keyboard_tab EIDAS 2014/0910 LT

whereas reikalauja:

• whereas (8) 1
• whereas (10) 1
• whereas (15) 1
• whereas (39) 1
• whereas (40) 1
• whereas (62) 1

definitions:

6 straipsnis

Abipusis pripažinimas

1.   Kai pagal nacionalinės teisės aktus arba nacionalinę administracinę praktiką reikalaujama, kad norint vienoje valstybėje narėje pasinaudoti viešojo sektoriaus įstaigos teikiama internetine paslauga būtina užtikrinti elektroninę atpažintį naudojant elektronines atpažinties priemones ir tapatumo nustatymą, tos internetinės paslaugos tarpvalstybinio tapatumo nustatymo tikslais pirmojoje valstybėje narėje pripažįstamos kitoje valstybėje narėje išduotos elektroninės atpažinties priemonės, su sąlyga, kad įvykdomos šios sąlygos:

a)	elektroninės atpažinties priemonė yra išduota pagal elektroninės atpažinties schemą, kuri yra įtraukta į Komisijos pagal 9 straipsnį skelbiamą sąrašą;

b)

elektroninės atpažinties priemonės saugumo užtikrinimo lygis atitinka saugumo užtikrinimo lygį, kuris yra lygiavertis saugumo užtikrinimo lygiui, kurio reikalauja atitinkama viešojo sektoriaus įstaiga, kad būtų galima pasinaudoti ta internetine paslauga pirmojoje valstybėje narėje, arba yra už jį aukštesnis, su sąlyga, kad tos elektroninės atpažinties priemonės saugumo užtikrinimo lygis atitinka pakankamą arba aukštą saugumo užtikrinimo lygį;

c)	atitinkama viešojo sektoriaus įstaiga taiko pakankamą arba aukštą saugumo užtikrinimo lygį galimybės naudotis ta internetine paslauga atžvilgiu.

Toks pripažinimas atliekamas ne vėliau kaip per 12 mėnesių po to, kai Komisija paskelbia sąrašą, nurodytą pirmos pastraipos a punkte.

2.   Elektroninės atpažinties priemonė, išduota pagal į Komisijos pagal 9 straipsnį paskelbtą sąrašą įtrauktą elektroninės atpažinties schemą ir atitinkanti žemą saugumo užtikrinimo lygį, gali būti viešojo sektoriaus įstaigų pripažįstama tų įstaigų teikiamos internetinės paslaugos tarpvalstybinio tapatumo nustatymo tikslais.

7 straipsnis

Pranešimo apie elektroninės atpažinties schemas atitiktis reikalavimams

Elektroninės atpažinties schema atitinka pranešimo apie ją pagal 9 straipsnio 1 dalį reikalavimus, su sąlyga, kad įvykdomos visos šios sąlygos:

a)	elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą yra išduotos: i) pranešančiosios valstybės narės; ii) pagal pranešančiosios valstybės narės suteiktą įgaliojimą ar iii) nepriklausomai nuo pranešančiosios valstybės narės ir yra tos valstybės narės pripažintos;

b)	elektroninės atpažinties priemonės pagal elektroninės atpažinties schemą gali būti naudojamos norint pasinaudoti bent viena viešojo sektoriaus įstaigos teikiama paslauga, kuria reikalaujama užtikrinti elektroninę atpažintį pranešančiojoje valstybėje narėje;

c)	elektroninės atpažinties schema ir pagal ją išduodamos elektroninės atpažinties priemonės tenkina bent vieno iš saugumo užtikrinimo lygių reikalavimus, nustatytus 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

d)

pranešančioji valstybė narė užtikrina, kad asmens tapatybės duomenys, kuriais nurodomas konkretus atitinkamas asmuo, būtų susieti su 3 straipsnio 1 punkte nurodytu fiziniu arba juridiniu asmeniu elektroninės atpažinties priemonės išdavimo pagal tą schemą metu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

e)

elektroninę atpažinties priemonę pagal tą schemą išduodanti šalis užtikrina, kad elektroninė atpažinties priemonė būtų susieta su šio straipsnio d punkte nurodytu asmeniu, laikantis atitinkamo saugumo užtikrinimo lygio techninių specifikacijų, standartų ir procedūrų, nustatytų 8 straipsnio 3 dalyje nurodytame įgyvendinimo akte;

f)

pranešančioji valstybė narė užtikrina tapatumo nustatymo internete galimybę, kad bet kuri pasikliaujančioji šalis, įsteigta kitos valstybės narės teritorijoje, galėtų patvirtinti gautus elektroninės formos asmens tapatybės duomenis. Pasikliaujančiosioms šalims, kurios nėra viešojo sektoriaus įstaigos, pranešančioji valstybė narė gali nustatyti naudojimosi ta tapatumo nustatymo galimybe tvarką. Tarpvalstybinis tapatumo nustatymas yra nemokamas, kai jis susijęs su viešojo sektoriaus įstaigos teikiama internetine paslauga. Valstybės narės nenustato pasikliaujančiosioms šalims, kurios ketina atlikti tokį tapatumo nustatymą, jokių specialių neproporcingų techninių reikalavimų, kai dėl tokių reikalavimų užkertamas kelias arba kyla esminių kliūčių elektroninės atpažinties schemų, apie kurias pranešta, sąveikumui;

g)

bent prieš šešis mėnesius iki pranešimo pagal 9 straipsnio 1 dalį pranešančioji valstybė narė kitoms valstybėms narėms 12 straipsnio 5 dalyje nustatytos pareigos įvykdymo tikslais pateikia tos schemos aprašymą pagal procedūrines sąlygas, nustatytas 12 straipsnio 7 dalyje nurodytuose įgyvendinimo aktuose;

h)	elektroninės atpažinties schema atitinka 12 straipsnio 8 dalyje nurodytame įgyvendinimo akte nustatytus reikalavimus.

13 straipsnis

Atsakomybė ir įrodinėjimo pareiga

1.   Nedarant poveikio 2 daliai, patikimumo užtikrinimo paslaugų teikėjai atsako už tyčia ar dėl neatsargumo fiziniam ar juridiniam asmeniui padarytą žalą dėl pareigų pagal šį reglamentą nevykdymo.

Pareiga įrodyti nekvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčią arba neatsargumą tenka fiziniam ar juridiniam asmeniui, reikalaujančiam atlyginti pirmoje pastraipoje nurodytą žalą.

Kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčia ar neatsargumas yra prezumiuojami, nebent kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas įrodo, kad pirmoje pastraipoje nurodyta žala padaryta nesant to kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo tyčios ar neatsargumo.

2.   Kai patikimumo užtikrinimo paslaugų teikėjai iš anksto tinkamai informuoja savo klientus apie naudojimosi jų teikiamomis paslaugomis apribojimus ir kai tie apribojimai trečiosioms šalims yra atpažįstami, patikimumo užtikrinimo paslaugų teikėjai neatsako už žalą, padarytą naudojantis paslaugomis viršijant nurodytus apribojimus.

3.   1 ir 2 dalys taikomos laikantis nacionalinių atsakomybę reglamentuojančių taisyklių.

19 straipsnis

Patikimumo užtikrinimo paslaugų teikėjams keliami saugumo reikalavimai

1.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai imasi reikiamų techninių ir organizacinių priemonių, kad būtų valdoma rizika, kylanti jų teikiamų patikimumo užtikrinimo paslaugų saugumui. Atsižvelgiant į naujausius technologinius pokyčius, tomis priemonėmis užtikrinama, kad saugumo lygis atitiktų rizikos lygį. Visų pirma imamasi priemonių, kad būtų išvengta saugumo incidentų, jog būtų kuo labiau sumažintas jų poveikis ir kad suinteresuotieji subjektai būtų informuoti apie neigiamą tokių incidentų poveikį.

2.   Kvalifikuoti ir nekvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, nepagrįstai nedelsdami, ir bet kuriuo atveju per 24 valandas nuo to momento, kai apie tai sužino, praneša priežiūros įstaigai ir, prireikus, kitoms atitinkamomis įstaigomis, kaip antai informacijos saugumo klausimais kompetentingai nacionalinei įstaigai arba duomenų apsaugos institucijai, apie visus saugumo arba vientisumo pažeidimus, turėjusius didelį poveikį teikiamai patikimumo užtikrinimo paslaugai arba ją teikiant naudojamiems asmens duomenims.

Kai saugumo ar vientisumo pažeidimas galėtų turėti neigiamo poveikio fiziniam ar juridiniam asmeniui, kuriam teikiama patikimumo užtikrinimo paslauga, patikimumo užtikrinimo paslaugų teikėjas taip pat nepagrįstai nedelsdamas praneša apie saugumo ar vientisumo pažeidimą tam fiziniam ar juridiniam asmeniui.

Prireikus – visų pirma, kai saugumo arba vientisumo pažeidimas yra susijęs su dviem arba daugiau valstybių narių – pranešimą gavusi priežiūros įstaiga informuoja kitų atitinkamų valstybių narių priežiūros įstaigas ir ENISA.

Jei pranešimą gavusi priežiūros įstaiga nustato, kad saugumo ar vientisumo pažeidimo atskleidimas yra svarbus visuomenei, ji informuoja visuomenę arba pareikalauja, kad tą padarytų patikimumo užtikrinimo paslaugų teikėjas.

3.   Priežiūros įstaiga kartą per metus pateikia ENISA iš patikimumo užtikrinimo paslaugų teikėjų gautų pranešimų apie saugumo ar vientisumo pažeidimus suvestinę.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais:

a)	tiksliau apibrėžia 1 dalyje nurodytas priemones ir

b)	apibrėžia formatus ir procedūras, įskaitant terminus, taikytinus 2 dalies tikslais.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

3   SKYRIUS

Kvalifikuotos patikimumo užtikrinimo paslaugos

20 straipsnis

Kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų priežiūra

1.   Atitikties vertinimo įstaiga atlieka kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą jų lėšomis bent kas 24 mėnesius. Audito tikslas – patvirtinti, kad kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai po to parengtą atitikties įvertinimo ataskaitą priežiūros įstaigai pateikia per trijų darbo dienų laikotarpį nuo jos gavimo dienos.

2.   Nedarant poveikio 1 daliai, priežiūros įstaiga gali bet kuriuo metu atlikti kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų auditą arba reikalauti, kad atitikties vertinimo įstaiga atliktų jų atitikties įvertinimą tų patikimumo užtikrinimo paslaugų teikėjų lėšomis, siekiant patvirtinti, kad jie ir jų teikiamos kvalifikuotos patikimumo užtikrinimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Kai nustatoma, kad buvo pažeistos asmens duomenų apsaugos taisyklės, priežiūros įstaiga praneša duomenų apsaugos institucijoms savo atliktų auditų rezultatus.

3.   Kai priežiūros įstaiga reikalauja, kad kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ištaisytų bet kuriuos šiame reglamente nustatytų reikalavimų vykdymo pažeidimus ir kai tas teikėjas to nepadaro, jei taikytina, per priežiūros įstaigos nustatytą laikotarpį, priežiūros įstaiga, atsižvelgdama visų pirma į tokių pažeidimų mastą, trukmę ir pasekmes, gali panaikinti to teikėjo arba pažeidimo paveiktų jo teikiamų paslaugų kvalifikacijos statusą ir pranešti apie tai 22 straipsnio 3 dalyje nurodytai įstaigai, kad būtų galima atnaujinti 22 straipsnio 1 dalyje nurodytus patikimus sąrašus. Priežiūros įstaiga informuoja kvalifikuotą patikimumo užtikrinimo paslaugų teikėją apie jo kvalifikacijos statuso arba atitinkamos paslaugos kvalifikacijos statuso panaikinimą.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato toliau nurodytų standartų referencinius numerius:

a)	atitikties vertinimo įstaigų akreditavimo ir 1 dalyje nurodytos atitikties vertinimo ataskaitos;

b)	audito taisyklių, pagal kurias atitikties vertinimo įstaigos atliks 1 dalyje nurodytą kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų atitikties vertinimą.

Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

27 straipsnis

Elektroniniai parašai viešųjų paslaugų srityje

1.   Jei valstybė narė pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius parašus, kvalifikuotais elektroninių parašų sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

2.   Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio parašo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius parašus ir kvalifikuotus elektroninius parašus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

3.   Valstybės narės nereikalauja, kad tarpvalstybinio naudojimosi viešojo sektoriaus įstaigos teikiama internetine paslauga atveju būtų naudojamas elektroninis parašas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio parašo.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams parašams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis parašas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 26 straipsnyje pažangiesiems elektroniniams parašams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5.   Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių parašų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

37 straipsnis

Elektroniniai spaudai viešųjų paslaugų srityje

1.   Jei valstybė narė pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta pažangiuosius elektroninius spaudus, kvalifikuotais elektroninių spaudų sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

2.   Jei valstybė narė kvalifikuotu sertifikatu patvirtinto pažangiojo elektroninio spaudo reikalauja tam, kad būtų galima pasinaudoti viešojo sektoriaus įstaigos arba jos vardu teikiama internetine paslauga, ta valstybė narė pripažįsta kvalifikuotais sertifikatais patvirtintus pažangiuosius elektroninius spaudus ir kvalifikuotus elektroninius spaudus, kurie būtų taikomi bent tokių formatų arba naudojant tokius metodus, kokie apibrėžti 5 dalyje nurodytuose įgyvendinimo aktuose.

3.   Valstybės narės nereikalauja, kad norint tarpvalstybiniu lygiu pasinaudoti viešojo sektoriaus įstaigos teikiama internetine paslauga būtų naudojamas elektroninis spaudas, kurio saugumo užtikrinimo lygis būtų aukštesnis nei kvalifikuoto elektroninio spaudo.

4.   Komisija gali priimti įgyvendinimo aktus, kuriais nustato pažangiesiems elektroniniams spaudams taikomų standartų referencinius numerius. Jeigu pažangusis elektroninis spaudas atitinka tuos standartus, laikoma, kad užtikrinta atitiktis šio straipsnio 1 ir 2 dalyse ir 36 straipsnyje pažangiesiems elektroniniams spaudams nustatytiems reikalavimams. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

5.   Ne vėliau kaip 2015 m. rugsėjo 18 d. Komisija, atsižvelgdama į taikomą praktiką, standartus ir Sąjungos teisės aktus, įgyvendinimo aktais apibrėžia pažangiųjų elektroninių spaudų bazinius formatus arba bazinius metodus, kai naudojami alternatyvūs formatai. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.