Zwiększenie bezpieczeństwa transakcji w Internecie

KLUCZOWE ZAGADNIENIA

Europejskie portfele tożsamości cyfrowej

• Państwa członkowskie muszą wprowadzić europejskie portfele tożsamości cyfrowej najpóźniej do grudnia 2026 r. Portfele umożliwią użytkownikom bezpieczne uwierzytelnianie się lub potwierdzanie wybranych danych osobowych w celu uzyskania dostępu do publicznych i prywatnych usług online i offline, a także przechowywanie, prezentowanie i udostępnianie dokumentów cyfrowych w całej UE.
• Zgodność europejskich portfeli tożsamości cyfrowej oraz systemu identyfikacji elektronicznej, w ramach którego są one udostępniane, jest poświadczana przez jednostki oceniające zgodność wyznaczone przez państwa członkowskie.

Identyfikacja elektroniczna

• Środek identyfikacji elektronicznej wydany przez dany kraj UE musi być uznawany przez inne kraje UE. Ta zasada ma zastosowanie pod warunkiem, że środek identyfikacji elektronicznej spełnia wymogi rozporządzenia i został zgłoszony Komisji oraz zamieszczony w opublikowanym wykazie. Zasada wzajemnego uznawania środków identyfikacji elektronicznej obowiązuje od 28 września 2018 r., ułatwiając prowadzenie bezpiecznych transakcji elektronicznych w całej UE.
• Program identyfikacji elektronicznej musi określać jeden z trzech poziomów bezpieczeństwa (niski, średni, wysoki) formy identyfikacji elektronicznej wydanej w ramach tego programu. Zasada wzajemnego uznawania obowiązuje wyłącznie w przypadku, gdy poziom dostępu do usługi online stosowany przez odpowiedni podmiot sektora publicznego odpowiada średniemu lub wysokiemu poziomowi.
  • Podczas zgłaszania Komisji programów identyfikacji elektronicznej kraje UE muszą określić następujące aspekty:
  • poziomy bezpieczeństwa oraz stronę wydającą środki identyfikacji elektronicznej w ramach tego programu,
  • mające zastosowanie systemy nadzoru i systemy odpowiedzialności, oraz
  • jednostkę zarządzającą rejestracją unikalnych danych identyfikujących osobę.

Usługi zaufania

Rozporządzenie w sprawie europejskiej tożsamości cyfrowej definiuje usługi zaufania jako usługi świadczone za wynagrodzeniem, obejmujące:

• wydawanie certyfikatów podpisu elektronicznego, certyfikatów pieczęci elektronicznej, certyfikatów uwierzytelniania witryn internetowych lub certyfikatów służących świadczeniu innych usług zaufania;
• walidację certyfikatów podpisu elektronicznego, certyfikatów pieczęci elektronicznej, certyfikatów uwierzytelniania witryn internetowych lub certyfikatów służących świadczeniu innych usług zaufania;
• tworzenie podpisów elektronicznych lub pieczęci elektronicznych;
• walidację podpisów elektronicznych lub pieczęci elektronicznych;
• utrzymanie podpisów elektronicznych, pieczęci elektronicznych, certyfikatów podpisu elektronicznego lub certyfikatów pieczęci elektronicznej;
• zarządzanie zdalnymi urządzeniami do tworzenia podpisu elektronicznego lub zdalnymi urządzeniami do tworzenia pieczęci elektronicznej;
• wydawanie elektronicznych poświadczeń atrybutów;
• walidację elektronicznych poświadczeń atrybutów;
• tworzenie elektronicznych znaczników czasu;
• walidację elektronicznych znaczników czasu;
• świadczenie usług rejestrowanego doręczenia elektronicznego;
• walidację danych przekazywanych za pośrednictwem usług rejestrowanego doręczenia elektronicznego oraz powiązanych z nimi dowodów;
• elektroniczną archiwizację danych i dokumentów elektronicznych;
• zapisywanie danych elektronicznych w rejestrze elektronicznym.

Dostawcy usług zaufania mający siedzibę w UE są uznawani za „kwalifikowanych”, jeżeli spełniają odpowiednie wymogi rozporządzenia w sprawie europejskiej tożsamości cyfrowej. Są oni zgodnie z prawem uprawnieni do świadczenia kwalifikowanych usług zaufania (np. kwalifikowanych podpisów elektronicznych, pieczęci elektronicznych lub certyfikatów elektronicznych).

Jeśli chodzi o aspekty międzynarodowe, usługi zaufania świadczone przez dostawców usług zaufania mających siedzibę w państwie trzecim są uznawane za prawnie równoważne kwalifikowanym usługom zaufania świadczonym przez kwalifikowanych dostawców usług zaufania mających siedzibę w UE wyłącznie na mocy aktów wykonawczych lub umowy zawartej między UE a danym państwem trzecim lub organizacją międzynarodową.

Nadzór

• Zgodnie z rozporządzeniem państwa członkowskie muszą ustanowić co najmniej jeden organ do prowadzenia działań nadzorczych w zakresie europejskich portfeli tożsamości cyfrowej i usług zaufania. Te organy powinny współpracować z organami ochrony danych i organami odpowiedzialnymi za cyberbezpieczeństwo w stosownych przypadkach.
• Wszyscy dostawcy usług zaufania podlegają działaniom nadzorczym, ocenie ryzyka oraz obowiązkowi zgłaszania przypadków naruszenia bezpieczeństwa.
• Kwalifikowani dostawcy usług zaufania mający siedzibę w UE są objęci ścisłym nadzorem. Mają m.in. obowiązek uzyskania uprzedniego zezwolenia organów nadzoru i poddawania się, co najmniej raz na 2 lata, audytowi prowadzonemu przez organizację, która ocenia, czy spełniają oni wymogi określone w rozporządzeniu.
• Niekwalifikowani dostawcy usług zaufania podlegają „łagodnemu” nadzorowi, tj. organ nadzorczy reaguje dopiero wtedy, gdy otrzyma informację, że niekwalifikowani dostawcy usług zaufania lub świadczone przez nich usługi zaufania rzekomo nie spełniają wymogów określonych w niniejszym rozporządzeniu.

Zarządzanie

Ustanawia się Grupę Współpracy na rzecz Europejskiej Tożsamości Cyfrowej (zwaną dalej „Grupą Współpracy”) w celu wspierania i ułatwiania współpracy transgranicznej oraz wymiany informacji między państwami członkowskimi w zakresie usług zaufania, europejskich portfeli tożsamości cyfrowej oraz notyfikowanych programów identyfikacji elektronicznej.

Akty wykonawcze

Aby zapewnić jednolite i prawidłowe wdrożenie rozporządzenia w sprawie europejskiej tożsamości cyfrowej w całej UE, Komisja przyjęła akty wykonawcze określające szczegółowe zasady techniczne, proceduralne i organizacyjne.

Łącznie te akty wykonawcze uzupełniają rozporządzenie i wdrażają je w praktyce w wielu obszarach, określając m.in. wymogi interoperacyjności, standardy bezpieczeństwa i certyfikacji, procedury powiadamiania i wymiany informacji, formaty list zaufanych, reakcje na naruszenia bezpieczeństwa, mechanizmy zarządzania i nadzoru oraz ustalenia operacyjne dotyczące programów identyfikacji elektronicznej, usług zaufania oraz europejskich portfeli tożsamości cyfrowej.

Akty wykonawcze obejmują szeroki zakres aspektów technicznych i operacyjnych, nie ograniczając się do obszarów wymienionych powyżej. Są one regularnie aktualizowane, aby odzwierciedlać postęp technologiczny, pojawiające się zagrożenia dla bezpieczeństwa oraz zmieniające się standardy; obejmują Architekturę i Ramy Odniesienia (ARF) opracowane wspólnie przez Komisję i państwa członkowskie i mają bezpośrednie zastosowanie we wszystkich państwach członkowskich.