—

5

Operational risk assessment

—

6

Policies and practices

—

7

Identity proofing service management and operation

—

8

Identity proofing service requirements

—

9.1

Introduction, compliance with the present document, general requirements for all use cases

—

9.2.2

Use cases using an identity document for attended remote identity proofing

—

9.2.3

Use cases using an identity document for unattended remote identity proofing

—

9.2.4

Use case for identity proofing by authentication using eID means

—

9.5

Use cases for additional identity proofing to enhance an identity proven by use of an eID from Baseline LoIP to Extended LoIP.

1)

5

Operational risk assessment

—

OVR-5-01: Kravene i ETSI EN 319 401 [1], afsnit 5, finder anvendelse.

—

2)

6.1

Identity proofing service practice statement

—

OVR-6.1-02: En udbyder af en identitetsgodtgørelsestjeneste skal i sin erklæring om praksis angive de brugstilfælde, for hvilke der påberåbes overensstemmelse med dette dokument.

—

3)

7.9

Vulnerabilities and incident management

—

OVR-7.9-02: Rapporteringsforpligtelserne i henhold til ETSI EN 319401 [1] REQ-7.9.2-02X og 7.9.3 skal opfyldes som krævet i forbindelse med godtgørelse af identitet og forpligtelserne for udbyderen af personidentifikationsdata, der benytter identitetsgodtgørelsestjenesten.

—

EKSEMPEL: Rapportering til den myndighed, der fører tilsyn med en udbyder af europæiske digitale identitetstegnebøger, som er etableret i den udpegende medlemsstat, kan ske i samarbejde mellem udbyderen af identitetsgodtgørelsestjenesten og udbyderen af personidentifikationsdata.

4)

7.10

Collection of evidence

—

OVR-7.10-01: Kravene i ETSI EN 319 401 [1], afsnit 7.10, finder anvendelse.

—

—

5)

7.11

Business continuity management

—

OVR-7.11-02: Procedurerne for krisestyring i henhold til ETSI EN 319401 [1], REQ-7.11.3-01X skal være som krævet i forbindelse med godtgørelse af identitet og forpligtelserne for udbyderen af personidentifikationsdata, der benytter identitetsgodtgørelsestjenesten.

6)

7.12

Termination and termination plans

—

OVR-7.12-01: Kravene i ETSI EN 319401 [1], 7.12, undtagen REQ-7.12-11, finder anvendelse.

—

7)

8.1

Initiation

—

INI-8.1-05: Hvis proceduren for godtgørelse af identitet på afstand afbrydes eller mislykkes, skal udbyderen af identitetsgodtgørelsestjenesten sikre, at de pågældende personer gives tilstrækkelige forklaringer og afhjælpende foranstaltninger, navnlig i tilfælde af uledsaget godtgørelse på afstand. Oplysningerne bør sikre, at personerne kan bidrage til en hurtig løsning af problemet, og, hvis det er nødvendigt, udøve deres rettigheder som registrerede såsom retten til berigtigelse eller muligheden for at anfægte afgørelsen over for den relevante dataansvarlige.

8)

8.2.1

General requirements

—

COL-8.2.1-08: Udbyderen af identitetsgodtgørelsestjenesten skal gennemføre foranstaltninger for at sikre overholdelse af kravene om databeskyttelse gennem design og databeskyttelse i overensstemmelse med artikel 25 i forordning (EU) 2016/679 i forbindelse med onboardingprocessen, navnlig med hensyn til behandling af biometriske data. Relevante foranstaltninger kan bestå i passende kryptografiske kontroller, anordninger og organisatoriske foranstaltninger til beskyttelse af privatlivets fred. Disse foranstaltninger bør begrænse dataindsamlingen til, hvad der er strengt nødvendigt for behandlingen af biometriske data og alle andre personoplysninger, der skal indsamles fra de fysiske og digitale identifikationskilder med henblik på at binde brugerens personlige identifikationsdata til deres tegnebøger og til den enhed, som brugeren har installereret tegnebogen i.

9)

8.2.4

Use of existing eID means as evidence

—

[CONDITIONAL] COL-8.2.4-02X: Hvis Baseline LoIP er målrettet, skal eID-midlerne som minimum være blevet meddelt som eIDAS LoA-niveau »betydelig«, eller dets sikringsniveau skal være blevet bekræftet af et akkrediteret overensstemmelsesvurderingsorgan som defineret i artikel 2, stk. 13, i henhold til forordning (EF) nr. 765/2008 eller et tilsvarende organ, og hvis alle relevante krav er opfyldt, resulterer vurderingen i et overensstemmelsescertifikat på grundlag af en certificeringskontrol. Denne formelle certificeringsprocedure skal være baseret på en sikkerhedsevalueringsprocedure, der henviser til de sikringsniveauer, der er angivet for de anmeldte elektroniske identifikationsmidler eller certificerede europæiske digitale identitetstegnebøger i henhold til forordning (EU) nr. 910/2014 [i.25]

—

COL-8.2.4-02A: void.

10)

8.3.1

General requirements

—

VAL-8.3.1-11X: Proceduren for godtgørelse af identitet har som formål at verificere, at dokumentationen er gyldig på tidspunktet for godtgørelse af identitet.

11)

8.3.3

Validation of physical identity document

—

VAL-8.3.3-21: Effektiviteten af foranstaltningerne til opfyldelse af kravene VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A og VAL-8.3.3-07X skal bekræftes af et akkrediteret overensstemmelsesvurderingsorgan som defineret i artikel 2, stk. 13, i forordning (EF) nr. 765/2008 eller et tilsvarende organ.

—

VAL-8.3.3-22: Referenceansigtsbilledet fra det fysiske identitetsdokument indhentes via nærfeltskommunikation, og i processen skal der udføres passiv eller aktiv autentificering af chippen på det fysiske identitetsdokument.

12)

9.1

Introduction, compliance with the present document, general requirements for all use cases

—

USE-9.1-01X: For at være i overensstemmelse med nærværende dokument skal en identitetsgodtgørelsesproces være i overensstemmelse med brugstilfældet i afsnit 9.5 i dette dokument for Extended LoIP.

—

USE-9.1-03X: void

13)

9.2.3.4

Use case for automated operation

—

USE-9.2.3.4-04: Udbyderen af identitetsgodtgørelsestjenesten skal fastsætte målværdier for procentsatsen for falsk accept (FAR — False Acceptance Rate) og procentsatsen for falsk afvisning (FRR — False Rejection Rate) i fuldt ud automatiserede processer for godtgørelse af identitet på grundlag af en risikoanalyse og en egen trusselsefterretningsprocedure ved at følge den metode, der er fastlagt i ENISA-rapporten »Methodology for sectoral cybersecurity assessments« [i.28], eller en tilsvarende metode. De målværdier, der anvendes af udbyderen af identitetsgodtgørelsestjenesten, skal være lig med eller lavere end dem, der er fastsat for hybride brugstilfælde, hvis sådanne findes. Udbyderen af identitetsgodtgørelsestjenesten skal opretholde disse målværdier for FAR og FRR konsekvent, understøttet af en risikoanalyse og en egen trusselsefterretningsprocedure.

14)

9.5.1

General requirements

—

Første afsnit: Hvis ansøgeren er en fysisk person, herunder en fysisk person, der repræsenterer en juridisk person, og ansøgerens identitet er blevet dokumenteret med Baseline LoIP via autentifikation ved hjælp af et eID, og en forbedring af det udvidede LoIP er påkrævet, finder følgende krav anvendelse.

—

USE-9.5.1-08: Den yderligere godtgørelse af identitet, der er krævet for at styrke en identitets pålidelighed, finder kun anvendelse på eID, der ikke er blevet udstedt på grundlag af automatiseret sammenligning af ansigtsbilleder i forbindelse med den indledende udstedelsesproces.

15)

9.5.2

Use case for enhancing identity proofing to Extended LoIP by a full identity proofing using an identity document

—

USE-9.5.2-01: Godtgørelse af identitet, der skal forbedres fra Baseline til Extended LoIP, skal være i overensstemmelse med kravene til Extended LoIP fra et af de brugstilfælde, der er beskrevet i afsnit 9.2.2 eller 9.2.3 i nærværende dokument for Extended LoIP.

16)

9.5.3

Use case for enhancing identity proofing to Extended LoIP by use of a previously captured reference face image

—

USE-9.5.3-01: En proces for godtgørelse af identitet, der opfylder kravene til Extended LoIP fra et af de brugstilfælde, som er beskrevet i 9.2.2 eller 9.2.3 i nærværende dokument, eller en proces for godtgørelse af identitet, der er blevet fagfællebedømt eller certificeret af et akkrediteret overensstemmelsesvurderingsorgan som defineret i artikel 2, stk. 13, i henhold til forordning (EF) nr. 765/2008 eller et tilsvarende organ til at overholde sikringsniveauet »høj« i overensstemmelse med forordning (EU) nr. 910/2014 [i.25], anvendes til at registrere et referenceansigtsbillede og knytte de nødvendige identitetsattributter til dette referenceansigtsbillede.