keyboard_tab EIDAS 2014/0910 LT

whereas dalyje:

definitions:

7 straipsnis

Pranešimo apie elektroninės atpažinties schemas atitiktis reikalavimams

Elektroninės atpažinties schema atitinka pranešimo apie ją pagal 9 straipsnio 1 dalį reikalavimus, su sąlyga, kad įvykdomos visos šios sąlygos:

a)	elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą yra išduotos: i) pranešančiosios valstybės narės; ii) pagal pranešančiosios valstybės narės suteiktą įgaliojimą ar iii) nepriklausomai nuo pranešančiosios valstybės narės ir yra tos valstybės narės pripažintos;

b)	elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą gali būti naudojamos norint pasinaudoti bent viena viešojo sektoriaus įstaigos teikiama paslauga, kuria reikalaujama užtikrinti elektroninę atpažintį pranešančiojoje valstybėje narėje;

c)	elektroninės atpažinties schema ir pagal ją išduodamos elektroninės atpažinties priemonės tenkina bent vieno iš saugumo užtikrinimo lygių reikalavimus, nustatytus 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

d)

pranešančioji valstybė narė užtikrina, kad asmens tapatybės duomenys, kuriais nurodomas konkretus atitinkamas asmuo, būtų susieti su 3 straipsnio 1 punkte nurodytu fiziniu arba juridiniu asmeniu elektroninės atpažinties priemonės išdavimo pagal tą schemą metu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

e)

elektroninę atpažinties priemonę pagal tą schemą išduodanti šalis užtikrina, kad elektroninė atpažinties priemonė būtų susieta su šio straipsnio d punkte nurodytu asmeniu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

f)

pranešančioji valstybė narė užtikrina tapatumo nustatymo internete galimybę, kad bet kuri pasikliaujančioji šalis, įsteigta kitos valstybės narės teritorijoje, galėtų patvirtinti gautus elektroninės formos asmens tapatybės duomenis. Pasikliaujančiosioms šalims, kurios nėra viešojo sektoriaus įstaigos, pranešančioji valstybė narė gali nustatyti naudojimosi ta tapatumo nustatymo galimybe tvarką. Tarpvalstybinis tapatumo nustatymas yra nemokamas, kai jis susijęs su viešojo sektoriaus įstaigos teikiama internetine paslauga. Valstybės narės nenustato pasikliaujančiosioms šalims, kurios ketina atlikti tokį tapatumo nustatymą, jokių specialių neproporcingų techninių reikalavimų, kai dėl tokių reikalavimų užkertamas kelias arba kyla esminių kliūčių elektroninės atpažinties schemų, apie kurias pranešta, sąveikumui;

g)

bent prieš šešis mėnesius iki pranešimo pagal 9 straipsnio 1 dalį pranešančioji valstybė narė kitoms valstybėms narėms 12 straipsnio 5 dalyje nustatytos pareigos įvykdymo tikslais pateikia tos schemos aprašymą pagal procedūrines sąlygas, nustatytas 12 straipsnio 7 dalyje nurodytuose įgyvendinimo aktuose;

h)	elektroninės atpažinties schema atitinka 12 straipsnio 8 dalyje nurodytame įgyvendinimo akte nustatytus reikalavimus.

8 straipsnis

Elektroninės atpažinties schemų saugumo užtikrinimo lygiai

1.   Elektroninės atpažinties schemoje, apie kurią pranešta pagal 9 straipsnio 1 dalį, apibrėžiami elektroninės atpažinties priemonių, išduodamų pagal tą schemą, žemas, pakankamas ir (arba) aukštas saugumo užtikrinimo lygiai.

2.   Žemas, pakankamas ir aukštas saugumo užtikrinimo lygiai atitinkamai atitinka šiuos kriterijus:

a)

žemas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas ribotas pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis – sumažinti netinkamo pasinaudojimo tapatybe arba jos pakeitimo riziką;

b)

pakankamas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas pakankamas pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis – labai sumažinti netinkamo pasinaudojimo tapatybe arba jos pakeitimo riziką;

c)

aukštas saugumo užtikrinimo lygis grindžiamas elektroninės atpažinties priemone elektroninės atpažinties schemos kontekste, kuria užtikrinamas aukštesnis pareikštos arba patvirtintos asmens tapatybės patikimumo laipsnis nei pakankamo saugumo užtikrinimo lygio elektroninės atpažinties priemone ir kuri apibūdinama remiantis su ja susijusiomis techninėmis specifikacijomis, standartais ir procedūromis, įskaitant technines kontrolės priemones, kurių paskirtis – užkirsti kelią netinkamam pasinaudojimui tapatybe arba jos pakeitimui.

3.   Ne vėliau kaip 2015 m. rugsėjo 18 d., atsižvelgdama į atitinkamus tarptautinius standartus ir laikydamasi 2 dalies, Komisija priima įgyvendinimo aktus, kuriais nustato minimalias technines specifikacijas, standartus ir procedūras, kuriomis remiantis 1 dalies tikslais apibrėžiami elektroninės atpažinties priemonių žemas, pakankamas ir aukštas saugumo užtikrinimo lygiai.

Tos minimalios techninės specifikacijos, standartai ir procedūros nustatomi remiantis tuo, ar toliau nurodyti elementai yra patikimi ir kokybiški:

a)	fizinių ar juridinių asmenų, pateikusių prašymą išduoti elektroninės atpažinties priemones, tapatybės įrodymo ir patikrinimo procedūra;

b)	prašomų elektroninės atpažinties priemonių išdavimo procedūra;

c)	tapatumo nustatymo mechanizmas, kurį taikant fizinis arba juridinis asmuo naudojasi elektroninės atpažinties priemone, kad patvirtintų pasikliaujančiajai šaliai savo tapatybę;

d)	elektroninės atpažinties priemonę išduodantis subjektas;

e)	bet kuri kita įstaiga, dalyvaujanti teikiant prašymą išduoti elektroninės atpažinties priemonę, ir

f)	išduotos elektroninės atpažinties priemonės techninės ir saugumo specifikacijos.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

9 straipsnis

Pranešimas

1.   Pranešančioji valstybė narė praneša Komisijai toliau nurodomą informaciją ir nedelsdama informuoja apie visus vėlesnius jos pakeitimus:

a)	elektroninės atpažinties schemos, apie kurią pranešama, aprašą, įskaitant jos saugumo užtikrinimo lygius ir elektroninės atpažinties priemonių pagal schemą išdavėją ar išdavėjus;

b)	taikytiną priežiūros režimą ir informaciją apie atsakomybės režimą, susijusius su: i) elektroninės atpažinties priemonę išduodančia šalimi ir ii) tapatumo nustatymo procedūrą vykdančia šalimi;

c)	valdžios instituciją arba institucijas, atsakingas už elektroninės atpažinties schemą;

d)	informaciją apie subjektą arba subjektus, kurie tvarko unikalių asmens tapatybės duomenų registraciją;

e)	aprašymą, kaip vykdomi 12 straipsnio 8 dalyje nurodytuose įgyvendinimo aktuose nustatyti reikalavimai;

f)	7 straipsnio f punkte nurodyto tapatumo nustatymo aprašą;

g)	elektroninės atpažinties schemos, apie kurią pranešama, tapatumo nustatymo arba atitinkamų nepatikimų sudedamųjų dalių naudojimo sustabdymo arba atšaukimo nuostatas.

2.   Praėjus vieneriems metams po 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos Komisija Europos Sąjungos oficialiajame leidinyje paskelbia elektroninės atpažinties schemų, apie kurias buvo pranešta pagal šio straipsnio 1 dalį, sąrašą ir pagrindinę informaciją apie šias schemas.

3.   Jei Komisija gauna pranešimą pasibaigus 2 dalyje nurodytam laikotarpiui, ji per du mėnesius nuo to pranešimo gavimo dienos paskelbia Europos Sąjungos oficialiajame leidinyje 2 dalyje nurodyto sąrašo pakeitimus.

4.   Valstybė narė gali pateikti Komisijai prašymą iš 2 dalyje nurodyto sąrašo išbraukti elektroninės atpažinties schemą, apie kurią pranešė ta valstybė narė. Komisija atitinkamus sąrašo pakeitimus Europos Sąjungos oficialiajame leidinyje paskelbia per vieną mėnesį nuo valstybės narės prašymo gavimo dienos.

5.   Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia pranešimo teikimo pagal 1 dalį aplinkybes, formatus ir procedūras. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

10 straipsnis

Apsaugos pažeidimas

1.   Kai elektroninės atpažinties schema, apie kurią pranešta pagal 9 straipsnio 1 dalį, arba 7 straipsnio f punkte nurodytas tapatumo nustatymas pažeidžiami arba jų patikimumas iš dalies sumažėja taip, kad tai turi poveikio tos schemos tarpvalstybinio tapatumo nustatymo patikimumui, pranešančioji valstybė narė nedelsdama sustabdo arba atšaukia tą tarpvalstybinį tapatumo nustatymą arba atitinkamas nepatikimas sudedamąsias dalis ir apie tai informuoja kitas valstybes nares ir Komisiją.

2.   Kai 1 dalyje nurodytas pažeidimas pašalinamas ar patikimumas atkuriamas, pranešančioji valstybė narė atkuria tarpvalstybinį tapatumo nustatymą ir nepagrįstai nedelsdama apie tai praneša kitoms valstybėms narėms ir Komisijai.

3.   Jei per tris mėnesius nuo sustabdymo ar atšaukimo 1 dalyje nurodytas pažeidimas nepašalinamas ar patikimumas neatkuriamas, pranešančioji valstybė narė kitoms valstybėms narėms ir Komisijai praneša apie elektroninės atpažinties schemos panaikinimą.

Atitinkamus 9 straipsnio 2 dalyje nurodyto sąrašo pakeitimus Komisija nepagrįstai nedelsdama skelbia Europos Sąjungos oficialiajame leidinyje.

12 straipsnis

Bendradarbiavimas ir sąveikumas

1.   Nacionalinės elektroninės atpažinties schemos, apie kurias pranešta pagal 9 straipsnio 1 dalį, turi būti sąveikios.

2.   1 dalies tikslais nustatoma sąveikumo sistema.

3.   Sąveikumo sistema turi atitikti šiuos kriterijus:

a)	ja siekiama būti neutralia technologiniu požiūriu ir ja nediskriminuojami jokie konkretūs nacionaliniai elektroninės atpažinties techniniai sprendimai valstybėje narėje;

b)	jei įmanoma, ji atitinka Europos ir tarptautinius standartus;

c)	ja sudaromos palankios sąlygos įgyvendinti projektuojant numatytos privatumo apsaugos principą; ir

d)	ja užtikrinama, kad asmens duomenys būtų tvarkomi pagal Direktyvą 95/46/EB.

4.   Sąveikumo sistemą sudaro:

a)	nuoroda į minimalius techninius reikalavimus, susijusius su 8 straipsnyje numatytais saugumo užtikrinimo lygiais;

b)	elektroninės atpažinties schemų, apie kurias pranešta, nacionalinių saugumo užtikrinimo lygių suderinimas su 8 straipsnyje numatytais saugumo užtikrinimo lygiais;

c)	nuoroda į minimalius techninius sąveikumo reikalavimus;

d)	nuoroda į minimalų asmens tapatybės duomenų, kuriais nurodomas konkretus fizinis ar juridinis asmuo, rinkinį, prieinamą pasitelkiant elektroninės atpažinties schemas;

e)	darbo tvarkos taisyklės;

f)	ginčų sprendimo tvarka; ir

g)	bendri veiklos saugumo standartai.

5.   Valstybės narės bendradarbiauja šiais klausimais:

a)	dėl elektroninės atpažinties schemų, apie kurias pranešta pagal 9 straipsnio 1 dalį, ir elektroninės atpažinties schemų, apie kurias valstybės narės ketina pranešti, sąveikumo ir

b)	dėl elektroninės atpažinties schemų saugumo.

6.   Valstybių narių bendradarbiavimą sudaro:

a)	keitimasis informacija, patirtimi ir gerąja praktika, susijusiomis su elektroninės atpažinties schemomis, ir visų pirma su techniniais reikalavimais, susijusiais su sąveikumu ir saugumo užtikrinimo lygiais;

b)	keitimasis informacija, patirtimi ir gerąja praktika, susijusiomis su darbu taikant 8 straipsnyje numatytus elektroninės atpažinties schemų saugumo užtikrinimo lygius;

c)	elektroninės atpažinties schemų, kurioms taikomas šis reglamentas, tarpusavio vertinimas, ir

d)	atitinkamų pokyčių elektroninės atpažinties sektoriuje nagrinėjimas.

7.   Ne vėliau kaip 2015 m. kovo 18 d. Komisija priima įgyvendinimo aktus, kuriais nustato procedūrines sąlygas, būtinas sudaryti palankesnes 5 ir 6 dalyse nurodyto valstybių narių bendradarbiavimo sąlygas, siekiant skatinti aukštą pasitikėjimo lygį ir rizikos laipsnį atitinkantį saugumą.

8.   Siekiant nustatyti vienodas 1 dalyje nustatyto reikalavimo įgyvendinimo sąlygas, ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, remdamasi 3 dalyje nustatytais kriterijais ir atsižvelgdama į valstybių narių bendradarbiavimo rezultatus, priima įgyvendinimo aktus dėl 4 dalyje įtvirtintos sąveikumo sistemos.

9.   Šio straipsnio 7 ir 8 dalyse nurodyti įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

III   SKYRIUS

PATIKIMUMO UŽTIKRINIMO PASLAUGOS

1   SKIRSNIS

Bendrosios nuostatos

14 straipsnis

Tarptautiniai aspektai

1.   Trečiojoje valstybėje įsisteigusių patikimumo užtikrinimo paslaugų teikėjų teikiamos patikimumo užtikrinimo paslaugos pripažįstamos kaip teisiškai lygiavertės Sąjungoje įsisteigusių kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms, kai patikimumo užtikrinimo paslaugos, kurių kilmės šalis yra trečioji valstybė, yra pripažįstamos pagal Sąjungos ir atitinkamos trečiosios valstybės arba tarptautinės organizacijos susitarimą pagal SESV 218 straipsnį.

2.   1 dalyje nurodytais susitarimais užtikrinama, visų pirma, kad:

a)

trečiųjų valstybių arba tarptautinių organizacijų, su kuriomis sudaryti susitarimai, patikimumo užtikrinimo paslaugų teikėjai laikytųsi Sąjungoje įsisteigusiems kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms taikomų reikalavimų;

b)

Sąjungoje įsisteigusių kvalifikuotų patikimumo užtikrinimo paslaugos teikėjų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos būtų pripažįstamos kaip teisiškai lygiavertės trečiųjų valstybių arba tarptautinių organizacijų, su kuriomis sudaryti susitarimai, patikimumo užtikrinimo paslaugų teikėjų teikiamoms patikimumo užtikrinimo paslaugoms.

17 straipsnis

Priežiūros įstaiga

1.   Valstybės narės paskiria jų teritorijoje įsteigtą priežiūros įstaigą arba, abipusiu sutarimu su kita valstybe nare, toje kitoje valstybėje narėje įsteigtą priežiūros įstaigą. Ta įstaiga atsako už priežiūros funkcijų vykdymą paskiriančiojoje valstybėje narėje.

Priežiūros įstaigoms suteikiami būtini įgaliojimai ir pakankamai išteklių jų funkcijoms vykdyti.

2.   Valstybės narės praneša Komisijai atitinkamų jų paskirtų priežiūros įstaigų pavadinimus ir adresus.

3.   Priežiūros įstaigos vaidmuo:

a)

prižiūrėti paskiriančiosios valstybės narės teritorijoje įsisteigusius kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus siekiant ex ante ir ex post priežiūros veikla užtikrinti, kad tie patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitiktų šiame reglamente nustatytus reikalavimus;

b)

vykdant ex post priežiūros veiklą, prireikus imtis veiksmų dėl paskiriančiosios valstybės narės teritorijoje įsisteigusių nekvalifikuotų patikimumo užtikrinimo paslaugų teikėjų, kai pranešama, kad tie nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ar jų teikiamos patikimumo užtikrinimo paslaugos tariamai neatitinka šiame reglamente nustatytų reikalavimų.

4.   Taikant 3 dalį ir laikantis joje numatytų apribojimų, priežiūros įstaigos funkcijos yra visų pirma:

a)	bendradarbiauti su kitomis priežiūros įstaigomis ir teikti joms pagalbą pagal 18 straipsnį;

b)	analizuoti 20 straipsnio 1 dalyje ir 21 straipsnio 1 dalyje nurodytas atitikties įvertinimo ataskaitas;

c)	informuoti kitas priežiūros įstaigas ir visuomenę apie saugumo ar vientisumo pažeidimus pagal 19 straipsnio 2 dalį;

d)	vadovaujantis šio straipsnio 6 dalimi, teikti Komisijai ataskaitas apie savo pagrindinę veiklą;

e)	vykdyti auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą pagal 20 straipsnio 2 dalį;

f)	bendradarbiauti su duomenų apsaugos institucijomis, visų pirma, nepagrįstai nedelsiant jas informuojant apie kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų audito rezultatus kai tikėtina, kad buvo pažeistos asmens duomenų apsaugos taisyklės;

g)	patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms paslaugoms suteikti kvalifikacijos statusą ir jį panaikinti pagal 20 ir 21 straipsnius;

h)	pranešti 22 straipsnio 3 dalyje nurodytai už nacionalinį patikimą sąrašą atsakingai įstaigai apie savo sprendimus suteikti arba panaikinti kvalifikacijos statusą, nebent ta įstaiga taip pat būtų priežiūros įstaiga;

i)	patikrinti, ar priimtos ir teisingai taikomos nuostatos dėl nutraukimo planų tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai nutraukia savo veiklą, be kita ko, patikrinti, kaip informacija laikoma prieinama pagal 24 straipsnio 2 dalies h punktą;

j)	reikalauti, kad patikimumo užtikrinimo paslaugų teikėjai ištaisytų šiame reglamente nustatytų reikalavimų vykdymo pažeidimus.

5.   Valstybės narės gali reikalauti, kad priežiūros įstaiga, laikydamasi nacionalinėje teisėje nustatytų sąlygų, sukurtų, tvarkytų ir atnaujintų patikimumo užtikrinimo infrastruktūrą.

6.   Kiekviena priežiūros įstaiga kasmet ne vėliau kaip kovo 31 d. pateikia Komisijai ataskaitą apie praėjusiais kalendoriniais metais vykdytą pagrindinę veiklą kartu su pranešimų apie pažeidimus, gautų iš patikimumo užtikrinimo paslaugų teikėjų pagal 19 straipsnio 2 dalį, suvestine.

7.   Komisija pateikia valstybėms narėms 6 dalyje nurodytą metinę ataskaitą.

8.   Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia 6 dalyje nurodytos ataskaitos teikimo formatus ir procedūras. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

19 straipsnis

Patikimumo užtikrinimo paslaugų teikėjams keliami saugumo reikalavimai

1.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai imasi reikiamų techninių ir organizacinių priemonių, kad būtų valdoma rizika, kylanti jų teikiamų patikimumo užtikrinimo paslaugų saugumui. Atsižvelgiant į naujausius technologinius pokyčius, tomis priemonėmis užtikrinama, kad saugumo lygis atitiktų rizikos lygį. Visų pirma imamasi priemonių, kad būtų išvengta saugumo incidentų, jog būtų kuo labiau sumažintas jų poveikis ir kad suinteresuotieji subjektai būtų informuoti apie neigiamą tokių incidentų poveikį.

2.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, nepagrįstai nedelsdami, ir bet kuriuo atveju per 24 valandas nuo to momento, kai apie tai sužino, praneša priežiūros įstaigai ir, prireikus, kitoms atitinkamomis įstaigomis, kaip antai informacijos saugumo klausimais kompetentingai nacionalinei įstaigai arba duomenų apsaugos institucijai, apie visus saugumo arba vientisumo pažeidimus, turėjusius didelį poveikį teikiamai patikimumo užtikrinimo paslaugai arba ją teikiant naudojamiems asmens duomenims.

Kai saugumo ar vientisumo pažeidimas galėtų turėti neigiamo poveikio fiziniam ar juridiniam asmeniui, kuriam teikiama patikimumo užtikrinimo paslauga, patikimumo užtikrinimo paslaugų teikėjas taip pat nepagrįstai nedelsdamas praneša apie saugumo ar vientisumo pažeidimą tam fiziniam ar juridiniam asmeniui.

Prireikus – visų pirma, kai saugumo arba vientisumo pažeidimas yra susijęs su dviem arba daugiau valstybių narių – pranešimą gavusi priežiūros įstaiga informuoja kitų atitinkamų valstybių narių priežiūros įstaigas ir ENISA.

Jei pranešimą gavusi priežiūros įstaiga nustato, kad saugumo ar vientisumo pažeidimo atskleidimas yra svarbus visuomenei, ji informuoja visuomenę arba pareikalauja, kad tą padarytų patikimumo užtikrinimo paslaugų teikėjas.

3.   Priežiūros įstaiga kartą per metus pateikia ENISA iš patikimumo užtikrinimo paslaugų teikėjų gautų pranešimų apie saugumo ar vientisumo pažeidimus suvestinę.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais:

a)	tiksliau apibrėžia 1 dalyje nurodytas priemones ir

b)	apibrėžia formatus ir procedūras, įskaitant terminus, taikytinus 2 dalies tikslais.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

3   SKYRIUS

Kvalifikuotos patikimumo užtikrinimo paslaugos

20 straipsnis

Kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų priežiūra

1.   Atitikties vertinimo įstaiga atlieka kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą jų lėšomis bent kas 24 mėnesius. Audito tikslas – patvirtinti, kad kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai po to parengtą atitikties įvertinimo ataskaitą priežiūros įstaigai pateikia per trijų darbo dienų laikotarpį nuo jos gavimo dienos.

2.   Nedarant poveikio 1 daliai, priežiūros įstaiga gali bet kuriuo metu atlikti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų jų atitikties įvertinimą tų patikimumo užtikrinimo paslaugų teikėjų lėšomis, siekiant patvirtinti, kad jie ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kai nustatoma, kad buvo pažeistos asmens duomenų apsaugos taisyklės, priežiūros įstaiga praneša duomenų apsaugos institucijoms savo atliktų auditų rezultatus.

3.   Kai priežiūros įstaiga reikalauja, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ištaisytų bet kuriuos šiame reglamente nustatytų reikalavimų vykdymo pažeidimus ir kai tas teikėjas to nepadaro, jei taikytina, per priežiūros įstaigos nustatytą laikotarpį, priežiūros įstaiga, atsižvelgdama visų pirma į tokių pažeidimų mastą, trukmę ir pasekmes, gali panaikinti to teikėjo arba pažeidimo paveiktų jo teikiamų paslaugų kvalifikacijos statusą ir pranešti apie tai 22 straipsnio 3 dalyje nurodytai įstaigai, kad būtų galima atnaujinti 22 straipsnio 1 dalyje nurodytus patikimus sąrašus. Priežiūros įstaiga informuoja kvalifikuotą patikimumo užtikrinimo paslaugų teikėją apie jo kvalifikacijos statuso arba atitinkamos paslaugos kvalifikacijos statuso panaikinimą.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato toliau nurodytų standartų referencinius numerius:

a)	atitikties vertinimo įstaigų akreditavimo ir 1 dalyje nurodytos atitikties vertinimo ataskaitos;

b)	audito taisyklių, pagal kurias atitikties vertinimo įstaigos atliks 1 dalyje nurodytą kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

21 straipsnis

Kvalifikuotos patikimumo užtikrinimo paslaugos inicijavimas

1.   Kai kvalifikacijos statuso neturintys patikimumo užtikrinimo paslaugų teikėjai ketina pradėti teikti kvalifikuotas patikimumo užtikrinimo paslaugas, jie priežiūros įstaigai pateikia pranešimą apie savo ketinimą kartu su atitikties vertinimo įstaigos parengta atitikties įvertinimo ataskaita.

2.   Priežiūros įstaiga patikrina, ar patikimumo užtikrinimo paslaugų teikėjas ir jo teikiamos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus, ir ypač, kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms kvalifikuotoms patikimumo užtikrinimo paslaugoms numatytus reikalavimus.

Jei priežiūros įstaiga padaro išvadą, kad patikimumo užtikrinimo paslaugų teikėjas ir jo teikiamos patikimumo užtikrinimo paslaugos atitinka pirmoje pastraipoje nurodytus reikalavimus, priežiūros įstaiga jam suteikia kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo, o jo teikiamoms paslaugoms – kvalifikuotų patikimumo užtikrinimo paslaugų statusą ir ne vėliau kaip per tris mėnesius nuo pranešimo pateikimo pagal šio straipsnio 1 dalį dienos apie tai praneša 22 straipsnio 3 dalyje nurodytai įstaigai, kad būtų galima atnaujinti 22 straipsnio 1 dalyje nurodytus patikimus sąrašus.

Jeigu per tris mėnesius nuo pranešimo dienos patikrinimas nebaigiamas, priežiūros įstaiga apie tai praneša patikimumo užtikrinimo paslaugų teikėjui, nurodydama vėlavimo priežastis ir laikotarpį, per kurį patikrinimas bus baigtas.

3.   Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai gali pradėti teikti kvalifikuotas patikimumo užtikrinimo paslaugas po to, kai kvalifikuotas statusas nurodomas patikimuose sąrašuose, nurodytuose 22 straipsnio 1 dalyje.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia formatus ir procedūras 1 ir 2 dalių tikslais. Tie įgyvendinimo aktai priimami pagal 48 straipsnio 2 dalyje nurodytą nagrinėjimo procedūrą.

22 straipsnis

Patikimi sąrašai

1.   Kiekviena valstybė narė sudaro, tvarko ir skelbia patikimus sąrašus, įskaitant informaciją apie kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus, už kuriuos ji atsako, ir apie jų teikiamas kvalifikuotas patikimumo užtikrinimo paslaugas.

2.   Valstybės narės sudaro, tvarko ir saugiai skelbia 1 dalyje nurodytus elektroniniu būdu pasirašytus arba užantspauduotus patikimus sąrašus, pateikdama juos tokia forma, kad juos būtų galima tvarkyti automatizuotomis priemonėmis.

3.   Valstybės narės nepagrįstai nedelsdamos, pateikia Komisijai informaciją apie įstaigą, atsakingą už nacionalinių patikimų sąrašų sudarymą, tvarkymą ir skelbimą, ir išsamius duomenis apie tai, kur tokie sąrašai skelbiami, apie sertifikatus, naudojamus patikimiems sąrašams pasirašyti arba jiems patvirtinti spaudu, ir apie šios informacijos pasikeitimus.

4.   Komisija saugiu ryšių kanalu visuomenei pateikia 3 dalyje numatytą elektroniniu būdu pasirašytą arba užantspauduotą informaciją tokia forma, kad ją būtų galima tvarkyti automatizuotomis priemonėmis.

5.   Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija priima įgyvendinimo aktus, kuriais patikslina 1 dalyje nurodytą informaciją ir apibrėžia patikimų sąrašų technines specifikacijas ir formatus, taikytinus 1–4 dalių tikslais. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

23 straipsnis

Kvalifikuotų patikimumo užtikrinimo paslaugų ES pasitikėjimo ženklas

1.   Po to, kai 21 straipsnio 2 dalies antroje pastraipoje nurodytas kvalifikacijos statusas nurodomas 22 straipsnio 1 dalyje nurodytuose patikimuose sąrašuose, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai gali naudoti ES pasitikėjimo ženklą paprastai, atpažįstamai ir aiškiai žymėti savo teikiamas kvalifikuotas patikimumo užtikrinimo paslaugas.

2.   Naudodami ES pasitikėjimo ženklą 1 dalyje nurodytoms kvalifikuotoms patikimumo užtikrinimo paslaugoms, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai užtikrina, kad jų interneto svetainėje būtų pateikta nuoroda į atitinkamą patikimą sąrašą.

3.   Ne vėliau kaip 2015 m. liepos 1 d. Komisija priima įgyvendinimo aktus, nustatančius specifikaciją, susijusią su forma, ir visų pirma su ES pasitikėjimo ženklo, skirto kvalifikuotoms patikimumo užtikrinimo paslaugoms, pateikimu, sandara, dydžiu ir dizainu. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

24 straipsnis

Kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams keliami reikalavimai

1.   Išduodamas kvalifikuotą patikimumo užtikrinimo paslaugos sertifikatą, kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas tinkamomis priemonėmis pagal nacionalinės teisės aktus patikrina fizinio ar juridinio asmens, kuriam išduodamas kvalifikuotas sertifikatas, tapatybę ir, jeigu taikytina, visus jo specifinius požymius.

Pirmoje pastraipoje nurodytą informaciją kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, tikrina tiesiogiai arba patikėdamas tą atlikti trečiajai šaliai pagal nacionalinę teisę:

a)	fiziškai dalyvaujant fiziniam asmeniui arba juridinio asmens įgaliotajam atstovui; arba

b)

nuotoliniu būdu, naudodamas elektroninės atpažinties priemones, jei prieš išduodant kvalifikuotą sertifikatą jų atžvilgiu buvo užtikrintas fizinio ar juridinio asmens įgaliotojo atstovo fizinis dalyvavimas, ir kurios atitinka 8 straipsnyje nustatytus „pakankamo“ ir „aukšto“ saugumo užtikrinimo lygių reikalavimus; arba

c)	naudodamas pagal a arba b punktą išduotą kvalifikuotą elektroninio parašo arba elektroninio spaudo sertifikatą, arba

d)	naudodamas kitus nacionaliniu lygiu pripažintus tapatybės nustatymo būdus, kuriais užtikrinamas fiziniam dalyvavimui lygiavertis saugumo užtikrinimas. Lygiavertį saugumo užtikrinimą turi patvirtinti atitikties vertinimo įstaiga.

2.   Kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, teikiantis kvalifikuotas patikimumo užtikrinimo paslaugas:

a)	informuoja priežiūros įstaigą apie bet kokius savo kvalifikuotų patikimumo užtikrinimo paslaugų teikimo pakeitimus ir ketinimą nutraukti tą veiklą;

b)

samdo darbuotojus ir, jei taikytina, subrangovus, kurie turi būtinos kompetencijos, yra patikimi, turi būtinos patirties ir kvalifikacijos, yra tinkamai apmokyti saugumo ir asmens duomenų apsaugos taisyklių, ir taiko Europos arba tarptautinius standartus atitinkančias administracines bei valdymo procedūras;

c)	atsakomybės už žalą rizikos atžvilgiu pagal 13 straipsnį, disponuoja pakankamais finansiniais ištekliais ir (arba) gauna tinkamą atsakomybės draudimą pagal nacionalinės teisės aktus;

d)	prieš užmegzdamas sutartinius santykius, aiškiai ir išsamiai informuoja visus asmenis, kurie nori naudotis kvalifikuota patikimumo užtikrinimo paslauga, apie tikslias naudojimosi ta paslauga sąlygas, įskaitant bet kokius naudojimosi ja apribojimus;

e)	naudoja patikimas sistemas ir produktus, kurie yra apsaugoti nuo pakeitimų, ir užtikrina jų palaikomo proceso techninį saugumą ir patikimumą;

f)	jam pateiktus duomenis patikrinama forma saugo patikimose sistemose, kad: i) juos būtų galima viešai gauti tik gavus asmens, su kuriuo yra susiję šie duomenys, sutikimą; ii) saugomų duomenų įrašus ir pakeitimus galėtų daryti tik įgalioti asmenys; iii) būtų galima patikrinti duomenų tikrumą;

g)	imasi tinkamų apsaugos nuo duomenų klastojimo ir vagystės priemonių;

h)

tinkamą laikotarpį, įskaitant kvalifikuotam patikimumo užtikrinimo paslaugų teikėjui nutraukus veiklą, registruoja ir laiko prieinama visą susijusią informaciją dėl kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo parengtų ir gautų duomenų, visų pirma tam, kad šią informaciją būtų galima panaudoti teismo procese kaip įrodymą ir siekiant užtikrinti paslaugų tęstinumą. Tokia informacija gali būti registruojama elektroniniu būdu;

i)	turi atnaujinamą nutraukimo planą, kad užtikrintų paslaugų tęstinumą, atsižvelgdami į priežiūros įstaigos pagal 17 straipsnio 4 dalies i punktą patikrintas nuostatas;

j)	užtikrina teisėtą asmens duomenų tvarkymą pagal Direktyvą 95/46/EB;

k)	tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai išduoda kvalifikuotus sertifikatus – sukuria ir atnaujina sertifikatų duomenų bazę.

3.   Jei kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, išduodantis kvalifikuotus sertifikatus nusprendžia atšaukti sertifikatą, tokį atšaukimą jis užregistruoja savo sertifikatų duomenų bazėje ir laiku paskelbia apie sertifikato atšaukimo statusą, ir bet kuriuo atveju per 24 valandas po prašymo gavimo dienos. Atšaukimas įsigalioja nedelsiant po jo paskelbimo.

4.   Atsižvelgdami į 3 dalį, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, išduodantys kvalifikuotus sertifikatus, kiekvienai pasikliaujančiajai šaliai pateikia informaciją apie jų išduotų kvalifikuotų sertifikatų galiojimą arba atšaukimą. Ši informacija bet kuriuo metu, net ir pasibaigus sertifikato galiojimo laikotarpiui, pateikiama bent apie kiekvieną sertifikatą taikant automatizuotą būdą, kuris yra saugus, nemokamas ir veiksmingas.

5.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato patikimoms sistemoms ir produktams, kurie atitinka šio straipsnio 2 dalies e ir f punktų reikalavimus, taikomų standartų referencinius numerius. Jeigu patikimos sistemos ir produktai atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

4   SKIRSNIS

Elektroniniai parašai

27 straipsnis

Elektroniniai parašai viešųjų paslaugų srityje

1.   Jei valstybė narė pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius parašus, kvalifikuotais elektroninių parašų sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

2.   Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

3.   Valstybės narės nereikalauja, kad tarpvalstybinio naudojimosi viešojo sektoriaus įstaigos teikiama internetine paslauga atveju būtų naudojamas elektroninis parašas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio parašo.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams parašams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis parašas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 26 straipsnyje pažangiesiems elektroniniams parašams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5.   Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių parašų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

28 straipsnis

Kvalifikuoti elektroninių parašų sertifikatai

1.   Kvalifikuoti elektroninių parašų sertifikatai turi atitikti I priede nustatytus reikalavimus.

2.   Kvalifikuotiems elektroninių parašų sertifikatams netaikoma jokių privalomų reikalavimų, viršijančių I priede nustatytus reikalavimus.

3.   Kvalifikuoti elektroninių parašų sertifikatai gali turėti neprivalomų papildomų specifinių požymių. Tie požymiai nedaro poveikio kvalifikuotų elektroninių parašų sąveikumui ir pripažinimui.

4.   Jeigu iš pradžių aktyvintas kvalifikuotas elektroninio parašo sertifikatas vėliau atšaukiamas, jis netenka galios nuo jo atšaukimo momento, o jo statuso jokiomis aplinkybėmis negalima atkurti.

5.   Valstybės narės gali nustatyti kvalifikuotų elektroninių parašų sertifikatų galiojimo laikino sustabdymo nacionalines taisykles, laikydamosi šių sąlygų:

a)	jei kvalifikuoto elektroninio parašo sertifikato galiojimas buvo laikinai sustabdytas, tas sertifikatas netenka galios sustabdymo laikotarpiu;

b)	galiojimo sustabdymo laikotarpis yra aiškiai nurodomas sertifikatų duomenų bazėje, o tai, kad sertifikato galiojimas yra sustabdytas, galiojimo sustabdymo laikotarpiu matoma teikiant informaciją apie sertifikato statusą.

6.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio parašo sertifikatams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio parašo sertifikatas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis I priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

29 straipsnis

Reikalavimai kvalifikuotiems elektroninio parašo kūrimo įtaisams

1.   Kvalifikuoti elektroninio parašo kūrimo įtaisai turi atitikti II priede nustatytus reikalavimus.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio parašo kūrimo įtaisams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio parašo kūrimo įtaisas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis II priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

30 straipsnis

Kvalifikuotų elektroninio parašo kūrimo įtaisų sertifikavimas

1.   Kvalifikuotų elektroninio parašo kūrimo įtaisų atitiktį II priede nustatytiems reikalavimams sertifikuoja valstybių narių paskirtos atitinkamos viešosios ar privačiosios įstaigos.

2.   Valstybės narės praneša Komisijai 1 dalyje nurodytų viešųjų ar privačiųjų įstaigų pavadinimus ir adresus. Komisija tą informaciją pateikia valstybėms narėms.

3.   1 dalyje nurodytas sertifikavimas grindžiamas viena iš šių procedūrų:

a)	saugumo vertinimo procedūra, atlikta pagal vieną iš informacinių technologijų produktų saugumo vertinimo standartų, įtrauktų į sąrašą nustatytą pagal antrą pastraipą, arba

b)

kita nei a punkte nurodyta procedūra su sąlyga, kad joje taikomi panašūs saugumo lygiai, o 1 dalyje nurodyta viešoji ar privačioji įstaiga apie tą procedūrą praneša Komisijai. Ta procedūra gali būti taikoma tik tuo atveju, kai nėra a punkte nurodytų standartų arba kai tebevyksta a punkte nurodyta saugumo vertinimo procedūra.

Komisija priimdama įgyvendinimo aktus sudaro iš informacinių technologijų produktų, nurodytų a punkte, saugumo vertinimo standartų sąrašą. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

4.   Komisijai pagal 47 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus dėl specialiųjų kriterijų, kuriuos turėtų atitikti šio straipsnio 1 dalyje nurodytos paskirtos įstaigos, nustatymo.

31 straipsnis

Sertifikuotų kvalifikuotų elektroninio parašo kūrimo įtaisų sąrašo skelbimas

1.   Valstybės narės nepagrįstai nedelsdamos ir ne vėliau kaip per vieną mėnesį po sertifikavimo užbaigimo dienos, pateikia Komisijai informaciją apie kvalifikuotus elektroninio parašo kūrimo įtaisus, kuriuos sertifikavo 30 straipsnio 1 dalyje nurodytos įstaigos. Be to, nepagrįstai nedelsdamos ir ne vėliau kaip per vieną mėnesį po sertifikavimo atšaukimo dienos, jos pateikia Komisijai informaciją apie elektroninio parašo kūrimo įtaisus, kurie nebebus sertifikuojami.

2.   Remdamasi gauta informacija Komisija sudaro, skelbia ir prižiūri sertifikuotų kvalifikuotų elektroninio parašo kūrimo įtaisų sąrašą.

3.   Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia formatus ir procedūras, taikytinus 1 dalies tikslais. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

32 straipsnis

Reikalavimai kvalifikuotų elektroninių parašų galiojimo patvirtinimui

1.   Kvalifikuoto elektroninio parašo galiojimo patvirtinimo procedūra patvirtinamas kvalifikuoto elektroninio parašo galiojimas su sąlyga, kad:

a)	sertifikatas, kuriuo tvirtinamas parašas, pasirašymo metu buvo kvalifikuotas elektroninio parašo sertifikatas, atitinkantis I priedą;

b)	kvalifikuotą sertifikatą išdavė kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir jis galiojo pasirašymo metu;

c)	parašo patvirtinimo duomenys atitinka pasikliaujančiajai šaliai pateiktus duomenis;

d)	unikalus duomenų, kuriais sertifikate nurodomas pasirašantis asmuo, rinkinys tinkamai pateikiamas pasikliaujančiajai šaliai;

e)	jei pasirašymo metu buvo naudojamas slapyvardis, tai aiškiai nurodoma pasikliaujančiajai šaliai;

f)	elektroninis parašas sukurtas naudojant kvalifikuotą elektroninio parašo kūrimo įtaisą;

g)	nebuvo pažeistas pasirašytų duomenų vientisumas;

h)	pasirašymo metu buvo laikomasi 26 straipsnyje nurodytų reikalavimų.

2.   Sistema, naudojama kvalifikuoto elektroninio parašo galiojimo patvirtinimo tikslais, duoda pasikliaujančiajai šaliai teisingą galiojimo patvirtinimo procedūros rezultatą ir leidžia pasikliaujančiai šaliai nustatyti bet kokias su saugumu susijusias problemas.

3.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotų elektroninių parašų galiojimo patvirtinimo standartų referencinius numerius. Jeigu kvalifikuotų elektroninių parašų galiojimo patvirtinimas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

33 straipsnis

Kvalifikuotų elektroninių parašų kvalifikuota galiojimo patvirtinimo paslauga

1.   Kvalifikuotų elektroninių parašų kvalifikuotą galiojimo patvirtinimo paslaugą gali teikti tik kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, kuris:

a)	suteikia galiojimo patvirtinimą pagal 32 straipsnio 1 dalį, ir

b)	suteikia pasikliaujančiosioms šalims galimybę galiojimo patvirtinimo procedūros rezultatą gauti automatizuotu būdu, kuris būtų patikimas, veiksmingas ir susietas su kvalifikuotos galiojimo patvirtinimo paslaugos teikėjo pažangiuoju elektroniniu parašu arba pažangiuoju elektroniniu spaudu.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato 1 dalyje nurodytoms kvalifikuotoms galiojimo patvirtinimo paslaugoms taikomų standartų referencinius numerius. Jeigu kvalifikuoto elektroninio parašo galiojimo patvirtinimo paslauga atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

34 straipsnis

Kvalifikuotų elektroninių parašų kvalifikuota ilgalaikės apsaugos paslauga

1.   Kvalifikuotų elektroninių parašų kvalifikuotą ilgalaikės apsaugos paslaugą gali teikti tik kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, taikantis procedūras ir metodus, kuriais galima toliau užtikrinti kvalifikuoto elektroninio parašo patikimumą pasibaigus technologinio galiojimo laikotarpiui.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotų elektroninių parašų kvalifikuotos ilgalaikės apsaugos paslaugos standartų referencinius numerius. Jeigu kvalifikuotų elektroninių parašų kvalifikuotos ilgalaikės apsaugos paslaugos priemonės atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5   SKIRSNIS

Elektroniniai spaudai

37 straipsnis

Elektroniniai spaudai viešųjų paslaugų srityje

1.   Jei valstybė narė pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius spaudus, kvalifikuotais elektroninių spaudų sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

2.   Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

3.   Valstybės narės nereikalauja, kad norint tarpvalstybiniu lygiu pasinaudoti viešojo sektoriaus įstaigos teikiama internetine paslauga būtų naudojamas elektroninis spaudas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio spaudo.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams spaudams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis spaudas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 36 straipsnyje pažangiesiems elektroniniams spaudams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5.   Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių spaudų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

38 straipsnis

Kvalifikuoti elektroninių spaudų sertifikatai

1.   Kvalifikuoti elektroninių spaudų sertifikatai turi atitikti III priede nustatytus reikalavimus.

2.   Kvalifikuotiems elektroninių spaudų sertifikatams netaikoma jokių privalomų reikalavimų, viršijančių III priede nustatytus reikalavimus.

3.   Kvalifikuoti elektroninių spaudų sertifikatai gali turėti neprivalomų papildomų specifinių požymių. Tie požymiai nedaro poveikio kvalifikuotų elektroninių spaudų sąveikumui ir pripažinimui.

4.   Jeigu iš pradžių aktyvintas kvalifikuotas elektroninio spaudo sertifikatas vėliau atšaukiamas, jis netenka galios nuo jo atšaukimo momento, o jo statuso jokiomis aplinkybėmis negalima atkurti.

5.   Valstybės narės gali nustatyti kvalifikuotų elektroninių spaudų sertifikatų galiojimo laikino sustabdymo nacionalines taisykles, laikydamosi šių sąlygų:

a)	jei kvalifikuoto elektroninio spaudo sertifikato galiojimas buvo laikinai sustabdytas, tas sertifikatas netenka galios sustabdymo laikotarpiu;

b)	galiojimo sustabdymo laikotarpis yra aiškiai nurodomas sertifikatų duomenų bazėje ir tai, kad sertifikato galiojimas yra sustabdytas, galiojimo sustabdymo laikotarpiu matoma teikiant informaciją apie sertifikato statusą.

6.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems elektroninio spaudo sertifikatams taikomų standartų referencinius numerius. Jeigu kvalifikuotas elektroninio spaudo sertifikatas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis III priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

42 straipsnis

Kvalifikuotoms elektroninėms laiko žymoms keliami reikalavimai

1.   Kvalifikuota elektroninė laiko žyma turi atitikti šiuos reikalavimus:

a)	ji susieja datą ir laiką su duomenimis taip, kad pagrįstai neliktų galimybės nepastebimai pakeisti duomenų;

b)	ji grindžiama tiksliu laiko šaltiniu, susietu su suderintuoju pasauliniu laiku, ir

c)	ji pasirašyta naudojant kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo pažangųjį elektroninį parašą arba patvirtinta jo pažangiuoju elektroniniu spaudu arba lygiaverčiu būdu.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato datos ir laiko susiejimo su duomenimis ir tikslių laiko šaltinių standartų referencinius numerius. Jeigu datos ir laiko susiejimas su duomenimis ir tikslus laiko šaltinis atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

7   SKIRSNIS

Elektroninio registruoto pristatymo paslaugos

44 straipsnis

Kvalifikuotoms elektroninio registruoto pristatymo paslaugoms keliami reikalavimai

1.   Kvalifikuotos elektroninio registruoto pristatymo paslaugos turi atitikti šiuos reikalavimus:

a)	jas teikia vienas arba daugiau kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas (-ai);

b)	jos užtikrina galimybę labai patikimai nustatyti siuntėjo tapatybę;

c)	jos turi užtikrinti, kad būtų nustatyta gavėjo tapatybė prieš duomenis pristatant;

d)	duomenų siuntimas ir gavimas yra apsaugoti kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo pažangiuoju elektroniniu parašu arba pažangiuoju elektroniniu spaudu taip, kad neliktų galimybės nepastebimai pakeisti duomenų;

e)	bet koks duomenų pakeitimas, būtinas norint išsiųsti arba gauti duomenis, aiškiai nurodomas duomenų siuntėjui ir gavėjui;

f)	duomenų išsiuntimo, gavimo ir bet kokio duomenų pakeitimo data ir laikas yra nurodyti naudojant kvalifikuotą elektroninę laiko žymą.

Kai vienas ar daugiau kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų perduoda duomenis vienas kitam, a–f punktų reikalavimai taikomi visiems kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato duomenų siuntimo ir gavimo procesams taikomų standartų referencinius numerius. Jeigu duomenų siuntimo ir gavimo procesas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis 1 dalyje nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

8   SKIRSNIS

Interneto svetainės tapatumo nustatymas

45 straipsnis

Kvalifikuotiems interneto svetainės tapatumo nustatymo sertifikatams keliami reikalavimai

1.   Kvalifikuoti interneto svetainės tapatumo nustatymo sertifikatai turi atitikti IV priede nustatytus reikalavimus.

2.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato kvalifikuotiems interneto svetainės tapatumo nustatymo sertifikatams taikytinų standartų referencinius numerius. Jeigu kvalifikuotas interneto svetainės tapatumo nustatymo sertifikatas atitinka tuos standartus, laikoma, kad yra užtikrinta atitiktis IV priede nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

IV   SKYRIUS

ELEKTRONINIAI DOKUMENTAI

47 straipsnis

Įgaliojimų delegavimas

1.   Įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami šiame straipsnyje nustatytomis sąlygomis.

2.   30 straipsnio 4 dalyje nurodyti įgaliojimai priimti deleguotuosius aktus Komisijai suteikiami neribotam laikotarpiui nuo 2014 m. rugsėjo 17 d.

3.   Europos Parlamentas arba Taryba gali bet kada atšaukti 30 straipsnio 4 dalyje nurodytus deleguotuosius įgaliojimus. Sprendimu dėl įgaliojimų atšaukimo nutraukiami tame sprendime nurodyti įgaliojimai priimti deleguotuosius aktus. Sprendimas įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje arba vėlesnę jame nurodytą dieną. Jis nedaro poveikio jau galiojančių deleguotųjų aktų galiojimui.

4.   Apie priimtą deleguotąjį aktą Komisija nedelsdama vienu metu praneša Europos Parlamentui ir Tarybai.

5.   Pagal 30 straipsnio 4 dalį priimtas deleguotasis aktas įsigalioja tik tuo atveju, jeigu per du mėnesius nuo pranešimo Europos Parlamentui ir Tarybai apie šį aktą dienos nei Europos Parlamentas, nei Taryba nepareiškia prieštaravimų arba jeigu dar nepasibaigus šiam laikotarpiui ir Europos Parlamentas, ir Taryba praneša Komisijai, kad prieštaravimų nereikš. Europos Parlamento arba Tarybos iniciatyva šis laikotarpis pratęsiamas dviem mėnesiais.

51 straipsnis

Pereinamojo laikotarpio priemonės

1.   Pažangūs parašo kūrimo įtaisai, kurių atitiktis buvo nustatyta pagal Direktyvos 1999/93/EB 3 straipsnio 4 dalį, pagal šį reglamentą laikomi kvalifikuotais elektroninio parašo kūrimo įtaisais.

2.   Pagal Direktyvą 1999/93/EB fiziniams asmenims išduoti kvalifikuoti sertifikatai pagal šį reglamentą laikomi kvalifikuotais elektroninių parašų sertifikatais iki jų galiojimo pabaigos.

3.   Kvalifikuotus sertifikatus pagal Direktyvą 1999/93/EB išduodantis sertifikavimo paslaugų teikėjas kuo greičiau, bet ne vėliau kaip 2017 m. liepos 1 d. priežiūros įstaigai pateikia atitikties įvertinimo ataskaitą. Kol nepateikiama tokia atitikties įvertinimo ataskaita ir priežiūros įstaiga baigia jos įvertinimą, tas sertifikavimo paslaugų teikėjas pagal šį reglamentą laikomas kvalifikuotu patikimumo užtikrinimo paslaugų teikėju.

4.   Jei kvalifikuotus sertifikatus pagal Direktyvą 1999/93/EB išduodantis sertifikavimo paslaugų teikėjas per 3 dalyje nurodytą laikotarpį priežiūros įstaigai nepateikia atitikties įvertinimo ataskaitos, tas sertifikavimo paslaugų teikėjas pagal šį reglamentą nuo 2017 m. liepos 2 d. nelaikomas kvalifikuotu patikimumo užtikrinimo paslaugų teikėju.

52 straipsnis

Įsigaliojimas

1.   Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

2.   Šis reglamentas taikomas nuo 2016 m. liepos 1 d., išskyrus:

a)

8 straipsnio 3 dalį, 9 straipsnio 5 dalį, 12 straipsnio 2–9 dalis, 17 straipsnio 8 dalį, 19 straipsnio 4 dalį, 20 straipsnio 4 dalį, 21 straipsnio 4 dalį, 22 straipsnio 5 dalį, 23 straipsnio 3 dalį, 24 straipsnio 5 dalį, 27 straipsnio 4 ir 5 dalis, 28 straipsnio 6 dalį, 29 straipsnio 2 dalį, 30 straipsnio 3 ir 4 dalis, 31 straipsnio 3 dalį, 32 straipsnio 3 dalį, 33 straipsnio 2 dalį, 34 straipsnio 2 dalį, 37 straipsnio 4 ir 5 dalis, 38 straipsnio 6 dalį, 42 straipsnio 2 dalį, 44 straipsnio 2 dalį, 45 straipsnio 2 dalį, 47 ir 48 straipsnius, kurie taikomi nuo 2014 m. rugsėjo 17 d.;

b)	7 straipsnį, 8 straipsnio 1 ir 2 dalis, 9 straipsnį, 10 straipsnį, 11 straipsnį, 12 straipsnio 1 dalį, kurie taikomi nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos;

c)	6 straipsnį, kuris pradedamas taikyti praėjus trejiems metams nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos.

3.   Kai elektroninės atpažinties schema, apie kurią pranešta, įtraukiama į Komisijos pagal 9 straipsnį skelbiamą sąrašą iki šio straipsnio 2 dalies c punkte nurodytos datos, elektroninės atpažinties priemonių pagal tą schemą pripažinimas vadovaujantis 6 straipsniu atliekamas ne vėliau kaip per 12 mėnesių po to, kai paskelbiama apie tą schemą, tačiau ne anksčiau kaip šio straipsnio 2 dalies c punkte nurodytą datą.

4.   Nepaisant šio straipsnio 2 dalies c punkto, valstybė narė gali nuspręsti, kad elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą, apie kurią kita valstybė narė pranešė vadovaudamasi 9 straipsnio 1 dalimi, yra pripažįstamos pirmojoje valstybėje narėje nuo 8 straipsnio 3 dalyje ir 12 straipsnio 8 dalyje nurodytų įgyvendinimo aktų taikymo pradžios dienos. Atitinkamos valstybės narės informuoja Komisiją. Komisija šią informaciją skelbia viešai.

---

(1)  OL C 351, 2012 11 15, p. 73.

(2)  2014 m. balandžio 3 d. Europos Parlamento pozicija (dar nepaskelbta Oficialiajame leidinyje) ir 2014 m. liepos 23 d. Tarybos sprendimas.

(3)  1999 m. gruodžio 13 d. Europos Parlamento ir Tarybos direktyva 1999/93/EB dėl Bendrijos elektroninių parašų reguliavimo sistemos (OL L 13, 2000 1 19, p. 12).

(4)  OL C 50 E, 2012 2 21, p. 1.

(5)  2006 m. gruodžio 12 d. Europos Parlamento ir Tarybos direktyva 2006/123/EB dėl paslaugų vidaus rinkoje (OL L 376, 2006 12 27, p. 36).

(6)  2011 m. kovo 9 d. Europos Parlamento ir Tarybos direktyva 2011/24/ES dėl pacientų teisių į tarpvalstybines sveikatos priežiūros paslaugas įgyvendinimo (OL L 88, 2011 4 4, p. 45).

(7)  1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995 11 23, p. 31).

(8)  2009 m. lapkričio 26 d. Tarybos sprendimas 2010/48/EB dėl Jungtinių Tautų neįgaliųjų teisių konvencijos sudarymo Europos bendrijos vardu (OL L 23, 2010 1 27, p. 35).

(9)  2008 m. liepos 9 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 765/2008, nustatantis su gaminių prekyba susijusius akreditavimo ir rinkos priežiūros reikalavimus ir panaikinantis Reglamentą (EEB) Nr. 339/93 (OL L 218, 2008 8 13, p. 30).

(10)  2009 m. spalio 16 d. Komisijos sprendimas 2009/767/EB, kuriuo pagal Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje nustatomos priemonės procedūroms, atliekamoms naudojantis elektroninėmis priemonėmis ir kontaktinių centrų paslaugomis, palengvinti (OL L 274, 2009 10 20, p. 36).

(11)  2011 m. vasario 25 d. Komisijos sprendimas 2011/130/ES, kuriuo nustatomi būtinieji dokumentų, kompetentingų institucijų pasirašomų elektroniniu būdu pagal Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje, tarptautinio tvarkymo reikalavimai (OL L 53, 2011 2 26, p. 66).

(12)  2011 m. vasario 16 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 182/2011, kuriuo nustatomos valstybių narių vykdomos Komisijos naudojimosi įgyvendinimo įgaliojimais kontrolės mechanizmų taisyklės ir bendrieji principai (OL L 55, 2011 2 28, p. 13).

(13)  2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, 2001 1 12, p. 1).

(14)  OL C 28, 2013 1 30, p. 6.

(15)  2014 m. vasario 26 d. Europos Parlamento ir Tarybos direktyva 2014/24/ES dėl viešųjų pirkimų, kuria panaikinama Direktyva 2004/18/EB (OL L 94, 2014 3 28, p. 65).

---

---

---

---