02014R0910 — HR — 18.10.2024 — 002.003
Ovaj je tekst namijenjen isključivo dokumentiranju i nema pravni učinak. Institucije Unije nisu odgovorne za njegov sadržaj. Vjerodostojne inačice relevantnih akata, uključujući njihove preambule, one su koje su objavljene u Službenom listu Europske unije i dostupne u EUR-Lexu. Tim službenim tekstovima može se izravno pristupiti putem poveznica sadržanih u ovom dokumentu.
|
UREDBA (EU) br. 910/2014 EUROPSKOG PARLAMENTA I VIJEĆA od 23. srpnja 2014. ( L 257 28.8.2014, 73) |
Koju je izmijenila:
|
|
|
|||
|
br. |
stranica |
datum |
||
|
DIREKTIVA (EU) 2022/2555 EUROPSKOG PARLAMENTA I VIJEĆA od 14. prosinca 2022. |
L 333 |
80 |
27.12.2022 |
|
|
UREDBA (EU) 2024/1183 EUROPSKOG PARLAMENTA I VIJEĆA od 11. travnja 2024. |
L 1183 |
1 |
30.4.2024 |
|
Koju je ispravio:
UREDBA (EU) br. 910/2014 EUROPSKOG PARLAMENTA I VIJEĆA
od 23. srpnja 2014.
o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ
POGLAVLJE I.
OPĆE ODREDBE
Članak 1.
Predmet
Cilj je ove Uredbe osigurati ispravno funkcioniranje unutarnjeg tržišta i pružanje primjerene razine sigurnosti sredstava elektroničke identifikacije i usluga povjerenja koji se upotrebljavaju diljem Unije kako bi se fizičkim i pravnim osobama omogućilo i olakšalo ostvarivanje prava na sigurno sudjelovanje u digitalnom društvu i na pristup internetskim javnim i privatnim uslugama u cijeloj Uniji. U te svrhe ovom se Uredbom:
utvrđuju uvjeti pod kojima države članice priznaju sredstva elektroničke identifikacije fizičkih i pravnih osoba koja su obuhvaćena prijavljenim sustavom elektroničke identifikacije druge države članice te pružaju i priznaju europske lisnice za digitalni identitet;
utvrđuju pravila za usluge povjerenja, posebno za elektroničke transakcije;
uspostavlja pravni okvir za elektroničke potpise, elektroničke pečate, elektroničke vremenske žigove, elektroničke dokumente, usluge elektroničke preporučene dostave, usluge certificiranja za autentifikaciju mrežnih stranica, elektroničko arhiviranje, elektroničku potvrdu atributa, sredstva za izradu elektroničkih potpisa, sredstva za izradu elektroničkih pečata i elektroničke evidencije.
Članak 2.
Područje primjene
Članak 3.
Definicije
Za potrebe ove Uredbe primjenjuju se sljedeće definicije:
„elektronička identifikacija” znači postupak korištenja osobnim identifikacijskim podacima u elektroničkom obliku koji na nedvojben način predstavljaju fizičku ili pravnu osobu ili fizičku osobu koja predstavlja drugu fizičku osobu ili pravnu osobu;
„sredstvo elektroničke identifikacije” znači materijalna i/ili nematerijalna jedinica koja sadržava osobne identifikacijske podatke i koja se upotrebljava za autentifikaciju internetske usluge ili, prema potrebi, usluge izvan interneta;
„osobni identifikacijski podaci” znači skup podataka koji su izdani u skladu s pravom Unije ili nacionalnim pravom i koji omogućuju da utvrđivanje identiteta fizičke ili pravne osobe ili fizičke osobe koja predstavlja drugu fizičku osobu ili pravnu osobu.
„sustav elektroničke identifikacije” znači sustav za elektroničku identifikaciju u okviru kojega se sredstva elektroničke identifikacije izdaju fizičkim ili pravnim osobama ili fizičkim osobama koje predstavljaju druge fizičke osobe ili pravne osobe;
„,autentifikacija” znači elektronički postupak kojim se omogućuje potvrda elektroničke identifikacije fizičke ili pravne osobe ili potvrda izvornosti i cjelovitosti podataka u elektroničkom obliku;
„korisnik” znači fizička ili pravna osoba, ili fizička osoba koja predstavlja drugu fizičku osobu ili pravnu osobu, koja upotrebljava usluge povjerenja ili sredstva elektroničke identifikacije predviđene u skladu s ovom Uredbom;
„pouzdajuća strana” znači fizička ili pravna osoba koja se oslanja na elektroničku identifikaciju, europske lisnice za digitalni identitet ili druga sredstva elektroničke identifikacije ili na uslugu povjerenja;
„tijelo javnog sektora” znači državno, regionalno ili lokalno tijelo, javnopravno tijelo ili udruženje koje se sastoji od jednog ili nekoliko takvih tijela ili jednog ili nekoliko takvih javnopravnih tijela ili privatni subjekt koji je ovlastilo barem jedno od tih vlasti, tijela ili udruženja za pružanje javnih usluga kada djeluju u okviru takve ovlasti;
„javnopravno tijelo” znači tijelo definirano u članku 2. stavku 1. točki 4. Direktive 2014/24/EU Europskog parlamenta i Vijeća ( 2 );
„potpisnik” znači fizička osoba koja izrađuje elektronički potpis;
„elektronički potpis” znači podaci u elektroničkom obliku koji su pridruženi ili su logički povezani s drugim podacima u elektroničkom obliku i koje potpisnik koristi za potpisivanje;
„napredan elektronički potpis” znači elektronički potpis koji ispunjava zahtjeve navedene u članku 26.;
„kvalificirani elektronički potpis” znači napredan elektronički potpis koji je izrađen pomoću kvalificiranih sredstava za izradu elektroničkog potpisa i temelji se na kvalificiranom certifikatu za elektroničke potpise;
„podaci za izradu elektroničkog potpisa” znači jedinstveni podaci koje potpisnik koristi za izradu elektroničkog potpisa;
„certifikat za elektronički potpis” znači elektronička potvrda koja povezuje podatke za validaciju elektroničkog potpisa s fizičkom osobom i potvrđuje barem ime ili pseudonim te osobe;
„kvalificirani certifikat za elektronički potpis” znači certifikat za elektroničke potpise koji izdaje kvalificirani pružatelj usluga povjerenja i koji ispunjava zahtjeve utvrđene u Prilogu I.;
„usluga povjerenja” znači elektronička usluga koja se u pravilu pruža uz naknadu i koja obuhvaća bilo što od sljedećeg:
izdavanje certifikata za elektroničke potpise, certifikata za elektroničke pečate, certifikata za autentifikaciju mrežnih stranica ili certifikata za pružanje drugih usluga povjerenja;
validaciju certifikata za elektroničke potpise, certifikata za elektroničke pečate, certifikata za autentifikaciju mrežnih stranica ili certifikata za pružanje drugih usluga povjerenja;
izradu elektroničkih potpisa ili elektroničkih pečata;
validaciju elektroničkih potpisa ili elektroničkih pečata;
čuvanje elektroničkih potpisa, elektroničkih pečata, certifikata za elektroničke potpise ili certifikata za elektroničke pečate;
upravljanje sredstvima za izradu elektroničkog potpisa na daljinu ili sredstvima za izradu elektroničkog pečata na daljinu;
izdavanje elektroničkih potvrda atributa;
validaciju elektroničke potvrde atributa;
izradu elektroničkih vremenskih žigova;
validaciju elektroničkih vremenskih žigova;
pružanje usluga elektroničke preporučene dostave;
validaciju podataka prenesenih uslugama elektroničke preporučene dostave i povezanih dokaza;
elektroničko arhiviranje elektroničkih podataka i elektroničkih dokumenata;
bilježenje elektroničkih podataka u elektroničku evidenciju;
„kvalificirana usluga povjerenja” znači usluga povjerenja koja ispunjava odgovarajuće zahtjeve utvrđene u ovoj Uredbi;
„tijelo za ocjenjivanje sukladnosti” znači tijelo za ocjenjivanje sukladnosti kako je definirano u članku 2. točki 13. Uredbe (EZ) br. 765/2008, koje je u skladu s tom uredbom akreditirano kao nadležno za provedbu ocjenjivanja sukladnosti kvalificiranog pružatelja usluga povjerenja i kvalificiranih usluga povjerenja koje on pruža ili kao nadležno za provođenje certifikacije europskih lisnica za digitalni identitet ili sredstava elektroničke identifikacije;
„pružatelj usluga povjerenja” znači fizička ili pravna osoba koja pruža jednu ili više usluga povjerenja bilo kao kvalificirani ili nekvalificirani pružatelj usluga povjerenja;
„kvalificirani pružatelj usluga povjerenja” znači pružatelj usluga povjerenja koji pruža jednu ili više kvalificiranih usluga povjerenja i kojemu je nadzorno tijelo odobrilo kvalificirani status;
„proizvod” znači hardver ili softver ili odgovarajuće komponente hardvera ili softvera, koji su namijenjeni za upotrebu u svrhu pružanja elektroničke identifikacije i usluga povjerenja;
„sredstvo za izradu elektroničkog potpisa” znači konfigurirani softver ili hardver koji se koristi za izradu elektroničkog potpisa;
„kvalificirano sredstvo za izradu elektroničkog potpisa” znači sredstvo za izradu elektroničkog potpisa koje ispunjava zahtjeve utvrđene u Prilogu II.;
„kvalificirano sredstvo za izradu elektroničkog potpisa na daljinu” znači kvalificirano sredstvo za izradu elektroničkog potpisa kojim upravlja kvalificirani pružatelj usluga povjerenja u skladu s člankom 29.a u ime potpisnika;
„kvalificirano sredstvo za izradu elektroničkog pečata na daljinu” znači kvalificirano sredstvo za izradu elektroničkog pečata kojim upravlja kvalificirani pružatelj usluga povjerenja u skladu s člankom 39.a u ime autora pečata;
„autor pečata” znači pravna osoba koja izrađuje elektronički pečat;
„elektronički pečat” znači podaci u elektroničkom obliku koji su pridruženi drugim podacima u elektroničkom obliku ili su logički povezani s njima radi osiguravanja izvornosti i cjelovitosti tih podataka;
„napredan elektronički pečat” znači elektronički pečat koji ispunjava zahtjeve navedene u članku 36.;
„kvalificirani elektronički pečat” znači napredan elektronički pečat koji je izrađen pomoću kvalificiranog sredstva za izradu elektroničkog pečata i koji se temelji na kvalificiranom certifikatu za elektronički pečat;
„podaci za izradu elektroničkog pečata” znači jedinstveni podaci koje autor elektroničkog pečata koristi za izradu elektroničkog pečata;
„certifikat za elektronički pečat” znači elektronička potvrda koja povezuje podatke za validaciju elektroničkog pečata s pravnom osobom i potvrđuje naziv te osobe;
„kvalificirani certifikat za elektronički pečat” znači certifikat za elektronički pečat koji izdaje kvalificirani pružatelj usluge povjerenja i koji ispunjava zahtjeve određene u Prilogu III.;
„sredstvo za izradu elektroničkog pečata” znači konfigurirani softver ili hardver koji se koristi za izradu elektroničkog pečata;
„kvalificirano sredstvo za izradu elektroničkog pečata” znači sredstvo za izradu elektroničkog pečata koje mutatis mutandis ispunjava zahtjeve određene u Prilogu II.;
„elektronički vremenski žig” znači podaci u elektroničkom obliku koji povezuju druge podatke u elektroničkom obliku s određenim vremenom i na taj način dokazuju da su ti podaci postojali u to vrijeme;
„kvalificirani elektronički vremenski žig” znači elektronički vremenski žig koji ispunjava zahtjeve navedene u članku 42.;
„elektronički dokument” znači svaki sadržaj koji je pohranjen u elektroničkom obliku, a posebno kao tekstualni ili zvučni, vizualni ili audiovizualni zapis;
„usluga elektroničke preporučene dostave” znači usluga koja omogućava prijenos podataka među trećim stranama pomoću elektroničkih sredstava i pruža dokaz o postupanju s prenesenim podacima, uključujući dokaz o slanju i primanju podataka, čime se preneseni podaci štite od rizika gubitka, krađe, oštećenja ili bilo kakvih neovlaštenih preinaka;
„kvalificirana usluga elektroničke preporučene dostave” znači usluga elektroničke preporučene dostave koja ispunjava zahtjeve utvrđene u članku 44.;
„certifikat za autentifikaciju mrežnih stranica” znači elektronička potvrda s pomoću koje je moguće izvršiti autentifikaciju mrežnih stranica te kojom se mrežne stranice povezuju s fizičkom ili pravnom osobom kojoj je certifikat izdan;
„podaci za validaciju” znači podaci koji se koriste za validaciju elektroničkog potpisa ili elektroničkog pečata;
„validacija” znači postupak verifikacije i potvrđivanja da su podaci u elektroničkom obliku valjani u skladu s ovom Uredbom;
„europska lisnica za digitalni identitet” znači sredstvo elektroničke identifikacije koje korisniku omogućuje sigurnu pohranu, upravljanje i validaciju osobnih identifikacijskih podataka i elektroničkih potvrda atributa u svrhu njihova pružanja pouzdajućim stranama i drugim korisnicima europskih lisnica za digitalni identitet, kao i potpisivanje kvalificiranim elektroničkim potpisima ili pečaćenje kvalificiranim elektroničkim pečatima;
„atribut” znači karakteristika, kvaliteta, pravo ili dopuštenje fizičke ili pravne osobe ili predmeta;
„elektronička potvrda atributa” znači potvrda u elektroničkom obliku kojom se omogućuje autentifikacija atributa;
„kvalificirana elektronička potvrda atributa” znači elektronička potvrda atributa koju izdaje kvalificirani pružatelj usluga povjerenja i koja ispunjava zahtjeve utvrđene u Prilogu V.;
„elektronička potvrda atributa koju izdaje tijelo javnog sektora odgovorno za autentični izvor ili koja se izdaje u njegovo ime” znači elektronička potvrda atributa koju izdaje tijelo javnog sektora koje je odgovorno za autentični izvor ili tijelo javnog sektora koje je imenovala država članica za izdavanje takvih potvrda atributa u ime tijela javnog sektora odgovornih za autentične izvore u skladu s člankom 45.f i Prilogom VII.;
„autentičan izvor” znači repozitorij ili sustav pod nadležnošću tijela javnog sektora ili privatnog subjekta u kojem su pohranjeni atributi u vezi s fizičkom ili pravnom osobom ili objektom, koji pruža te atribute i koji se smatra glavnim izvorom tih informacija ili se priznaje kao autentičan u skladu s pravom Unije ili nacionalnim pravom, uključujući administrativnu praksu;
„elektroničko arhiviranje” znači usluga kojom se osiguravaju primanje, pohrana, dohvaćanje i brisanje elektroničkih podataka i elektroničkih dokumenata kako bi se osigurala njihova trajnost i čitljivost te očuvali njihova cjelovitost, povjerljivost i dokaz o podrijetlu tijekom cijelog razdoblja čuvanja;
„kvalificirana usluga elektroničkog arhiviranja” znači usluga elektroničkog arhiviranja koju pruža kvalificirani pružatelj usluga povjerenja i koja ispunjava zahtjeve utvrđene u članku 45.j;
„EU znak pouzdanosti lisnice za digitalni identitet” znači provjerljiva, jednostavna i prepoznatljiva oznaka kojom se na jasan način naznačuje da je europska lisnica za digitalni identitet stavljena na raspolaganje u skladu s ovom Uredbom;
„pouzdana autentifikacija korisnika” znači autentifikacija na temelju upotrebe najmanje dvaju čimbenika autentifikacije iz različitih kategorija znanja, odnosno nečega što samo korisnik zna, posjedovanja, odnosno nečega što samo korisnik posjeduje, ili svojstvenosti, odnosno nečega što korisnik jest, koji su međusobno neovisni, što znači da povreda jednog ne ugrožava pouzdanost drugih, i koja je osmišljena kako bi štitila povjerljivost podataka o autentifikaciji;
„elektronička evidencija” znači slijed elektroničkih zapisa podataka kojim se osigurava cjelovitost tih zapisa i točnost kronološkog redoslijeda tih zapisa;
„kvalificirana elektronička evidencija” znači elektronička evidencija koju pruža kvalificirani pružatelj usluga povjerenja i koja ispunjava zahtjeve utvrđene u članku 45.l.;
„osobni podaci” znači sve informacije kako su definirane u članku 4. točki 1. Uredbe (EU) 2016/679;
„potvrđivanje identiteta” znači postupak u kojem se osobni identifikacijski podaci ili sredstva elektroničke identifikacije spajaju ili povezuju s postojećim računom koji pripada istoj osobi;
„zapis podataka” znači elektronički podaci koji su zabilježeni s povezanim metapodacima i koji podupiru obradu podataka;
„izvanmrežni način rada” znači, u pogledu upotrebe europskih lisnica za digitalni identitet, interakcija između korisnika i treće strane na fizičkoj lokaciji uz upotrebu tehnologije neposredne blizine, pri čemu nije potrebno da europska lisnica za digitalni identitet za potrebe interakcije pristupi sustavima na daljinu putem elektroničkih komunikacijskih mreža.
Članak 4.
Načelo unutarnjeg tržišta
Članak 5.
Pseudonimi u elektroničkoj transakciji
Ne dovodeći u pitanje posebna pravila prava Unije ili nacionalnog prava kojima se od korisnika zahtijeva da se identificiraju ni pravni učinak koji pseudonimi imaju prema nacionalnom pravu, upotreba pseudonima koje je odabrao korisnik nije zabranjena.
POGLAVLJE II.
ELEKTRONIČKA IDENTIFIKACIJA
ODJELJAK 1.
Europska lisnica za digitalni identitet
Članak 5.a
Europske lisnice za digitalni identitet
Europske lisnice za digitalni identitet stavljaju se na raspolaganje na jedan ili više sljedećih načina:
na raspolaganje ih izravno stavlja država članica;
na raspolaganje se stavljaju na temelju ovlasti koju daje država članica;
na raspolaganje se stavljaju neovisno o državi članici, ali priznaje ih ta država članica.
Europske lisnice za digitalni identitet omogućuju korisniku da na njemu prilagođen, transparentan i sljediv način:
sigurno zatraži, dobije, odabire, kombinira, pohranjuje, briše, dijeli i predstavlja, pod isključivom kontrolom korisnika, osobne identifikacijske podatke i da se, prema potrebi, u kombinaciji s elektroničkim potvrdama atributa, autentificira pouzdajućim stranama na internetu i, prema potrebi, u izvanmrežnom načinu rada, radi pristupa javnim i privatnim uslugama, uz istodobno osiguravanje mogućnosti selektivnog otkrivanja podataka;
generira pseudonime i pohrani ih u kriptiranom obliku i lokalno u europskoj lisnici za digitalni identitet;
sigurno izvrši autentifikaciju europske lisnice za digitalni identitet druge osobe te na siguran način prima i razmjenjuje osobne identifikacijske podatke i elektroničke potvrde atributa između dviju europskih lisnica za digitalni identitet;
pristupi evidenciji svih transakcija izvršenih preko europske lisnice za digitalni identitet putem zajedničke kontrolne ploče koja korisniku omogućuje:
da pregleda ažurirani popis pouzdajućih strana s kojima je korisnik uspostavio vezu i, prema potrebi, sve razmijenjene podatke;
da na jednostavan način zatraži da pouzdajuća strana izbriše osobne podatke na temelju članka 17. Uredbe (EU) 2016/679;
da na jednostavan način prijavi pouzdajuću stranu nadležnom nacionalnom tijelu za zaštitu podataka ako primi navodno nezakonit ili sumnjiv zahtjev za podacima;
potpiše kvalificiranim elektroničkim potpisima ili zapečati kvalificiranim elektroničkim pečatima;
preuzme, u mjeri u kojoj je to tehnički izvedivo, podatke korisnika, elektroničku potvrdu atributa i konfiguracije;
ostvaruje prava korisnika na prenosivost podataka.
Europske lisnice za digitalni identitet osobito:
podržavaju zajedničke protokole i sučelja:
za izdavanje osobnih identifikacijskih podataka, kvalificiranih i nekvalificiranih elektroničkih potvrda atributa ili kvalificiranih i nekvalificiranih certifikata europskoj lisnici za digitalni identitet;
kako bi se pouzdajućim stranama omogućilo da zatraže i validiraju osobne identifikacijske podatke i elektroničke potvrde atributa;
za dijeljenje i predstavljanje pouzdajućim stranama osobnih identifikacijskih podataka, elektroničke potvrde atributa ili selektivno otkrivenih povezanih podataka na internetu i, prema potrebi, u izvanmrežnom načinu rada;
kako bi se korisniku omogućili interakcija s europskom lisnicom za digitalni identitet i prikaz EU znaka pouzdanosti lisnice za digitalni identitet;
za sigurno uključivanje korisnika upotrebom sredstava elektroničke identifikacije u skladu s člankom 5.a stavkom 24.;
za interakciju između europskih lisnica za digitalni identitet dviju osoba u svrhu sigurnog primanja, validacije i razmjene osobnih identifikacijskih podataka o identitetu i elektroničkih potvrda atributa;
za autentifikaciju i identifikaciju pouzdajućih strana provedbom mehanizama autentifikacije u skladu s člankom 5.b;
kako bi se pouzdajućim stranama omogućilo da provjere autentičnost i valjanost europskih lisnica za digitalni identitet;
kako bi se od pouzdajuće strane zatražilo brisanje osobnih podataka na temelju članka 17. Uredbe (EU) 2016/679;
za prijavljivanje pouzdajuće strane nadležnom nacionalnom tijelu za zaštitu podataka ako je zaprimljen navodno nezakonit ili sumnjiv zahtjev za podacima;
za stvaranje kvalificiranih elektroničkih potpisa ili elektroničkih pečata s pomoću kvalificiranih sredstava za izradu elektroničkih potpisa ili kvalificiranih sredstava za izradu elektroničkih pečata;
pružateljima usluga povjerenja za elektroničke potvrde atributa ne pružaju informacije o upotrebi tih elektroničkih potvrda;
osiguravaju da se pouzdajuće strane mogu autentificirati i identificirati provedbom mehanizama autentifikacije u skladu s člankom 5.b;
ispunjavaju zahtjeve utvrđene u članku 8. u pogledu visoke razine osiguranja identiteta, osobito kad je riječ o zahtjevima za dokazivanje i provjeru identiteta te upravljanju sredstvima elektroničke identifikacije i njihovoj autentifikaciji;
u slučaju elektroničke potvrde atributa s ugrađenim politikama otkrivanja, primjenjuju odgovarajući mehanizam za obavješćivanje korisnika da pouzdajuća strana ili korisnik europske lisnice za digitalni identitet koji su podnijeli zahtjev za tu elektroničku potvrdu atributa imaju dopuštenje za pristup toj potvrdi;
osiguravaju da osobni identifikacijski podaci kojima raspolaže sustav elektroničke identifikacije u okviru kojeg se na raspolaganje stavlja europska lisnica za digitalni identitet na nedvojben način predstavljaju fizičku osobu, pravnu osobu ili fizičku osobu koja predstavlja fizičku ili pravnu osobu te da su povezani s tom europskom lisnicom za digitalni identitet;
svim fizičkim osobama automatski i besplatno nudi mogućnost potpisivanja kvalificiranim elektroničkim potpisima.
Neovisno o prvom podstavku točki (g), države članice mogu predvidjeti razmjerne mjere za osiguravanje da besplatna upotreba kvalificiranih elektroničkih potpisa od strane fizičkih osoba bude ograničena na neprofesionalne svrhe.
Države članice besplatno stavljaju na raspolaganje mehanizme za validaciju kako bi se:
osiguralo da se mogu provjeravati autentičnost i valjanost europskih lisnica za digitalni identitet;
korisnicima omogućilo da provjere autentičnost i valjanost identiteta pouzdajućih strana registriranih u skladu s člankom 5.b.
Države članice osiguravaju da se valjanost europske lisnice za digitalni identitet može opozvati u sljedećim okolnostima:
na izričit zahtjev korisnika;
ako je sigurnost europske lisnice za digitalni identitet ugrožena;
nakon smrti korisnika ili prestanka aktivnosti pravne osobe.
Tehnički okvir za europsku lisnicu za digitalni identitet:
pružateljima elektroničkih potvrda atributa ili bilo kojoj drugoj strani nakon izdavanja potvrde atributa ne dopušta da dođu do podataka koji omogućuju praćenje, povezivanje ili korelaciju transakcija ili ponašanja korisnika, ili drukčije pribavljanje znanja o transakcijama ili ponašanju korisnika, osim ako korisnik to izričito dopusti;
omogućuje tehnike za očuvanje privatnosti kojima se osigurava nepovezivost, kada za potvrdu atributa nije potrebna identifikacija korisnika.
Države članice bez nepotrebne odgode Komisiji dostavljaju informacije o:
tijelu odgovornom za uspostavu i održavanje popisa prijavljenih pouzdajućih strana koje se oslanjaju na europske lisnice za digitalni identitet u skladu s člankom 5.b stavkom 5. i mjestu na kojem se taj popis nalazi;
tijelima odgovornima za stavljanje na raspolaganje europskih lisnica za digitalni identitet u skladu s člankom 5.a stavkom 1.;
tijelima odgovornima za osiguravanje da osobni identifikacijski podaci koji su povezani s europskom lisnicom za digitalni identitet budu u skladu s člankom 5.a stavkom 5. točkom (f);
mehanizmu kojim se omogućuje validacija osobnih identifikacijskih podataka iz članka 5.a stavka 5. točke (f) i validacija identiteta pouzdajućih strana;
mehanizmu kojim se validira autentičnost i valjanost europskih lisnica za digitalni identitet.
Komisija informacije dostavljene na temelju prvog podstavka stavlja na raspolaganje javnosti putem sigurnog kanala, u elektronički potpisanom ili zapečaćenom obliku prikladnom za automatiziranu obradu.
Članak 5.b
Pouzdajuće strane europskih lisnica za digitalni identitet
Postupak registracije mora biti troškovno učinkovit i razmjeran riziku. Pouzdajuća strana dostavlja barem:
informacije potrebne za autentifikaciju u europske lisnice za digitalni identitet, koje uključuju barem:
državu članicu u kojoj pouzdajuća strana ima poslovni nastan; i
ime pouzdajuće strane i, ako je to primjenjivo, njezin registracijski broj kako je naveden u službenoj evidenciji, zajedno s identifikacijskim podacima te službene evidencije;
podatke za kontakt pouzdajuće strane;
predviđenu upotrebu europskih lisnica za digitalni identitet, uključujući naznaku podataka koje pouzdajuća strana treba zatražiti od korisnika.
Članak 5.c
Certifikacija europskih lisnica za digitalni identitet
Članak 5.d
Objava popisa certificiranih europskih lisnica za digitalni identitet
Ne dovodeći u pitanje članak 5.a stavak 18., informacije iz stavka 1. ovog članka koje dostavljaju države članice uključuju barem:
certifikat i izvješće o ocjenjivanju certifikacije certificirane europske lisnice za digitalni identitet;
opis sustava elektroničke identifikacije u okviru kojeg se europska lisnica za digitalni identitet stavlja na raspolaganje;
primjenjivi sustav nadzora i informacije o sustavu odgovornosti s obzirom na stranu koja europsku lisnicu za digitalni identitet stavlja na raspolaganje;
tijelo ili tijela odgovorna za sustav elektroničke identifikacije;
aranžmane za suspenziju ili opoziv sustava elektroničke identifikacije ili autentifikacije ili ugroženih dijelova o kojima je riječ.
Članak 5.e
Povreda sigurnosti europskih lisnica za digitalni identitet
Ako je to opravdano ozbiljnošću povrede sigurnosti ili ugrožavanja iz prvog podstavka, država članica bez nepotrebne odgode povlači europske lisnice za digitalni identitet.
Država članica o tome obavješćuje pogođene korisnike, jedinstvene kontaktne točke imenovane u skladu s člankom 46.c stavkom 1., pouzdajuće strane i Komisiju.
Članak 5.f
Prekogranično oslanjanje na europske lisnice za digitalni identitet
ODJELJAK 2.
Sustavi elektroničke identifikacije
Članak 6.
Uzajamno priznavanje
Kada se prema nacionalnom pravu ili nacionalnom administrativnom praksom zahtijeva elektronička identifikacija pomoću sredstva elektroničke identifikacije i ►C1 autentifikacije ◄ radi pristupa usluzi koju tijelo javnog sektora pruža online u jednoj državi članici, sredstvo elektroničke identifikacije izdano u drugoj državi članici priznaje se u prvoj državi članici za potrebe prekogranične ►C1 autentifikacije ◄ na tu uslugu online, pod uvjetom da su ispunjeni sljedeći uvjeti:
sredstvo elektroničke identifikacije izdano je u okviru sustava elektroničke identifikacije koji je uvršten na popis koji je objavila Komisija na temelju članka 9.;
►C1 razina osiguranja identiteta ◄ tih sredstava elektroničke identifikacije odgovara ►C1 razini osiguranja identiteta ◄ koja je jednaka ili viša od ►C1 razine osiguranja identiteta ◄ koju zahtijeva nadležno tijelo javnog sektora radi pristupa toj usluzi online u prvoj državi članici ili viša od te razine, pod uvjetom da ►C1 razina osiguranja identiteta ◄ tih sredstava elektroničke identifikacije odgovara značajnoj ili visokoj ►C1 razini osiguranja identiteta ◄ ;
odgovarajuće tijelo javnog sektora primjenjuje značajnu ili visoku ►C1 razinu osiguranja identiteta ◄ u odnosu na pristupanje toj usluzi online.
Takvo priznavanje mora uslijediti najkasnije 12 mjeseci nakon što Komisija objavi popis iz prvog podstavka točke (a).
Članak 7.
Prihvatljivost sustava elektroničke identifikacije za prijavu
Sustav elektroničke identifikacije prihvatljiv je za prijavu na temelju članka 9. stavka 1. pod uvjetom da budu ispunjeni svi sljedeći uvjeti:
sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije izdana su:
od strane države članice koja provodi prijavljivanje;
u okviru mandata države članice koja provodi prijavljivanje; ili
neovisno o državi članici koja provodi prijavljivanje, a priznata su od strane te države članice;
sredstva elektroničke identifikacije u okviru sustava elektroničke identifikacije mogu se koristiti za pristup barem jednoj usluzi koju pruža tijelo javnog sektora i koja zahtijeva elektroničku identifikaciju u državi članici koja provodi prijavljivanje;
sustav elektroničke identifikacije i sredstva elektroničke identifikacije izdana u okviru tog sustava ispunjavaju zahtjeve barem jedne od ►C1 razina osiguranja identiteta ◄ određenih u provedbenom aktu iz članka 8. stavka 3.;
država članica koja provodi prijavljivanje osigurava da se osobni identifikacijski podaci koji nedvojbeno predstavljaju osobu o kojoj je riječ, u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću ►C1 razinu osiguranja identiteta ◄ određenu u provedbenom aktu iz članka 8. stavka 3., pripisuju fizičkoj ili pravnoj osobi iz članka 3. točke 1. u vrijeme kada su sredstva elektroničke identifikacije izdana u okviru tog sustava;
strana koja izdaje sredstva elektroničke identifikacije u okviru tog sustava osigurava da se sredstva elektroničke identifikacije pripisuju osobi iz točke (d) ovog članka u skladu s tehničkim specifikacijama, normama i postupcima za odgovarajuću ►C1 razinu osiguranja identiteta ◄ određenu u provedbenom aktu iz članka 8. stavka 3.;
država članica koja provodi prijavljivanje osigurava dostupnost ►C1 autentifikacije ◄ online, tako da svaka pouzdajuća strana s poslovnim nastanom na državnom području druge države članice može potvrditi osobne identifikacijske podatke zaprimljene u elektroničkom obliku.
Za pouzdajuće strane koje nisu tijela javnog sektora, država članica koja provodi prijavljivanje može odrediti uvjete pristupa toj ►C1 autentifikaciji ◄ . Prekogranična ►C1 autentifikacija ◄ pruža se bez naknade kada se provodi online u vezi s uslugom koju pruža tijelo javnog sektora.
Države članice ne nameću bilo kakve posebne nerazmjerne tehničke zahtjeve pouzdajućim stranama koje namjeravaju provesti takvu ►C1 autentifikaciju ◄ ako takvi zahtjevi sprečavaju ili znatno ograničavaju interoperabilnost prijavljenih sustava elektroničke identifikacije;
najmanje šest mjeseci prije prijave na temelju članka 9. stavka 1. država članica koja provodi prijavljivanje drugim državama članicama za potrebe članka 12. stavka 5. dostavlja opis tog sustava u skladu s postupovnim aranžmanima koji su utvrđeni provedbenim aktima donesenima na temelju članka 12. stavka 6.;
sustav elektroničke identifikacije ispunjava zahtjeve određene u provedbenom aktu iz članka 12. stavka 8.
Članak 8.
►C1 Razine osiguranja identiteta ◄ sustava elektroničke identifikacije
Niska, značajna odnosno visoka ►C1 razina osiguranja identiteta ◄ moraju ispunjavati sljedeće kriterije:
niska ►C1 razina osiguranja identiteta ◄ odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža ograničen stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha smanjenje rizika zlouporabe ili promjene identiteta;
značajna ►C1 razina osiguranja identiteta ◄ odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža značajan stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta;
visoka ►C1 razina osiguranja identiteta ◄ odnosi se na sredstva elektroničke identifikacije u kontekstu sustava elektroničke identifikacije, koja pruža viši stupanj pouzdanja u odnosu na traženi ili utvrđeni identitet osobe od sredstava elektroničke identifikacije sa značajnom ►C1 razinom osiguranja identiteta ◄ te je karakterizirana upućivanjem na tehničke specifikacije, norme i s njima povezane postupke, uključujući tehničke kontrole čija je svrha značajno smanjenje rizika zlouporabe ili promjene identiteta.
Te minimalne tehničke specifikacije, norme i postupci određuju se upućivanjem na pouzdanost i kvalitetu sljedećih elemenata:
postupka radi dokazivanja i verifikacije identiteta fizičke ili pravne osobe koja podnosi zahtjev za izdavanje sredstava elektroničke identifikacije;
postupka za izdavanje traženih sredstava elektroničke identifikacije;
mehanizma ►C1 autentifikacije ◄ putem kojeg fizička ili pravna osoba koristi sredstva elektroničke identifikacije za potvrđivanje svoga identiteta pouzdajućoj strani;
tijela koje izdaje sredstvo elektroničke identifikacije;
svakog drugog tijela uključenog u podnošenje zahtjeva za izdavanje sredstava elektroničke identifikacije; i
tehničkih i sigurnosnih specifikacija izdanih sredstava elektroničke identifikacije.
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 9.
Prijavljivanje
Država članica koja provodi prijavljivanje Komisiji prijavljuje sljedeće informacije i, bez odgađanja, sve njihove naknadne izmjene:
opis sustava elektroničke identifikacije, uključujući njegove ►C1 razine osiguranja identiteta ◄ i izdavatelja ili izdavatelje sredstava elektroničke identifikacije u okviru sustava;
primjenjivi sustav nadzora i informacije o pravilima o odgovornosti s obzirom na sljedeće:
stranu koja izdaje sredstvo elektroničke identifikacije; i
stranu koja provodi postupak ►C1 autentifikacije ◄ ;
tijelo ili tijela odgovorno (odgovorna) za sustav elektroničke identifikacije;
informacije o subjektu ili subjektima koji upravljaju registracijom jedinstvenih osobnih identifikacijskih podataka;
opis načina ispunjavanja zahtjeva određenih u provedbenim aktima iz članka 12. stavka 8.;
opis ►C1 autentifikacije ◄ iz članka 7. točke (f);
dogovori za suspenziju ili opoziv bilo prijavljenog sustava elektroničke identifikacije ili ►C1 autentifikacije ◄ ili ugroženih dijelova o kojima je riječ.
Članak 10.
Povreda sigurnosti sustava elektroničke identifikacije
Komisija u Službenom listu Europske unije bez odgađanja objavljuje odgovarajuće izmjene popisa iz članka 9. stavka 2.
Članak 11.
Odgovornost
Članak 11.a
Prekogranično potvrđivanje identiteta
Članak 12.
Interoperabilnost
Okvir za interoperabilnost mora ispunjavati sljedeće kriterije:
za cilj ima tehnološku neutralnost i ne pravi razliku između bilo kojih posebnih nacionalnih tehničkih rješenja za elektroničku identifikaciju unutar određene države članice;
pridržava se europskih i međunarodnih normi, kada je to moguće;
olakšava provedbu integrirane privatnosti i sigurnosti;
▼M2 —————
Okvir za interoperabilnost sastoji se od:
upućivanja na minimalne tehničke zahtjeve koji se odnose na ►C1 razine osiguranja identiteta ◄ prema članku 8.;
upućivanja na minimalne tehničke zahtjeve za interoperabilnost;
upućivanja na najmanji skup osobnih identifikacijskih podataka potrebnih da bi na nedvojben način predstavljali fizičku ili pravnu osobu, ili fizičku osobu koja predstavlja drugu fizičku osobu ili pravnu osobu, kojim raspolažu sustavi elektroničke identifikacije;
poslovnika;
dogovorâ za rješavanje sporova; i
zajedničkih operativnih sigurnosnih normi.
▼M2 —————
Članak 12.a
Certifikacija sustava elektroničke identifikacije
Članak 12.b
Pristup hardverskim i softverskim značajkama
Ako su pružatelji europskih lisnica za digitalni identitet i izdavatelji prijavljenih sredstava elektroničke identifikacije koji djeluju u komercijalnom ili profesionalnom svojstvu i upotrebljavaju osnovne usluge platforme kako su definirane u članku 2. točki 2. Uredbe (EU) 2022/1925 Europskog parlamenta i Vijeća ( 7 ) za potrebe ili tijekom pružanja usluga europske lisnice za digitalni identitet i sredstava elektroničke identifikacije krajnjim korisnicima poslovni korisnici kako su definirani u članku 2. točki 21. te uredbe, nadzornici pristupa osobito im dopuštaju djelotvornu interoperabilnost i, u svrhu interoperabilnosti, pristup s istim značajkama operativnog sustava te hardverskim i softverskim značajkama. Takva djelotvorna interoperabilnost i pristup dopuštaju se besplatno i bez obzira na to jesu li hardverske ili softverske značajke dio operativnog sustava, koje su dostupne tom nadzorniku pristupa ili koje taj nadzornik pristupa upotrebljava pri pružanju takvih usluga, u smislu članka 6. stavka 7. Uredbe (EU) 2022/1925. Ovim se člankom ne dovodi u pitanje članak 5.a stavak 14. ove Uredbe.
POGLAVLJE III.
USLUGE POVJERENJA
ODJELJAK 1.
Opće odredbe
Članak 13.
Odgovornost i teret dokaza
Teret dokazivanja namjere ili nepažnje nekvalificiranog pružatelja usluga povjerenja na fizičkoj je ili pravnoj osobi koja zahtijeva naknadu štete iz prvog podstavka.
Namjera ili nepažnja kvalificiranog pružatelja usluga povjerenja predmnijeva se, osim ako taj kvalificirani pružatelj usluga povjerenja dokaže da je šteta iz prvog podstavka nastala bez namjere ili nepažnje tog kvalificiranog pružatelja usluga povjerenja.
Članak 14.
Međunarodni aspekti
Provedbeni akti iz prvog podstavka donose se u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 15.
Pristupačnost za osobe s invaliditetom i osobe s posebnim potrebama
Pružanje sredstava elektroničke identifikacije i usluga povjerenja te proizvodi za krajnje korisnike koji se upotrebljavaju u pružanju tih usluga moraju biti dostupni na jednostavnom i razumljivom jeziku, u skladu s Konvencijom Ujedinjenih naroda o pravima osoba s invaliditetom i sa zahtjevima za pristupačnost iz Direktive (EU) 2019/882, od čega koristi imaju i osobe sa smanjenom funkcionalnom sposobnošću, poput starijih osoba, te osobe s ograničenim pristupom digitalnim tehnologijama.
Članak 16.
Sankcije
Države članice osiguravaju da kršenja ove Uredbe od strane kvalificiranih i nekvalificiranih pružatelja usluga povjerenja podliježu upravnim novčanim kaznama u maksimalnom iznosu od najmanje:
5 000 000 EUR ako je pružatelj usluga povjerenja fizička osoba; ili
ako je pružatelj usluga povjerenja pravna osoba, 5 000 000 EUR ili 1 % ukupnog godišnjeg prometa na svjetskoj razini poduzeća kojem je pružatelj usluga povjerenja pripadao u financijskoj godini koja prethodi godini u kojoj je došlo do kršenja, ovisno o tome koji je iznos veći.
ODJELJAK 2.
Nekvalificirane usluge povjerenja
▼M2 —————
▼M1 —————
Članak 19.a
Zahtjevi u vezi s nekvalificiranim pružateljima usluga povjerenja
Nekvalificirani pružatelj usluga povjerenja koji pruža nekvalificirane usluge povjerenja:
ima odgovarajuće politike i poduzima odgovarajuće mjere za upravljanje pravnim, poslovnim, operativnim i drugim izravnim ili neizravnim rizicima za pružanje nekvalificirane usluge povjerenja, koje, neovisno o članku 21. Direktive (EU) 2022/2555, uključuju barem mjere koje se odnose na:
postupke registracije i uključivanja za uslugu povjerenja;
postupovne ili administrativne provjere potrebne za pružanje usluga povjerenja;
upravljanje uslugama povjerenja i njihovo uvođenje;
obavješćuje nadzorno tijelo, pogođene pojedince koje se može identificirati, javnosti ako je to od javnog interesa i, ako je to primjenjivo, druga relevantna nadležna tijela, o svim povredama sigurnosti ili poremećajima u pružanju usluge ili u provedbi mjera iz točke (a) podtočke i., ii. ili iii. koji imaju značajan učinak na pruženu uslugu povjerenja ili na osobne podatke koji se u njoj čuvaju, bez nepotrebne odgode, a u svakom slučaju najkasnije 24 sata od saznanja za bilo kakvu povredu sigurnosti ili poremećaj.
ODJELJAK 3.
Kvalificirane usluge povjerenja
Članak 20.
Nadzor kvalificiranih pružatelja usluga povjerenja
Ako taj pružatelj to ne ispravi, prema potrebi u roku koji je odredilo nadzorno tijelo, nadzorno tijelo, kada je to opravdano osobito opsegom, trajanjem i posljedicama tog neispunjavanja, ukida kvalificirani status tog pružatelja ili pogođene usluge koju on pruža.
Komisija do 21. svibnja 2025. provedbenim aktima uspostavlja popis referentnih normi i prema potrebi utvrđuje specifikacije i postupke za sljedeće:
akreditaciju tijela za ocjenjivanje sukladnosti i za izvješće o ocjenjivanju sukladnosti iz stavka 1.;
zahtjeve u vezi s revizijom na temelju kojih tijela za ocjenjivanje sukladnosti provode ocjenjivanje sukladnosti, uključujući kombinirano ocjenjivanje, kvalificiranih pružatelja usluga povjerenja kako je navedeno u stavku 1.;
sustave ocjenjivanja sukladnosti prema kojima tijela za ocjenjivanje sukladnosti provode ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja i prema kojima se podnosi izvješće iz stavka 1.
Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 21.
Početak pružanja kvalificirane usluge povjerenja
Kako bi se provjerilo ispunjava li pružatelj usluga povjerenja zahtjeve utvrđene u članku 21. Direktive (EU) 2022/2555, nadzorno tijelo od nadležnih tijela imenovanih ili uspostavljenih na temelju članka 8. stavka 1. te direktive zahtijeva da u tom pogledu provedu nadzorne mjere i dostave informacije o ishodu bez nepotrebne odgode, a u svakom slučaju u roku od dva mjeseca od primitka tog zahtjeva. Ako provjera ne bude dovršena u roku od dva mjeseca od obavješćivanja, ta nadležna tijela o tome obavješćuju nadzorno tijelo, navodeći razloge za kašnjenje i rok do kojeg provjera treba biti dovršena.
Ako nadzorno tijelo zaključi da pružatelj usluga povjerenja i usluge povjerenja koje on pruža ispunjavaju zahtjeve utvrđene u ovoj Uredbi, ono odobrava kvalificirani status pružatelju usluga povjerenja i uslugama povjerenja koje on pruža te obavješćuje tijelo iz članka 22. stavka 3. u svrhu ažuriranja pouzdanih popisa iz članka 22. stavka 1. najkasnije tri mjeseca od obavješćivanja na temelju stavka 1. ovog članka.
Ako provjera ne bude dovršena u roku od tri mjeseca od obavješćivanja, nadzorno tijelo o tome obavješćuje pružatelja usluga povjerenja, navodeći razloge za kašnjenje i rok do kojeg provjera treba biti dovršena.
Članak 22.
Pouzdani popisi
Članak 23.
EU znak pouzdanosti za kvalificirane usluge povjerenja
Članak 24.
Zahtjevi u vezi s kvalificiranim pružateljima usluga povjerenja
Provjeru identiteta iz stavka 1. odgovarajućim sredstvima provodi kvalificirani pružatelj usluga povjerenja, izravno ili s pomoću treće strane, na temelju jedne od sljedećih metoda ili, prema potrebi, njihove kombinacije i u skladu s provedbenim aktima iz stavka 1.c:
s pomoću europske lisnice za digitalni identitet ili prijavljenog sredstva elektroničke identifikacije koji ispunjavaju zahtjeve utvrđene u članku 8. u pogledu visoke razine osiguranja identiteta;
s pomoću certifikata kvalificiranog elektroničkog potpisa ili kvalificiranog elektroničkog pečata izdanih u skladu s točkom (a), (c) ili (d);
primjenom drugih metoda identifikacije kojima se osigurava identifikacija osobe s visokom razinom pouzdanosti, a čiju sukladnost potvrđuje tijelo za ocjenjivanje sukladnosti;
na temelju fizičke prisutnosti fizičke osobe ili ovlaštenog predstavnika pravne osobe, odgovarajućim dokazima i postupcima, u skladu s nacionalnim pravom.
Provjeru atributa iz stavka 1. odgovarajućim sredstvima provodi kvalificirani pružatelj usluga povjerenja, izravno ili s pomoću treće strane, na temelju jedne od sljedećih metoda ili, prema potrebi, njihove kombinacije i u skladu s provedbenim aktima iz stavka 1.c:
s pomoću europske lisnice za digitalni identitet ili prijavljenog sredstva elektroničke identifikacije koji ispunjavaju zahtjeve utvrđene u članku 8. u pogledu visoke razine osiguranja identiteta;
s pomoću certifikata kvalificiranog elektroničkog potpisa ili kvalificiranog elektroničkog pečata izdanih u skladu sa stavkom 1.a točkom (a), (c) ili (d);
s pomoću kvalificirane elektroničke potvrde atributa;
primjenom drugih metoda kojima se osigurava provjera atributa s visokom razinom pouzdanosti, a čiju sukladnost potvrđuje tijelo za ocjenjivanje sukladnosti;
s pomoću fizičke prisutnosti fizičke osobe ili ovlaštenog predstavnika pravne osobe, odgovarajućim dokazima i postupcima, u skladu s nacionalnim pravom.
Kvalificirani pružatelj usluga povjerenja:
obavješćuje nadzorno tijelo najmanje mjesec dana prije uvođenja bilo kakvih promjena u vezi s pružanjem svojih kvalificiranih usluga povjerenja, odnosno najmanje tri mjeseca ako namjerava prestati obavljati te djelatnosti;
zapošljava osoblje i, ako je to primjenjivo, podizvođače koji posjeduju potrebno stručno znanje, pouzdanost, iskustvo i kvalifikacije i koji su prošli odgovarajuće osposobljavanje u vezi sa sigurnošću i propisima o zaštiti osobnih podataka te primjenjuju upravne i upravljačke postupke u skladu s europskim ili međunarodnim normama;
u pogledu rizika od odgovornosti za štetu u skladu s člankom 13., raspolaže dostatnim financijskim sredstvima i/ili je sklopio odgovarajuće osiguranje od odgovornosti, u skladu s nacionalnim pravom;
prije stupanja u ugovorni odnos obavješćuje, na jasan, sveobuhvatan i lako dostupan način, na javno dostupnom mjestu i pojedinačno, svaku osobu koja se želi koristiti kvalificiranom uslugom povjerenja o točnim uvjetima korištenja tom uslugom, uključujući bilo kakva ograničenja korištenja njome;
upotrebljava vjerodostojne sustave i proizvode koji su zaštićeni od preinaka te osigurava tehničku sigurnost i pouzdanost postupaka koje ti sustavi i proizvodi podržavaju, što uključuje upotrebu prikladnih kriptografskih tehnika;
koristi vjerodostojne sustave za pohranu podataka koji su mu dostavljeni, u obliku koji se može provjeriti, kako bi:
ti podaci bili javno dostupni za dohvat samo uz pristanak osobe na koju se ti podaci odnose;
samo ovlaštene osobe mogle obavljati nove unose u pohranjene podatke i mijenjati ih;
se mogla provjeriti autentičnost podataka;
neovisno o članku 21. Direktive (EU) 2022/2555, ima odgovarajuće politike i poduzima odgovarajuće mjere za upravljanje pravnim, poslovnim, operativnim i drugim izravnim ili neizravnim rizicima za pružanje kvalificirane usluge povjerenja, što uključuje barem mjere koje se odnose na sljedeće:
postupke registracije i uključivanja za uslugu;
postupovne ili administrativne provjere;
upravljanje uslugama povjerenja i njihovo uvođenje;
obavješćuje nadzorno tijelo, pogođene pojedince koje se može identificirati, druga relevantna nadležna tijela ako je to primjenjivo i, na zahtjev nadzornog tijela, javnost ako je to od javnog interesa, o svim povredama sigurnosti ili poremećajima u pružanju usluge ili u provedbi mjera iz točke (fa) podtočaka i., ii. ili iii. koji imaju značajan učinak na pruženu uslugu povjerenja ili na osobne podatke koji se u njoj čuvaju, bez nepotrebne odgode, a u svakom slučaju najkasnije 24 sata nakon incidenta;
poduzima odgovarajuće mjere protiv krivotvorenja, krađe ili prisvajanja podataka ili neovlaštenih brisanja podataka, izmjene podataka ili onemogućivanja pristupa podacima;
bilježi i čini dostupnima onoliko dugo koliko je to potrebno nakon prestanka obavljanja djelatnosti kvalificiranog pružatelja usluga povjerenja sve bitne informacije povezane s podacima koje je izdao i primio kvalificirani pružatelj usluga povjerenja, za potrebe predlaganja dokaza u sudskim postupcima i u svrhu osiguravanja kontinuiteta usluge. Takvo se bilježenje može obavljati elektronički;
ima ažuriran plan prekida pružanja usluge radi osiguravanja njezina kontinuiteta u skladu s odredbama koje je potvrdilo nadzorno tijelo u skladu s člankom 46.b stavkom 4. točkom (i);
▼M2 —————
ako je riječ o kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane certifikate, uspostavlja i ažurira bazu podataka certifikata.
Nadzorno tijelo može zatražiti dodatne informacije uz informacije dostavljene u skladu s prvim podstavkom točkom (a) ili rezultat ocjenjivanja sukladnosti i može uvjetovati dopuštanje uvođenja planiranih promjena kvalificiranih usluga povjerenja. Ako provjera ne bude dovršena u roku od tri mjeseca od obavješćivanja, nadzorno tijelo o tome obavješćuje pružatelja usluga povjerenja, navodeći razloge za kašnjenje i rok do kojeg provjera treba biti dovršena.
Članak 24.a
Priznavanje kvalificiranih usluga povjerenja
ODJELJAK 4.
Elektronički potpisi
Članak 25.
Pravni učinci elektroničkih potpisa
▼M2 —————
Članak 26.
Zahtjevi za napredne elektroničke potpise
Napredan elektronički potpis mora ispunjavati sljedeće zahtjeve:
na nedvojben način je povezan s potpisnikom;
omogućava identificiranje potpisnika;
izrađen je korištenjem podacima za izradu elektroničkog potpisa koje potpisnik može, uz visoku razinu pouzdanja, koristiti pod svojom isključivom kontrolom; i
povezan je s njime potpisanim podacima na način da se može otkriti bilo koja naknadna izmjena podataka.
Članak 27.
Elektronički potpisi u javnim uslugama
▼M2 —————
Članak 28.
Kvalificirani certifikati za elektroničke potpise
Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektronički potpis podložno sljedećim uvjetima:
ako je kvalificirani certifikat za elektronički potpis privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;
razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje se pružaju informacije o statusu certifikata.
Članak 29.
Zahtjevi za kvalificirana sredstva za izradu elektroničkih potpisa
Članak 29.a
Zahtjevi za kvalificiranu uslugu za upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu
Upravljanje kvalificiranim sredstvima za izradu elektroničkih potpisa na daljinu kao kvalificiranom uslugom obavlja samo kvalificirani pružatelj usluga povjerenja koji:
generira podatke za izradu elektroničkog potpisa ili upravlja njima u ime potpisnika;
neovisno o točki 1. podtočki (d) Priloga II., duplicira podatke za izradu elektroničkog potpisa samo u svrhu izrade sigurnosnih kopija pod uvjetom da su ispunjeni sljedeći zahtjevi:
sigurnost dupliciranih skupova podataka mora biti na razini jednakoj razini sigurnosti izvornih skupova podataka;
broj dupliciranih skupova podataka ne smije prelaziti najmanji broj potreban za osiguravanje kontinuiteta usluge;
ispunjava sve zahtjeve utvrđene u izvješću o certifikaciji dotičnog kvalificiranog sredstva za izradu elektroničkih potpisa na daljinu izdanom na temelju članka 30.
Članak 30.
Certificiranje kvalificiranih sredstava za izradu elektroničkih potpisa
Certificiranje iz stavka 1. temelji se na jednom od sljedećeg:
postupku sigurnosne evaluacije u skladu s jednom od normi za ocjenu sigurnosti proizvoda informacijske tehnologije uvrštenih na popis koji se utvrđuje u skladu s drugim podstavkom; ili
postupku različitom od postupka iz prethodne točke, pod uvjetom da on koristi usporedive sigurnosne razine te pod uvjetom da javno ili privatno tijelo iz stavka 1. obavijesti Komisiju o tom postupku. Taj se postupak može koristiti samo u slučaju nepostojanja normi navedenih u točki (a) ili kada je postupak sigurnosne evaluacije iz točke (a) u tijeku.
Komisija provedbenim aktima utvrđuje popis normi za ocjenu sigurnosti proizvoda informacijske tehnologije iz točke (a). Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 48. stavka 2.
Članak 31.
Objavljivanje popisa certificiranih kvalificiranih sredstava za izradu elektroničkog potpisa
Članak 32.
Zahtjevi za validaciju kvalificiranih elektroničkih potpisa
Postupkom validacije kvalificiranog elektroničkog potpisa potvrđuje se valjanost kvalificiranog elektroničkog potpisa pod sljedećim uvjetima:
certifikat koji podržava potpis je u trenutku potpisivanja bio kvalificirani certifikat za elektronički potpis koji je u skladu Prilogom I.;
kvalificirani certifikat izdao je kvalificirani pružatelj usluga povjerenja i bio je valjan u trenutku potpisivanja;
podaci za validaciju potpisa odgovaraju podacima koji se pružaju pouzdajućoj strani;
jedinstveni skup podataka koji predstavlja potpisnika u certifikatu ispravno je dostavljen pouzdajućoj strani;
korištenje pseudonimom, ako je pseudonim bio korišten u trenutku potpisivanja, jasno je naznačeno pouzdajućoj strani;
elektronički potpis izrađen je kvalificiranim sredstvom za izradu elektroničkog potpisa;
nije ugrožena cjelovitost potpisanih podataka;
zahtjevi predviđeni u članku 26. bili su ispunjeni u trenutku potpisivanja.
Ako validacija kvalificiranih elektroničkih potpisa udovoljava normama, specifikacijama i postupcima iz stavka 3., smatra se da je postignuta sukladnost sa zahtjevima utvrđenima u prvom podstavku ovog stavka.
Članak 32.a
Zahtjevi za validaciju naprednih elektroničkih potpisa koji se temelje na kvalificiranim certifikatima
Postupkom validacije naprednog elektroničkog potpisa koji se temelji na kvalificiranom certifikatu potvrđuje se valjanost naprednog elektroničkog potpisa koji se temelji na kvalificiranom certifikatu pod sljedećim uvjetima:
certifikat koji podržava potpis je u trenutku potpisivanja bio kvalificirani certifikat za elektronički potpis koji je u skladu s Prilogom I.;
kvalificirani certifikat izdao je kvalificirani pružatelj usluga povjerenja i bio je valjan u trenutku potpisivanja;
podaci za validaciju potpisa odgovaraju podacima koji se pružaju pouzdajućoj strani;
jedinstveni skup podataka koji predstavlja potpisnika u certifikatu ispravno je dostavljen pouzdajućoj strani;
korištenje pseudonimom, ako je pseudonim bio korišten u trenutku potpisivanja, jasno je naznačeno pouzdajućoj strani;
nije ugrožena cjelovitost potpisanih podataka;
zahtjevi predviđeni u članku 26. bili su ispunjeni u trenutku potpisivanja.
Članak 33.
Kvalificirana usluga validacije kvalificiranih elektroničkih potpisa
Kvalificiranu uslugu validacije kvalificiranih elektroničkih potpisa može pružati samo kvalificirani pružatelj usluga povjerenja koji:
pruža validaciju u skladu s člankom 32. stavkom 1.; i
omogućuje pouzdajućim stranama primanje rezultata postupka validacije na automatizirani način koji je pouzdan, učinkovit i nosi napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluge validacije.
Članak 34.
Kvalificirana usluga čuvanja kvalificiranih elektroničkih potpisa
ODJELJAK 5.
Elektronički pečati
Članak 35.
Pravni učinci elektroničkih pečata
▼M2 —————
Članak 36.
Zahtjevi za napredan elektronički pečat
Napredan elektronički pečat mora ispunjavati sljedeće zahtjeve:
na nedvojben način je povezan s autorom pečata;
omogućava identificiranje autora pečata;
izrađen je korištenjem podacima za izradu elektroničkog pečata koje autor pečata može, uz visoku razinu pouzdanja i pod svojom kontrolom, koristiti za izradu elektroničkog pečata; i
povezan je s podacima na koje se odnosi na takav način da se može otkriti bilo koja naknadna izmjena podataka.
Članak 37.
Elektronički pečati u javnim uslugama
▼M2 —————
Članak 38.
Kvalificirani certifikati za elektroničke pečate
Države članice mogu utvrditi nacionalna pravila o privremenoj suspenziji kvalificiranih certifikata za elektroničke pečate podložno sljedećim uvjetima:
ako je kvalificirani certifikat za elektronički pečat privremeno suspendiran, taj certifikat gubi valjanost tijekom razdoblja suspenzije;
razdoblje suspenzije jasno se naznačuje u bazi podataka certifikata, a status suspenzije je tijekom razdoblja suspenzije vidljiv iz usluge u okviru koje pružaju informacije o statusu certifikata.
Članak 39.
Kvalificirana sredstva za izradu elektroničkog pečata
Članak 39.a
Zahtjevi za kvalificiranu uslugu za upravljanje kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu
Članak 29.a primjenjuje se mutatis mutandis na kvalificiranu uslugu za upravljanje kvalificiranim sredstvima za izradu elektroničkih pečata na daljinu.
Članak 40.
Validacija i čuvanje kvalificiranih elektroničkih pečata
Članci 32., 33. i 34. primjenjuju se mutatis mutandis na validaciju i čuvanje kvalificiranih elektroničkih pečata.
Članak 40.a
Zahtjevi za validaciju naprednih elektroničkih pečata koji se temelje na kvalificiranim certifikatima
Članak 32.a primjenjuje se mutatis mutandis na validaciju naprednih elektroničkih pečata koji se temelje na kvalificiranim certifikatima.
ODJELJAK 6.
Elektronički vremenski žigovi
Članak 41.
Pravni učinak elektroničkih vremenskih žigova
▼M2 —————
Članak 42.
Zahtjevi za kvalificirane elektroničke vremenske žigove
Kvalificirani elektronički vremenski žig mora ispunjavati sljedeće zahtjeve:
povezuje datum i vrijeme s podacima na način kojim se u razumnoj mjeri isključuje mogućnost nezapažene promjene podataka;
temelji se na izvoru točnog vremena povezanom s koordiniranim svjetskim vremenom; i
potpisan je pomoću naprednog elektroničkog potpisa ili pečaćen pomoću naprednog elektroničkog pečata kvalificiranog pružatelja usluga povjerenja ili jednakovrijednom metodom.
ODJELJAK 7.
Usluge elektroničke preporučene dostave
Članak 43.
Pravni učinak usluge elektroničke preporučene dostave
Članak 44.
Zahtjevi za kvalificirane usluge elektroničke preporučene dostave
Kvalificirane usluge elektroničke preporučene dostave moraju ispunjavati sljedeće zahtjeve:
pruža ih jedan kvalificirani pružatelj usluga povjerenja ili više njih;
uz visoku razinu pouzdanja osiguravaju identifikaciju pošiljatelja;
osiguravaju identifikaciju primatelja prije dostave podataka;
slanje i primanje podataka osigurano je naprednim elektroničkim potpisom ili naprednim elektroničkim pečatom kvalificiranog pružatelja usluga povjerenja na način kojim se isključuje mogućnost nezapažene promjene podataka;
pošiljatelju i primatelju podataka jasno se naznačuje svaka promjena podataka potrebna radi slanja ili primanja podataka;
datum i vrijeme slanja, primanja i eventualne promjene podataka naznačuju se kvalificiranim elektroničkim vremenskim žigom.
U slučaju prijenosa podataka između dvaju kvalificiranih pružatelja usluga povjerenja ili više njih, zahtjevi iz točaka od (a) do (f) primjenjuju se na sve kvalificirane pružatelje usluga povjerenja.
ODJELJAK 8.
►C1 Autentifikacija ◄ mrežnih stranica
Članak 45.
Zahtjevi za kvalificirane certifikate za autentifikaciju mrežnih stranica
Članak 45.a
Mjere predostrožnosti u području kibernetičke sigurnosti
ODJELJAK 9.
Elektronička potvrda atributa
Članak 45.b
Pravni učinci elektroničke potvrde atributa
Članak 45.c
Elektronička potvrda atributa u javnim uslugama
Ako se nacionalnim pravom za pristup internetskoj usluzi koju pruža tijelo javnog sektora zahtijeva elektronička identifikacija na temelju sredstva elektroničke identifikacije i autentifikacije, osobni identifikacijski podaci u elektroničkoj potvrdi atributa ne zamjenjuju elektroničku identifikaciju na temelju sredstava elektroničke identifikacije i autentifikacije za elektroničku identifikaciju, osim ako država članica to izričito dopušta. U tom se slučaju prihvaća i kvalificirana elektronička potvrda atributa iz drugih država članica.
Članak 45.d
Zahtjevi za kvalificiranu elektroničku potvrdu atributa
Članak 45.e
Provjera atributa uspoređivanjem s autentičnim izvorima
Članak 45.f
Zahtjevi za elektroničku potvrdu atributa koju izdaje tijelo javnog sektora odgovorno za autentični izvor ili koja se izdaje u njegovo ime
Elektronička potvrda atributa koju izdaje tijelo javnog sektora odgovorno za autentični izvor ili koja se izdaje u njegovo ime mora ispunjavati sljedeće zahtjeve:
zahtjeve iz Priloga VII.;
kvalificirani certifikat koji podržava kvalificirani elektronički potpis ili kvalificirani elektronički pečat tijela javnog sektora iz članka 3. točke 46. koje je utvrđeno kao izdavatelj iz točke (b) Priloga VII., sadržava poseban skup certificiranih atributa u obliku prikladnom za automatiziranu obradu:
u kojem se navodi da je tijelo izdavatelj uspostavljeno u skladu s pravom Unije ili nacionalnim pravom kao odgovorno za autentični izvor na temelju kojeg je izdana elektronička potvrda atributa ili kao tijelo koje je imenovano da djeluje u njegovo ime;
u kojem se pruža skup podataka koji nedvojbeno predstavljaju autentični izvor iz podtočke i.; i
u kojem je utvrđeno pravo Unije ili nacionalno pravo iz podtočke i.
Članak 45.g
Izdavanje elektroničke potvrde atributa za europske lisnice za digitalni identitet
Članak 45.h
Dodatna pravila za pružanje usluga elektroničke potvrde atributa
ODJELJAK 10.
usluge elektroničkog arhiviranja
Članak 45.i
Pravni učinak usluga elektroničkog arhiviranja
Članak 45.j
Zahtjevi za kvalificirane usluge elektroničkog arhiviranja
Kvalificirane usluge elektroničkog arhiviranja moraju ispunjavati sljedeće zahtjeve:
pružaju ih kvalificirani pružatelji usluga povjerenja;
primjenjuju postupke i tehnologije kojima se mogu osigurati trajnost i čitljivost elektroničkih podataka i elektroničkih dokumenata nakon razdoblja tehnološke valjanosti i barem tijekom zakonskog ili ugovornog razdoblja čuvanja, uz istodobno očuvanje njihove cjelovitosti i točnosti njihova podrijetla;
osiguravaju da se ti elektronički podaci i ti elektronički dokumenti čuvaju na način da su zaštićeni od gubitka i izmjena, osim u slučaju promjena koje se odnose na njihov medij ili elektronički oblik;
ovlaštenim pouzdajućim stranama omogućuju zaprimanje izvješća na automatiziran način kojim se potvrđuje da se za elektroničke podatke i elektroničke dokumente preuzete iz kvalificiranog elektroničkog arhiva predmnijeva cjelovitost podataka od početka razdoblja čuvanja do trenutka preuzimanja.
Izvješće iz prvog podstavka točke (d) dostavlja se na pouzdan i učinkovit način te posjeduje kvalificirani elektronički potpis ili kvalificirani elektronički pečat pružatelja kvalificirane usluge elektroničkog arhiviranja.
ODJELJAK 11.
elektroničke evidencije
Članak 45.k
Pravni učinci elektroničkih evidencija
Članak 45.l
Zahtjevi za kvalificirane elektroničke evidencije
Kvalificirane elektroničke evidencije moraju ispunjavati sljedeće zahtjeve:
stvara ih i njima upravlja jedan kvalificirani pružatelj usluga povjerenja ili više njih;
utvrđuju podrijetlo zapisa podataka u evidenciji;
osiguravaju jedinstven sekvencijalni kronološki redoslijed zapisa podataka u evidenciji;
u njima se bilježe podaci na takav način da je svaka naknadna promjena podataka odmah uočljiva, čime se osigurava njihova cjelovitost tijekom vremena.
POGLAVLJE IV.
ELEKTRONIČKI DOKUMENTI
Članak 46.
Pravni učinci elektroničkih dokumenata
Elektroničkom dokumentu se kao dokazu u sudskim postupcima ne smiju uskratiti pravni učinak i dopuštenost samo zbog toga što je on u elektroničkom obliku.
POGLAVLJE IV.a
UPRAVLJAČKI OKVIR
Članak 46.a
Nadzor okvira europske lisnice za digitalni identitet
Nadzornim tijelima imenovanima na temelju prvog podstavka dodjeljuju se potrebne ovlasti i odgovarajući resursi za djelotvorno, učinkovito i neovisno izvršavanje njihovih zadaća.
Uloga nadzornih tijela imenovanih na temelju stavka 1. jest sljedeća:
nadziranje pružatelja europskih lisnica za digitalni identitet s poslovnim nastanom na državnom području države članice koja ih imenuje i osiguravanje, putem ex ante i ex post nadzornih aktivnosti, da ti pružatelji i europske lisnice za digitalni identitet koje oni stavljaju na raspolaganje ispunjavaju zahtjeve utvrđene u ovoj Uredbi;
poduzimanje mjera, prema potrebi, u odnosu na pružatelje europskih lisnica za digitalni identitet s poslovnim nastanom na državnom području države članice koja ih imenuje, putem ex post nadzornih aktivnosti, nakon što budu obaviještena da pružatelji ili europske lisnice za digitalni identitet koje oni stavljaju na raspolaganje krše ovu Uredbu.
Zadaće nadzornih tijela imenovanih na temelju stavka 1. posebno uključuju sljedeće:
suradnju s drugim nadzornim tijelima i pružanje pomoći tim tijelima u skladu s člancima 46.c i 46.e;
zahtijevanje informacija potrebnih za nadzor sukladnosti s ovom Uredbom;
obavješćivanje relevantnih nadležnih tijela imenovanih ili uspostavljenih na temelju članka 8. stavka 1. Direktive (EU) 2022/2555 u dotičnim državama članicama o svim značajnim povredama sigurnosti ili gubitku cjelovitosti za koje saznaju pri obavljanju svojih zadaća i, u slučaju značajne povrede sigurnosti ili gubitka cjelovitosti koji se odnosi na druge države članice, obavješćivanje jedinstvene kontaktne točke imenovane ili uspostavljene na temelju članka 8. stavka 3. Direktive (EU) 2022/2555 dotične države članice i jedinstvenih kontaktnih točaka imenovanih na temelju članka 46.c stavka 1. ove Uredbe u drugim dotičnim državama članicama, i obavješćivanje javnosti ili zahtijevanje od pružatelja europske lisnice za digitalni identitet da to učini kada nadzorno tijelo utvrdi da bi otkrivanje povrede sigurnosti ili gubitka cjelovitosti bilo u javnom interesu;
provođenje inspekcija na lokaciji i neizravnog nadzora;
zahtijevanje od pružatelja europskih lisnica za digitalni identitet da otklone svako nepoštovanje zahtjeva utvrđenih u ovoj Uredbi;
suspendiranje ili poništavanje registracije i uključivanja pouzdajućih strana u mehanizam iz članka 5.b stavka 7. u slučaju nezakonite ili prijevarne upotrebe europske lisnice za digitalni identitet;
suradnju s nadležnim nadzornim tijelima osnovanima na temelju članka 51. Uredbe (EU) 2016/679, posebno tako da ih bez nepotrebne odgode obavješćuje ako se čini da je došlo do kršenja pravila o zaštiti osobnih podataka i o povredama sigurnosti za koje se čini da su povrede osobnih podataka.
Članak 46.b
Nadzor usluga povjerenja
Nadzornim tijelima imenovanima na temelju prvog podstavka dodjeljuju se potrebne ovlasti i odgovarajući resursi za izvršavanje njihovih zadaća.
Uloga nadzornih tijela imenovanih na temelju stavka 1. jest sljedeća:
nadziranje kvalificiranih pružatelja usluga povjerenja s poslovnim nastanom na državnom području države članice koja ih imenuje i osiguravanje, putem ex ante i ex post nadzornih aktivnosti, da ti kvalificirani pružatelji usluga povjerenja i kvalificirane usluge povjerenja koje oni pružaju ispunjavaju zahtjeve utvrđene u ovoj Uredbi;
poduzimanje mjera, prema potrebi, u odnosu na nekvalificirane pružatelje usluga povjerenja s poslovnim nastanom na državnom području države članice koja ih imenuje, putem ex post nadzornih aktivnosti, nakon što budu obaviještena da ti nekvalificirani pružatelji usluga povjerenja ili usluge povjerenja koje oni pružaju navodno ne ispunjavaju zahtjeve utvrđene u ovoj Uredbi.
Zadaće nadzornog tijela imenovanog ili uspostavljenog na temelju stavka 1. posebno uključuju sljedeće:
obavješćivanje relevantnih nadležnih tijela imenovanih ili uspostavljenih na temelju članka 8. stavka 1. Direktive (EU) 2022/2555 u dotičnim državama članicama o svim značajnim povredama sigurnosti ili gubitku cjelovitosti za koje sazna pri obavljanju svojih zadaća i, u slučaju značajne povrede sigurnosti ili gubitka cjelovitosti koji se odnose na druge države članice, obavješćivanje jedinstvene kontaktne točke imenovane ili uspostavljene na temelju članka 8. stavka 3. Direktive (EU) 2022/2555 dotične države članice i jedinstvenih kontaktnih točaka imenovanih na temelju članka 46.c stavka 1. ove Uredbe u drugim dotičnim državama članicama, i obavješćivanje javnosti ili zahtijevanje od pružatelja usluga povjerenja da to učini kada nadzorno tijelo utvrdi da bi otkrivanje povrede sigurnosti ili gubitka cjelovitosti bilo u javnom interesu;
suradnju s drugim nadzornim tijelima i pružanje pomoći tim tijelima u skladu s člancima 46.c i 46.e;
analiziranje izvješćâ o ocjenjivanju sukladnosti iz članka 20. stavka 1. i članka 21. stavka 1.;
izvješćivanje Komisije o svojim glavnim aktivnostima u skladu sa stavkom 6. ovog članka;
obavljanje revizija ili zahtijevanje od tijela za ocjenjivanje sukladnosti da provede ocjenjivanje sukladnosti kvalificiranih pružatelja usluga povjerenja u skladu s člankom 20. stavkom 2.;
suradnju s nadležnim nadzornim tijelima osnovanima na temelju članka 51. Uredbe (EU) 2016/679, posebno tako da ih bez nepotrebne odgode obavješćuje ako se čini da je došlo do kršenja pravila o zaštiti osobnih podataka i o povredama sigurnosti za koje se čini da su povrede osobnih podataka;
dodjeljivanje kvalificiranog statusa pružateljima usluga povjerenja i uslugama koje oni pružaju te ukidanje tog statusa u skladu s člancima 20. i 21.;
obavješćivanje tijela odgovornog za nacionalni pouzdani popis iz članka 22. stavka 3. o svojim odlukama o dodjeljivanju ili ukidanju kvalificiranog statusa, osim ako je to tijelo ujedno i nadzorno tijelo imenovano na temelju stavka 1. ovog članka;
provjeravanje postojanja i pravilne primjene odredaba o planovima prekida kada kvalificirani pružatelj usluga povjerenja prekine svoje aktivnosti, uključujući način na koji se održava dostupnost informacija u skladu s člankom 24. stavkom 2. točkom (h);
zahtijevanje od pružatelja usluga povjerenja da otklone svako nepoštovanje zahtjeva utvrđenih u ovoj Uredbi;
istraživanje tvrdnji pružatelja internetskih preglednika na temelju članka 45.a i poduzimanje mjera ako je potrebno.
Članak 46.c
Jedinstvene kontaktne točke
Članak 46.d
Uzajamna pomoć
Uzajamna pomoć podrazumijeva barem sljedeće:
nadzorno tijelo koje primjenjuje mjere nadzora i izvršenja u jednoj državi članici obavješćuje nadzorno tijelo iz druge dotične države članice i savjetuje se s njim;
nadzorno tijelo može zatražiti od nadzornog tijela druge dotične države članice da poduzme mjere nadzora ili izvršenja, uključujući, na primjer, zahtjeve za provođenje inspekcija povezanih s izvješćima o ocjenjivanju sukladnosti iz članaka 20. i 21. u vezi s pružanjem usluga povjerenja;
prema potrebi, nadzorna tijela mogu provoditi zajedničke istrage s nadzornim tijelima drugih država članica.
Aranžmane i postupke za zajedničke mjere na temelju prvog podstavka dogovaraju i uspostavljaju dotične države članice u skladu s njihovim nacionalnim pravom.
Nadzorno tijelo kojemu je upućen zahtjev za pomoć može odbiti taj zahtjev zbog bilo kojeg od sljedećih razloga:
tražena pomoć nije razmjerna nadzornim aktivnostima nadzornog tijela koje se provode u skladu s člancima 46.a i 46.b;
nadzorno tijelo nije nadležno za pružanje tražene pomoći;
pružanje tražene pomoći ne bi bilo u skladu s ovom Uredbom.
Članak 46.e
Europska skupina za suradnju u području digitalnog identiteta
Skupina za suradnju ima sljedeće zadaće:
razmjenjuje savjete i surađuje s Komisijom u pogledu novih inicijativa politika u području lisnica za digitalni identitet, sredstava elektroničke identifikacije i usluga povjerenja;
savjetuje Komisiju, prema potrebi, u ranoj fazi pripreme nacrta provedbenih i delegiranih akata koji se trebaju donijeti na temelju ove Uredbe;
kako bi se pružila potpora nadzornim tijelima u provedbi odredaba ove Uredbe:
razmjenjuje primjere najbolje prakse i informacije o provedbi odredaba ove Uredbe;
procjenjuje relevantne razvojne promjene u sektorima lisnice za digitalni identitet, elektroničke identifikacije i usluga povjerenja;
organizira zajedničke sastanke s relevantnim zainteresiranim stranama iz cijele Unije radi rasprave o aktivnostima Skupine za suradnju i prikupljanja informacija o novim izazovima u pogledu politike;
uz potporu ENISA-e razmjenjuje mišljenja, primjere najbolje prakse i informacije o relevantnim kibernetičkim sigurnosnim aspektima koji se odnose na europske lisnice za digitalni identitet, sustave elektroničke identifikacije i usluge povjerenja;
razmjenjuje primjere najbolje prakse u vezi s razvojem i provedbom politika o obavješćivanju o povredama sigurnosti i zajedničkim mjerama iz članaka 5.e i 10.;
organizira zajedničke sastanke sa Skupinom za suradnju u području sigurnosti mrežnih i informacijskih sustava uspostavljenom člankom 14. stavkom 1. Direktive (EU) 2022/2555 radi razmjene relevantnih informacija o uslugama povjerenja i elektroničkoj identifikaciji u vezi s kibernetičkim prijetnjama, incidentima, ranjivostima, inicijativama za podizanje svijesti, osposobljavanjem, vježbama i vještinama, izgradnjom kapaciteta, kapacitetom u području normi i tehničkih specifikacija te normama i tehničkim specifikacijama;
raspravlja, na zahtjev nadzornog tijela, o posebnim zahtjevima za uzajamnu pomoć iz članka 46.d;
olakšava razmjenu informacija među nadzornim tijelima pružanjem smjernica o organizacijskim aspektima i postupcima za uzajamnu pomoć iz članka 46.d;
organizira istorazinska ocjenjivanja sustava elektroničke identifikacije koje treba prijaviti na temelju ove Uredbe.
POGLAVLJE V.
DELEGIRANJA OVLASTI I PROVEDBENE ODREDBE
Članak 47.
Izvršavanje ovlasti
Članak 48.
Postupak odbora
POGLAVLJE VI.
ZAVRŠNE ODREDBE
Članak 48.a
Zahtjevi u pogledu izvješćivanja
Statistički podaci prikupljeni u skladu sa stavkom 1. uključuju sljedeće:
broj fizičkih i pravnih osoba koje imaju valjanu europsku lisnicu za digitalni identitet;
vrstu i broj usluga koje prihvaćaju upotrebu europske lisnice za digitalni identitet;
broj pritužbi korisnika i incidenata u pogledu zaštite potrošača ili zaštite podataka koji se odnose na pouzdajuće strane i kvalificirane usluge povjerenja;
sažeto izvješće s podacima o incidentima koji sprečavaju upotrebu europske lisnice za digitalni identitet;
sažetak značajnih sigurnosnih incidenata, povreda podataka i pogođenih korisnika europskih lisnica za digitalni identitet ili kvalificiranih usluga povjerenja.
Članak 49.
Preispitivanje
Članak 50.
Stavljanje izvan snage
Članak 51.
Prijelazne mjere
Članak 52.
Stupanje na snagu
Ova se Uredba primjenjuje od 1. srpnja 2016. izuzevši sljedeće:
članak 8. stavak 3., članak 9. stavak 5., članak 12. stavci od 2. do 9., članak 17. stavak 8., članak 19. stavak 4., članak 20. stavak 4., članak 21. stavak 4., članak 22. stavak 5., članak 23. stavak 3., članak 24. stavak 5., članak 27. stavci 4. i 5., članak 28. stavak 6., članak 29. stavak 2., članak 30. stavci 3. i 4., članak 31. stavak 3., članak 32. stavak 3., članak 33. stavak 2., članak 34. stavak 2., članak 37. stavci 4. i 5., članak 38. stavak 6., članak 42. stavak 2., članak 44. stavak 2., članak 45. stavak 2., članak 47. i članak 48. primjenjuju se od 17. rujna 2014.;
članak 7., članak 8. stavci 1. i 2., članci 9.,10., 11. i članak 12. stavak 1. primjenjuju se od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8.;
članak 6. primjenjuje se nakon tri godine od dana primjene provedbenih akata iz članka 8. stavka 3. i članka 12. stavka 8.
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
PRILOG I.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA ELEKTRONIČKE POTPISE
Kvalificirani certifikati za elektroničke potpise sadržavaju:
naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za elektroničke potpise;
skup podataka koji nedvojbeno predstavlja kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
barem ime potpisnika, ili pseudonim; ako se koristi pseudonimom, on se mora jasno naznačiti;
podatke za validaciju elektroničkog potpisa koji odgovaraju podacima za izradu elektroničkog potpisa;
podatke o početku i završetku roka valjanosti certifikata;
identifikacijsku oznaku certifikata koja mora biti jedinstvena za kvalificiranog pružatelja usluga povjerenja;
napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat;
lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (g);
informacije ili lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata;
ako su podaci za izradu elektroničkog potpisa koji su povezani s podacima za validaciju elektroničkog potpisa smješteni u kvalificiranom sredstvu za izradu elektroničkog potpisa, odgovarajuću naznaku navedenog, barem u obliku prikladnom za automatiziranu obradu.
PRILOG II.
ZAHTJEVI ZA KVALIFICIRANA SREDSTVA ZA IZRADU ELEKTRONIČKIH POTPISA
1. Kvalificirana sredstva za izradu elektroničkih potpisa moraju pomoću odgovarajućih tehničkih i postupovnih sredstava osigurati barem da:
je u razumnoj mjeri osigurana povjerljivost podataka za izradu elektroničkog potpisa koji se upotrebljavaju za izradu elektroničkog potpisa;
se podaci za izradu elektroničkog potpisa koji se upotrebljavaju za izradu elektroničkog potpisa praktički mogu pojaviti samo jedanput;
se podaci za izradu elektroničkog potpisa koji se upotrebljavaju za izradu elektroničkog potpisa ne mogu, uz razuman stupanj pouzdanja, iz njega izvesti, te da je elektronički potpis pouzdano zaštićen od krivotvorenja korištenjem trenutačno dostupnom tehnologijom;
da zakoniti potpisnik može pouzdano zaštititi podatke za izradu elektroničkog potpisa koji se koriste za izradu elektroničkog potpisa od korištenja od strane drugih osoba.
2. Kvalificirana sredstva za izradu elektroničkih potpisa ne smiju mijenjati podatke koji se potpisuju niti priječe prikazivanje takvih podataka potpisniku prije potpisivanja.
▼M2 —————
PRILOG III.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA ELEKTRONIČKE PEČATE
Kvalificirani certifikati za elektroničke pečate sadržavaju:
naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za elektroničke pečate;
skup podataka koji nedvojbeno predstavljaju kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate, uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
barem naziv autora pečata i, kada je to primjenjivo, registracijski broj kako je navedeno u službenoj evidenciji;
podatke za validaciju elektroničkog pečata koji odgovaraju podacima za izradu elektroničkog pečata;
podatke o početku i kraju roka valjanosti certifikata;
identifikacijsku oznaku certifikata koja mora biti jedinstvena za tog kvalificiranog pružatelja usluga povjerenja;
napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat;
lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (g);
informacije ili lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata;
kada su podaci za izradu elektroničkog pečata koji su povezani s podacima za validaciju elektroničkog pečata smješteni u kvalificiranom sredstvu za izradu elektroničkog pečata, odgovarajuću naznaku navedenog, barem u obliku prikladnom za automatiziranu obradu.
PRILOG IV.
ZAHTJEVI ZA KVALIFICIRANE CERTIFIKATE ZA ►C1 AUTENTIFIKACIJU ◄ MREŽNIH STRANICA
Kvalificirani certifikati za ►C1 autentifikaciju ◄ mrežnih stranica sadrže:
naznaku, barem u obliku prikladnom za automatiziranu obradu, da je certifikat izdan kao kvalificirani certifikat za ►C1 autentifikaciju ◄ mrežnih stranica;
skup podataka koji nedvojbeno predstavljaju kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificirane certifikate, uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i
za fizičke osobe: barem ime osobe kojoj je izdan certifikat, ili pseudonim; ako se koristi pseudonimom, on se mora jasno naznačiti;
za pravne osobe: jedinstven skup podataka koji nedvojbeno predstavljaju pravnu osobu kojoj je izdan certifikat uz barem naziv pravne osobe kojoj je izdan certifikat i, ako je to primjenjivo, registracijski broj kako je navedeno u službenoj evidenciji;
elementi adrese, uključujući barem grad i državu, fizičke ili pravne osobe kojoj je izdan certifikat i, kada je to primjenjivo, kako je navedeno u službenoj evidenciji;
naziv(i) domene(-a) kojom(-ima) upravlja fizička ili pravna osoba kojoj je izdan certifikat;
podatke o početku i kraju roka valjanosti certifikata;
identifikacijsku oznaku certifikata koja mora biti jedinstvena za kvalificiranog pružatelja usluga povjerenja;
napredan elektronički potpis ili napredan elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje certifikat;
lokaciju na kojoj je besplatno dostupan certifikat koji podržava napredan elektronički potpis ili napredan elektronički pečat iz točke (h);
informacije ili lokaciju usluga statusa valjanosti certifikata koje se mogu koristiti za ispitivanje statusa valjanosti kvalificiranog certifikata.
PRILOG V.
ZAHTJEVI ZA KVALIFICIRANU ELEKTRONIČKU POTVRDU ATRIBUTA
Kvalificirane elektroničke potvrde atributa sadržavaju:
naznaku, barem u obliku prikladnom za automatiziranu obradu, da je potvrda izdana kao kvalificirana elektronička potvrda atributa;
skup podataka koji nedvojbeno predstavljaju kvalificiranog pružatelja usluga povjerenja koji izdaje kvalificiranu elektroničku potvrdu atributa, uključujući barem državu članicu u kojoj pružatelj ima poslovni nastan i:
za pravnu osobu: naziv i, ako je to primjenjivo, registracijski broj kako je navedeno u službenoj evidenciji,
za fizičku osobu: ime osobe;
skup podataka koji nedvojbeno predstavljaju subjekt na koji se odnose potvrđeni atributi; ako se koristi pseudonimom, on se mora jasno naznačiti;
potvrđeni atribut odnosno potvrđene atribute, uključujući, prema potrebi, informacije potrebne za određivanje onoga što ti atributi obuhvaćaju;
podatke o početku i kraju roka valjanosti potvrde;
identifikacijsku oznaku potvrde, koja mora biti jedinstvena za kvalificiranog pružatelja usluga povjerenja i, ako je to primjenjivo, podatak o tome kojem sustavu potvrda pripada ta potvrda atributa;
kvalificirani elektronički potpis ili kvalificirani elektronički pečat kvalificiranog pružatelja usluga povjerenja koji izdaje potvrdu;
lokaciju na kojoj je besplatno dostupan certifikat koji podržava kvalificirani elektronički potpis ili kvalificirani elektronički pečat iz točke (g);
informacije ili lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti kvalificirane potvrde.
PRILOG VI.
MINIMALNI POPIS ATRIBUTA
Na temelju članka 45.e države članice osiguravaju da se poduzmu mjere da kvalificirani pružatelji usluga povjerenja koji izdaju elektroničke potvrde atributa mogu na zahtjev korisnika elektroničkim putem provjeriti autentičnost sljedećih atributa uspoređivanjem s relevantnim autentičnim izvorom na nacionalnoj razini ili putem imenovanih posrednika priznatih na nacionalnoj razini, u skladu s pravom Unije ili nacionalnim pravom te kad se ti atributi oslanjaju na autentične izvore u javnom sektoru:
adresa;
dob;
spol;
bračno stanje;
sastav obitelji;
državna pripadnost ili državljanstvo;
obrazovne kvalifikacije, titule i licencije;
stručne kvalifikacije, titule i licencije;
ovlasti i mandati za zastupanje fizičkih ili pravnih osoba;
javne dozvole i odobrenja;
za pravne osobe, financijski podaci i podaci o poduzeću.
PRILOG VII.
ZAHTJEVI ZA ELEKTRONIČKU POTVRDU ATRIBUTA KOJU IZDAJE JAVNO TIJELO ODGOVORNO ZA AUTENTIČNI IZVOR ILI KOJA SE IZDAJE U NJEGOVO IME
Elektronička potvrda atributa koju izdaje javno tijelo odgovorno za autentični izvor ili koja se izdaje u njegovo ime sadržava:
naznaku, barem u obliku prikladnom za automatiziranu obradu, da je potvrda izdana kao elektronička potvrda atributa koju izdaje javno tijelo odgovorno za autentični izvor ili koja se izdaje u njegovo ime;
skup podataka koji nedvojbeno predstavljaju javno tijelo koje izdaje elektroničku potvrdu atributa, uključujući barem državu članicu u kojoj je to javno tijelo uspostavljeno i njegov naziv te, ako je to primjenjivo, njegov registracijski broj kako je navedeno u službenoj evidenciji;
skup podataka koji nedvojbeno predstavljaju subjekt na koji se odnose potvrđeni atributi; ako se koristi pseudonimom, on se mora jasno naznačiti;
potvrđeni atribut odnosno potvrđene atribute, uključujući, prema potrebi, informacije potrebne za određivanje onoga što ti atributi obuhvaćaju;
podatke o početku i kraju roka valjanosti potvrde;
identifikacijsku oznaku potvrde, koja mora biti jedinstvena za javno tijelo izdavatelja i, ako je to primjenjivo, podatak o tome kojem sustavu potvrda pripada ta potvrda atributa;
kvalificirani elektronički potpis ili kvalificirani elektronički pečat tijela izdavatelja;
lokaciju na kojoj je besplatno dostupan certifikat koji podržava kvalificirani elektronički potpis ili kvalificirani elektronički pečat iz točke (g);
informacije ili lokaciju usluga koje se mogu koristiti za ispitivanje statusa valjanosti potvrde.
( 1 ) Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.)
( 2 ) Direktiva 2014/24/EU Europskog parlamenta i Vijeća od 26. veljače 2014. o javnoj nabavi i o stavljanju izvan snage Direktive 2004/18/EZ (SL L 94, 28.3.2014., str. 65.).
( 3 ) Direktiva (EU) 2019/882 Europskog parlamenta i Vijeća od 17. travnja 2019. o zahtjevima za pristupačnost proizvoda i usluga (SL L 151, 7.6.2019., str. 70.).
( 4 ) Uredba (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti) (SL L 151, 7.6.2019., str. 15.).
( 5 ) Preporuka Komisije 2003/361/EZ od 6. svibnja 2003. o definiciji mikropoduzeća te malih i srednjih poduzeća (SL L 124, 20.5.2003., str. 36.).
( 6 ) Uredba (EU) 2022/2065 Europskog parlamenta i Vijeća od 19. listopada 2022. o jedinstvenom tržištu digitalnih usluga i izmjeni Direktive 2000/31/EZ (Akt o digitalnim uslugama) (SL L 277, 27.10.2022., str. 1).
( 7 ) Uredba (EU) 2022/1925 Europskog parlamenta i Vijeća od 14. rujna 2022. o pravednim tržištima s mogućnošću neograničenog tržišnog natjecanja u digitalnom sektoru i izmjeni direktiva (EU) 2019/1937 i (EU) 2020/1828 (Akt o digitalnim tržištima) (SL L 265, 12.10.2022., str. 1.).
( 8 ) Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (SL L 333, 27.12.2022., str. 80).