1.

Det er sikret, at ansøgeren er bekendt med de betingelser og vilkår, som gælder for brugen af det elektroniske identifikationsmiddel.

2.

Det er sikret, at ansøgeren er bekendt med de anbefalede sikkerhedsforanstaltninger, som har at gøre med brugen af det elektroniske identifikationsmiddel.

3.

De data, som er relevante for godtgørelse og kontrol af identitet, er indsamlet.

1.

Det kan antages, at personen er i besiddelse af et bevis, som er anerkendt af den medlemsstat, hvor ansøgningen om det elektroniske identifikationsmiddel indgives, og som dokumenterer den påståede identitet.

2.

Det kan antages, at beviset er ægte, eller at det eksisterer i henhold til en autoritativ kilde, og beviset skal se ud til at være gyldigt.

3.

Det er kendt af en autoritativ kilde, at den påståede identitet eksisterer, og det kan antages, at den person, som gør krav på den pågældende identitet, er en og samme person.

1.

Det er blevet kontrolleret, at personen er i besiddelse af et bevis, som er anerkendt af den medlemsstat, hvor ansøgningen om det elektroniske identifikationsmiddel indgives, og som dokumenterer den påståede identitet,

og

beviset er blevet kontrolleret for at fastslå, at det er ægte, eller det vides i henhold til en autoritativ kilde, at beviset eksisterer og er relateret til en fysisk person,

og

der er taget skridt til at nedbringe risikoen for, at den pågældende persons identitet ikke er den, den påstås at være, under hensyntagen til risikoen for at beviset kan være blevet tabt, stjålet, suspenderet, tilbagekaldt eller være udløbet,

eller

2.

Der er blevet fremvist et identitetsdokument i løbet af registreringsprocessen i den medlemsstat, hvor dokumentet blev udstedt, og dokumentet ser ud til at tilhøre den person, som fremlægger det,

og

der er taget skridt til at nedbringe risikoen for, at den pågældende persons identitet ikke er den, den påstås at være, under hensyntagen til risikoen for at dokumenterne kan være blevet tabt, stjålet, suspenderet, inddraget eller være udløbet,

eller

3.

Hvis procedurer, der tidligere er blevet brugt af en offentlig eller privat enhed i den pågældende medlemsstat til et andet formål end udstedelse af elektroniske identifikationsmidler på en måde, der svarer til den, der er fastsat i afsnit 2.1.2, sikrer, at sikringsniveauet »betydelig« er opfyldt, behøver den enhed, der er ansvarlig for registreringen, ikke at gentage de tidligere procedurer, forudsat at den tilsvarende sikring bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 (1), eller af et tilsvarende organ

eller

4.

Hvis elektroniske identifikationsmidler udstedes på grundlag af et gyldigt anmeldt elektronisk identifikationsmiddel med sikringsniveau »betydelig« eller »høj«, og der tages hensyn til eventuelle ændringer i personidentifikationsdata, kræves det ikke, at processerne for godtgørelse og kontrol af identitet gentages. Hvis det elektroniske identifikationsmiddel, der anvendes til at foretage kontrol, ikke er blevet anmeldt, skal sikringsniveauet »betydelig« eller »høj« bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i forordning (EF) nr. 765/2008, eller af et tilsvarende organ.

1.

Kravene til sikringsniveauet »betydelig« samt et af alternativerne i punkt a)-c) nedenfor skal være opfyldt:

ELLER

2.

Hvis ansøgeren ikke fremlægger et anerkendt fotografisk eller biometrisk identifikationsbevis, anvendes de samme procedurer for fremskaffelse af et anerkendt fotografisk eller biometrisk identifikationsbevis, som dem der anvendes i den pågældende medlemsstat af den enhed, der er ansvarlig for registrering.

1.

Den juridiske persons påståede identitet dokumenteres med et bevis, som er anerkendt af den medlemsstat, hvor ansøgningen om det elektroniske identifikationsmiddel indgives.

2.

Beviset fremstår gyldigt og kan antages at være ægte eller eksistere i henhold til en autoritativ kilde, hvis opførelsen af en juridisk person i den autoritative kilde er frivillig og er reguleret af en aftale mellem den juridiske person og den autoritative kilde.

3.

Den juridiske person er ikke registreret af den autoritative kilde med en status, der afholder den juridiske person fra at agere som sådan.

1.

Den juridiske persons påståede identitet dokumenteres med et bevis, som er anerkendt af den medlemsstat, hvor ansøgningen om det elektroniske identifikationsmiddel indgives, herunder den juridiske persons navn, retlige form og (eventuelt) registreringsnummer,

og

beviset kontrolleres for at fastslå, om det er ægte eller kendt af en autoritativ kilde, hvis opførelsen af den juridiske person i den autoritative kilde er påkrævet, for at den juridiske person kan være aktiv i sin branche

og

der er taget skridt til at nedbringe risikoen for, at den juridiske persons identitet ikke er den, som den påstås at være, under hensyntagen til risikoen for at dokumenterne kan være blevet tabt, stjålet, suspenderet, inddraget eller være udløbet,

eller

2.

Hvis de procedurer, der tidligere er blevet brugt af en offentlig eller privat enhed i den pågældende medlemsstat til et andet formål end udstedelse af elektroniske identifikationsmidler på en måde, der svarer til den, der er fastsat i afsnit 2.1.3, sikrer, at sikringsniveauet »betydelig« er opfyldt, behøver den enhed, der er ansvarlig for registreringen, ikke at gentage de tidligere procedurer, forudsat at den tilsvarende sikring bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i forordning (EF) nr. 765/2008, eller af et tilsvarende organ

eller

3.

Hvis elektroniske identifikationsmidler udstedes på grundlag af et gyldigt anmeldt elektronisk identifikationsmiddel med sikringsniveauet »betydelig« eller »høj«, kræves det ikke, at processerne for godtgørelse og kontrol af identitet gentages. Hvis det elektroniske identifikationsmiddel, der anvendes til at foretage kontrol, ikke er blevet anmeldt, skal sikringsniveauet »betydelig« eller »høj« bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i forordning (EF) nr. 765/2008, eller af et tilsvarende organ.

1.

Den juridiske persons påståede identitet dokumenteres med et bevis, som er anerkendt af den medlemsstat, hvor ansøgningen om det elektroniske identifikationsmiddel indgives, herunder den juridiske persons navn, retlige form og mindst et entydigt identifikationsnummer, der repræsenterer den juridiske person, og som anvendes i nationale sammenhænge

og

beviset kontrolleres for at fastslå, at det er gyldigt i henhold til en autoritativ kilde,

eller

2.

Hvis de procedurer, der tidligere er blevet brugt af en offentlig eller privat enhed i den pågældende medlemsstat til et andet formål end udstedelse af elektroniske identifikationsmidler på en måde, der svarer til den, der er fastsat i afsnit 2.1.3, sikrer, at sikringsniveauet »høj« er opfyldt, behøver den enhed, der er ansvarlig for registreringen, ikke at gentage de tidligere procedurer, forudsat at den tilsvarende sikring bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i forordning (EF) nr. 765/2008, eller af et tilsvarende organ

og

der tages skridt til at kontrollere, at resultaterne af den foregående procedure fortsat er gyldige

eller

3.

Hvis elektroniske identifikationsmidler udstedes på grundlag af et gyldigt anmeldt elektronisk identifikationsmiddel med sikringsniveauet »høj«, kræves det ikke, at processerne for godtgørelse og kontrol af identitet gentages. Hvis det elektroniske identifikationsmiddel, der anvendes til at foretage kontrol, ikke er blevet anmeldt, skal sikringsniveauet »høj« bekræftes af et overensstemmelsesvurderingsorgan, jf. artikel 2, stk. 13, i forordning (EF) nr. 765/2008, eller af et tilsvarende organ.

og

der tages skridt til at kontrollere, at resultaterne af den foregående procedure for udstedelse af et anmeldt elektronisk identifikationsmiddel fortsat er gyldige.

1.

Det elektroniske identifikationsmiddel gør brug af mindst en autentifikationsfaktor.

2.

Det elektroniske identifikationsmiddel er udformet således, at udstederen tager rimelige skridt til at kontrollere, at det kun er den person, som det tilhører, der har kontrol over og er i besiddelse af det.

1.

Det elektroniske identifikationsmiddel gør brug af mindst to autentifikationsfaktorer fra forskellige kategorier.

2.

Det elektroniske identifikationsmiddel er udformet således, at det kan antages, at det kun kan bruges, når det er den person, som det tilhører, der har kontrol over og er i besiddelse af det.

1.

Det elektroniske identifikationsmiddel er beskyttet mod kopiering og manipulation samt angribere med stor angrebskapacitet

2.

Det elektroniske identifikationsmiddel er udformet således, at den person, som det tilhører, kan beskytte det sikkert mod, at andre bruger det.

1.

Det er muligt at suspendere og/eller tilbagekalde et elektronisk identifikationsmiddel rettidigt og effektivt.

2.

Der findes foranstaltninger, som skal forhindre uautoriseret suspendering, tilbagekaldelse og/eller reaktivering.

3.

Reaktivering skal kun finde sted, hvis de samme sikringskrav som forud for suspenderingen eller reaktiveringen fortsat er opfyldt.

1.

Frigivelsen af personidentifikationsdata finder sted efter en pålidelig kontrol af det elektroniske identifikationsmiddel og dets gyldighed.

2.

Hvis personidentifikationsdata er lagret som en del af autentifikationsmekanismen, er disse oplysninger sikret på en måde, der beskytter dem mod at gå tabt eller blive kompromitteret, herunder analyse offline.

3.

Autentifikationsmekanismen implementerer sikkerhedskontroller til at efterprøve det elektroniske identifikationsmiddel, således at det er højst usandsynligt, at det er muligt for en angriber med en øget basal angrebskapacitet at gætte, lytte sig til, gengive eller manipulere kommunikationen og på den måde omgå autentifikationsmekanismen.

1.

Frigivelsen af personidentifikationsdata finder sted efter en pålidelig kontrol af det elektroniske identifikationsmiddel og dets gyldighed via en dynamisk autentifikationsmekanisme.

2.

Autentifikationsmekanismen implementerer sikkerhedskontroller til at efterprøve det elektroniske identifikationsmiddel, således at det er højst usandsynligt, at det er muligt for en angriber med en moderat angrebskapacitet at gætte, lytte sig til, gengive eller manipulere kommunikationen og på den måde omgå autentifikationsmekanismen.

1.

Leverandører af enhver driftstjeneste, der er omfattet af denne forordning, er en offentlig myndighed eller en juridisk enhed, som er anerkendt af den pågældende medlemsstat efter national ret. De har en etableret organisation og er fuldt operationsdygtige inden for alle de områder, der er relevante for at levere tjenesten.

2.

Leverandørerne overholder alle lovkrav, der pålægges dem i forbindelse med drift og levering af tjenesten, herunder krav til hvilke typer oplysninger der kan søges, hvordan kontrol af identitet foretages samt hvilke oplysninger der opbevares og hvor længe.

3.

Leverandørerne er i stand til at dokumentere deres evne til at påtage sig risikoen for at bære erstatningsansvar, og de har tilstrækkelige finansielle ressourcer til at fortsætte driften og levere tjenester.

4.

Leverandørerne er ansvarlige for at opfylde alle forpligtelser, der måtte være outsourcet til en anden enhed, og for at overholde ordningens politikker som var det leverandørerne selv, der havde udført opgaverne.

5.

Elektroniske identifikationsordninger, som ikke bygger på national ret, skal have en effektiv plan i tilfælde af virksomhedsafbrydelse. En sådan plan skal indeholde en korrekt nedlæggelse af tjenesten eller en fortsættelse med en anden udbyder, en metode til underretning af de relevante myndigheder og slutbrugere, samt oplysninger om, hvordan registreringer skal beskyttes, opbevares eller destrueres i overensstemmelse med ordningens politikker.

1.

Der skal forelægge en offentliggjort definition af tjenesten, som omfatter de gældende betingelser, vilkår og gebyrer, herunder eventuelle begrænsninger af brug af tjenesten. Definitionen af tjenesten skal indeholde en erklæring om behandling af personoplysninger.

2.

Der skal indføres egnede politikker og procedurer for at sikre, at tjenestens brugere rettidigt og konsekvent oplyses om eventuelle ændringer i definitionen af tjenesten eller i de gældende betingelser, vilkår eller erklæringen om behandling af personoplysninger for den pågældende tjeneste.

3.

Der skal indføres egnede politikker og procedurer, som sikrer fuldstændige og korrekte besvarelser af anmodninger om oplysninger.

1.

Relevante oplysninger registreres og ajourføres ved hjælp af et effektivt registreringssystem, der tager hensyn til gældende lovgivning og god praksis inden for beskyttelse og opbevaring af data.

2.

Oplysninger opbevares — i det omfang det er tilladt efter national lovgivning eller andre nationale administrative ordninger — og beskyttes, så længe der er behov for dem med henblik på revision, undersøgelser af brud på sikkerheden og opbevaring, hvorpå de destrueres på en sikker måde.

1.

Der skal findes procedurer, som sikrer, at personale og underleverandører er tilstrækkeligt uddannede, kvalificerede og erfarne inden for de færdigheder, der er behov for, når de skal udfylde deres roller.

2.

Der skal være tilstrækkeligt med personale og underleverandører til at drive og vedligeholde tjenesten i henhold til de relevante politikker og procedurer.

3.

Faciliteter, der bruges til at levere tjenesten, kontrolleres løbende for og beskyttes mod skader forårsaget af miljøhændelser, uautoriseret adgang og andre faktorer, som kan påvirke tjenestens sikkerhed.

4.

Faciliteter, der bruges til at levere tjenesten, sikrer, at adgang til de områder, hvor personlige, kryptografiske og andre følsomme oplysninger opbevares og behandles, er begrænset til autoriseret personale og autoriserede underleverandører.

1.

Der findes rimelige tekniske kontroller, som gør det muligt at afværge trusler mod tjenesternes sikkerhed og sikrer de behandlede oplysningers fortrolighed, integritet og tilgængelighed.

2.

Elektroniske kommunikationskanaler, der bruges til at udveksle personlige eller følsomme oplysninger, beskyttes mod aflytning, manipulation og gengivelse.

3.

Adgang til følsomt kryptografisk materiale er, hvis det bruges til at udstede elektroniske identifikationsmidler eller autentifikation, begrænset til de roller og anvendelsesområder, der absolut skal have adgang. Det skal sikres, at den slags materiale aldrig lagres permanent som klartekst.

4.

Der er indført procedurer, som garanterer, at sikkerheden bevares over tid, og at der er mulighed for at reagere på ændringer i risikoniveau, sikkerhedshændelser og brud på sikkerheden.

5.

Alle medier, som indeholder personlige, kryptografiske eller andre følsomme oplysninger, lagres, transporteres og bortskaffes på en sikker måde.

1.

Der gennemføres jævnligt uafhængige eksterne revisioner, som omfatter alle de relevante dele til levering af den pågældende tjeneste, og som sikrer overholdelse af den relevante politik.

2.

Hvis en ordning forvaltes direkte af et statsorgan, foretages revision i henhold til national lovgivning.