9.9.2015

Jurnalul Oficial al Uniunii Europene

L 235/1

REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2015/1501 AL COMISIEI

din 8 septembrie 2015

privind cadrul de interoperabilitate prevăzut la articolul 12 alineatul (8) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE (1), în special articolul 12 alineatul (8),

întrucât:

(1)	Articolul 12 alineatul (2) din Regulamentul (UE) nr. 910/2014 prevede că ar trebui instituit un cadru de interoperabilitate pentru asigurarea interoperabilității dintre sistemele naționale de identificare electronică notificate în temeiul articolului 9 alineatul (1) din regulamentul respectiv.

(2)

Nodurile au un rol esențial pentru interconectarea sistemelor de identificare electronică ale statelor membre. Contribuția acestora este explicată în documentația referitoare la Mecanismul pentru interconectarea Europei instituit prin Regulamentul (UE) nr. 1316/2013 al Parlamentului European și al Consiliului (2), care se referă inclusiv la funcțiile și la componentele „nodului eIDAS”.

(3)

În cazul în care un stat membru sau Comisia pune la dispoziție programe informatice pentru a permite autentificarea unui nod operat în alt stat membru, partea care furnizează și actualizează programele informatice utilizate pentru mecanismul de autentificare poate conveni cu partea care găzduiește respectivele programe în privința modului în care va fi gestionată funcționarea mecanismului de autentificare. Un astfel de acord nu ar trebui să impună cerințe tehnice sau costuri disproporționate (inclusiv în ceea ce privește asistența, responsabilitățile, găzduirea și alte costuri) părții care asigură găzduirea.

(4)

În măsura în care punerea în aplicare a cadrului de interoperabilitate justifică acest lucru, Comisia ar putea elabora, în cooperare cu statele membre, specificații tehnice suplimentare care oferă detalii privind cerințele tehnice prevăzute în prezentul regulament, luând în considerare în special avizele Rețelei de Cooperare menționate la articolul 14 litera (d) din Decizia de punere în aplicare (UE) 2015/296 a Comisiei (3). Aceste specificații trebuie să fie elaborate în cadrul infrastructurilor pentru servicii digitale prevăzute în Regulamentul (UE) nr. 1316/2013, care prevede modalitățile de punere în practică a unui element de identificare electronică.

(5)	Cerințele tehnice stabilite în prezentul regulament ar trebui să fie aplicabile în pofida eventualelor modificări ale specificațiilor tehnice care ar putea fi introduse în temeiul articolului 12 din prezentul regulament.

(6)

La stabilirea mecanismelor cadrului de interoperabilitate instituit prin prezentul regulament s-a ținut cont în cea mai mare măsură de proiectul-pilot pe scară largă STORK, inclusiv de specificațiile elaborate în cadrul acestuia, precum și de principiile și conceptele Cadrului european de interoperabilitate pentru serviciile publice europene.

(7)	Rezultatele cooperării dintre statele membre au fost luate în considerare în cea mai mare măsură.

(8)	Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului instituit prin articolul 48 din Regulamentul (UE) nr. 910/2014,

ADOPTĂ PREZENTUL REGULAMENT:

Articolul 1

Obiect

Prezentul regulament stabilește cerințe tehnice și operaționale pentru cadrul de interoperabilitate, cu scopul de a asigura interoperabilitatea sistemelor de identificare electronică pe care statele membre le notifică Comisiei.

Cerințele respective includ în special următoarele elemente:

(a)

cerințele tehnice minime aferente nivelurilor de asigurare și clasificării nivelurilor naționale de asigurare aferente mijloacele de identificare electronică notificate emise în cadrul sistemelor de identificare electronică notificate în conformitate cu articolul 8 din Regulamentul (UE) nr. 910/2014, astfel cum se prevede la articolele 3 și 4;

(b)	cerințele tehnice minime în materie de interoperabilitate, astfel cum se prevede la articolele 5 și 8;

(c)	setul minim de date de identificare personală care desemnează în mod unic o persoană fizică sau juridică, astfel cum se prevede la articolul 11 și în anexă;

(d)	standarde de securitate operaționale comune, astfel cum se prevede la articolele 6, 7, 9 și 10;

(e)	mecanisme de soluționare a litigiilor, astfel cum se prevede la articolul 13.

Articolul 2

Definiții

În sensul prezentului regulament, se aplică următoarele definiții:

„nod” înseamnă un punct de legătură care face parte din arhitectura de interoperabilitate pentru identificarea electronică, care este implicat în autentificarea transfrontalieră a persoanelor și care are capacitatea să recunoască și să prelucreze sau să transmită mai departe datele către alte noduri, prin faptul că face posibilă comunicarea dintre infrastructura națională de identificare electronică a unui stat membru și infrastructurile naționale de identificare electronică ale altor state membre;

2.	„operator de nod” înseamnă entitatea responsabilă cu asigurarea faptului că nodul își îndeplinește în mod corespunzător și fiabil funcțiile de punct de conectare.

Articolul 3

Cerințele tehnice minime aferente nivelurilor de asigurare

Cerințele tehnice minime aferente nivelurilor de asigurare sunt stabilite prin Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei (4).

Articolul 4

Clasificarea nivelurilor naționale de asigurare

Clasificarea nivelurilor naționale de asigurare aferente sistemelor de identificare electronică notificate respectă cerințele prevăzute în Regulamentul de punere în aplicare (UE) 2015/1502. Rezultatele clasificării trebuie să fie notificate Comisiei utilizând formularul de notificare prevăzut în Decizia de punere în aplicare (UE) 2015/1505 a Comisiei (5).

Articolul 5

Nodurile

(1) Un nod dintr-un stat membru trebuie să aibă capacitatea de a se conecta cu noduri din alte state membre.

(2) Nodurile trebuie să aibă capacitatea de a face distincția între organismele din sectorul public și alți beneficiari prin mijloace tehnice.

(3) Punerea în aplicare de către un stat membru a cerințelor tehnice stabilite în prezentul regulament nu impune cerințe tehnice și costuri disproporționate asupra altor state membre care doresc să asigure interoperabilitatea cu respectiva punere în aplicare.

Articolul 6

Protecția și confidențialitatea datelor

(1) Protecția vieții private, confidențialitatea datelor schimbate și menținerea integrității datelor între noduri sunt asigurate prin intermediul celor mai bune soluții tehnice și practici de protecție disponibile.

(2) Nodurile nu stochează date cu caracter personal, cu excepția scopului prevăzut la articolul 9 alineatul (3).

Articolul 7

Integritatea și autenticitatea datelor în cadrul comunicării

Comunicarea între noduri asigură integritatea și autenticitatea datelor, pentru a garanta că toate cererile și răspunsurile sunt autentice și nu au făcut obiectul unor manipulări frauduloase. În acest scop, nodurile utilizează soluții care au fost aplicate cu succes în operațiuni transfrontaliere.

Articolul 8

Formatul mesajelor în cadrul comunicării

Nodurile utilizează pentru sintaxă formate de mesaje comune, bazate pe standarde care au fost deja utilizate de mai multe ori între statele membre și care și-au dovedit capacitatea de a funcționa într-un mediu operațional. Sintaxa trebuie să permită:

(a)	prelucrarea corectă a setului minim de date de identificare personală care desemnează în mod unic o persoană fizică sau juridică;

(b)	prelucrarea corectă a nivelului de asigurare al mijloacelor de identificare electronică;

(c)	distincția dintre organismele din sectorul public și alți beneficiari;

(d)	flexibilitatea necesară pentru a răspunde nevoii de atribute suplimentare referitoare la identificare.

Articolul 9

Gestionarea informațiilor de securitate și a metadatelor

(1) Operatorul nodului comunică metadatele aferente gestionării nodului într-o formă standardizată care poate fi prelucrată de calculator și într-un mod sigur și de încredere.

(2) Cel puțin parametrii relevanți pentru securitate sunt accesați în mod automat.

(3) Operatorul nodului stochează date care, în cazul producerii unui accident, permit recuperarea secvenței de mesaje schimbate, pentru a stabili locul și natura incidentului. Datele sunt stocate pentru perioada de timp prevăzută de cerințele naționale și vor include cel puțin următoarele elemente:

(a)	identificarea nodului;

(b)	identificarea mesajului;

(c)	data și ora mesajului.

Articolul 10

Standardele de asigurare a protecției informațiilor și de securitate

(1) Operatorul unui nod care furnizează servicii de autentificare trebuie să demonstreze că, în ceea ce privește nodurile care participă la cadrul de interoperabilitate, nodul îndeplinește cerințele standardului ISO/IEC 27001 prin certificare, prin metode echivalente de evaluare sau prin conformarea la legislația națională.

(2) Operatorii nodurilor instalează actualizările critice de securitate fără întârzieri nejustificate.

Articolul 11

Date de identificare personală

(1) Atunci când este utilizat într-un context transfrontalier, un set minim de date de identificare personală care desemnează în mod unic o persoană fizică sau juridică trebuie să îndeplinească cerințele stabilite în anexă.

(2) Atunci când este utilizat într-un context transfrontalier, un set minim de date pentru o persoană fizică ce reprezintă o persoană juridică trebuie să conțină combinația atributelor enumerate în anexă pentru persoanele fizice și persoanele juridice.

(3) Datele se transmit cu caracterele inițiale și, de asemenea, după caz, însoțite de transcrierea cu caractere latine.

Articolul 12

Specificații tehnice

(1) În cazul în care acest lucru este justificat de procesul de punere în aplicare a cadrului de interoperabilitate, Rețeaua de Cooperare instituită prin Decizia de punere în aplicare (UE) 2015/296 poate adopta avize în temeiul articolului 14 litera (d) din actul citat, în ceea ce privește necesitatea de a elabora specificații tehnice. Aceste specificații tehnice furnizează detalii suplimentare privind cerințele tehnice stabilite în prezentul regulament.

(2) Pe baza avizului menționat la punctul 1, Comisia, în cooperare cu statele membre, elaborează specificațiile tehnice în cadrul infrastructurilor pentru servicii digitale prevăzute în Regulamentul (UE) nr. 1316/2013.

(3) Rețeaua de Cooperare adoptă un aviz în temeiul articolului 14 litera (d) din Decizia de punere în aplicare (UE) 2015/296, prin care evaluează dacă și în ce măsură specificațiile tehnice elaborate în temeiul alineatului (2) corespund necesității identificate în avizul la care se face referire la alineatul (1) sau cerințelor prevăzute în prezentul regulament. Rețeaua poate recomanda ca statele membre să ia în considerare specificațiile tehnice atunci când pun în aplicare cadrul de interoperabilitate.

(4) Comisia furnizează o punere în aplicare de referință, cu titlu de exemplu de interpretare a specificațiilor tehnice. Statele membre pot aplica această punere în aplicare de referință sau o pot utiliza ca mostră la testarea altor puneri în aplicare ale specificațiilor tehnice.

Articolul 13

Soluționarea litigiilor

(1) Dacă este posibil, orice litigiu referitor la cadrul de interoperabilitate este soluționat de către statele membre în cauză prin negociere.

(2) În cazul în care nu se ajunge la nicio soluție în conformitate cu alineatul (1), Rețeaua de Cooperare instituită în conformitate cu articolul 12 din Decizia de punere în aplicare (UE) 2015/296 a Comisiei are competență în litigiu, în conformitate cu regulamentul său de procedură.

Articolul 14

Intrarea în vigoare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.

Adoptat la Bruxelles, 8 septembrie 2015.

Pentru Comisie

Președintele

Jean-Claude JUNCKER

(1) JO L 257, 28.8.2014, p. 73.

(2) Regulamentul (UE) nr. 1316/2013 al Parlamentului European și al Consiliului din 11 decembrie 2013 de instituire a Mecanismului pentru Interconectarea Europei, de modificare a Regulamentului (UE) nr. 913/2010 și de abrogare a Regulamentelor (CE) nr. 680/2007 și (CE) nr. 67/2010 (JO L 348, 20.12.2013, p. 129).

(3) Decizia de punere în aplicare (UE) 2015/296 a Comisiei din 24 februarie 2015 de stabilire a modalităților procedurale de cooperare între statele membre privind identificarea electronică în temeiul articolului 12 alineatul (7) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (JO L 53, 25.2.2015, p. 14).

(4) Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (a se vedea pagina 7 din prezentul Jurnal Oficial).

(5) Decizia de punere în aplicare (UE) 2015/1505 a Comisiei din 8 septembrie 2015 de stabilire a specificațiilor tehnice și a formatelor pentru listele sigure în temeiul articolului 22 alineatul (5) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (a se vedea pagina 26 din prezentul Jurnal Oficial).

ANEXĂ

Cerințe privind setul minim de date de identificare personală care desemnează în mod unic o persoană fizică sau juridică, menționat la articolul 11

1. Setul minim de date pentru o persoană fizică

Setul minim de date pentru o persoană fizică conține toate atributele obligatorii de mai jos:

(a)	numele de familie actual(e);

(b)	prenumele actual(e);

(c)	data nașterii;

(d)	un identificator unic, care este alcătuit de către statul membru expeditor în conformitate cu specificațiile tehnice privind identificarea transfrontalieră și care are o durată de viață cât mai mare.

Setul minim de date pentru o persoană fizică poate conține unul sau mai multe din atributele suplimentare de mai jos:

(a)	prenumele și numele de familie la naștere;

(b)	locul nașterii;

(c)	adresa actuală;

(d)

sexul.

2. Setul minim de date pentru o persoană juridică

Setul minim de date pentru o persoană juridică conține toate atributele obligatorii de mai jos:

(a)	denumirea oficială actuală;

(b)	un identificator unic, care este alcătuit de către statul membru expeditor în conformitate cu specificațiile tehnice privind identificarea transfrontalieră și care are o durată de viață cât mai mare.

Setul minim de date pentru o persoană juridică poate conține unul sau mai multe din atributele suplimentare de mai jos:

(a)	adresa actuală;

(b)	codul de înregistrare în scopuri de TVA;

(c)	codul de identificare fiscală;

(d)	identificatorul care are legătură cu articolul 3 alineatul (1) din Directiva 2009/101/CE a Parlamentului European și a Consiliului (1);

(e)	identificatorul entității juridice (LEI) menționat în Regulamentul de punere în aplicare (UE) nr. 1247/2012 al Comisiei (2);

(f)	numărul de înregistrare și identificare a operatorilor economici (EORI) menționat în Regulamentul de punere în aplicare (UE) nr. 1352/2013 al Comisiei (3);

(g)	codul de acciză prevăzut la articolul 2 alineatul (12) din Regulamentul nr. 389/2012 al Consiliului (4).

(1) Directiva 2009/101/CE a Parlamentului European și a Consiliului din 16 septembrie 2009 de coordonare, în vederea echivalării, a garanțiilor impuse societăților în statele membre, în înțelesul articolului 48 al doilea paragraf din tratat, pentru protejarea intereselor asociaților sau terților (JO L 258, 1.10.2009, p. 11).

(2) Regulamentul de punere în aplicare (UE) nr. 1247/2012 al Comisiei din 19 decembrie 2012 de stabilire a unor standarde tehnice de punere în aplicare în ceea ce privește formatul și frecvența rapoartelor de tranzacție transmise către registrele centrale de tranzacții în conformitate cu Regulamentul (UE) nr. 648/2012 al Parlamentului European și al Consiliului privind instrumentele financiare derivate extrabursiere, contrapărțile centrale și registrele centrale de tranzacții (JO L 352, 21.12.2012, p. 20).

(3) Regulamentul de punere în aplicare (UE) nr. 1352/2013 al Comisiei din 4 decembrie 2013 de stabilire a formularelor prevăzute de Regulamentul (UE) nr. 608/2013 al Parlamentului European și al Consiliului privind asigurarea respectării drepturilor de proprietate intelectuală de către autoritățile vamale (JO L 341, 18.12.2013, p. 10).

(4) Regulamentul (UE) nr. 389/2012 al Consiliului din 2 mai 2012 privind cooperarea administrativă în domeniul accizelor și de abrogare a Regulamentului (CE) nr. 2073/2004 (JO L 121, 8.5.2012, p. 1).

9.9.2015

Jurnalul Oficial al Uniunii Europene

L 235/7

REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2015/1502 AL COMISIEI

din 8 septembrie 2015

de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

întrucât:

(1)

Articolul 8 din Regulamentul (UE) nr. 910/2014 prevede că un sistem de identificare electronică notificat în temeiul articolului 9 alineatul (1) trebuie să specifice nivelurile de asigurare scăzut, substanțial și/sau ridicat pentru mijloacele de identificare electronică emise în cadrul sistemului respectiv.

(2)

Stabilirea unor specificații, standarde și proceduri tehnice minime este esențială pentru a se asigura o înțelegere comună a detaliilor nivelurilor de asigurare a încrederii și interoperabilitatea în procesul de clasificare a nivelurilor naționale de asigurare aferente sistemelor de identificare electronică notificate în funcție de nivelurile de asigurare menționate la articolul 8, astfel cum se prevede la articolul 12 alineatul (4) litera (b) din Regulamentul (UE) nr. 910/2014.

(3)

La elaborarea specificațiilor și a procedurilor prevăzute în prezentul act de punere în aplicare s-a ținut cont de standardul internațional ISO/IEC 29115, acesta fiind principalul standard internațional în materie de niveluri de asigurare ale mijloacelor de identificare electronică. Cu toate acestea, conținutul Regulamentului (UE) nr. 910/2014 diferă de standardul internațional menționat, în special în ceea ce privește cerințele în materie de dovedire și verificare a identității, precum și în ceea ce privește modul în care sunt luate în considerare diferențele dintre mecanismele referitoare la identitate din statele membre și instrumentele cu același scop existente în UE. Prin urmare, anexa, deși se bazează pe acest standard internațional, nu ar trebui să facă trimitere la niciun element concret din standardul ISO/IEC 29115.

(4)

Prezentul regulament a fost elaborat sub forma unei abordări bazate pe rezultate, aceasta fiind considerată cea mai adecvată, ceea ce se reflectă și în definițiile utilizate pentru a explica termenii și conceptele. Acestea țin seama de obiectivul Regulamentului (UE) nr. 910/2014 în ceea ce privește nivelurile de asigurare ale mijloacelor de identificare electronică. Prin urmare, la stabilirea specificațiilor și a procedurilor prevăzute în prezentul act de punere în aplicare ar trebui să se țină seama cât mai mult posibil de proiectul-pilot pe scară largă STORK, incluzând specificațiile elaborate în cadrul acestuia, precum și de definițiile și de conceptele din standardul ISO/IEC 29115.

(5)	În funcție de contextul în care trebuie să fie verificat un element de dovedire a identității, sursele sigure pot avea diverse forme, cum ar fi, printre altele, registrele, documentele și organismele. Sursele sigure pot diferi de la un stat membru la altul, chiar și în contexte similare.

(6)

La elaborarea cerințelor în materie de dovedire și verificare a identității ar trebui să se țină seama de diferitele sisteme și practici, garantându-se, în același timp, un grad de asigurare suficient de ridicat încât să se formeze încrederea necesară. Prin urmare, acceptarea procedurilor utilizate anterior pentru un alt scop decât emiterea de mijloace de identificare electronică ar trebui să fie condiționată de confirmarea faptului că aceste proceduri îndeplinesc cerințele prevăzute pentru nivelul de asigurare corespunzător.

(7)

De obicei sunt utilizați anumiți factori de autentificare, cum ar fi secretele partajate, dispozitivele fizice și caracteristicile fizice. Cu toate acestea, ar trebui să fie încurajată utilizarea unui număr mai mare de factori de autentificare, în special proveniți din categorii diferite, pentru a spori securitatea procesului de autentificare.

(8)	Prezentul regulament nu ar trebui să afecteze drepturile de reprezentare ale persoanelor juridice. Cu toate acestea, anexa ar trebui să prevadă cerințe privind legăturile dintre mijloacele de identificare electronică ale persoanelor fizice și juridice.

(9)	Ar trebui recunoscută importanța sistemelor de asigurare a securității informațiilor și a sistemelor de gestionare a serviciilor, la fel ca și importanța utilizării metodologiilor recunoscute și a aplicării principiilor incluse în seriile de standarde ISO/IEC 27000 și ISO/IEC 20000.

(10)	Ar trebui, de asemenea, să fie luate în considerare bunele practici în ceea ce privește nivelurile de asigurare din statele membre.

(11)	Certificarea de securitate informatică bazată pe standarde internaționale este un instrument important de verificare a conformității produselor cu cerințele în materie de securitate prevăzute în prezentul act de punere în aplicare.

(12)	Comitetul menționat la articolul 48 din Regulamentul (UE) nr. 910/2014 nu a emis un aviz în termenul stabilit de președintele acestuia,

ADOPTĂ PREZENTUL REGULAMENT:

Articolul 1

(1) Nivelurile de asigurare scăzut, substanțial și ridicat pentru mijloacele de identificare electronică emise în cadrul unui sistem de identificare electronică notificat se stabilesc prin raportare la specificațiile și procedurile prevăzute în anexă.

(2) Specificațiile și procedurile prevăzute în anexă se utilizează pentru a preciza nivelul de asigurare al mijloacelor de identificare electronică emise în cadrul unui sistem de identificare electronică notificat, prin determinarea fiabilității și a calității următoarelor elemente:

(a)	înscrierea, astfel cum se prevede în secțiunea 2.1 din anexa la prezentul regulament, în temeiul articolului 8 alineatul (3) litera (a) din Regulamentul (UE) nr. 910/2014;

(b)	gestionarea mijloacelor de identificare electronică, astfel cum se prevede în secțiunea 2.2 din anexa la prezentul regulament, în temeiul articolului 8 alineatul (3) literele (b) și (f) din Regulamentul (UE) nr. 910/2014;

(c)	autentificarea, astfel cum se prevede în secțiunea 2.3 din anexa la prezentul regulament, în temeiul articolului 8 alineatul (3) litera (c) din Regulamentul (UE) nr. 910/2014;

(d)	gestionarea și organizarea, astfel cum se prevede în secțiunea 2.4 din anexa la prezentul regulament, în temeiul articolului 8 alineatul (3) literele (d) și (e) din Regulamentul (UE) nr. 910/2014.

(3) În cazul în care un mijloc de identificare electronică emis în cadrul unui sistem de identificare electronică notificat îndeplinește o cerință aferentă unui nivel de asigurare superior, se consideră că respectivul mijloc îndeplinește cerința echivalentă aferentă nivelului de asigurare inferior.

(4) Cu excepția cazului în care se prevede altfel în partea relevantă a anexei, pentru a corespunde nivelului de asigurare vizat trebuie îndeplinite toate elementele enumerate în anexă pentru un anumit nivel de asigurare a mijloacelor de identificare electronică emise în cadrul unui sistem de identificare electronică notificat.

Articolul 2

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.

Adoptat la Bruxelles, 8 septembrie 2015.

Pentru Comisie

Președintele

Jean-Claude JUNCKER

(1) JO L 257, 28.8.2014, p. 73.

ANEXĂ

Specificațiile tehnice și procedurile pentru nivelurile de asigurare scăzut, substanțial și ridicat ale mijloacelor de identificare electronică emise în cadrul unui sistem de identificare electronică notificat

1. Definițiile aplicabile

În sensul prezentei anexe, se aplică următoarele definiții:

1.	„sursă sigură” înseamnă orice sursă, indiferent de formă, în privința căreia se poate avea încredere că furnizează date, informații și/sau dovezi exacte care pot fi utilizate pentru dovedirea identității;

„factor de autentificare” înseamnă un factor în privința căruia s-a confirmat că are legătură cu o persoană și care se încadrează în una dintre următoarele categorii:

(a)	„factor de autentificare bazat pe posesie” înseamnă un factor de autentificare în cazul căruia subiectul trebuie să demonstreze că se află în posesia acestuia;

(b)	„factor de autentificare bazat pe cunoștințe” înseamnă un factor de autentificare în cazul căruia subiectul trebuie să demonstreze cunoașterea informației în cauză;

(c)	„factor de autentificare inerent” înseamnă un factor de autentificare care se bazează pe o caracteristică fizică a unei persoane fizice și în cazul căruia subiectul trebuie să demonstreze că prezintă respectiva caracteristică fizică;

„autentificare dinamică” înseamnă un proces electronic care utilizează criptografia sau alte tehnici pentru a oferi un mijloc de a crea, la cerere, o dovadă electronică a faptului că subiectul controlează datele de identificare sau se află în posesia acestora, dovadă care se modifică la fiecare autentificare a subiectului în sistemul care verifică identitatea subiectului;

4.	„sistem de management al securității informațiilor” înseamnă un set de procese și proceduri menite să gestioneze la niveluri acceptabile riscurile legate de securitatea informațiilor.

2. Specificații și proceduri tehnice

Elementele specificațiilor și ale procedurilor tehnice prevăzute în prezenta anexă se utilizează pentru a determina modul în care se aplică cerințele și criteriile prevăzute la articolul 8 din Regulamentul (UE) nr. 910/2014 în cazul mijloacelor de identificare electronică emise în cadrul unui sistem de identificare electronică.

2.1. Înscrierea

2.1.1. Cererea și înregistrarea

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Asigurarea faptului că solicitantul este la curent cu termenii și condițiile legate de utilizarea mijloacelor de identificare electronică.

2.	Asigurarea faptului că solicitantul are cunoștință de măsurile de prevedere recomandate în materie de securitate a mijloacelor de identificare electronică.

3.	Colectarea datelor de identitate relevante necesare pentru dovedirea și verificarea identității.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.1.2. Dovedirea și verificarea identității (persoană fizică)

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Se poate presupune că persoana este în posesia unor dovezi care sunt recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică și care reprezintă identitatea pretinsă.

2.	Se poate presupune că dovezile sunt autentice sau că ele există în conformitate cu o sursă sigură, iar dovezile par să fie valabile.

3.	Se știe dintr-o sursă sigură că identitatea pretinsă există și se poate presupune că persoana care pretinde a avea identitatea respectivă corespunde acelei identități.

Substanțial

Trebuie să fie îndeplinite cerințele aferente nivelului scăzut, plus una dintre alternativele enumerate la punctele 1-4:

S-a verificat că persoana este în posesia unor dovezi care sunt recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică și care reprezintă identitatea pretinsă;

și

dovezile au fost verificate pentru a se stabili că sunt autentice sau se știe, în conformitate cu o sursă sigură, că ele există și că se referă la o persoană reală;

și

au fost luate măsuri pentru a reduce la minimum riscul ca identitatea persoanei să nu fie cea pretinsă, luând în considerare, de exemplu, riscul utilizării unor dovezi pierdute, furate, suspendate, revocate sau expirate;

Un document de identitate este prezentat în cadrul unui proces de înregistrare în statul membru în care a fost eliberat documentul, iar acesta pare să se refere la persoana care îl prezintă;

și

au fost luate măsuri pentru a reduce la minimum riscul ca identitatea persoanei să nu fie cea pretinsă, luând în considerare, de exemplu, riscul utilizării unor documente pierdute, furate, suspendate, revocate sau expirate;

În cazul în care procedurile utilizate anterior de către o entitate publică sau privată în același stat membru în alt scop decât emiterea de mijloace de identificare electronică oferă o asigurare echivalentă cu cele prevăzute în secțiunea 2.1.2 pentru nivelul de asigurare substanțial, atunci entitatea responsabilă cu înregistrarea nu trebuie să repete aceste proceduri anterioare, cu condiția ca respectiva asigurare echivalentă să fie confirmată de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (1) sau de un organism echivalent;

În cazul în care sunt emise mijloace de identificare electronică pe baza unui mijloc de identificare electronică notificat valabil având nivelul de asigurare substanțial sau ridicat și luând în considerare riscurile unei modificări ale datelor de identificare personală în cauză, nu este necesar să se repete procedurile de dovedire și de verificare a identității. În cazul în care mijlocul de identificare electronică servind drept bază nu a fost notificat, nivelul de asigurare substanțial sau ridicat trebuie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.

Ridicat

Trebuie să fie îndeplinite cerințele de la punctul 1 sau 2:

Trebuie să fie îndeplinite cerințele aferente nivelului substanțial, plus una dintre alternativele enumerate la literele a-c:

(a)

În cazul în care s-a verificat că persoana este în posesia unor dovezi de identificare fotografice sau biometrice recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică, iar elementele respective reprezintă identitatea pretinsă, atunci dovezile sunt verificate pentru a se stabili dacă sunt valabile în conformitate cu o sursă sigură;

și

prin intermediul unei comparații între una sau mai multe caracteristici fizice ale solicitantului și o sursă sigură se constată că persoana în cauză are identitatea pretinsă;

(b)

În cazul în care procedurile utilizate anterior de către o entitate publică sau privată în același stat membru în alt scop decât emiterea de mijloace de identificare electronică oferă o asigurare echivalentă cu cele prevăzute în secțiunea 2.1.2 pentru nivelul de asigurare ridicat, atunci entitatea responsabilă cu înregistrarea nu trebuie să repete aceste proceduri anterioare, cu condiția ca respectiva asigurare echivalentă să fie confirmată de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent;

și

se iau măsuri pentru a demonstra că rezultatele procedurilor anterioare rămân valabile;

(c)

În cazul în care sunt emise mijloace de identificare electronică pe baza unui mijloc de identificare electronică notificat valabil având nivelul de asigurare ridicat și luând în considerare riscurile unei modificări ale datelor de identificare ale persoanei în cauză, nu este necesar să se repete procedurile de dovedire și de verificare a identității. În cazul în care mijlocul de identificare electronică servind drept bază nu a fost notificat, nivelul de asigurare ridicat trebuie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent;

și

se iau măsuri pentru a demonstra că rezultatele acestei proceduri anterioare de emitere a unui mijloc de identificare electronică notificate rămân valabile.

În cazul în care solicitantul nu prezintă dovezi de identificare fotografice sau biometrice recunoscute, se aplică exact procedurile folosite la nivel național în statul membru al entității responsabile de înregistrare pentru obținerea acestor dovezi de identificare fotografice sau biometrice recunoscute.

2.1.3. Dovedirea și verificarea identității (persoană juridică)

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Identitatea pretinsă a persoanei juridice este demonstrată pe baza unor dovezi care sunt recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică.

2.	Dovezile par să fie valabile și se poate presupune că sunt autentice sau că există în conformitate cu o sursă sigură, în cazul în care includerea unei persoane juridice în sursa sigură este voluntară și este reglementată de un acord între persoana juridică și sursa sigură.

3.	Sursa sigură nu are cunoștință că persoana juridică ar avea un statut care să o împiedică să acționeze ca persoană juridică.

Substanțial

Trebuie să fie îndeplinite cerințele aferente nivelului scăzut, plus una dintre alternativele enumerate la punctele 1-3:

Identitatea pretinsă a persoanei juridice este demonstrată pe baza unor dovezi care sunt recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică, incluzând denumirea, forma de organizare și (dacă este cazul) numărul de înregistrare al persoanei juridice;

și

dovezile sunt verificate pentru a se stabili dacă sunt autentice sau dacă se știe că există în conformitate cu o sursă sigură, în cazul în care includerea persoanei juridice în sursa sigură este obligatorie pentru ca persoana juridică să își poată desfășura activitatea în sectorul său;

și

au fost luate măsuri pentru a reduce la minimum riscul ca identitatea persoanei juridice să nu fie cea pretinsă, luând în considerare, de exemplu, riscul utilizării unor documente pierdute, furate, suspendate, revocate sau expirate;

În cazul în care procedurile utilizate anterior de către o entitate publică sau privată în același stat membru în alt scop decât emiterea de mijloace de identificare electronică oferă o asigurare echivalentă cu cele prevăzute în secțiunea 2.1.3 pentru nivelul de asigurare substanțial, atunci entitatea responsabilă cu înregistrarea nu trebuie să repete aceste proceduri anterioare, cu condiția ca respectiva asigurare echivalentă să fie confirmată de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent;

În cazul în care sunt emise mijloace de identificare electronică pe baza unui mijloc de identificare electronică notificat valabil având nivelul de asigurare substanțial sau ridicat, nu este necesar să se repete procedurile de dovedire și de verificare a identității. În cazul în care mijlocul de identificare electronică servind drept bază nu a fost notificat, nivelul de asigurare substanțial sau ridicat trebuie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.

Ridicat

Trebuie să fie îndeplinite cerințele aferente nivelului substanțial, plus una dintre alternativele enumerate la punctele 1-3:

Identitatea pretinsă a persoanei juridice este demonstrată pe baza unor dovezi care sunt recunoscute de către statul membru în care s-a depus cererea vizând mijlocul de identificare electronică, incluzând denumirea, forma de organizare și cel puțin un identificator unic care desemnează persoana juridică la nivel național;

și

dovezile au fost verificate pentru a se stabili că sunt valabile în conformitate cu o sursă sigură;

În cazul în care procedurile utilizate anterior de către o entitate publică sau privată în același stat membru în alt scop decât emiterea de mijloace de identificare electronică oferă o asigurare echivalentă cu cele prevăzute în secțiunea 2.1.3 pentru nivelul de asigurare ridicat, atunci entitatea responsabilă cu înregistrarea nu trebuie să repete aceste proceduri anterioare, cu condiția ca respectiva asigurare echivalentă să fie confirmată de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent;

și

se iau măsuri pentru a demonstra că rezultatele acestei proceduri anterioare rămân valabile;

În cazul în care sunt emise mijloace de identificare electronică pe baza unui mijloc de identificare electronică notificat valabil având nivelul de asigurare ridicat, nu este necesar să se repete procedurile de dovedire și de verificare a identității. În cazul în care mijlocul de identificare electronică servind drept bază nu a fost notificat, nivelul de asigurare ridicat trebuie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent

și

se iau măsuri pentru a demonstra că rezultatele acestei proceduri anterioare de emitere a unui mijloc de identificare electronică notificate rămân valabile.

2.1.4. Legătura dintre mijloacele de identificare electronică ale persoanelor fizice și juridice

După caz, pentru legătura dintre mijloacele de identificare electronică ale unei persoane fizice și mijloacele de identificare electronică ale unei persoane juridice (denumită în continuare „legătura”), se aplică următoarele condiții:

1.	Trebuie să fie posibilă suspendarea și/sau retragerea unei legături. Ciclul de viață al unei legături (de exemplu, activarea, suspendarea, reînnoirea, revocarea) este administrat în conformitate cu procedurile recunoscute la nivel național.

Persoana fizică al cărei mijloc de identificare electronică este legat de mijlocul de identificare electronică al unei persoane juridice poate delega exercitarea legăturii către o altă persoană fizică, pe baza unor proceduri recunoscute la nivel național. Cu toate acestea, persoana fizică care deleagă rămâne responsabilă.

Legătura se efectuează după cum urmează:

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Dovedirea identității persoanei fizice care acționează în numele persoanei juridice este verificată ca fiind efectuată la nivelul scăzut sau la un nivel superior acestuia.

2.	Legătura a fost stabilită pe baza unor proceduri recunoscute la nivel național.

3.	Sursa sigură nu are cunoștință că persoana fizică ar avea un statut care să o împiedică să acționeze în numele persoanei juridice.

Substanțial

Punctul 3 de la nivel scăzut, plus:

1.	Dovedirea identității persoanei fizice care acționează în numele persoanei juridice este verificată ca fiind efectuată la nivelul substanțial sau ridicat.

2.	Legătura a fost stabilită pe baza unor proceduri recunoscute la nivel național, ceea ce a avut drept rezultat înregistrarea legăturii într-o sursă sigură.

3.	Legătura a fost verificată pe baza informațiilor dintr-o sursă sigură.

Ridicat

Punctul 3 de la nivelul scăzut și punctul 2 de la nivelul substanțial, plus:

1.	Dovedirea identității persoanei fizice care acționează în numele persoanei juridice este verificată ca fiind efectuată la nivelul ridicat.

2.	Legătura a fost verificată pe baza unui identificator unic care desemnează persoana juridică, utilizat în contextul național; și pe baza informațiilor care desemnează în mod unic o persoană fizică dintr-o sursă autorizată.

2.2. Gestionarea mijloacelor de identificare electronică

2.2.1. Caracteristicile și concepția mijloacelor de identificare electronică

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Mijlocul de identificare electronică utilizează cel puțin un factor de autentificare.

2.	Mijlocul de identificare electronică este conceput în așa fel încât emitentul să ia măsuri rezonabile pentru a se asigura că este utilizat numai sub controlul sau în posesia persoanei căreia îi aparține.

Substanțial

1.	Mijlocul de identificare electronică utilizează cel puțin doi factori de autentificare din categorii diferite.

2.	Mijlocul de identificare electronică este conceput în așa fel încât să se poată presupune că este utilizat numai sub controlul sau în posesia persoanei căreia îi aparține.

Ridicat

Nivelul substanțial, plus:

1.	Mijlocul de identificare electronică este protejat împotriva copierii și a manipulării frauduloase, precum și împotriva atacatorilor cu potențial ridicat de atac.

2.	Mijlocul de identificare electronică este conceput astfel încât să poată fi protejat în mod fiabil de către persoana căreia îi aparține împotriva utilizării de către alte persoane.

2.2.2. Emiterea, livrarea și activarea

Nivelul de asigurare	Elementele necesare
Scăzut	După emitere, mijlocul de identificare electronică este livrat prin intermediul unui mecanism grație căruia să se poate presupune că acesta ajunge numai la persoana căreia îi este destinat.
Substanțial	După emitere, mijlocul de identificare electronică este livrat prin intermediul unui mecanism grație căruia să se poate presupune că acesta ajunge numai în posesia persoanei căreia îi aparține.
Ridicat	În cadrul procesului de activare se verifică dacă mijlocul de identificare electronică a ajuns numai în posesia persoanei căreia îi aparține.

2.2.3. Suspendarea, revocarea și reactivarea

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Este posibil ca un mijloc de identificare electronică să fie suspendat și/sau revocat în timp util și în mod eficace.

2.	Existența unor măsuri luate în scopul prevenirii suspendării, a revocării și/sau a reactivării neautorizate.

3.	Reactivarea are loc numai în cazul în care cerințele în materie de asigurare stabilite înainte de suspendare sau revocare continuă să fie îndeplinite.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.2.4. Reînnoirea și înlocuirea

Nivelul de asigurare	Elementele necesare
Scăzut	Având în vedere riscurile unei modificări ale datelor de identificare personală, reînnoirea sau înlocuirea trebuie să îndeplinească aceleași cerințe de asigurare ca dovedirea și verificarea identității inițiale sau să se bazeze pe un mijloc de identificare electronică valabil cu un nivel de asigurare identic sau superior.
Substanțial	La fel ca pentru nivelul scăzut.
Ridicat	Nivelul scăzut, plus: În cazul în care reînnoirea sau înlocuirea se bazează pe un mijloc de identificare electronică, datele de identitate sunt verificate prin raportare la o sursă sigură.

2.3. Autentificarea

Această secțiune se concentrează pe amenințări asociate cu utilizarea mecanismului de autentificare și enumeră cerințele pentru fiecare nivel de asigurare. În această secțiune controalele trebuie să fie interpretate în așa fel încât să fie proporționale cu riscurile aferente nivelului în cauză.

2.3.1. Mecanismul de autentificare

Tabelul de mai jos indică cerințele pentru fiecare nivel de asigurare cu privire la mecanismul de autentificare prin care persoana fizică sau juridică utilizează un mijloc de identificare electronică pentru a-și confirma identitatea unui beneficiar.

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Eliberarea datelor de identificare personală este precedată de verificarea fiabilă a mijlocului de identificare electronică și a valabilității acestuia.

2.	În cazul în care datele de identificare personală sunt stocate ca parte a mecanismului de autentificare, informațiile respective sunt securizate împotriva pierderii și a compromiterii, inclusiv prin analizarea lor offline.

În cadrul mecanismului de autentificare se pun în aplicare controale de securitate pentru verificarea mijloacelor de identificare electronică, astfel încât să fie foarte puțin probabil ca activități cum ar fi ghicirea, interceptarea, reproducerea sau manipularea comunicațiilor de către un atacator cu potențial de atac scăzut consolidat să poată submina mecanismele de autentificare.

Substanțial

Nivelul scăzut, plus:

1.	Eliberarea datelor de identificare personală este precedată de verificarea fiabilă a mijlocului de identificare electronică și a valabilității acestuia printr-o autentificare dinamică.

În cadrul mecanismului de autentificare se pun în aplicare controale de securitate pentru verificarea mijloacelor de identificare electronică, astfel încât să fie foarte puțin probabil ca activități cum ar fi ghicirea, interceptarea, reproducerea sau manipularea comunicațiilor de către un atacator cu potențial de atac moderat să poată submina mecanismele de autentificare.

Ridicat

Nivelul substanțial, plus:

În cadrul mecanismului de autentificare se pun în aplicare controale de securitate pentru verificarea mijloacelor de identificare electronică, astfel încât să fie foarte puțin probabil ca activități cum ar fi ghicirea, interceptarea, reproducerea sau manipularea comunicațiilor de către un atacator cu potențial de atac ridicat să poată submina mecanismele de autentificare.

2.4. Gestionarea și organizarea

Toți participanții care prestează un serviciu legat de identificarea electronică în context transfrontalier (denumiți în continuare „prestatori”) trebuie să dispună de practici și politici de management al securității informațiilor, de abordări în materie de gestionare a riscurilor și de alte controale recunoscute, astfel încât organismelor de guvernanță pentru sistemele de identificare electronică din statele membre respective să li se ofere asigurarea că există și se utilizează practici eficace. În întreaga secțiune 2.4, toate cerințele/elemente trebuie înțelese ca fiind proporționale cu riscurile aferente nivelului în cauză.

2.4.1. Dispoziții generale

Nivelul de asigurare

Elementele necesare

Scăzut

Prestatorii oricărui serviciu operațional care face obiectul prezentului regulament sunt o autoritate publică sau o entitate juridică recunoscută ca atare de legislația națională a unui stat membru, având o structură organizatorică bine-definită și fiind pe deplin operațională din toate punctele de vedere relevante pentru prestarea serviciilor.

Prestatorii respectă toate cerințele legale care le revin în legătură cu operarea și furnizarea serviciilor, inclusiv în ceea ce privește tipurile de informații care ar putea fi cerute, modul în care se efectuează dovedirea identității, informațiile care pot fi păstrate și perioada pentru care pot fi păstrate.

3.	Prestatorii sunt în măsură să își demonstreze capacitatea de a-și asuma riscul răspunderii pentru daune, precum și faptul că dispun de suficiente resurse financiare pentru a continua operațiunile și prestarea serviciilor.

4.	Prestatorii sunt răspunzători de îndeplinirea oricăruia dintre angajamentele externalizate către o altă entitate, precum și de conformitatea cu politica sistemului, ca și când prestatorii ar fi îndeplinit ei înșiși sarcinile respective.

Sistemele de identificare electronică care nu au fost înființate prin legislația națională trebuie să aibă un plan eficace pentru cazul încetării serviciului. Un astfel de plan trebuie să prevadă încetarea ordonată a serviciului sau continuarea prestării sale de către un alt prestator, modul în care autoritățile competente și utilizatorii finali sunt informați, precum și detalii cu privire la modul în care ar trebui să fie protejate, reținute și distruse înregistrările în conformitate cu politica sistemului.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.4.2. Anunțurile publicate și informațiile pentru utilizatori

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Existența unei definiții publicate a serviciului, care să includă toți termenii, toate condițiile și toate tarifele aplicabile, inclusiv eventualele limitări ale utilizării acestuia. Definiția serviciului include o politică privind protecția vieții private.

Trebuie instituite o politică și proceduri adecvate pentru a se asigura că utilizatorii serviciului sunt informați într-o manieră fiabilă și la timp cu privire la orice modificare a definiției serviciului și a oricăreia dintre clauzele, condițiile și măsurile de protecție a vieții private pentru serviciul în cauză.

3.	Trebuie instituite politici și proceduri adecvate care să asigure răspunsuri integrale și corecte la solicitările de informații.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.4.3. Managementul securității informațiilor

Nivelul de asigurare	Elementele necesare
Scăzut	Există un sistem eficace de management al securității informațiilor, pentru gestionarea și controlul riscurilor la adresa securității informației.
Substanțial	Nivelul scăzut, plus: Sistemul de management al securității informațiilor respectă standarde sau principii dovedite de gestionare și control al riscurilor la adresa securității informației.
Ridicat	La fel ca pentru nivelul substanțial.

2.4.4. Păstrarea evidențelor

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Înregistrarea și păstrarea informațiilor relevante prin utilizarea unui sistem eficace de gestionare a evidențelor, ținând seama de legislația aplicabilă și de bunele practici în ceea ce privește protecția și păstrarea datelor.

Păstrarea, în măsura în care acest lucru este permis de legislația națională sau de alte dispoziții administrative naționale, și protejarea evidențelor atât timp cât acestea sunt necesare în scopuri de audit și de investigare a cazurilor de încălcare a securității și în scopuri de păstrare a datelor, după care acestea trebuie distruse în mod securizat.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.4.5. Infrastructură și personal

Tabelul de mai jos prezintă cerințele în materie de infrastructură și personal și, după caz, în materie de subcontractanți care îndeplinesc sarcini care intră sub incidența prezentului regulament. Conformitatea cu fiecare cerință trebuie să fie proporțională cu nivelul de risc aferent nivelului de asigurare oferit.

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Existența unor proceduri care să garanteze că personalul și subcontractanții sunt suficient de bine formați, calificați și experimentați în ceea ce privește abilitățile necesare pentru a îndeplini rolurile care le revin.

2.	Existența unui număr suficient de angajați și de subcontractanți pentru a funcționa în mod adecvat și a asigura resurse serviciului în conformitate cu politicile și procedurile sale.

3.	Infrastructura utilizată pentru prestarea serviciilor este monitorizată continuu și protejată împotriva pagubelor provocate de evenimente de mediu, a accesului neautorizat și a altor factori care pot influența securitatea serviciului.

4.	Prin infrastructura utilizată pentru prestarea serviciului se asigură că accesul la zonele unde se păstrează sau se prelucrează informații personale, criptografice sau alte informații sensibile este limitat la personalul autorizat sau la subcontractanți.

Substanțial

La fel ca pentru nivelul scăzut.

Ridicat

La fel ca pentru nivelul scăzut.

2.4.6. Controalele tehnice

Nivelul de asigurare

Elementele necesare

Scăzut

1.	Existența unor controale tehnice proporționale pentru a gestiona riscurile la adresa securității serviciilor, asigurând protejarea confidențialității, a integrității și a disponibilității informațiilor prelucrate.

2.	Canalele de comunicare electronice utilizate pentru a face schimb de date cu caracter personal sau de informații sensibile sunt protejate împotriva interceptării, a manipulării și a reproducerii.

Accesul la materialele criptografic sensibile, dacă acestea sunt utilizate pentru emiterea mijloacelor de identificare electronică și de autentificare, se limitează la rolurile și aplicațiile care necesită neapărat accesul. Este necesar să se asigure că aceste materiale nu sunt niciodată stocate pe durate mai lungi sub formă de text simplu.

4.	Există proceduri pentru a se asigura că securitatea se menține în timp și că există capacitatea de a reacționa la schimbările nivelurilor de risc, la incidente și încălcări ale securității.

5.	Toate suporturile care conțin informații personale, criptografice sau alte informații sensibile sunt stocate, transportate și eliminate în condiții de siguranță și în mod securizat.

Substanțial

La fel ca pentru nivelul scăzut, plus:

Materialele criptografice sensibile, dacă sunt utilizate pentru emiterea mijloacelor de identificare electronică și de autentificare, sunt protejate împotriva manipulărilor frauduloase

Ridicat

La fel ca pentru nivelul substanțial.

2.4.7. Conformitatea și auditul

Nivelul de asigurare

Elementele necesare

Scăzut

Existența unor audituri interne periodice, al căror domeniu de aplicare include toate aspectele relevante pentru prestarea serviciilor furnizate, pentru a se asigura respectarea politicii relevante.

Substanțial

Existența unor audituri interne sau externe periodice independente, al căror domeniu de aplicare include toate aspectele relevante pentru prestarea serviciilor furnizate, pentru a se asigura respectarea politicii relevante.

Ridicat

1.	Existența unor audituri externe periodice independente, al căror domeniu de aplicare include toate aspectele relevante pentru prestarea serviciilor furnizate, pentru a se asigura respectarea politicii relevante.

2.	În cazul în care un program este gestionat direct de către un organism guvernamental, acesta este auditat în conformitate cu legislația națională.

(1) Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului din 9 iulie 2008 de stabilire a cerințelor de acreditare și de supraveghere a pieței în ceea ce privește comercializarea produselor și de abrogare a Regulamentului (CEE) nr. 339/93 (JO L 218, 13.8.2008, p. 30).

9.9.2015

Jurnalul Oficial al Uniunii Europene

L 235/26

DECIZIA DE PUNERE ÎN APLICARE (UE) 2015/1505 A COMISIEI

din 8 septembrie 2015

de stabilire a specificațiilor tehnice și a formatelor pentru listele sigure în temeiul articolului 22 alineatul (5) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

întrucât:

(1)	Listele sigure sunt esențiale pentru construirea încrederii între operatorii de piață, deoarece ele indică statutul prestatorului de servicii în momentul supravegherii.

(2)

Utilizarea transfrontalieră a semnăturilor electronice a fost facilitată prin Decizia 2009/767/CE a Comisiei (2), în care s-a stabilit obligația statelor membre de a crea, a menține și a publica liste sigure cu informații referitoare la prestatorii de servicii de certificare care eliberează certificate calificate publicului în conformitate cu Directiva 1999/93/CE a Parlamentului European și a Consiliului (3) și care sunt supravegheați și acreditați de către statele membre.

(3)

La articolul 22 din Regulamentul (UE) nr. 910/2014 se prevede că statele membre au obligația să instituie, să mențină și să publice în mod securizat liste sigure semnate sau sigilate electronic într-o formă adecvată pentru prelucrarea automată, precum și obligația să notifice Comisiei organismele responsabile pentru instituirea listelor sigure naționale.

(4)

Prestatorul de servicii de încredere și serviciile de încredere pe care le prestează ar trebui să fie considerate calificate în momentul în care prestatorului din lista sigură îi este atribuit statutul de calificat. Pentru a se asigura că prestatorii de servicii pot îndeplini cu ușurință, la distanță și prin mijloace electronice alte obligații care decurg din Regulamentul (UE) nr. 910/2014, în special pe cele prevăzute la articolele 27 și 37, și pentru a se răspunde așteptărilor legitime ale altor prestatori de servicii de certificare care nu eliberează certificate calificate, dar prestează servicii conexe semnăturilor electronice în temeiul Directivei 1999/93/CE și sunt înscriși în liste la 30 iunie 2016, statele membre ar trebui să aibă posibilitatea de a adăuga în listele sigure, la nivel național, și alte servicii de încredere decât cele calificate, dacă prestatorii respectivi doresc acest lucru, cu condiția să se indice clar că serviciile în cauză nu sunt calificate în conformitate cu Regulamentul (UE) nr. 910/2014.

(5)

Conform considerentului 25 din Regulamentul (UE) nr. 910/2014, statele membre pot adăuga alte tipuri de servicii de încredere definite la nivel național decât cele definite la articolul 3 alineatul (16) din Regulamentul (UE) nr. 910/2014, cu condiția să se indice clar că serviciile în cauză nu sunt calificate în conformitate cu Regulamentul (UE) nr. 910/2014.

(6)	Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit prin articolul 48 din Regulamentul (UE) nr. 910/2014,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Statele membre instituie, publică și mențin liste sigure cu informații referitoare la prestatorii de servicii de încredere calificați pe care îi supraveghează, precum și informații referitoare la serviciile de încredere calificate pe care aceștia le prestează. Listele respective îndeplinesc specificațiile tehnice stabilite în anexa I.

Articolul 2

Statele membre pot include în listele sigure și informații referitoare la prestatorii de servicii de încredere necalificați, alături de informații referitoare la serviciile de încredere necalificate pe care aceștia le prestează. În listă se indică în mod clar care prestatori de servicii de încredere și care servicii de încredere prestate de aceștia sunt necalificate.

Articolul 3

(1) În temeiul articolului 22 alineatul (2) din Regulamentul (UE) nr. 910/2014, statele membre semnează sau sigilează electronic forma adecvată pentru prelucrarea automată a listei lor sigure, în conformitate cu specificațiile tehnice stabilite în anexa I.

(2) Dacă își publică electronic lista sigură într-o formă lizibilă pentru om, statele membre se asigură că forma respectivă a listei sigure conține aceleași date ca și forma adecvată pentru prelucrarea automată și o semnează sau sigilează electronic în conformitate cu specificațiile tehnice stabilite în anexa I.

Articolul 4

(1) Statele membre transmit Comisiei informațiile menționate la articolul 22 alineatul (3) din Regulamentul (UE) nr. 910/2014 utilizând modelul din anexa II.

(2) Informațiile menționate la alineatul (1) cuprind două sau mai multe certificate de cheie publică ale operatorului de program, cu perioade de valabilitate decalate în timp de cel puțin trei luni, care corespund cheilor private care pot fi utilizate pentru a semna sau a sigila electronic forma adecvată pentru prelucrarea automată a listei sigure și, când se publică, forma lizibilă pentru om.

(3) În temeiul articolului 22 alineatul (4) din Regulamentul (UE) nr. 910/2014, Comisia pune la dispoziția publicului, printr-un canal sigur către un server web autentificat, informațiile menționate la alineatele (1) și (2), astfel cum au fost notificate de către statele membre, într-o formă semnată sau sigilată care este adecvată pentru prelucrarea automată.

(4) Comisia poate să pună la dispoziția publicului, printr-un canal sigur către un server web autentificat, informațiile menționate la alineatele (1) și (2), astfel cum au fost notificate de către statele membre, într-o formă semnată sau sigilată lizibilă pentru om.

Articolul 5

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezenta decizie este obligatorie în toate elementele sale și se aplică direct în toate statele membre.

Adoptată la Bruxelles, 8 septembrie 2015.

Pentru Comisie

Președintele

Jean-Claude JUNCKER

(1) JO L 257, 28.8.2014, p. 73.

(2) Decizia 2009/767/CE a Comisiei din 16 octombrie 2009 de stabilire a unor măsuri de facilitare a utilizării procedurilor prin mijloace electronice prin intermediul „ghișeelor unice” în temeiul Directivei 2006/123/CE a Parlamentului European și a Consiliului privind serviciile în cadrul pieței interne (JO L 274, 20.10.2009, p. 36).

(3) Directiva 1999/93/CE a Parlamentului European și a Consiliului din 13 decembrie 1999 privind un cadru comunitar pentru semnăturile electronice (JO L 13, 19.1.2000, p. 12).

ANEXA I

SPECIFICAȚII TEHNICE PENTRU UN MODEL COMUN AL LISTELOR SIGURE

CAPITOLUL I

CERINȚE GENERALE

Listele sigure cuprind atât informațiile actuale, cât și toate informațiile istorice cu privire la statutul serviciilor de încredere care figurează în liste, începând cu data includerii unui prestator de servicii de încredere în listele sigure.

Termenii „omologat”, „acreditat” și/sau „supravegheat” din prezentele specificații se referă și la sistemele naționale de omologare, dar statele membre furnizează, în lista lor sigură, informații suplimentare cu privire la natura oricărui astfel de sistem național, inclusiv clarificări cu privire la posibilele diferențe față de sistemele de supraveghere aplicate în cazul prestatorilor de servicii de încredere calificați și în cazul serviciilor de încredere calificate pe care aceștia le prestează.

Informațiile furnizate în lista sigură au ca scop principal susținerea validării dispozitivelor de autentificare pentru serviciile de încredere calificate, și anume obiecte fizice sau binare (logice) generate sau emise ca urmare a utilizării unui serviciu de încredere calificat, cum ar fi, în special, semnăturile/sigiliile electronice calificate, semnăturile/sigiliile electronice avansate bazate pe un certificat calificat, mărcile temporale calificate, dovezile de distribuție electronică calificată etc.

CAPITOLUL II

SPECIFICAȚII DETALIATE PENTRU MODELUL COMUN AL LISTELOR SIGURE

Prezentele specificații se bazează pe specificațiile și cerințele cuprinse în documentul intitulat „Specificațiile tehnice ale ETSI 119 612 v2.1.1” (denumit în continuare „ETSI TS 119 612”).

Dacă în prezentele specificații nu sunt stabilite cerințe specifice, se aplică în întregime cerințele stabilite în secțiunile 5 și 6 din ETSI TS 119 612. Dacă în prezentele specificații sunt stabilite cerințe specifice, acestea prevalează asupra cerințelor corespunzătoare din ETSI TS 119 612. În cazul unor discrepanțe între prezentele specificații și specificațiile din ETSI TS 119 612, prevalează prezentele specificații.

Scheme name (denumirea programului) (secțiunea 5.3.6)

Acest câmp este obligatoriu și trebuie să respecte secțiunea 5.3.6 din TS 119 612, conform căreia pentru program trebuie să se folosească următoarea denumire:

„EN_name_value”= „Listă sigură cu informații referitoare la prestatorii de servicii de încredere calificați care sunt supravegheați de statul membru emitent și informații referitoare la serviciile de încredere calificate pe care aceștia le prestează, în conformitate cu dispozițiile relevante stabilite în Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE.”

Scheme information URI (URI-ul informațiilor despre program) (secțiunea 5.3.7)

Acest câmp este obligatoriu și trebuie să respecte secțiunea 5.3.7 din TS 119 612, conform căreia „informațiile corespunzătoare despre program” trebuie să cuprindă cel puțin:

(a)

informații introductive, comune tuturor statelor membre, cu privire la domeniul și contextul listei sigure, la programul de supraveghere aflat la bază și, când este cazul, la programul (programele) național(e) de omologare (acreditare, de exemplu). Textul comun care trebuie să fie folosit și în care șirul de caractere „[name of the relevant Member State]” trebuie să fie înlocuit cu numele statului membru relevant este următorul:

„Prezenta listă este lista sigură cu informații referitoare la prestatorii de servicii de încredere calificați care sunt supravegheați de [numele statului membru în cauză] și informații referitoare la serviciile de încredere calificate pe care aceștia le prestează, în conformitate cu dispozițiile relevante stabilite în Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE.

Utilizarea transfrontalieră a semnăturilor electronice a fost facilitată prin Decizia 2009/767/CE a Comisiei din 16 octombrie 2009 în care s-a stabilit obligația statelor membre de a crea, a menține și a publica liste sigure cu informații referitoare la prestatorii de servicii de certificare care eliberează certificate calificate publicului în conformitate cu Directiva 1999/93/CE a Parlamentului European și a Consiliului din 13 decembrie 1999 și care sunt supravegheați și acreditați de către statele membre. Prezenta listă sigură este continuarea listei sigure instituite prin Decizia 2009/767/CE.”

Listele sigure sunt elemente esențiale pentru construirea încrederii între operatorii de pe piața electronică, permițând utilizatorilor să stabilească statutul de calificat și istoricul statutului în cazul prestatorilor de servicii de încredere și al serviciilor oferite de aceștia.

Listele sigure ale statelor membre cuprind cel puțin informațiile precizate la articolele 1 și 2 din Decizia de punere în aplicare (UE) 2015/1505 a Comisiei.

Statele membre pot include în listele sigure și informații cu privire la prestatorii de servicii de încredere necalificați, alături de informații cu privire la serviciile de încredere necalificate pe care aceștia le prestează. Trebuie să se indice clar că prestatorii și serviciile în cauză nu sunt calificate în conformitate cu Regulamentul (UE) nr. 910/2014.

Statele membre pot include în listele sigure informații cu privire la serviciile de încredere care sunt definite la nivel național și care sunt de alt tip decât cele definite la articolul 3 alineatul (16) din Regulamentul (UE) nr. 910/2014. Trebuie să se indice clar că prestatorii și serviciile în cauză nu sunt calificate în conformitate cu Regulamentul (UE) nr. 910/2014;

(b)

informații specifice cu privire la programul de supraveghere aflat la bază și, când este cazul, la programul (programele) național(e) de omologare (acreditare, de exemplu), în special (1):

1.	informații cu privire la sistemul național de supraveghere care se aplică în cazul prestatorilor de servicii de încredere calificați și necalificați și în cazul serviciilor de încredere calificate și necalificate pe care aceștia le prestează, în conformitate cu Regulamentul (UE) nr. 910/2014;

2.	când este cazul, informații cu privire la sistemele naționale de omologare voluntară aplicabile prestatorilor de servicii de certificare care au emis certificate calificate în temeiul Directivei 1999/93/CE.

Aceste informații specifice trebuie să includă pentru fiecare program de bază menționat mai sus cel puțin următoarele:

1.	o descriere generală;

2.	informații cu privire la procedura urmată pentru sistemul național de supraveghere și, când este cazul, pentru omologarea în cadrul unui sistem național de omologare;

3.	informații cu privire la criteriile după care sunt supravegheați sau, când este cazul, omologați prestatorii de servicii de încredere;

4.	informații cu privire la criteriile și regulile aplicate pentru selectarea supraveghetorilor/auditorilor și pentru stabilirea modului în care aceștia evaluează prestatorii de servicii de încredere și serviciile de încredere prestate;

5.	când este cazul, alte date de contact și informații generale cu privire la funcționarea programului.

Scheme type/community/rules (Tipul/comunitatea/regulile programului) (secțiunea 5.3.9)

Acest câmp este obligatoriu și trebuie să respecte secțiunea 5.3.9 din TS 119 612.

Câmpul trebuie să conțină numai URI-uri în engleza britanică.

Câmpul trebuie să conțină cel puțin două URI-uri:

Un URI comun tuturor listelor sigure ale statelor membre, care trimite la un text descriptiv aplicabil tuturor listelor sigure, după cum urmează:

URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

Text descriptiv:

„Participation in a scheme

Each Member State must create a trusted list including information related to the qualified trust service providers that are under supervision, together with information related to the qualified trust services provided by them, in accordance with the relevant provisions laid down in Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC.

The present implementation of such trusted lists is also to be referred to in the list of links (pointers) towards each Member State's trusted list, compiled by the European Commission.

Policy/rules for the assessment of the listed services

Member States must supervise qualified trust service providers established in the territory of the designating Member State as laid down in Chapter III of Regulation (EU) No 910/2014 to ensure that those qualified trust service providers and the qualified trust services that they provide meet the requirements laid down in the Regulation.

The trusted lists of Member States include, as a minimum, information specified in Articles 1 and 2 of Commission Implementing Decision (EU) 2015/1505.

The trusted lists include both current and historical information about the status of listed trust services.

Each Member State's trusted list must provide information on the national supervisory scheme and where applicable, national approval (e.g. accreditation) scheme(s) under which the trust service providers and the trust services that they provide are listed.

Interpretation of the Trusted List

The general user guidelines for applications, services or products relying on a trusted list published in accordance with Regulation (EU) No 910/2014 are as follows:

The «qualified» status of a trust service is indicated by the combination of the «Service type identifier» («Sti») value in a service entry and the status according to the «Service current status» field value as from the date indicated in the «Current status starting date and time». Historical information about such a qualified status is similarly provided when applicable.

Regarding qualified trust service providers issuing qualified certificates for electronic signatures, for electronic seals and/or for website authentication:

A «CA/QC»«Service type identifier» («Sti») entry (possibly further qualified as being a «RootCA-QC» through the use of the appropriate «Service information extension» («Sie») additionalServiceInformation Extension)

—

indicates that any end-entity certificate issued by or under the CA represented by the «Service digital identifier» («Sdi») CA's public key and CA's name (both CA data to be considered as trust anchor input), is a qualified certificate (QC) provided that it includes at least one of the following:

—	the id-etsi-qcs-QcCompliance ETSI defined statement (id-etsi-qcs 1),

—	the 0.4.0.1456.1.1 (QCP+) ETSI defined certificate policy OID,

—	the 0.4.0.1456.1.2 (QCP) ETSI defined certificate policy OID,

and provided this is ensured by the Member State Supervisory Body through a valid service status (i.e. «undersupervision», «supervisionincessation», «accredited» or «granted») for that entry.

—

and IF«Sie»«Qualifications Extension» information is present, then in addition to the above default rule, those certificates that are identified through the use of «Sie»«Qualifications Extension» information, constructed as a sequence of filters further identifying a set of certificates, must be considered according to the associated qualifiers providing additional information regarding their qualified status, the «SSCD support» and/or «Legal person as subject» (e.g. certificates containing a specific OID in the Certificate Policy extension, and/or having a specific «Key usage» pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). These qualifiers are part of the following set of «Qualifiers» used to compensate for the lack of information in the corresponding certificate content, and that are used respectively:

—

to indicate the qualified certificate nature:

—	«QCStatement» meaning the identified certificate(s) is(are) qualified under Directive 1999/93/EC;

—	«QCForESig» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), is(are) qualified certificate(s) for electronic signature under Regulation (EU) No 910/2014;

—	«QCForESeal» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), is(are) qualified certificate(s) for electronic seal under Regulation (EU) No 910/2014;

—	«QCForWSA» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), is(are) qualified certificate(s) for web site authentication under Regulation (EU) No 910/2014;

—

to indicate that the certificate is not to be considered as qualified:

—	«NotQualified» meaning the identified certificate(s) is(are) not to be considered as qualified; and/or

—

to indicate the nature of the SSCD support:

—	«QCWithSSCD» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), have their private key residing in an SSCD, or

—	«QCNoSSCD» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), have not their private key residing in an SSCD, or

—	«QCSSCDStatusAsInCert» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), does(do) contain proper machine processable information about whether or not their private key residing in an SSCD;

—

to indicate the nature of the QSCD support:

—	«QCWithQSCD» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), have their private key residing in a QSCD, or

—	«QCNoQSCD» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), have not their private key residing in a QSCD, or

—	«QCQSCDStatusAsInCert» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), does(do) contain proper machine processable information about whether or not their private key is residing in a QSCD;

—

«QCQSCDManagedOnBehalf» indicating that all certificates identified by the applicable list of criteria, when they are claimed or stated as qualified, have their private key is residing in a QSCD for which the generation and management of that private key is done by a qualified TSP on behalf of the entity whose identity is certified in the certificate; and/or

—

to indicate issuance to Legal Person:

—	«QCForLegalPerson» meaning the identified certificate(s), when claimed or stated as qualified certificate(s), are issued to a Legal Person under Directive 1999/93/EC.

Note: The information provided in the trusted list is to be considered as accurate meaning that:

—	if none of the id-etsi-qcs 1 statement, QCP OID or QCP+ OID information is included in an end-entity certificate, and

—	if no «Sie»«Qualifications Extension» information is present for the trust anchor CA/QC corresponding service entry to qualify the certificate with a «QCStatement» qualifier, or

—	an «Sie»«Qualifications Extension» information is present for the trust anchor CA/QC corresponding service entry to qualify the certificate with a «NotQualified» qualifier,

then the certificate is not to be considered as qualified.

«Service digital identifiers» are to be used as Trust Anchors in the context of validating electronic signatures or seals for which signer's or seal creator's certificate is to be validated against TL information, hence only the public key and the associated subject name are needed as Trust Anchor information. When more than one certificate are representing the public key identifying the service, they are to be considered as Trust Anchor certificates conveying identical information with regard to the information strictly required as Trust Anchor information.

The general rule for interpretation of any other «Sti» type entry is that, for that «Sti» identified service type, the listed service named according to the «Service name» field value and uniquely identified by the «Service digital identity» field value has the current qualified or approval status according to the «Service current status» field value as from the date indicated in the «Current status starting date and time».

Specific interpretation rules for any additional information with regard to a listed service (e.g. «Service information extensions» field) may be found, when applicable, in the Member State specific URI as part of the present «Scheme type/community/rules» field.

Please refer to the applicable secondary legislation pursuant to Regulation (EU) No 910/2014 for further details on the fields, description and meaning for the Member States' trusted lists.”

Un URI specific pentru fiecare listă sigură a unui stat membru care trimite la un text descriptiv aplicabil listei sigure a statului membru respectiv:

http://uri.etsi.org/TrstSvc/TrustedList/schemerules/CC unde CC = codul țării ISO 3166-1 (2) alpha-2 utilizat în câmpul „Scheme territory” (secțiunea 5.3.10)

—	unde utilizatorii găsesc politica/regulile specifice ale statului membru respectiv, pe baza cărora sunt evaluate serviciile de încredere incluse în listă, în conformitate cu regimul de supraveghere al statului membru și, când este cazul, cu sistemul de omologare al acestuia;

—

unde utilizatorii găsesc o descriere specifică oferită de statul membru respectiv cu privire la modul de utilizare și de interpretare a conținutului listei sigure în ceea ce privește serviciile de încredere necalificate care figurează în listă și/sau serviciile de încredere definite la nivel național. Acesta poate fi utilizat pentru a indica o eventuală divizare în cadrul sistemului național de omologare în ceea ce privește CSP care nu eliberează QC și modul în care se utilizează „Scheme service definition URI” (secțiunea 5.5.6) și câmpul „Service information extension” (secțiunea 5.5.9) în acest scop.

Statele membre POT defini și utiliza URI-uri suplimentare prin extinderea URI-ului specific al statului membru, menționat mai sus (cu alte cuvinte URI-uri definite pornind de la acest URI ierarhic specific).

TSL policy/legal notice (Politica/avizul juridic al TSL) (secțiunea 5.3.11)

Acest câmp este obligatoriu și trebuie să respecte secțiunea 5.3.11 din TS 119 612. Câmpul conține politica/avizul juridic privind statutul juridic al programului sau cerințele juridice respectate de program în temeiul jurisdicției în care este stabilit și/sau eventualele constrângeri și condiții în care lista sigură este menținută și publicată. Informațiile sunt prezentate sub forma unei secvențe de șiruri de caractere multilingve (a se vedea secțiunea 5.1.4) care redă, obligatoriu în engleza britanică și opțional în una sau mai multe limbi naționale, textul efectiv al politicii respective sau al avizului respectiv, după următoarea structură:

O primă parte obligatorie, comună tuturor listelor sigure ale statelor membre, în care se precizează cadrul juridic aplicabil și a cărei versiune în limba engleză este următoarea:

The applicable legal framework for the present trusted list is Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC.

Textul în limba națională a (limbile naționale ale) unui stat membru:

Cadrul juridic aplicabil pentru prezenta listă sigură este Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE.

2.	O a doua parte, opțională, specifică fiecărei listei sigure, în care se menționează trimiterile la cadrele juridice naționale aplicabile în cazul respectiv.

Service current status (Statutul actual al serviciului) (secțiunea 5.5.4)

Acest câmp este obligatoriu și trebuie să respecte secțiunea 5.5.4 din TS 119 612.

În cazul serviciilor care sunt introduse în listele sigure ale statelor membre ale UE în ziua dinaintea zilei de aplicare a Regulamentul (UE) nr. 910/2014 (și anume 30 iunie 2016), migrația valorii „Service current status” se efectuează la data aplicării regulamentului (și anume 1 iulie 2016), astfel cum se specifică în anexa J la ETSI TS 119 612.

CAPITOLUL III

CONTINUITATEA LISTELOR SIGURE

Certificatele care trebuie notificate Comisiei în conformitate cu articolul 4 alineatul (2) din prezenta decizie trebuie să îndeplinească cerințele stabilite în secțiunea 5.7.1 din ETSI TS 119 612 și, în momentul emiterii, să îndeplinească următoarele condiții:

—	să prezinte o diferență de cel puțin trei luni în ultima lor zi de valabilitate („Nu după”); și

—	să fie create pe baza unor perechi noi de chei. Perechile de chei utilizate anterior nu trebuie să fie certificate din nou.

În cazul expirării unuia dintre certificatele cu cheie publică la care s-ar putea recurge pentru validarea semnăturii sau a sigiliului listei sigure care a fost notificată Comisiei și publicată în lista centrală de indicatori a Comisiei, statele membre trebuie:

—	să emită, fără întârziere, o nouă listă sigură semnată sau sigilată cu o cheie privată al cărei certificat cu cheie publică nu a expirat, în cazul în care lista sigură publicată la momentul respectiv a fost semnată sau sigilată cu o cheie privată al cărei certificat cu cheie publică a expirat;

—	când este necesar, să genereze noi perechi de chei care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure și să asigure generarea certificatelor corespunzătoare cu cheie publică;

—	să notifice prompt Comisiei noua listă de certificate cu cheie publică corespunzătoare cheilor private care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure.

În cazul compromiterii sau al desființării uneia dintre cheile private corespunzătoare unuia dintre certificatele cu cheie publică la care s-ar putea recurge pentru validarea semnăturii sau a sigiliului listei sigure care a fost notificată Comisiei și publicată în lista centrală de indicatori a Comisiei, statele membre trebuie:

—	să emită, fără întârziere, o nouă listă sigură semnată sau sigilată cu o cheie privată necompromisă în cazurile în care lista sigură publicată a fost semnată sau sigilată cu o cheie privată compromisă sau desființată;

—	când este necesar, să genereze noi perechi de chei care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure și să asigure generarea certificatelor corespunzătoare cu cheie publică;

—	să notifice prompt Comisiei noua listă de certificate cu cheie publică corespunzătoare cheilor private care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure.

În cazul compromiterii sau desființării tuturor cheilor private corespunzătoare certificatelor cu cheie publică la care s-ar putea recurge pentru validarea semnăturii listei sigure care a fost notificată Comisiei și publicată în lista centrală de indicatori a Comisiei, statele membre trebuie:

—	să genereze noi perechi de chei care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure și să asigure generarea certificatelor corespunzătoare cu cheie publică;

—	să emită, fără întârziere, o nouă listă sigură semnată sau sigilată cu una dintre cheile private noi al căror certificat corespunzător cu cheie publică urmează a fi notificat;

—	să notifice prompt Comisiei noua listă de certificate cu cheie publică corespunzătoare cheilor private care ar putea fi utilizate pentru semnarea sau sigilarea listei sigure.

CAPITOLUL IV

SPECIFICAȚII PRIVIND FORMA LIZIBILĂ PENTRU OM A LISTEI SIGURE

În cazul în care se creează și se publică o formă lizibilă pentru om a listei sigure, aceasta trebuie să fie prezentată ca document PDF (Portable Document Format) conform ISO 32000 (3) care trebuie formatat conform profilului PDF/A (ISO 19005 (4)).

Conținutul listei sigure în forma lizibilă pentru om bazată pe PDF/A trebuie să respecte următoarele cerințe:

—	structura formei lizibile pentru om trebuie să reflecte modelul logic descris în TS 119 612;

—

fiecare câmp existent trebuie să fie afișat și să cuprindă:

—	denumirea câmpului (de exemplu, „Service type identifier”);

—	valoarea câmpului (de exemplu, „http://uri.etsi.org/TrstSvc/Svctype/CA/QC”);

—	sensul (descrierea) valorii câmpului, atunci când este cazul (de exemplu „A certificate generation service creating and signing qualified certificates based on the identity and other attributes verified by the relevant registration services.”);

—	versiuni în mai multe limbi naturale, astfel cum sunt prevăzute în lista sigură, atunci când este cazul;

—

în forma lizibilă pentru om trebuie să fie afișate cel puțin următoarele câmpuri și valori corespunzătoare ale certificatelor digitale (5), dacă sunt prezente în câmpul „Service digital identity”:

—	versiunea;

—	seria certificatului;

—	algoritmul semnăturii;

—	emitentul – toate câmpurile relevante ale numelui distinctiv;

—	perioada de valabilitate;

—	subiectul – toate câmpurile relevante ale numelui distinctiv;

—	cheia publică;

—	identificatorul cheii autorității;

—	identificatorul cheii subiectului;

—	utilizarea cheii;

—	utilizarea extinsă a cheii;

—	politicile de certificare – toți identificatorii politicilor și toate calificativele politicilor;

—	mapările de politici;

—	numele alternativ al subiectului;

—	atributul catalogului subiectului;

—	restricțiile de bază;

—	restricțiile de politici;

—	punctele de distribuire ale CRL (6);

—	accesul la informații despre autoritate;

—	accesul la informații despre subiect;

—	declarațiile certificatului calificat (7);

—	algoritmul hash;

—	valoarea hash a certificatului;

—	forma lizibilă pentru om trebuie să fie ușor de imprimat;

—	forma lizibilă pentru om trebuie să fie semnată sau sigilată de către operatorul programului în conformitate cu semnătura avansată pentru PDF prevăzută la articolele 1 și 3 din Decizia de punere în aplicare (UE) 2015/1505.

(1) Aceste seturi de informații au o importanță esențială pentru evaluarea de către beneficiari a nivelului de calitate și de siguranță al sistemelor respective. Aceste seturi de informații se furnizează la nivelul listei sigure prin utilizarea actualelor „Scheme information URI” (secțiunea 5.3.7 – informații furnizate de statul membru), „Scheme type/community/rules” (secțiunea 5.3.9 – prin utilizarea unui text comun tuturor statelor membre) și „TSL policy/legal notice” (secțiunea 5.3.11 – un text comun tuturor statelor membre, fiecare stat membru având posibilitatea de a adăuga texte/referințe care îi sunt specifice). Informațiile suplimentare cu privire la aceste sistem pentru serviciile de încredere necalificate și pentru serviciile de încredere (calificate) care sunt definite la nivel național pot fi furnizate la nivelul fiecărui serviciu, când este cazul și dacă este necesar (de exemplu pentru a se distinge între mai multe niveluri de calitate/siguranță), prin utilizarea „Scheme service definition URI” (secțiunea 5.5.6).

(2) ISO 3166-1:2006: „Coduri pentru reprezentarea numelor țărilor și ale subdiviziunilor acestora – Partea 1: Codurile țărilor”.

(3) ISO 32000-1:2008: Managementul documentelor – Formatul documentelor portabile – Partea 1: PDF 1.7

(4) ISO 19005-2:2011: Managementul documentelor – Formatul de fișier al documentelor electronice pentru o conservare pe termen lung – Partea 2: Utilizarea ISO 32000-1 (PDF/A-2)

(5) Recomandarea ITU-T X.509 | ISO/IEC 9594-8: Tehnologia informației – Interconectarea sistemelor deschise – Catalogul: Cadrul-general al certificatelor cu cheie publică și atribut (a se vedea http://www.itu.int/ITU-T/recommendations/rec.aspx?rec=X.509)

(6) RFC 5280: internet X. 509 – Certificatul PKI și profilul CRL

(7) RFC 3739: internet X. 509 – PKI: Profilul certificatelor calificate

ANEXA II

MODEL PENTRU NOTIFICĂRILE EFECTUATE DE STATELE MEMBRE

Informațiile pe care statele membre le notifică în temeiul articolului 4 alineatul (1) din prezenta decizie cuprind următoarele elemente, precum și orice modificare adusă acestora:

Statul membru, indicat cu ajutorul codurilor ISO 3166-1 (1) alfa-2, cu următoarele excepții:

(a)	codul de țară pentru Regatul Unit este „UK”;

(b)	codul de țară pentru Grecia este „EL”.

Organismul/organismele responsabil(e) pentru instituirea, menținerea și publicarea listelor sigure în forma adecvată pentru prelucrarea automată și în forma lizibilă pentru om:

(a)	denumirea operatorului programului: informațiile furnizate trebuie să fie identice – cu respectarea regimului de litere mici și mari – cu valoarea „Scheme operator name” din lista sigură în toate limbile utilizate în această listă;

(b)

informații opționale numai pentru uzul intern al Comisiei în cazurile în care trebuie contactat organismul competent (informațiile nu vor fi publicate în inventarul listelor sigure, realizat de Comisia Europeană):

—	adresa operatorului sistemului;

—	datele de contact ale persoanei (persoanelor) responsabile (numele, numărul de telefon, adresa de e-mail).

3.	Locul unde este publicată lista sigură în forma adecvată pentru prelucrarea automată (locul unde este publicată lista sigură curentă).

4.	Dacă este cazul, locul unde este publicată lista sigură în forma lizibilă pentru om (locul unde este publicată lista sigură curentă). Dacă lista sigură nu se mai publică în forma lizibilă pentru om, indicarea acestui lucru.

Certificatele cu cheie publică corespunzătoare cheilor private care pot fi utilizate pentru semnarea sau sigilarea electronică a listelor sigure în forma adecvată pentru prelucrarea automată și în forma lizibilă pentru om: certificatele respective se transmit sub formă de certificate DER Privacy Enhanced Mail Base64. Pentru notificarea unei modificări, informații suplimentare în cazul în care un anumit certificat din lista Comisiei urmează să fie înlocuit cu un certificat nou și în cazul în care la certificatul (certificatele) existent(e) se adaugă un certificat notificat, fără a avea loc vreo înlocuire.

6.	Data notificării informațiilor menționate la punctele 1-5.

Informațiile menționate la punctul 1, punctul 2 litera (a) și punctele 3, 4 și 5 se înscriu, după ce au fost notificate, în inventarul listelor sigure, realizat de Comisia Europeană, înlocuind informațiile notificate anterior care fuseseră înscrise în acest inventar.

(1) ISO 3166-1: „Coduri pentru reprezentarea numelor țărilor și ale subdiviziunilor acestora – Partea 1: Codurile țărilor”.

9.9.2015

Jurnalul Oficial al Uniunii Europene

L 235/37

DECIZIA DE PUNERE ÎN APLICARE (UE) 2015/1506 A COMISIEI

din 8 septembrie 2015

de stabilire a specificațiilor referitoare la formatele semnăturilor și sigiliilor electronice avansate care trebuie recunoscute de către organismele din sectorul public în temeiul articolului 27 alineatul (5) și al articolului 37 alineatul (5) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

întrucât:

(1)	Statele membre trebuie să introducă mijloacele tehnice necesare pentru a putea prelucra documentele semnate electronic care sunt cerute atunci când se utilizează un serviciu online prestat de către un organism din sectorul public sau în numele acestuia.

(2)

Prin Regulamentul (UE) nr. 910/2014, statele membre care cer o semnătură electronică avansată sau un sigiliu electronic avansat pentru utilizarea unui serviciu online prestat de către un organism din sectorul public sau în numele acestuia sunt obligate să recunoască semnăturile și sigiliile electronice avansate, semnăturile și sigiliile electronice avansate bazate pe un certificat calificat și semnăturile și sigiliile electronice calificate în formate specifice sau în alte formate validate conform unor metode de referință specifice.

(3)	Pentru stabilirea formatelor specifice și a metodelor de referință specifice, ar trebui să se țină cont de practicile și standardele existente, precum și de actele juridice ale Uniunii aflate în vigoare.

(4)

În Decizia de punere în aplicare 2014/148/UE a Comisiei (2) s-au stabilit câteva dintre cele mai răspândite formate de semnături electronice avansate care pot fi procesate electronic de statele membre atunci când o anumită procedură administrativă online necesită utilizarea semnăturilor electronice avansate. Prin stabilirea unor formate de referință, se vizează facilitarea validării transfrontaliere a semnăturilor electronice și îmbunătățirea interoperabilității transfrontaliere a procedurilor electronice.

(5)

Standardele enumerate în anexa la prezenta decizie sunt standardele existente pentru formatele semnăturilor electronice avansate. Ca urmare a faptului că formele de arhivare pe termen lung ale formatelor de referință fac în prezent obiectul unei revizuiri de către organismele de standardizare, standardele detaliate privind arhivarea pe termen lung sunt excluse din domeniul de aplicare al prezentei decizii. Când va fi disponibilă noua versiune a standardelor de referință, vor fi revăzute și trimiterile la standardele și specificațiile de arhivare pe termen lung.

(6)	Semnăturile electronice avansate și sigiliile electronice avansate sunt similare din punct de vedere tehnic. Prin urmare, standardele pentru formatele semnăturilor electronice avansate ar trebui să se aplice mutatis mutandis formatelor sigiliilor electronice avansate.

(7)

Atunci când pentru semnare sau sigilare se utilizează semnături electronice sau sigilii electronice în formate diferite de cele care sunt procesate electronic în mod curent, ar trebui puse la dispoziție mijloace de validare care să permită verificarea transfrontalieră a semnăturilor și a sigiliilor electronice. Pentru ca statele membre destinatare să se poată baza pe instrumentele de validare ale altui stat membru, este necesar să se pună la dispoziție informații ușor accesibile cu privire la instrumentele de validare respective prin includerea informațiilor în documentele electronice, în semnăturile electronice sau în fișierele-container ale documentelor electronice.

(8)

Atunci când în serviciile publice ale unui stat membru există posibilități de validare a semnăturilor sau a sigiliilor electronice care sunt adecvate pentru prelucrarea automată, respectivele posibilități de validare ar trebui să îi fie puse la dispoziție și transmise statului membru destinatar. Prezenta decizie nu ar trebui totuși să împiedice aplicarea articolului 27 alineatele (1) și (2) și a articolului 37 alineatele (1) și (2) din Regulamentul (UE) nr. 910/2014 atunci când prelucrarea automată a posibilităților de validare a unor metode alternative nu este posibilă.

(9)

În vederea asigurării unor cerințe de validare comparabile și a sporirii încrederii în posibilitățile de validare oferite de statele membre pentru semnăturile sau sigiliile electronice în formate diferite de cele utilizate în mod curent, cerințele stabilite în prezenta decizie pentru instrumentele de validare se bazează pe cerințele de validare a semnăturilor și a sigiliilor electronice calificate, astfel cum sunt menționate la articolele 32 și 40 din Regulamentul (UE) nr. 910/2014.

(10)	Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit prin articolul 48 din Regulamentul (UE) nr. 910/2014,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Statele membre care prevăd utilizarea unei semnături electronice avansate sau a unei semnături electronice avansate bazate pe un certificat calificat, astfel cum se menționează la articolul 27 alineatele (1) și (2) din Regulamentul (UE) nr. 910/2014, recunosc semnăturile electronice avansate în formatele XML, CMS sau PDF la nivelul de conformitate B, T sau LT și fișierele-container cu semnătură asociată dacă semnăturile în cauză respectă specificațiile tehnice enumerate în anexă.

Articolul 2

(1) Statele membre care prevăd utilizarea unei semnături electronice avansate sau a unei semnături electronice avansate bazate pe un certificat calificat, astfel cum se menționează la articolul 27 alineatele (1) și (2) din Regulamentul (UE) nr. 910/2014, recunosc semnăturile electronice în formate diferite de cele menționate la articolul 1 din prezenta decizie dacă statul membru în care este stabilit prestatorul de servicii de încredere utilizate de semnatar oferă altor state membre posibilități de validare a semnăturilor care, atunci când este posibil, sunt adecvate pentru prelucrarea automată.

(2) Posibilitățile de validare a semnăturilor:

(a)	permit altor state membre să valideze online, gratuit și într-un mod care poate fi înțeles de vorbitorii altei limbi materne decât cea în cauză semnăturile electronice primite;

(b)	sunt indicate în documentul semnat, în semnătura electronică sau în fișierul-container al documentului electronic; și

(c)

confirmă valabilitatea unei semnături electronice avansate, în următoarele condiții:

certificatul care stă la baza semnăturii electronice avansate era valabil la momentul semnării și, în cazul în care semnătura electronică avansată are la bază un certificat calificat, acesta din urmă era, la momentul semnării, un certificat calificat pentru semnături electronice conform cu anexa I din Regulamentul (UE) nr. 910/2014 și fusese emis de un prestator de servicii de încredere calificat;

2.	datele de validare a semnăturilor corespund datelor furnizate de beneficiar;

3.	setul unic de date care reprezintă semnatarul este furnizat corect beneficiarului;

4.	utilizarea vreunui pseudonim este indicată clar beneficiarului în cazul în care la momentul semnării s-a folosit un pseudonim;

5.	în cazul în care semnătura electronică avansată este creată printr-un dispozitiv de creare a semnăturilor electronice calificat, utilizarea unui astfel de dispozitiv este indicată clar beneficiarului;

6.	integritatea datelor semnate nu a fost compromisă;

7.	cerințele prevăzute la articolul 26 din Regulamentul (UE) nr. 910/2014 erau îndeplinite la momentul semnării;

8.	sistemul utilizat pentru validarea semnăturii electronice avansate furnizează beneficiarului rezultatul corect al procesului de validare și permite beneficiarului să detecteze orice aspect relevant pentru securitate.

Articolul 3

Statele membre care prevăd utilizarea unui sigiliu electronic avansat sau a unui sigiliu electronic avansat bazat pe un certificat calificat, astfel cum se menționează la articolul 37 alineatele (1) și (2) din Regulamentul (UE) nr. 910/2014, recunosc sigiliile electronice avansate în formatele XML, CMS sau PDF la nivelul de conformitate B, T sau LT și fișierele-container cu sigiliu asociat dacă acestea respectă specificațiile tehnice enumerate în anexă.

Articolul 4

(1) Statele membre care prevăd utilizarea unui sigiliu electronic avansat sau a unui sigiliu electronic avansat bazat pe un certificat calificat, astfel cum se menționează la articolul 37 alineatele (1) și (2) din Regulamentul (UE) nr. 910/2014, recunosc sigiliile electronice în formate diferite de cele menționate la articolul 3 din prezenta decizie dacă statul membru în care este stabilit prestatorul de servicii de încredere utilizate de creatorul sigiliului oferă altor state membre posibilități de validare a sigiliilor care, atunci când este posibil, sunt adecvate pentru prelucrarea automată.

(2) Posibilitățile de validare a sigiliilor:

(a)	permit altor state membre să valideze online, gratuit și într-un mod care poate fi înțeles de vorbitorii altei limbi materne decât cea în cauză sigiliile electronice primite;

(b)	sunt indicate în documentul sigilat, în sigiliul electronic sau în fișierul-container al documentului electronic;

(c)

confirmă valabilitatea unui sigiliu electronic avansat, în următoarele condiții:

certificatul care stă la baza sigiliului electronic avansat era valabil la momentul sigilării și, în cazul în care sigiliul electronic avansat are la bază un certificat calificat, acesta din urmă era, la momentul sigilării, un certificat calificat pentru sigiliul electronic conform cu anexa I din Regulamentul (UE) nr. 910/2014 și fusese emis de un prestator de servicii de încredere calificat;

2.	datele de validare a sigiliilor corespund datelor furnizate de beneficiar;

3.	setul unic de date care reprezintă creatorul sigiliului este furnizat corect beneficiarului;

4.	utilizarea vreunui pseudonim este indicată clar beneficiarului în cazul în care la momentul sigilării s-a folosit un pseudonim;

5.	în cazul în care sigiliul electronic avansat este creat printr-un dispozitiv de creare a sigiliilor electronice calificat, utilizarea unui astfel de dispozitiv este indicată clar beneficiarului;

6.	integritatea datelor sigilate nu a fost compromisă;

7.	cerințele prevăzute la articolul 36 din Regulamentul (UE) nr. 910/2014 erau îndeplinite la momentul sigilării;

8.	sistemul utilizat pentru validarea sigiliului electronic avansat furnizează beneficiarului rezultatul corect al procesului de validare și permite beneficiarului să detecteze orice aspect relevant pentru securitate.

Articolul 5

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezenta decizie este obligatorie în toate elementele sale și se aplică direct în toate statele membre.

Adoptată la Bruxelles, 8 septembrie 2015.

Pentru Comisie

Președintele

Jean-Claude JUNCKER

(1) JO L 257, 28.8.2014, p. 73.

(2) Decizia de punere în aplicare 2014/148/UE a Comisiei din 17 martie 2014 de modificare a Deciziei 2011/130/UE de stabilire a unor cerințe minime pentru tratamentul transfrontalier al documentelor semnate electronic de autoritățile competente în temeiul Directivei 2006/123/CE a Parlamentului European și a Consiliului privind serviciile în cadrul pieței interne (JO L 80, 19.3.2014, p. 7).

ANEXĂ

Lista specificațiilor tehnice pentru semnăturile electronice avansate în formatele XML, CMS sau PDF și pentru fișierele-container cu semnătură asociată

Semnăturile electronice avansate menționate la articolul 1 din decizie trebuie să respecte una dintre următoarele specificații tehnice ale ETSI, cu excepția secțiunii 9:

Profilul de bază XAdES	ETSI TS 103171 v.2.1.1. (1)
Profilul de bază CAdES	ETSI TS 103173 v.2.2.1. (2)
Profilul de bază PAdES	ETSI TS 103172 v.2.2.2. (3)

Fișierele-container cu semnătură asociată menționate la articolul 1 din decizie trebuie să respecte următoarele specificații tehnice ale ETSI:

Profilul de bază al fișierului-container cu semnătură asociată

ETSI TS 103174 v.2.2.1 (4)

Lista specificațiilor tehnice pentru sigiliile electronice avansate în formatele XML, CMS sau PDF și pentru fișierele-container cu sigiliu asociat

Sigiliile electronice avansate menționate la articolul 3 din decizie trebuie să respecte una dintre următoarele specificații tehnice ale ETSI, cu excepția secțiunii 9:

Profilul de bază XAdES	ETSI TS 103171 v.2.1.1
Profilul de bază CAdES	ETSI TS 103173 v.2.2.1
Profilul de bază PAdES	ETSI TS 103172 v.2.2.2

Fișierele-container cu sigiliu asociat menționate la articolul 3 din decizie trebuie să respecte următoarele specificații tehnice ale ETSI:

Profilul de bază al fișierului-container cu semnătură asociată

ETSI TS 103174 v.2.2.1

(1) http://www.etsi.org/deliver/etsi_ts/103100_103199/103171/02.01.01_60/ts_103171v020101p.pdf

(2) http://www.etsi.org/deliver/etsi_ts/103100_103199/103173/02.02.01_60/ts_103173v020201p.pdf

(3) http://www.etsi.org/deliver/etsi_ts/103100_103199/103172/02.02.02_60/ts_103172v020202p.pdf

(4) http://www.etsi.org/deliver/etsi_ts/103100_103199/103174/02.02.01_60/ts_103174v020201p.pdf

		ISSN 1977-0782
Jurnalul Oficial al Uniunii Europene		L 235

Ediţia în limba română	Legislaţie	Anul 58 9 septembrie 2015

Cuprins		II Acte fără caracter legislativ	Pagina
		REGULAMENTE
	*	Regulamentul de punere în aplicare (UE) 2015/1501 al Comisiei din 8 septembrie 2015 privind cadrul de interoperabilitate prevăzut la articolul 12 alineatul (8) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă ( 1 )	1
	*	Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă ( 1 )	7
		Regulamentul de punere în aplicare (UE) 2015/1503 al Comisiei din 8 septembrie 2015 de stabilire a valorilor forfetare de import pentru fixarea prețului de intrare pentru anumite fructe și legume	21
		DECIZII
	*	Decizia de punere în aplicare (UE) 2015/1504 a Comisiei din 7 septembrie 2015 de acordare a unor derogări anumitor state membre în ceea ce privește furnizarea de statistici în temeiul Regulamentului (CE) nr. 1099/2008 al Parlamentului European și al Consiliului privind statisticile în domeniul energiei [notificată cu numărul C(2015) 6105] ( 1 )	24
	*	Decizia de punere în aplicare (UE) 2015/1505 a Comisiei din 8 septembrie 2015 de stabilire a specificațiilor tehnice și a formatelor pentru listele sigure în temeiul articolului 22 alineatul (5) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă ( 1 )	26
	*	Decizia de punere în aplicare (UE) 2015/1506 a Comisiei din 8 septembrie 2015 de stabilire a specificațiilor referitoare la formatele semnăturilor și sigiliilor electronice avansate care trebuie recunoscute de către organismele din sectorul public în temeiul articolului 27 alineatul (5) și al articolului 37 alineatul (5) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă ( 1 )	37

(EUR/100 kg)
Codul NC	Codul țării terțe (1)	Valoarea forfetară de import
0702 00 00	MA	173,3
	MK	48,7
	XS	41,5
	ZZ	87,8
0707 00 05	MK	76,3
	TR	116,3
	XS	42,0
	ZZ	78,2
0709 93 10	TR	133,1
0709 93 10	ZZ	133,1
0805 50 10	AR	135,9
	BO	135,7
	CL	125,5
	UY	142,2
	ZA	136,9
	ZZ	135,2
0806 10 10	EG	239,8
	MK	63,9
	TR	129,5
	ZZ	144,4
0808 10 80	AR	188,7
	BR	93,9
	CL	134,4
	NZ	143,4
	US	112,5
	UY	110,5
	ZA	117,6
	ZZ	128,7
0808 30 90	AR	131,9
	CL	100,0
	TR	122,9
	ZA	113,5
	ZZ	117,1
0809 30 10, 0809 30 90	MK	80,1
	TR	141,7
	ZZ	110,9
0809 40 05	BA	54,8
	IL	336,8
	MK	44,1
	XS	70,3
	ZZ	126,5