Käesolev tekst on üksnes dokumenteerimisvahend ning sel ei ole mingit õiguslikku mõju. Liidu institutsioonid ei vastuta selle teksti sisu eest. Asjakohaste õigusaktide autentsed versioonid, sealhulgas nende preambulid, on avaldatud Euroopa Liidu Teatajas ning on kättesaadavad EUR-Lexi veebisaidil. Need ametlikud tekstid on vahetult kättesaadavad käesolevasse dokumenti lisatud linkide kaudu

EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) nr 910/2014,

23. juuli 2014,

e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ

PEATÜKK

ÜLDSÄTTED

▼M1

Artikkel 1

Reguleerimisese

Käesoleva määruse eesmärk on tagada siseturu nõuetekohane toimimine ning kogu liidus kasutatavate e-identimise vahendite ja usaldusteenuste asjakohane turvalisuse tase, et võimaldada füüsilistel ja juriidilistel isikutel kasutada õigust osaleda turvaliselt digiühiskonnas ning pääseda juurde internetipõhistele avalikele ja erasektori teenustele kogu liidus ning hõlbustada neil selle õiguse kasutamist. Neil eesmärkidel käesolevas määruses:

sätestatakse tingimused, mille alusel liikmesriigid tunnustavad füüsiliste ja juriidiliste isikute e-identimise vahendeid, mis kuuluvad teise liikmesriigi teavitatud e-identimise süsteemi, ning teevad kättesaadavaks ja tunnustavad Euroopa digiidentiteedikukruid;

sätestatakse normid usaldusteenuste, eelkõige e-tehingute jaoks;

luuakse õigusraamistik e-allkirja, e-templi, e-ajatempli, e-dokumentide, registreeritud e-andmevahetusteenuste, veebisaitide autentimise sertifitseerimisteenuste, elektroonilise arhiveerimise, elektrooniliste tõendite, e-allkirja andmise vahendite, e-templi loomise vahendite ning elektrooniliste arvestusraamatute jaoks.

▼B

Artikkel 2

Kohaldamisala

▼M1

Käesolevat määrust kohaldatakse liikmesriigi poolt teavitatud e-identimise süsteemide, liikmesriigi poolt kättesaadavaks tehtud Euroopa digiidentiteedikukrute ja liidus asutatud usaldusteenuse osutajate suhtes.

▼B

Käesolevat määrust ei kohaldata selliste usaldusteenuste osutamise suhtes, mida kasutatakse eranditult suletud süsteemides, mis tulenevad siseriiklikust õigusest või määratletud osalejate kogumi vahelistest kokkulepetest.

▼M1

Käesolev määrus ei mõjuta liidu või riigisisest õigust, mis reguleerib lepingute sõlmimist ja kehtivust, muid õiguslikke või menetluslikke kohustusi seoses vormiga ega sektoripõhiseid vorminõudeid.

Käesolev määrus ei piira Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 ( 1 ) kohaldamist.

▼B

Artikkel 3

Mõisted

Käesolevas määruses kasutatakse järgmisi mõisteid:

▼M1

1)	„e-identimine” – protsess, mille käigus kasutatakse elektroonilisi isikutuvastusandmeid, mis tähistavad üheselt füüsilist või juriidilist isikut või teist füüsilist isikut või juriidilist isikut esindavat füüsilist isikut;

2)	„e-identimise vahend” – kehaline ja/või kehatu üksus, mis sisaldab isikutuvastusandmeid ja mida kasutatakse autentimiseks internetipõhiste või asjakohasel juhul veebiväliste teenuste puhul;

3)	„isikutuvastusandmed” – liidu või riigisisese õiguse kohaselt väljastatud andmed, mis võimaldavad teha kindlaks füüsilise või juriidilise isiku või teist füüsilist isikut või juriidilist isikut esindava füüsilise isiku;

4)	„e-identimise süsteem” – e-identimiseks vajalik süsteem, mille raames väljastatakse e-identimise vahendeid füüsilistele või juriidilistele isikutele või teist füüsilist isikut või juriidilist isikut esindavatele füüsilistele isikutele;

5)	„autentimine” – elektrooniline protsess, mis võimaldab füüsilise või juriidilise isiku e-identimise kinnitamist või elektrooniliste andmete päritolu ja tervikluse kinnitamist;

▼M1

5a)	„kasutaja” – füüsiline või juriidiline isik või teist füüsilist isikut või juriidilist isikut esindav füüsiline isik, kes kasutab käesoleva määruse kohaselt pakutavaid usaldusteenuseid või e-identimise vahendeid;

▼M1

6)	„tuginev isik” – füüsiline või juriidiline isik, kes tugineb e-identimisele, Euroopa digiidentiteedikukrutele või muudele e-identimise vahenditele või usaldusteenusele;

▼B

„avaliku sektori asutus” – riigi-, piirkondlik või kohalik asutus, avalik-õiguslik isik või ühe või mitme kõnealuse asutuse või avalik-õigusliku isiku poolt asutatud ühendus või eraõiguslik isik, kellele on vähemalt üks kõnealune asutus, isik või ühendus andnud õiguse osutada avalikke teenuseid, kui ta tegutseb kõnealust õigust teostades;

8)	„avalik-õiguslik isik” – Euroopa Parlamendi ja nõukogu direktiivi 2014/24/EL ( 2 ) artikli 2 lõike 1 punktis 4 määratletud isik;

9)	„allkirja andja” – e-allkirja andnud füüsiline isik;

10)	„e-allkiri” – elektroonilised andmed, mis on lisatud muudele elektroonilistele andmetele või on nendega loogiliselt seotud ja mida allkirja andja kasutab allkirja andmiseks;

11)	„täiustatud e-allkiri” – e-allkiri, mis vastab artiklis 26 sätestatud nõuetele;

12)	„kvalifitseeritud e-allkiri” – täiustatud e-allkiri, mis antakse kvalifitseeritud e-allkirja andmise vahendi abil ja mis põhineb e-allkirja kvalifitseeritud sertifikaadil;

13)	„e-allkirja andmiseks vajalikud andmed” – ainulaadsed andmed, mida allkirja andja kasutab e-allkirja andmiseks;

14)	„e-allkirja sertifikaat” – elektrooniline dokument, mis seob e-allkirja valideerimise andmed füüsilise isikuga ja kinnitab vähemalt selle isiku nime või varjunime;

15)	„e-allkirja kvalifitseeritud sertifikaat” – e-allkirja sertifikaat, mille väljastab kvalifitseeritud usaldusteenuse osutaja ja mis vastab I lisas sätestatud nõuetele;

▼M1

16)

„usaldusteenus” –

elektrooniline teenus, mida tavaliselt osutatakse tasu eest ja mis hõlmab üht järgmistest:

e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude usaldusteenuste osutamiseks vajalike sertifikaatide väljastamine;

e-allkirja sertifikaatide, e-templi sertifikaatide, veebisaidi autentimise sertifikaatide või muude usaldusteenuste osutamiseks vajalike sertifikaatide valideerimine;

e-allkirjade või e-templite loomine;

e-allkirjade või e-templite valideerimine;

e-allkirjade, e-templite, e-allkirja sertifikaatide või e-templi sertifikaatide säilitamine;

e-allkirja või e-templi kaugloomise vahendite haldamine;

elektrooniliste tõendite väljastamine;

elektrooniliste tõendite valideerimine;

e-ajatemplite loomine;

e-ajatemplite valideerimine;

registreeritud e-andmevahetusteenuste osutamine;

registreeritud e-andmevahetusteenuste kaudu edastatud andmete ja nendega seotud tõendite valideerimine;

elektrooniliste andmete ja e-dokumentide elektrooniline arhiveerimine;

elektrooniliste andmete kandmine elektroonilisse arvestusraamatusse;

▼B

17)	„kvalifitseeritud usaldusteenus” – usaldusteenus, mis vastab käesolevas määruses sätestatud kohaldatavatele nõuetele;

▼M1

18)

„vastavushindamisasutus” – määruse (EÜ) nr 765/2008 artikli 2 punktis 13 määratletud vastavushindamisasutus, mis on kooskõlas nimetatud määrusega akrediteeritud kui asutus, mis on pädev tegema kvalifitseeritud usaldusteenuse osutaja ja tema osutatavate kvalifitseeritud usaldusteenuste vastavushindamist või on pädev sertifitseerima Euroopa digiidentiteedikukruid või e-identimise vahendeid;

▼B

19)	„usaldusteenuse osutaja” – füüsiline või juriidiline isik, kes osutab üht või mitut usaldusteenust kas kvalifitseeritud või kvalifitseerimata usaldusteenuse osutajana;

20)	„kvalifitseeritud usaldusteenuse osutaja” – usaldusteenuse osutaja, kes osutab üht või mitut kvalifitseeritud usaldusteenust ning kellele järelevalveasutus on andnud kvalifitseeritud staatuse;

▼M1

21)	„toode” – riist- või tarkvara või riist- või tarkvara asjakohased osad, mis on ette nähtud e-identimiseks ja usaldusteenuste osutamiseks;

▼B

22)	„e-allkirja andmise vahend” – seadistatud tark- või riistvara, mida kasutatakse e-allkirja andmiseks;

23)	„kvalifitseeritud e-allkirja andmise vahend” – e-allkirja andmise vahend, mis vastab II lisas sätestatud nõuetele;

▼M1

23a)	„kvalifitseeritud e-allkirja kaugloomise vahend” – kvalifitseeritud e-allkirja andmise vahend, mida kvalifitseeritud usaldusteenuse osutaja haldab allkirja andja nimel vastavalt artiklile 29a;

23b)	„kvalifitseeritud e-templi kaugloomise vahend” – kvalifitseeritud e-templi loomise vahend, mida kvalifitseeritud usaldusteenuse osutaja haldab templi looja nimel vastavalt artiklile 39a;

▼B

24)	„templi andja” – e-templi loonud juriidiline isik;

25)	„e-tempel” – elektroonilised andmed, mis on lisatud muudele elektroonilistele andmetele või on nendega loogiliselt seotud ja mis tagavad viimatinimetatud andmete päritolu ja tervikluse;

26)	„täiustatud e-tempel” – e-tempel, mis vastab artiklis 36 sätestatud nõuetele;

27)	„kvalifitseeritud e-tempel” – täiustatud e-tempel, mis luuakse kvalifitseeritud e-templi loomise vahendi abil ja mis põhineb e-templi kvalifitseeritud sertifikaadil;

28)	„e-templi loomiseks vajalikud andmed” – ainulaadsed andmed, mida e-templi andja kasutab e-templi loomiseks;

29)	„e-templi sertifikaat” – elektrooniline dokument, mis seob e-templi valideerimise andmed juriidilise isikuga ja kinnitab selle isiku nime;

30)	„e-templi kvalifitseeritud sertifikaat” – e-templi sertifikaat, mille väljastab kvalifitseeritud usaldusteenuse osutaja ja mis vastab III lisas sätestatud nõuetele;

31)	„e-templi loomise vahend” – seadistatud tark- või riistvara, mida kasutatakse e-templi loomiseks;

32)	„kvalifitseeritud e-templi loomise vahend” – e-templi loomise vahend, mis vastab mutatis mutandis II lisas sätestatud nõuetele;

33)	„e-ajatempel” – elektroonilised andmed, mis seovad muud elektroonilised andmed kindla ajahetkega ja tõendavad, et viimatinimetatud andmed olid sel ajahetkel olemas;

34)	„kvalifitseeritud e-ajatempel” – e-ajatempel, mis vastab artiklis 42 sätestatud nõuetele;

35)	„e-dokument” – mis tahes sisu, mida säilitatakse elektroonilisel kujul, eelkõige teksti või heli visuaal- või audiovisuaalsalvestisena;

36)	„registreeritud e-andmevahetusteenus” – teenus, mis võimaldab edastada kolmandate isikute vahel andmeid elektrooniliselt, tõendab edastatud andmete käitamist, sealhulgas andmete saatmist ja kättesaamist, ning kaitseb edastatud andmeid kadumise, varguse, kahjustamise või lubamatu muutmise eest;

37)	„kvalifitseeritud registreeritud e-andmevahetusteenus” – registreeritud e-andmevahetusteenus, mis vastab artiklis 44 sätestatud nõuetele;

▼M1

38)	„veebisaidi autentimise sertifikaat” – elektrooniline tõend, mis võimaldab autentida veebisaiti ja seob selle füüsilise või juriidilise isikuga, kellele sertifikaat on väljastatud;

▼B

39)	„kvalifitseeritud sertifikaat veebisaidi autentimiseks” – sertifikaat veebisaidi autentimiseks, mille on väljastanud kvalifitseeritud usaldusteenuse osutaja ja mis vastab IV lisas sätestatud nõuetele;

40)	„valideerimisandmed” – andmed, mida kasutatakse e-allkirja või e-templi valideerimiseks;

▼M1

41)	„valideerimine” – protsess, mille käigus kontrollitakse ja kinnitatakse, et elektroonilised andmed on käesoleva määruse kohaselt kehtivad.

▼M1

42)

„Euroopa digiidentiteedikukkur” – e-identimise vahend, mis võimaldab kasutajal turvaliselt salvestada, hallata ja valideerida isikutuvastusandmeid ja elektroonilisi tõendeid, et esitada neid tuginevatele isikutele ja teistele Euroopa digiidentiteedikukrute kasutajatele, ning allkirjastada kvalifitseeritud e-allkirjaga või kinnitada kvalifitseeritud e-templiga;

43)	„atribuut” – füüsilise või juriidilise isiku või eseme tunnus, omadus, õigus või luba;

44)	„elektrooniline tõend” – elektrooniline tõend, mis võimaldab atribuute autentida;

45)	„kvalifitseeritud elektrooniline tõend” – elektrooniline tõend, mille on väljastanud kvalifitseeritud usaldusteenuse osutaja ja mis vastab V lisas sätestatud nõuetele;

46)

„autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektrooniline tõend” – elektrooniline tõend, mille on välja andnud autentse allika eest vastutav avaliku sektori asutus või avaliku sektori asutus, kelle liikmesriik on määranud välja andma selliseid tõendeid autentsete allikate eest vastutavate avaliku sektori asutuste nimel kooskõlas artikliga 45f ja VII lisaga;

47)

„autentne allikas” – avaliku sektori asutuse või eraõigusliku isiku vastutusel olev andmehoidla või süsteem, mis sisaldab ja pakub füüsilise või juriidilise isiku või eseme atribuute ja mida peetakse selle teabe peamiseks allikaks või mis on liidu või riigisisese õiguse, sealhulgas haldustava kohaselt tunnustatud autentsena;

48)	„elektrooniline arhiveerimine” – teenus, millega tagatakse elektrooniliste andmete ja e-dokumentide vastuvõtmine, säilitamine, otsimine ja kustutamine, et tagada nende säilivus ja loetavus ning säilitada nende terviklus, konfidentsiaalsus ja päritolutõend kogu säilitamisaja jooksul;

49)	„kvalifitseeritud elektroonilise arhiveerimise teenus” – elektroonilise arhiveerimise teenus, mida osutab kvalifitseeritud usaldusteenuse osutaja ja mis vastab artiklis 45j sätestatud nõuetele;

50)	„ELi digiidentiteedikukru usaldusmärk” – selgelt esitatud kontrollitav, lihtne ja äratuntav märge selle kohta, et Euroopa digiidentiteedikukrut pakutakse kooskõlas käesoleva määrusega;

51)

„tugev kasutaja autentimine” – autentimine, mille käigus kasutatakse vähemalt kahte erineva kategooria autentimistegurit, mis kuuluvad teadmise (miski, mida teab üksnes kasutaja), valdamise (miski, mida valdab üksnes kasutaja) või tunnuse (miski, mis on kasutajale omane) kategooriasse ja on sõltumatud, nii et turvarikkumine neist ühe puhul ei kahjustaks teiste usaldusväärsust, ning mille ülesehitus võimaldab kaitsta autentimisandmete konfidentsiaalsust;

52)	„elektrooniline arvestusraamat” – elektrooniliste andmekirjete jada, mis tagab nende kirjete tervikluse ja nende kirjete kronoloogilise järjestuse täpsuse;

53)	„kvalifitseeritud elektrooniline arvestusraamat” – elektrooniline arvestusraamat, mille teeb kättesaadavaks kvalifitseeritud usaldusteenuse osutaja ja mis vastab artiklis 45l sätestatud nõuetele;

54)	„isikuandmed” – igasugune määruse (EL) 2016/679 artikli 4 punktis 1 määratletud teave;

55)	„identiteedi ühitamine” – protsess, mille käigus isikutuvastusandmed või e-identimise vahendid ühendatakse või seotakse samale isikule kuuluva olemasoleva kontoga;

56)	„andmekirje” – elektroonilised andmed, mis on salvestatud koos seotud metaandmetega, mis toetavad andmete töötlemist;

57)	„võrguväline” – Euroopa digiidentiteedikukrute puhul kasutaja ja kolmanda isiku vaheline suhtlus füüsilises asukohas, kasutades lähisidetehnoloogiat, mille puhul ei ole digiidentiteedikukrul vaja suhtluse eesmärgil elektroonilise side võrkude kaudu kaugsüsteemidele juurde pääseda.

▼B

Artikkel 4

Siseturu põhimõtted

Liikmesriigi territooriumil ei piirata teises liikmesriigis asuva usaldusteenuse osutaja usaldusteenuste osutamist põhjustel, mis kuuluvad käesoleva määrusega hõlmatud valdkondadesse.

Käesoleva määrusega kooskõlas olevatel toodetel ja usaldusteenustel lubatakse siseturul vabalt ringelda.

▼M1

Artikkel 5

Varjunimed e-tehingute tegemisel

Ilma et see piiraks kasutajate suhtes kohaldatavate endi identimise nõuet käsitlevate liidu või riigisisese õiguse kohaste erinormide kohaldamist või riigisisese õiguse kohast varjunimede õiguslikku toimet, ei keelata e-tehingute tegemisel kasutaja valitud varjunimede kasutamist.

▼B

PEATÜKK

E-IDENTIMINE

▼M1

1. JAGU

euroopa digiidentiteedikukkur

Artikkel 5a

Euroopa digiidentiteedikukrud

Tagamaks, et kõigil liidu füüsilistel ja juriidilistel isikutel on turvaline, usaldusväärne ja sujuv piiriülene juurdepääs avalikele ja erasektori teenustele, omades seejuures täielikku kontrolli oma andmete üle, teeb iga liikmesriik 24 kuu jooksul käesoleva artikli lõikes 23 ja artikli 5c lõikes 6 osutatud rakendusaktide jõustumise kuupäevast kättesaadavaks vähemalt ühe Euroopa digiidentiteedikukru.

Euroopa digiidentiteedikukkur tehakse kättesaadavaks ühel või mitmel järgmisel viisil:

vahetult liikmesriigi poolt;

liikmesriigi antud volituse alusel;

liikmesriigist sõltumatult, kuid liikmesriik tunnustab seda.

Euroopa digiidentiteedikukrute rakendustarkvara komponentide lähtekood on avatud lähtekood. Liikmesriigid võivad ette näha, et igakülgselt põhjendatud juhtudel ei avalikustata muude kui kasutajaseadmetele paigaldatud konkreetsete komponentide lähtekoodi.

Euroopa digiidentiteedikukrud võimaldavad kasutajal kasutajasõbralikul, läbipaistval ja kasutaja poolt jälgitaval viisil

turvaliselt taotleda, saada, valida, kombineerida, salvestada, kustutada, jagada ja esitada kasutaja ainukontrolli all isikutuvastusandmeid, ning kui see on kohaldatav, koos elektrooniliste tõenditega autentida tuginevate isikute jaoks võrgus ja asjakohasel juhul võrguväliselt, et pääseda juurde avalikele ja erasektori teenustele, tagades samal ajal andmete valikulise avaldamise võimaluse;

luua varjunimesid ja salvestada need krüpteerituna ja lokaalselt Euroopa digiidentiteedikukrus;

turvaliselt autentida teise isiku Euroopa digiidentiteedikukrut ning saada ja vahetada isikutuvastusandmeid ja elektroonilisi tõendeid turvalisel viisil kahe Euroopa digiidentiteedikukru vahel;

saada juurdepääsu kõigi Euroopa digiidentiteedikukru kaudu tehtud tehingute logile ühise töölaua kaudu, mis võimaldab kasutajal

vaadata ajakohastatud selliste tuginevate isikute loetelu, kellega kasutaja on loonud ühenduse, ja kui see on kohaldatav, kõiki vahetatud andmeid;

ii)

taotleda tuginevalt isikult hõlpsasti isikuandmete kustutamist vastavalt määruse (EL) 2016/679 artiklile 17;

iii)

teatada hõlpsasti tuginevast isikust pädevale riiklikule andmekaitseasutusele, kui on saadud väidetavalt ebaseaduslik või kahtlane taotlus andmete saamiseks;

allkirjastada kvalifitseeritud e-allkirjaga või kinnitada kvalifitseeritud e-templiga;

laadida alla kasutaja andmeid, elektroonilisi tõendeid ja konfiguratsioone tehniliselt mõistlikus ulatuses;

kasutada kasutaja õigust andmete ülekantavusele.

Euroopa digiidentiteedikukrud peavad eelkõige

toetama ühiseid protokolle ja liideseid, et

väljastada Euroopa digiidentiteedikukrule isikutuvastusandmeid, kvalifitseeritud ja kvalifitseerimata elektroonilisi tõendeid või kvalifitseeritud ja kvalifitseerimata sertifikaate;

ii)

tuginevatel isikutel oleks võimalik taotleda ja valideerida isikutuvastusandmeid ja elektroonilisi tõendeid;

iii)

jagada ja esitada tuginevatele isikutele võrgus ja asjakohasel juhul võrguväliselt isikutuvastusandmeid, elektroonilisi tõendeid või valikuliselt avaldatud seotud andmeid;

iv)

kasutajal oleks võimalik suhelda Euroopa digiidentiteedikukruga ja kuvada ELi digiidentiteedikukru usaldusmärki;

kasutaja turvaliselt aktiveerida, kasutades artikli 5a lõike 24 kohast e-identimise vahendit;

vi)

suhelda kahe isiku Euroopa digiidentiteedikukruga eesmärgiga saada, vahetada ja valideerida isikutuvastusandmeid ja elektroonilisi tõendeid turvalisel viisil;

vii)

autentida ja identifitseerida tuginevaid isikuid, rakendades autentimismehhanisme kooskõlas artikliga 5b;

viii)

tuginevad isikud saaksid kontrollida Euroopa digiidentiteedikukru autentsust ja kehtivust;

ix)

tuginevalt isikult saaks taotleda isikuandmete kustutamist vastavalt määruse (EL) 2016/679 artiklile 17;

tuginevast isikust saaks teatada pädevale riiklikule andmekaitseasutusele, kui on saadud väidetavalt ebaseaduslik või kahtlane taotlus andmete saamiseks;

xi)

võimaldada luua kvalifitseeritud e-allkirju või e-templeid kvalifitseeritud e-allkirja andmise või e-templi loomise vahendite abil;

mitte andma elektrooniliste tõendite usaldusteenuste osutajatele mingit teavet nende elektrooniliste tõendite kasutamise kohta;

tagama, et tuginevaid isikuid saab autentida ja identifitseerida, rakendades autentimismehhanisme kooskõlas artikliga 5b;

vastama artiklis 8 sätestatud nõuetele kõrge usaldusväärsuse taseme kohta, eelkõige seoses identiteedi tõendamise ja kontrollimise ning e-identimise vahendite haldamise ja autentimise nõuetega;

rakendama integreeritud avalikustamispoliitikaga elektrooniliste tõendite korral asjakohast mehhanismi, et teavitada kasutajat sellest, et tugineval isikul või kõnealust elektroonilist tõendit taotleval Euroopa digiidentiteedikukru kasutajal on tõendile juurdepääsuks luba;

tagama, et isikutuvastusandmed, mis on kättesaadavad e-identimise süsteemi kaudu, mille alusel Euroopa digiidentiteedikukrut pakutakse, tähistavad üheselt füüsilist isikut, juriidilist isikut või füüsilist või juriidilist isikut esindavat füüsilist isikut ning on seotud selle Euroopa digiidentiteedikukruga;

pakkuma kõigile füüsilistele isikutele vaikimisi ja tasuta võimalust anda allkiri kvalifitseeritud e-allkirjana.

Olenemata esimese lõigu punktist g võivad liikmesriigid ette näha proportsionaalsed meetmed tagamaks, et kvalifitseeritud e-allkirjade tasuta kasutamine füüsiliste isikute poolt piirdub mittekutseliste eesmärkidega.

Liikmesriigid teavitavad viivitamata kasutajaid igast turvarikkumisest, mis võis täielikult või osaliselt kahjustada nende Euroopa digiidentiteedikukrut või selle sisu, ning eelkõige juhul, kui nende Euroopa digiidentiteedikukru kehtivus on artikli 5e kohaselt peatatud või see on kehtetuks tunnistatud.

Ilma et see piiraks artikli 5f kohaldamist, võivad liikmesriigid kooskõlas riigisisese õigusega näha ette Euroopa digiidentiteedikukrute lisafunktsioonid, sealhulgas koostalitlusvõime olemasolevate riiklike e-identimise vahenditega. Need lisafunktsioonid peavad vastama käesolevale artiklile.

Liikmesriigid pakuvad tasuta valideerimismehhanisme, et

Euroopa digiidentiteedikukrute autentsust ja kehtivust saab kontrollida;

võimaldada kasutajatel kontrollida artikli 5b kohaselt registreeritud tuginevate isikute identiteedi autentsust ja kehtivust.

Liikmesriigid tagavad, et Euroopa digiidentiteedikukru saab kehtetuks tunnistada järgmistel juhtudel:

kasutaja sõnaselge taotluse korral;

kui Euroopa digiidentiteedikukru turvalisust on kahjustatud;

kasutaja surma või juriidilise isiku tegevuse lõppemise korral.

10.

Euroopa digiidentiteedikukrute pakkujad tagavad, et kasutajad saavad hõlpsasti taotleda tehnilist tuge ja teatada tehnilistest probleemidest või muudest intsidentidest, millel on negatiivne mõju Euroopa digiidentiteedikukru kasutamisele.

11.

Euroopa digiidentiteedikukruid pakutakse kõrge usaldusväärsuse tasemega e-identimise süsteemi alusel.

12.

Euroopa digiidentiteedikukrul on lõimitud turve.

13.

Euroopa digiidentiteedikukrud väljastatakse, neid kasutatakse ja need tunnistatakse kõigi füüsiliste isikute jaoks kehtetuks tasuta.

14.

Kasutajatel on täielik kontroll oma Euroopa digiidentiteedikukru kasutamise ja selles sisalduvate andmete üle. Euroopa digiidentiteedikukru pakkuja ei kogu Euroopa digiidentiteedikukru kasutamise kohta teavet, mida ei ole vaja Euroopa digiidentiteedikukru teenuste osutamiseks, ega kombineeri isikutuvastusandmeid või muid salvestatud või Euroopa digiidentiteedikukru kasutamisega seotud isikuandmeid selliste isikuandmetega, mis pärinevad selle pakkuja pakutavatest muudest teenustest või kolmandate isikute pakutavatest teenustest ja mida ei ole vaja Euroopa digiidentiteedikukru teenuste osutamiseks, välja arvatud juhul, kui kasutaja on sõnaselgelt teisiti taotlenud. Euroopa digiidentiteedikukrute pakkumisega seotud isikuandmeid hoitakse loogiliselt lahus kõigist muudest Euroopa digiidentiteedikukru pakkuja valduses olevatest andmetest. Kui Euroopa digiidentiteedikukrut pakub eraõiguslik isik vastavalt käesoleva artikli lõike 2 punktidele b ja c, kohaldatakse artikli 45h lõiget 3 mutatis mutandis.

15.

Euroopa digiidentiteedikukrute kasutamine on vabatahtlik. Euroopa digiidentiteedikukruid mittekasutavate füüsiliste või juriidiliste isikute juurdepääsu avalikele ja erasektori teenustele ja tööturule ning ettevõtlusvabadust ei tohi mingil moel piirata ega takistada. Avalikele ja erasektori teenustele juurdepääs peab olema jätkuvalt võimalik ka muude olemasolevate identimis- ja autentimisvahendite abil.

16.

Euroopa digiidentiteedikukru tehniline raamistik

ei tohi võimaldada elektrooniliste tõendite pakkujatel ega muudel isikutel pärast atribuutide tõendamist saada andmeid, mis võimaldavad tehinguid või kasutaja käitumist jälgida, seostada, korreleerida või saada muul viisil teavet tehingute või kasutaja käitumise kohta, välja arvatud juhul, kui kasutaja on selleks sõnaselge loa andnud;

võimaldab privaatsuse säilitamise viise, mis tagavad seostamatuse, kui atribuutide tõendamine ei nõua kasutaja identimist.

17.

Isikuandmete töötlemine liikmesriigi poolt või liikmesriigi nimel selliste asutuste või isikute poolt, kes vastutavad Euroopa digiidentiteedikukrute e-identimise vahendina pakkumise eest, toimub kooskõlas asjakohaste ja mõjusate andmekaitsemeetmetega. Sellise töötlemise vastavust määrusele (EL) 2016/679 tuleb tõendada. Liikmesriigid võivad kehtestada riigisiseseid sätteid, et täpsustada selliste meetmete kohaldamist.

18.

Liikmesriigid edastavad komisjonile põhjendamatu viivituseta järgmise teabe:

asutus, kes vastutab Euroopa digiidentiteedikukrutele tuginevate registreeritud tuginevate isikute loetelu koostamise ja haldamise eest vastavalt artikli 5b lõikele 5, ja selle loetelu asukoht;

asutused, kes vastutavad Euroopa digiidentiteedikukrute pakkumise eest vastavalt artikli 5a lõikele 1;

asutused, kes vastutavad selle tagamise eest, et isikutuvastusandmed on seotud Euroopa digiidentiteedikukruga vastavalt artikli 5a lõike 5 punktile f;

mehhanism, mis võimaldab artikli 5a lõike 5 punktis f osutatud isikutuvastusandmeid ja tuginevate isikute identiteeti valideerida;

Euroopa digiidentiteedikukru autentsuse ja kehtivuse valideerimise mehhanism.

Komisjon teeb esimese lõigu kohaselt edastatud teabe turvalise kanali kaudu üldsusele kättesaadavaks elektrooniliselt allkirjastatud või e-templiga varustatud formaadis, mis sobib automaatseks töötlemiseks.

19.

Artiklit 11 kohaldatakse mutatis mutandis Euroopa digiidentiteedikukru suhtes, piiramata käesoleva artikli lõike 22 kohaldamist.

20.

Artikli 24 lõike 2 punkte b ning d–h kohaldatakse mutatis mutandis Euroopa digiidentiteedikukrute pakkujate suhtes.

21.

Euroopa digiidentiteedikukrud tehakse puuetega inimestele kasutamiseks ligipääsetavaks teiste kasutajatega võrdsetel alustel kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga (EL) 2019/882 ( 3 ).

22.

Euroopa digiidentiteedikukrute pakkumise eesmärgil ei kohaldata Euroopa digiidentiteedikukrute ja e-identimise süsteemide suhtes, mille raames neid pakutakse, artiklites 7, 9, 10, 12 ja 12a sätestatud nõudeid.

23.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõigetes 4, 5, 8 ja 18 osutatud nõuete jaoks, mis käsitlevad Euroopa digiidentiteedikukru rakendamist. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

24.

Komisjon kehtestab rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused, et hõlbustada Euroopa digiidentiteedikukru kasutajate jaoks aktiveerimist, kasutades kas kõrgele usaldusväärsuse tasemele vastavaid e-identimise vahendeid või märkimisväärsele usaldusväärsuse tasemele vastavaid e-identimise vahendeid koos täiendavate kaugaktiveerimismenetlustega, mis üheskoos vastavad kõrge usaldusväärsuse taseme nõuetele. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 5b

Euroopa digiidentiteedikukrule tuginevad isikud

Kui tuginev isik kavatseb tugineda Euroopa digiidentiteedikukrutele, et osutada avalikke või erateenuseid digitaalse suhtluse kaudu, registreerib tuginev isik end liikmesriigis, kus ta on asutatud.

Registreerimisprotsess peab olema kulutõhus ja riski suhtes proportsionaalne. Tuginev isik esitab vähemalt järgmise teabe:

teave, mida on vaja autentimiseks Euroopa digiidentiteedikukrute jaoks, mis hõlmab vähemalt järgmist:

liikmesriik, kus tuginev isik on asutatud, ning

ii)

tugineva isiku nimi ja kui see on olemas, siis tema ametlikus registris esitatud registreerimisnumber koos selle ametliku registri identimisandmetega;

tugineva isiku kontaktandmed;

Euroopa digiidentiteedikukrute kavandatud kasutus, sealhulgas viide andmetele, mida tuginev isik kasutajatelt taotleb.

Tuginevad isikud ei taotle kasutajatelt muude andmete esitamist kui need, millele on osutatud lõike 2 punktis c.

Lõiked 1 ja 2 ei piira liidu ega riigisisest õigust, mida kohaldatakse konkreetsete teenuste osutamise suhtes.

Liikmesriigid teevad lõikes 2 osutatud teabe veebis üldsusele kättesaadavaks elektrooniliselt allkirjastatud või e-templiga varustatud formaadis, mis sobib automaatseks töötlemiseks.

Käesoleva artikli kohaselt registreeritud tuginevad isikud teavitavad liikmesriike viivitamata lõike 2 kohaselt registreerimisel esitatud teabe muutumisest.

Liikmesriigid kehtestavad ühise mehhanismi, mis võimaldab tuginevad isikud identida ja autentida, nagu on osutatud artikli 5a lõike 5 punktis c.

Kui tuginevad isikud kavatsevad tugineda Euroopa digiidentiteedikukrutele, idendivad nad end kasutajale.

Tuginevad isikud vastutavad Euroopa digiidentiteedikukrutest taotletavate isikutuvastusandmete ja elektrooniliste tõendite autentimise ja valideerimise menetluse läbiviimise eest. Tuginevad isikud ei tohi olla vastu varjunimede kasutamisele, kui kasutaja identimine ei ole liidu või liikmesriigi õiguse kohaselt nõutav.

10.

Tuginevate isikute nimel tegutsevaid vahendajaid käsitatakse tuginevate isikutena ja nad ei tohi salvestada andmeid tehingu sisu kohta.

11.

Hiljemalt 21. novembriks 2024 kehtestab komisjon käesoleva artikli lõigetes 2, 5 ja 6–9 osutatud nõuete jaoks tehnilised kirjeldused ja menetlused artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukrute rakendamist. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 5c

Euroopa digiidentiteedikukrute sertifitseerimine

Liikmesriikide määratud vastavushindamisasutused sertifitseerivad Euroopa digiidentiteedikukrute ja e-identimise süsteemi, mille alusel neid pakutakse, vastavuse artikli 5a lõigetes 4, 5 ja 8 sätestatud nõuetele, artikli 5a lõikes 14 sätestatud loogiliselt lahus hoidmise nõudele, ning kui see on kohaldatav, artikli 5a lõikes 24 osutatud standarditele ja tehnilistele kirjeldustele.

Euroopa digiidentiteedikukrute või nende osade vastavuskäesoleva artikli lõikes 1 osutatud nõuetele, mis puudutavad küberturvalisust, sertifitseeritakse kooskõlas Euroopa küberturvalisuse sertifitseerimise kavadega, mis on vastu võetud Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 ( 4 ) kohaselt ja millele viidatakse käesoleva artikli lõikes 6 osutatud rakendusaktides.

Käesoleva artikli lõikes 1 osutatud nõuete puhul, mis ei puuduta küberturvalisust, ja käesoleva artikli lõikes 1 osutatud nõuete puhul, mis puudutavad küberturvalisust, niivõrd kui käesoleva artikli lõikes 2 osutatud küberturvalisuse sertifitseerimise kavad ei hõlma või hõlmavad üksnes osaliselt asjakohaseid küberturvalisuse nõudeid seoses nimetatud nõuetega, kehtestavad liikmesriigid riiklikud sertifitseerimiskavad, järgides käesoleva artikli lõikes 6 osutatud rakendusaktides sätestatud nõudeid. Liikmesriigid edastavad oma riiklike sertifitseerimiskavade kavandid artikli 46e lõike 1 kohaselt loodud Euroopa digiidentiteedi koostöörühmale (edaspidi „koostöörühm“). Koostöörühm võib esitada arvamusi ja soovitusi.

Lõike 1 kohane sertifitseerimine kehtib kuni viis aastat, tingimusel et iga kahe aasta järel viiakse läbi nõrkuste hindamine. Kui tehakse kindlaks nõrkus ja seda ei kõrvaldata õigeks ajaks, sertifitseerimine tühistatakse.

Isikuandmete töötlemise toimingutega seotud käesoleva määruse artiklis 5a sätestatud nõuete täitmist võib tõendada määruse (EL) 2016/679 kohaselt.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõigetes 1, 2 ja 3 osutatud Euroopa digiidentiteedikukrute sertifitseerimise jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Liikmesriigid teatavad komisjonile lõikes 1 osutatud vastavushindamisasutuste nimed ja aadressid. Komisjon teeb selle teabe kõigile liikmesriikidele kättesaadavaks.

Komisjonil on õigus võtta kooskõlas artikliga 47 vastu delegeeritud õigusakte, millega kehtestatakse konkreetsed kriteeriumid, millele käesoleva artikli lõikes 1 osutatud vastavushindamisasutused peavad vastama.

Artikkel 5d

Sertifitseeritud Euroopa digiidentiteedikukrute loetelu avaldamine

Liikmesriigid teatavad komisjonile ja artikli 46e lõike 1 kohaselt loodud koostöörühmale põhjendamatu viivituseta Euroopa digiidentiteedikukrutest, mis on tehtud kättesaadavaks artikli 5a kohaselt ja mille on sertifitseerinud artikli 5c lõikes 1 osutatud vastavushindamisasutused. Nad teavitavad komisjoni ja artikli 46e lõike 1 kohaselt loodud koostöörühma põhjendamatu viivituseta sertifitseerimise tühistamisest ja esitavad tühistamise põhjused.

Piiramata artikli 5a lõike 18 kohaldamist, sisaldab käesoleva artikli lõikes 1 osutatud liikmesriikide esitatav teave vähemalt järgmist:

sertifitseeritud Euroopa digiidentiteedikukru sertifikaat ja sertifitseerimise hindamisaruanne;

selle e-identimise süsteemi kirjeldus, mille alusel Euroopa digiidentiteedikukrut pakutakse;

kohaldatav järelevalvekord ja Euroopa digiidentiteedikukru pakkuja vastutuskorda puudutav teave;

e-identimise süsteemi eest vastutav asutus või vastutavad asutused;

teavitatud e-identimise süsteemi, autentimise või asjaomase osa, mille turvalisust on kahjustatud, peatamise või kehtetuks tunnistamise kord.

Lõike 1 kohaselt saadud teabe põhjal koostab komisjon sertifitseeritud Euroopa digiidentiteedikukrute loetelu, avaldab selle Euroopa Liidu Teatajas ja hoiab seda masinloetavas formaadis.

Liikmesriik võib komisjonile esitada taotluse jätta Euroopa digiidentiteedikukkur ja e-identimise süsteem, mille alusel seda pakutakse, lõikes 3 osutatud loetelust välja.

Kui lõike 1 kohaselt esitatud teavet muudetakse, esitab liikmesriik komisjonile ajakohastatud teabe.

Komisjon ajakohastab lõikes 3 osutatud loetelu, avaldades vastavad muudatused Euroopa Liidu Teatajas ühe kuu jooksul alates lõike 4 kohase taotluse või lõike 5 kohase ajakohastatud teabe kättesaamisest.

Hiljemalt 21. novembriks 2024 kehtestab komisjon käesoleva artikli lõigete 1, 4 ja 5 kohaldamisega seotud formaadid ja menetlused artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukrute rakendamist. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 5e

Euroopa digiidentiteedikukrute turvarikkumine

Kui artikli 5a kohaselt pakutavate Euroopa digiidentiteedikukrute, artikli 5a lõikes 8 osutatud valideerimismehhanismi või e-identimise süsteemi, mille alusel pakutakse Euroopa digiidentiteedikukruid, turvalisust rikutakse või neid on osaliselt kahjustatud viisil, mis mõjutab nende usaldusväärsust või muude Euroopa digiidentiteedikukrute usaldusväärsust, peatab digiidentiteedikukruid kättesaadavaks teinud liikmesriik põhjendamatu viivituseta Euroopa digiidentiteedikukrute kättesaadavaks tegemise ja kasutamise.

Liikmesriik kõrvaldab viivitamata Euroopa digiidentiteedikukrud kasutuselt, kui see on esimeses lõigus osutatud turvarikkumise või kahjustamise tõsidusest lähtudes põhjendatud.

Liikmesriik teavitab sellest mõjutatud kasutajaid, artikli 46c lõike 1 kohaselt määratud ühtseid kontaktpunkte, tuginevaid isikuid ja komisjoni.

Kui käesoleva artikli lõike 1 esimeses lõigus osutatud turvarikkumist või kahjustamist ei kõrvaldata kolme kuu jooksul alates peatamisest, kõrvaldab Euroopa digiidentiteedikukruid kättesaadavaks teinud liikmesriik Euroopa digiidentiteedikukrud kasutuselt ja tunnistab need kehtetuks. Liikmesriik teavitab mõjutatud kasutajaid sellisest kasutuselt kõrvaldamisest, artikli 46c lõike 1 kohaselt määratud ühtseid kontaktpunkte, tuginevaid isikuid ja komisjoni.

Pärast käesoleva artikli lõike 1 esimeses lõigus osutatud turvarikkumise või kahjustamise kõrvaldamist taastab digiidentiteedikukruid kättesaadavaks teinud liikmesriik Euroopa digiidentiteedikukrute kättesaadavaks tegemise ja kasutamise ning teavitab sellest põhjendamatu viivituseta mõjutatud kasutajaid ja tuginevaid isikuid, artikli 46c lõike 1 kohaselt määratud ühtset kontaktpunkti ja komisjoni.

Komisjon avaldab artiklis 5d osutatud loetelus tehtud vastavad muudatused põhjendamatu viivituseta Euroopa Liidu Teatajas.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõigetes 1, 2 ja 3 osutatud meetmete jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 5f

Piiriülene tuginemine Euroopa digiidentiteedikukrutele

Kui liikmesriigid nõuavad avaliku sektori asutuse osutatavale internetipõhisele teenusele juurdepääsuks e-identimist ja e-autentimist, aktsepteerivad nad ka käesoleva määruse kohaselt pakutavaid Euroopa digiidentiteedikukruid.

Kui teenuseid osutavad erasektori tuginevad isikud, välja arvatud komisjoni soovituse 2003/361/EÜ ( 5 ) lisa artiklis 2 määratletud mikroettevõtjad ja väikeettevõtjad, peavad liidu või riigisisese õiguse kohaselt kasutama veebis identimise korral tugevat kasutaja autentimist või kui tugev kasutaja autentimine veebis identimise korral on nõutav lepinguliste kohustuste kohaselt, muu hulgas sellistes valdkondades nagu transport, energeetika, pangandus, finantsteenused, sotsiaalkindlustus, tervishoid, joogivesi, postiteenused, digitaristu, haridus või telekommunikatsioon, peavad need erasektori tuginevad isikud hiljemalt 36 kuu möödumisel artikli 5a lõikes 23 ja artikli 5c lõikes 6 osutatud rakendusaktide jõustumisest ja üksnes kasutaja vabatahtliku taotluse korral aktsepteerima ka käesoleva määruse kohaselt pakutavaid Euroopa digiidentiteedikukruid.

Kui Euroopa Parlamendi ja nõukogu määruse (EL) 2022/2065 ( 6 ) artiklis 33 osutatud väga suured digiplatvormid nõuavad kasutaja autentimist juurdepääsuks internetipõhistele teenustele, aktsepteerivad ja hõlbustavad nad kasutaja autentimiseks ka käesoleva määrusega kooskõlas pakutavate Euroopa digiidentiteedikukrute kasutamist üksnes kasutaja vabatahtliku taotluse korral ja selliste miinimumandmete osas, mida on vaja konkreetse internetipõhise teenuse jaoks, millega seoses autentimist nõutakse.

Komisjon hõlbustab koostöös liikmesriikidega tegevusjuhendite väljatöötamist tihedas koostöös kõigi asjaomaste sidusrühmadega, sealhulgas kodanikuühiskonnaga, et aidata kaasa Euroopa digiidentiteedikukrute laialdasele kättesaadavusele ja kasutatavusele käesoleva määruse kohaldamisalas ning julgustada teenuseosutajaid tegevusjuhendite väljatöötamise lõpule viima.

Komisjon hindab 24 kuu jooksul alates Euroopa digiidentiteedikukrute kasutuselevõtust Euroopa digiidentiteedikukrute nõudlust, kättesaadavust ja kasutatavust, võttes arvesse selliseid kriteeriume nagu kasutuselevõtt kasutajate poolt, teenuseosutajate piiriülene tegevus, tehnoloogia areng, kasutusharjumuste areng ja tarbijanõudlus.

2. JAGU

e-identimise süsteemid

▼B

Artikkel 6

Vastastikune tunnustamine

Kui ühes liikmesriigis nõutakse vastavalt siseriiklikule õigusele või haldustavale avaliku sektori asutuse osutatavale internetipõhisele teenusele juurdepääsuks e-identimist e-identimise vahendi abil ja e-autentimist, tunnustatakse selles liikmesriigis teises liikmesriigis väljastatud e-identimise vahendit kõnealuse internetipõhise teenuse piiriüleseks autentimiseks, kui täidetud on järgmised tingimused:

e-identimise vahend on väljastatud e-identimise süsteemi kohaselt, mis on kantud komisjoni poolt vastavalt artiklile 9 avaldatud nimekirja;

e-identimise vahendi usaldusväärsuse tase vastab usaldusväärsuse tasemele, mida avaliku sektori asutus nõuab kõnealusele internetipõhisele teenusele juurdepääsuks esimesena nimetatud liikmesriigis, või on sellest usaldusväärsuse tasemest kõrgem, eeldusel et selle e-identimise vahendi usaldusväärsuse tase on märkimisväärne või kõrge;

asjaomane avaliku sektori asutus kasutab kõnealusele internetipõhisele teenusele juurdepääsuks usaldusväärsuse taset, mille tase on märkimisväärne või kõrge.

Tunnustamine toimub hiljemalt 12 kuud pärast seda, kui komisjon avaldab esimese lõigu punktis a osutatud nimekirja.

E-identimise vahendit, mis on väljastatud komisjoni poolt vastavalt artiklile 9 avaldatud nimekirjas oleva süsteemi kohaselt ning mille usaldusväärsuse tase on madal, võivad avaliku sektori asutused tunnustada nende asutuste osutatavate internetipõhiste teenuste piiriülese autentimise eesmärgil.

Artikkel 7

E-identimise süsteemidest teavitamise tingimused

E-identimise süsteemist saab vastavalt artikli 9 lõikele 1 teavitada juhul, kui täidetud on kõik järgmised tingimused:

e-identimise süsteemi kuuluv e-identimise vahend on väljastatud:

teatava liikmesriigi poolt;

ii)

teavitava liikmesriigi volituse alusel või

iii)

sõltumatult teavitavast liikmesriigist ning see liikmesriik tunnustab seda;

e-identimise süsteemi kuuluvat e-identimise vahendit saab kasutada juurdepääsuks vähemalt ühele teenusele, mida osutab avaliku sektori asutus ja mis eeldab teavitavas liikmesriigis e-identimist;

e-identimise süsteem ja selle kohaselt väljastatud e-identimise vahend vastavad vähemalt ühe usaldusväärsuse taseme nõuetele, mis on sätestatud artikli 8 lõikes 3 osutatud rakendusaktis;

teavitav liikmesriik tagab, et ainulaadsed kõnealust isikut tähistavad isikutuvastusandmed omistatakse artikli 3 punktis 1 osutatud füüsilisele või juriidilisele isikule sellesse süsteemi kuuluva e-identimise vahendi väljastamisel kooskõlas tehniliste kirjelduste, standardite ja menetlustega, mis on artikli 8 lõikes 3 osutatud rakendusaktis ette nähtud asjakohase usaldusväärsuse taseme jaoks;

sellesse süsteemi kuuluvat e-identimise vahendit väljastav osaline tagab e-identimise vahendi omistamise käesoleva artikli punktis d osutatud isikule kooskõlas tehniliste kirjelduste, standardite ja menetlustega, mis on artikli 8 lõikes 3 osutatud rakendusaktis ette nähtud asjakohase usaldusväärsuse taseme jaoks;

teavitav liikmesriik tagab internetipõhise autentimise võimaluse nii, et teise liikmesriigi territooriumil asuv tuginev isik saab kinnitada elektrooniliselt saadud isikutuvastusandmeid.

Teavitav liikmesriik võib kindlaks määrata kõnealusee autentimise kasutustingimused tuginevatele isikutele, kes ei ole avaliku sektori asutused. Piiriülene autentimine on tasuta, kui autenditakse avaliku sektori asutuse internetipõhist teenust.

Liikmesriigid ei kehtesta autentimiskavatsusega tuginevate isikute suhtes ebaproportsionaalseid tehnilisi tingimusi, mis takistavad või raskendavad märkimisväärselt teavitatud e-identimise süsteemide koosvõimet;

▼M1

vähemalt kuus kuud enne artikli 9 lõike 1 kohast teavitamist esitab teavitav liikmesriik teistele liikmesriikidele artikli 12 lõike 5 kohaldamise eesmärgil selle süsteemi kirjelduse artikli 12 lõikes 6 kohaselt vastu võetud rakendusaktidega kehtestatud menetluse kohaselt;

▼B

e-identimise süsteem vastab artikli 12 lõikes 8 osutatud rakendusaktis sätestatud nõuetele.

Artikkel 8

E-identimise süsteemide usaldusväärsuse tasemed

E-identimise süsteemis, millest on teavitatud artikli 9 lõike 1 kohaselt, määratakse süsteemi raames väljastatud e-identimise vahenditele madal, märkimisväärne ja/või kõrge usaldusväärsuse tase.

Madal, märkimisväärne ja kõrge usaldusväärsuse tase vastab järgmistele nõuetele:

madal usaldusväärsuse tase osutab e-identimise süsteemi kuuluvale e-identimise vahendile, mis on isiku väidetava või tema poolt kinnitatud isikusamasuse tuvastamiseks piiratud määral usaldusväärne ning mille kirjeldamisel osutatakse sellega seotud tehnilistele kirjeldustele, standarditele ja menetlustele, sealhulgas tehnilisele kontrollile, mille eesmärk on vähendada isikuandmete väärkasutamise või muutmise ohtu;

märkimisväärne usaldusväärsuse tase osutab e-identimise süsteemi kuuluvale e-identimise vahendile, mis on isiku väidetava või tema poolt kinnitatud isikusamasuse tuvastamiseks olulisel määral usaldusväärne ning mille kirjeldamisel osutatakse sellega seotud tehnilistele kirjeldustele, standarditele ja menetlustele, sealhulgas tehnilisele kontrollile, mille eesmärk on vähendada märkimisväärselt isikuandmete väärkasutamise või muutmise ohtu;

kõrge usaldusväärsuse tase osutab e-identimise süsteemi kuuluvale e-identimise vahendile, mis on isiku väidetava või tema poolt kinnitatud isikusamasuse tuvastamiseks kõrgema usaldusväärsuse tasemega kui märkimisväärse usaldusväärsuse tasemega e-identimise vahend ning mille kirjeldamisel osutatakse sellega seotud tehnilistele kirjeldustele, standarditele ja menetlustele, sealhulgas tehnilisele kontrollile, mille eesmärk on hoida ära isikuandmete väärkasutamist või muutmist.

▼M1

Võttes arvesse asjakohaseid rahvusvahelisi standardeid ja tingimusel, et järgitakse lõikes 2 sätestatut, kehtestab komisjon 18. septembriks 2015 rakendusaktidega minimaalsed tehnilised kirjeldused, standardid ja menetlused, mille suhtes määratakse e-identimise vahendite jaoks kindlaks madal, märkimisväärne või kõrge usaldusväärsuse tase.

▼B

Nimetatud minimaalsed tehnilised kirjeldused, standardid ja menetlused kehtestatakse, kasutades lähtealusena järgmiste elementide usaldusväärsust ja kvaliteeti:

e-identimise vahendi väljastamist taotleva füüsilise või juriidilise isiku isikusamasuse tõendamise ja kontrollimise menetlus;

taotletava e-identimise vahendi väljastamise menetlus;

autentimise mehhanism, kus füüsiline või juriidiline isik kasutab e-identimise vahendit selleks, et kinnitada oma isikusamasust tuginevale isikule;

e-identimise vahendit väljastav üksus;

muu asutus, kes osaleb e-identimise vahendi väljastamise taotlemises, ning

väljastatud e-identimise vahendite tehnilised kirjeldused ja turvaspetsifikaadid.

Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 9

Teavitamine

Teavitav liikmesriik edastab komisjonile järgmise teabe ja põhjendamatu viivituseta selle iga hilisema muudatuse:

e-identimise süsteemi kirjeldus. kaasa arvatud selle usaldusväärsuse tase ja sellesse süsteemi kuuluvate e-identimise vahendite väljastaja(d);

kohaldatav järelevalvekord ja järgmine vastutuskorda puudutav teave:

e-identimise vahendit väljastav osaline ning

ii)

autentimismenetlust läbiviiv osaline;

teavitatud e-identimise süsteemi eest vastutav asutus või vastutavad asutused;

teave ainulaadsete isikutuvastusandmete registreerimist haldava üksuse või haldavate üksuste kohta;

kirjeldus, kuidas täidetakse artikli 12 lõikes 8 osutatud rakendusaktis sätestatud nõuded;

artikli 7 punktis f osutatud autentimise kirjeldus;

teavitatud e-identimise süsteemi, autentimise või asjaomase ohustatud osa peatamise või tühistamise kord.

▼M1

Komisjon avaldab põhjendamatu viivituseta Euroopa Liidu Teatajas nimekirja e-identimise süsteemidest, millest on teatatud vastavalt lõikele 1, ja nende süsteemidega seotud põhiteabe.

Komisjon avaldab lõikes 2 osutatud nimekirja muudatused Euroopa Liidu Teatajas ühe kuu jooksul pärast asjaomase teate saamist.

▼B

Liikmesriik võib komisjonile esitada taotluse jätta selle liikmesriigi poolt teavitatud e-identimise süsteem lõikes 2 osutatud nimekirjast välja. Komisjon avaldab vastavad nimekirja muudatused Euroopa Liidu Teatajas ühe kuu jooksul pärast liikmesriigilt taotluse saamist.

Komisjon võib rakendusaktidega kindlaks määrata lõikes 1 osutatud teavitamise asjaolud, formaadid ja menetlused. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 10

▼M1

E-identimise süsteemide turvarikkumine

▼B

Kui artikli 9 lõike 1 kohaselt teavitatud e-identimise süsteemi või artikli 7 punktis f osutatud autentimist rikutakse või see on osaliselt ohustatud viisil, mis mõjutab selle süsteemi piiriülese autentimise usaldusväärsust, peatab või tühistab teavitav liikmesriik viivitamata selle piiriülese autentimise või asjaomaste ohustatud osade toimimise ning teavitab sellest teisi liikmesriike ja komisjoni.

Pärast lõikes 1 osutatud rikkumise või ohu kõrvaldamist taastab teavitav liikmesriik piiriülese autentimise ning teavitab sellest ilma põhjendamatu viivituseta teisi liikmesriike ja komisjoni.

Kui lõikes 1 osutatud rikkumist või ohtu ei kõrvaldata kolme kuu jooksul alates peatamisest või tühistamisest, teatab teavitav liikmesriik e-identimise süsteemi kasutamise lõpetamisest teistele liikmesriikidele ja komisjonile.

Komisjon avaldab põhjendamatu viivituseta Euroopa Liidu Teatajas artikli 9 lõikes 2 osutatud nimekirjas tehtud muudatused.

Artikkel 11

Vastutus

Teavitav liikmesriik vastutab füüsilisele või juriidilisele isikule tahtlikult või ettevaatamatusest tekitatud kahju eest, mis tuleneb artikli 7 punktides d ja f sätestatud kohustuste täitmata jätmisest piiriüleses tehingus.

E-identimise vahendit väljastav osaline vastutab füüsilisele või juriidilisele isikule tahtlikult või ettevaatamatusest tekitatud kahju eest, mis tuleneb artikli 7 punktis e sätestatud kohustuste täitmata jätmisest piiriüleses tehingus.

Autentimismenetlust läbiviiv osaline vastutab füüsilisele või juriidilisele isikule tahtlikult või ettevaatamatusest tekitatud kahju eest, mis tuleneb artikli 7 punktis f sätestatud autentimise nõuetekohase toimimise tagamata jätmisest piiriüleses tehingus.

Lõikeid 1, 2 ja 3 kohaldatakse kooskõlas siseriiklike vastutust käsitlevate eeskirjadega.

Lõiked 1, 2 ja 3 ei piira osaliste siseriikliku õiguse kohast vastutust tehingutes, milles kasutatakse artikli 9 lõike 1 kohaselt teavitatud e-identimise süsteemi kuuluvaid e-identimise vahendeid.

▼M1

Artikkel 11a

Piiriülene identiteedi ühitamine

Piiriüleste teenuste puhul tuginevate isikutena tegutsedes tagavad liikmesriigid füüsiliste isikute identiteedi ühese ühitamise, kasutades teavitatud e-identimise vahendit või Euroopa digiidentiteedikukruid.

Liikmesriigid näevad ette tehnilised ja korralduslikud meetmed, et tagada identiteedi ühitamiseks kasutatavate isikuandmete kõrgetasemeline kaitse ja vältida kasutajate profiilianalüüsi.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 1 osutatud nõuete jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 12

▼M1

Koostalitlusvõime

▼B

Artikli 9 lõike 1 kohaselt teavitatud riiklikud e-identimise süsteemid peavad olema koosvõimelised.

Lõike 1 kohaldamise eesmärgil luuakse koosvõime raamistik.

Koosvõime raamistik peab vastama järgmistele nõuetele:

see on tehnoloogiliselt neutraalne ja ei diskrimineeri asjaomases liikmesriigis ühtegi konkreetset siseriiklikku e-identimise tehnilist lahendust;

see vastab võimaluse korral Euroopa ja rahvusvahelistele standarditele;

▼M1

see hõlbustab lõimitud privaatsuse ja turbe rakendamist;

▼M1 —————

▼B

Koosvõime raamistik koosneb järgmisest:

viide artiklis 8 sätestatud usaldusväärsuse tasemetega seotud tehnilistele miinimumnõuetele;

teavitatud e-identimise süsteemide siseriiklike usaldusväärsuse tasemete seostamine artikli 8 kohaste usaldusväärsuse tasemetega;

viide ette nähtud tehnilise koosvõime miinimumnõuetele;

▼M1

viide e-identimise süsteemidest kättesaadavatele minimaalsele hulgale isikutuvastusandmetele, mis on vajalikud ainuüksi ühe füüsilise või juriidilise isiku või teist füüsilist isikut või juriidilist isikut esindava füüsilise isiku tähistamiseks;

▼B

menetluseeskirjad;

vaidluste lahendamise kord ning

ühised toimimise turvalisuse standardid.

▼M1

Liikmesriigid viivad läbi selliste e-identimise süsteemide vastastikuseid hindamisi, mis kuuluvad käesoleva määruse kohaldamisalasse ja millest tuleb teatada vastavalt artikli 9 lõike 1 punktile a.

Komisjon kehtestab 18. märtsiks 2025 rakendusaktidega käesoleva artikli lõikes 5 osutatud vastastikusteks hindamisteks vajaliku menetluse, et edendada usalduse ja turvalisuse kõrget taset, mis vastab riski suurusele. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1 —————

▼M1

Selleks et näha ette ühtsed tingimused käesoleva artikli lõikest 1 tuleneva nõude rakendamiseks, võtab komisjon 18. septembriks 2025 käesoleva artikli lõikes 3 sätestatud kriteeriumide kohaselt ja liikmesriikidevahelise koostöö tulemusi arvesse võttes vastu rakendusaktid lõikes 4 sätestatud koostalitlusvõime raamistiku kohta. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Käesoleva artikli lõigetes 7 ja 8 osutatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 12a

E-identimise süsteemide sertifitseerimine

Liikmesriikide määratud vastavushindamisasutused sertifitseerivad selliste e-identimise süsteemide, millest tuleb teatada, vastavust käesolevas määruses sätestatud küberturvalisuse nõuetele, sealhulgas vastavust artikli 8 lõikes 2 sätestatud küberturvalisuse seisukohast asjakohastele nõuetele seoses e-identimise süsteemide usaldusväärsuse tasemetega.

Käesoleva artikli lõike 1 kohane sertifitseerimine toimub määruse (EL) 2019/881 kohase asjaomase küberturvalisuse sertifitseerimise kava või selle osade alusel, niivõrd kui küberturvalisuse sertifikaat või selle osad hõlmavad kõnealuseid küberturvalisuse nõudeid.

Olenemata lõikest 2 võivad liikmesriigid nõuda teavitavalt liikmesriigilt kooskõlas kõnealuse lõikega lisateavet sertifitseeritud e-identimise süsteemide või nende osade kohta.

Artikli 12 lõikes 5 osutatud e-identimise süsteemide vastastikust hindamist ei kohaldata käesoleva artikli lõike 1 kohaselt sertifitseeritud e-identimise süsteemide või nende osade suhtes. Liikmesriigid võivad artikli 8 lõikes 2 e-identimise süsteemide usaldusväärsuse taseme kohta sätestatud muude kui küberturvalisusega seotud nõuete puhul kasutada sertifikaati või vastavusdeklaratsiooni, mis on väljastatud asjakohase sertifitseerimise kava või selle osa alusel.

Liikmesriigid teatavad komisjonile lõikes 1 osutatud vastavushindamisasutuste nimed ja aadressid. Komisjon teeb selle teabe kõigile liikmesriikidele kättesaadavaks.

Artikkel 12b

Juurdepääs riist- ja tarkvarafunktsioonidele

Kui Euroopa digiidentiteedikukrute pakkujad ja teavitatud e-identimise vahendite väljastajad, kes tegutsevad äri- või kutsetegevuse raames ja kasutavad Euroopa Parlamendi ja nõukogu määruse (EL) 2022/1925 ( 7 ) artikli 2 punktis 2 määratletud põhiplatvormiteenuseid Euroopa digiidentiteedikukru teenuste ja e-identimise vahendite pakkumiseks või selle käigus, on nimetatud määruse artikli 2 punktis 21 määratletud ärikasutajad, võimaldavad pääsuvalitsejad neile eelkõige tõhusa koostalitlusvõime samade operatsioonisüsteemi ja riist- või tarkvarafunktsioonidega ning koostalitlusvõime eesmärgil juurdepääsu sellistele funktsioonidele. Selline tõhus koostalitlusvõime ja juurdepääs on tasuta ega olene sellest, kas riist- või tarkvarafunktsioonid on osa operatsioonisüsteemist, mis on kättesaadavad kõnealusele pääsuvalitsejale ja mida ta kasutab selliste teenuste osutamisel, nagu on kirjeldatud määruse (EL) 2022/1925 artikli 6 lõikes 7. Käesolev artikkel ei piira käesoleva määruse artikli 5a lõike 14 kohaldamist.

▼B

III

PEATÜKK

USALDUSTEENUSED

JAGU

Üldsätted

Artikkel 13

Vastutus ja tõendamiskoormis

▼M1

Olenemata käesoleva artikli lõikest 2 ja piiramata määruse (EL) 2016/679 kohaldamist, vastutavad usaldusteenuse osutajad füüsilisele või juriidilisele isikule tahtlikult või hooletusest tekitatud kahju eest, mis tuleneb käesolevas määruses sätestatud kohustuste täitmata jätmisest. Igal füüsilisel või juriidilisel isikul, kes on kandnud varalist või mittevaralist kahju seetõttu, et usaldusteenuse pakkuja on rikkunud käesolevat määrust, on õigus nõuda hüvitist kooskõlas liidu ja liikmesriigi õigusega.

Kvalifitseerimata usaldusteenuse osutaja tegevuse tahtlikkuse või hooletuse tõendamise kohustus lasub füüsilisel või juriidilisel isikul, kes väidab, et talle on põhjustatud esimeses lõigus osutatud kahju.

Eeldatakse, et kvalifitseeritud usaldusteenuse osutaja on tegutsenud tahtlikult või hooletult, kui nimetatud kvalifitseeritud usaldusteenuse osutaja ei tõenda, et esimeses lõigus osutatud kahju tekkis ilma selle kvalifitseeritud usaldusteenuse osutaja tahtliku või hooletu tegutsemiseta.

▼B

Kui usaldusteenuse osutajad teavitavad oma kliente eelnevalt nõuetekohaselt nende poolt osutatavate teenuste kasutamise piirangutest ja need piirangud on kolmandatele isikutele arusaadavad, siis ei vastuta usaldusteenuse osutajad kahju eest, mis tuleneb osutatud piiranguid ületavast teenuste kasutamisest.

Lõikeid 1 ja 2 kohaldatakse kooskõlas siseriiklike vastutust käsitlevate eeskirjadega.

▼M1

Artikkel 14

Rahvusvahelised aspektid

Kolmandas riigis või rahvusvahelise organisatsooni poolt asutatud usaldusteenuse osutajate pakutavaid usaldusteenuseid tunnistatakse õiguslikult samaväärsetena liidus asutatud kvalifitseeritud usaldusteenuse osutajate osutatavate kvalifitseeritud usaldusteenustega juhul, kui kolmandast riigist või rahvusvahelisest organisatsioonist pärit usaldusteenuseid tunnustatakse rakendusaktidega või ELi toimimise lepingu artikli 218 kohaselt liidu ja kolmanda riigi või rahvusvahelise organisatsiooni vahel sõlmitud lepingu alusel.

Esimeses lõigus osutatud rakendusaktid võetakse vastu artikli 48 lõikes 2 osutatud kontrollimenetluse kohaselt.

Lõikes 1 osutatud rakendusaktide ja lepinguga tagatakse, et asjaomaste kolmandate riikide või rahvusvahelise organisatsiooni usaldusteenuse osutajad ning nende osutatavad usaldusteenused vastavad liidus asutatud kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate kvalifitseeritud usaldusteenuste suhtes kohaldatavatele nõuetele. Kolmandad riigid ja rahvusvahelised organisatsioonid koostavad eelkõige tunnustatud usaldusteenuse osutajate usaldusnimekirja ning haldavad seda ja avaldavad selle.

Lõikes 1 osutatud lepinguga tagatakse, et liidus asutatud kvalifitseeritud usaldusteenuse osutajate poolt osutatavaid kvalifitseeritud usaldusteenuseid tunnistatakse õiguslikult samaväärsetena usaldusteenustega, mida osutavad selle kolmanda riigi või rahvusvahelise organisatsiooni usaldusteenuse osutajad, kellega leping on sõlmitud.

Artikkel 15

Ligipääsetavus puuetega ja erivajadustega inimeste jaoks

E-identimise vahendite pakkumine ja usaldusteenuste osutamine ja nende teenuste osutamisel kasutatavad lõppkasutajatele suunatud tooted tehakse kättesaadavaks lihtsas ja arusaadavas keeles, kooskõlas ÜRO puuetega inimeste õiguste konventsiooniga ja direktiivis (EL) 2019/882 sätestatud ligipääsetavusnõuetega, tuues seega kasu ka piiratud funktsionaalse võimekusega inimestele, näiteks eakatele, ja isikutele, kellel on piiratud juurdepääs digitehnoloogiale.

Artikkel 16

Karistused

Liikmesriigid kehtestavad normid käesoleva määruse rikkumise eest kohaldatavate karistuste kohta, piiramata Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 ( 8 ) artikli 31 kohaldamist. Nimetatud karistused peavad olema mõjusad, proportsionaalsed ja hoiatavad.

Liikmesriigid tagavad, et kui kvalifitseeritud ja kvalifitseerimata usaldusteenuse osutaja rikub käesolevat määrust, määratakse selle eest haldustrahv, mille maksimummäär on vähemalt

5 000 000 eurot, kui usaldusteenuse osutaja on füüsiline isik, või

kui usaldusteenuse osutaja on juriidiline isik, siis 5 000 000 eurot või 1 % selle ettevõtja üleilmsest aastasest kogukäibest, kuhu usaldusteenuse osutaja kuulus rikkumise toimumise aastale eelnenud majandusaastal, olenevalt sellest, kumb on suurem.

Olenevalt liikmesriikide õigussüsteemist võib haldustrahve käsitlevaid õigusnorme kohaldada selliselt, et trahvi määramise algatab pädev järelevalveasutus ja selle määrab riigi pädev kohus. Selliste normide kohaldamine nendes liikmesriikides tagab, et need õiguskaitsevahendid on tõhusad ja neil on järelevalveasutuste poolt otse määratud haldustrahvidega samaväärne mõju.

▼B

JAGU

▼M1

Kvalifitseerimata usaldusteenused

▼M1 —————

▼B

Artikkel 19

Usaldusteenuse osutajate suhtes kohaldatavad turvanõuded

Kvalifitseeritud ja kvalifitseerimata usaldusteenuse osutajad võtavad asjakohased tehnilised ja korralduslikud meetmed, et ohjata nende osutatavate usaldusteenuste turvalisusega seotud riske. Tehnoloogia viimaseid arenguid arvesse võttes tagatakse nende meetmetega riski astmele vastav turvalisuse tase. Eelkõige võetakse meetmeid turvaintsidentide vältimiseks ja nende mõju minimeerimiseks ning sidusrühmade teavitamiseks intsidentide kahjulikust mõjust.

Kvalifitseeritud ja kvalifitseerimata usaldusteenuse osutajad teavitavad järelevalveasutust ning vajaduse korral teisi asjakohaseid asutusi, nagu infoturbe eest vastutav pädev riiklik asutus või andmekaitseasutus, igast turvarikkumisest või tervikluse kaost, millel on märkimisväärne mõju osutatavale usaldusteenusele või selles sisalduvatele isikuandmetele, tehes seda põhjendamatu viivituseta, ent igal juhul 24 tunni jooksul pärast sellest teadasaamist.

Kui turvarikkumisel või tervikluse kaol on tõenäoliselt kahjulik mõju füüsilisele või juriidilisele isikule, kellele usaldusteenus on osutatud, teavitab usaldusteenuse osutaja põhjendamatu viivituseta ka füüsilist või juriidilist isikut turvarikkumisest või tervikluse kaost.

Kui see on asjakohane ja eelkõige juhul, kui turvarikkumine või tervikluse kadu hõlmab kahte või enamat liikmesriiki, teavitab teavitatud järelevalveasutus teiste asjaomaste liikmesriikide järelevalveasutusi ning ENISA-t.

Kui teavitatud järelevalveasutus leiab, et turvarikkumise või tervikluse kao avalikustamine on avalikes huvides, teavitab ta üldsust või nõuab üldsuse teavitamist asjaomaselt usaldusteenuse osutajalt.

Järelevalveasutus esitab ENISA-le kord aastas kokkuvõtte usaldusteenuse osutajatelt saadud turvarikkumise või tervikluse kao teadetest.

Komisjon võib rakendusaktidega:

täpsustada lähemalt lõikes 1 osutatud meetmeid ning

määrata kindlaks lõike 2 kohaldamisega seotud formaadid ja menetlused, sealhulgas tähtajad.

Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 19a

Nõuded kvalifitseerimata usaldusteenuse osutajatele

Kvalifitseerimata usaldusteenuseid osutav kvalifitseerimata usaldusteenuse osutaja

evib asjakohaseid tegevuspõhimõtteid ja võtab vastavaid meetmeid, et juhtida kvalifitseerimata usaldusteenuse osutamisega seotud õiguslikke, ärilisi, tegevus- ja muid otseseid või kaudseid riske, mis olenemata direktiivi (EL) 2022/2555 artiklist 21 hõlmavad vähemalt meetmeid, mis on seotud

usaldusteenuse kasutamise registreerimise ja teenuse aktiveerimise menetlustega;

ii)

usaldusteenuste osutamiseks vajalike menetlus- või halduskontrollidega;

iii)

usaldusteenuste haldamise ja rakendamisega;

teavitab järelevalveasutust, tuvastatavaid mõjutatud isikuid, üldsust, kui see on avalikes huvides, ja kui see on kohaldatav, teisi asjaomaseid pädevaid asutusi kõigist sellistest teenuse osutamisel või punkti a alapunktis i, ii või iii osutatud meetmete rakendamisel esinenud turvarikkumistest või häiretest, millel on märkimisväärne mõju osutatavale usaldusteenusele või sellega seoses säilitatavatele isikuandmetele, tehes seda põhjendamatu viivituseta ja igal juhul 24 tunni jooksul turvarikkumisest või häirest teada saamist.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõike 1 punkti a kohaldamiseks. Kui neid standardeid, kirjeldusi ja menetlusi järgitakse, loetakse käesolevas artiklis sätestatud nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

JAGU

Kvalifitseeritud usaldusteenus

Artikkel 20

Kvalifitseeritud usaldusteenuse osutajate järelevalve

▼M1

Vastavushindamisasutus auditeerib kvalifitseeritud usaldusteenuse osutajaid nende oma kulul vähemalt iga 24 kuu järel. Auditiga kinnitatakse, et kvalifitseeritud usaldusteenuse osutajad ja nende osutatavad kvalifitseeritud usaldusteenused vastavad käesolevas määruses ja direktiivi (EL) 2022/2555 artiklis 21 sätestatud nõuetele. Kvalifitseeritud usaldusteenuse osutajad esitavad saadud vastavushindamisaruande järelevalveasutusele kolme tööpäeva jooksul alates selle kättesaamisest.

▼M1

1a.

Kvalifitseeritud usaldusteenuse osutajad teavitavad järelevalveasutust kavandatud audititest vähemalt üks kuu ette ja võimaldavad järelevalveasutusel taotluse korral neis vaatlejana osaleda.

1b.

Liikmesriigid teatavad põhjendamatu viivituseta komisjonile lõikes 1 osutatud vastavushindamisasutuste nimed, aadressid ja akrediteerimisandmed ning nende hilisemad muudatused. Komisjon teeb selle teabe kõigile liikmesriikidele kättesaadavaks.

▼M1

Ilma et see piiraks lõike 1 kohaldamist, võib järelevalveasutus kvalifitseeritud usaldusteenuse osutajate kulul auditeerida või nõuda vastavushindamisasutusel teha kõnealuste kvalifitseeritud usaldusteenuse osutajate vastavushindamise, et kinnitada kvalifitseeritud usaldusteenuse osutajate ning tema poolt osutatavate kvalifitseeritud usaldusteenuste vastavust käesolevas määruses sätestatud nõuetele. Kui isikuandmete kaitse reegleid näib olevat rikutud, teavitab järelevalveasutus põhjendamatu viivituseta määruse (EL) 2016/679 artikli 51 kohaselt asutatud pädevaid järelevalveasutusi.

Kui kvalifitseeritud usaldusteenuse osutaja ei täida mõnda käesolevas määruses sätestatud nõuet, nõuab järelevalveasutus, et ta võtaks kindlaksmääratud tähtaja jooksul, kui see on kohaldatav, heastamismeetmeid.

Kui asjaomane teenuseosutaja ei võta heastamismeetmeid järelevalveasutuse kehtestatud tähtaja jooksul, kui see on kohaldatav, võtab järelevalveasutus, kui seda õigustavad eelkõige kõnealuse nõuete täitmata jätmise ulatus, kestus ja tagajärjed, sellelt teenuseosutajalt või tema osutatavalt mõjutatud teenuselt kvalifitseeritud staatuse ära.

3a.

Kui direktiivi (EL) 2022/2555 artikli 8 lõike 1 kohaselt määratud või asutatud pädevad asutused teatavad järelevalveasutusele, et kvalifitseeritud usaldusteenuse osutaja ei täida mõnda nimetatud direktiivi artiklis 21 sätestatud nõuet, võtab järelevalveasutus, kui seda õigustavad eelkõige kõnealuse nõuete täitmata jätmise ulatus, kestus ja tagajärjed, kõnealuselt teenuseosutajalt või tema osutatavalt mõjutatud teenuselt kvalifitseeritud staatuse ära.

3b.

Kui määruse (EL) 2016/679 artikli 51 kohaselt asutatud järelevalveasutused teatavad järelevalveasutusele, et kvalifitseeritud usaldusteenuse osutaja ei täida mõnda nimetatud määruses sätestatud nõuet, võtab järelevalveasutus, kui seda õigustavad eelkõige kõnealuse nõuete täitmata jätmise ulatus, kestus ja tagajärjed, kõnealuselt teenuseosutajalt või tema osutatavalt mõjutatud teenuselt kvalifitseeritud staatuse ära.

3c.

Järelevalveasutus teavitab kvalifitseeritud usaldusteenuse osutajat temalt või asjaomaselt teenuselt kvalifitseeritud staatuse äravõtmisest. Järelevalveasutus teavitab käesoleva määruse artikli 22 lõike 3 kohaselt teatatud asutust, et ajakohastada kõnealuse artikli lõikes 1 osutatud usaldusnimekirju, ning direktiivi (EL) 2022/2555 artikli 8 lõike 1 kohaselt määratud või asutatud pädevat asutust.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused järgmise jaoks:

vastavushindamisasutuste akrediteerimine ja lõikes 1 osutatud vastavushindamisaruanne;

auditeerimisnõuded, mille alusel vastavushindamisasutused hindavad, sealhulgas kompleksse hindamise vormis, kvalifitseeritud usaldusteenuse osutajate nõuetele vastavust, nagu on osutatud lõikes 1;

vastavushindamissüsteemid kvalifitseeritud usaldusteenuse osutajate vastavushindamiseks vastavushindamisasutuste poolt ja lõikes 1 osutatud aruande esitamiseks.

Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 21

Kvalifitseeritud usaldusteenuse osutamise alustamine

▼M1

Kui usaldusteenuse osutajad kavatsevad alustada kvalifitseeritud usaldusteenuse osutamist, teavitavad nad järelevalveasutust oma kavatsusest ning esitavad selle teabega koos vastavushindamisasutuse koostatud vastavushindamisaruande, milles kinnitatakse käesolevas määruses ja direktiivi (EL) 2022/2555 artiklis 21 sätestatud nõuete täitmist.

Järelevalveasutus kontrollib usaldusteenuse osutaja ja tema osutatavate usaldusteenuste vastavust käesolevas määruses sätestatud nõuetele ning eelkõige kvalifitseeritud usaldusteenuse osutajatele ja nende osutatavatele kvalifitseeritud usaldusteenustele kehtestatud nõuetele.

Et kontrollida usaldusteenuse osutaja vastavust direktiivi (EL) 2022/2555 artikli 21 nõuetele, taotleb järelevalveasutus, et kõnealuse direktiivi artikli 8 lõike 1 kohaselt määratud või asutatud pädevad asutused võtaksid sellega seoses järelevalvemeetmeid ja esitaksid tulemuste kohta teabe põhjendamatu viivituseta ja igal juhul kahe kuu jooksul pärast taotluse saamist. Kui kahe kuu jooksul alates teavitamisest ei ole kontrolli lõpule viidud, teavitavad asjaomased pädevad asutused järelevalveasutust viivituse põhjustest ja ajavahemikust, mille jooksul kontroll lõpule viiakse.

Kui järelevalveasutus leiab, et usaldusteenuse osutaja ja tema osutatavad usaldusteenused vastavad käesolevas määruses sätestatud nõuetele, annab järelevalveasutus usaldusteenuse osutajale ja tema osutatavatele usaldusteenustele kvalifitseeritud staatuse ning teavitab artikli 22 lõikes 3 osutatud asutust artikli 22 lõikes 1 osutatud usaldusnimekirjade ajakohastamise eesmärgil hiljemalt kolme kuu möödumisel käesoleva artikli lõike 1 kohast teate esitamisest.

Kui kolme kuu jooksul alates teate esitamisest ei ole kontrolli lõpule viidud, teavitab järelevalveasutus usaldusteenuse osutajat viivituse põhjustest ja ajavahemikust, mille jooksul kontroll lõpule viiakse.

▼B

Kvalifitseeritud usaldusteenuse osutaja võib alustada kvalifitseeritud usaldusteenuse osutamist, kui kvalifitseeritud staatus on kantud artikli 22 lõikes 1 osutatud usaldusnimekirjadesse.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega teavitamise ja kontrolli formaadid ja menetlused käesoleva artikli lõigete 1 ja 2 kohaldamiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 22

Usaldusnimekirjad

Iga liikmesriik koostab, haldab ja avaldab usaldusnimekirju, mis sisaldavad teavet tema vastutusalasse kuuluvate kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate kvalifitseeritud usaldusteenuste kohta.

Liikmesriigid koostavad elektrooniliselt allkirjastatud või e-templiga varustatud, lõikes 1 osutatud usaldusnimekirjad, haldavad neid ja avaldavad need turvalisel viisil ja automaatseks töötlemiseks sobivas formaadis.

Liikmesriigid edastavad komisjonile põhjendamatu viivituseta teabe, mis hõlmab riigisiseste usaldusnimekirjade koostamise, haldamise ja avaldamise eest vastutavat asutust, kõnealuste nimekirjade avaldamise koha üksikasju, nimekirjade allkirjastamiseks või templiga varustamiseks kasutatavaid sertifikaate ning nimekirjade mis tahes muudatusi.

Komisjon teeb lõikes 3 osutatud teabe turvalise kanali kaudu avalikkusele kättesaadavaks automaatseks töötlemiseks sobivas, elektrooniliselt allkirjastatud või e-templiga varustatud formaadis.

Komisjon täpsustab hiljemalt 18. septembriks 2015 rakendusaktidega lõikes 1 osutatud teabe ning määrab kindlaks lõigete 1–4 kohaldamisega seotud usaldusnimekirjade tehnilised kirjeldused ja formaadid. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 23

ELi kvalifitseeritud usaldusteenuse usaldusmärk

Pärast artikli 21 lõike 2 teises lõigus osutatud kvalifitseeritud staatuse märkimist artikli 22 lõikes 1 osutatud usaldusnimekirjadesse võivad kvalifitseeritud usaldusteenuse osutajad kasutada ELi usaldusmärki nende osutatavate kvalifitseeritud usaldusteenuste esitamiseks lihtsalt, äratuntavalt ja selgelt.

Lõikes 1 osutatud ELi kvalifitseeritud usaldusteenuse usaldusmärgi kasutamisel tagavad kvalifitseeritud usaldusteenuse osutajad asjaomasele usaldusnimekirjale viitava lingi avaldamise oma veebisaidil.

1. juuliks 2015 näeb komisjon rakendusaktidega ette ELi kvalifitseeritud usaldusteenuse usaldusmärgi formaadi ja eelkõige märgi esitusviisi, koostisosade, suuruse ja kujunduse kirjelduse. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 24

Nõuded kvalifitseeritud usaldusteenuse osutajatele

▼M1

Kvalifitseeritud sertifikaati või kvalifitseeritud elektroonilist tõendit väljastades kontrollib kvalifitseeritud usaldusteenuse osutaja selle füüsilise või juriidilise isiku identiteeti, ja kui see on kohaldatav, konkreetseid atribuute, kellele kvalifitseeritud sertifikaat või kvalifitseeritud elektrooniline tõend väljastatakse.

1a.

Kvalifitseeritud usaldusteenuse osutaja teeb lõikes 1 osutatud identiteedikontrolli asjakohasel viisil kas otse või kolmanda isiku abil, lähtudes ühest järgmisest meetodist või vajaduse korral nende kombinatsioonist kooskõlas lõikes 1c osutatud rakendusaktidega:

Euroopa digiidentiteedikukru või teavitatud e-identimise vahendi abil, mis vastab artiklis 8 sätestatud nõuetele seoses kõrge usaldusväärsuse tasemega;

kooskõlas punktiga a, c või d väljastatud kvalifitseeritud e-allkirja sertifikaadi või kvalifitseeritud e-templi sertifikaadi abil;

muude identimismeetodite abil, mis tagavad isiku tuvastamise kõrgel usaldusväärsuse tasemel ja mille vastavust kinnitab vastavushindamisasutus;

füüsilise isiku või juriidilise isiku volitatud esindaja füüsilise kohalolekuga vastavalt asjakohastele tõenditele ja, menetlustele kooskõlas riigisisese õigusega.

1b.

Kvalifitseeritud usaldusteenuse osutaja teeb lõikes 1 osutatud atribuutide kontrolli asjakohasel viisil kas otse või kolmanda isiku abil, lähtudes ühest järgmisest meetodist või vajaduse korral nende kombinatsioonist kooskõlas lõikes 1c osutatud rakendusaktidega

Euroopa digiidentiteedikukru või teavitatud e-identimise vahendi abil, mis vastab artiklis 8 sätestatud nõuetele seoses kõrge usaldusväärsuse tasemega;

kooskõlas lõike 1a punktiga a, c või d väljastatud kvalifitseeritud e-allkirja sertifikaadi või kvalifitseeritud e-templi sertifikaadi abil;

kvalifitseeritud elektroonilise tõendi abil;

muude meetodite abil, mis tagavad atribuutide kontrollimise tulemuste kõrge usaldusväärsuse taseme ja mille vastavust kinnitab vastavushindamisasutus;

füüsilise isiku või juriidilise isiku volitatud esindaja füüsilise kohalolekuga vastavalt asjakohastele tõenditele ja menetlustele kooskõlas riigisisese õigusega.

1c.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused identiteedi ja atribuutide kontrollimiseks kooskõlas käesoleva artikli lõigetega 1, 1a ja 1b. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Kvalifitseeritud usaldusteenuseid osutav kvalifitseeritud usaldusteenuse osutaja:

▼M1

teavitab järelevalveasutust vähemalt üks kuu ette enne mis tahes muudatuse rakendamist oma kvalifitseeritud usaldusteenuste osutamisel või vähemalt kolm kuud ette enne, kui on kavatsus selline tegevus lõpetada.

▼B

võtab tööle personali ja vajaduse korral alltöövõtjad, kellel on vajalik pädevus, usaldusväärsus, kogemus ja kvalifikatsioon ning kes on saanud turva- ja isikuandmete kaitse eeskirjade alal asjakohase koolituse ja rakendavad Euroopa või rahvusvahelistele standarditele vastavaid haldus- ja juhtimismenetlusi;

seoses artikli 13 kohase vastutusega võimalike kahjude eest omab piisavat hulka rahalisi vahendeid ja/või sõlmib asjakohase vastutuskindlustuse kooskõlas siseriikliku õigusega;

▼M1

teavitab enne lepingu sõlmimist kõiki kvalifitseeritud usaldusteenust kasutada soovivaid isikuid selgel, põhjalikul ja hõlpsasti ligipääsetaval viisil, avalikult ligipääsetavas ruumis ja isiklikult kõnealuse teenuse kasutamise täpsetest tingimustest, sealhulgas kõigist selle kasutamise piirangutest;

kasutab usaldusväärseid süsteeme ja tooteid, mis on kaitstud muutmise eest, ja tagab nende toetatavate toimingute tehnilise turvalisuse ja usaldusväärsuse, sealhulgas kasutades sobivaid krüptomeetodeid;

▼B

kasutab usaldusväärseid süsteeme talle esitatud andmete säilitamiseks ehtsuse tõendamist võimaldavas formaadis nii, et:

need on otsingutes avalikult kättesaadavad üksnes siis, kui isik, kellega andmed on seotud, on andnud selleks nõusoleku,

ii)

säilitatud andmeid saavad sisestada ja muuta üksnes selleks volitatud isikud,

iii)

on võimalik kindlaks teha, kas andmed on ehtsad;

▼M1

fa)

olenemata direktiivi (EL) 2022/2555 artiklis 21 sätestatust, evib asjakohaseid tegevuspõhimõtteid ja võtab vastavaid meetmeid, et juhtida kvalifitseeritud usaldusteenuse osutamisega seotud õiguslikke, ärilisi, tegevus- ja muid otseseid või kaudseid riske, sealhulgas vähemalt meetmeid, mis on seotud järgmisega:

teenuse kasutamiseks registreerimise ja teenuse aktiveerimise menetlused;

ii)

menetlus- või halduskontrollid;

iii)

teenuste haldamine ja rakendamine;

fb)

teavitab järelevalveasutust, tuvastatavaid mõjutatud isikuid, kohaldataval juhul teisi asjaomaseid pädevaid asutusi ning järelevalveasutuse taotlusel ka üldsust, kui see on avalikes huvides, kõigist sellistest teenuse osutamisel või punkti fa alapunktis i, ii või iii osutatud meetmete rakendamisel esinenud turvarikkumistest või häiretest, millel on märkimisväärne mõju osutatavale usaldusteenusele või sellega seoses säilitatavatele isikuandmetele, tehes seda põhjendamatu viivituseta ja igal juhul 24 tunni jooksul pärast intsidenti;

▼M1

võtab asjakohaseid meetmeid andmete võltsimise, varguse või omastamise vastu või andmete loata kustutamise, muutmise või ligipääsmatuks muutmise vastu;

salvestab kogu asjakohase teabe kvalifitseeritud usaldusteenuse osutaja väljastatud ja saadud andmete kohta ja hoiab seda kättesaadavana vajaliku aja jooksul pärast seda, kui kvalifitseeritud usaldusteenuse osutaja on tegevuse lõpetanud, et esitada tõendeid kohtumenetlustes ja tagada teenuse järjepidevus. Sellised andmed võib salvestada elektrooniliselt;

omab teenuse järjepidevuse tagamiseks ajakohast tegevuse lõpetamise kava, mis vastab järelevalveasutuse poolt artikli 46b lõike 4 punkti i kohaselt kontrollitud sätetele;

▼M1 —————

▼B

juhul kui kvalifitseeritud usaldusteenuse osutaja väljastab kvalifitseeritud sertifikaate, loob sertifikaatide andmebaasi ja ajakohastab seda.

▼M1

Järelevalveasutus võib nõuda täiendavat teavet lisaks esimese lõigu punkti a kohaselt esitatud teabele või vastavushindamise tulemusi ning võib kehtestada tingimusi kvalifitseeritud usaldusteenustes kavandatud muudatuste tegemiseks loa andmiseks. Kui kolme kuu jooksul alates teate esitamisest ei ole kontrolli lõpule viidud, teavitab järelevalveasutus usaldusteenuse osutajat viivituse põhjustest ja ajavahemikust, mille jooksul kontroll lõpule viiakse.

▼B

Kui kvalifitseeritud sertifikaate väljastav kvalifitseeritud usaldusteenuse osutaja otsustab sertifikaadi tühistada, registreerib ta tühistamise oma sertifikaatide andmebaasis ning avaldab sertifikaadi tühistatud staatuse aegsasti, ning igal juhul 24 tunni jooksul pärast vastava taotluse saamist. Tühistamine jõustub kohe pärast selle avaldamist.

Seoses lõikega 3 annavad kvalifitseeritud sertifikaate väljastavad kvalifitseeritud usaldusteenuse osutajad tuginevatele isikutele teavet nende väljastatud kvalifitseeritud sertifikaatide kehtivus- või tühistamisstaatuse kohta. Kõnealune teave tehakse igal ajal ning pärast sertifikaadi kehtivusaja lõppu vähemalt iga sertifikaadi kohta eraldi kättesaadavaks automaatsel viisil, mis on usaldusväärne, tasuta ja tõhus.

▼M1

4a.

Kvalifitseeritud elektrooniliste tõendite kehtetuks tunnistamise suhtes kohaldatakse vastavalt lõikeid 3 ja 4.

4b.

Komisjonil on õigus võtta kooskõlas artikliga 47 vastu delegeeritud õigusakte, millega kehtestatakse käesoleva artikli lõike 2 punktis fa osutatud täiendavad meetmed.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 2 osutatud nõuete jaoks. Kui neid standardeid, kirjeldusi ja menetlusi järgitakse, loetakse käesolevas lõikes sätestatud nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 24a

Kvalifitseeritud usaldusteenuste tunnustamine

Ühes liikmesriigis väljastatud kvalifitseeritud sertifikaadil põhinevaid kvalifitseeritud e-allkirju ja ühes liikmesriigis väljastatud kvalifitseeritud sertifikaadil põhinevaid kvalifitseeritud e-templeid tunnustatakse vastavalt kvalifitseeritud e-allkirjadena ja kvalifitseeritud e-templitena ka kõigis teistes liikmesriikides.

Ühes liikmesriigis sertifitseeritud kvalifitseeritud e-allkirja andmise vahendeid ja kvalifitseeritud e-templi loomise vahendeid tunnustatakse vastavalt kvalifitseeritud e-allkirja andmise vahenditena ja kvalifitseeritud e-templi loomise vahenditena ka kõigis teistes liikmesriikides.

Ühes liikmesriigis pakutavat e-allkirjade kvalifitseeritud sertifikaati, e-templite kvalifitseeritud sertifikaati, kvalifitseeritud usaldusteenust kvalifitseeritud e-allkirja kaugloomise vahendite haldamiseks ja kvalifitseeritud usaldusteenust kvalifitseeritud e-templi vahemaa tagant loomise vahendite haldamiseks tunnustatakse vastavalt e-allkirjade kvalifitseeritud sertifikaadina, e-templite kvalifitseeritud sertifikaadina, kvalifitseeritud usaldusteenusena kvalifitseeritud e-allkirja kaugloomise vahendite haldamiseks ja kvalifitseeritud usaldusteenusena kvalifitseeritud e-templite vahemaa tagant loomise vahendite haldamiseks ka kõigis teistes liikmesriikides.

Ühes liikmesriigis pakutavat kvalifitseeritud e-allkirjade kvalifitseeritud valideerimisteenust ja kvalifitseeritud e-templite kvalifitseeritud valideerimisteenust tunnustatakse kvalifitseeritud e-allkirjade kvalifitseeritud valideerimisteenusena ja kvalifitseeritud e-templite kvalifitseeritud valideerimisteenusena ka kõigis teistes liikmesriikides.

Ühes liikmesriigis pakutavat kvalifitseeritud e-allkirjade kvalifitseeritud säilitamisteenust ja kvalifitseeritud e-templite kvalifitseeritud säilitamisteenust tunnustatakse kvalifitseeritud e-allkirjade kvalifitseeritud säilitamisteenusena ja kvalifitseeritud e-templite kvalifitseeritud säilitamisteenusena ka kõigis teistes liikmesriikides.

Ühes liikmesriigis pandud kvalifitseeritud e-ajatemplit tunnustatakse kvalifitseeritud e-ajatemplina ka kõigis teistes liikmesriikides.

Ühes liikmesriigis väljastatud kvalifitseeritud sertifikaati veebisaidi autentimiseks tunnustatakse kvalifitseeritud sertifikaadina veebisaidi autentimiseks ka kõigis teistes liikmesriikides.

Ühes liikmesriigis pakutavat kvalifitseeritud registreeritud e-andmevahetusteenust tunnustatakse kvalifitseeritud registreeritud e-andmevahetusteenusena ka kõigis teistes liikmesriikides.

Ühes liikmesriigis väljastatud kvalifitseeritud elektroonilist tõendit tunnustatakse kvalifitseeritud elektroonilise tõendina ka kõigis teistes liikmesriikides.

10.

Ühes liikmesriigis pakutavat kvalifitseeritud elektroonilise arhiveerimise teenust tunnustatakse kvalifitseeritud elektroonilise arhiveerimise teenusena ka kõigis teistes liikmesriikides.

11.

Ühes liikmesriigis kättesaadavat kvalifitseeritud elektroonilist arvestusraamatut tunnustatakse kvalifitseeritud elektroonilise arvestusraamatuna ka kõigis teistes liikmesriikides.

▼B

JAGU

E-allkirjad

Artikkel 25

E-allkirjade õiguslik toime

E-allkirja ei tunnistata õiguslikult kehtetuks ega kohtumenetlustes tõenduskõlbmatuks ainuüksi seetõttu, et see on elektroonilisel kujul või ei vasta kvalifitseeritud e-allkirjadele esitatavatele nõuetele.

Kvalifitseeritud e-allkirjal on käsitsi kirjutatud allkirjaga samaväärne õiguslik toime.

▼M1 —————

▼B

Artikkel 26

Nõuded täiustatud e-allkirjale

►M1 ◄

Täiustatud e-allkiri vastab järgmistele nõuetele:

see on seotud ainuüksi allkirja andjaga;

selle abil on võimalik allkirja andjat tuvastada;

see antakse e-allkirja andmiseks vajalike andmete abil, mida saab kõrge salastatuse taseme juures kasutada üksnes allkirja andja, ning

see on allkirjastatud andmetega seotud sellisel viisil, et kõik hilisemad andmete muudatused on tuvastatavad.

▼M1

Hiljemalt 21. maiks 2026 hindab komisjon, kas on vaja võtta vastu rakendusakte, millega kehtestatakse võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused täiustatud e-allkirjade jaoks. Olenevalt hindamise tulemustest võib komisjon sellised rakendusaktid vastu võtta. Kui täiustatud e-allkiri vastab standarditele, kirjeldustele ja menetlustele, loetakse täiustatud e-allkirjadele esitatavad nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 27

E-allkirjad avalikus teenistuses

Kui liikmesriik nõuab avaliku sektori asutuse poolt või tema nimel osutatava internetipõhise teenuse kasutamiseks täiustatud e-allkirja, tunnustab see liikmesriik täiustatud e-allkirju, e-allkirja kvalifitseeritud sertifikaadil põhinevaid täiustatud e-allkirju ja kvalifitseeritud e-allkirju, mis on antud vähemalt lõikes 5 osutatud formaadis või rakendusaktides määratletud meetodeid kasutades.

Kui liikmesriik nõuab avaliku sektori asutuse poolt või tema nimel osutatava internetipõhise teenuse kasutamiseks kvalifitseeritud sertifikaadil põhinevat täiustatud e-allkirja, tunnustab see liikmesriik kvalifitseeritud sertifikaadil põhinevaid täiustatud e-allkirju ja kvalifitseeritud e-allkirju, mis on antud vähemalt lõikes 5 osutatud formaadis või rakendusaktides määratletud meetodeid kasutades.

Liikmesriigid ei nõua avaliku sektori asutuse poolt osutatava internetipõhise teenuse piiriüleseks kasutamiseks e-allkirja, mille tagatistase on kõrgem kui kvalifitseeritud e-allkirjal.

▼M1 —————

▼B

Komisjon võtab kehtivaid tavasid, standardeid ja liidu õigusakte arvestades hiljemalt 18. septembriks 2015 vastu rakendusaktid, milles määratakse kindlaks täiustatud e-allkirjade standardformaadid või alternatiivsete formaatide kasutamise korral standardmeetodid. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 28

E-allkirjade kvalifitseeritud sertifikaadid

E-allkirjade kvalifitseeritud sertifikaadid peavad vastama I lisas sätestatud nõuetele.

E-allkirjade kvalifitseeritud sertifikaatide suhtes ei kohaldata ühtegi kohustuslikku nõuet, mis ületab I lisas sätestatud nõudeid.

E-allkirja kvalifitseeritud sertifikaadid võivad hõlmata mittekohustuslikke täiendavaid eritunnuseid. Need tunnused ei mõjuta kvalifitseeritud e-allkirjade koosvõimet ega tunnustamist.

Kui e-allkirjade kvalifitseeritud sertifikaat tühistatakse pärast esialgset aktiveerimist, kaotab see alates tühistamise hetkest kehtivuse ega saa oma staatust mingil juhul tagasi.

Liikmesriigid võivad järgmistel tingimustel kehtestada siseriiklikud eeskirjad e-allkirja kvalifitseeritud sertifikaatide ajutiseks peatamiseks:

kui e-allkirja kvalifitseeritud sertifikaat on ajutiselt peatatud, on kõnealune sertifikaat peatamise ajavahemikul kehtetu;

peatamise ajavahemik on sertifikaatide andmebaasis selgesti märgitud ja sertifikaatide staatuse kohta teavet andva teenuse kaudu saab peatamise ajavahemikul teavet peatamisstaatuse kohta.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused e-allkirja kvalifitseeritud sertifikaatide jaoks. Kui e-allkirja kvalifitseeritud sertifikaat vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse I lisas sätestatud nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 29

Nõuded kvalifitseeritud e-allkirja andmise vahenditele

Kvalifitseeritud e-allkirja andmise vahendid peavad vastama II lisas sätestatud nõuetele.

▼M1

1a.

E-allkirja andmiseks vajalikke andmeid luuakse, hallatakse või varundamise eesmärgil dubleeritakse üksnes allkirja andja nimel, allkirja andja taotlusel ja kvalifitseeritud usaldusteenuse osutaja poolt, kes osutab kvalifitseeritud usaldusteenust kvalifitseeritud e-allkirja kaugloomise vahendi haldamiseks.

▼B

Komisjon võib rakendusaktidega kehtestada kvalifitseeritud e-allkirja andmise vahendite standardite viitenumbrid. Kui kvalifitseeritud e-allkirja andmise vahend vastab kõnealustele standarditele, loetakse see II lisas sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 29a

Nõuded kvalifitseeritud e-allkirja kaugloomise vahendi haldamise kvalifitseeritud teenusele

Kvalifitseeritud e-allkirja kaugloomise vahendit haldab kvalifitseeritud teenuse osutamise raames üksnes kvalifitseeritud usaldusteenuse osutaja, kes

allkirja andja nimel loob või haldab e-allkirja andmiseks vajalikke andmeid;

olenemata II lisa punkti 1 alapunktist d dubleerib e-allkirja andmiseks vajalikke andmeid üksnes varundamise eesmärgil, kui on täidetud järgmised nõuded:

dubleeritud andmekogumite turvatase peab olema sama mis algsetel andmekogumitel;

ii)

dubleeritud andmekogumite arv ei tohi ületada teenuse järjepidevuse tagamiseks vajalikku miinimumi;

vastab kõigile nõuetele, mis on kindlaks määratud artikli 30 kohaselt väljastatud konkreetse kvalifitseeritud e-allkirja kaugloomise vahendi sertifitseerimise aruandes.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõike 1 kohaldamiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 30

Kvalifitseeritud e-allkirja andmise vahendite sertifitseerimine

Kvalifitseeritud e-allkirja andmise vahendite vastavust II lisas sätestatud nõuetele sertifitseerivad liikmesriikide määratud asjakohased avalik-õiguslikud või eraõiguslikud asutused.

Liikmesriigid teatavad komisjonile lõikes 1 osutatud avalik-õiguslike või eraõiguslike asutuste nimed ja aadressid. Komisjon teeb selle teabe liikmesriikidele kättesaadavaks.

Lõikes 1 osutatud sertifitseerimine põhineb ühel järgmistest võimalustest:

turvalisuse hindamise protsess, mis on tehtud kooskõlas ühega standarditest selliste infotehnoloogiatoodete turvalisuse hindamiseks, mis on kantud kooskõlas teise lõiguga koostatud nimekirja, või

punktis a osutatust erinev protsess, tingimusel et selles protsessis kasutatakse samaväärseid turvatasemeid ning et lõikes 1 osutatud avalik-õiguslik või eraõiguslik asutus teatab sellest protsessist komisjonile. Seda protsessi võib kasutada üksnes punktis a osutatud standardite puudumisel või juhul kui käimas on punktis a osutatud turvalisuse hindamise protsess.

Komisjon koostab rakendusaktidega punktis a osutatud infotehnoloogiatoodete turvalisuse hindamise standardite nimekirja. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

3a.

Lõikes 1 osutatud sertifitseerimine kehtib maksimaalselt viis aastat, tingimusel et nõrkusi hinnatakse iga kahe aasta tagant. Kui tehakse kindlaks nõrkused ja neid ei kõrvaldata, siis sertifitseerimine tühistatakse.

▼B

Komisjonile on õigus võtta kooskõlas artikliga 47 vastu delegeeritud õigusakte, et kehtestada konkreetsed kriteeriumid, millele käesoleva artikli lõikes 1 osutatud määratud asutused peavad vastama.

Artikkel 31

Sertifitseeritud kvalifitseeritud e-allkirja andmise vahendite nimekirja avaldamine

Liikmesriigid edastavad komisjonile põhjendamatu viivituseta ja mitte hiljem kui üks kuu pärast sertifitseerimise lõpuleviimist teabe selliste kvalifitseeritud e-allkirja andmise vahendite kohta, mille on sertifitseerinud artikli 30 lõikes 1 osutatud asutused. Samuti edastavad nad komisjonile põhjendamatu viivituseta ja mitte hiljem kui üks kuu pärast sertifitseerimise tühistamist teabe selliste kvalifitseeritud e-allkirja andmise vahendite kohta, mis ei ole enam sertifitseeritud.

Saadud teabe põhjal koostab komisjon sertifitseeritud kvalifitseeritud e-allkirja andmise vahendite nimekirja, haldab seda ja avaldab selle.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega formaadid ja menetlused käesoleva artikli lõike 1 kohaldamiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 32

Nõuded kvalifitseeritud e-allkirjade valideerimisele

Kvalifitseeritud e-allkirja valideerimise protsess kinnitab kvalifitseeritud e-allkirja kehtivust, kui on täidetud järgmised tingimused:

allkirja kinnitav sertifikaat oli allkirja andmise ajal I lisa sätetele vastav kvalifitseeritud e-allkirja sertifikaat;

kvalifitseeritud sertifikaadi väljastas kvalifitseeritud usaldusteenuse osutaja ja sertifikaat oli allkirja andmise ajal kehtiv;

allkirja valideerimise andmed vastavad tuginevatele isikutele esitatud andmetele;

sertifikaadil olevat allkirja andjat tähistavad kordumatud andmed on nõuetekohaselt esitatud tuginevatele isikutele;

kui allkirja andmisel kasutati varjunime, on varjunime kasutus tuginevale isikule selgesti näidatud;

e-allkiri on antud kvalifitseeritud e-allkirja andmise vahendiga;

allkirjastatud andmete terviklust ei ole rikutud;

artiklis 26 sätestatud nõuded olid allkirja andmise ajal täidetud.

▼M1

Kui kvalifitseeritud e-allkirjade valideerimine vastab lõikes 3 osutatud standarditele, kirjeldustele ja menetlustele, loetakse käesoleva lõike esimeses lõigus osutatud nõuded täidetuks.

▼B

Kvalifitseeritud e-allkirja valideerimiseks kasutatav süsteem annab tuginevale isikule valideerimisprotsessi korrektse tulemuse ja võimaldab tugineval isikul tuvastada turvalisusega seotud probleeme.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kvalifitseeritud e-allkirjade valideerimiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 32a

Nõuded kvalifitseeritud sertifikaatidel põhinevate täiustatud e-allkirjade valideerimisele

Kvalifitseeritud sertifikaadil põhineva täiustatud e-allkirja valideerimise protsess kinnitab kvalifitseeritud sertifikaadil põhineva täiustatud e-allkirja kehtivust, kui on täidetud järgmised tingimused:

allkirja toetav sertifikaat oli allkirja andmise ajal I lisa nõuetele vastav e-allkirja kvalifitseeritud sertifikaat;

kvalifitseeritud sertifikaadi väljastas kvalifitseeritud usaldusteenuse osutaja ja sertifikaat oli allkirja andmise ajal kehtiv;

allkirja valideerimise andmed vastavad tuginevale isikule esitatud andmetele;

sertifikaadil allkirja andjat tähistavad kordumatud andmed on nõuetekohaselt esitatud tuginevale isikule;

kui allkirja andmisel kasutati varjunime, on varjunime kasutus tuginevale isikule selgesti näidatud;

allkirjastatud andmete terviklust ei ole kahjustatud;

artiklis 26 sätestatud nõuded olid allkirja andmise ajal täidetud.

Kvalifitseeritud sertifikaadil põhineva täiustatud e-allkirja valideerimiseks kasutatav süsteem annab tuginevale isikule valideerimisprotsessi korrektse tulemuse ja võimaldab tugineval isikul tuvastada turvalisusega seotud probleeme.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kvalifitseeritud sertifikaatidel põhinevate täiustatud e-allkirjade valideerimiseks. Kui kvalifitseeritud sertifikaatidel põhinevate täiustatud e-allkirjade valideerimine vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse see käesoleva artikli lõikes 1 sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 33

Kvalifitseeritud e-allkirjade kvalifitseeritud valideerimisteenus

Kvalifitseeritud e-allkirjade kvalifitseeritud valideerimisteenust võib osutada üksnes kvalifitseeritud usaldusteenuse osutaja, kes:

osutab valideerimisteenust kooskõlas artikli 32 lõikega 1 ja

võimaldab tuginevatel isikutel saada valideerimisprotsessi tulemuse automaatsel viisil, mis on usaldusväärne, tõhus ja millel on kvalifitseeritud valideerimisteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 1 osutatud kvalifitseeritud valideerimisteenuse jaoks. Kui kvalifitseeritud e-allkirjade kvalifitseeritud valideerimisteenus vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse see käesoleva artikli lõikes 1 sätestatud nõuetele vastavaks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 34

Kvalifitseeritud e-allkirjade kvalifitseeritud säilitamisteenus

Kvalifitseeritud e-allkirjade kvalifitseeritud säilitamise teenust võib osutada üksnes kvalifitseeritud usaldusteenuse osutaja, kes kasutab menetlusi ja tehnoloogiat, millega on võimalik tagada kvalifitseeritud e-allkirjade usaldusväärsus ka pärast nende tehnoloogilise kehtivusaja lõppemist.

▼M1

1a.

Kui kvalifitseeritud e-allkirjade kvalifitseeritud säilitamisteenuse suhtes kohaldatav kord vastab lõikes 2 osutatud standarditele, kirjeldustele ja menetlustele, loetakse lõikes 1 sätestatud nõuded täidetuks.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kvalifitseeritud e-allkirjade kvalifitseeritud säilitamisteenuse jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

JAGU

E-tempel

Artikkel 35

E-templi õiguslik toime

E-templit ei käsitata õigusliku toimeta ega kohtumenetlustes kõlbmatu tõendina ainuüksi seetõttu, et see on elektroonilises vormis või ei vasta kvalifitseeritud e-templitele esitatavatele nõuetele.

Kvalifitseeritud e-templi puhul eeldatakse sellega seotud andmete terviklust ja nende andmete päritolu õigsust.

▼M1 —————

▼B

Artikkel 36

Nõuded täiustatud e-templile

►M1 ◄

Täiustatud e-tempel vastab järgmistele nõuetele:

see on seotud ainuüksi templi andjaga;

selle abil on võimalik templi andjat tuvastada;

see antakse e-templi loomiseks vajalike andmete abil, mida templi andja saab kõrge salastatuse taseme juures kasutada e-templi loomiseks, ning

see on seotud seda puudutavate andmetega sellisel viisil, et kõik hilisemad andmete muudatused on tuvastatavad.

▼M1

Hiljemalt 21. maiks 2026 hindab komisjon, kas on vaja võtta vastu rakendusaktid, et kehtestada võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused täiustatud e-templite jaoks. Olenevalt hindamise tulemustest võib komisjon sellised rakendusaktid vastu võtta. Kui täiustatud e-tempel vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse täiustatud e-templitele esitatavad nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 37

E-templid avalikus teenistuses

Kui liikmesriik nõuab avaliku sektori asutuse poolt või tema nimel osutatava internetipõhise teenuse kasutamiseks täiustatud e-templit, tunnustab see liikmesriik täiustatud e-templeid, e-templi kvalifitseeritud sertifikaadil põhinevaid täiustatud e-templeid ja kvalifitseeritud e-templeid, mis on loodud vähemalt lõikes 5 osutatud formaadis või rakendusaktides määratletud meetodeid kasutades.

Kui liikmesriik nõuab avaliku sektori asutuse poolt või tema nimel osutatava internetipõhise teenuse kasutamiseks kvalifitseeritud sertifikaadil põhinevat täiustatud e-templit, tunnustab see liikmesriik kvalifitseeritud sertifikaadil põhinevaid täiustatud e-templeid ja kvalifitseeritud e-templeid, mis on loodud vähemalt lõikes 5 osutatud formaadis või rakendusaktides määratletud meetodeid kasutades.

Liikmesriigid ei nõua avaliku sektori asutuse poolt osutatava internetipõhise teenuse piiriüleseks kasutamiseks e-templit, mille turvatase on kõrgem kui kvalifitseeritud e-templil.

▼M1 —————

▼B

Komisjon võtab kehtivaid tavasid, standardeid ja liidu õigusakte arvestades hiljemalt 18. septembriks 2015 vastu rakendusaktid, milles määratakse kindlaks täiustatud e-templite standardformaadid või alternatiivsete formaatide kasutamise korral standardmeetodid. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 38

E-templi kvalifitseeritud sertifikaadid

E-templi kvalifitseeritud sertifikaadid peavad vastama III lisas sätestatud nõuetele.

E-templi kvalifitseeritud sertifikaatide suhtes ei kohaldata ühtegi kohustuslikku nõuet, mis ületab III lisas sätestatud nõudeid.

E-templi kvalifitseeritud sertifikaadid võivad hõlmata mittekohustuslikke täiendavaid eritunnuseid. Need tunnused ei mõjuta kvalifitseeritud e-templite koosvõimet ega tunnustamist.

Kui e-templi kvalifitseeritud sertifikaat tühistatakse pärast esialgset aktiveerimist, kaotab see alates tühistamise hetkest kehtivuse ega saa oma staatust mingil juhul tagasi.

Liikmesriigid võivad järgmistel tingimustel kehtestada siseriiklikud eeskirjad e-templi kvalifitseeritud sertifikaatide ajutiseks peatamiseks:

kui e-templi kvalifitseeritud sertifikaat on ajutiselt peatatud, on kõnealune sertifikaat peatamise ajavahemikul kehtetu;

peatamise ajavahemik on sertifikaatide andmebaasis selgesti märgitud ja sertifikaatide staatuse kohta teavet andva teenuse kaudu saab peatamise ajavahemikul teavet sertifikaatide staatuse kohta.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused e-templite kvalifitseeritud sertifikaatide jaoks. Kui e-templi kvalifitseeritud sertifikaat vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse III lisas sätestatud nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

Artikkel 39

Kvalifitseeritud e-templi loomise vahendid

Kvalifitseeritud e-templi loomise vahendeid käsitlevate nõuete suhtes kohaldatakse mutatis mutandis artiklit 29.

Kvalifitseeritud e-templi loomise vahendite sertifitseerimise suhtes kohaldatakse mutatis mutandis artiklit 30.

Sertifitseeritud kvalifitseeritud e-templi loomise vahendite nimekirja avaldamise suhtes kohaldatakse mutatis mutandis artiklit 31.

▼M1

Artikkel 39a

Nõuded kvalifitseeritud e-templi kaugloomise vahendi haldamise kvalifitseeritud teenusele

Kvalifitseeritud e-templi kaugloomise vahendi haldamise kvalifitseeritud teenuse suhtes kohaldatakse mutatis mutandis artiklit 29a.

▼B

Artikkel 40

Kvalifitseeritud e-templite valideerimine ja säilitamine

Kvalifitseeritud e-templite valideerimise ja säilitamise suhtes kohaldatakse mutatis mutandis artikleid 32, 33 ja 34.

▼M1

Artikkel 40a

Nõuded kvalifitseeritud sertifikaatidel põhinevate täiustatud e-templite valideerimisele

Kvalifitseeritud sertifikaatidel põhinevate täiustatud e-templite valideerimise suhtes kohaldatakse mutatis mutandis artiklit 32a.

▼B

JAGU

E-ajatemplid

Artikkel 41

E-ajatempli õiguslik toime

E-ajatemplit ei tunnistata õiguslikult kehtetuks ega kohtumenetlustes tõenduskõlbmatuks ainuüksi seetõttu, et see on elektroonilisel kujul või ei vasta kvalifitseeritud e-ajatemplitele esitatavatele nõuetele.

Kvalifitseeritud e-ajatempli suhtes kehtib sellega osutatava kuupäeva ja ajahetke täpsuse ja kõnealuse kuupäeva ja ajahetkega seotud andmete tervikluse eeldus.

▼M1 —————

▼B

Artikkel 42

Nõuded kvalifitseeritud e-ajatemplitele

Kvalifitseeritud e-ajatempel vastab järgmistele nõuetele:

see seob kuupäeva ja ajahetke andmetega sellisel viisil, mis mõistlikkuse piires välistab andmete tuvastamatu muutmise võimaluse;

see põhineb täpsel ajaallikal, mis on seotud koordineeritud maailmaajaga, ning

see on allkirjastatud kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkirjaga või kinnitatud kvalifitseeritud usaldusteenuse osutaja täiustatud e-templiga või mõne muu samaväärse meetodi abil.

▼M1

1a.

Kui kuupäeva ja ajahetke andmetega sidumine ning ajaallika täpsus vastavad lõikes 2 osutatud standarditele, kirjeldustele ja menetlustele, loetakse lõikes 1 sätestatud nõuded täidetuks.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kuupäeva ja ajahetke andmetega sidumiseks ning ajaallikate täpsuse kindlakstegemiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

JAGU

Registreeritud e-andmevahetusteenused

Artikkel 43

Registreeritud andmevahetusteenuse õiguslik toime

Registreeritud andmevahetusteenust kasutades saadetud ja kättesaadud andmeid ei tunnistata õiguslikult kehtetuks ega kohtumenetlustes tõenduskõlbmatuks ainuüksi seetõttu, et teenus on elektrooniline või ei vasta kvalifitseeritud registreeritud e-andmevahetusteenusele esitatavatele nõuetele.

Kvalifitseeritud registreeritud e-andmevahetusteenust kasutades saadetud ja kättesaadud andmete suhtes kehtib kvalifitseeritud registreeritud e-andmevahetusteenuse osutamisel märgitud andmete tervikluse, nende andmete idenditud saatja poolse saatmise ja idenditud adressaadi poolse kättesaamise ja nende andmete saatmise ja kättesaamise kuupäeva ja ajahetke täpsuse eeldus.

Artikkel 44

Nõuded kvalifitseeritud registreeritud e-andmevahetusteenustele

Kvalifitseeritud registreeritud e-andmevahetusteenused peavad vastama järgmistele nõuetele:

neid pakub üks või mitu kvalifitseeritud usaldusteenuse osutajat;

need tagavad saatja väga usaldusväärse identimise;

need tagavad adressaadi identimise enne andmete kättetoimetamist;

andmete saatmine ja kättesaamine on kaitstud kvalifitseeritud usaldusteenuse osutaja pakutava täiustatud e-allkirja või täiustatud e-templiga viisil, mis välistab andmete tuvastamatu muutmise võimaluse;

mis tahes muudatusi andmete saatmiseks või kättesaamiseks vajalikes andmetes näidatakse andmete saatjale ja adressaadile selgesti;

andmete saatmise, kättesaamise ja mis tahes muudatuste tegemise kuupäev ja ajahetk näidatakse kvalifitseeritud e-ajatempliga.

Kui andmeid saadetakse kahe või enama kvalifitseeritud usaldusteenuse osutaja vahel, kohaldatakse punktides a–f osutatud nõudeid kõikide kvalifitseeritud usaldusteenuse osutajate suhtes.

▼M1

Kui andmete saatmise ja kättesaamise protsess vastab lõikes 2 osutatud standarditele, kirjeldustele ja menetlustele, loetakse lõikes 1 sätestatud nõuded täidetuks.

▼M1

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused andmete saatmise ja kättesaamise protsesside jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

2a.

Kvalifitseeritud registreeritud e-andmevahetusteenuste osutajad võivad kokku leppida nende osutatavate kvalifitseeritud registreeritud e-andmevahetusteenuste koostalitlusvõimes. Selline koostalitlusvõime raamistik peab vastama lõikes 1 sätestatud nõuetele ja selle vastavuse kinnitab vastavushindamisasutus.

2b.

Komisjon võib rakendusaktidega kehtestada võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 2a osutatud koostalitlusvõime raamistiku jaoks. Tehnilised kirjeldused ja standardite sisu peavad olema kulutõhusad ja proportsionaalsed. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

JAGU

Veebisaidi autentimine

▼M1

Artikkel 45

Nõuded veebisaidi autentimise kvalifitseeritud sertifikaatidele

Veebisaidi autentimise kvalifitseeritud sertifikaadid peavad vastama IV lisas sätestatud nõuetele. Kõnealustele nõuetele vastavust hinnatakse vastavalt käesoleva artikli lõikes 2 osutatud standarditele, kirjeldustele ja menetlustele.

1a.

Veebibrauserite pakkujad tunnustavad käesoleva artikli lõike 1 kohaselt väljastatud veebisaidi autentimise kvalifitseeritud sertifikaate. Veebibrauserite pakkujad tagavad, et sertifikaadis tõendatud identiteediandmed ja täiendavad tõendatud atribuudid kuvatakse kasutajasõbralikul viisil. Veebibrauserite pakkujad tagavad käesoleva artikli lõikes 1 osutatud veebisaidi autentimise kvalifitseeritud sertifikaatide toetamise ja koostalitlusvõime nendega; välja arvatud soovituse 2003/361/EÜ lisa artiklis 2 määratletud mikro- ja väikeettevõtjate puhul esimese viie aasta jooksul, mil nad tegutsevad veebilehitsemisteenuste pakkujatena.

1b.

Veebisaidi autentimise kvalifitseeritud sertifikaatide suhtes ei kohaldata ühtegi kohustuslikku nõuet peale lõikes 1 sätestatud nõuete.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 1 osutatud veebisaidi autentimise kvalifitseeritud sertifikaatide jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼M1

Artikkel 45a

Ettevaatusabinõud küberturvalisuse tagamiseks

Veebibrauserite pakkujad ei võta abinõusid, mis on vastuolus nende artiklis 45 sätestatud kohustustega, eelkõige nõuetega tunnustada veebisaidi autentimiseks kvalifitseeritud sertifikaate ja kuvada esitatud identiteediandmeid kasutajasõbralikul viisil.

Erandina lõikest 1 ja üksnes põhjendatud kahtluse korral seoses tuvastatud sertifikaadi või sertifikaatide kogumi turvarikkumiste või tervikluse kadumisega võivad veebibrauserite pakkujad võtta asjaomase sertifikaadi või sertifikaatide kogumi suhtes ettevaatusabinõusid.

Kui veebibrauserite pakkuja võtab lõike 2 kohaselt ettevaatusabinõusid, teatab veebibrauserite pakkuja oma kahtlustest põhjendamatu viivituseta kirjalikult komisjonile, pädevale järelevalveasutusele, üksusele, kellele sertifikaat väljastati, ja kvalifitseeritud usaldusteenuse osutajale, kes asjaomase sertifikaadi või sertifikaatide kogumi väljastas. Sellise teate saamisel saadab pädev järelevalveasutus asjaomasele veebibrauserite pakkujale kinnituse teate kättesaamise kohta.

Pädev järelevalveasutus uurib teates tõstatatud küsimusi kooskõlas artikli 46b lõike 4 punktiga k. Kui uurimise tulemusel sertifikaadi kvalifitseeritud staatust ära ei võeta, teavitab järelevalveasutus sellest veebibrauserite pakkujat ja palub tal lõpetada käesoleva artikli lõikes 2 osutatud ettevaatusabinõude rakendamise.

9. JAGU

elektrooniline tõend

Artikkel 45b

Elektroonilise tõendi õiguslik toime

Elektroonilise tõendi õigusjõudu ega kohtumenetluses tõendina lubatavust ei tohi välistada üksnes seetõttu, et see on elektroonilisel kujul või ei vasta kvalifitseeritud elektroonilistele tõenditele esitatavatele nõuetele.

Kvalifitseeritud elektroonilistel tõenditel ja tõenditel, mis on välja antud autentse allika eest vastutava avaliku sektori asutuse poolt või nimel, on samasugune õiguslik toime nagu seaduslikult välja antud paberil tõenditel.

Tõendit, mis on ühes liikmesriigis väljastatud autentse allika eest vastutava avaliku sektori asutuse poolt või nimel, tunnustatakse tõendina, mis on väljastatud autentse allika eest vastutava avaliku sektori asutuse poolt või nimel, kõigis liikmesriikides.

Artikkel 45c

Elektrooniline tõend avalike teenuste puhul

Kui vastavalt riigisisesele õigusele nõutakse avaliku sektori asutuse osutatavale internetipõhisele teenusele juurdepääsuks elektroonilist tuvastamist e-identimise vahendi abil ja autentimist, ei asenda elektroonilises tõendis sisalduvad isikutuvastusandmed elektroonilist tuvastamist e-identimise vahendi abil ja autentimist elektroonilise tuvastamise eesmärgil, välja arvatud juhul, kui liikmesriik seda konkreetselt lubab. Sellisel juhul aktsepteeritakse ka teiste liikmesriikide kvalifitseeritud elektroonilisi tõendeid.

Artikkel 45d

Kvalifitseeritud elektroonilistele tõenditele esitatavad nõuded

Kvalifitseeritud elektrooniline tõend peab vastama V lisas sätestatud nõuetele.

V lisas sätestatud nõuetele vastavust hinnatakse vastavalt käesoleva artikli lõikes 5 osutatud standarditele, kirjeldustele ja menetlustele.

Kvalifitseeritud elektroonilise tõendi suhtes ei kohaldata ühtegi kohustuslikku nõuet lisaks V lisas sätestatud nõuetele.

Kui kvalifitseeritud elektrooniline tõend tunnistatakse pärast algset väljastamist kehtetuks, kaotab see kehtivuse alates kehtetuks tunnistamise hetkest ja selle staatust ei saa mingil juhul ennistada.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kvalifitseeritud elektrooniliste tõendite jaoks. Nimetatud rakendusaktid peavad olema kooskõlas artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukru rakendamist. Need võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 45e

Atribuutide kontrollimine autentsete allikate alusel

Liikmesriigid tagavad 24 kuu jooksul pärast artikli 5a lõikes 23 ja artikli 5c lõikes 6 osutatud rakendusaktide jõustumise kuupäeva, et vähemalt VI lisas loetletud atribuutide puhul, kui need atribuudid põhinevad avaliku sektori autentsetel allikatel, võetakse meetmed, mis võimaldavad elektrooniliste tõendite kvalifitseeritud usaldusteenuse osutajatel neid atribuute kasutaja taotlusel kooskõlas liidu või riigisisese õigusega elektrooniliselt kontrollida.

Hiljemalt 21. novembriks 2024 kehtestab komisjon, võttes arvesse asjakohaseid rahvusvahelisi standardeid, rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused atribuutide kataloogi jaoks, kavad atribuutide tõendamise jaoks ning käesoleva artikli lõike 1 kohaldamiseks kvalifitseeritud elektrooniliste tõendite kontrolli menetlused. Nimetatud rakendusaktid peavad olema kooskõlas artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukru rakendamist. Need võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 45f

Autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektroonilistele tõenditele esitatavad nõuded

Autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektrooniline tõend peab vastama järgmistele nõuetele:

VII lisas sätestatud nõuded;

VII lisa punktis b osutatud väljaandjana tuvastatud ja artikli 3 punktis 46 osutatud avaliku sektori asutuse kvalifitseeritud e-allkirja või kvalifitseeritud e-templit toetav kvalifitseeritud sertifikaat sisaldab automaatseks töötlemiseks sobivas formaadis konkreetseid sertifitseeritud atribuute,

millest nähtub, et väljastav asutus on asutatud vastavalt liidu või riigisisesele õigusele asutusena, mis vastutab autentse allika eest, mille alusel elektrooniline tõend välja antakse, või asutusena, mis on määratud tegutsema selle asutuse nimel;

ii)

mis hõlmavad andmeid, mis üheselt mõistetavalt tähistavad alapunktis i osutatud autentset allikat, ning

iii)

milles määratakse kindlaks alapunktis i osutatud liidu või riigisisene õigus.

Liikmesriik, kus artikli 3 punktis 46 osutatud avaliku sektori asutused on asutatud, tagab et elektroonilisi tõendeid välja andvad avaliku sektori asutused vastavad samaväärsele usaldusväärsuse tasemele kui kvalifitseeritud usaldusteenuse osutajad vastavalt artiklile 24.

Liikmesriigid teavitab artikli 3 punktis 46 osutatud avaliku sektori asutustest komisjoni. See teavitus hõlmab vastavushindamisasutuse koostatud vastavushindamisaruannet, milles kinnitatakse, et käesoleva artikli lõigetes 1, 2 ja 6 sätestatud nõuded on täidetud. Komisjon teeb artikli 3 punktis 46 osutatud avaliku sektori asutuste loetelu turvalise kanali kaudu üldsusele kättesaadavaks automaatseks töötlemiseks sobivas, elektrooniliselt allkirjastatud või e-templiga varustatud formaadis.

Kui autentse allika eest vastutava avaliku sektori asutuse poolt või nimel välja antud elektrooniline tõend tunnistatakse pärast algset väljastamist kehtetuks, kaotab see kehtivuse alates kehtetuks tunnistamise hetkest ning selle staatust ei saa ennistada.

Kui autentse allika eest vastutava avaliku sektori asutuse poolt või nimel välja antud elektrooniline tõend vastab lõikes 6 osutatud standarditele, kirjeldustele ja menetlustele, loetakse see lõikes 1 sätestatud nõuetele vastavaks.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektroonilise tõendi jaoks. Nimetatud rakendusaktid peavad olema kooskõlas artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukru rakendamist. Need võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Hiljemalt 21. novembriks 2024 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõike 3 kohaldamiseks. Nimetatud rakendusaktid peavad olema kooskõlas artikli 5a lõikes 23 osutatud rakendusaktidega, mis käsitlevad Euroopa digiidentiteedikukru rakendamist. Need võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikli 3 punktis 46 osutatud avaliku sektori asutused, kes väljastavad elektroonilisi tõendeid, tagavad liidese artikli 5a kohaselt pakutavate Euroopa digiidentiteedikukrute jaoks.

Artikkel 45g

Elektrooniliste tõendite väljastamine Euroopa digiidentiteedikukrutesse

Elektrooniliste tõendite pakkujad annavad Euroopa digiidentiteedikukru kasutajatele võimaluse taotleda, saada, salvestada ja hallata elektroonilist tõendit, olenemata sellest, millises liikmesriigis Euroopa digiidentiteedikukrut pakutakse.

Kvalifitseeritud elektrooniliste tõendite pakkujad tagavad liidese artikli 5a kohaselt pakutavate Euroopa digiidentiteedikukrute jaoks.

Artikkel 45h

Täiendavad normid elektroonilise tõendi teenuste osutamiseks

Kvalifitseeritud ja kvalifitseerimata elektrooniliste tõendite teenuste osutajad ei tohi kombineerida selliste teenuste osutamisega seotud isikuandmeid enda või oma äripartnerite pakutavate muude teenustega seotud isikuandmetega.

Elektrooniliste tõendite teenuste osutamisega seotud isikuandmeid hoitakse elektrooniliste tõendite pakkuja valduses olevatest muudest andmetest loogiliselt eraldi.

Kvalifitseeritud elektrooniliste tõendite teenuste osutajad tagavad, et selliseid kvalifitseeritud usaldusteenuseid osutatakse muudest nende osutatavatest teenustest funktsionaalselt eraldi.

10. JAGU

elektroonilise arhiveerimise teenused

Artikkel 45i

Elektroonilise arhiveerimise teenuse õiguslik toime

Elektrooniliste andmete ja e-dokumentide, mille säilitamiseks kasutatakse elektroonilise arhiveerimise teenust, õigusjõudu ega kohtumenetluses tõendina lubatavust ei tohi välistada üksnes seetõttu, et need on elektroonilisel kujul või et nende säilitamiseks ei kasutata kvalifitseeritud elektroonilise arhiveerimise teenust.

Kvalifitseeritud elektroonilise arhiveerimise teenuse abil säilitatavate elektrooniliste andmete ja e-dokumentide puhul kehtib nende kvalifitseeritud usaldusteenuse osutaja poolt säilitamise ajal andmete tervikluse ja päritolu presumptsioon.

Artikkel 45j

Kvalifitseeritud elektroonilise arhiveerimise teenustele esitatavad nõuded

Kvalifitseeritud elektroonilise arhiveerimise teenused vastavad järgmistele nõuetele:

neid osutavad kvalifitseeritud usaldusteenuse osutajad;

nende puhul kasutatakse menetlusi ja tehnoloogiat, millega on võimalik tagada elektrooniliste andmete ja e-dokumentide säilivus ja loetavus ka pärast nende tehnoloogilise kehtivusaja lõppemist ja vähemalt kogu nende õigusliku või lepingujärgse säilitamisaja jooksul, säilitades samal ajal nende tervikluse ja nende päritolu täpsuse;

nende puhul on tagatud, et elektroonilisi andmeid ja e-dokumente säilitatakse selliselt, et need on kaitstud kaotsimineku ja muutmise eest, välja arvatud muudatused seoses andmekandja või andmete elektroonilise vorminguga;

need võimaldavad volitatud tuginevatel isikutel saada automaatselt teate, mis kinnitab, et kvalifitseeritud elektroonilisest arhiivist saadud elektrooniliste andmete ja e-dokumentide puhul kehtib andmetervikluse presumptsioon nende säilitamisaja algusest kuni otsingu hetkeni.

Esimese lõigu punktis d osutatud teade esitatakse usaldusväärsel ja tõhusal viisil ning see ning sellel on kvalifitseeritud elektroonilise arhiveerimise teenuse osutaja kvalifitseeritud e-allkiri või kvalifitseeritud e-tempel.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused kvalifitseeritud elektroonilise arhiveerimise teenuste jaoks. Kui kvalifitseeritud elektroonilise arhiveerimise teenus vastab kõnealustele standarditele, kirjeldustele ja menetlustele, loetakse kvalifitseeritud elektroonilise arhiveerimise teenustele esitatavad nõuded täidetuks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

11. JAGU

elektroonilised arvestusraamatud

Artikkel 45k

Elektrooniliste arvestusraamatute õiguslik toime

Elektroonilise arvestusraamatu õigusjõudu ega kohtumenetluses tõendina lubatavust ei tohi välistada üksnes seetõttu, et see on elektroonilisel kujul või ei vasta kvalifitseeritud elektroonilistele arvestusraamatutele esitatavatele nõuetele.

Kvalifitseeritud elektroonilises arvestusraamatus sisalduvate andmekirjete puhul kehtib nende kordumatu ja täpse kronoloogilise järjestuse ning tervikluse presumptsioon.

Artikkel 45l

Kvalifitseeritud elektroonilistele arvestusraamatutele esitatavad nõuded

Kvalifitseeritud elektroonilised arvestusraamatud vastavad järgmistele nõuetele:

need on loonud ja neid haldab üks või mitu kvalifitseeritud usaldusteenuse osutajat;

neis määratakse kindlaks arvestusraamatusse kantud andmekirjete päritolu;

need tagavad arvestusraamatusse kantud andmekirjete kordumatu kronoloogilise järjestuse;

neisse kantakse andmeid sellisel viisil, et kõik hilisemad andmete muudatused on kohe tuvastatavad, tagades andmete tervikluse ajas.

Kui elektrooniline arvestusraamat vastab lõikes 3 osutatud standarditele, kirjeldustele ja menetlustele, loetakse lõikes 1 sätestatud nõuded täidetuks.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega võrdlusstandardite loetelu ning vajaduse korral kirjeldused ja menetlused käesoleva artikli lõikes 1 sätestatud nõuete jaoks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

PEATÜKK

E-DOKUMENDID

Artikkel 46

E-dokumentide õiguslik toime

E-dokumenti ei tunnistata õiguslikult kehtetuks ega kohtumenetlustes tõenduskõlbmatuks ainuüksi seetõttu, et see on elektroonilisel kujul.

▼M1

PEATÜKK IVa

JUHTIMISRAAMISTIK

Artikkel 46a

Euroopa digiidentiteedikukru raamistiku järelevalve

Liikmesriigid määravad oma territooriumil ühe või mitu järelevalveasutust.

Esimese lõigu kohaselt määratud järelevalveasutustele antakse oma ülesannete tulemuslikuks, tõhusaks ja sõltumatuks täitmiseks vajalikud volitused ja piisavad vahendid.

Liikmesriigid teatavad põhjendamatu viivituseta komisjonile lõike 1 kohaselt määratud järelevalveasutuste nimed ja aadressid ning nende hilisemad muudatused. Komisjon avaldab teatatud järelevalveasutuste loetelu.

Lõike 1 kohaselt määratud järelevalveasutuste roll on

teha järelevalvet määrava liikmesriigi territooriumil asutatud Euroopa digiidentiteedikukrute pakkujate üle ning tagada eelneva ja järgneva järelevalve käigus, et need pakkujad ja nende pakutavad Euroopa digiidentiteedikukrud vastaksid käesolevas määruses sätestatud nõuetele;

võtta vajaduse korral järgneva järelevalve käigus meetmeid määrava liikmesriigi territooriumil asutatud Euroopa digiidentiteedikukrute pakkujate suhtes, kui nad on saanud teavet, et pakkujad või nende pakutavad Euroopa digiidentiteedikukrud rikuvad käesolevat määrust.

Lõike 1 kohaselt määratud järelevalveasutustel on eelkõige järgmised ülesanded:

teha koostööd teiste järelevalveasutustega ja anda neile abi kooskõlas artiklitega 46c ja 46e;

nõuda teavet, mida on vaja käesoleva määruse täitmise üle seire tegemiseks;

teavitada direktiivi (EL) 2022/2555 artikli 8 lõike 1 alusel määratud või asutatud asjaomaseid pädevaid asutusi igast olulisest turvarikkumisest või tervikluse kaost, millest nad oma ülesannete täitmisel teada saavad, ning teavitada teisi liikmesriike puudutava olulise turvarikkumise või tervikluse kao korral asjaomase liikmesriigi direktiivi (EL) 2022/2555 artikli 8 lõike 3 alusel määratud või asutatud ühtset kontaktpunkti ja teistes asjaomastes liikmesriikides käesoleva määruse artikli 46c lõike 1 alusel määratud ühtseid kontaktpunkte, samuti teavitada üldsust või nõuda, et Euroopa digiidentiteedikukru pakkujad seda teeks, kui nad on teinud kindlaks, et turvarikkumise või tervikluse kao avalikustamine oleks üldsuse huvides;

teha kohapealseid kontrolle ja kaugjärelevalvet;

nõuda Euroopa digiidentiteedikukrute pakkujatelt käesolevas määruses sätestatud nõuete täitmata jätmise heastamist;

peatada või tühistada tuginevate isikute registreerimine ja kaasamine artikli 5b lõikes 7 osutatud mehhanismi Euroopa digiidentiteedikukru ebaseadusliku või petturliku kasutamise korral;

teha koostööd määruse (EL) 2016/679 artikli 51 kohaselt asutatud pädevate järelevalveasutustega, eelkõige teavitades neid põhjendamatu viivituseta sellest, kui isikuandmete kaitse reegleid näib olevat rikutud, ja turvarikkumistest, mis näivad kujutavat endast isikuandmetega seotud rikkumisi.

Kui lõike 1 kohaselt määratud järelevalveasutus nõuab Euroopa digiidentiteedikukru pakkujalt käesoleva määruse kohaste nõuete täitmata jätmise heastamist vastavalt lõike 4 punktile e ning kõnealune pakkuja ei tegutse vastavalt, ja kui see on kohaldatav, kõnealuse järelevalveasutuse kehtestatud tähtaja jooksul, võib lõike 1 kohaselt määratud järelevalveasutus, võttes eelkõige arvesse sellise rikkumise ulatust, kestust ja tagajärgi, anda pakkujale korralduse peatada või lõpetada Euroopa digiidentiteedikukru pakkumine. Järelevalveasutus teavitab põhjendamatu viivituseta teiste liikmesriikide järelevalveasutusi, komisjoni, tuginevaid isikuid ja Euroopa digiidentiteedikukru kasutajaid otsusest nõuda Euroopa digiidentiteedikukru pakkumise peatamist või lõpetamist.

Iga lõike 1 kohaselt määratud järelevalveasutus esitab komisjonile iga aasta 31. märtsiks aruande oma eelneva kalendriaasta põhitegevuse kohta. Komisjon teeb kõnealused aastaaruanded Euroopa Parlamendile ja nõukogule kättesaadavaks.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega käesoleva artikli lõikes 6 osutatud aruandluse formaadid ja menetlused. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 46b

Usaldusteenuste järelevalve

Liikmesriigid määravad oma territooriumil asutatud järelevalveasutuse või vastastikusel kokkuleppel teise liikmesriigiga määravad kõnealuses teises liikmesriigis asutatud järelevalveasutuse. Nimetatud järelevalveasutus vastutab määravas liikmesriigis usaldusteenustega seotud järelevalveülesannete täitmise eest.

Esimese lõigu kohaselt määratud järelevalveasutustele antakse oma ülesannete täitmiseks vajalikud volitused ja piisavad vahendid.

Liikmesriigid teatavad põhjendamatu viivituseta komisjonile oma lõike 1 kohaselt määratud järelevalveasutuste nimed ja aadressid ning nende hilisemad muudatused. Komisjon avaldab teatatud järelevalveasutuste loetelu.

Lõike 1 kohaselt määratud järelevalveasutuste roll on

teha järelevalvet määrava liikmesriigi territooriumil asutatud kvalifitseeritud usaldusteenuse osutajate üle ning tagada eelneva ja järgneva järelevalve käigus, et kvalifitseeritud usaldusteenuse osutajad ja nende osutatavad kvalifitseeritud usaldusteenused vastaksid käesolevas määruses sätestatud nõuetele;

võtta järgneva järelevalve käigus vajaduse korral meetmeid määrava liikmesriigi territooriumil asutatud kvalifitseerimata usaldusteenuse osutajate suhtes, kui järelevalveasutusele teatatakse, et kvalifitseerimata usaldusteenuse osutajad või nende osutatavad usaldusteenused ei vasta väidetavalt käesolevas määruses sätestatud nõuetele.

Lõike 1 kohaselt määratud järelevalveasutusel on eelkõige järgmised ülesanded:

teavitada direktiivi (EL) 2022/2555 artikli 8 lõike 1 alusel määratud või asutatud asjaomaseid pädevaid asutusi igast olulisest turvarikkumisest või tervikluse kaost, millest ta oma ülesannete täitmisel teada saab, ning teavitada teisi liikmesriike puudutava olulise turvarikkumise või tervikluse kao korral asjaomase liikmesriigi direktiivi (EL) 2022/2555 artikli 8 lõike 3 alusel määratud või asutatud ühtset kontaktpunkti ja teistes asjaomastes liikmesriikides käesoleva määruse artikli 46c lõike 1 alusel määratud ühtseid kontaktpunkte, samuti teavitada üldsust või nõuda, et usaldusteenuse osutaja seda teeks, kui järelevalveasutus on teinud kindlaks, et turvarikkumise või tervikluse kao avalikustamine oleks üldsuse huvides;

teha koostööd teiste järelevalveasutustega ja anda neile abi kooskõlas artiklitega 46c ja 46e;

analüüsida artikli 20 lõikes 1 ja artikli 21 lõikes 1 osutatud vastavushindamisaruandeid;

anda komisjonile aru oma põhitegevusest kooskõlas käesoleva artikli lõikega 6;

korraldada auditeid või paluda vastavushindamisasutusel teha kvalifitseeritud usaldusteenuse osutajate vastavushindamine kooskõlas artikli 20 lõikega 2;

anda usaldusteenuse osutajatele ja nende osutatavatele teenustele kvalifitseeritud staatus ning võtta see staatus ära kooskõlas artiklitega 20 ja 21;

teavitada artikli 22 lõikes 3 osutatud riigisiseste usaldusnimekirjade eest vastutavat asutust oma otsustest anda kvalifitseeritud staatus või võtta see ära, välja arvatud juhul, kui kõnealune asutus on samuti lõike 1 kohaselt määratud järelevalveasutus;

kontrollida lõpetamiskava käsitlevate sätete olemasolu ja nõuetekohast kohaldamist, kui kvalifitseeritud usaldusteenuse osutaja lõpetab oma tegevuse, sealhulgas seda, kuidas teave hoitakse kättesaadavana kooskõlas artikli 24 lõike 2 punktiga h;

nõuda usaldusteenuse osutajatelt käesolevas määruses sätestatud nõuete täitmata jätmise heastamist;

uurida veebibrauserite pakkujate poolt artikli 45a kohaselt esitatud väiteid ja võtta vajaduse korral meetmeid.

Liikmesriigid võivad nõuda, et lõike 1 kohaselt määratud järelevalveasutus looks, haldaks ja ajakohastaks usaldusteenuste taristut kooskõlas riigisisese õigusega.

Hiljemalt 21. maiks 2025 võtab komisjon vastu suunised, mis käsitlevad käesoleva artikli lõikes 4 osutatud ülesannete täitmist lõike 1 kohaselt määratud järelevalveasutuste poolt, ning kehtestab rakendusaktidega käesoleva artikli lõikes 6 osutatud aruandluse formaadid ja menetlused. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

Artikkel 46c

Ühtsed kontaktpunktid

Iga liikmesriik määrab usaldusteenuste, Euroopa digiidentiteedikukrute ja teavitatud e-identimise süsteemide jaoks ühtse kontaktpunkti.

Iga ühtne kontaktpunkt täidab sidepidamisfunktsiooni, et hõlbustada piiriülest koostööd usaldusteenuse osutajate järelevalveasutuste vahel ja Euroopa digiidentiteedikukrute pakkujate järelevalveasutuste vahel ning asjakohastel juhtudel komisjoni ja Euroopa Liidu Küberturvalisuse Ametiga (ENISA) ja muude oma liikmesriigi pädevate asutustega.

Iga liikmesriik avalikustab ja teatab põhjendamatu viivituseta komisjonile lõike 1 kohaselt määratud ühtse kontaktpunkti nimed ja aadressid ning nende hilisemad muudatused.

Komisjon avaldab lõike 3 kohaselt teatatud ühtsete kontaktpunktide loetelu.

Artikkel 46d

Vastastikune abi

Selleks et hõlbustada käesolevast määrusest tulenevate kohustuste üle tehtavat järelevalvet ja täitmise tagamist, võivad artikli 46a lõike 1 ja artikli 46b lõike 1 kohaselt määratud järelevalveasutused taotleda, sealhulgas artikli 46e lõike 1 kohaselt loodud koostöörühma kaudu, vastastikust abi sellises teises liikmesriigis asuvatelt järelevalveasutustelt, kus Euroopa digiidentiteedikukru pakkuja või usaldusteenuse osutaja on asutatud või kus asuvad tema võrgu- ja infosüsteemid või osutatakse tema teenuseid.

Vastastikune abi hõlmab vähemalt järgmist:

ühes liikmesriigis järelevalve- ja täitemeetmeid kohaldav järelevalveasutus teavitab teise asjaomase liikmesriigi järelevalveasutust ja konsulteerib temaga;

järelevalveasutus võib taotleda teise liikmesriigi järelevalveasutuselt järelevalve- või täitemeetmete võtmist, sealhulgas näiteks taotlused artiklites 20 ja 21 osutatud vastavushindamisaruannetega seotud kontrollide tegemiseks seoses usaldusteenuste osutamisega;

kui see on asjakohane, võivad järelevalveasutused viia läbi ühiseid uurimisi teiste liikmesriikide järelevalveasutustega.

Asjaomased liikmesriigid lepivad esimese lõigus osutatud ühiste toimingute korras ja protseduurides kokku ning kehtestavad need oma riigisisese õiguse kohaselt.

Abitaotluse saanud järelevalveasutus võib taotluse täitmisest keelduda mis tahes järgmisel alusel:

taotletav abi ei ole proportsionaalne järelevalveasutuse järelevalvetegevusega vastavalt artiklitele 46a ja 46b;

järelevalveasutus ei ole pädev taotletavat abi andma;

taotletava abi andmine oleks vastuolus käesoleva määrusega.

Artikli 46e lõike 1 kohaselt loodud koostöörühm annab hiljemalt 21. maiks 2025 ja seejärel iga kahe aasta tagant välja suunised käesoleva artikli lõigetes 1 ja 2 osutatud vastastikuse abi korralduslike aspektide ja menetluse kohta.

Artikkel 46e

Euroopa digiidentiteedi koostöörühm

Selleks et toetada ja hõlbustada liikmesriikide piiriülest koostööd ja teabevahetust usaldusteenuste, Euroopa digiidentiteedikukrute ja teavitatud e-identimise süsteemide kohta, loob komisjon Euroopa digiidentiteedi koostöörühma (edaspidi „koostöörühm“).

Koostöörühm koosneb liikmesriikide ja komisjoni määratud esindajatest. Koostöörühma juhib komisjon. Komisjon tagab koostöörühmale sekretariaadi.

Asjaomaste sidusrühmade esindajaid võib vastavalt vajadusele kutsuda osalema vaatlejatena koostöörühma koosolekutel ja selle töös.

ENISA kutsutakse osalema vaatlejana koostöörühma töös, kui koostöörühm vahetab arvamusi, parimaid tavasid ja teavet asjakohaste küberturvalisuse aspektide kohta, nagu turvarikkumistest teatamine, ning kui käsitletakse küberturvalisuse sertifikaatide või standardite kasutamist.

Koostöörühmal on järgmised ülesanded:

pidada komisjoniga nõu ja teha temaga koostööd uute poliitiliste algatuste osas digiidentiteedikukrute, e-identimise vahendite ja usaldusteenuste valdkonnas;

nõustada kohasel viisil komisjoni käesoleva määruse kohaselt vastuvõetavate rakendusaktide ja delegeeritud õigusaktide eelnõude ettevalmistamise varajases etapis;

selleks et toetada järelevalveasutusi käesoleva määruse sätete rakendamisel,

vahetada parimaid tavasid ja teavet käesoleva määruse sätete rakendamise kohta;

ii)

hinnata asjakohaseid arengusuundi digiidentiteedikukrute, e-identimise ja usaldusteenuste sektoris;

iii)

korraldada ühiskoosolekuid asjaomaste huvitatud pooltega kogu liidust, et arutada koostöörühma tegevust ja koguda teavet esilekerkivate poliitikaprobleemide kohta;

iv)

vahetada ENISA toetusel arvamusi, parimaid tavasid ja teavet Euroopa digiidentiteedikukrute, e-identimise süsteemide ja usaldusteenuste asjakohaste küberturvalisuse aspektide kohta;

vahetada parimaid tavasid seoses artiklites 5e ja 10 osutatud turvarikkumistest teatamise ja ühismeetmete alase poliitika väljatöötamise ja rakendamisega;

vi)

korraldada ühiskoosolekuid direktiivi (EL) 2022/2555 artikli 14 lõike 1 kohaselt loodud võrgu- ja infoturbe koostöörühmaga, et vahetada asjakohast teavet usaldusteenuste ja e-identimisega seotud küberohtude, intsidentide, nõrkuste, teadlikkuse suurendamise algatuste, koolituste, õppuste ja oskuste, suutlikkuse suurendamise, standardite ja tehniliste kirjelduste alase suutlikkuse ning standardite ja tehniliste kirjelduste kohta;

vii)

arutada järelevalveasutuse taotlusel konkreetseid vastastikuse abi taotlusi, nagu on osutatud artiklis 46d;

viii)

hõlbustada teabevahetust järelevalveasutuste vahel, andes suuniseid artiklis 46d osutatud vastastikuse abi korralduslike aspektide ja menetluste kohta;

korraldada selliste e-identimise süsteemide vastastikuseid hindamisi, millest tuleb käesoleva määruse kohaselt teavitada.

Liikmesriigid tagavad koostöörühmas enda määratud esindajate tulemusliku ja tõhusa koostöö.

Hiljemalt 21. maiks 2025 kehtestab komisjon rakendusaktidega vajaliku korra käesoleva artikli lõike 5 punktis d osutatud liikmesriikidevahelise koostöö hõlbustamiseks. Nimetatud rakendusaktid võetakse vastu kooskõlas artikli 48 lõikes 2 osutatud kontrollimenetlusega.

▼B

PEATÜKK

DELEGEERITUD ÕIGUSAKTID JA RAKENDUSAKTID

Artikkel 47

Delegeeritud volituste rakendamine

Komisjonile antakse õigus võtta vastu delegeeritud õigusakte käesolevas artiklis sätestatud tingimustel.

▼M1

Artikli 5c lõikes 7, artikli 24 lõikes 4b ja artikli 30 lõikes 4 osutatud õigus võtta vastu delegeeritud õigusakte antakse komisjonile määramata ajaks alates 17. septembrist 2014.

Euroopa Parlament või nõukogu võib artikli 5c lõikes 7, artikli 24 lõikes 4b ja artikli 30 lõikes 4 osutatud volituste delegeerimise igal ajal tagasi võtta. Tagasivõtmise otsusega lõpetatakse otsuses nimetatud volituste delegeerimine. Otsus jõustub järgmisel päeval pärast selle avaldamist Euroopa Liidu Teatajas või otsuses nimetatud hilisemal kuupäeval. See ei mõjuta juba jõustunud delegeeritud õigusaktide kehtivust.

▼B

Niipea kui komisjon on delegeeritud õigusakti vastu võtnud, teeb ta selle samal ajal teatavaks Euroopa Parlamendile ja nõukogule.

▼M1

Artikli 5c lõike 7, artikli 24 lõike 4b või artikli 30 lõike 4 alusel vastu võetud delegeeritud õigusakt jõustub üksnes juhul, kui Euroopa Parlament ega nõukogu ei ole kahe kuu jooksul pärast õigusakti teatavakstegemist Euroopa Parlamendile ja nõukogule esitanud selle suhtes vastuväidet või kui Euroopa Parlament ja nõukogu on enne selle tähtaja möödumist komisjonile teatanud, et nad ei esita vastuväidet. Euroopa Parlamendi või nõukogu algatusel pikendatakse seda tähtaega kahe kuu võrra.

▼B

Artikkel 48

Komiteemenetlus

Komisjoni abistab komitee. Nimetatud komitee on komitee määruse (EL) nr 182/2011 tähenduses.

Käesolevale lõikele viitamisel kohaldatakse määruse (EL) nr 182/2011 artiklit 5.

PEATÜKK

LÕPPSÄTTED

▼M1

Artikkel 48a

Aruandlusnõuded

Liikmesriigid tagavad nende territooriumil pakutavate Euroopa digiidentiteedikukrute ja kvalifitseeritud usaldusteenuste toimimist käsitleva statistika kogumise.

Lõike 1 kohaselt kogutud statistika hõlmab järgmist:

nende füüsiliste ja juriidiliste isikute arv, kellel on kehtiv Euroopa digiidentiteedikukkur;

nende teenuste liik ja arv, mille puhul aktsepteeritakse Euroopa digiidentiteedikukru kasutamist;

tuginevate isikute ja kvalifitseeritud usaldusteenustega seotud kasutajapoolsete kaebuste ja tarbijakaitse- või andmekaitsealaste intsidentide arv;

koondaruanne, mis sisaldab andmeid Euroopa digiidentiteedikukru kasutamist takistavate intsidentide kohta;

kokkuvõttev teave Euroopa digiidentiteedikukrute või kvalifitseeritud usaldusteenuste oluliste turvaintsidentide, andmetega seotud rikkumiste ja mõjutatud kasutajate kohta.

Lõikes 2 osutatud statistika tehakse üldsusele kättesaadavaks avatud ja üldkasutatavas masinloetavas vormingus.

Liikmesriigid esitavad komisjonile iga aasta 31. märtsiks aruande lõike 2 kohaselt kogutud statistika kohta.

▼M1

Artikkel 49

Läbivaatamine

Komisjon vaatab läbi käesoleva määruse kohaldamise ning esitab Euroopa Parlamendile ja nõukogule selle kohta hiljemalt 21. maiks 2026 aruande. Nimetatud aruandes hindab komisjon eelkõige seda, kas on asjakohane muuta käesoleva määruse kohaldamisala või selle teatavaid sätteid, sealhulgas eelkõige artikli 5c lõike 5 sätteid, võttes arvesse käesoleva määruse kohaldamisel saadud kogemusi ning tehnoloogia, turu ja õiguse arengut. Vajaduse korral lisatakse aruandele käesoleva määruse muutmise ettepanek.

Lõikes 1 osutatud aruanne sisaldab hinnangut käesoleva määruse kohaldamisalasse kuuluvate teavitatud e-identimise vahendite ja Euroopa digiidentiteedikukrute kättesaadavuse, turvalisuse ja kasutatavuse kohta ning hinnangut selle kohta, kas kõigil eraõiguslikel internetipõhise teenuse osutajatel, kes tuginevad kasutajate autentimisel kolmanda isiku e-identimise teenustele, on kohustus aktsepteerida teavitatud e-identimise vahendite ja Euroopa digiidentiteedikukru kasutamist.

Komisjon esitab hiljemalt 21. maiks 2030 ja seejärel iga nelja aasta tagant Euroopa Parlamendile ja nõukogule aruande edusammudest käesoleva määruse eesmärkide saavutamisel.

▼B

Artikkel 50

Kehtetuks tunnistamine

Direktiiv 1999/93/EÜ tunnistatakse kehtetuks alates 1. juulist 2016.

Viiteid kehtetukstunnistatud direktiivile käsitatakse viidetena käesolevale määrusele.

▼M1

Artikkel 51

Üleminekumeetmed

Turvalisi allkirja andmise vahendeid, mille vastavus on kindlaks määratud vastavalt direktiivi 1999/93/EÜ artikli 3 lõikele 4, käsitatakse käesoleva määruse kohaselt jätkuvalt kvalifitseeritud e-allkirja andmise vahenditena kuni 21. maiks 2027.

Direktiivi 1999/93/EÜ kohaselt füüsilistele isikutele väljastatud kvalifitseeritud sertifikaate käsitatakse käesoleva määruse kohaselt jätkuvalt e-allkirjade kvalifitseeritud sertifikaatidena kuni 21. maiks 2026.

Kvalifitseeritud e-allkirja ja kvalifitseeritud e-templi kaugloomise vahendeid võivad hallata muud kvalifitseeritud usaldusteenuse osutajad, kui need kvalifitseeritud usaldusteenuse osutajad, kes osutavad kvalifitseeritud usaldusteenuseid kvalifitseeritud e-allkirjade ja kvalifitseeritud e-templite kaugloomise vahendite haldamiseks kooskõlas artiklitega 29a ja 39a, ilma et nende haldamisteenuste osutamiseks oleks vaja kvalifitseeritud staatust, kuni 21. maini 2026.

Kvalifitseeritud usaldusteenuse osutajad, kellele on käesoleva määruse alusel antud kvalifitseeritud staatus enne 20. maid 2024, esitavad järelevalveasutusele artikli 24 lõigete 1a ja 1b nõuetele vastavust tõendava vastavushindamisaruande niipea kui võimalik ja igal juhul hiljemalt 21. maiks 2026.

▼B

Artikkel 52

Jõustumine

Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Käesolevat määrust kohaldatakse alates 1. juulist 2016, välja arvatud järgmised sätted:

artikli 8 lõiget 3, artikli 9 lõiget 5, artikli 12 lõikeid 2–9, artikli 17 lõiget 8, artikli 19 lõiget 4, artikli 20 lõiget 4, artikli 21 lõiget 4, artikli 22 lõiget 5, artikli 23 lõiget 3, artikli 24 lõiget 5, artikli 27 lõikeid 4 ja 5, artikli 28 lõiget 6, artikli 29 lõiget 2, artikli 30 lõikeid 3 ja 4, artikli 31 lõiget 3, artikli 32 lõiget 3, artikli 33 lõiget 2, artikli 34 lõiget 2, artikli 37 lõikeid 4 ja 5, artikli 38 lõiget 6, artikli 42 lõiget 2, artikli 44 lõiget 2, artikli 45 lõiget 2 ning artikleid 47 ja 48 kohaldatakse alates 17. septembrist 2014;

artiklit 7, artikli 8 lõikeid 1 ja 2, artikleid 9, 10 ja 11 ning artikli 12 lõiget 1 kohaldatakse alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise alguskuupäevast;

artiklit 6 kohaldatakse kolm aastat alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise alguskuupäevast.

Kui teadaantud e-identimise süsteem on nimekirjas, mille komisjon avaldab artikli 9 kohaselt enne käesoleva artikli lõike 2 punktis c osutatud kuupäeva, tunnustatakse selle süsteemi kohast e-identimise vahendit vastavalt artiklile 6 hiljemalt 12 kuud pärast vastava süsteemi avaldamist, kuid mitte enne käesoleva artikli lõike 2 punktis c osutatud kuupäeva.

Ilma et see piiraks käesoleva artikli lõike 2 punkti c kohaldamist, võib liikmesriik otsustada, et muu liikmesriigi poolt artikli 9 lõike 1 kohaselt teada antud e-identimise süsteemi kohaseid e-identimise vahendeid tunnustatakse esimesena nimetatud liikmesriigis alates artikli 8 lõikes 3 ja artikli 12 lõikes 8 osutatud rakendusaktide kohaldamise kuupäevast. Asjaomased liikmesriigid teavitavad sellest komisjoni. Komisjon avalikustab nimetatud teabe.

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

I LISA

NÕUDED E-ALLKIRJA KVALIFITSEERITUD SERTIFIKAATIDELE

E-allkirja kvalifitseeritud sertifikaadid peavad sisaldama järgmist:

vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud e-allkirja kvalifitseeritud sertifikaadina;

kvalifitseeritud sertifikaate väljastava kvalifitseeritud usaldusteenuse osutajat üheselt mõistetavalt tähistavad andmed, mis sisaldavad vähemalt selle liikmesriigi nime, kus kõnealune teenuseosutaja asub, ning

—

kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—

kui tegemist on füüsilise isikuga: isiku nimi;

vähemalt allkirja andja nimi või varjunimi; kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

e-allkirja valideerimisandmed, mis vastavad e-allkirja andmiseks vajalikele andmetele;

üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

koht, kus punktis g osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

▼M1

teave kvalifitseeritud sertifikaadi kehtivuse kohta või selle kohta, kus asuvad teenused, mida saab kasutada kvalifitseeritud sertifikaadi kehtivuse kohta teabe saamiseks;

▼B

kui e-allkirja valideerimisandmetega seotud e-allkirja andmiseks vajalikud andmed asuvad kvalifitseeritud e-allkirja andmise vahendis, siis vähemalt automaatseks töötlemiseks sobivas formaadis asjakohane viide kõnealusele kohale.

II LISA

NÕUDED KVALIFITSEERITUD E-ALLKIRJA ANDMISE VAHENDITELE

1. Kvalifitseeritud e-allkirja andmise vahendid tagavad asjakohaste tehniliste ja menetluslike vahendite abil vähemalt selle, et:

e-allkirja andmiseks kasutatavate e-allkirja andmiseks vajalike andmete konfidentsiaalsus on piisavalt tagatud;

e-allkirja andmiseks kasutatavad e-allkirja andmiseks vajalikud andmed võivad reaalselt esineda ainult ühe korra;

on piisavalt kindel, et e-allkirja andmiseks kasutatavaid e-allkirja andmiseks vajalikke andmeid ei saa tuletada ja et e-allkiri on piisavalt kaitstud praegu kättesaadava tehnoloogia abil võltsimise vastu;

õiguspärane allkirja andja saab e-allkirja andmiseks kasutatavaid e-allkirja andmiseks vajalikke andmeid piisavalt kaitsta, et teised isikud ei saaks neid kasutada.

2. Kvalifitseeritud e-allkirja andmise vahendid ei tohi muuta allkirjastatavaid andmeid ega takistada selliste andmete esitamist allkirja andjale enne allkirja andmist.

▼M1 —————

▼B

III LISA

NÕUDED E-TEMPLITE KVALIFITSEERITUD SERTIFIKAATIDELE

E-templite kvalifitseeritud sertifikaadid peavad sisaldama järgmist:

vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud e-templi kvalifitseeritud sertifikaadina;

—

kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—

kui tegemist on füüsilise isikuga: isiku nimi;

vähemalt e-templi andja nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides;

e-templi valideerimisandmed, mis vastavad e-templi loomiseks vajalikele andmetele;

üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

koht, kus punktis g osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

▼M1

teave kvalifitseeritud sertifikaadi kehtivuse kohta või selle kohta, kus asuvad teenused, mida saab kasutada kvalifitseeritud sertifikaadi kehtivuse kohta teabe saamiseks;

▼B

kui e-templi valideerimisandmetega seotud e-templi loomiseks vajalikud andmed asuvad kvalifitseeritud e-templi loomise vahendis, siis vähemalt automaatseks töötlemiseks sobivas formaadis asjakohane viide kõnealusele kohale.

IV LISA

NÕUDED VEEBISAIDI AUTENTIMISE KVALIFITSEERITUD SERTIFIKAATIDELE

Kvalifitseeritud sertifikaadid veebisaidi autentimiseks peavad sisaldama järgmist:

vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et sertifikaat on väljastatud veebisaidi autentimise kvalifitseeritud sertifikaadina;

—

kui tegemist on juriidilise isikuga: nimi ja kui see on asjakohane, siis registrinumber, nagu see on esitatud ametlikes dokumentides,

—

kui tegemist on füüsilise isikuga: isiku nimi;

▼M1

kui tegemist on füüsilise isikuga: vähemalt selle isiku nimi või varjunimi, kellele sertifikaat on väljastatud; kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

ca)

kui tegemist on juriidilise isikuga: seda juriidilist isikut, kellele sertifikaat on väljastatud, üheselt mõistetavalt tähistavad andmed, mis sisaldavad vähemalt selle juriidilise isiku nime, kellele sertifikaat on väljastatud, ja olemasolu korral registrinumbrit, nagu see on esitatud ametlikes dokumentides;

▼B

selle füüsilise või juriidilise isiku aadressi elemendid, kellele sertifikaat on väljastatud, sealhulgas vähemalt linn ja riik; kui see on asjakohane, siis sellisel kujul, nagu need on esitatud ametlikes dokumentides;

selle domeeni nimi/nende domeenide nimed, mida haldab füüsiline või juriidiline isik, kellele sertifikaat on väljastatud;

üksikasjalikud andmed sertifikaadi kehtivusaja alguse ja lõpu kohta;

kvalifitseeritud usaldusteenuse osutajale omistatud ainukordne sertifikaadi tunnuskood;

väljastava kvalifitseeritud usaldusteenuse osutaja täiustatud e-allkiri või täiustatud e-tempel;

koht, kus punktis h osutatud täiustatud e-allkirja või täiustatud e-templit kinnitav sertifikaat on tasuta kättesaadav;

▼M1

teave kvalifitseeritud sertifikaadi kehtivuse kohta või selle kohta, kus asuvad teenused, mida saab kasutada kvalifitseeritud sertifikaadi kehtivuse kohta teabe saamiseks.

▼M1

V LISA

KVALIFITSEERITUD ELEKTROONILISTELE TÕENDITELE ESITATAVAD NÕUDED

Kvalifitseeritud elektroonilised tõendid sisaldavad järgmist:

vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et tõend on väljastatud kvalifitseeritud elektroonilise tõendina;

andmed, mis üheselt mõistetavalt tähistavad kvalifitseeritud elektroonilisi tõendeid väljastavat kvalifitseeritud usaldusteenuse osutajat, sealhulgas vähemalt selle liikmesriigi nimi, kus on teenuseosutaja asukoht, ning

juriidilise isiku puhul nimi ja olemasolu korral registrinumber, nagu see on esitatud ametlikes dokumentides,

ii)

füüsilise isiku puhul isiku nimi;

andmed, mis üheselt mõistetavalt tähistavad üksust, kellele tõendatud atribuudid viitavad; kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

tõendatud atribuut või atribuudid, sealhulgas olemasolu korral teave, mida on vaja, et teha kindlaks nende atribuutide kohaldamisala;

üksikasjalikud andmed tõendi kehtivusaja alguse ja lõpu kohta;

tõendi identifitseerimiskood, mis peab olema iga kvalifitseeritud usaldusteenuse osutaja puhul kordumatu, ja olemasolu korral märge tõendite süsteemi kohta, kuhu tõend kuulub;

väljastava kvalifitseeritud usaldusteenuse osutaja kvalifitseeritud e-allkiri või kvalifitseeritud e-tempel;

koht, kus punktis g osutatud kvalifitseeritud e-allkirja või kvalifitseeritud e-templit toetav sertifikaat on tasuta kättesaadav;

teave kvalifitseeritud tõendi kehtivuse kohta või selle kohta, kus asuvad teenused, mida saab kasutada kvalifitseeritud tõendi kehtivuse kohta teabe saamiseks.

VI LISA

ATRIBUUTIDE MIINIMUMLOETELU

Vastavalt artiklile 45e tagavad liikmesriigid, et võetakse meetmeid, et võimaldada elektrooniliste tõendite kvalifitseeritud usaldusteenuse osutajatel kontrollida kasutaja taotlusel elektrooniliste vahendite abil järgmiste atribuutide autentsust asjaomasest autentsest allikast riiklikul tasandil või määratud vahendajate kaudu, kes on liidu või riigisisese õiguse kohaselt riiklikul tasandil tunnustatud ja juhul, kui need atribuudid põhinevad avaliku sektori autentsetel allikatel:

aadress;

vanus;

sugu;

perekonnaseis;

perekonna koosseis;

rahvus või kodakondsus;

haridusalane kvalifikatsioon, kraadid ja diplomid;

kutsekvalifikatsioon, kutsenimetused ja litsentsid;

füüsiliste või juriidiliste isikute esindamise volitused;

10.

avalikud load ja litsentsid;

11.

kui tegemist on juriidilise isikuga: finants- ja äriühinguandmed.

VII LISA

AUTENTSE ALLIKA EEST VASTUTAVA AVALIKU SEKTORI ASUTUSE VÕI TEMA NIMEL VÄLJA ANTUD ELEKTROONILISTELE TÕENDITELE ESITATAVAD NÕUDED

Autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektrooniline tõend hõlmab järgmist:

vähemalt automaatseks töötlemiseks sobivas formaadis märge selle kohta, et tõend on väljastatud autentse allika eest vastutava avaliku sektori asutuse või tema nimel välja antud elektroonilise tõendina;

andmed, mis üheselt mõistetavalt tähistavad elektroonilisi tõendeid väljastavat avaliku sektori asutust ning sisaldavad vähemalt selle liikmesriigi nime, kõnealuse avaliku sektori asutuse asukohta, asutuse nime ja olemasolu korral registrinumbrit, nagu see on esitatud ametlikes dokumentides;

andmed, mis üheselt mõistetavalt tähistavad üksust, kellele tõendatud atribuudid viitavad; kui kasutatakse varjunime, on varjunime kasutus selgesti näidatud;

tõendatud atribuut või atribuudid, sealhulgas olemasolu korral teave, mida on vaja, et teha kindlaks nende atribuutide kohaldamisala;

üksikasjalikud andmed tõendi kehtivusaja alguse ja lõpu kohta;

tõendi identifitseerimiskood, mis peab olema iga väljastava avaliku sektori asutuse puhul kordumatu, ja olemasolu korral märge tõendite süsteemi kohta, kuhu tõend kuulub;

väljastava asutuse kvalifitseeritud e-allkiri või kvalifitseeritud e-tempel;

koht, kus punktis g osutatud kvalifitseeritud e-allkirja või kvalifitseeritud e-templit toetav sertifikaat on tasuta kättesaadav;

teave tõendi kehtivuse kohta või selle kohta, kus asuvad teenused, mida saab kasutada tõendi kehtivuse kohta teabe saamiseks.

( 1 ) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).

( 2 ) Euroopa Parlamendi ja nõukogu 26. veebruari 2014. aasta direktiiv 2014/24/EL, milles käsitletakse riigihankeid ja millega tunnistatakse kehtetuks direktiiv 2004/18/EÜ (ELT L 94, 28.3.2014, lk 65).

( 3 ) Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta direktiiv (EL) 2019/882 toodete ja teenuste ligipääsetavusnõuete kohta (ELT L 151, 7.6.2019, lk 70).

( 4 ) Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta määrus (EL) 2019/881, mis käsitleb ENISAt (Euroopa Liidu Küberturvalisuse Amet) ning info- ja kommunikatsioonitehnoloogia küberturvalisuse sertifitseerimist ja millega tunnistatakse kehtetuks määrus (EL) nr 526/2013 (küberturvalisuse määrus) (ELT L 151, 7.6.2019, lk 15).

( 5 ) Komisjoni 6. mai 2003. aasta soovitus 2003/361/EÜ mikro-, väikeste ja keskmise suurusega ettevõtjate määratluse kohta (ELT L 124, 20.5.2003, lk 36).

( 6 ) Euroopa Parlamendi ja nõukogu 19. oktoobri 2022. aasta määrus (EL) 2022/2065, mis käsitleb digiteenuste ühtset turgu ja millega muudetakse direktiivi 2000/31/EÜ (digiteenuste määrus) (ELT L 277, 27.10.2022, lk 1).

( 7 ) Euroopa Parlamendi ja nõukogu 14. septembri 2022. aasta määrus (EL) 2022/1925, mis käsitleb konkurentsile avatud ja õiglaseid turge digisektoris ning millega muudetakse direktiive (EL) 2019/1937 ja (EL) 2020/1828 (digiturgude määrus) (ELT L 265, 12.10.2022, lk 1).

( 8 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80).

		Euroopa Liidu Teataja
		nr	lehekülg	kuupäev
►M1	EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2024/1183, 11. 11 aprill 2024,	L 1183	1	30.4.2024