По-сигурни трансакции в интернет

ОСНОВНИ АСПЕКТИ

Европейски портфейли за цифрова идентичност

• Държавите членки трябва да въведат европейските портфейли за цифрова самоличност най-късно до декември 2026 г. Портфейлите ще дадат възможност на потребителите сигурно да удостоверяват самоличността си или да потвърждават определена лична информация за достъп до онлайн и офлайн публични и частни услуги, както и да съхраняват, представят и споделят цифрови документи в целия ЕС.
• Съответствието на европейските портфейли за цифрова самоличност и на схемата за електронна идентификация, по която се предоставят, се удостоверява от органите за оценяване на съответствието, определени от държавите членки.

Електронна идентификация

• Електронната идентификация, издадена в една държава от ЕС, трябва да се признава във всички останали. Това важи само ако електронната идентификация отговаря на изискванията на регламента и е била съобщена на Комисията и публикувана в списък. Взаимното признаване на електронните идентификации стана задължително от 28 септември 2018 г. и улесни използването на сигурни електронни трансакции в рамките на ЕС.
• Дадена схема за електронна идентификация трябва да посочи едно от трите нива на осигуреност (ниско, съществено, високо) за формата на електронната идентификация, издадена съгласно тази схема. Взаимното признаване е задължително само когато съответният орган от обществения сектор използва „значителни“ или „високи“ нива за достъп до тази услуга онлайн.
  • Когато уведомяват Комисията за схеми на електронна идентификация, държавите членки трябва да предоставят информация относно аспекти като:
  • нивата на осигуреност и издателя на електронната идентификация в рамките на схемата;
  • приложимия режим на надзор и информация за режима на отговорност; и
  • информация за субекта, който управлява регистрацията на уникалните идентификационни данни на лицата.

Удостоверителни услуги

Регламентът за европейска цифрова самоличност определя удостоверителните услуги като услуги, които обикновено се предоставят срещу заплащане, които включват:

• издаването на удостоверения за електронни подписи, удостоверения за електронни печати, удостоверения за удостоверяване на уебсайтове или удостоверения за предоставяне на други доверителни услуги;
• валидирането на удостоверения за електронни подписи, удостоверения за електронни печати, удостоверения за удостоверяване на уебсайтове или удостоверения за предоставяне на други доверителни услуги;
• създаването на електронни подписи или електронни печати;
• валидирането на електронни подписи или електронни печати;
• съхраняването на електронни подписи, електронни печати или електронни времеви печати, удостоверения за електронни подписи или удостоверения за електронни печати;
• управлението на устройства за отдалечено създаване на електронни подписи или устройства за създаване на електронни печати;
• издаването на електронни удостоверения за атрибути;
• валидирането на електронни удостоверения за атрибути;
• създаването на електронни времеви печати;
• валидирането на електронни времеви печати;
• предоставянето на услуги за електронна препоръчана поща;
• валидирането на данните, предавани чрез услуги за електронна препоръчана поща, и свързаните с тях доказателства;
• електронното архивиране на електронни данни и електронни документи;
• записването на електронни данни в електронен регистър.

Доставчиците на удостоверителни услуги на територията на ЕС се считат за „квалифицирани“, ако отговарят на приложимите изисквания на регламента за европейска цифрова самоличност. Те имат законното право да предоставят квалифицирани удостоверителни услуги (напр. квалифицирани електронни подписи, печати или удостоверения) във всички държави членки.

По отношение на международните аспекти, удостоверителните услуги, предлагани от доставчици на услуги от държави извън ЕС, ще се считат за законно еквивалентни на квалифицираните, предоставени от доставчици на удостоверителни услуги на територията на ЕС посредством актове за изпълнение или след сключване на споразумение между ЕС и държавата извън ЕС или международната организация.

Надзор

• Държавите членки трябва да изберат един или повече надзорни органи за надзорните дейности за европейските портфейли за цифрова идентичност и удостоверителните услуги по настоящия регламент. Тези органи трябва да си сътрудничат с органите за защита на данните и органите, отговорни за киберсигурността, когато е необходимо.
• Всички доставчици на удостоверителни услуги са обект на надзор и управление на риска, както и на задълженията за уведомяване за нарушение на сигурността.
• Доставчиците на квалифицирани удостоверителни услуги на територията на ЕС са обект на строг надзор. Това включва предварително разрешение от страна на надзорните органи и провеждане на одити най-малко веднъж на всеки две години от орган за оценка на съответствието, който преценява дали те отговарят на изискванията на регламента.
• Неквалифицираните доставчици на удостоверителни услуги подлежат на „лек“ надзор, т.е. надзорният орган реагира само когато бъде информиран, че неквалифицираните доставчици на удостоверителни услуги или предоставяните от тях удостоверителни услуги евентуално не отговарят на изискванията, посочени в настоящия регламент.

Управление

Европейската група за сътрудничество в областта на цифровата самоличност („групата за сътрудничество“) е създадена с цел да подпомага и улеснява трансграничното сътрудничество и обмена на информация между държавите членки относно доверителните услуги, европейските портфейли за цифрова самоличност и уведомените схеми за електронна идентификация.

Актове за изпълнение

За да се гарантира единното и правилно прилагане на регламента за европейска цифрова идентичност в целия ЕС, Комисията прие актове за изпълнение, с които се определят подробни технически, процедурни и организационни правила.

Взети заедно, тези актове за изпълнение допълват и правят регламента оперативен в широк кръг области и определят, наред с другото, изискванията за оперативна съвместимост, стандартите за сигурност и удостоверяване, процедурите за уведомяване и обмен на информация, форматите на удостоверителните списъци, реакциите при пробиви в сигурността, механизмите за управление и надзор, както и оперативните механизми за схемите за електронна идентификация, удостоверителните услуги и европейските портфейли за цифрова самоличност.

Актовете за изпълнение обхващат обширен набор от технически и оперативни аспекти и не се ограничават до изброените по-горе области. Те се актуализират редовно, за да отразяват технологичните развития, възникващите рискове за сигурността и развиващите се стандарти, обхващайки Архитектурната и референтна рамка (ARF), разработена съвместно от Комисията и държавите членки, и се прилагат пряко във всички държави членки.