EIDAS 2014/0910 HR

1. Sustav elektroničke identifikacije koji je prijavljen na temelju članka 9. stavka 1. određuje nisku, značajnu i/ili visoku razinu sigurnosti koja se pripisuje sredstvima elektroničke identifikacije koja su izdana u okviru tog sustava.

2. Niska, značajna odnosno visoka razina sigurnosti moraju ispunjavati sljedeće kriterije:

(a)

niska razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža ograničen stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha smanjenje rizika zlouporabe ili promjene identiteta;

(b)

značajna razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža značajan stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta;

(c)

visoka razina sigurnosti odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža viši stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe od sredstava elektroničke identifikacije sa značajnom razinom sigurnosti te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta.

3. Komisija, uzimajući u obzir odgovarajuće međunarodne norme i podložno stavku 2., provedbenim aktima do 18. rujna 2015. određuje minimalne tehničke specifikacije, norme i postupke u odnosu na koje se za sredstva elektroničke identifikacije u smislu stavka 1. utvrđuju niska, značajna i visoka razina sigurnosti.

Te minimalne tehničke specifikacije, norme i postupci određuju se upućivanjem na pouzdanost i kvalitetu sljedećih elemenata:

(a)	postupka radi dokazivanja i verifikacije identiteta fizičke ili pravne osobe koja podnosi zahtjev za izdavanje sredstava elektroničke identifikacije;

(b)	postupka za izdavanje traženih sredstava elektroničke identifikacije;

(c)	mehanizma autentikacije putem kojeg fizička ili pravna osoba koristi sredstva elektroničke identifikacije za potvrđivanje svoga identiteta pouzdajućoj strani;

(d)	tijela koje izdaje sredstvo elektroničke identifikacije;

(e)	svakog drugog tijela uključenog u podnošenje zahtjeva za izdavanje sredstava elektroničke identifikacije; i

(f)	tehničkih i sigurnosnih specifikacija izdanih sredstava elektroničke identifikacije.

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 9.

Prijavljivanje

1. Država članica koja provodi prijavljivanje Komisiji prijavljuje sljedeće informacije i, bez odgađanja, sve njihove naknadne izmjene:

(a)	opis sustava elektroničke identifikacije, uključujući njegove razine sigurnosti i izdavatelja ili izdavatelje sredstava elektroničke identifikacije u okviru sustava;

(b)

primjenjivi sustav nadzora i informacije o pravilima o odgovornosti s obzirom na sljedeće:

i.	stranu koja izdaje sredstvo elektroničke identifikacije; i

ii.	stranu koja provodi postupak autentikacije;

(c)	tijelo ili tijela odgovorno (odgovorna) za sustav elektroničke identifikacije;

(d)	informacije o subjektu ili subjektima koji upravljaju registracijom jedinstvenih osobnih identifikacijskih podataka;

(e)	opis načina ispunjavanja zahtjeva određenih u provedbenim aktima iz članka 12. stavka 8.;

(f)	opis autentikacije iz članka 7. točke (f);

(g)	dogovori za suspenziju ili opoziv bilo prijavljenog sustava elektroničke identifikacije ili autentikacije ili ugroženih dijelova o kojima je riječ.

2. Godinu dana od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8., Komisija u Službenom listu Europske unije objavljuje popis sustavâ elektroničke identifikacije koji su prijavljeni na temelju stavka 1. ovog članka i osnovne informacije o njima.

3. Ako Komisija primi prijavu nakon isteka razdoblja iz stavka 2., ona u Službenom listu Europske unije objavljuje izmjene popisa iz stavka 2., u roku od dva mjeseca od datuma primitka te prijave.

4. Država članica može Komisiji podnijeti zahtjev za uklanjanje sustava elektroničke identifikacije koji je prijavila ta država članica s popisa iz stavka 2. Komisija objavljuje odgovarajuće izmjene popisa u Službenom listu Europske unije u roku od mjeseca dana od datuma primitka zahtjeva države članice.

5. Komisija može provedbenim aktima utvrditi okolnosti, oblike i postupke prijava prema stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 12.

Suradnja i interoperabilnost

1. Nacionalni sustavi elektroničke identifikacije prijavljeni na temelju članka 9. stavka 1. moraju biti interoperabilni.

2. Za potrebe stavka 1., uspostavlja se okvir za interoperabilnost.

3. Okvir za interoperabilnost mora ispunjavati sljedeće kriterije:

(a)	za cilj ima tehnološku neutralnost i ne pravi razliku između bilo kojih posebnih nacionalnih tehničkih rješenja za elektroničku identifikaciju unutar određene države članice;

(b)	pridržava se europskih i međunarodnih normi, kada je to moguće;

(c)	olakšava provedbu načela „ugrađene zaštite privatnosti”; i

(d)	osigurava obradu osobnih podataka u skladu s Direktivom 95/46/EZ.

4. Okvir za interoperabilnost sastoji se od:

(a)	upućivanja na minimalne tehničke zahtjeve koji se odnose na razine sigurnosti prema članku 8.;

(b)	raspoređivanja nacionalnih razina sigurnosti prijavljenih sustava elektroničke identifikacije na razine sigurnosti prema članku 8.;

(c)	upućivanja na minimalne tehničke zahtjeve za interoperabilnost;

(d)	upućivanja na najmanji skup osobnih identifikacijskih podataka koji na nedvojben način predstavljaju fizičku ili pravnu osobu i kojim raspolažu sustavi elektroničke identifikacije;

(e)	poslovnika;

(f)	dogovorâ za rješavanje sporova; i

(g)	zajedničkih operativnih sigurnosnih normi.

5. Države članice surađuju u pogledu sljedećeg:

(a)	interoperabilnosti sustava elektroničke identifikacije koji su prijavljeni na temelju članka 9. stavka 1. i sustava elektroničke identifikacije koje države članice namjeravaju prijaviti; i

(b)	sigurnosti sustavâ elektroničke identifikacije.

6. Suradnja među državama članicama sastoji se od:

(a)	razmjene informacija, iskustva i dobre prakse u vezi sa sustavima elektroničke identifikacije i posebno u vezi s tehničkim zahtjevima koji se odnose na interoperabilnost i razine sigurnosti;

(b)	razmjene informacija, iskustva i dobre prakse u vezi s radom s razinama sigurnosti sustavâ elektroničke identifikacije u skladu s člankom 8.;

(c)	stručnog pregleda sustava elektroničke identifikacije obuhvaćenih ovom Uredbom; i

(d)	pregleda odgovarajućih kretanja u sektoru elektroničke identifikacije.

7. Komisija provedbenim aktima do 18. ožujka 2015. uspostavlja potrebne postupovne aranžmane kako bi olakšala suradnju među državama članicama iz stavaka 5. i 6., s ciljem poticanja visoke razine povjerenja i sigurnosti koja je primjerena stupnju rizika.

8. Komisija u svrhu određivanja jednakih uvjeta za provedbu zahtjeva prema stavku 1. do 18. rujna 2015. donosi provedbene akte o okviru za interoperabilnost kako je određeno u stavku 4., podložno kriterijima određenima u stavku 3. te uzimajući u obzir rezultate suradnje među državama članicama.

9. Provedbeni akti iz stavaka 7. i 8. ovog članka donose se u skladu s postupkom ispitivanja iz članka 48. stavka 2.

POGLAVLJE III.

USLUGE POVJERENJA

ODJELJAK 1.

Opće odredbe

Članak 17.

Nadzorno tijelo

1. Države članice određuju nadzorno tijelo s poslovnim nastanom na njihovom državnom području ili, prema uzajamnom dogovoru s drugom državom članicom, nadzorno tijelo s poslovnim nastanom u toj drugoj državi članici. To tijelo je odgovorno za zadaće nadzora u državi članici koja ga određuje.

Nadzornim se tijelima dodjeljuju potrebne ovlasti i odgovarajuća sredstva za obavljanje njihovih zadaća.

2. Države članice obavješćuju Komisiju i druge države članice o nazivima i adresama svojih nadzornih tijela koja su odredile.

3. Uloga nadzornog tijela jest sljedeća:

(a)

da nadzire kvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje kako bi se osiguralo, putem prethodnih (ex ante) i naknadnih (ex post) aktivnosti nadzora, da ti kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi;

(b)

da, prema potrebi, poduzima mjere u odnosu na nekvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ga određuje, putem naknadnih (ex post) aktivnosti nadzora, kada primi obavijest da ti nekvalificirani pružatelji usluga povjerenja ili usluge povjerenja koje oni pružaju navodno ne ispunjavaju zahtjeve utvrđene u ovoj Uredbi.

4. Za potrebe stavka 3. i podložno u njemu predviđenim ograničenjima, zadaće nadzornog tijela posebno uključuju:

(a)	suradnju s drugim nadzornim tijelima i pružanje pomoći tim tijelima u skladu s člankom 18.;

(b)	analiziranje izvješćâ o ocjenjivanju sukladnosti iz članka 20. stavka 1. i članka 21. stavka 1.;

(c)	obavješćivanje drugih nadzornih tijela i javnosti o povredama sigurnosti ili gubitku cjelovitosti u skladu s člankom 19. stavkom 2.;

(d)	izvješćivanje Komisije o svojim glavnim aktivnostima u skladu sa stavkom 6. ovog članka;

(e)	obavljanje revizija ili zahtijevanje od tijela za ocjenjivanje sukladnosti da provede ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja u skladu s člankom 20. stavkom 2.;

(f)	suradnju s tijelima za zaštitu podataka, a posebice obavješćujući ih, bez odgađanja, o rezultatima revizija kvalificiranih pružatelja usluga povjerenja, u slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka;

(g)	dodjeljivanje kvalificiranog statusa pružateljima usluga povjerenja i uslugama koje oni pružaju i ukidanje tog statusa u skladu s člancima 20. i 21.;

(h)	obavješćivanje tijela odgovornog za nacionalni pouzdani popis iz članka 22. stavka 3. o odlukama o dodjeljivanju ili ukidanju kvalificiranog statusa, osim ako je to tijelo ujedno i nadzorno tijelo;

(i)	provjeravanje postojanja i pravilne primjene odredaba o planovima prekida u slučajevima kada kvalificirani pružatelj usluga povjerenja prekine svoje aktivnosti, uključujući način na koji se održava dostupnost informacija u skladu s člankom 24. stavkom 2. točkom (h);

(j)	zahtijevanje od pružatelja usluga povjerenja da otklone svako nepoštovanje zahtjeva utvrđenih u ovoj Uredbi.

5. Države članice mogu od nadzornog tijela zahtijevati da uspostavi, održava i ažurira infrastrukturu povjerenja u skladu s uvjetima prema nacionalnom pravu.

6. Svako nadzorno tijelo Komisiji do 31. ožujka svake godine dostavlja izvješće o svojim glavnim aktivnostima u prethodnoj kalendarskoj godini, zajedno sa sažetkom obavijesti o povredama koje je primilo od pružatelja usluga povjerenja u skladu s člankom 19. stavkom 2.

7. Komisija stavlja na raspolaganje državama članicama godišnje izvješće iz stavka 6.

8. Komisija može provedbenim aktima utvrditi oblike i postupke izvješća iz stavka 6. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 19.

Sigurnosni zahtjevi primjenjivi na pružatelje usluga povjerenja

1. Kvalificirani i nekvalificirani pružatelji usluga povjerenja poduzimaju odgovarajuće tehničke i organizacijske mjere za upravljanje rizicima koji prijete sigurnosti usluga povjerenja koje oni pružaju. Uzimajući u obzir najnovija tehnološka rješenja, tim se mjerama osigurava da razina sigurnosti odgovara stupnju rizika. Posebno se poduzimaju mjere za sprečavanje i smanjivanje utjecaja sigurnosnih incidenata te za obavješćivanje dionika o neželjenim učincima bilo kakvih incidenata te vrste.

2. Kvalificirani i nekvalificirani pružatelji usluga povjerenja obavješćuju, bez odgađanja, ali u svakom slučaju u roku od 24 sata od saznanja za iste, nadzorno tijelo i, prema potrebi, druga odgovarajuća tijela, kao što je nadležno nacionalno tijelo za sigurnost informacija ili tijelo za zaštitu podataka, o svakoj povredi sigurnosti ili gubitku cjelovitosti koji imaju značajan utjecaj na pruženu uslugu povjerenja ili u njoj sadržane osobne podatke.

Ako je izgledno da bi povreda sigurnosti ili gubitak cjelovitosti mogli nepovoljno utjecati na fizičku ili pravnu osobu kojoj su pružene usluge povjerenja, pružatelj usluga povjerenja o povredi ili gubitku cjelovitosti bez odgađanja obavješćuje i tu fizičku ili pravnu osobu.

Prema potrebi, posebno ako se povreda sigurnosti ili gubitak cjelovitosti odnosi na dvije države članice ili više njih, prijavljeno nadzorno tijelo obavješćuje nadzorna tijela u drugim državama članicama na koje se to odnosi i ENISA-u.

Prijavljeno nadzorno tijelo obavješćuje javnost ili zahtijeva od pružatelja usluga povjerenja da to učini ako utvrdi da je otkrivanje povrede sigurnosti ili gubitka cjelovitosti u javnom interesu.

3. Nadzorno tijelo jednom godišnje dostavlja ENISA-i sažetak obavijesti o povredi sigurnosti i gubitku cjelovitosti koje je primilo od pružateljâ usluga povjerenja.

4. Komisija može provedbenim aktima:

(a)	podrobnije odrediti mjere iz stavka 1.; i

(b)	odrediti oblike i postupke, uključujući rokove, primjenjive za potrebe stavka 2.

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

ODJELJAK 3.

Kvalificirane usluge povjerenja

Članak 20.

Nadzor kvalificiranih pružatelja usluga povjerenja

1. Tijelo za ocjenjivanje sukladnosti obavlja reviziju pružatelja kvalificiranih usluga povjerenja o njihovu trošku i najmanje svaka 24 mjeseca. Svrha revizija sastoji se u potvrđivanju da kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. Kvalificirani pružatelji usluga povjerenja nadzornom tijelu podnose izvješće o ocjenjivanju sukladnosti u roku od tri radna dana od njegova primitka.

2. Ne dovodeći u pitanje stavak 1., nadzorno tijelo može u bilo kojem trenutku obaviti reviziju ili zahtijevati od tijela za ocjenjivanje sukladnosti da obavi ocjenjivanje sukladnosti pružatelja kvalificiranih usluga povjerenja, o trošku tih pružatelja usluga povjerenja, kako bi potvrdilo da pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi. U slučaju kada se čini da je došlo do povrede pravila o zaštiti osobnih podataka, nadzorno tijelo obavješćuje tijela za zaštitu podataka o rezultatima svojih revizija.

3. U slučaju kada nadzorno tijelo zahtijeva od pružatelja kvalificiranih usluga povjerenja da otkloni bilo kakvo nepoštovanje zahtjeva prema ovoj Uredbi i kada pružatelj usluge ne postupi u skladu s tim zahtjevom, te ako je to primjenjivo i u roku koji odredi nadzorno tijelo, nadzorno tijelo može, posebno uzimajući u obzir opseg, trajanje i posljedice tog nepoštovanja, ukinuti kvalificirani status tog pružatelja usluge ili obuhvaćene usluge koju on pruža te može za potrebe ažuriranja pouzdanih popisa iz članka 22. stavka 1. obavijestiti tijelo iz članka 22. stavka 3. Nadzorno tijelo obavješćuje kvalificiranog pružatelja usluga povjerenja o ukidanju njegova kvalificiranog statusa ili kvalificiranog statusa dotične usluge.

4. Komisija može provedbenim aktima utvrditi referentne brojeve sljedećih normi:

(a)	akreditacije tijela za ocjenu sukladnosti i za izvješće o ocjenjivanju sukladnosti iz stavka 1.;

(b)	pravila revizije prema kojima će tijela za ocjenjivanje sukladnosti provoditi ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja kako je navedeno u stavku 1.

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 21.

Početak pružanja kvalificirane usluge povjerenja

1. Ako pružatelji usluga povjerenja bez kvalificiranog statusa namjeravaju započeti s pružanjem kvalificiranih usluga povjerenja, oni nadzornom tijelu podnose prijavu o svojoj namjeri zajedno s izvješćem o ocjenjivanju sukladnosti koje je izdalo tijelo za ocjenjivanje sukladnosti.

2. Nadzorno tijelo provjerava je li pružatelj usluga povjerenja sukladan odnosno jesu li usluge povjerenja koje on pruža sukladne sa zahtjevima utvrđenima u ovoj Uredbi i posebno sa zahtjevima za kvalificirane pružatelje usluga povjerenja i za kvalificirane usluge povjerenja koje oni pružaju.

Ako nadzorno tijelo zaključi da su pružatelj usluga povjerenja i usluge povjerenja koje on pruža sukladni zahtjevima iz prvog podstavka, nadzorno tijelo odobrava kvalificirani status pružatelju usluga povjerenja i uslugama povjerenja koje on pruža te obavješćuje tijelo iz članka 22. stavka 3. u svrhu ažuriranja pouzdanih popisa iz članka 22. stavka 1., najkasnije tri mjeseca nakon prijave u skladu sa stavkom 1. ovog članka.

Ako provjera nije dovršena u roku od tri mjeseca od obavješćivanja, nadzorno tijelo o tome obavješćuje pružatelja usluga povjerenja, navodeći razloge za kašnjenje i rok do kojeg provjera mora biti dovršena.

3. Pružatelji kvalificiranih usluga povjerenja mogu početi pružati kvalificiranu uslugu povjerenja nakon što kvalificirani status bude naznačen na pouzdanim popisima iz članka 22. stavka 1.

4. Komisija može provedbenim aktima utvrditi oblike i postupke za potrebe stavaka 1. i 2. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 22.

Pouzdani popisi

1. Svaka država članica izrađuje, vodi i objavljuje pouzdane popise, uključujući informacije o kvalificiranim pružateljima usluga povjerenja za koje je ta država članica odgovorna, zajedno s informacijama o kvalificiranim uslugama povjerenja koje oni pružaju.

2. Države članice u obliku prikladnom za automatiziranu obradu i na siguran način izrađuju, vode i objavljuju elektronički potpisane ili pečaćene pouzdane popise iz stavka 1.

3. Države članice bez odgađanja obavješćuju Komisiju o informacijama o tijelu odgovornom za izradu, vođenje i objavljivanje nacionalnih pouzdanih popisa i detaljima o tome gdje se takvi popisi objavljuju, certifikatima korištenima za potpisivanje ili pečaćenje pouzdanih popisa i svim njihovim izmjenama.

4. Komisija stavlja na raspolaganje javnosti informacije iz stavka 3. na siguran način, u elektronički potpisanom ili pečaćenom formatu prikladnom za automatiziranu obradu.

5. Komisija putem provedbenih akata do 18. rujna 2015. navodi informacije iz stavka 1. i utvrđuje tehničke specifikacije i formate za pouzdane popise primjenjive za potrebe stavaka od 1. do 4. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 23.

EU znak pouzdanosti za kvalificirane usluge povjerenja

1. Nakon što kvalificirani status iz članka 21. stavka 2. drugog podstavka bude naznačen na popisu pružatelja usluga povjerenja iz članka 22. stavka 1., pružatelji kvalificiranih usluga povjerenja mogu se koristiti EU znakom pouzdanosti kako bi na jednostavan, prepoznatljiv i jasan način naznačili kvalificirane usluge povjerenja koje pružaju.

2. Pri korištenju EU znakom pouzdanosti za kvalificirane usluge povjerenja iz stavka 1. kvalificirani pružatelji usluga povjerenja osiguravaju da na njihovim mrežnim stranicama bude dostupna poveznica na odgovarajući popis pružatelja usluga povjerenja.

3. Komisija do 1. srpnja 2015. provedbenim aktima propisuje specifikacije u odnosu na oblik te posebno izgled, sastav, veličinu i dizajn EU znaka pouzdanosti za kvalificirane usluge povjerenja. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 24.

Zahtjevi u vezi s kvalificiranim pružateljima usluga povjerenja

1. Pri izdavanju kvalificiranog certifikata za uslugu povjerenja kvalificirani pružatelj usluga povjerenja provjerava, na odgovarajući način i u skladu s nacionalnim pravom, identitet i, ako je to primjenjivo, posebna obilježja fizičke ili pravne osobe kojoj se izdaje kvalificirani certifikat.

Informacije iz prvog podstavka provjerava kvalificirani pružatelj usluga povjerenja bilo izravno ili oslanjajući se na treću osobu u skladu s nacionalnim pravom:

(a)	fizičkom prisutnošću fizičke osobe ili ovlaštenog predstavnika pravne osobe; ili

(b)

na daljinu, pomoću sredstava elektroničke identifikacije, za koja je prije izdavanja kvalificiranog certifikata osigurana fizička prisutnost fizičke osobe ili ovlaštenog predstavnika pravne osobe i koja ispunjavaju zahtjeve određene u članku 8. u pogledu sigurnosnih razina „značajna” ili „visoka”; ili

(c)	pomoću certifikata kvalificiranog elektroničkog potpisa ili kvalificiranog elektroničkog pečata izdanog u skladu s točkom (a) ili (b); ili

(d)	pomoću drugih metoda identifikacije priznatih na nacionalnoj razini koja po pitanju pouzdanosti pružaju sigurnost jednaku fizičkoj prisutnosti. Jednaku sigurnost potvrđuje tijelo za ocjenjivanje sukladnosti.

2. Kvalificirani pružatelj usluga povjerenja:

(a)	obavješćuje nadzorno tijelo o svim promjenama u vezi s pružanjem svojih kvalificiranih usluga povjerenja te o namjeri prestanka obavljanja te djelatnosti;

(b)

zapošljava osoblje i, ako je to primjenjivo, podizvođače koji posjeduju potrebno stručno znanje, pouzdanost, iskustvo i kvalifikacije i koji su prošli odgovarajuće osposobljavanje u vezi sa sigurnošću i propisima o zaštiti osobnih podataka te primjenjuju upravne i upravljačke postupke u skladu s europskim ili međunarodnim normama;

(c)	u pogledu rizika od odgovornosti za štetu u skladu s člankom 13., raspolaže dostatnim financijskim sredstvima i/ili je sklopio odgovarajuće osiguranje od odgovornosti, u skladu s nacionalnim pravom;

(d)	prije stupanja u ugovorni odnos, obavješćuje, na jasan i sveobuhvatan način, svaku osobu koja želi koristiti kvalificiranu uslugu povjerenja o točnim uvjetima korištenja tom uslugom, uključujući bilo kakva ograničenja korištenja;

(e)	koristi vjerodostojne sustave i proizvode koji su zaštićeni od preinaka te osiguravaju tehničku sigurnost i pouzdanost postupaka koje ti sustavi i proizvodi podržavaju;

(f)

koristi vjerodostojne sustave za pohranu podataka koji su mu dostavljeni, u obliku koji se može provjeriti, kako bi:

i.	ti podaci bili javno dostupni za dohvat samo uz pristanak osobe na koju se ti podaci odnose;

ii.	samo ovlaštene osobe mogle obavljati nove unose u pohranjene podatke i mijenjati ih;

iii.	se mogla provjeriti autentičnost podataka;

(g)	poduzima odgovarajuće mjere protiv krivotvorenja i krađe podataka;

(h)

bilježi i čini dostupnima tijekom odgovarajućeg razdoblja, uključujući razdoblje nakon prestanka obavljanja djelatnosti kvalificiranog pružatelja usluga povjerenja, sve bitne informacije u vezi s podacima koje izdaje i prima kvalificirani pružatelj usluga povjerenja, a posebno za potrebe predlaganja dokaza u sudskim postupcima i u svrhu osiguravanja kontinuiteta usluge. Takvo se bilježenje može obavljati elektronički;

(i)	ima ažuriran plan prekida pružanja usluge radi osiguravanja njezina kontinuiteta u skladu s odredbama koje je potvrdilo nadzorno tijelo prema članku 17. stavku 4. točki (i);

(j)	osigurava zakonitu obradu osobnih podataka u skladu s Direktivom 95/46/EZ;

(k)	ako je riječ o kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane certifikate, uspostavlja i ažurira bazu podataka certifikata.

3. Ako kvalificirani pružatelj usluga povjerenja koji izdaje kvalificirane certifikate odluči opozvati certifikat, on registrira opoziv certifikata u svojoj bazi podataka certifikata i pravodobno objavljuje status opoziva certifikata, a u svakom slučaju unutar 24 sata nakon primitka zahtjeva. Opoziv stupa na snagu odmah nakon njegove objave.

4. Imajući u vidu stavak 3., kvalificirani pružatelji usluga povjerenja koji izdaju kvalificirane certifikate pružaju bilo kojoj pouzdajućoj strani informacije o statusu valjanosti ili opoziva kvalificiranih certifikata koje su izdali. Te informacije moraju biti dostupne barem za pojedinačne certifikate, u svakom trenutku i nakon isteka razdoblja valjanosti certifikata, na automatiziran način koji je pouzdan, besplatan i učinkovit.

5. Komisija može provedbenim aktima utvrditi referentne brojeve normi za vjerodostojne sustave i proizvode koji ispunjavaju zahtjeve u skladu sa stavkom 2. točkama (e) i (f) ovog članka. Ako vjerodostojni sustavi i proizvodi udovoljavaju tim normama, smatra se da su ispunjeni zahtjevi iz ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

ODJELJAK 4.

Elektronički potpisi

Članak 27.

Elektronički potpisi u javnim uslugama

1. Ako država članica zahtijeva napredan elektronički potpis za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise, napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu za elektroničke potpise i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.

2. Ako država članica zahtijeva napredan elektronički potpis koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili uslugom koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu i kvalificirane elektroničke potpise barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.

3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički potpis više sigurnosne razine od kvalificiranog elektroničkog potpisa.

4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke potpise. Ako napredni elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke potpise iz stavaka 1. i 2. ovog članka te članka 26. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, putem provedbenih akata do 18. rujna 2015. utvrđuje referentne formate naprednih elektroničkih potpisa ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 28.

Kvalificirani certifikati za elektroničke potpise

1. Kvalificirani certifikati za elektroničke potpise moraju ispunjavati zahtjeve utvrđene u Prilogu I.

2. Kvalificirani certifikati za elektroničke potpise ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu I.

3. Kvalificirani certifikati za elektroničke potpise mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih potpisa.

4. Ako je kvalificirani certifikat za elektroničke potpise opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.

5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektronički potpis podložno sljedećim uvjetima:

(a)	ako je kvalificirani certifikat za elektronički potpis privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;

(b)	razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje se pružaju informacije o statusu certifikata.

6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektronički potpis. Ako kvalificirani certifikat za elektronički potpis udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu I. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 29.

Zahtjevi za kvalificirana sredstva za izradu elektroničkih potpisa

1. Kvalificirana sredstva za izradu elektroničkih potpisa moraju ispunjavati zahtjeve utvrđene u Prilogu II.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirana sredstva za izradu elektroničkih potpisa. Ako kvalificirano sredstvo za izradu elektroničkog potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu II. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 30.

Certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa

1. Sukladnost kvalificiranih sredstava za izradu elektroničkih potpisa sa zahtjevima utvrđenima u Prilogu II. potvrđuju odgovarajuća javna ili privatna tijela koja određuju države članice.

2. Države članice obavješćuju Komisiju o nazivima i adresama javnih ili privatnih tijela iz stavka 1. Komisija stavlja te informacije na raspolaganje državama članicama.

3. Certificiranje iz stavka 1. temelji se na jednom od sljedećeg:

(a)	postupku sigurnosne evaluacije u skladu s jednom od normi za ocjenu sigurnosti proizvoda informacijske tehnologije uvrštenih na popis koji se utvrđuje u skladu s drugim podstavkom; ili

(b)

postupku različitom od postupka iz prethodne točke, pod uvjetom da on koristi usporedive sigurnosne razine te pod uvjetom da javno ili privatno tijelo iz stavka 1. obavijesti Komisiju o tom postupku. Taj se postupak može koristiti samo u slučaju nepostojanja normi navedenih u točki (a) ili kada je postupak sigurnosne evaluacije iz točke (a) u tijeku.

Komisija provedbenim aktima utvrđuje popis normi za ocjenu sigurnosti proizvoda informacijske tehnologije iz točke (a). Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

4. Komisija je ovlaštena donositi delegirane akte u skladu s člankom 47., u vezi s utvrđivanjem posebnih kriterija koje moraju ispuniti tijela iz stavka 1. ovog članka koja su određena.

Članak 31.

Objavljivanje popisa certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa

1. Države članice obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon dovršetka certificiranja, o informacijama o sredstvima za izradu kvalificiranog elektroničkog potpisa koja su certificirala tijela iz članka 30. stavka 1. Također obavješćuju Komisiju, bez odgađanja, a najkasnije u roku od mjeseca dana nakon poništenja certificiranja, o informacijama o sredstvima za izradu elektroničkog potpisa koja više nisu certificirana.

2. Na temelju primljenih informacija Komisija izrađuje, objavljuje i vodi popis certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa.

3. Komisija može provedbenim aktima utvrditi formate i postupke primjenjive za potrebe stavka 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 32.

Zahtjevi za validaciju kvalificiranih elektroničkih potpisa

1. Postupkom validacije kvalificiranog elektroničkog potpisa potvrđuje se valjanost kvalificiranog elektroničkog potpisa pod sljedećim uvjetima:

(a)	certifikat koji podržava potpis je u trenutku potpisivanja bio kvalificirani certifikat za elektronički potpis koji je u skladu Prilogom I.;

(b)	kvalificirani certifikat izdao je kvalificirani pružatelj usluga povjerenja i bio je valjan u trenutku potpisivanja;

(c)	podaci za validaciju potpisa odgovaraju podacima koji se pružaju pouzdajućoj strani;

(d)	jedinstveni skup podataka koji predstavlja potpisnika u certifikatu ispravno je dostavljen pouzdajućoj strani;

(e)	korištenje pseudonimom, ako je pseudonim bio korišten u trenutku potpisivanja, jasno je naznačeno pouzdajućoj strani;

(f)	elektronički potpis izrađen je sredstvom za izradu kvalificiranog elektroničkog potpisa;

(g)	nije ugrožena cjelovitost potpisanih podataka;

(h)	zahtjevi predviđeni u članku 26. bili su ispunjeni u trenutku potpisivanja.

2. Sustav koji se upotrebljava za potvrđivanje kvalificiranog elektroničkog potpisa osigurava pouzdajućoj strani točan rezultat postupka validacije i omogućuje joj otkrivanje svih poteškoća bitnih za sigurnost.

3. Komisija može provedbenim aktima utvrditi referentne brojeve normi za validaciju kvalificiranih elektroničkih potpisa. Ako validacija kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 33.

Kvalificirana usluga validacije kvalificiranih elektroničkih potpisa

1. Kvalificiranu uslugu validacije kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji:

(a)	pruža validaciju u skladu s člankom 32. stavkom 1.; i

(b)	omogućuje pouzdajućim stranama primanje rezultata postupka validacije na automatizirani način koji je pouzdan, učinkovit i nosi napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluge validacije.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu validacije iz stavka 1. Ako usluga validacije kvalificiranih elektroničkih potpisa udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 34.

Kvalificirana usluga čuvanja kvalificiranih elektroničkih potpisa

1. Kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji koristi postupke i tehnologije koje mogu produljiti pouzdanost kvalificiranog elektroničkog potpisa na razdoblje koje je dulje od razdoblja tehnološke valjanosti.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa. Ako dogovori za kvalificiranu uslugu čuvanja kvalificiranih elektroničkih potpisa udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

ODJELJAK 5.

Elektronički pečati

Članak 37.

Elektronički pečati u javnim uslugama

1. Ako država članica zahtijeva napredan elektronički pečat za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate, napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu za elektroničke pečate i kvalificirane elektroničke pečate barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.

2. Ako država članica zahtijeva napredan elektronički pečat koji se temelji na kvalificiranom certifikatu za korištenje online uslugom koju nudi tijelo javnog sektora ili usluge koja se nudi u ime tijela javnog sektora, ta država članica priznaje napredne elektroničke pečate koji se temelje na kvalificiranom certifikatu i kvalificiranom elektroničkom potpisu barem u formatima ili korištenjem metodama koji su određeni u provedbenim aktima iz stavka 5.

3. Za prekogranično korištenje online uslugom koju nudi tijelo javnog sektora države članice ne zahtijevaju elektronički pečat više sigurnosne razine od kvalificiranog elektroničkog pečata.

4. Komisija može provedbenim aktima utvrditi referentne brojeve normi za napredne elektroničke pečate. Ako napredni elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima za napredne elektroničke pečate iz stavaka 1. i 2. ovog članka i članka 36. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

5. Komisija, uzimajući u obzir postojeću praksu, norme i pravne akte Unije, do 18. rujna 2015. provedbenim aktima utvrđuje referentne formate naprednih elektroničkih pečata ili referentne metode ako se koriste alternativni formati. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 38.

Kvalificirani certifikati za elektroničke pečate

1. Kvalificirani certifikati za elektroničke pečate moraju ispunjavati zahtjeve utvrđene u Prilogu III.

2. Kvalificirani certifikati za elektroničke pečate ne smiju podlijegati obveznim zahtjevima koji prelaze zahtjeve utvrđene u Prilogu III.

3. Kvalificirani certifikati za elektroničke pečate mogu uključivati dodatna posebna obilježja koja nisu obvezna. Ta obilježja ne utječu na interoperabilnost i priznavanje kvalificiranih elektroničkih pečata.

4. Ako je kvalificirani certifikat za elektronički pečat opozvan nakon početne aktivacije, on gubi valjanost od trenutka opoziva i njegov se status ni u kojem slučaju ne može vratiti u prijašnje stanje.

5. Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektroničke pečate podložno sljedećim uvjetima:

(a)	ako je kvalificirani certifikat za elektronički pečat privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;

(b)	razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje pružaju informacije o statusu certifikata.

6. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za elektroničke pečate. Ako kvalificirani certifikat za elektronički pečat udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu III. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

Članak 42.

Zahtjevi za kvalificirane elektroničke vremenske žigove

1. Kvalificirani elektronički vremenski žig mora ispunjavati sljedeće zahtjeve:

(a)	povezuje datum i vrijeme s podacima na način kojim se u razumnoj mjeri isključuje mogućnost nezapažene promjene podataka;

(b)	temelji se na izvoru točnog vremena povezanom s koordiniranim svjetskim vremenom; i

(c)	potpisan je pomoću naprednog elektroničkog potpisa ili pečaćen pomoću naprednog elektroničkog pečata kvalificiranog pružatelja usluga povjerenja ili jednakovrijednom metodom.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za povezivanje datuma i vremena s podacima i za izvore točnog vremena. Ako povezivanje datuma i vremena s podacima i izvor točnog vremena udovoljavaju tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

ODJELJAK 7.

Usluge elektroničke preporučene dostave

Članak 44.

Zahtjevi za kvalificirane usluge elektroničke preporučene dostave

1. Kvalificirane usluge elektroničke preporučene dostave moraju ispunjavati sljedeće zahtjeve:

(a)	pruža ih jedan kvalificirani pružatelj usluga povjerenja ili više njih;

(b)	uz visoku razinu pouzdanja osiguravaju identifikaciju pošiljatelja;

(c)	osiguravaju identifikaciju primatelja prije dostave podataka;

(d)	slanje i primanje podataka osigurano je naprednim elektroničkim potpisom ili naprednim elektroničkim pečatom kvalificiranog pružatelja usluga povjerenja na način kojim se isključuje mogućnost nezapažene promjene podataka;

(e)	pošiljatelju i primatelju podataka jasno se naznačuje svaka promjena podataka potrebna radi slanja ili primanja podataka;

(f)	datum i vrijeme slanja, primanja i eventualne promjene podataka naznačuju se kvalificiranim elektroničkim vremenskim žigom.

U slučaju prijenosa podataka između dvaju kvalificiranih pružatelja usluga povjerenja ili više njih, zahtjevi iz točaka od (a) do (f) primjenjuju se na sve kvalificirane pružatelje usluga povjerenja.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za postupke slanja i primanja podataka. Ako postupak slanja i primanja podataka udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u stavku 1. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

ODJELJAK 8.

Autentikacija mrežnih stranica

Članak 45.

Zahtjevi za kvalificirane certifikate za autentikaciju mrežnih stranica

1. Kvalificirani certifikati za autentikaciju mrežnih stranica moraju ispunjavati zahtjeve utvrđene u Prilogu IV.

2. Komisija može provedbenim aktima utvrditi referentne brojeve normi za kvalificirane certifikate za autentikaciju mrežnih stranica. Ako kvalificirani certifikat za autentikaciju mrežnih stranica udovoljava tim normama, smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u Prilogu IV. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.

POGLAVLJE IV.

ELEKTRONIČKI DOKUMENTI

whereas

keyboard_tab EIDAS 2014/0910 HR

EIDAS 2014/0910 HR