Bezpečnější transakce na internetu

KLÍČOVÉ BODY

Evropské peněženky digitální identity

• Členské státy musí zavést evropské peněženky digitální identity nejpozději do prosince 2026. Peněženky umožní uživatelům bezpečně se identifikovat nebo potvrdit vybrané osobní údaje při přístupu k online i offline veřejným či soukromým službám a ukládat, předkládat a sdílet digitální dokumenty v celé EU.
• Shoda evropských peněženek digitální identity a systému elektronické identifikace, v jehož rámci jsou poskytovány, musí být certifikována orgány posuzování shody určenými členskými státy.

Elektronická identifikace

• eID vydaná v jednom členském státu musí být uznávána ve všech ostatních zemích. To platí jen v případě, že eID odpovídá požadavkům nařízení a byla oznámena Komisi a zveřejněna v seznamu. Vzájemné uznávání eID bude povinné od 28. září 2018 a usnadní bezpečné elektronické transakce v rámci EU.
• Systém eID musí specifikovat jednu ze tří úrovní záruky (nízká, značná a vysoká) pro formulář elektronické identifikace vydaný v rámci příslušného systému. Vzájemné uznávání je povinné pouze v případě, že dotyčný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky.
  • Při oznamování systémů eID Komisi musí členské státy poskytnout informace o aspektech, jako je:
  • úroveň záruky a vydavatel eID v rámci daného systému,
  • příslušné systémy dohledu a odpovědnosti, a
  • subjekt spravující registraci jedinečných osobních identifikačních údajů.

Služby vytvářející důvěru

Nařízení o evropské digitální identitě vymezuje služby vytvářející důvěru jako placené služby, které zahrnují:

• vydávání certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
• ověření certifikátů pro elektronické podpisy, certifikátů pro elektronické pečetě, certifikátů pro autentizaci internetových stránek nebo certifikátů pro poskytování jiných služeb vytvářejících důvěru;
• vytváření elektronických podpisů nebo elektronických pečetí;
• ověření elektronických podpisů nebo elektronických pečetí;
• uchovávání elektronických podpisů, elektronických pečetí, certifikátů pro elektronické podpisy nebo certifikátů pro elektronické pečetě;
• správu prostředků pro vytváření elektronických podpisů na dálku nebo elektronických pečetí na dálku;
• vydávání elektronických potvrzení atributů;
• ověřování elektronických potvrzení atributů;
• vytváření elektronických časových razítek;
• ověřování elektronických časových razítek;
• poskytování služeb elektronického doporučeného doručování;
• ověřování údajů přenášených prostřednictvím služeb elektronického doporučeného doručování a souvisejících důkazů;
• elektronickou archivaci elektronických dat a elektronických dokumentů;
• zaznamenávání elektronických dat do elektronické účetní knihy.

Poskytovatelé služeb vytvářejících důvěru se sídlem v EU se považují za „kvalifikované“, pokud odpovídají příslušným požadavkům uvedeným v nařízení o evropské digitální identitě. Mají právní nárok poskytovat kvalifikované služby vytvářející důvěru (např. kvalifikované elektronické podpisy, pečetě nebo certifikáty) ve všech členských států.

Co se týče mezinárodních aspektů, služby vytvářející důvěru poskytované poskytovateli služeb z nečlenských států EU budou považovány za právně ekvivalentní kvalifikovaným službám poskytovaným kvalifikovanými poskytovateli služeb vytvářejících důvěru se sídlem v EU, a to prostřednictvím prováděcích aktů nebo na základě dohody mezi EU a nečlenským státem EU či mezinárodní organizací.

Dohled

• Země EU musí vybrat 1 nebo více orgánů dohledu pro činnosti v oblasti dohledu evropskými peněženkami digitální identity a službami vytvářejícími důvěru podle tohoto nařízení. Tyto orgány musí náležitě spolupracovat s orgány pro ochranu údajů a s orgány odpovědnými za kybernetickou bezpečnost.
• Všichni poskytovatelé služeb vytvářejících důvěru podléhají dohledu a mají povinnosti v oblasti řízení rizik a oznamování narušení bezpečnosti.
• Kvalifikovaní poskytovatelé služeb se sídlem v EU podléhají přísnému dohledu. Patří sem předběžná autorizace ze strany orgánů dohledu a provádění auditu nejméně jednou za 2 roky subjektem posuzování shody, který ověřuje, zda služby splňují požadavky nařízení.
• Nekvalifikovaní poskytovatelé služeb vytvářejících důvěru podléhají „mírnému“ dohledu, tj. orgán dohledu reaguje pouze tehdy, je-li informován, že nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.

Správa a řízení

Zřizuje se skupina pro spolupráci v oblasti evropské digitální identity („skupina pro spolupráci“) s cílem podporovat a usnadňovat přeshraniční spolupráci a výměnu informací mezi členskými státy o službách vytvářejících důvěru, evropských peněženkách digitální identity a oznámených systémech eID.

Prováděcí akty

Aby bylo zajištěno jednotné a správné provádění nařízení o evropské digitální identitě v celé EU, Komise přijala prováděcí akty, které stanovují podrobná technická, procesní a organizační pravidla.

Tyto prováděcí akty společně doplňují a uvádějí nařízení do praxe v celé řadě oblastí a upřesňují mimo jiné požadavky na interoperabilitu, bezpečnostní a certifikační normy, postupy oznamování a výměny informací, formáty důvěryhodných seznamů, reakce na narušení bezpečnosti, mechanismy správy a dohledu a provozní opatření pro systémy elektronické identifikace, služby vytvářející důvěru a evropské peněženky digitální identity.

Prováděcí akty zahrnují širokou škálu technických a provozních aspektů a nejsou omezeny pouze na výše uvedené oblasti. Pravidelně se aktualizují, aby odrážely technologický vývoj, vznikající bezpečnostní rizika a vyvíjející se standardy; vztahují se na architekturu a referenční rámec (ARF), který společně vyvinuly Komise a členské státy, a uplatňují se přímo ve všech členských státech.