keyboard_tab EIDAS 2014/0910 LT

whereas gautų:

definitions:

17 straipsnis

Priežiūros įstaiga

1.   Valstybės narės paskiria jų teritorijoje įsteigtą priežiūros įstaigą arba, abipusiu sutarimu su kita valstybe nare, toje kitoje valstybėje narėje įsteigtą priežiūros įstaigą. Ta įstaiga atsako už priežiūros funkcijų vykdymą paskiriančiojoje valstybėje narėje.

Priežiūros įstaigoms suteikiami būtini įgaliojimai ir pakankamai išteklių jų funkcijoms vykdyti.

2.   Valstybės narės praneša Komisijai atitinkamų jų paskirtų priežiūros įstaigų pavadinimus ir adresus.

3.   Priežiūros įstaigos vaidmuo:

a)

prižiūrėti paskiriančiosios valstybės narės teritorijoje įsisteigusius kvalifikuotus patikimumo užtikrinimo paslaugų teikėjus siekiant ex ante ir ex post priežiūros veikla užtikrinti, kad tie patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitiktų šiame reglamente nustatytus reikalavimus;

b)

vykdant ex post priežiūros veiklą, prireikus imtis veiksmų dėl paskiriančiosios valstybės narės teritorijoje įsisteigusių nekvalifikuotų patikimumo užtikrinimo paslaugų teikėjų, kai pranešama, kad tie nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ar jų teikiamos patikimumo užtikrinimo paslaugos tariamai neatitinka šiame reglamente nustatytų reikalavimų.

4.   Taikant 3 dalį ir laikantis joje numatytų apribojimų, priežiūros įstaigos funkcijos yra visų pirma:

a)	bendradarbiauti su kitomis priežiūros įstaigomis ir teikti joms pagalbą pagal 18 straipsnį;

b)	analizuoti 20 straipsnio 1 dalyje ir 21 straipsnio 1 dalyje nurodytas atitikties įvertinimo ataskaitas;

c)	informuoti kitas priežiūros įstaigas ir visuomenę apie saugumo ar vientisumo pažeidimus pagal 19 straipsnio 2 dalį;

d)	vadovaujantis šio straipsnio 6 dalimi, teikti Komisijai ataskaitas apie savo pagrindinę veiklą;

e)	vykdyti auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą pagal 20 straipsnio 2 dalį;

f)	bendradarbiauti su duomenų apsaugos institucijomis, visų pirma, nepagrįstai nedelsiant jas informuojant apie kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų audito rezultatus kai tikėtina, kad buvo pažeistos asmens duomenų apsaugos taisyklės;

g)	patikimumo užtikrinimo paslaugų teikėjams ir jų teikiamoms paslaugoms suteikti kvalifikacijos statusą ir jį panaikinti pagal 20 ir 21 straipsnius;

h)	pranešti 22 straipsnio 3 dalyje nurodytai už nacionalinį patikimą sąrašą atsakingai įstaigai apie savo sprendimus suteikti arba panaikinti kvalifikacijos statusą, nebent ta įstaiga taip pat būtų priežiūros įstaiga;

i)	patikrinti, ar priimtos ir teisingai taikomos nuostatos dėl nutraukimo planų tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai nutraukia savo veiklą, be kita ko, patikrinti, kaip informacija laikoma prieinama pagal 24 straipsnio 2 dalies h punktą;

j)	reikalauti, kad patikimumo užtikrinimo paslaugų teikėjai ištaisytų šiame reglamente nustatytų reikalavimų vykdymo pažeidimus.

5.   Valstybės narės gali reikalauti, kad priežiūros įstaiga, laikydamasi nacionalinėje teisėje nustatytų sąlygų, sukurtų, tvarkytų ir atnaujintų patikimumo užtikrinimo infrastruktūrą.

6.   Kiekviena priežiūros įstaiga kasmet ne vėliau kaip kovo 31 d. pateikia Komisijai ataskaitą apie praėjusiais kalendoriniais metais vykdytą pagrindinę veiklą kartu su pranešimų apie pažeidimus, gautų iš patikimumo užtikrinimo paslaugų teikėjų pagal 19 straipsnio 2 dalį, suvestine.

7.   Komisija pateikia valstybėms narėms 6 dalyje nurodytą metinę ataskaitą.

8.   Komisija gali priimti įgyvendinimo aktus, kuriais apibrėžia 6 dalyje nurodytos ataskaitos teikimo formatus ir procedūras. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

19 straipsnis

Patikimumo užtikrinimo paslaugų teikėjams keliami saugumo reikalavimai

1.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai imasi reikiamų techninių ir organizacinių priemonių, kad būtų valdoma rizika, kylanti jų teikiamų patikimumo užtikrinimo paslaugų saugumui. Atsižvelgiant į naujausius technologinius pokyčius, tomis priemonėmis užtikrinama, kad saugumo lygis atitiktų rizikos lygį. Visų pirma imamasi priemonių, kad būtų išvengta saugumo incidentų, jog būtų kuo labiau sumažintas jų poveikis ir kad suinteresuotieji subjektai būtų informuoti apie neigiamą tokių incidentų poveikį.

2.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, nepagrįstai nedelsdami, ir bet kuriuo atveju per 24 valandas nuo to momento, kai apie tai sužino, praneša priežiūros įstaigai ir, prireikus, kitoms atitinkamomis įstaigomis, kaip antai informacijos saugumo klausimais kompetentingai nacionalinei įstaigai arba duomenų apsaugos institucijai, apie visus saugumo arba vientisumo pažeidimus, turėjusius didelį poveikį teikiamai patikimumo užtikrinimo paslaugai arba ją teikiant naudojamiems asmens duomenims.

Kai saugumo ar vientisumo pažeidimas galėtų turėti neigiamo poveikio fiziniam ar juridiniam asmeniui, kuriam teikiama patikimumo užtikrinimo paslauga, patikimumo užtikrinimo paslaugų teikėjas taip pat nepagrįstai nedelsdamas praneša apie saugumo ar vientisumo pažeidimą tam fiziniam ar juridiniam asmeniui.

Prireikus – visų pirma, kai saugumo arba vientisumo pažeidimas yra susijęs su dviem arba daugiau valstybių narių – pranešimą gavusi priežiūros įstaiga informuoja kitų atitinkamų valstybių narių priežiūros įstaigas ir ENISA.

Jei pranešimą gavusi priežiūros įstaiga nustato, kad saugumo ar vientisumo pažeidimo atskleidimas yra svarbus visuomenei, ji informuoja visuomenę arba pareikalauja, kad tą padarytų patikimumo užtikrinimo paslaugų teikėjas.

3.   Priežiūros įstaiga kartą per metus pateikia ENISA iš patikimumo užtikrinimo paslaugų teikėjų gautų pranešimų apie saugumo ar vientisumo pažeidimus suvestinę.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais:

a)	tiksliau apibrėžia 1 dalyje nurodytas priemones ir

b)	apibrėžia formatus ir procedūras, įskaitant terminus, taikytinus 2 dalies tikslais.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

3   SKYRIUS

Kvalifikuotos patikimumo užtikrinimo paslaugos

24 straipsnis

Kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams keliami reikalavimai

1.   Išduodamas kvalifikuotą patikimumo užtikrinimo paslaugos sertifikatą, kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas tinkamomis priemonėmis pagal nacionalinės teisės aktus patikrina fizinio ar juridinio asmens, kuriam išduodamas kvalifikuotas sertifikatas, tapatybę ir, jeigu taikytina, visus jo specifinius požymius.

Pirmoje pastraipoje nurodytą informaciją kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, tikrina tiesiogiai arba patikėdamas tą atlikti trečiajai šaliai pagal nacionalinę teisę:

a)	fiziškai dalyvaujant fiziniam asmeniui arba juridinio asmens įgaliotajam atstovui; arba

b)

nuotoliniu būdu, naudodamas elektroninės atpažinties priemones, jei prieš išduodant kvalifikuotą sertifikatą jų atžvilgiu buvo užtikrintas fizinio ar juridinio asmens įgaliotojo atstovo fizinis dalyvavimas, ir kurios atitinka 8 straipsnyje nustatytus „pakankamo“ ir „aukšto“ saugumo užtikrinimo lygių reikalavimus; arba

c)	naudodamas pagal a arba b punktą išduotą kvalifikuotą elektroninio parašo arba elektroninio spaudo sertifikatą, arba

d)	naudodamas kitus nacionaliniu lygiu pripažintus tapatybės nustatymo būdus, kuriais užtikrinamas fiziniam dalyvavimui lygiavertis saugumo užtikrinimas. Lygiavertį saugumo užtikrinimą turi patvirtinti atitikties vertinimo įstaiga.

2.   Kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, teikiantis kvalifikuotas patikimumo užtikrinimo paslaugas:

a)	informuoja priežiūros įstaigą apie bet kokius savo kvalifikuotų patikimumo užtikrinimo paslaugų teikimo pakeitimus ir ketinimą nutraukti tą veiklą;

b)

samdo darbuotojus ir, jei taikytina, subrangovus, kurie turi būtinos kompetencijos, yra patikimi, turi būtinos patirties ir kvalifikacijos, yra tinkamai apmokyti saugumo ir asmens duomenų apsaugos taisyklių, ir taiko Europos arba tarptautinius standartus atitinkančias administracines bei valdymo procedūras;

c)	atsakomybės už žalą rizikos atžvilgiu pagal 13 straipsnį, disponuoja pakankamais finansiniais ištekliais ir (arba) gauna tinkamą atsakomybės draudimą pagal nacionalinės teisės aktus;

d)	prieš užmegzdamas sutartinius santykius, aiškiai ir išsamiai informuoja visus asmenis, kurie nori naudotis kvalifikuota patikimumo užtikrinimo paslauga, apie tikslias naudojimosi ta paslauga sąlygas, įskaitant bet kokius naudojimosi ja apribojimus;

e)	naudoja patikimas sistemas ir produktus, kurie yra apsaugoti nuo pakeitimų, ir užtikrina jų palaikomo proceso techninį saugumą ir patikimumą;

f)	jam pateiktus duomenis patikrinama forma saugo patikimose sistemose, kad: i) juos būtų galima viešai gauti tik gavus asmens, su kuriuo yra susiję šie duomenys, sutikimą; ii) saugomų duomenų įrašus ir pakeitimus galėtų daryti tik įgalioti asmenys; iii) būtų galima patikrinti duomenų tikrumą;

g)	imasi tinkamų apsaugos nuo duomenų klastojimo ir vagystės priemonių;

h)

tinkamą laikotarpį, įskaitant kvalifikuotam patikimumo užtikrinimo paslaugų teikėjui nutraukus veiklą, registruoja ir laiko prieinama visą susijusią informaciją dėl kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo parengtų ir gautų duomenų, visų pirma tam, kad šią informaciją būtų galima panaudoti teismo procese kaip įrodymą ir siekiant užtikrinti paslaugų tęstinumą. Tokia informacija gali būti registruojama elektroniniu būdu;

i)	turi atnaujinamą nutraukimo planą, kad užtikrintų paslaugų tęstinumą, atsižvelgdami į priežiūros įstaigos pagal 17 straipsnio 4 dalies i punktą patikrintas nuostatas;

j)	užtikrina teisėtą asmens duomenų tvarkymą pagal Direktyvą 95/46/EB;

k)	tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai išduoda kvalifikuotus sertifikatus – sukuria ir atnaujina sertifikatų duomenų bazę.

3.   Jei kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, išduodantis kvalifikuotus sertifikatus nusprendžia atšaukti sertifikatą, tokį atšaukimą jis užregistruoja savo sertifikatų duomenų bazėje ir laiku paskelbia apie sertifikato atšaukimo statusą, ir bet kuriuo atveju per 24 valandas po prašymo gavimo dienos. Atšaukimas įsigalioja nedelsiant po jo paskelbimo.

4.   Atsižvelgdami į 3 dalį, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, išduodantys kvalifikuotus sertifikatus, kiekvienai pasikliaujančiajai šaliai pateikia informaciją apie jų išduotų kvalifikuotų sertifikatų galiojimą arba atšaukimą. Ši informacija bet kuriuo metu, net ir pasibaigus sertifikato galiojimo laikotarpiui, pateikiama bent apie kiekvieną sertifikatą taikant automatizuotą būdą, kuris yra saugus, nemokamas ir veiksmingas.

5.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato patikimoms sistemoms ir produktams, kurie atitinka šio straipsnio 2 dalies e ir f punktų reikalavimus, taikomų standartų referencinius numerius. Jeigu patikimos sistemos ir produktai atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

4   SKIRSNIS

Elektroniniai parašai

43 straipsnis

Elektroninio registruoto pristatymo paslaugų teisinė galia

1.   Negalima atsisakyti pripažinti naudojantis elektroninio registruoto pristatymo paslaugomis išsiųstų ir gautų duomenų teisinės galios ir jų tinkamumo naudoti kaip įrodymą teismo procese tik dėl to, kad jis yra elektroninis arba kad neatitinka kvalifikuotoms elektroninio registruoto pristatymo paslaugoms keliamų reikalavimų.

2.   Naudojantis kvalifikuotomis elektroninio registruoto pristatymo paslaugomis išsiųstų ir gautų duomenų atveju preziumuojama, kad tie duomenys yra vientisi, duomenis išsiuntė siuntėjas ir juos gavo gavėjas, kurių tapatybės žinomos, o duomenų išsiuntimo ir gavimo data bei laikas, nurodyti naudojantis kvalifikuotomis elektroninio registruoto pristatymo paslaugomis, yra tikslūs.