakšala suradnju među državama članicama iz stavaka 5. i 6., s ciljem poticanja visoke razine povjerenja i sigurnosti koja je primjerena stupnju rizika.
8. Komisija u svrhu određivanja jednakih uvjeta za provedbu zahtjeva prema stavku 1. do 18. rujna 2015. donosi provedbene akte o okviru za interoperabilnost kako je određeno u stavku 4., podložno kriterijima određenima u stavku 3. te uzimajući u obzir rezultate suradnje među državama članicama.
9. Provedbeni akti iz stavaka 7. i 8. ovog članka donose se u skladu s postupkom ispitivanja iz članka 48. stavka 2.
POGLAVLJE III.
USLUGE POVJERENJA
ODJELJAK 1.
Opće odredbe
Članak 17.
Nadzorno tijelo
1. Države članice određuju nadzorno tijelo s poslovnim nastanom na njihovom državnom području ili, prema uzajamnom dogovoru s drugom državom članicom, nadzorno tijelo s poslovnim nastanom u toj drugoj državi članici. To tijelo je odgovorno za zadaće nadzora u državi članici koja ga određuje.
Nadzornim se tijelima dodjeljuju potrebne ovlasti i odgovarajuća sredstva za obavljanje njihovih zadaća.
2. Države članice obavješćuju Komisiju i druge države članice o nazivima i adresama svojih nadzornih tijela koja su odredile.
3. Uloga nadzornog tijela jest sljedeća:
(a) | da nadzire kvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje kako bi se osiguralo, putem prethodnih (ex ante) i naknadnih (ex post) aktivnosti nadzora, da ti kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi; |
(b) | da, prema potrebi, poduzima mjere u odnosu na nekvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje, putem naknadnih (ex post) aktivnosti nadzora, kada primi obavijest da ti nekvalificirani pružatelji usluga povjerenja ili usluge povjerenja koje oni pružaju navodno ne ispunjavaju zahtjeve utvrđene u ovoj Uredbi. |
4. Za potrebe stavka 3. i podložno u njemu predviđenim ograničenjima, zadaće nadzornog tijela posebno uključuju:
(a) | suradnju s drugim nadzornim tijelima i pružanje pomoći tim tijelima u skladu s člankom 18.; |
(b) | analiziranje izvješćâ o ocjenjivanju sukladnosti iz članka 20. stavka 1. i članka 21. stavka 1.; |
(c) | obavješćivanje drugih nadzornih tijela i javnosti o povredama sigurnosti ili gubitku cjelovitosti u skladu s člankom 19. stavkom 2.; |
(d) | izvješćivanje Komisije o svojim glavnim aktivnostima u skladu sa stavkom 6. ovog članka; |
(e) | obavljanje revizija ili zahtijevanje od tijela za ocjenjivanje sukladnosti da provede ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja u skladu s člankom 20. stavkom 2.; |
(f) | suradnju s tijelima za zaštitu podataka, a posebice obavješćujući ih, bez odgađanja, o rezultatima revizija kvalificiranih pružatelja usluga povjerenja, u slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka; |
(g) | dodjeljivanje kvalificiranog statusa pružateljima usluga povjerenja i uslugama koje oni pružaju i ukidanje tog statusa u skladu s člancima 20. i 21.; |
(h) | obavješćivanje tijela odgovornog za nacionalni pouzdani popis iz članka 22. stavka 3. o odlukama o dodjeljivanju ili ukidanju kvalificiranog statusa, osim ako je to tijelo ujedno i nadzorno tijelo; |
(i) | provjeravanje postojanja i pravilne primjene odredaba o planovima prekida u slučajevima kada kvalificirani pružatelj usluga povjerenja prekine svoje aktivnosti, uključujući način na koji se održava dostupnost informacija u skladu s člankom 24. stavkom 2. točkom (h); |
(j) | zahtijevanje od pružatelja usluga povjerenja da otklone svako nepoštovanje zahtjeva utvrđenih u ovoj Uredbi. |
5. Države članice mogu od nadzornog tijela zahtijevati da uspostavi, održava i ažurira infrastrukturu povjerenja u skladu s uvjetima prema nacionalnom pravu.
6. Svako nadzorno tijelo Komisiji do 31. ožujka svake godine dostavlja izvješće o svojim glavnim aktivnostima u prethodnoj kalendarskoj godini, zajedno sa sažetkom obavijesti o povredama koje je primilo od pružatelja usluga povjerenja u skladu s člankom 19. stavkom 2.
7. Komisija stavlja na raspolaganje državama članicama godišnje izvješće iz stavka 6.
8. Komisija može provedbenim aktima utvrditi oblike i postupke izvješća iz stavka 6. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 18.
Uzajamna pomoć
1. Nadzorna tijela surađuju s ciljem razmjenjivanja dobre prakse.
Nadzorno tijelo, po primitku obrazloženog zahtjeva drugog nadzornog tijela, tom tijelu pruža pomoć kako bi se aktivnosti nadzornih tijela mogle provoditi na dosljedan način. Uzajamna pomoć može posebno obuhvaćati zahtjeve za informacijama i nadzorne mjere, kao što su zahtjevi za provođenje kontrola koje se odnose na izvješća o ocjenjivanju sukladnosti, kako je navedeno u člancima 20. i 21.
2. Nadzorno tijelo kojemu je upućen zahtjev za pomoć može odbiti taj zahtjev zbog bilo kojeg od sljedećih razloga:
(a) | nadzorno tijelo nije nadležno za pružanje tražene pomoći; |
(b) | tražena pomoć nije razmjerna aktivnostima nadzora nadzornog tijela koje se provode u skladu s člankom 17.; |
(c) | pružanje tražene pomoći ne bi bilo u skladu s ovom Uredbom. |
3. Prema potrebi, države članice mogu ovlastiti svoja nadzorna tijela da provode zajedničke istrage u kojima sudjeluje osoblje nadzornih tijela iz drugih država članica. Dogovore i postupke za takva zajednička djelovanja dogovaraju i uspostavljaju dotične države članice u skladu sa svojim nacionalnim pravima.
Članak 19.
Sigurnosni zahtjevi primjenjivi na pružatelje usluga povjerenja
1. Kvalificirani i nekvalificirani pružatelji usluga povjerenja poduzimaju odgovarajuće tehničke i organizacijske mjere za upravljanje rizicima koji prijete sigurnosti usluga povjerenja koje oni pružaju. Uzimajući u obzir najnovija tehnološka rješenja, tim se mjerama osigurava da razina sigurnosti odgovara stupnju rizika. Posebno se poduzimaju mjere za sprečavanje i smanjivanje utjecaja sigurnosnih incidenata te za obavješćivanje dionika o neželjenim učincima bilo kakvih incidenata te vrste.
2. Kvalificirani i nekvalificirani pružatelji usluga povjerenja obavješćuju, bez odgađanja, ali u svakom slučaju u roku od 24 sata od saznanja za iste, nadzorno tijelo i, prema potrebi, druga odgovarajuća tijela, kao što je nadležno nacionalno tijelo za sigurnost informacija ili tijelo za zaštitu podataka, o svakoj povredi sigurnosti ili gubitku cjelovitosti koji imaju značajan utjecaj na pruženu uslugu povjerenja ili u njoj sadržane osobne podatke.
Ako je izgledno da bi povreda sigurnosti ili gubitak cjelovitosti mogli nepovoljno utjecati na fizičku ili pravnu osobu kojoj su pružene usluge povjerenja, pružatelj usluga povjerenja o povredi ili gubitku cjelovitosti bez odgađanja obavješćuje i tu fizičku ili pravnu osobu.
Prema potrebi, posebno ako se povreda sigurnosti ili gubitak cjelovitosti odnosi na dvije države članice ili više njih, prijavljeno nadzorno tijelo obavješćuje nadzorna tijela u drugim državama članicama na koje se to odnosi i ENISA-u.
Prijavljeno nadzorno tijelo obavješćuje javnost ili zahtijeva od pružatelja usluga povjerenja da to učini ako utvrdi da je otkrivanje povrede sigurnosti ili gubitka cjelovitosti u javnom interesu.
3. Nadzorno tijelo jednom godišnje dostavlja ENISA-i sažetak obavijesti o povredi sigurnosti i gubitku cjelovitosti koje je primilo od pružateljâ usluga povjerenja.
4. Komisija može provedbenim aktima:
(a) | podrobnije odrediti mjere iz stavka 1.; i |
(b) | odrediti oblike i postupke, uključujući rokove, primjenjive za potrebe stavka 2. |
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 3.
Kvalificirane usluge povjerenja
Članak 20.
Nadzor kvalificiranih pružatelja usluga povjerenja
1. Tijelo za ocjenjivanje sukladnosti obavlja reviziju pružatelja kvalificiranih usluga povjerenja o njihovu trošku i najmanje svaka 24 mjeseca. Svrha revizija sastoji se u potvrđivanju da kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. Kvalificirani pružatelji usluga povjerenja nadzornom tijelu podnose izvješće o ocjenjivanju sukladnosti u roku od tri radna dana od njegova primitka.
2. Ne dovodeći u pitanje stavak 1., nadzorno tijelo može u bilo kojem trenutku obaviti reviziju ili zahtijevati od tijela za ocjenjivanje sukladnosti da obavi ocjenjivanje sukladnosti pružatelja kvalificiranih usluga povjerenja, o trošku tih pružatelja usluga povjerenja, kako bi potvrdilo da pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. U slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka, nadzorno tijelo obavješćuje tijela za zaštitu podataka o rezultatima svojih revizija.
3. U slučaju kada nadzorno tijelo zahtijeva od pružatelja kvalificiranih usluga povjerenja da otkloni bilo kakvo nepoštovanje zahtjeva prema ovoj Uredbi i kada pružatelj usluge ne postupi u skladu s tim zahtjevom, te ako je to primjenjivo i u roku koji odredi nadzorno tijelo, nadzorno tijelo može, posebno uzimajući u obzir opseg, trajanje i posljedice tog nepoštovanja, ukinuti kvalificirani status tog pružatelja usluge ili obuhvaćene usluge koju on pruža te može za potrebe ažuriranja pouzdanih popisa iz članka 22. stavka 1. obavijestiti tijelo iz članka 22. stavka 3. Nadzorno tijelo obavješćuje kvalificiranog pružatelja usluga povjerenja o ukidanju njegova kvalificiranog statusa ili kvalificiranog statusa dotične usluge.
4. Komisija može provedbenim aktima utvrditi referentne brojeve sljedećih normi:
(a) | akreditacije tijela za ocjenu sukladnosti i za izvješće o ocjenjivanju sukladnosti iz stavka 1.; |
(b) | pravila revizije prema kojima će tijela za ocjenjivanje sukladnosti provoditi ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja kako je navedeno u stavku 1. |
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 21.
Početak pružanja kvalificirane usluge povjerenja
1. Ako pružatelji usluga povjerenja bez kvalificiranog statusa namjeravaju započeti s pružanjem kvalificiranih usluga povjerenja, oni nadzornom tijelu podnose prijavu o svojoj namjeri zajedno s izvješćem o ocjenjivanju sukladnosti koje je izdalo tijelo za ocjenjivanje sukladnosti.
2. Nadzorno tijelo provjerava je li pružatelj usluga povjerenja sukladan odnosno jesu li usluge povjerenja koje on pruža sukladne sa zahtjevima utvrđenima u ovoj Uredbi i posebno sa zahtjevima za kvalificirane pružatelje usluga povjerenja i za kvalificirane usluge povjerenja koje oni pružaju.
Ako nadzorno tijelo zaključi da su pružatelj usluga povjerenja i usluge povjerenja koje on pruža sukladni zahtjevima iz prvog podstavka, nadzorno tijelo odobrava kvalificirani status pružatelju usluga povjerenja i uslugama povjerenja koje on pruža te obavješćuje tijelo iz članka 22. stavka 3. u svrhu ažuriranja pouzdanih popisa iz članka 22. stavka 1., najkasnije tri mjeseca nakon prijave u skladu sa stavkom 1. ovog članka.
Ako provjera nije dovršena u roku od tri mjeseca od obavješćivanja, nadzorno tijelo o tome obavješćuje pružatelja usluga povjerenja, navodeći razloge za kašnjenje i rok do kojeg provjera mora biti dovršena.
3. Pružatelji kvalificiranih usluga povjerenja mogu početi pružati kvalificiranu uslugu povjerenja nakon što kvalificirani status bude naznačen na pouzdanim popisima iz članka 22. stavka 1.
4. Komisija može provedbenim aktima utvrditi oblike i postupke za potrebe stavaka 1. i 2. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 22.
Pouzdani popisi
1. Svaka država članica izrađuje, vodi i objavljuje pouzdane popise, uključujući informacije o kvalificiranim pružateljima usluga povjerenja za koje je ta država članica odgovorna, zajedno s informacijama o kvalificiranim uslugama povjerenja koje oni pružaju.
2. Države članice u obliku prikladnom za automatiziranu obradu i na siguran način izrađuju, vode i objavljuju elektronički potpisane ili pečaćene pouzdane popise iz stavka 1.
3. Države članice bez odgađanja obavješćuju Komisiju o informacijama o tijelu odgovornom za izradu, vođenje i objavljivanje nacionalnih pouzdanih popisa i detaljima o tome gdje se takvi popisi objavljuju, certifikatima korištenima za potpisivanje ili pečaćenje pouzdanih popisa i svim njihovim izmjenama.
4. Komisija stavlja na raspolaganje javnosti informacije iz stavka 3. na siguran način, u elektronički potpisanom ili pečaćenom formatu prikladnom za automatiziranu obradu.
5. Komisija putem provedbenih akata do 18. rujna 2015. navodi informacije iz stavka 1. i utvrđuje tehničke specifikacije i formate za pouzdane popise primjenjive za potrebe stavaka od 1. do 4. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 23.
EU znak pouzdanosti za kvalificirane usluge povjerenja
1. Nakon što kvalificirani status iz članka 21. stavka 2. drugog podstavka bude naznačen na popisu pružatelja usluga povjerenja iz članka 22. stavka 1., pružatelji kvalificiranih usluga povjerenja mogu se koristiti EU znakom pouzdanosti kako bi na jednostavan, prepoznatljiv i jasan način naznačili kvalificirane usluge povjerenja koje pružaju.
2. Pri korištenju EU znakom pouzdanosti za kvalificirane usluge povjerenja iz stavka 1. kvalificirani pružatelji usluga povjerenja osiguravaju da na njihovim mrežnim stranicama bude dostupna poveznica na odgovarajući popis pružatelja usluga povjerenja.
3. Komisija do 1. srpnja 2015. provedbenim aktima propisuje specifikacije u odnosu na oblik te posebno izgled, sastav, veličinu i dizajn EU znaka pouzdanosti za kvalificirane usluge povjerenja. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 24.
Zahtjevi u vezi s kvalificiranim pružateljima usluga povjerenja
1. Pri izdavanju kvalificiranog certifikata za uslugu povjerenja kvalificirani pružatelj usluga povjerenja provjerava, na odgovarajući način i u skladu s nacionalnim pravom, identitet i, ako je to primjenjivo, posebna obilježja fizičke ili pravne osobe kojoj se izdaje kvalificirani certifikat.
Informacije iz prvog podstavka provjerava kvalificirani pružatelj usluga povjerenja bilo izravno ili oslanjajući se na treću osobu u skladu s nacionalnim pravom:
(a) | fizičkom prisutnošću fizičke osobe ili ovlaštenog predstavnika pravne osobe; ili |
(b) | na daljinu, pomoću sredstava elektroničke identifikacije, za koja je prije izdavanja kvalificiranog certifikata osigurana fizička prisutnost fizičke osobe ili ovlaštenog predstavnika pravne osobe i koja ispunjavaju zahtjeve određene u članku 8. u pogledu sigurnosnih razina „značajna” ili „visoka”; ili |
(c) | pomoću certifikata kvalificiranog elektroničkog potpisa ili kvalificiranog elektroničkog pečata izdanog u skladu s točkom (a) ili (b); ili |
(d) | pomoću drugih metoda identifikacije priznatih na nacionalnoj razini koja po pitanju pouzdanosti pružaju sigurnost jednaku fizičkoj prisutnosti. Jednaku sigurnost potvrđuje tijelo za ocjenjivanje sukladnosti. |
2. Kvalificirani pružatelj usluga povjerenja:
(a) | obavješćuje nadzorno tijelo o svim promjenama u vezi s pružanjem svojih kvalificiranih usluga povjerenja te o namjeri prestanka obavljanja te djelatnosti; |
(b) | zapošljava osoblje i, ako je to primjenjivo, podizvođače koji posjeduju potrebno stručno znanje, pouzdanost, iskustvo i kvalifikacije i koji su prošli odgovarajuće osposobljavanje u vezi sa sigurnošću i propisima o zaštiti osobnih podataka te primjenjuju upravne i upravljačke postupke u skladu s europskim ili međunarodnim normama; |
(c) | u pogledu rizika od odgovornosti za štetu u skladu s člankom 13., raspolaže dostatnim financijskim sredstvima i/ili je sklopio odgovarajuće osiguranje od odgovornosti, u skladu s nacionalnim pravom; |
(d) | prije stupanja u ugovorni odnos, obavješćuje, na jasan i sveobuhvatan način, svaku osobu koja želi koristiti kvalificiranu uslugu povjerenja o točnim uvjetima korištenja tom uslugom, uključujući bilo kakva ograničenja korištenja; |
(e) | koristi vjerodostojne sustave i proizvode koji su zaštićeni od preinaka te osiguravaju tehničku sigurnost i pouzdanost postupaka koje ti sustavi i proizvodi podržavaju; |
(f) | koristi vjerodostojne sustave za pohranu podataka koji su mu dostavljeni, u obliku koji se može provjeriti, kako bi:
|
(g) | poduzima odgovarajuće mjere protiv krivotvorenja i krađe podataka; |
(h) | bilježi i čini dostupnima tijekom odgovarajućeg razdoblja, uključujući razdoblje nakon prestanka obavljanja djelatnosti kvalificiranog pružatelja usluga povjerenja, sve bitne informacije u vezi s podacima koje izdaje i prima kvalificirani pružatelj usluga povjerenja, a posebno za potrebe predlaganja dokaza u sudskim postupcima i u svrhu osiguravanja kontinuiteta usluge. Takvo se bilježenje može obavljati elektronički; |
(i) | ima ažuriran plan prekida pružanja usluge radi osiguravanja njezina kontinuiteta u skladu s odredbama koje je potvrdilo nadzorno tijelo prema članku 17. stavku 4. točki (i); |
(j) | osigurava zakonitu obradu osobnih podataka u skladu s Direktivom 95/46/EZ; |
(k) | ako je riječ o kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane certifikate, uspostavlja i ažurira bazu podataka certifikata. |
3. Ako kvalificirani pružatelj usluga povjerenja koji izdaje kvalificirane certifikate odluči opozvati certifikat, on registrira opoziv certifikata u svojoj bazi podataka certifikata i pravodobno objavljuje status opoziva certifikata, a u svakom slučaju unutar 24 sata nakon primitka zahtjeva. Opoziv stupa na snagu odmah nakon njegove objave.
4. Imajući u vidu stavak 3., kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane certifikate pružaju bilo kojoj pouzdajućoj strani informacije o statusu valjanosti ili opoziva kvalificiranih certifikata koje su izdali. Te informacije moraju biti dostupne barem za pojedinačne certifikate, u svakom trenutku i nakon isteka razdoblja valjanosti certifikata, na automatiziran način koji je pouzdan, besplatan i učinkovit.
5. Komisija može provedbenim aktima utvrditi referentne brojeve normi za vjerodostojne sustave i proizvode koji ispunjavaju zahtjeve u skladu sa stavkom 2. točkama (e) i (f) ovog članka. Ako vjerodostojni sustavi i proizvodi udovoljavaju tim normama, smatra se da su ispunjeni zahtjevi iz ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 4.
Elektronički potpisi
Članak 27.
Elektronički potpisi u javnim uslugama
1. Ako država članica zahtijeva napredan elektronički potpis za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise, napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu za elektroničke potpise i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
2. Ako država članica zahtijeva napredan elektronički potpis koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički potpis više sigurnosne razine od kvalificiranog elektroničkog potpisa.
4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke potpise. Ako napredni elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke potpise iz stavaka 1. i 2. ovog članka te članka 26. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, putem provedbenih akata do 18. rujna 2015. utvrđuje referentne formate naprednih elektroničkih potpisa ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 28.
Kvalificirani certifikati za elektroničke potpise
1. Kvalificirani certifikati za elektroničke potpise moraju ispunjavati zahtjeve utvrđene u Prilogu I.
2. Kvalificirani certifikati za elektroničke potpise ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu I.
3. Kvalificirani certifikati za elektroničke potpise mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih potpisa.
4. Ako je kvalificirani certifikat za elektroničke potpise opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.
5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektronički potpis podložno sljedećim uvjetima:
(a) | ako je kvalificirani certifikat za elektronički potpis privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije; |
(b) | razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje se pružaju informacije o statusu certifikata. |
6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektronički potpis. Ako kvalificirani certifikat za elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu I. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 29.
Zahtjevi za kvalificirana sredstva za izradu elektroničkih potpisa
1. Kvalificirana sredstva za izradu elektroničkih potpisa moraju ispunjavati zahtjeve utvrđene u Prilogu II.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirana sredstva za izradu elektroničkih potpisa. Ako kvalificirano sredstvo za izradu elektroničkog potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu II. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 30.
Certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa
1. Sukladnost kvalificiranih sredstava za izradu elektroničkih potpisa sa zahtjevima utvrđenima u Prilogu II. potvrđuju odgovarajuća javna ili privatna tijela koja određuju države članice.
2. Države članice obavješćuju Komisiju o nazivima i adresama javnih ili privatnih tijela iz stavka 1. Komisija stavlja te informacije na raspolaganje državama članicama.
3. Certificiranje iz stavka 1. temelji se na jednom od sljedećeg:
(a) | postupku sigurnosne evaluacije u skladu s jednom od normi za ocjenu sigurnosti proizvoda informacijske tehnologije uvrštenih na popis koji se utvrđuje u skladu s drugim podstavkom; ili |
(b) | postupku različitom od postupka iz prethodne točke, pod uvjetom da on koristi usporedive sigurnosne razine te pod uvjetom da javno ili privatno tijelo iz stavka 1. obavijesti Komisiju o tom postupku. Taj se postupak može koristiti samo u slučaju nepostojanja normi navedenih u točki (a) ili kada je postupak sigurnosne evaluacije iz točke (a) u tijeku. |
Komisija provedbenim aktima utvrđuje popis normi za ocjenu sigurnosti proizvoda informacijske tehnologije iz točke (a). Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
4. Komisija je ovlaštena donositi delegirane akte u skladu s člankom 47., u vezi s utvrđivanjem posebnih kriterija koje moraju ispuniti tijela iz stavka 1. ovog članka koja su određena.
Članak 31.
Objavljivanje popisa certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa
1. Države članice obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon dovršetka certificiranja, o informacijama o sredstvima za izradu kvalificiranog elektroničkog potpisa koja su certificirala tijela iz članka 30. stavka 1. Također obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon poništenja certificiranja, o informacijama o sredstvima za izradu elektroničkog potpisa koja više nisu certificirana.
2. Na temelju primljenih informacija Komisija izrađuje, objavljuje i vodi popis certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa.
3. Komisija može provedbenim aktima utvrditi formate i postupke primjenjive za potrebe stavka 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 32.
Zahtjevi za validaciju kvalificiranih elektroničkih potpisa
1. Postupkom validacije kvalificiranog elektroničkog potpisa potvrđuje se valjanost kvalificiranog elektroničkog potpisa pod sljedećim uvjetima:
(a) | certifikat koji podržava potpis je u trenutku potpisivanja bio kvalificirani certifikat za elektronički potpis koji je u skladu Prilogom I.; |
(b) | kvalificirani certifikat izdao je kvalificirani pružatelj usluga povjerenja i bio je valjan u trenutku potpisivanja; |
(c) | podaci za validaciju potpisa odgovaraju podacima koji se pružaju pouzdajućoj strani; |
(d) | jedinstveni skup podataka koji predstavlja potpisnika u certifikatu ispravno je dostavljen pouzdajućoj strani; |
(e) | korištenje pseudonimom, ako je pseudonim bio korišten u trenutku potpisivanja, jasno je naznačeno pouzdajućoj strani; |
(f) | elektronički potpis izrađen je sredstvom za izradu kvalificiranog elektroničkog potpisa; |
(g) | nije ugrožena cjelovitost potpisanih podataka; |
(h) | zahtjevi predviđeni u članku 26. bili su ispunjeni u trenutku potpisivanja. |
2. Sustav koji se upotrebljava za potvrđivanje kvalificiranog elektroničkog potpisa osigurava pouzdajućoj strani točan rezultat postupka validacije i omogućuje joj otkrivanje svih poteškoća bitnih za sigurnost.
3. Komisija može provedbenim aktima utvrditi referentne brojeve normi za validaciju kvalificiranih elektroničkih potpisa. Ako validacija kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 33.
Kvalificirana usluga validacije kvalificiranih elektroničkih potpisa
1. Kvalificiranu uslugu validacije kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji:
(a) | pruža validaciju u skladu s člankom 32. stavkom 1.; i |
(b) | omogućuje pouzdajućim stranama primanje rezultata postupka validacije na automatizirani način koji je pouzdan, učinkovit i nosi napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluge validacije. |
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu validacije iz stavka 1. Ako usluga validacije kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 34.
Kvalificirana usluga čuvanja kvalificiranih elektroničkih potpisa
1. Kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji koristi postupke i tehnologije koje mogu produljiti pouzdanost kvalificiranog elektroničkog potpisa na razdoblje koje je dulje od razdoblja tehnološke valjanosti.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa. Ako dogovori za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 5.
Elektronički pečati
Članak 37.
Elektronički pečati u javnim uslugama
1. Ako država članica zahtijeva napredan elektronički pečat za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate, napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu za elektroničke pečate i kvalificirane elektroničke pečate barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
2. Ako država članica zahtijeva napredan elektronički pečat koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu i kvalificiranom elektroničkom potpisu barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.
3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički pečat više sigurnosne razine od kvalificiranog elektroničkog pečata.
4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke pečate. Ako napredni elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke pečate iz stavaka 1. i 2. ovog članka i članka 36. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, do 18. rujna 2015. provedbenim aktima utvrđuje referentne formate naprednih elektroničkih pečata ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 38.
Kvalificirani certifikati za elektroničke pečate
1. Kvalificirani certifikati za elektroničke pečate moraju ispunjavati zahtjeve utvrđene u Prilogu III.
2. Kvalificirani certifikati za elektroničke pečate ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu III.
3. Kvalificirani certifikati za elektroničke pečate mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih pečata.
4. Ako je kvalificirani certifikat za elektronički pečat opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.
5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektroničke pečate podložno sljedećim uvjetima:
(a) | ako je kvalificirani certifikat za elektronički pečat privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije; |
(b) | razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje pružaju informacije o statusu certifikata. |
6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektroničke pečate. Ako kvalificirani certifikat za elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu III. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 42.
Zahtjevi za kvalificirane elektroničke vremenske žigove
1. Kvalificirani elektronički vremenski žig mora ispunjavati sljedeće zahtjeve:
(a) | povezuje datum i vrijeme s podacima na način kojim se u razumnoj mjeri isključuje mogućnost nezapažene promjene podataka; |
(b) | temelji se na izvoru točnog vremena povezanom s koordiniranim svjetskim vremenom; i |
(c) | potpisan je pomoću naprednog elektroničkog potpisa ili pečaćen pomoću naprednog elektroničkog pečata kvalificiranog pružatelja usluga povjerenja ili jednakovrijednom metodom. |
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za povezivanje datuma i vremena s podacima i za izvore točnog vremena. Ako povezivanje datuma i vremena s podacima i izvor točnog vremena udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 7.
Usluge elektroničke preporučene dostave
Članak 44.
Zahtjevi za kvalificirane usluge elektroničke preporučene dostave
1. Kvalificirane usluge elektroničke preporučene dostave moraju ispunjavati sljedeće zahtjeve:
(a) | pruža ih jedan kvalificirani pružatelj usluga povjerenja ili više njih; |
(b) | uz visoku razinu pouzdanja osiguravaju identifikaciju pošiljatelja; |
(c) | osiguravaju identifikaciju primatelja prije dostave podataka; |
(d) | slanje i primanje podataka osigurano je naprednim elektroničkim potpisom ili naprednim elektroničkim pečatom kvalificiranog pružatelja usluga povjerenja na način kojim se isključuje mogućnost nezapažene promjene podataka; |
(e) | pošiljatelju i primatelju podataka jasno se naznačuje svaka promjena podataka potrebna radi slanja ili primanja podataka; |
(f) | datum i vrijeme slanja, primanja i eventualne promjene podataka naznačuju se kvalificiranim elektroničkim vremenskim žigom. |
U slučaju prijenosa podataka između dvaju kvalificiranih pružatelja usluga povjerenja ili više njih, zahtjevi iz točaka od (a) do (f) primjenjuju se na sve kvalificirane pružatelje usluga povjerenja.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za postupke slanja i primanja podataka. Ako postupak slanja i primanja podataka udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
ODJELJAK 8.
Autentikacija mrežnih stranica
Članak 45.
Zahtjevi za kvalificirane certifikate za autentikaciju mrežnih stranica
1. Kvalificirani certifikati za autentikaciju mrežnih stranica moraju ispunjavati zahtjeve utvrđene u Prilogu IV.
2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za autentikaciju mrežnih stranica. Ako kvalificirani certifikat za autentikaciju mrežnih stranica udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu IV. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
POGLAVLJE IV.
ELEKTRONIČKI DOKUMENTI
Članak 52.
Stupanje na snagu
1. Ova Uredba stupa na snagu dvadesetog dana nakon dana objave u Službenom listu Europske unije.
2. Ova se Uredba primjenjuje od 1. srpnja 2016. izuzevši sljedeće:
(a) | članak 8. stavak 3., članak 9. stavak 5., članak 12. stavci od 2. do 9., članak 17. stavak 8., članak 19. stavak 4., članak 20. stavak 4., članak 21. stavak 4., članak 22. stavak 5., članak 23. stavak 3., članak 24. stavak 5., članak 27. stavci 4. i 5., članak 28. stavak 6., članak 29. stavak 2., članak 30. stavci 3. i 4., članak 31. stavak 3., članak 32. stavak 3., članak 33. stavak 2., članak 34. stavak 2., članak 37. stavci 4. i 5., članak 38. stavak 6., članak 42. stavak 2., članak 44. stavak 2., članak 45. stavak 2., članak 47. i članak 48. primjenjuju se od 17. rujna 2014.; |
(b) | članak 7., članak 8. stavci 1. i 2., članci 9.,10., 11. i članak 12. stavak 1. primjenjuju se od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8.; |
(c) | članak 6. primjenjuje se nakon tri godine od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8. |
3. Ako je prijavljeni sustav elektroničke identifikacije uvršten na popis koji je objavila Komisija na temelju članka 9. prije datuma iz stavka 2. točke (c) ovog članka, priznavanje sredstava elektroničke identifikacije u okviru tog sustava na temelju članka 6. odvija se najkasnije 12 mjeseci nakon objave tog sustava, ali ne prije datuma iz stavka 2. točke (c) ovog članka.
4. Neovisno o stavku 2. točki (c) ovog članka, država članica može odlučiti da sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije koji je prijavila druga država članica na temelju člankom 9. stavka 1. budu priznata u prvoj državi članici od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8. Dotične države članice o tome obavješćuju Komisiju. Komisija objavljuje te informacije.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
Sastavljeno u Bruxellesu 23. srpnja 2014.
Za Parlament
Predsjednik
M. SCHULZ
Za Vijeće
Predsjednik
S. GOZI
(1) SL C 351, 15.11.2012., str. 73.
(2) Stajalište Europskog parlamenta od 3. travnja 2014. (još nije objavljeno u Službenom listu) i Odluka Vijeća od 23. srpnja 2014.
(3) Direktiva 1999/93/EZ Europskog parlamenta i Vijeća od 13. prosinca 1999. o okviru Zajednice za elektroničke potpise (SL L 13, 19.1.2000., str. 12.).
(4) SL C 50, 21.2.2012., str. 1.
(5) Direktiva 2006/123/EZ Europskog parlamenta i Vijeća od 12. prosinca 2006..o uslugama na unutarnjem tržištu (SL L 376, 27.12.2006., str. 36.).
(6) Direktiva 2011/24/EU Europskog parlamenta i Vijeća od 9. ožujka 2011. o primjeni prava pacijenata u prekograničnoj zdravstvenoj skrbi (SL L 88, 4.4.2011., str. 45.).
(7) Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, 23.11.1995., str. 31.).
(8) Odluka Vijeća 2010/48/EZ od 26. studenoga 2009. o sklapanju Konvencije Ujedinjenih naroda o pravima osoba s invaliditetom od strane Europske zajednice (SL L 23, 27.1.2010., str. 35.).
(9) Uredba (EZ) br. 765/2008 Europskog parlamenta i Vijeća od 9. srpnja 2008. o utvrđivanju zahtjeva za akreditaciju i za nadzor tržišta u odnosu na stavljanje proizvoda na tržište i o stavljanju izvan snage Uredbe (EEZ) br. 339/93 (SL L 218, 13.8.2008., str. 30.).
(10) Odluka Komisije 2009/767/EZ od 16. listopada 2009. o utvrđivanju mjera kojima se olakšava uporaba postupaka elektroničkim putem preko „jedinstvenih kontaktnih točaka” u skladu s Direktivom 2006/123/EZ Europskog parlamenta i Vijeća o uslugama na unutarnjem tržištu (SL L 274, 20.10.2009., str. 36.).
(11) Odluka Komisije 2011/130/EU od 25. veljače 2011. o uspostavljanju minimalnih zahtjeva za prekograničnu obradu dokumenata koje elektronički potpisuju nadležna tijela prema Direktivi 2006/123/EZ Europskog parlamenta i Vijeća o uslugama na unutarnjem tržištu (SL L 53, 26.2.2011., str. 66.).
(12) Uredba (EU) br. 182/2011 Europskog parlamenta i Vijeća od 16. veljače 2011. o utvrđivanju pravila i općih načela u vezi s mehanizmima nadzora država članica nad izvršavanjem provedbenih ovlasti Komisije (SL L 55, 28.2.2011., str. 13.).
(13) Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL L 8, 12.1.2001.,str. 1.).
(14) SL C 28, 30.1.2013., str. 6.
(15) Direktiva 2014/24/EU Europskog parlamenta i Vijeća od 26. veljače 2014. o javnoj nabavi i o stavljanju izvan snage Direktive 2004/18/EZ (SL L 94, 28.3.2014., str. 65.).
PRILOG I.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA ELEKTRONIČKE POTPISE
Kvalificirani certifikati za elektroničke potpise sadržavaju:
(a) | naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za elektroničke potpise; |
(b) | skup podataka koji nedvojbeno predstavlja kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
|
(c) | barem ime potpisnika, ili pseudonim; ako se koristi pseudonimom, on se mora jasno naznačiti; |
(d) | podatke za validaciju elektroničkog potpisa koji odgovaraju podacima za izradu elektroničkog potpisa; |
(e) | podatke o početku i završetku roka valjanosti certifikata; |
(f) | identifikacijsku oznaku certifikata koja mora biti jedinstvena za kvalificiranog pružatelja usluga povjerenja; |
(g) | napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat; |
(h) | lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (g); |
(i) | lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata; |
(j) | ako su podaci za izradu elektroničkog potpisa koji su povezani s podacima za validaciju elektroničkog potpisa smješteni u kvalificiranom sredstvu za izradu elektroničkog potpisa, odgovarajuću naznaku navedenog, barem u obliku prikladnom za automatiziranu obradu. |
PRILOG II.
ZAHTJEVI ZA KVALIFICIRANA SREDSTVA ZA IZRADU ELEKTRONIČKIH POTPISA
1. | Kvalificirana sredstva za izradu elektroničkih potpisa moraju pomoću odgovarajućih tehničkih i postupovnih sredstava osigurati barem da:
|
2. | Kvalificirana sredstva za izradu elektroničkih potpisa ne smiju mijenjati podatke koji se potpisuju niti priječe prikazivanje takvih podataka potpisniku prije potpisivanja. |
3. | Generiranje ili upravljanje podacima za izradu elektroničkog potpisa u ime potpisnika može obavljati isključivo kvalificirani pružatelj usluga povjerenja. |
4. | Ne dovodeći u pitanje stavak 1. točku (d), kvalificirani pružatelji usluga povjerenja koji upravljaju podacima za izradu elektroničkog potpisa u ime potpisnika smiju duplicirati podatke za izradu elektroničkog potpisa isključivo u svrhu izrade sigurnosnih kopija pod uvjetom da su ispunjeni sljedeći zahtjevi:
|
PRILOG III.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA ELEKTRONIČKE PEČATE
Kvalificirani certifikati za elektroničke pečate sadržavaju:
(a) | naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za elektroničke pečate; |
(b) | skup podataka koji nedvojbeno predstavljaju kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate, uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
|
(c) | barem naziv autora pečata i, kada je to primjenjivo, registracijski broj kako je navedeno u službenoj evidenciji; |
(d) | podatke za validaciju elektroničkog pečata koji odgovaraju podacima za izradu elektroničkog pečata; |
(e) | podatke o početku i kraju roka valjanosti certifikata; |
(f) | identifikacijsku oznaku certifikata koja mora biti jedinstvena za tog kvalificiranog pružatelja usluga povjerenja; |
(g) | napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat; |
(h) | lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (g); |
(i) | lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata; |
(j) | kada su podaci za izradu elektroničkog pečata koji su povezani s podacima za validaciju elektroničkog pečata smješteni u kvalificiranom sredstvu za izradu elektroničkog pečata, odgovarajuću naznaku navedenog, barem u obliku prikladnom za automatiziranu obradu. |
PRILOG IV.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA AUTENTIKACIJU MREŽNIH STRANICA
Kvalificirani certifikati za autentikaciju mrežnih stranica sadrže:
(a) | naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za autentikaciju mrežnih stranica; |
(b) | skup podataka koji nedvojbeno predstavljaju kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate, uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
|
(c) | za fizičke osobe: barem ime osobe kojoj je izdan certifikat ili pseudonim. Ako se koristi pseudonim, on se mora jasno naznačiti; za pravne osobe: barem naziv pravne osobe kojoj je izdan certifikat i, kada je to primjenjivo, registracijski broj kako je navedeno u službenoj evidenciji; |
(d) | elementi adrese, uključujući barem grad i državu, fizičke ili pravne osobe kojoj je izdan certifikat i, kada je to primjenjivo, kako je navedeno u službenoj evidenciji; |
(e) | naziv(i) domene(-a) kojom(-ima) upravlja fizička ili pravna osoba kojoj je izdan certifikat; |
(f) | podatke o početku i kraju roka valjanosti certifikata; |
(g) | identifikacijsku oznaku certifikata koja mora biti jedinstvena za kvalificiranog pružatelja usluga povjerenja; |
(h) | napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat; |
(i) | lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (h); |
(j) | lokaciju usluga statusa valjanosti certifikata koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata. |
whereas