To besedilo je zgolj informativne narave in nima pravnega učinka. Institucije Unije za njegovo vsebino ne prevzemajo nobene odgovornosti. Verodostojne različice zadevnih aktov, vključno z uvodnimi izjavami, so objavljene v Uradnem listu Evropske unije. Na voljo so na portalu EUR-Lex. Uradna besedila so neposredno dostopna prek povezav v tem dokumentu

UREDBA (EU) št. 910/2014 EVROPSKEGA PARLAMENTA IN SVETA

z dne 23. julija 2014

o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu in o razveljavitvi Direktive 1999/93/ES

POGLAVJE I

SPLOŠNE DOLOČBE

▼M2

Člen 1

Predmet urejanja

Cilj te uredbe je zagotoviti pravilno delovanje notranjega trga in ustrezno raven varnosti sredstev elektronske identifikacije in storitev zaupanja, ki se uporabljajo po vsej Uniji, da se fizičnim in pravnim osebam omogoči in olajša uveljavljanje pravice do sodelovanja v digitalni družbi na varen način ter dostopa do spletnih javnih in zasebnih storitev po vsej Uniji. V ta namen ta uredba:

(a)

določa pogoje, pod katerimi države članice priznavajo sredstva elektronske identifikacije fizičnih in pravnih oseb, ki spadajo v priglašeno shemo elektronske identifikacije druge države članice ter zagotavljajo in priznavajo evropske denarnice digitalne identitete;

(b)

določa pravila za storitve zaupanja, zlasti za elektronske transakcije;

(c)

določa pravni okvir za elektronske podpise, elektronske žige, elektronske časovne žige, elektronske dokumente, storitve elektronske priporočene dostave, storitve v zvezi s potrdili za avtentikacijo spletišč, elektronsko arhiviranje in elektronsko potrjevanje atributov, naprave za ustvarjanje elektronskega podpisa, naprave za ustvarjanje elektronskega žiga ter elektronske evidence.

▼B

Člen 2

Področje uporabe

▼M2

Ta uredba se uporablja za sheme elektronske identifikacije, ki jih priglasi država članica, za evropske denarnice za digitalno identiteto, ki jih zagotavlja država članica, in za ponudnike storitev zaupanja s sedežem v Uniji.

▼B

Ta uredba se ne uporablja za zagotavljanje storitev zaupanja, ki se uporabljajo izključno znotraj zaprtih sistemov, ki obstajajo na podlagi nacionalnega prava ali dogovorov med določeno skupino udeležencev.

▼M2

Ta uredba ne vpliva na pravo Unije ali nacionalno pravo, povezano s sklenitvijo in veljavnostjo pogodb, druge pravne ali postopkovne obveznosti glede obličnosti ali posebne sektorske zahteve glede obličnosti.

Ta uredba ne posega v Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta ( 1 ).

▼B

Člen 3

Opredelitev pojmov

V tej uredbi se uporabljajo naslednje opredelitve pojmov:

▼M2

„elektronska identifikacija“ pomeni postopek uporabe identifikacijskih podatkov osebe v elektronski obliki, ki enolično predstavljajo bodisi fizično ali pravno osebo bodisi fizično osebo, ki zastopa drugo fizično osebo ali pravno osebo;

„sredstvo elektronske identifikacije“ pomeni materialno in/ali nematerialno enoto, ki vsebuje identifikacijske podatke osebe in se uporablja za avtentikacijo pri spletni storitvi ali, kadar je ustrezno, nespletni storitvi;

„identifikacijski podatki osebe“ pomeni nabor podatkov, ki je izdan v skladu s pravom Unije ali nacionalnim pravom in omogoča, da se določi identiteta fizične ali pravne osebe ali fizične osebe, ki zastopa drugo fizično osebo ali pravno osebo;

„shema elektronske identifikacije“ pomeni sistem za elektronsko identifikacijo, v okviru katerega se fizičnim ali pravnim osebam ali fizičnim osebam, ki zastopajo druge fizične osebe ali pravne osebe, izdajo sredstva elektronske identifikacije;

„avtentikacija“ pomeni elektronski postopek, ki omogoča potrditev elektronske identifikacije fizične ali pravne osebe ali potrditev izvora in celovitosti podatkov v elektronski obliki;

▼M2

5a.

„uporabnik“ pomeni fizično ali pravno osebo ali fizično osebo, ki zastopa drugo fizično osebo ali pravno osebo in ki uporablja storitve zaupanja ali sredstva elektronske identifikacije, ki se zagotavljajo v skladu s to uredbo;

▼M2

„zanašajoča se stranka“ pomeni fizično ali pravno osebo, ki se zanaša na elektronsko identifikacijo, evropske denarnice za digitalno identiteto ali druga sredstva elektronske identifikacije ali na storitev zaupanja;

▼B

„organ javnega sektorja“ pomeni državni, regionalni ali lokalni organ, osebo javnega prava ali združenje, ki jo/ga ustanovi eden ali več takšnih organov ali ena ali več takšnih oseb javnega prava, ali zasebni subjekt, ki ga je vsaj eden od teh organov, oseb ali združenj pooblastil za zagotavljanje javnih storitev, kadar deluje v okviru tega pooblastila;

„oseba javnega prava“, pomeni osebo, opredeljeno v točki 4 člena 2(1) Direktive 2014/24/EU Evropskega parlamenta in Sveta ( 2 );

„podpisnik“ pomeni fizično osebo, ki ustvari elektronski podpis;

10.

„elektronski podpis“ pomeni niz podatkov v elektronski obliki, ki so dodani k drugim podatkom v elektronski obliki ali so z njimi logično povezani in jih podpisnik uporablja za podpisovanje;

11.

„napredni elektronski podpis“ pomeni elektronski podpis, ki izpolnjuje zahteve iz člena 26;

12.

„kvalificirani elektronski podpis“ pomeni napredni elektronski podpis, ki se ustvari z napravo za ustvarjanje kvalificiranega elektronskega podpisa in temelji na kvalificiranem potrdilu za elektronske podpise;

13.

„podatki za ustvarjanje elektronskega podpisa“ pomeni enolične podatke, ki jih podpisnik uporablja za ustvarjanje elektronskega podpisa;

14.

„potrdilo za elektronski podpis“ pomeni elektronsko potrdilo, ki povezuje podatke za potrjevanje veljavnosti elektronskega podpisa s fizično osebo in potrjuje vsaj ime ali psevdonim te osebe;

15.

„kvalificirano potrdilo za elektronski podpis“ pomeni potrdilo za elektronske podpise, ki ga izda ponudnik kvalificiranih storitev zaupanja in izpolnjuje zahteve iz Priloge I;

▼M2

16.

„storitev zaupanja“ pomeni elektronsko storitev, ki se praviloma opravlja za plačilo in vključuje kar koli od naslednjega:

(a)

izdajo potrdil za elektronske podpise, potrdil za elektronske žige, potrdil za avtentikacijo spletišč ali potrdil za zagotavljanje drugih storitev zaupanja;

(b)

potrjevanje veljavnosti potrdil za elektronske podpise, potrdil za elektronske žige, potrdil za avtentikacijo spletišč ali potrdil za zagotavljanje drugih storitev zaupanja;

(c)

ustvarjanje elektronskih podpisov ali elektronskih žigov;

(d)

potrjevanje veljavnosti elektronskih podpisov ali elektronskih žigov;

(e)

hrambo elektronskih podpisov, elektronskih žigov, potrdil za elektronske podpise ali potrdil za elektronske žige;

(f)

upravljanje naprav za ustvarjanje elektronskega podpisa na daljavo ali naprav za ustvarjanje elektronskega žiga na daljavo;

(g)

izdajo elektronskih potrdil o atributih;

(h)

potrjevanje veljavnosti elektronskih potrdil o atributih;

(i)

ustvarjanje elektronskih časovnih žigov;

(j)

potrjevanje veljavnosti elektronskih časovnih žigov;

(k)

zagotavljanje storitev elektronske priporočene dostave;

(l)

potrjevanje veljavnosti podatkov, poslanih prek storitev elektronske priporočene dostave, in s tem povezanih dokazov;

(m)

elektronsko arhiviranje elektronskih podatkov in elektronskih dokumentov;

(n)

beleženje elektronskih podatkov v elektronski evidenci;

▼B

17.

„kvalificirana storitev zaupanja“ pomeni storitev zaupanja, ki izpolnjuje zadevne zahteve iz te uredbe;

▼M2

18.

„organ za ugotavljanje skladnosti“ pomeni organ za ugotavljanje skladnosti, kakor je opredeljen v členu 2, točka 13, Uredbe (ES) št. 765/2008, ki je v skladu z navedeno uredbo akreditiran za ugotavljanje skladnosti ponudnika kvalificiranih storitev zaupanja in kvalificiranih storitev zaupanja, ki jih ta zagotavlja, ali za certificiranje evropskih denarnic za digitalno identiteto ali sredstev elektronske identifikacije;

▼B

19.

„ponudnik storitev zaupanja“ pomeni fizično ali pravno osebo, ki zagotavlja eno ali več storitev zaupanja, kot ponudnik kvalificiranih ali nekvalificiranih storitev zaupanja;

20.

„ponudnik kvalificiranih storitev zaupanja“ pomeni ponudnika storitev zaupanja, ki zagotavlja eno ali več kvalificiranih storitev zaupanja in mu nadzorni organ dodeli kvalificirani status;

▼M2

21.

„izdelek“ pomeni strojno ali programsko opremo ali ustrezne sestavne dele strojne ali programske opreme, katerih uporaba je namenjena zagotavljanju storitev elektronske identifikacije in storitev zaupanja;

▼B

22.

„naprava za ustvarjanje elektronskega podpisa“ pomeni konfigurirano programsko ali strojno opremo, ki se uporablja za ustvarjanje elektronskega podpisa;

23.

„naprava za ustvarjanje kvalificiranega elektronskega podpisa“ pomeni napravo za ustvarjanje elektronskega podpisa, ki izpolnjuje zahteve iz Priloge II;

▼M2

23a.

„naprava za ustvarjanje kvalificiranega elektronskega podpisa na daljavo“ pomeni napravo za ustvarjanje kvalificiranega elektronskega podpisa, ki jo v imenu podpisnika upravlja ponudnik kvalificiranih storitev zaupanja v skladu s členom 29a;

23b.

„naprava za ustvarjanje kvalificiranega elektronskega žiga na daljavo“ pomeni napravo za ustvarjanje kvalificiranega elektronskega žiga, ki jo v imenu ustvarjalca žiga upravlja ponudnik kvalificiranih storitev zaupanja v skladu s členom 39a;

▼B

24.

„ustvarjalec žiga“ pomeni pravno osebo, ki ustvari elektronski žig;

25.

„elektronski žig“ pomeni niz podatkov v elektronski obliki, ki so dodani k drugim podatkom v elektronski obliki ali so z njimi logično povezani, da se zagotovita izvor in celovitost povezanih podatkov;

26.

„napredni elektronski žig“ pomeni elektronski žig, ki izpolnjuje zahteve iz člena 36;

27.

„kvalificirani elektronski žig“ pomeni napredni elektronski žig, ki se ustvari z napravo za ustvarjanje kvalificiranega elektronskega žiga in temelji na kvalificiranem potrdilu za elektronski žig;

28.

„podatki za ustvarjanje elektronskega žiga“ pomenijo enolične podatke, ki jih ustvarjalec elektronskega žiga uporabi za ustvarjanje elektronskega žiga;

29.

„potrdilo za elektronski žig“ pomeni elektronsko potrdilo, ki povezuje podatke za potrjevanje veljavnosti elektronskega žiga s pravno osebo in potrjuje ime te osebe;

30.

„kvalificirano potrdilo za elektronski žig“ pomeni potrdilo za elektronski žig, ki ga izda ponudnik kvalificiranih storitev zaupanja in izpolnjuje zahteve iz Priloge III;

31.

„naprava za ustvarjanje elektronskega žiga“ pomeni konfigurirano programsko ali strojno opremo, ki se uporablja za ustvarjanje elektronskega žiga;

32.

„naprava za ustvarjanje kvalificiranega elektronskega žiga“ pomeni napravo za ustvarjanje elektronskega žiga, ki smiselno izpolnjuje zahteve iz Priloge II;

33.

„elektronski časovni žig“ pomeni podatke v elektronski obliki, ki druge podatke v elektronski obliki povezujejo z določenim trenutkom in tako zagotavljajo dokaz, da so slednji podatki v tistem trenutku obstajali;

34.

„kvalificirani elektronski časovni žig“ pomeni elektronski časovni žig, ki izpolnjuje zahteve iz člena 42;

35.

„elektronski dokument“ pomeni kakršno koli vsebino, shranjeno v elektronski obliki, zlasti besedilo ali zvočni, vizualni ali avdiovizualni zapis;

36.

„storitev elektronske priporočene dostave“ pomeni storitev, ki omogoča prenos podatkov med tretjimi stranmi z elektronskimi sredstvi, zagotavlja dokaze o ravnanju s prenesenimi podatki, vključno z dokazilom o oddaji in prejemu podatkov, ter prenesene podatke varuje pred izgubo, krajo, poškodbo ali kakršno koli nepooblaščeno spremembo;

37.

„kvalificirana storitev elektronske priporočene dostave“ pomeni storitev elektronske priporočene dostave, ki izpolnjuje zahteve iz člena 44;

▼M2

38.

„potrdilo za avtentikacijo spletišča“ pomeni elektronsko potrdilo, ki omogoča avtentikacijo spletišča in spletišče povezuje s fizično ali pravno osebo, ki se ji izda potrdilo;

▼B

39.

„kvalificirano potrdilo za avtentikacijo spletišč“ pomeni potrdilo za avtentikacijo spletišč, ki ga izda ponudnik kvalificiranih storitev zaupanja in izpolnjuje zahteve iz Priloge IV;

40.

„podatki za potrjevanje veljavnosti“ pomeni podatke, ki se uporabljajo za potrjevanje veljavnosti elektronskega podpisa ali elektronskega žiga;

▼M2

41.

„potrjevanje veljavnosti“ pomeni postopek preverjanja in potrditve, da so podatki v elektronski obliki veljavni v skladu s to uredbo;

▼M2

42.

„evropska denarnica za digitalno identiteto“ pomeni sredstvo elektronske identifikacije, ki uporabniku omogoča, da varno shranjuje, upravlja in potrjuje veljavnost identifikacijskih podatkov osebe in elektronskih potrdil o atributih z namenom njihovega zagotavljanja zanašajočim se strankam in drugim uporabnikom evropskih denarnic za digitalno identiteto, ter da podpisuje s kvalificiranimi elektronskimi podpisi ali žigosa s kvalificiranimi elektronskimi žigi;

43.

„atribut“ pomeni značilnost, naravo, pravico ali dovoljenje fizične ali pravne osebe ali predmeta;

44.

„elektronsko potrdilo o atributih“ pomeni potrdilo v elektronski obliki, ki omogoča avtentikacijo atributov;

45.

„kvalificirano elektronsko potrdilo o atributih“ pomeni elektronsko potrdilo o atributih, ki ga je izdal ponudnik kvalificiranih storitev zaupanja in izpolnjuje zahteve iz Priloge V;

46.

„elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir“ pomeni elektronsko potrdilo o atributih, ki ga izda organ javnega sektorja, pristojen za verodostojni vir, ali organ javnega sektorja, ki ga država članica imenuje za izdajanje takih potrdil o atributih v imenu organov javnega sektorja, pristojnih za verodostojne vire v skladu s členom 45f in s Prilogo VII;

47.

„verodostojni vir“ pomeni odložišče ali sistem v pristojnosti organa javnega sektorja ali zasebnega subjekta, ki vsebuje in zagotavlja atribute o fizični ali pravni osebi ali subjektu in ki se šteje za primarni vir takih informacij ali je priznan kot verodostojen v skladu s pravom Unije ali nacionalnim pravom, vključno z upravno prakso;

48.

„elektronsko arhiviranje“ pomeni storitev zagotavljanja prejema, shranjevanja, priklica in izbrisa elektronskih podatkov in elektronskih dokumentov za zagotavljanje njihove trajnosti in berljivosti ter ohranjanje njihove celovitosti, zaupnosti in dokazila o poreklu v celotnem obdobju hrambe;

49.

„kvalificirana storitev elektronskega arhiviranja“ pomeni storitev elektronskega arhiviranja, ki jo opravlja ponudnik kvalificiranih storitev zaupanja in ki izpolnjuje zahteve iz člena 45j;

(50)

„znak zaupanja za evropsko denarnico za digitalno identiteto“ pomeni preverljivo, enostavno in prepoznavno označbo, ki na jasen način sporoča, da je bila evropska denarnica za digitalno identiteto zagotovljena v skladu s to uredbo;

51.

„močna avtentikacija uporabnika“ pomeni avtentikacijo, ki temelji na uporabi najmanj dveh dejavnikov avtentikacije iz različnih kategorij, in sicer kategorije znanja, tj. nečesa, kar ve samo uporabnik, imetja, tj. nečesa, kar je v izključni lasti uporabnika, ali inherence, tj. nečesa, kar uporabnik je, ki so neodvisni, tako da kršitev enega dejavnika ne zmanjšuje zanesljivosti drugih, ter je zasnovana tako, da varuje zaupnost avtentikacijskih podatkov;

52.

„elektronska evidenca“ pomeni zaporedje elektronskih podatkovnih zapisov, ki zagotavlja celovitost teh zapisov in točnost kronološkega vrstnega reda teh zapisov;

53.

„kvalificirana elektronska evidenca“ pomeni elektronsko evidenco, ki jo zagotavlja ponudnik kvalificiranih storitev zaupanja in ki izpolnjuje zahteve iz člena 45l;

54.

„osebni podatki“ pomeni vse informacije, kakor so opredeljene v členu 4, točka 1, Uredbe (EU) 2016/679;

55.

„ujemanje identitete“ pomeni postopek, v katerem se identifikacijski podatki osebe ali sredstva elektronske identifikacije osebe primerjajo ali povežejo z obstoječim računom, ki pripada isti osebi;

56.

„podatkovni zapis“ pomeni elektronske podatke, zabeležene s povezanimi metapodatki, ki podpirajo obdelavo podatkov;

57.

„nespletni način“ pomeni, kar zadeva uporabo evropskih denarnic za digitalno identiteto, interakcijo med uporabnikom in tretjo osebo na fizični lokaciji z uporabo tehnologij neposredne bližine, pri čemer za evropsko denarnico za digitalno identiteto za namene interakcije ni potreben dostop do sistemov na daljavo prek elektronskih komunikacijskih omrežij.

▼B

Člen 4

Načelo notranjega trga

Za zagotavljanje storitev zaupanja, ki jih na ozemlju države članice zagotavlja ponudnik storitev zaupanja s sedežem v drugi državi članici, ne veljajo nobene omejitve iz razlogov, ki spadajo na področje uporabe te uredbe.

Za izdelke in storitve zaupanja, ki so skladni s to uredbo, se dovoli prosti pretok na notranjem trgu.

▼M2

Člen 5

Psevdonimi v elektronski transakciji

Brez poseganja v posebna pravila prava Unije ali nacionalnega prava, ki od uporabnikov zahtevajo, da se identificirajo, ali v pravni učinek psevdonimov na podlagi nacionalnega prava uporaba psevdonimov, ki jih izbere uporabnik, ni prepovedana.

▼B

POGLAVJE II

ELEKTRONSKA IDENTIFIKACIJA

▼M2

ODDELEK 1

evropska denarnica za digitalno identiteto

Člen 5a

Evropske denarnice za digitalno identiteto

Za zagotovitev, da imajo vse fizične in pravne osebe v Uniji varen, zaupanja vreden in nemoten čezmejni dostop do javnih in zasebnih storitev, pri tem pa popoln nadzor nad svojimi podatki, vsaka država članica v 24 mesecih od datuma začetka veljavnosti izvedbenih aktov iz odstavka 23 tega člena in člena 5c(6) zagotovi vsaj eno evropsko denarnico za digitalno identiteto.

Evropske denarnice za digitalno identiteto se zagotovijo na enega ali več od naslednjih načinov:

(a)

neposredno s strani države članice;

(b)

na podlagi pooblastila države članice;

(c)

neodvisno od države članice, vendar z njenim priznanjem.

Izvorna koda komponent aplikacijske programske opreme evropskih denarnic za digitalno identiteto ima odprtokodno licenco. Države članice lahko določijo, da se iz ustrezno utemeljenih razlogov izvorna koda določenih komponent, ki niso komponente, vgrajene na naprave uporabnikov, ne razkrije.

Evropske denarnice za digitalno identiteto uporabniku na pregleden ter njemu prijazen in sledljiv način omogočajo, da:

(a)

varno zahteva, pridobi, izbira, združuje, hrani, briše, izmenjuje in predstavi, izključno pod svojim nadzorom, identifikacijske podatke osebe, po potrebi v kombinaciji z elektronskimi potrdili o atributih, zanašajočim se strankam v avtentikacijo, in sicer v spletnem in, kadar je to ustrezno, v nespletnem načinu, za dostop do javnih in zasebnih storitev, pri čemer omogočajo selektivno razkritje podatkov;

(b)

ustvarja psevdonime in jih v šifrirani obliki hrani lokalno v evropski denarnici za digitalno identiteto;

(c)

varno avtenticira evropsko denarnico za digitalno identiteto druge osebe ter na varen način prejema in izmenjuje identifikacijske podatke osebe in elektronska potrdila o atributih med zadevnima evropskima denarnicama za digitalno identiteto;

(d)

dostopa do evidence vseh transakcij, opravljenih prek evropske denarnice za digitalno identiteto, in sicer prek skupne nadzorne plošče, ki uporabniku omogoča, da:

(i)

si ogleda posodobljeni seznam zanašajočih se strank, s katerimi je uporabnik vzpostavil povezavo, in po potrebi vseh izmenjanih podatkov;

(ii)

od zanašajoče se stranke na enostaven način zahteva izbris osebnih podatkov na podlagi člena 17 Uredbe (EU) 2016/679;

(iii)

pristojnemu nacionalnemu organu za varstvo podatkov enostavno prijavi zanašajočo se stranko, kadar je prejeta domnevno nezakonita ali sumljiva zahteva za podatke;

(e)

se podpiše s kvalificiranimi elektronskimi podpisi ali žigosa s kvalificiranimi elektronskimi žigi;

(f)

prenese, kolikor je to tehnično izvedljivo, uporabnikove podatke, elektronsko potrdilo o atributih in konfiguracije;

(g)

uveljavlja pravice uporabnika do prenosljivosti podatkov.

Evropske denarnice za digitalno identiteto zlasti:

(a)

podpirajo skupne protokole in vmesnike:

(i)

za izdajo identifikacijskih podatkov osebe, kvalificiranih in nekvalificiranih elektronskih potrdil o atributih ali kvalificiranih in nekvalificiranih potrdil za evropsko denarnico za digitalno identiteto;

(ii)

za zanašajoče se stranke, da lahko zahtevajo in potrdijo veljavnost identifikacijskih podatkov osebe in elektronskih potrdil o atributih;

(iii)

za izmenjavo in predstavitev identifikacijskih podatkov osebe, elektronskega potrdila o atributih ali selektivno razkritih povezanih podatkov v spletnem in, kadar je to ustrezno, nespletnem načinu zanašajočim se strankam;

(iv)

za uporabnika, da se mu omogočita interakcija z evropsko denarnico za digitalno identiteto in prikaz znaka zaupanja za evropsko denarnico za digitalno identiteto;

(v)

za varen pristop uporabnika z uporabo sredstva elektronske identifikacije v skladu s členom 5a(24);

(vi)

za interakcijo med evropskima denarnicama za digitalno identiteto dveh oseb za namen prejemanja, potrjevanja veljavnosti in izmenjave identifikacijskih podatkov osebe in elektronskih potrdil o atributih na varen način;

(vii)

za avtentikacijo in identifikacijo zanašajočih se strank z izvajanjem mehanizmov avtentikacije v skladu s členom 5b;

(viii)

za zanašajoče se stranke, da lahko preverijo avtentičnost in veljavnost evropskih denarnic za digitalno identiteto;

(ix)

za zahtevanje od zanašajoče se stranke, da izbriše osebne podatke na podlagi člena 17 Uredbe (EU) 2016/679;

(x)

za prijavo zanašajoče se stranke pristojnemu nacionalnemu organu za varstvo podatkov, kadar je prejeta domnevno nezakonita ali sumljiva zahteva za podatke;

(xi)

za ustvarjanje kvalificiranih elektronskih podpisov ali elektronskih žigov z napravami za ustvarjanje kvalificiranega elektronskega podpisa ali elektronskega žiga;

(b)

ne dajejo ponudnikom storitev zaupanja, ki zagotavljajo elektronska potrdila o atributih, nobenih informacij o uporabi navedenih elektronskih potrdil;

(c)

zagotavljajo, da se lahko zanašajoče se stranke avtenticira in identificira z izvajanjem mehanizmov avtentikacije v skladu s členom 5b;

(d)

izpolnjujejo zahteve iz člena 8 glede zagotavljanja visoke ravni zanesljivosti, zlasti v zvezi z zahtevami za dokazovanje in preverjanje identitete ter upravljanja sredstev elektronske identifikacije in avtentikacije;

(e)

v primeru elektronskega potrdila o atributih z vgrajenimi politikami razkrivanja izvajajo ustrezen mehanizem za obveščanje uporabnika, da ima zanašajoča se stranka ali uporabnik evropske denarnice za digitalno identiteto, ki je zahteval navedeno elektronsko potrdilo o atributih, dovoljenje za dostop do njega;

(f)

zagotavljajo, da identifikacijski podatki osebe, ki so na voljo v shemi elektronske identifikacije, v okviru katere se zagotavlja evropska denarnica za digitalno identiteto, enolično predstavljajo fizično osebo, pravno osebo ali fizično osebo, ki zastopa fizično ali pravno osebo, in so povezani z navedeno evropsko denarnico za digitalno identiteto;

(g)

vsem fizičnim osebam ponujajo možnost privzetega in brezplačnega podpisovanja s kvalificiranimi elektronskimi podpisi.

Ne glede na točko (g) prvega pododstavka lahko države članice določijo sorazmerne ukrepe za zagotovitev, da je brezplačna uporaba kvalificiranih elektronskih podpisov s strani fizičnih oseb omejena na nepoklicne namene.

Države članice uporabnike nemudoma obvestijo o vseh kršitvah varnosti, ki so lahko v celoti ali delno ogrozile njihovo evropsko denarnico za digitalno identiteto ali njene vsebine, zlasti če je prišlo do začasne razveljavitve ali preklica njihove evropske denarnice za digitalno identiteto na podlagi člena 5e.

Brez poseganja v člen 5f lahko države članice v skladu z nacionalnim pravom določijo dodatne funkcionalnosti evropskih denarnic za digitalno identiteto, vključno z interoperabilnostjo z obstoječimi nacionalnimi sredstvi elektronske identifikacije. Navedene dodatne funkcionalnosti so skladne s tem členom.

Države članice brezplačno zagotovijo mehanizme potrjevanja veljavnosti, da:

(a)

zagotovijo možnost preverjanja avtentičnosti in veljavnosti evropskih denarnic za digitalno identiteto;

(b)

uporabnikom omogočijo preverjanje avtentičnosti in veljavnosti identitete zanašajočih se strank, registriranih v skladu s členom 5b.

Države članice zagotovijo, da je mogoče veljavnost evropske denarnice za digitalno identiteto preklicati v naslednjih primerih:

(a)

na izrecno zahtevo uporabnika;

(b)

kadar je ogrožena varnost evropske denarnice za digitalno identiteto;

(c)

v primeru smrti uporabnika ali če pravna oseba preneha opravljati dejavnost.

10.

Ponudniki evropskih denarnic za digitalno identiteto poskrbijo, da lahko uporabniki enostavno zaprosijo za tehnično podporo in prijavijo tehnične probleme ali druge incidente, ki negativno vplivajo na uporabo evropskih denarnic za digitalno identiteto.

11.

Evropske denarnice za digitalno identiteto se zagotavljajo v okviru sheme elektronske identifikacije z visoko ravnjo zanesljivosti.

12.

Evropske denarnice za digitalno identiteto zagotavljajo vgrajeno varnost.

13.

Izdaja, uporaba in preklic evropskih denarnic za digitalno identiteto je brezplačna za vse fizične osebe.

14.

Uporabniki imajo popoln nadzor nad uporabo svoje evropske denarnice za digitalno identiteto in podatki v njej. Ponudnik evropske denarnice za digitalno identiteto ne zbira informacij o uporabi evropske denarnice za digitalno identiteto, ki niso potrebne za zagotavljanje storitev evropske denarnice za digitalno identiteto, niti ne združuje identifikacijskih podatkov osebe ali kakršnih koli drugih osebnih podatkov, ki se hranijo v evropski denarnici za digitalno identiteto ali so povezani z njeno uporabo, z osebnimi podatki iz katerih koli drugih storitev, ki jih ponuja ta ponudnik, ali iz storitev tretjih oseb, ki niso potrebni za zagotavljanje storitev evropske denarnice za digitalno identiteto, razen če uporabnik tega izrecno ne zahteva. Osebni podatki v zvezi z zagotavljanjem evropske denarnice za digitalno identiteto se na logičen način hranijo ločeni od vseh drugih podatkov, ki jih ima ponudnik evropske denarnice za digitalno identiteto. Če evropsko denarnico za digitalno identiteto zagotavljajo zasebne stranke v skladu z odstavkom 2, točki (b) in (c), tega člena, se smiselno uporabljajo določbe člena 45h(3).

15.

Uporaba evropskih denarnic za digitalno identiteto je prostovoljna. Fizičnim in pravnim osebam, ki ne uporabljajo evropskih denarnic za digitalno identiteto, se nikakor ne omejuje ali ovira dostop do javnih in zasebnih storitev, dostop do trga dela in svoboda gospodarske pobude. Dostop do javnih in zasebnih storitev je še naprej mogoč z drugimi obstoječimi sredstvi identifikacije in avtentikacije.

16.

Tehnični okvir evropske denarnice za digitalno identiteto:

(a)

ponudnikom elektronskih potrdil o atributih ali kateri koli drugi osebi po izdaji potrdila o atributih ne omogoča pridobitve podatkov, ki omogočajo sledenje, povezovanje, korelacijo ali drugačno pridobivanje znanja o transakcijah ali vedenju uporabnikov, razen če uporabnik to izrecno dovoli;

(b)

omogoča tehnike za ohranjanje zasebnosti, ki zagotavljajo nepovezljivost, kadar za potrjevanje atributov ni potrebna identifikacija uporabnika.

17.

Kakršna koli obdelava osebnih podatkov, ki jo izvajajo države članice ali jo v njihovem imenu izvajajo organi ali strani, pristojne za zagotavljanje evropskih denarnic za digitalno identiteto kot sredstev elektronske identifikacije, se izvaja v skladu z ustreznimi in učinkovitimi ukrepi za varstvo podatkov. Skladnost take obdelave z Uredbo (EU) 2016/679 se mora dokazati. Države članice lahko uvedejo nacionalne določbe za podrobnejšo opredelitev uporabe takih ukrepov.

18.

Države članice brez nepotrebnega odlašanja uradno obvestijo Komisijo o informacijah o:

(a)

organu, pristojnem za vzpostavitev in vodenje seznama registriranih zanašajočih se strank, ki se zanašajo na evropske denarnice za digitalno identiteto v skladu s členom 5b(5), ter lokaciji navedenega seznama;

(b)

organih, pristojnih za zagotavljanje evropskih denarnic za digitalno identiteto v skladu s členom 5a(1);

(c)

organih, pristojnih za zagotavljanje, da so identifikacijski podatki osebe povezani z evropsko denarnico za digitalno identiteto v skladu s členom 5a(5), točka (f);

(d)

mehanizmu, ki omogoča potrditev veljavnosti identifikacijskih podatkov osebe iz člena 5a(5), točka (f), in identitete zanašajočih se strank;

(e)

mehanizmu, s katerim se potrdi avtentičnost in veljavnost evropskih denarnic za digitalno identiteto.

Komisija da informacije, uradno sporočene na podlagi prvega pododstavka, na voljo javnosti na varen način in v elektronsko podpisani ali ožigosani obliki, primerni za avtomatizirano obdelavo.

19.

Brez poseganja v odstavek 22 tega člena se za evropsko denarnico za digitalno identiteto smiselno uporablja člen 11.

20.

Za ponudnike evropskih denarnic za digitalno identiteto se smiselno uporablja člen 24(2), točka (b) in točke (d) do (h).

21.

Evropske denarnice za digitalno identiteto so v skladu z Direktivo (EU) 2019/882 Evropskega parlamenta in Sveta ( 3 ) invalidom dostopne za uporabo enako kot drugim uporabnikom.

22.

Za namene zagotavljanja evropskih denarnic za digitalno identiteto v zvezi z evropskimi denarnicami za digitalno identiteto in shemami elektronske identifikacije, v okviru katerih se zagotavljajo, ne veljajo zahteve iz členov 7, 9, 10, 12 in 12a.

23.

Komisija do 21. novembra 2024 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za zahteve iz odstavkov 4, 5, 8 in 18 tega člena v zvezi z izvajanjem evropske denarnice za digitalno identiteto. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

24.

Komisija z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke, da bi uporabnikom olajšala pristop k uporabi evropske denarnice za digitalno identiteto z uporabo sredstev elektronske identifikacije, ki ustrezajo visoki ravni zanesljivosti, ali sredstev elektronske identifikacije, ki ustrezajo srednji ravni zanesljivosti, v povezavi z dodatnimi postopki pristopa na daljavo, ki skupaj izpolnjujejo zahteve glede visoke ravni zanesljivosti. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 5b

Stranke, ki se zanašajo na evropsko denarnico za digitalno identiteto

Kadar se zanašajoča se stranka namerava zanašati na evropske denarnice za digitalno identiteto za zagotavljanje javnih ali zasebnih storitev na podlagi digitalnih interakcij, se registrira v državi članici, v kateri ima sedež.

Postopek registracije je stroškovno učinkovit in sorazmeren s tveganjem. Zanašajoča se stranka zagotovi vsaj:

(a)

informacije, potrebne za avtentikacijo evropskih denarnic za digitalno identiteto, ki vključujejo vsaj:

(i)

državo članico, v kateri ima zanašajoča se stranka sedež, in

(ii)

ime zanašajoče se stranke in po potrebi njeno registrsko številko, kot sta navedena v uradni evidenci, skupaj z identifikacijskimi podatki iz te uradne evidence;

(b)

kontaktne podatke zanašajoče se stranke;

(c)

predvideno uporabo evropskih denarnic za digitalno identiteto, vključno z navedbo podatkov, ki jih bo zanašajoča se stranka zahtevala od uporabnikov.

Zanašajoče se stranke od uporabnikov ne zahtevajo, da zagotovijo druge podatke, razen tistih navedenih na podlagi odstavka 2, točka (c).

Odstavka 1 in 2 ne posegata v pravo Unije ali nacionalno pravo, ki se uporablja za zagotavljanje posebnih storitev.

Države članice informacije iz odstavka 2 objavijo na spletu v elektronsko podpisani ali ožigosani obliki, primerni za avtomatizirano obdelavo.

Zanašajoče se stranke, registrirane v skladu s tem členom, nemudoma obvestijo države članice o vseh spremembah informacij, zagotovljenih v okviru registracije na podlagi odstavka 2.

Države članice zagotovijo skupni mehanizem, ki omogoča identifikacijo in avtentikacijo zanašajočih se strank, kot je navedeno v členu 5a(5), točka (c).

Kadar se zanašajoče se stranke nameravajo zanašati na evropske denarnice za digitalno identiteto, se morajo identificirati pri uporabniku.

Zanašajoče se stranke so odgovorne za izvajanje postopka avtentikacije in potrjevanja veljavnosti identifikacijskih podatkov osebe in elektronskih potrdil o atributih, ki se zahtevajo iz evropskih denarnic za digitalno identiteto. Zanašajoče se stranke ne zavrnejo uporabe psevdonimov, kadar se identifikacija uporabnika ne zahteva na podlagi prava Unije ali nacionalnega prava.

10.

Posredniki, ki delujejo v imenu zanašajočih se strank, se štejejo za zanašajoče se stranke in ne shranjujejo podatkov o vsebini transakcije.

11.

Komisija do 21. novembra 2024 z izvedbenimi akti določi tehnične specifikacije in postopke za zahteve iz odstavkov 2, 5 in 6 do 9 tega člena v zvezi z izvajanjem evropskih denarnic za digitalno identiteto, kot je navedeno v členu 5a(23). Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 5c

Certificiranje evropskih denarnic za digitalno identiteto

Skladnost evropskih denarnic za digitalno identiteto in sheme elektronske identifikacije, v okviru katere so zagotovljene, z zahtevami iz člena 5a(4), (5) in (8), zahtevo po ločevanju na logičen način iz člena 5a(14) ter po potrebi s standardi in tehničnimi specifikacijami iz člena 5a(24) certificirajo organi za ugotavljanje skladnosti, ki jih imenujejo države članice.

Certificiranje skladnosti evropskih denarnic za digitalno identiteto z ustreznimi zahtevami za kibernetsko varnost iz odstavka 1 tega člena ali njihovimi deli se izvaja v skladu z evropskimi certifikacijskimi shemami za kibernetsko varnost, sprejetimi na podlagi Uredbe (EU) 2019/881 Evropskega parlamenta in Sveta ( 4 ) ter navedenimi v izvedbenih aktih iz odstavka 6 tega člena.

Za zahteve iz odstavka 1 tega člena, ki niso povezane s kibernetsko varnostjo, ter za zahteve iz odstavka 1 tega člena, ki so povezane s kibernetsko varnostjo, in sicer takrat, ko certifikacijske sheme za kibernetsko varnost, kot so navedene v odstavku 2 tega člena, ne zajemajo teh zahtev glede kibernetske varnosti ali jih zajemajo le delno, države članice tudi za navedene zahteve vzpostavijo nacionalne certifikacijske sheme v skladu z zahtevami iz izvedbenih aktov iz odstavka 6 tega člena. Države članice svoje osnutke nacionalnih certifikacijskih shem pošljejo skupini za sodelovanje na področju evropske digitalne identitete, ustanovljeni na podlagi člena 46e(1) (v nadaljnjem besedilu: skupina za sodelovanje). Skupina za sodelovanje lahko izdaja mnenja in priporočila.

Certificiranje na podlagi odstavka 1 velja do pet let, pod pogojem, da se ocena ranljivosti izvede vsaki dve leti. Kadar je ranljivost ugotovljena, vendar ni pravočasno odpravljena, se certificiranje razveljavi.

Skladnost z zahtevami iz člena 5a te uredbe v zvezi z obdelavo osebnih podatkov se lahko certificira na podlagi Uredbe (EU) 2016/679.

Komisija do 21. novembra 2024 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za certificiranje evropskih denarnic za digitalno identiteto iz odstavkov 1, 2 in 3 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Države članice Komisiji sporočijo imena in naslove organov za ugotavljanje skladnosti iz odstavka 1. Komisija poskrbi, da so te informacije na voljo vsem državam članicam.

Na Komisijo se prenese pooblastilo za sprejemanje delegiranih aktov v skladu s členom 47 za določitev posebnih meril, ki jih morajo izpolnjevati imenovani organi za ugotavljanje skladnosti iz odstavka 1 tega člena.

Člen 5d

Objava seznama certificiranih evropskih denarnic za digitalno identiteto

Države članice brez nepotrebnega odlašanja obvestijo Komisijo in skupino za sodelovanje, ustanovljeno na podlagi člena 46e(1), o evropskih denarnicah za digitalno identiteto, ki so bile zagotovljene na podlagi člena 5a in so jih certificirali organi za ugotavljanje skladnosti iz člena 5c(1). Komisijo in skupino za sodelovanje, ustanovljeno na podlagi člena 46e(1), brez nepotrebnega odlašanja obvestijo o razveljavitvi certificiranja in navedejo razloge za razveljavitev.

Brez poseganja v člen 5a(18) informacije iz odstavka 1 tega člena, ki jih zagotovijo države članice, vključujejo vsaj:

(a)

certifikat in poročilo o oceni certificiranja certificirane evropske denarnice za digitalno identiteto;

(b)

opis sheme elektronske identifikacije, v okviru katere se zagotavlja evropska denarnica za digitalno identiteto;

(c)

veljavno ureditev nadzora in informacije o ureditvi odgovornosti v zvezi s stranko, ki zagotavlja evropsko denarnico za digitalno identiteto;

(d)

organ ali organe, pristojne za shemo elektronske identifikacije;

(e)

ureditve začasne razveljavitve ali preklica elektronske identifikacijske sheme ali avtentikacije ali zadevnih ogroženih delov.

Komisija na podlagi informacij, prejetih na podlagi odstavka 1, pripravi, objavi v Uradnem listu Evropske unije in vodi v strojno berljivi obliki seznam certificiranih evropskih denarnic za digitalno identiteto.

Država članica lahko Komisiji predloži zahtevek, da se s seznama iz odstavka 3 umakneta evropska denarnica za digitalno identiteto in shema elektronske identifikacije, v okviru katere se zagotavlja.

Država članica v primeru sprememb informacij, predloženih na podlagi odstavka 1, Komisiji predloži posodobljene informacije.

Komisija seznam iz odstavka 3 posodablja tako, da objavi ustrezne spremembe seznama v Uradnem listu Evropske unije v roku enega meseca od prejema zahtevka na podlagi odstavka 4 ali posodobljenih informacij na podlagi odstavka 5.

Komisija do 21. novembra 2024 z izvedbenimi akti določi oblike in postopke, ki se uporabljajo za namene odstavkov 1, 4 in 5 tega člena, v zvezi z izvajanjem evropskih denarnic za digitalno identiteto, kot je navedeno v členu 5a(23). Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 5e

Kršitev varnosti evropskih denarnic za digitalno identiteto

Kadar kršitev ali delno ogrožanje prizadene evropske denarnice za digitalno identiteto, zagotovljene na podlagi člena 5a, mehanizme potrjevanja veljavnosti iz člena 5a(8) ali sheme elektronske identifikacije, v okviru katere se zagotavljajo evropske denarnice za digitalno identiteto, na način, ki vpliva na njihovo zanesljivost ali zanesljivost drugih evropskih denarnic za digitalno identiteto, država članica, ki je zagotovila evropske denarnice za digitalno identiteto, brez nepotrebnega odlašanja začasno prekine zagotavljanje in uporabo evropskih denarnic za digitalno identiteto.

Kadar je to upravičeno zaradi resnosti kršitve varnosti ali ogrožanja iz prvega pododstavka, država članica brez nepotrebnega odlašanja umakne evropske denarnice za digitalno identiteto.

Država članica o tem ustrezno obvesti prizadete uporabnike, enotne kontaktne točke, imenovane na podlagi člena 46c(1), zanašajoče se stranke in Komisijo.

Če kršitev varnosti ali ogrožanje iz odstavka 1, prvi pododstavek, tega člena ni odpravljeno v treh mesecih od začasne razveljavitve, država članica, ki je zagotovila evropske denarnice za digitalno identiteto, umakne evropske denarnice za digitalno identiteto in prekliče njihovo veljavnost. Država članica o umiku ustrezno obvesti prizadete uporabnike, enotne kontaktne točke, imenovane na podlagi člena 46c(1), zanašajoče se stranke in Komisijo.

Kadar je kršitev varnosti ali ogrožanje iz odstavka 1, prvi pododstavek, tega člena odpravljeno, država članica, ki je zagotovila evropske denarnice za digitalno identiteto, ponovno vzpostavi zagotavljanje in uporabo evropskih denarnic za digitalno identiteto ter o tem brez nepotrebnega odlašanja obvesti prizadete uporabnike in zanašajoče se stranke, enotne kontaktne točke, imenovane na podlagi člena 46c(1), ter Komisijo.

Komisija v Uradnem listu Evropske unije objavi ustrezne spremembe seznama iz člena 5d brez nepotrebnega odlašanja.

Komisija do 21. novembra 2024 z izvedbenimi akti določi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za ukrepe iz odstavkov 1, 2 in 3 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 5f

Čezmejno zanašanje na evropske denarnice za digitalno identiteto

Države članice, ki za dostop do spletne storitve organa javnega sektorja zahtevajo elektronsko identifikacijo in avtentikacijo, prav tako sprejmejo evropske denarnice za digitalno identiteto, ki so zagotovljene v skladu s to uredbo.

Kadar pravo Unije ali nacionalno pravo od zasebnih zanašajočih se strank, ki zagotavljajo storitve, z izjemo mikro in malih podjetij, kot so opredeljena v členu 2 Priloge k Priporočilu Komisije 2003/361/ES ( 5 ), zahteva uporabo močne avtentikacije uporabnika za spletno identifikacijo ali kadar se močna avtentikacija uporabnika za spletno identifikacijo zahteva na podlagi pogodbenih obveznosti, med drugim na področjih prometnih, energetskih, bančnih in finančnih storitev, socialnega varstva, zdravja, pitne vode, poštnih storitev, digitalne infrastrukture, izobraževanja ali telekomunikacij, navedene zasebne zanašajoče se stranke najpozneje 36 mesecev od datuma začetka veljavnosti izvedbenih aktov iz člena 5a(23) in člena 5c(6) ter samo na podlagi prostovoljne zahteve uporabnika sprejmejo tudi evropske denarnice za digitalno identiteto, ki so zagotovljene v skladu s to uredbo.

Kadar ponudniki zelo velikih spletnih platform, kot so navedene v členu 33 Uredbe (EU) 2022/2065 Evropskega parlamenta in Sveta ( 6 ), zahtevajo avtentikacijo uporabnika za dostop do spletnih storitev, sprejmejo in omogočijo tudi uporabo evropskih denarnic za digitalno identiteto, ki so zagotovljene v skladu s to uredbo, za avtentikacijo uporabnika, in sicer samo na podlagi prostovoljne zahteve uporabnika in ob upoštevanju minimalnih podatkov, potrebnih za določeno spletno storitev, za katero se zahteva avtentikacija.

Komisija skupaj z državami članicami olajša pripravo kodeksov ravnanja v tesnem sodelovanju z vsemi ustreznimi deležniki, vključno s civilno družbo, da bi prispevala k široki razpoložljivosti in uporabnosti evropskih denarnic za digitalno identiteto v okviru področja uporabe te uredbe ter ponudnike storitev spodbudila, da dokončajo pripravo kodeksov ravnanja.

Komisija v 24 mesecih po uvedbi evropskih denarnic za digitalno identiteto oceni povpraševanje in razpoložljivost ter uporabnost evropskih denarnic za digitalno identiteto, pri čemer upošteva merila, kot so uporaba s strani uporabnikov, čezmejna prisotnost ponudnikov storitev, tehnološki razvoj, razvoj vzorcev uporabe in povpraševanje potrošnikov.

ODDELEK 2

sheme elektronske identifikacije

▼B

Člen 6

Vzajemno priznavanje

Če nacionalno pravo ali upravna praksa za dostop do storitve, ki jo prek spleta zagotavlja organ javnega sektorja v eni državi članici, predpisuje elektronsko identifikacijo z uporabo sredstva elektronske identifikacije in avtentikacije, se sredstvo elektronske identifikacije, izdano v drugi državi članici, prizna v prvi državi članici za namene čezmejne avtentikacije za to spletno storitev, če so izpolnjeni naslednji pogoji:

(a)

sredstvo elektronske identifikacije je izdano v okviru sheme elektronske identifikacije, navedene na seznamu, ki ga Komisija objavi v skladu s členom 9;

(b)

raven zanesljivosti takšnega sredstva elektronske identifikacije ustreza ravni zanesljivosti, ki je enaka ali višja od ravni zanesljivosti, ki jo zahteva zadevni organ javnega sektorja pri dostopu do spletne storitve v prvi državi članici, pod pogojem, da raven zanesljivosti takšnega sredstva elektronske identifikacije ustreza srednji ali visoki ravni zanesljivosti;

(c)

zadevni organ javnega sektorja uporablja srednjo ali visoko raven zanesljivosti v zvezi z dostopom do te spletne storitve.

Takšno priznanje se opravi najpozneje 12 mesecev po tem, ko Komisija objavi seznam iz točke (a) prvega pododstavka.

Organi javnega sektorja lahko za namene čezmejne avtentikacije za storitve, ki jih zagotavljajo prek spleta, priznajo sredstvo elektronske identifikacije, ki se izda v okviru sheme elektronske identifikacije, navedene na seznamu, ki ga Komisija objavi v skladu s členom 9, in ustreza nizki ravni zanesljivosti.

Člen 7

Upravičenost do priglasitve shem elektronske identifikacije

Shema elektronske identifikacije je upravičena do priglasitve v skladu s členom 9(1), če so izpolnjeni vsi naslednji pogoji:

(a)

sredstva elektronske identifikacije v okviru sheme elektronske identifikacije se izdajo:

(i)

s strani države članice priglasiteljice;

(ii)

po pooblastilu države članice priglasiteljice, ali

(iii)

neodvisno od države članice priglasiteljice, vendar jih ta država članica priznava;

(b)

sredstva elektronske identifikacije v okviru sheme elektronske identifikacije se lahko uporabljajo za dostop do vsaj ene storitve, ki jo zagotavlja organ javnega sektorja in za katero se v državi članici priglasiteljici zahteva elektronska identifikacija;

(c)

shema elektronske identifikacije in sredstva elektronske identifikacije, izdana v okviru te sheme, izpolnjujejo zahteve vsaj ene od ravni zanesljivosti, določenih v izvedbenem aktu iz člena 8(3);

(d)

država članica priglasiteljica zagotovi, da se identifikacijski podatki osebe, ki enolično predstavljajo zadevno osebo, dodelijo fizični ali pravni osebi iz točke 1 člena 3 v skladu s tehničnimi specifikacijami, standardi in postopki za ustrezno raven zanesljivosti, določenimi v izvedbenem aktu iz člena 8(3), ob izdaji sredstva elektronske identifikacije v okviru navedene sheme;

(e)

izdajatelj sredstva elektronske identifikacije v okviru navedene sheme, zagotovi, da se sredstvo elektronske identifikacije dodeli osebi iz točke (d) tega člena v skladu s tehničnimi specifikacijami, standardi in postopki za ustrezno raven zanesljivosti, določenimi v izvedbenem aktu iz člena 8(3);

(f)

država članica priglasiteljica zagotovi, da je avtentikacija na voljo prek spleta, tako da lahko vsaka zanašajoča se stranka s sedežem na ozemlju druge države članice potrdi identifikacijske podatke osebe, prejete v elektronski obliki.

Za zanašajoče se stranke, ki niso organi javnega sektorja, lahko država članica priglasiteljica določi pogoje dostopa do navedene avtentikacije. Čezmejna avtentikacija je brezplačna, če se opravi v povezavi s spletno storitvijo, ki jo zagotavlja organ javnega sektorja.

Države članice ne uvedejo nobenih posebnih nesorazmernih tehničnih zahtev za zanašajoče se stranke, ki nameravajo opraviti tako avtentikacijo, če takšne zahteve preprečujejo ali znatno ovirajo interoperabilnost priglašenih shem elektronske identifikacije;

▼M2

(g)

vsaj šest mesecev pred priglasitvijo v skladu s členom 9(1) država članica priglasiteljica drugim državam članicam za namene člena 12(5) zagotovi opis navedene sheme v skladu s postopkovno ureditvijo, sprejeto na podlagi člena 12(6);

▼B

(h)

shema elektronske identifikacije izpolnjuje zahteve izvedbenega akta iz člena 12(8).

Člen 8

Ravni zanesljivosti shem elektronske identifikacije

Shema elektronske identifikacije, priglašena v skladu s členom 9(1), določa nizko, srednjo in/ali visoko raven zanesljivosti, dodeljeno sredstvom elektronske identifikacije, izdanim v okviru te sheme.

Nizka, srednja in visoka raven zanesljivosti izpolnjujejo naslednja merila:

(a)

nizka raven zanesljivosti se nanaša na sredstvo elektronske identifikacije v okviru sheme elektronske identifikacije, ki zagotavlja omejeno stopnjo zaupanja v izkazano ali zagotavljano identiteto osebe in za katero je značilno sklicevanje na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je zmanjšati nevarnost zlorabe ali spreminjanja identitete;

(b)

srednja raven zanesljivosti se nanaša na sredstvo elektronske identifikacije v okviru sheme elektronske identifikacije, ki zagotavlja srednjo stopnjo zaupanja v izkazano ali zagotavljano identiteto osebe in za katero je značilno sklicevanje na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je znatno zmanjšati nevarnost zlorabe ali spreminjanja identitete;

(c)

visoka raven zanesljivosti se nanaša na sredstvo elektronske identifikacije v okviru sheme elektronske identifikacije, ki zagotavlja višjo stopnjo zaupanja v izkazano ali zagotavljano identiteto osebe kot sredstva elektronske identifikacije srednje ravni zanesljivosti in za katero je značilno sklicevanje na zadevne tehnične specifikacije, standarde in postopke, vključno s tehničnim nadzorom, katerih namen je preprečiti nevarnost zlorabe ali spreminjanja identitete.

▼M2

Do 18. septembra 2015 ter ob upoštevanju ustreznih mednarodnih standardov in odstavka 2 Komisija z izvedbenimi akti določi minimalne tehnične specifikacije, standarde in postopke, na podlagi katerih se določijo nizka, srednja in visoka raven zanesljivosti za sredstva elektronske identifikacije.;

▼B

Te minimalne tehnične specifikacije, standardi in postopki se določijo ob sklicevanju na zanesljivost in kakovost naslednjih elementov:

(a)

postopka za dokazovanje in preverjanje identitete fizičnih ali pravnih oseb, ki zaprosijo za izdajo sredstva elektronske identifikacije;

(b)

postopka za izdajo zahtevanega sredstva elektronske identifikacije;

(c)

mehanizma avtentikacije, prek katerega fizična ali pravna oseba uporablja sredstvo elektronske identifikacije, da odvisni stranki potrdi svojo identiteto;

(d)

izdajatelja sredstva elektronske identifikacije;

(e)

katerega koli drugega organa, vključenega v postopek izdaje sredstva elektronske identifikacije, ter

(f)

tehničnih in varnostnih specifikacij izdanega sredstva elektronske identifikacije.

Komisija izvedbene akte sprejme v skladu s postopkom pregleda iz člena 48(2).

Člen 9

Priglasitev

Država članica priglasiteljica priglasi Komisiji naslednje informacije, brez nepotrebnega odlašanja pa tudi vse njihove naknadne spremembe:

(a)

opis sheme elektronske identifikacije, vključno z njenimi ravnmi zanesljivosti in izdajateljem oziroma izdajatelji sredstva elektronske identifikacije v okviru sheme;

(b)

veljavno ureditev nadzora in informacije o ureditvi odgovornosti v zvezi s/z:

(i)

izdajateljem sredstva elektronske identifikacije, in

(ii)

stranko, ki opravi postopek avtentikacije;

(c)

organ ali organe, pristojne za shemo elektronske identifikacije;

(d)

informacije o subjektu ali subjektih, ki urejajo registracijo enoličnih identifikacijskih podatkov osebe;

(e)

opis, kako se izpolnjujejo zahteve, določene v izvedbenih aktih iz člena 12(8);

(f)

opis avtentikacije iz točke (f) člena 7;

(g)

ureditev začasne razveljavitve ali preklica priglašene elektronske identifikacijske sheme, avtentikacije ali zadevnih ogroženih delov.

▼M2

Komisija v Uradnem listu Evropske unije brez nepotrebnega odlašanja objavi seznam shem elektronske identifikacije, priglašenih v skladu z odstavkom 1, skupaj z osnovnimi informacijami o teh shemah.

Komisija spremembe seznama iz odstavka 2 objavi v Uradnem listu Evropske unije v enem mesecu od datuma prejema zadevne priglasitve.

▼B

Država članica lahko Komisiji predloži zahtevek, da se s seznama iz odstavka 2 umakne shema elektronske identifikacije, ki jo je ta država članica priglasila. Komisija objavi ustrezne spremembe seznama članice v Uradnem listu Evropske unije v enem mesecu po datumu prejema zahtevka države članice.

Komisija lahko z izvedbenimi akti določi okoliščine, formate in postopke priglasitve iz odstavka 1. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 10

▼M2

Kršitev varnosti shem elektronske identifikacije

▼B

Ob kršitvi ali delnem ogrožanju bodisi sheme elektronske identifikacije, priglašene v skladu s členom 9(1), ali avtentikacije iz točke (f) člena 7 na način, ki vpliva na zanesljivost čezmejne avtentikacije te sheme, država članica priglasiteljica brez odlašanja začasno razveljavi ali prekliče to čezmejno avtentikacijo ali zadevne ogrožene dele ter o tem obvesti druge države članice in Komisijo.

Ko je kršitev ali ogrožanje iz odstavka 1 odpravljeno, država članica priglasiteljica ponovno vzpostavi čezmejno avtentikacijo in o tem brez nepotrebnega odlašanja obvesti druge države članice in Komisijo.

Če se kršitev ali ogrožanje iz odstavka 1 ne odpravi v treh mesecih po začasni razveljavitvi ali preklicu, država članica priglasiteljica uradno obvesti druge države članice in Komisijo o umiku sheme elektronske identifikacije.

Komisija v Uradnem listu Evropske unije objavi ustrezne spremembe seznama iz člena 9(2) brez nepotrebnega odlašanja.

Člen 11

Odgovornost

Država članica priglasiteljica je odgovorna za škodo, ki je namenoma ali iz malomarnosti povzročena fizični ali pravni osebi zaradi neizpolnjevanja obveznosti iz točk (d) in (f) člena 7 pri opravljanju čezmejne transakcije.

Izdajatelj sredstva elektronske identifikacije je odgovoren za škodo, ki jo namenoma ali iz malomarnosti povzroči fizični ali pravni osebi zaradi neizpolnjevanja obveznosti iz točke (e) člena 7 pri opravljanju čezmejne transakcije.

Stranka, ki opravi postopek avtentikacije, je odgovorna za škodo, ki jo namenoma ali iz malomarnosti povzroči kateri koli fizični ali pravni osebi, če pri opravljanju čezmejne transakcije ne zagotovi pravilnega delovanja avtentikacije iz točke (f) člena 7.

Odstavki 1, 2 in 3 se uporabljajo v skladu z nacionalnimi pravili o odgovornosti.

Odstavki 1, 2 in 3 ne posegajo v odgovornost, ki jo imajo v skladu z nacionalnim pravom stranke transakcije, pri kateri se uporabljajo sredstva elektronske identifikacije, ki so del sheme elektronske identifikacije, priglašene v skladu s členom 9(1).

▼M2

Člen 11a

Čezmejno ujemanje identitete

Kadar države članice delujejo kot zanašajoče se stranke za čezmejne storitve, zagotovijo nedvoumno ujemanje identitete za fizične osebe, ki uporabljajo priglašena sredstva elektronske identifikacije ali evropske denarnice za digitalno identiteto.

Države članice določijo tehnične in organizacijske ukrepe za zagotavljanje visoke ravni varstva osebnih podatkov, ki se uporabljajo za ujemanje identitete, in za preprečevanje oblikovanja profilov uporabnikov.

Komisija do 21. novembra 2024 z izvedbenimi akti določi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za zahteve iz odstavka 1 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 12

▼M2

Interoperabilnost

▼B

Nacionalne sheme elektronske identifikacije, priglašene v skladu s členom 9(1), so interoperabilne.

Za namene odstavka 1 se vzpostavi interoperabilnostni okvir.

Interoperabilnostni okvir izpolnjuje naslednja merila:

(a)

prizadeva si biti tehnološko nevtralen in ne diskriminira med posebnimi nacionalnimi tehničnimi rešitvami za elektronsko identifikacijo znotraj države članice;

(b)

upošteva evropske in mednarodne standarde, kadar je mogoče;

▼M2

(c)

lajša izvajanje vgrajene zasebnosti in vgrajene varnosti;

▼M2 —————

▼B

Interoperabilnostni okvir sestavljajo:

(a)

sklicevanje na minimalne tehnične zahteve, povezane z ravnmi zanesljivosti iz člena 8;

(b)

določitev nacionalnih ravni zanesljivosti priglašenih shem elektronske identifikacije glede na ravni zanesljivosti iz člena 8;

(c)

sklicevanje na minimalne tehnične zahteve glede interoperabilnosti;

▼M2

(d)

sklicevanje na minimalni nabor identifikacijskih podatkov osebe, potreben za enolično predstavljanje fizične ali pravne osebe ali fizične osebe, ki zastopa drugo fizično osebo ali pravno osebo, ki je dostopen v okviru shem elektronske identifikacije;

▼B

(e)

poslovnik;

(f)

ureditev za reševanje sporov, in

(g)

skupni varnostni standardi delovanja.

▼M2

Države članice izvajajo medsebojne strokovne preglede shem elektronske identifikacije, ki spadajo na področje uporabe te uredbe in ki jih je treba priglasiti v skladu s členom 9(1), točka (a).

Komisija do 18. marca 2025 z izvedbenimi akti določi potrebno postopkovno ureditev za medsebojne strokovne preglede iz odstavka 5 tega člena, da se spodbudi visoka raven zaupanja in varnosti, ki ustreza stopnji tveganja. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2 —————

▼M2

Komisija do 18. septembra 2025 za določitev enotnih pogojev izvajanja zahteve iz odstavka 1 tega člena sprejme izvedbene akte o interoperabilnostnem okviru, opredeljenem v odstavku 4 tega člena, pri tem pa upošteva merila iz odstavka 3 tega člena in rezultate sodelovanja med državami članicami. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Izvedbeni akti iz odstavkov 7 in 8 tega člena se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

Člen 12a

Certificiranje shem elektronske identifikacije

Skladnost shem elektronske identifikacije, ki jih je treba priglasiti, z zahtevami glede kibernetske varnosti iz te uredbe, vključno s skladnostjo z ustreznimi zahtevami za kibernetsko varnost iz člena 8(2) glede ravni zanesljivosti shem elektronske identifikacije, certificirajo organi za ugotavljanje skladnosti, ki jih imenujejo države članice.

Certificiranje na podlagi odstavka 1 tega člena se izvaja v okviru ustrezne certifikacijske sheme za kibernetsko varnost na podlagi Uredbe (EU) 2019/881 ali njenih delov, kolikor certifikat kibernetske varnosti ali njegovi deli zajemajo navedene zahteve glede kibernetske varnosti.

Certificiranje na podlagi odstavka 1 velja do pet let, pod pogojem, da se izvede ocena ranljivosti vsaki dve leti. Kadar je ranljivost ugotovljena, vendar ni odpravljena v treh mesecih po taki ugotovitvi, se certificiranje razveljavi.

Ne glede na odstavek 2 lahko države članice od države članice priglasiteljice v skladu z navedenim odstavkom zahtevajo dodatne informacije o shemah elektronske identifikacije ali njihovih certificiranih delih.

Medsebojni strokovni pregledi shem elektronske identifikacije iz člena 12(5) se ne uporabljajo za sheme elektronske identifikacije ali dele takih shem, certificiranih v skladu z odstavkom 1 tega člena. Države članice lahko v zvezi z ravnjo zanesljivosti shem elektronske identifikacije uporabijo certifikat ali izjavo o skladnosti, izdano v skladu z ustrezno certifikacijsko shemo ali deli take sheme, z zahtevami iz člena 8(2), ki niso povezane s kibernetsko varnostjo.

Države članice Komisiji sporočijo imena in naslove organov za ugotavljanje skladnosti iz odstavka 1. Komisija poskrbi, da so te informacije na voljo vsem državam članicam.

Člen 12b

Dostop do funkcij strojne in programske opreme

Kadar so ponudniki evropskih denarnic za digitalno identiteto in izdajatelji priglašenih sredstev elektronske identifikacije, ki delujejo v okviru poslovne ali poklicne dejavnosti in uporabljajo jedrne platformne storitve, kakor so opredeljene v členu 2, točka 2, Uredbe (EU) 2022/1925 Evropskega parlamenta in Sveta ( 7 ), za namen ali med zagotavljanjem storitev evropske denarnice za digitalno identiteto in sredstev elektronske identifikacije končnim uporabnikom, poslovni uporabniki, kakor so opredeljeni v členu 2, točka 21, navedene uredbe, jim vratarji zlasti za namene interoperabilnosti omogočijo učinkovito interoperabilnost z istim operacijskim sistemom, funkcijami strojne opreme ali programske opreme ter dostop do njih. Taka učinkovita interoperabilnost in dostop sta omogočena brezplačno in ne glede na to, ali so funkcije strojne ali programske opreme del operacijskega sistema, ki so navedenemu vratarju na voljo ali jih ta uporablja pri zagotavljanju takih storitev v smislu člena 6(7) Uredbe (EU) 2022/1925. Ta člen ne posega v člen 5a(14) te uredbe.

▼B

POGLAVJE IIII

STORITVE ZAUPANJA

ODDELEK 1

Splošne določbe

Člen 13

Odgovornost in dokazno breme

▼M2

Ne glede na odstavek 2 tega člena in brez poseganja v Uredbo (EU) 2016/679 so ponudniki storitev zaupanja odgovorni za škodo, ki je namenoma ali malomarno povzročena fizični ali pravni osebi zaradi neizpolnjevanja obveznosti iz te uredbe. Vsaka fizična ali pravna oseba, ki je utrpela premoženjsko ali nepremoženjsko škodo, ker je ponudnik storitev zaupanja kršil to uredbo, ima pravico zahtevati povrnitev škode v skladu s pravom Unije in nacionalnim pravom.

Dokazno breme o namenu ali malomarnosti ponudnika nekvalificiranih storitev zaupanja nosi fizična ali pravna oseba, ki zatrjuje škodo iz prvega pododstavka.

Domneva se, da je ponudnik kvalificiranih storitev zaupanja škodo iz prvega pododstavka povzročil namenoma ali iz malomarnosti, razen če ta ponudnik kvalificiranih storitev zaupanja ne dokaže nasprotno.

▼B

Kadar ponudniki storitev zaupanja svoje stranke ustrezno vnaprej obvestijo o omejitvah uporabe storitev, ki jih zagotavljajo, in kadar tretja stranka te omejitve lahko prepozna, ponudniki storitev zaupanja niso odgovorni za škodo, ki izhaja iz uporabe storitev, ki presega navedene omejitve.

Odstavka 1 in 2 se uporabljata v skladu z nacionalnimi pravili o odgovornosti.

▼M2

Člen 14

Mednarodni vidiki

Storitve zaupanja, ki jih zagotavljajo ponudniki storitev zaupanja s sedežem v tretji državi ali mednarodna organizacija, so pravno enakovredne kvalificiranim storitvam zaupanja, ki jih zagotavljajo ponudniki kvalificiranih storitev zaupanja s sedežem v Uniji, kadar se storitve zaupanja iz tretje države ali s strani mednarodne organizacije priznajo z izvedbenimi akti ali sporazumom, sklenjenim med Unijo in tretjo državo ali mednarodno organizacijo na podlagi člena 218 PDEU.

Izvedbeni akti iz prvega pododstavka se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Z izvedbenimi akti in sporazumom iz odstavka 1 se zagotovi, da ponudniki storitev zaupanja v zadevni tretji državi ali mednarodne organizacije in storitve zaupanja, ki jih zagotavljajo, izpolnjujejo zahteve, ki veljajo za ponudnike kvalificiranih storitev zaupanja s sedežem v Uniji in za kvalificirane storitve zaupanja, ki jih ti zagotavljajo. Tretje države in mednarodne organizacije zlasti vzpostavijo, vodijo in objavijo zanesljiv seznam priznanih ponudnikov storitev zaupanja.

S sporazumi iz odstavka 1 se zagotovi, da so kvalificirane storitve zaupanja, ki jih zagotavljajo ponudniki kvalificiranih storitev zaupanja s sedežem v Uniji, pravno enakovredne storitvam zaupanja, ki jih zagotavljajo ponudniki storitev zaupanja v tretji državi ali mednarodna organizacija, s katero je sklenjen sporazum.

Člen 15

Dostopnost za invalide in osebe s posebnimi potrebami

Zagotavljanje sredstev elektronske identifikacije, storitev zaupanja in proizvodov za končne uporabnike, ki se uporabljajo pri zagotavljanju zadevnih storitev, mora biti na voljo v preprostem in razumljivem jeziku v skladu s Konvencijo Združenih narodov o pravicah invalidov in zahtevami glede dostopnosti iz Direktive (EU) 2019/882, s čimer imajo korist tudi osebe s funkcijskimi omejitvami, kot so starejši ljudje, in osebe z omejenim dostopom do digitalnih tehnologij.

Člen 16

Kazni

Brez poseganja v člen 31 Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta ( 8 ) države članice določijo pravila o kaznih, ki se uporabljajo za kršitve te uredbe. Te kazni morajo biti učinkovite, sorazmerne in odvračilne.

Države članice zagotovijo, da se kršitve te uredbe s strani ponudnikov kvalificiranih in nekvalificiranih storitev zaupanja kaznujejo z najvišjimi globami v višini najmanj:

(a)

5 000 000 EUR, kadar je ponudnik storitev zaupanja fizična oseba, ali

(b)

kadar je ponudnik storitev zaupanja pravna oseba, 5 000 000 EUR ali 1 % skupnega svetovnega letnega prometa podjetja, ki mu pripada ponudnik storitev zaupanja, v poslovnem letu pred letom, v katerem je prišlo do kršitve, pri čemer se upošteva višji znesek.

Glede na pravni sistem držav članic se lahko pravila o globah uporabljajo tako, da postopek za naložitev globe sproži pristojni nadzorni organ, naložijo pa jo pristojna nacionalna sodišča. Z uporabo takih pravil v navedenih državah članicah se zagotovi, da so navedena pravna sredstva učinkovita in imajo enak učinek kot globe, ki jih neposredno naložijo nadzorni organi.

▼B

ODDELEK 2

▼M2

Nekvalificirane storitve zaupanja

▼M2 —————

▼M1 —————

▼M2

Člen 19a

Zahteve za ponudnike nekvalificiranih storitev zaupanja

Ponudnik nekvalificiranih storitev zaupanja, ki zagotavlja nekvalificirane storitve zaupanja:

(a)

ima ustrezne politike in sprejema ustrezne ukrepe v zvezi z obvladovanjem pravnih, poslovnih, operativnih in drugih neposrednih ali posrednih tveganj za zagotavljanje nekvalificiranih storitev zaupanja, ki ne glede na člen 21 Direktive (EU) 2022/2555 vključujejo vsaj ukrepe, ki se nanašajo na:

(i)

postopke registracije in pristopa k uporabi storitev zaupanja;

(ii)

postopkovne ali upravne preglede, potrebne za zagotavljanje storitev zaupanja;

(iii)

upravljanje in izvajanje storitev zaupanja;

(b)

nadzorni organ, določljive prizadete posameznike, javnost, če je to v javnem interesu, in po potrebi druge ustrezne pristojne organe o morebitnih kršitvah varnosti ali prekinitvah pri zagotavljanju storitve ali izvajanju ukrepov iz točke (a)(i), (ii) ali (iii), ki pomembno vplivajo na zagotovljeno storitev zaupanja ali na osebne podatke, vsebovane v njej, uradno obvesti brez nepotrebnega odlašanja, v vsakem primeru pa najpozneje v 24 urah po seznanitvi z morebitnimi kršitvami varnosti ali prekinitvami.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za namene odstavka 1, točka (a), tega člena. Zahteve iz tega člena veljajo za izpolnjene, kadar so izpolnjeni navedeni standardi, specifikacije in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

ODDELEK 3

Kvalificirane storitve zaupanja

Člen 20

Nadzor ponudnikov kvalificiranih storitev zaupanja

▼M2

Ponudnike kvalificiranih storitev zaupanja na njihove lastne stroške vsaj vsakih 24 mesecev revidira organ za ugotavljanje skladnosti. Revizija potrdi, ali ponudniki kvalificiranih storitev zaupanja in kvalificirane storitve zaupanja, ki jih zagotavljajo, izpolnjujejo zahteve iz te uredbe in iz člena 21 Direktive (EU) 2022/2555. Ponudniki kvalificiranih storitev zaupanja zadevno poročilo o ugotavljanju skladnosti predložijo nadzornemu organu v treh delovnih dneh po njegovem prejemu.

▼M2

1a.

Ponudniki kvalificiranih storitev zaupanja nadzorni organ obvestijo najpozneje en mesec pred načrtovanimi revizijami in nadzornemu organu na njegovo zahtevo omogočijo, da sodeluje kot opazovalec.

1b.

Države članice Komisiji brez nepotrebnega odlašanja uradno sporočijo imena in naslove organov za ugotavljanje skladnosti iz odstavka 1 ter podrobnosti o njihovi akreditaciji ter vse naknadne spremembe v zvezi z njimi. Komisija poskrbi, da so te informacije na voljo vsem državam članicam.

▼M2

Brez poseganja v odstavek 1 lahko nadzorni organ – na stroške ponudnikov kvalificiranih storitev zaupanja – kadar koli revidira ponudnike kvalificiranih storitev zaupanja ali zahteva, da organ za ugotavljanje skladnosti opravi ugotavljanje skladnosti teh ponudnikov, da se potrdi, da ponudniki in kvalificirane storitve zaupanja, ki jih zagotavljajo, izpolnjujejo zahteve iz te uredbe. V primeru domnevne kršitve pravil o varstvu osebnih podatkov nadzorni organ brez nepotrebnega odlašanja obvesti pristojne nadzorne organe, ustanovljene na podlagi člena 51 Uredbe (EU) 2016/679.

Kadar ponudnik kvalificiranih storitev zaupanja ne izpolnjuje katere od zahtev iz te uredbe, nadzorni organ zahteva, naj po potrebi to popravi v določenem roku.

Kadar navedeni ponudnik tega ne stori, po potrebi v roku, ki ga določi nadzorni organ, nadzorni organ, kadar je to utemeljeno zlasti z obsegom, trajanjem in posledicami tega neizpolnjevanja, navedenemu ponudniku ali zadevni storitvi, ki jo ponudnik zagotavlja, odvzame kvalificirani status.

3a.

Kadar pristojni organi, imenovani ali ustanovljeni na podlagi člena 8(1) Direktive (EU) 2022/2555, obvestijo nadzorni organ, da ponudnik kvalificiranih storitev zaupanja ne izpolnjuje katere od zahtev iz člena 21 navedene direktive, nadzorni organ, kadar je to utemeljeno zlasti z obsegom, trajanjem in posledicami tega neizpolnjevanja, navedenemu ponudniku ali zadevni storitvi, ki jo ponudnik zagotavlja, odvzame kvalificirani status.

3b.

Kadar nadzorni organi, ustanovljeni na podlagi člena 51 Uredbe (EU) 2016/679, obvestijo nadzorni organ, da ponudnik kvalificiranih storitev zaupanja ne izpolnjuje katere od zahtev iz navedene uredbe, nadzorni organ, kadar je to utemeljeno zlasti z obsegom, trajanjem in posledicami tega neizpolnjevanja, navedenemu ponudniku ali zadevni storitvi, ki jo ponudnik zagotavlja, odvzame kvalificirani status.

3c.

Nadzorni organ obvesti ponudnika kvalificiranih storitev zaupanja o odvzemu kvalificiranega statusa temu ponudniku ali zadevni storitvi. Nadzorni organ obvesti organ, priglašen na podlagi člena 22(3) te uredbe, za namene posodabljanja zanesljivih seznamov iz odstavka 1 navedenega člena in pristojni organ, imenovan ali vzpostavljen na podlagi člena 8(1) Direktive (EU) 2022/2555.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za naslednje:

(a)

akreditacijo organov za ugotavljanje skladnosti in za poročila o ugotavljanju skladnosti iz odstavka 1;

(b)

revizijske zahteve, na podlagi katerih morajo organi za ugotavljanje skladnosti opraviti ugotavljanje skladnosti ponudnikov kvalificiranih storitev zaupanja iz odstavka 1, vključno s sestavljenim ugotavljanjem;

(c)

sheme ugotavljanja skladnosti za izvajanje ugotavljanja skladnosti ponudnikov kvalificiranih storitev zaupanja s strani organov za ugotavljanje skladnosti in za predložitev poročila iz odstavka 1.

Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 21

Začetek zagotavljanja kvalificirane storitve zaupanja

▼M2

Kadar nameravajo ponudniki storitev zaupanja začeti zagotavljati kvalificirano storitev zaupanja, svojo namero priglasijo nadzornemu organu ter mu predložijo poročilo o ugotavljanju skladnosti, ki ga izda organ za ugotavljanje skladnosti in v katerem je potrjeno izpolnjevanje zahtev iz te uredbe in iz člena 21 Direktive (EU) 2022/2555.

Nadzorni organ preveri, ali ponudnik storitev zaupanja in storitve zaupanja, ki jih ta zagotavlja, izpolnjujejo zahteve iz te uredbe, zlasti zahteve za ponudnike kvalificiranih storitev zaupanja in za kvalificirane storitve zaupanja, ki jih ti zagotavljajo.

Nadzorni organ za namene preverjanja, ali ponudnik storitev zaupanja izpolnjuje zahteve iz člena 21 Direktive (EU) 2022/2555, od pristojnih organov, imenovanih ali ustanovljenih na podlagi člena 8(1) navedene direktive, zahteva, da brez nepotrebnega odlašanja, v vsakem primeru pa v dveh mesecih od prejema navedene zahteve, izvedejo nadzorne ukrepe v zvezi s tem in zagotovijo informacije o izidu. Če preverjanje ni zaključeno v dveh mesecih od priglasitve, navedeni pristojni organi o tem obvestijo nadzorni organ ter navedejo razloge za zamudo in rok, v katerem bo preverjanje zaključeno.

Kadar nadzorni organ ugotovi, da ponudnik storitev zaupanja in storitve zaupanja, ki jih ta zagotavlja, izpolnjujejo zahteve, določene v tej uredbi, najpozneje tri mesece po priglasitvi v skladu z odstavkom 1 tega člena ponudniku storitev zaupanja in storitvam zaupanja, ki jih ta zagotavlja, podeli kvalificirani status ter obvesti organ iz člena 22(3), da se posodobijo zanesljivi seznami iz člena 22(1).

Kadar nadzorni organ preverjanja ne konča v treh mesecih od priglasitve, o tem obvesti ponudnika storitev zaupanja ter navede razloge za zamudo in rok, v katerem bo preverjanje končano.

▼B

Ponudniki kvalificiranih storitev zaupanja lahko začnejo zagotavljati kvalificirane storitve zaupanja, potem ko je kvalificirani status naveden na zanesljivem seznamu iz člena 22(1).

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti določi oblike in postopke priglasitve in preverjanja za namene odstavkov 1 in 2 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 22

Zanesljivi seznami

Vsaka država članica sestavi, vodi in objavi zanesljive sezname, vključno z informacijami o ponudnikih kvalificiranih storitev zaupanja, za katere je odgovorna, skupaj z informacijami o kvalificiranih storitvah zaupanja, ki jih ti ponudniki zagotavljajo.

Države članice v obliki, primerni za avtomatizirano obdelavo, na varen način sestavijo, vodijo in objavijo elektronsko podpisane ali ožigosane zanesljive sezname ponudnikov storitev zaupanja iz odstavka 1.

Države članice Komisijo brez nepotrebnega odlašanja uradno obvestijo o vseh informacijah o organu, ki je pristojen za sestavljanje, vodenje in objavljanje nacionalnih zanesljivih seznamov, ter podrobnosti o tem, kje so taki seznami objavljeni, o potrdilih, uporabljenih za podpisovanje ali ožigosanje zanesljivih seznamov, ter o vseh njihovih spremembah.

Komisija na varen način in v elektronsko podpisani ali ožigosani obliki, primerni za avtomatizirano obdelavo, da informacije iz odstavka 3 na voljo javnosti.

Komisija do 18. septembra 2015 z izvedbenimi akti določi informacije iz odstavka 1 ter opredeli tehnične specifikacije in oblike za zanesljive sezname, ki se uporabljajo za namene odstavkov 1 do 4. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 23

Znak zaupanja EU za kvalificirane storitve zaupanja

Potem ko je na zanesljivem seznamu iz člena 22(1) naveden kvalificirani status iz drugega pododstavka člena 21(2), lahko ponudnik kvalificiranih storitev zaupanja uporabi znak zaupanja EU in tako na preprost, prepoznaven in jasen način označi kvalificirane storitve zaupanja, ki jih zagotavlja.

Ponudnik kvalificiranih storitev zaupanja pri uporabi znaka zaupanja EU za kvalificirane storitve zaupanja iz odstavka 1 zagotovi, da je na njegovem spletišču navedena povezava do ustreznega zanesljivega seznama.

Komisija do 1. julija 2015 z izvedbenimi akti določi specifikacije glede oblike in zlasti predstavitve, sestave, velikosti in zasnove znaka zaupanja EU za kvalificirane storitve zaupanja. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 24

Zahteve za ponudnike kvalificiranih storitev zaupanja

▼M2

Ob izdaji kvalificiranega potrdila ali kvalificiranega elektronskega potrdila o atributih ponudnik kvalificiranih storitev zaupanja preveri identiteto in po potrebi druge posebne atribute fizične ali pravne osebe, za katero se izda kvalificirano potrdilo ali kvalificirano elektronsko potrdilo o atributih.

1a.

Ponudnik kvalificiranih storitev zaupanja na ustrezen način izvede preverjanje identitete iz odstavka 1, bodisi neposredno bodisi s tretjo osebo, na podlagi ene od naslednjih metod ali njihove kombinacije, kadar je to potrebno, v skladu z izvedbenimi akti iz odstavka 1c:

(a)

z evropsko denarnico za digitalno identiteto ali priglašenim sredstvom elektronske identifikacije, ki izpolnjuje zahteve iz člena 8 v zvezi z visoko ravnjo zanesljivosti;

(b)

s potrdilom kvalificiranega elektronskega podpisa ali kvalificiranega elektronskega žiga, izdanega v skladu s točko (a), (c) ali (d);

(c)

z uporabo drugih načinov identifikacije, ki zagotavljajo identifikacijo osebe z visoko stopnjo zaupanja, katere skladnost potrdi organ za ugotavljanje skladnosti;

(d)

s fizično prisotnostjo fizične osebe ali pooblaščenega predstavnika pravne osebe z ustreznimi dokazi in postopki v skladu z nacionalnim pravom.

1b.

Ponudnik kvalificiranih storitev zaupanja na ustrezen način izvede preverjanje atributov iz odstavka 1, bodisi neposredno bodisi s tretjo osebo, na podlagi ene od naslednjih metod ali njihove kombinacije, kadar je to potrebno, v skladu z izvedbenimi akti iz odstavka 1c:

(a)

z evropsko denarnico za digitalno identiteto ali priglašenim sredstvom elektronske identifikacije, ki izpolnjuje zahteve iz člena 8 v zvezi z visoko ravnjo zanesljivosti;

(b)

s potrdilom kvalificiranega elektronskega podpisa ali kvalificiranega elektronskega žiga, izdanega v skladu z odstavkom 1a, točka (a), (c) ali (d);

(c)

s kvalificiranim elektronskim potrdilom o atributih;

(d)

z uporabo drugih načinov, ki zagotavljajo preverjanje atributov z visoko stopnjo zaupanja, katere skladnost potrdi organ za ugotavljanje skladnosti;

(e)

s fizično prisotnostjo fizične osebe ali pooblaščenega predstavnika pravne osebe z ustreznimi dokazi in postopki v skladu z nacionalnim pravom.

1c.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za preverjanje identitete in atributov v skladu z odstavki 1, 1a in 1b tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Ponudnik kvalificiranih storitev zaupanja, ki zagotavlja kvalificirane storitve zaupanja:

▼M2

(a)

obvesti nadzorni organ vsaj en mesec pred izvajanjem kakršne koli spremembe pri zagotavljanju svojih kvalificiranih storitev zaupanja oziroma vsaj tri mesece v primeru namere o prenehanju opravljanja teh dejavnosti;

▼B

(b)

zaposluje osebje in po potrebi podizvajalce, ki imajo potrebno strokovno znanje, izkušnje in kvalifikacije ter so zanesljivi in ki so se udeležili ustreznega usposabljanja v zvezi z varnostjo in pravili o varstvu osebnih podatkov ter uporabljajo upravne in upravljavske postopke, ki so v skladu z evropskimi ali mednarodnimi standardi;

(c)

kar zadeva tveganje odškodninske odgovornosti v skladu s členom 13, ohranja zadostna finančna sredstva in/ali pridobi ustrezno zavarovanje odgovornosti v skladu z nacionalnim pravom;

▼M2

(d)

pred vstopom v pogodbeno razmerje vsako osebo, ki želi uporabljati kvalificirano storitev zaupanja, na jasen, razumljiv in zlahka dostopen način na javno dostopnem mestu in posamezno obvesti o natančnih splošnih pogojih uporabe zadevne storitve, tudi o morebitnih omejitvah njene uporabe;

(e)

uporablja zaupanja vredne sisteme in izdelke, ki so zaščiteni pred spreminjanjem ter zagotavljajo tehnično varnost in zanesljivost postopkov, pri katerih se uporabljajo, tudi z rabo ustreznih kriptografskih algoritmov;

▼B

(f)

uporablja zaupanja vredne sisteme za shranjevanje podatkov, ki jih prejme, v preverljivi obliki, tako da:

(i)

so ti javno dostopni samo, če je bila pridobljena privolitev osebe, na katero se podatki nanašajo,

(ii)

lahko le pooblaščene osebe vnašajo podatke in spreminjajo shranjene podatke,

(iii)

se lahko preveri avtentičnost podatkov;

▼M2

(fa)

brez poseganja v člen 21 Direktive (EU) 2022/2555 sprejme primerne politike in temu ustrezne ukrepe v zvezi z obvladovanjem pravnih, poslovnih, operativnih in drugih neposrednih ali posrednih tveganj za zagotavljanje kvalificiranih storitev zaupanja, med drugim vsaj ukrepe, povezane z naslednjim:

(i)

postopki registracije in pristopa k uporabi storitve;

(ii)

postopkovnimi ali upravnimi pregledi;

(iii)

upravljanjem in izvajanjem storitev;

(fb)

uradno obvesti nadzorni organ, določljive prizadete posameznike, po potrebi druge ustrezne pristojne organe in, na zahtevo nadzornega organa, javnost, če je to v javnem interesu, o kakršnih koli kršitvah varnosti ali prekinitvah pri zagotavljanju storitve ali izvajanju ukrepov iz točke (fa)(i), (ii) ali (iii), ki pomembno vplivajo na zagotovljeno storitev zaupanja ali na osebne podatke, vsebovane v njej, brez nepotrebnega odlašanja in v vsakem primeru v 24 urah od incidenta.

▼M2

(g)

sprejme ustrezne ukrepe proti ponarejanju, kraji ali protipravni prilastitvi podatkov ali neupravičenemu brisanju oziroma spreminjanju podatkov ali onemogočanju dostopa do njih;

(h)

potem ko je ponudnik kvalificiranih storitev zaupanja prenehal opravljati dejavnosti, toliko časa, kolikor je potrebno, beleži vse pomembne informacije o podatkih, ki jih je ponudnik kvalificiranih storitev zaupanja izdal in prejel, ter ohranja dostop do njih, da se zagotovijo dokazi v pravnih postopkih in neprekinjenost storitve. Tako beleženje je lahko elektronsko;

(i)

ima posodobljen načrt za prenehanje zagotavljanja storitve, da se zagotovi neprekinjenost storitve v skladu z določbami, ki jih nadzorni organ preveri na podlagi člena 46b(4), točka (i);

▼M2 —————

▼B

(k)

v primeru ponudnikov kvalificiranih storitev zaupanja, ki izdajajo kvalificirana potrdila, vzpostavi in posodablja podatkovno zbirko potrdil.

▼M2

Nadzorni organ lahko zahteva dodatne informacije poleg tistih, priglašenih na podlagi točke (a) prvega pododstavka, ali rezultat ugotavljanja skladnosti in lahko postavi pogoje, preden da dovoljenje za izvedbo načrtovanih sprememb kvalificiranih storitev zaupanja. Če nadzorni organ preverjanja ne konča v treh mesecih od priglasitve, o tem obvesti ponudnika storitev zaupanja ter navede razloge za zamudo in rok, v katerem bo preverjanje končano.

▼B

Če ponudnik kvalificiranih storitev zaupanja, ki izdaja kvalificirana potrdila, sklene, da se potrdilo prekliče, tak preklic zabeleži v svoji podatkovni zbirki potrdil in pravočasno, v vsakem primeru pa v 24 urah po prejetju zahtevka, objavi, da je potrdilo preklicano. Preklic začne učinkovati takoj po objavi.

V zvezi z odstavkom 3 ponudniki kvalificiranih storitev zaupanja, ki izdajajo kvalificirana potrdila, vsaki zanašajoči se stranki zagotovijo informacije o veljavnosti ali preklicu kvalificiranih potrdil, ki so jih izdali. Te informacije so vsaj za posamezna potrdila na voljo kadar koli in tudi po izteku veljavnosti potrdila, in sicer na zanesljiv, brezplačen in učinkovit avtomatiziran način.

▼M2

4a.

Odstavka 3 in 4 se ustrezno uporabljata za preklic kvalificiranih elektronskih potrdil o atributih.

4b.

Na Komisijo se prenese pooblastilo za sprejemanje delegiranih aktov v skladu s členom 47 za določitev dodatnih ukrepov iz odstavka 2, točka (fa), tega člena.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za zahteve iz odstavka 2 tega člena. Zahteve iz tega odstavka veljajo za izpolnjene, če so izpolnjeni navedeni standardi, specifikacije in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

Člen 24a

Priznavanje kvalificiranih storitev zaupanja

Kvalificirani elektronski podpisi, ki temeljijo na kvalificiranem potrdilu, izdanem v eni državi članici, ter kvalificirani elektronski žigi, ki temeljijo na kvalificiranem potrdilu, izdanem v eni državi članici, se priznajo kot kvalificirani elektronski podpisi oziroma kvalificirani elektronski žigi v vseh drugih državah članicah.

Naprave za ustvarjanje kvalificiranega elektronskega podpisa ter naprave za ustvarjanje kvalificiranega elektronskega žiga, certificirane v eni državi članici, se priznajo kot naprave za ustvarjanje kvalificiranega elektronskega podpisa oziroma naprave za ustvarjanje kvalificiranega elektronskega žiga v vseh drugih državah članicah.

Kvalificirano potrdilo za elektronske podpise, kvalificirano potrdilo za elektronske žige, kvalificirana storitev zaupanja za upravljanje naprav za ustvarjanje kvalificiranega elektronskega podpisa na daljavo oziroma kvalificirana storitev zaupanja za upravljanje naprav za ustvarjanje kvalificiranega elektronskega žiga na daljavo, zagotovljena v eni državi članici, se prizna kot kvalificirano potrdilo za elektronske podpise, kvalificirano potrdilo za elektronske žige, kvalificirana storitev zaupanja za upravljanje naprav za ustvarjanje kvalificiranega elektronskega podpisa na daljavo oziroma kvalificirana storitev zaupanja za upravljanje naprav za ustvarjanje kvalificiranega elektronskega žiga na daljavo v vseh drugih državah članicah.

Kvalificirana storitev potrjevanja veljavnosti kvalificiranih elektronskih podpisov oziroma kvalificirana storitev potrjevanja veljavnosti kvalificiranih elektronskih žigov, zagotovljena v eni državi članici, se prizna kot kvalificirana storitev potrjevanja veljavnosti kvalificiranih elektronskih podpisov oziroma kvalificirana storitev potrjevanja veljavnosti kvalificiranih elektronskih žigov v vseh drugih državah članicah.

Kvalificirana storitev hrambe kvalificiranih elektronskih podpisov oziroma kvalificirana storitev hrambe kvalificiranih elektronskih žigov, zagotovljena v eni državi članici, se prizna kot kvalificirana storitev hrambe kvalificiranih elektronskih podpisov oziroma kvalificirana storitev hrambe kvalificiranih elektronskih žigov v vseh drugih državah članicah.

Kvalificirani elektronski časovni žig, zagotovljen v eni državi članici, se prizna kot kvalificirani elektronski časovni žig v vseh drugih državah članicah.

Kvalificirano potrdilo za avtentikacijo spletišč, izdano v eni državi članici, se prizna kot kvalificirano potrdilo za avtentikacijo spletišč v vseh drugih državah članicah.

Kvalificirana storitev elektronske priporočene dostave, zagotovljena v eni državi članici, se prizna kot kvalificirana storitev elektronske priporočene dostave v vseh drugih državah članicah.

Kvalificirano elektronsko potrdilo o atributih, izdano v eni državi članici, se prizna kot kvalificirano elektronsko potrdilo o atributih v vseh drugih državah članicah.

10.

Kvalificirana storitev elektronskega arhiviranja, zagotovljena v eni državi članici, se prizna kot kvalificirana storitev elektronskega arhiviranja v vseh drugih državah članicah.

11.

Kvalificirana elektronska evidenca, zagotovljena v eni državi članici, se prizna kot kvalificirana elektronska evidenca v vseh drugih državah članicah.

▼B

ODDELEK 4

Elektronski podpisi

Člen 25

Pravni učinki elektronskih podpisov

Elektronskemu podpisu se ne odvzameta pravni učinek in dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki ali ker ne izpolnjuje zahtev za kvalificirani elektronski podpis.

Kvalificirani elektronski podpis ima enakovreden pravni učinek kot lastnoročni podpis.

▼M2 —————

▼B

Člen 26

Zahteve za napredne elektronske podpise

►M2 ◄

Napredni elektronski podpis izpolnjuje naslednje zahteve:

(a)

enolično je povezan s podpisnikom;

(b)

z njim je mogoče identificirati podpisnika;

(c)

ustvari se na podlagi podatkov za ustvarjanje elektronskega podpisa, ki jih podpisnik z visoko stopnjo zaupanja lahko uporablja izključno pod svojim nadzorom, in

(d)

s podatki, ki so na ta način podpisani, je povezan tako, da je opazna vsaka naknadna sprememba podatkov.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirana potrdila za elektronski podpis. Zahteve iz Priloge I veljajo za izpolnjene, kadar je kvalificirano potrdilo za elektronski podpis skladno s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 27

Elektronski podpisi pri javnih storitvah

Če država članica za uporabo spletne storit ve, ki jo zagotavlja organ javnega sektorja ali se zagotavlja v njegovem imenu, zahteva napredni elektronski podpis, ta država članica prizna napredne elektronske podpise, napredne elektronske podpise, ki temeljijo na kvalificiranem potrdilu za elektronske podpise, in kvalificirane elektronske podpise, ki so vsaj v formatih ali uporabljajo metode, ki so opredeljeni v izvedbenih aktih iz odstavka 5.

Če država članica za uporabo spletne storitve, ki jo zagotavlja organ javnega sektorja ali se zagotavlja v njegovem imenu, zahteva napredni elektronski podpis, ki temelji na kvalificiranem potrdilu, ta država članica prizna napredne elektronske podpise, ki temeljijo na kvalificiranem potrdilu, in kvalificirane elektronske podpise, ki so vsaj v formatih ali uporabljajo metode, ki so opredeljeni v izvedbenih aktih iz odstavka 5.

Države članice za čezmejno uporabo spletne storitve, ki jo zagotavlja organ javnega sektorja, ne zahtevajo elektronskega podpisa z višjo ravnjo varnosti, kot jo ima kvalificirani elektronski podpis.

▼M2 —————

▼B

Komisija do 18. septembra 2015 in ob upoštevanju obstoječih praks, standardov in pravnih aktov Unije z izvedbenimi akti opredeli referenčne formate naprednih elektronskih podpisov ali referenčne metode, če se uporabijo alternativne oblike. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 28

Kvalificirana potrdila za elektronske podpise

Kvalificirana potrdila za elektronske podpise morajo izpolnjevati zahteve iz Priloge I.

Za kvalificirana potrdila za elektronski podpise ne veljajo nobene obvezne zahteve, ki presegajo zahteve iz Priloge I.

Kvalificirana potrdila za elektronske podpise lahko vključujejo neobvezne dodatne posebne lastnosti. Te lastnosti ne vplivajo na interoperabilnost in priznanje kvalificiranih elektronskih podpisov.

Če je bilo kvalificirano potrdilo za elektronski podpis po prvotnem aktiviranju preklicano, preneha veljati v trenutku njegovega preklica, status pa se mu v nobenem primeru ne povrne v prejšnje stanje.

Države članice lahko določijo nacionalna pravila o začasni razveljavitvi kvalificiranega potrdila za elektronski podpis, pri čemer morata biti izpolnjena naslednja pogoja:

(a)

če je kvalificirano potrdilo za elektronski podpis začasno razveljavljeno, to potrdilo za obdobje začasne razveljavitve preneha veljati,

(b)

obdobje začasne razveljavitve se jasno navede v podatkovni zbirki potrdil, v tem obdobju pa mora biti iz storitve, ki zagotavlja informacije o statusu potrdila, razvidno, da je kvalificirano potrdilo začasno razveljavljeno.

▼M2

▼B

Člen 29

Zahteve za naprave za ustvarjanje kvalificiranega elektronskega podpisa

Naprave za ustvarjanje kvalificiranega elektronskega podpisa morajo izpolnjevati zahteve iz Priloge II.

▼M2

1a.

Podatke za ustvarjanje elektronskega podpisa se ustvari ali upravlja ali za namene varnostne kopije podvaja zgolj v imenu podpisnika in na njegovo zahtevo s strani ponudnika kvalificiranih storitev zaupanja, ki zagotavlja kvalificirano storitev zaupanja za upravljanje naprave za ustvarjanje kvalificiranega elektronskega podpisa na daljavo.

▼B

Komisija lahko z izvedbenimi akti določi referenčne številke standardov za naprave za ustvarjanje kvalificiranega elektronskega podpisa. Zahteve iz Priloge II veljajo za izpolnjene, če naprava za ustvarjanje kvalificiranega elektronskega podpisa izpolnjuje navedene standarde. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

Člen 29a

Zahteve za kvalificirano storitev upravljanja naprav za ustvarjanje kvalificiranega elektronskega podpisa na daljavo

Upravljanje naprav za ustvarjanje kvalificiranega elektronskega podpisa na daljavo kot kvalificirano storitev izvaja samo ponudnik kvalificiranih storitev zaupanja, ki:

(a)

podatke za ustvarjanje elektronskega podpisa ustvarja ali upravlja v imenu podpisnika;

(b)

ne glede na točko 1(d) Priloge II podatke za ustvarjanje elektronskega podpisa podvaja le za namene varnostne kopije, pod pogojem, da sta izpolnjeni naslednji zahtevi:

(i)

varnost podvojenih naborov podatkov mora biti na enaki ravni kot varnost prvotnih naborov podatkov;

(ii)

število podvojenih naborov podatkov ne sme biti večje, kot je to nujno potrebno, da se zagotovi neprekinjenost storitve;

(c)

izpolnjuje vse zahteve, ki so opredeljene v poročilu o certificiranju določene naprave za ustvarjanje kvalificiranega elektronskega podpisa na daljavo, izdanem na podlagi člena 30.

Komisija do 21. maja 2025 z izvedbenimi akti določi seznam referenčnih standardov ter po potrebi specifikacije in postopke za namene odstavka 1 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 30

Certificiranje naprav za ustvarjanje kvalificiranega elektronskega podpisa

Skladnost naprav za ustvarjanje kvalificiranega elektronskega podpisa z zahtevami iz Priloge II certificirajo ustrezni javni ali zasebni organi, ki jih imenujejo države članice.

Države članice Komisijo uradno obvestijo o imenih in naslovih javnega ali zasebnega organa iz odstavka 1. Komisija da te informacije na voljo državam članicam.

Certificiranje iz odstavka 1 se izvede na podlagi:

(a)

postopka varnostne ocene, izvedenega v skladu z enim od standardov za ocenjevanje varnosti izdelkov informacijske tehnologije s seznama, vzpostavljenega v skladu z drugim pododstavkom, ali

(b)

postopka, ki ni postopek iz točke (a), če uporablja primerljive ravni varnosti ter če javni ali zasebni organ iz odstavka 1 o njem uradno obvesti Komisijo. Ta postopek se lahko uporabi le, če standardov iz točke (a) ni ali če postopek varnostne ocene iz točke (a) še poteka.

Komisija z izvedbenimi akti vzpostavi seznam standardov za oceno varnosti izdelkov informacijske tehnologije iz točke (a). Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

3a.

Veljavnost certifikacije iz odstavka 1 ni daljša od pet let, če se ocene ranljivosti izvajajo vsaki dve leti. Kadar so ugotovljene ranljivosti, ki pa niso odpravljene, se certificiranje razveljavi.

▼B

Na Komisijo se prenese pooblastilo za sprejemanje delegiranih aktov v skladu s členom 47, v zvezi z določitvijo posebnih meril, ki jih morajo izpolnjevati imenovani organi iz odstavka 1 tega člena.

Člen 31

Objava seznama certificiranih naprav za ustvarjanje kvalificiranega elektronskega podpisa

Države članice Komisijo brez nepotrebnega odlašanja, najpozneje pa en mesec po zaključku postopka certificiranja, uradno obvestijo o informacijah o napravah za ustvarjanje kvalificiranega elektronskega podpisa, ki so jih certificirali organi iz člena 30(1). Komisijo brez nepotrebnega odlašanja, najpozneje pa en mesec po razveljavitvi certificiranja, uradno obvestijo tudi o informacijah o napravah za ustvarjanje elektronskega podpisa, ki niso več certificirane.

Komisija na podlagi prejetih informacij pripravi, objavi in vodi seznam certificiranih naprav za ustvarjanje kvalificiranega elektronskega podpisa.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti določi oblike in postopke, ki se uporabljajo za namene odstavka 1 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 32

Zahteve za potrjevanje veljavnosti kvalificiranih elektronskih podpisov

S postopkom potrjevanja veljavnosti kvalificiranega elektronskega podpisa se potrdi veljavnost kvalificiranega elektronskega podpisa pod pogojem, da:

(a)

je bilo potrdilo, na katerem temelji podpis, v času podpisa kvalificirano potrdilo za elektronski podpis, ki je skladno s Prilogo I;

(b)

je kvalificirano potrdilo izdal ponudnik kvalificiranih storitev zaupanja in je bil veljaven v času podpisa;

(c)

podatki za potrjevanje veljavnosti podpisa ustrezajo podatkom, predloženim zanašajočim se strankam;

(d)

je enolični nabor podatkov, ki predstavlja podpisnika potrdila, pravilno predložen zanašajočim se strankam;

(e)

je zanašajoči se stranki jasno sporočeno, če je bil v času podpisa uporabljen psevdonim;

(f)

je bil elektronski podpis ustvarjen z napravo za ustvarjanje kvalificiranega elektronskega podpisa;

(g)

celovitost podpisanih podatkov ni ogrožena;

(h)

so bile v času podpisa izpolnjene zahteve iz člena 26.

▼M2

Zahteve iz prvega pododstavka tega odstavka veljajo za izpolnjene, kadar je potrjevanje veljavnosti kvalificiranih elektronskih podpisov skladno s standardi, specifikacijami in postopki iz odstavka 3.

▼B

Sistem za potrjevanje veljavnosti kvalificiranega elektronskega podpisa zanašajoči se stranki zagotavlja pravilne rezultate postopka potrjevanja veljavnosti in ji omogoča odkrivanje vseh zadevnih varnostnih vprašanj.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za potrjevanje veljavnosti kvalificiranih elektronskih podpisov. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

Člen 32a

Zahteve za potrjevanje veljavnosti naprednih elektronskih podpisov, ki temeljijo na kvalificiranih potrdilih

S postopkom za potrjevanje veljavnosti naprednega elektronskega podpisa, ki temelji na kvalificiranem potrdilu, se potrdi veljavnost naprednega elektronskega podpisa, ki temelji na kvalificiranem potrdilu, pod pogojem, da:

(a)

je bilo potrdilo, na katerem temelji podpis, v času podpisa kvalificirano potrdilo za elektronski podpis, ki je skladno s Prilogo I;

(b)

je kvalificirano potrdilo izdal ponudnik kvalificiranih storitev zaupanja in je bilo veljavno v času podpisa;

(c)

podatki za potrjevanje veljavnosti podpisa ustrezajo podatkom, predloženim zanašajoči se stranki;

(d)

je enolični nabor podatkov, ki predstavlja podpisnika potrdila, pravilno predložen zanašajoči se stranki;

(e)

je zanašajoči se stranki jasno sporočeno, če je bil v času podpisa uporabljen psevdonim;

(f)

celovitost podpisanih podatkov ni ogrožena;

(g)

so bile v času podpisa izpolnjene zahteve iz člena 26.

Sistem za potrjevanje veljavnosti naprednega elektronskega podpisa, ki temelji na kvalificiranem potrdilu, zanašajoči se stranki zagotavlja pravilne rezultate postopka potrjevanja veljavnosti in ji omogoča, da zazna vse zadevne varnostne probleme.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za potrjevanje veljavnosti naprednih elektronskih podpisov, ki temeljijo na kvalificiranih potrdilih. Zahteve iz odstavka 1 tega člena veljajo za izpolnjene, kadar so pri potrjevanju veljavnosti naprednega elektronskega podpisa, ki temelji na kvalificiranem potrdilu, skladne s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 33

Kvalificirana storitev potrjevanja veljavnosti kvalificiranih elektronskih podpisov

Kvalificirano storitev potrjevanja veljavnosti kvalificiranih elektronskih podpisov lahko zagotavlja le ponudnik kvalificiranih storitev zaupanja, ki:

(a)

potrjevanje veljavnosti opravi v skladu s členom 32(1) in

(b)

zanašajočim se strankam omogoči, da prejmejo rezultat postopka potrjevanja veljavnosti na zanesljiv in učinkovit avtomatiziran način, ki je označen z naprednim elektronskim podpisom ali naprednim elektronskim žigom ponudnika kvalificiranih storitev potrjevanja veljavnosti.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirano storitev potrjevanja veljavnosti iz odstavka 1 tega člena. Zahteve iz odstavka 1 tega člena veljajo za izpolnjene, kadar je storitev potrjevanja veljavnosti kvalificiranih elektronskih podpisov skladna s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 34

Kvalificirana storitev hrambe kvalificiranih elektronskih podpisov

Kvalificirano storitev hrambe kvalificiranih elektronskih podpisov lahko zagotavlja le ponudnik kvalificiranih storitev zaupanja, ki uporablja postopke in tehnologije, s katerimi se zanesljivost kvalificiranega elektronskega podpisa lahko podaljša tudi po izteku obdobja tehnološke veljavnosti.

▼M2

1a.

Zahteve iz odstavka 1 veljajo za izpolnjene, kadar je ureditev za kvalificirano storitev hrambe kvalificiranih elektronskih podpisov skladna s standardi, specifikacijami in postopki iz odstavka 2.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirano storitev hrambe kvalificiranih elektronskih podpisov. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

ODDELEK 5

Elektronski žigi

Člen 35

Pravni učinki elektronskih žigov

Elektronskemu žigu se ne odvzameta pravni učinek in dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki ali ne izpolnjuje zahtev za kvalificirane elektronske žige.

V zvezi s kvalificiranim elektronskim žigom se domneva celovitost podatkov in pravilnost izvora teh podatkov, s katerimi je kvalificirani elektronski žig povezan.

▼M2 —————

▼B

Člen 36

Zahteve za napredne elektronske žige

►M2 ◄

Napredni elektronski žig izpolnjuje naslednje zahteve:

(a)

enolično je povezan z ustvarjalcem žiga;

(b)

z njim je mogoče identificirati ustvarjalca žiga;

(c)

ustvari se na podlagi podatkov za ustvarjanje elektronskega žiga, ki jih ustvarjalec žiga z visoko stopnjo zaupanja in pod svojim nadzorom lahko uporablja za ustvarjanje elektronskega žiga, in

(d)

povezan je s podatki, na katere se nanaša, in sicer tako, da je mogoče zaslediti vsako naknadno spremembo teh podatkov.

▼M2

Komisija do 21. maja 2026 oceni, ali je treba sprejeti izvedbene akte, da se vzpostavi seznam referenčnih standardov ter po potrebi določijo specifikacije in postopki za napredne elektronske žige. Komisija lahko na podlagi te ocene sprejme take izvedbene akte. Zahteve za napredne elektronske žige veljajo za izpolnjene, kadar je napredni elektronski žig skladen s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 37

Elektronski žigi pri javnih storitvah

Če država članica za uporabo spletne storitve, ki jo zagotavlja organ javnega sektorja ali se zagotavlja v njegovem imenu, zahteva napredni elektronski žig, ta država članica prizna napredne elektronske žige, napredne elektronske žige, ki temeljijo na kvalificiranem potrdilu za elektronske žige, in kvalificirane elektronske žige, ki so vsaj v formatih ali uporabljajo metode, ki so opredeljeni v izvedbenih aktih iz odstavka 5.

Če država članica za uporabo spletne storitve, ki jo zagotavlja organ javnega sektorja ali se zagotavlja v njegovem imenu, zahteva napredni elektronski žig, ki temelji na kvalificiranem potrdilu, ta država članica prizna napredne elektronske žige, ki temeljijo na kvalificiranem potrdilu, in kvalificirane elektronske žige, ki so vsaj v formatih ali uporabljajo metode, ki so opredeljeni v izvedbenih aktih iz odstavka 5.

Države članice za čezmejni dostop do spletne storitve, ki jo zagotavlja organ javnega sektorja, ne zahtevajo elektronskega žiga z višjo ravnjo varnosti, kot jo ima kvalificirani elektronski žig.

▼M2 —————

▼B

Komisija do 18. septembra 2015 in ob upoštevanju obstoječih praks, standardov in pravnih aktov Unije z izvedbenimi akti določi referenčne formate naprednih elektronskih žigov ali referenčne metode, če so uporabljene alternativne oblike. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 38

Kvalificirana potrdila za elektronske žige

Kvalificirana potrdila za elektronske žige morajo izpolnjevati zahteve iz Priloge III.

Za kvalificirana potrdila za elektronske žige ne veljajo nobene obvezne zahteve, ki presegajo zahteve iz Priloge III.

Kvalificirana potrdila za elektronske žige lahko vključujejo neobvezne dodatne posebne lastnosti. Te lastnosti ne vplivajo na interoperabilnost in priznanje kvalificiranih elektronskih žigov.

Če je bilo kvalificirano potrdilo za elektronski žig po prvotnem aktiviranju preklicano, preneha veljati v trenutku njegovega preklica, status pa se mu v nobenem primeru ne povrne v prejšnje stanje.

Države članice lahko določijo nacionalna pravila o začasni razveljavitvi kvalificiranih potrdil za elektronske žige, pri čemer morata biti izpolnjena naslednja pogoja:

(a)

če je kvalificirano potrdilo za elektronski žig začasno razveljavljeno, ta potrdilo v obdobju začasne razveljavitve preneha veljati;

(b)

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirana potrdila za elektronske žige. Zahteve iz Priloge III veljajo za izpolnjene, kadar je kvalificirano potrdilo za elektronski žig skladno s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

Člen 39

Naprave za ustvarjanje kvalificiranega elektronskega žiga

Člen 29 se smiselno uporablja za zahteve za naprave za ustvarjanje kvalificiranega elektronskega žiga.

Člen 30 se smiselno uporablja za certificiranje naprav za ustvarjanje kvalificiranega elektronskega žiga.

Člen 31 se smiselno uporablja za objavo seznama certificiranih naprav za ustvarjanje kvalificiranega elektronskega žiga.

▼M2

Člen 39a

Zahteve za kvalificirano storitev upravljanja naprav za ustvarjanje kvalificiranega elektronskega žiga na daljavo

Člen 29a se smiselno uporablja za kvalificirano storitev upravljanja naprav za ustvarjanje kvalificiranega elektronskega žiga na daljavo.

▼B

Člen 40

Potrjevanje veljavnosti in hramba kvalificiranih elektronskih žigov

Členi 32, 33 in 34 se smiselno uporabljajo za potrjevanje veljavnosti in hrambo kvalificiranih elektronskih žigov.

▼M2

Člen 40a

Zahteve za potrjevanje veljavnosti naprednih elektronskih žigov, ki temeljijo na kvalificiranih potrdilih

Člen 32a se smiselno uporablja za potrjevanje veljavnosti naprednih elektronskih žigov, ki temeljijo na kvalificiranih potrdilih.

▼B

ODDELEK 6

Elektronski časovni žig

Člen 41

Pravni učinek elektronskih časovnih žigov

Elektronskemu časovnemu žigu se ne odvzameta pravni učinek in dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki ali ne izpolnjuje zahtev za kvalificirani elektronski časovni žig.

V zvezi s kvalificiranim elektronskim časovnim žigom se domneva pravilnost navedenega datuma in časa ter celovitost podatkov, s katerimi sta datum in čas povezana.

▼M2 —————

▼B

Člen 42

Zahteve za kvalificirane elektronske časovne žige

Kvalificirani elektronski časovni žig izpolnjuje naslednje zahteve:

(a)

datum in čas povezuje s podatki tako, da je mogoče razumno izključiti možnost spremembe podatkov, ne da bi bila ta sprememba zaznana;

(b)

temelji na točnem časovnem viru, povezanem z univerzalnim koordiniranim časom;

(c)

podpisan je z naprednim elektronskim podpisom ali ožigosan z naprednim elektronskim žigom ponudnika kvalificiranih storitev zaupanja ali z drugo enakovredno metodo.

▼M2

1a.

Zahteve iz odstavka 1 veljajo za izpolnjene, kadar sta povezava datuma in časa s podatki in točnost časovnega vira skladna s standardi, specifikacijami in postopki iz odstavka 2.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za povezavo datuma in časa s podatki in za zagotovitev točnosti časovnih virov. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

ODDELEK 7

Storitev elektronske priporočene dostave

Člen 43

Pravni učinek storitve elektronske priporočene dostave

Podatkom, poslanim in prejetim s storitvijo elektronske priporočene dostave, se ne odvzameta pravni učinek in dopustnost kot dokaz v pravnih postopkih le zato, ker so v elektronski obliki ali ne izpolnjujejo zahtev za kvalificirano storitev elektronske priporočene dostave.

V zvezi s podatki, poslanimi in prejetimi s storitvijo kvalificirane elektronske priporočene dostave, se domneva, da so podatki celoviti, da jih je poslal njihov pošiljatelj in prejel njihov naslovnik, katerih identiteta je ugotovljena, ter da so točni glede datuma in časa oddaje in prejema podatkov, navedenih v okviru kvalificirane storitve elektronske priporočene dostave.

Člen 44

Zahteve za kvalificirane storitve elektronske priporočene dostave

Kvalificirane storitve elektronske priporočene dostave izpolnjujejo naslednje zahteve:

(a)

zagotavlja jih eden ali več ponudnikov kvalificiranih storitev zaupanja;

(b)

z visoko stopnjo zaupanja zagotavljajo identifikacijo pošiljatelja;

(c)

zagotavljajo identifikacijo naslovnika pred dostavo podatkov;

(d)

oddaja in prejem podatkov je zavarovano z naprednim elektronskim podpisom ali naprednim elektronskim žigom ponudnika kvalificiranih storitev zaupanja, tako da je izključena možnost spremembe podatkov, ne da bi bila ta sprememba zaznana;

(e)

vsaka sprememba podatkov, potrebna za pošiljanje ali prejem podatkov, se jasno sporoči pošiljatelju in naslovniku podatkov;

(f)

s kvalificiranim elektronskim časovnim žigom se navedeta datum in čas oddaje, prejema in vseh sprememb podatkov;

Pri prenašanju podatkov med dvema ali več ponudniki kvalificiranih storitev zaupanja veljajo zahteve iz točk (a) do (f) za vse ponudnike kvalificiranih storitev zaupanja.

▼M2

1a.

Zahteve iz odstavka 1 veljajo za izpolnjene, kadar je postopek pošiljanja in prejemanja podatkov skladen s standardi, specifikacijami in postopki iz odstavka 2.

▼M2

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za postopek pošiljanja in prejemanja podatkov. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

2a.

Ponudniki kvalificiranih storitev elektronske priporočene dostave se lahko dogovorijo o interoperabilnosti med kvalificiranimi storitvami elektronske priporočene dostave, ki jih zagotavljajo. Tak interoperabilnostni okvir mora biti skladen z zahtevami iz odstavka 1, tako skladnost pa potrdi organ za ugotavljanje skladnosti.

2b.

Komisija lahko z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za interoperabilnostni okvir iz odstavka 2a tega člena. Tehnične specifikacije in vsebina standardov so stroškovno učinkovite in sorazmerne. Izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

ODDELEK 8

Avtentikacija spletišč

▼M2

Člen 45

Zahteve za kvalificirana potrdila za avtentikacijo spletišč

Kvalificirana potrdila za avtentikacijo spletišč izpolnjujejo zahteve iz Priloge IV. Ocena izpolnjevanja teh zahtev se izvede v skladu s standardi, specifikacijami in postopki iz odstavka 2 tega člena.

1a.

Ponudniki spletnih brskalnikov priznavajo kvalificirana potrdila za avtentikacijo spletišč, izdana v skladu z odstavkom 1 tega člena. Ponudniki spletnih brskalnikov zagotovijo, da so podatki o identiteti, potrjeni v potrdilu, in dodatni potrjeni atributi prikazani na uporabniku prijazen način. Ponudniki spletnih brskalnikov zagotovijo podporo in interoperabilnost s kvalificiranimi potrdili za avtentikacijo spletišč iz odstavka 1 tega člena; z izjemo mikro- ali malih podjetij, kakor so opredeljena v členu 2 Priloge k Priporočilu 2003/361/ES, v prvih petih letih delovanja kot ponudniki storitev brskanja po spletu.

1b.

Za kvalificirana potrdila za avtentikacijo spletišč ne veljajo nobene obvezne zahteve razen zahtev iz odstavka 1.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirana potrdila za avtentikacijo spletišč iz odstavka 1 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼M2

Člen 45a

Preventivni ukrepi na področju kibernetske varnosti

Ponudniki spletnih brskalnikov ne sprejmejo nobenih ukrepov, ki bi bili v nasprotju z njihovimi obveznostmi iz člena 45, zlasti z zahtevami, da prepoznajo kvalificirana potrdila za avtentikacijo spletišč in da zagotovljene podatke o identiteti prikažejo na uporabniku prijazen način.

Z odstopanjem od odstavka 1 in samo v primeru utemeljenih pomislekov, povezanih s kršitvami varnosti ali izgubo celovitosti identificiranega potrdila ali sklopa potrdil, lahko ponudniki spletnih brskalnikov sprejmejo preventivne ukrepe v zvezi z navedenim potrdilom ali sklopom potrdil.

Kadar ponudnik spletnega brskalnika sprejme preventivne ukrepe na podlagi odstavka 2, ponudnik spletnega brskalnika o svojih pomislekih brez nepotrebnega odlašanja pisno uradno obvesti Komisijo, pristojni nadzorni organ, subjekt, za katerega je bilo potrdilo izdano, in ponudnika kvalificiranih storitev zaupanja, ki je izdal navedeno potrdilo ali sklop potrdil, skupaj z opisom ukrepov, sprejetih za njihovo odpravo. Pristojni nadzorni organ ob prejemu takega uradnega obvestila zadevnemu ponudniku spletnega brskalnika izda potrdilo o prejemu.

Pristojni nadzorni organ vprašanja iz uradnega obvestila preišče v skladu s členom 46b(4), točka (k). Če na podlagi rezultata te preiskave potrdilu ni odvzet kvalificirani status, nadzorni organ o tem ustrezno obvesti ponudnika spletnega brskalnika in od njega zahteva, da prekliče preventivne ukrepe iz odstavka 2 tega člena.

ODDELEK 9

elektronsko potrdilo o atributih

Člen 45b

Pravni učinki elektronskega potrdila o atributih

Elektronskemu potrdilu o atributih se ne odvzameta pravni učinek ali dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki ali ker ne izpolnjuje zahtev za kvalificirana elektronska potrdila o atributih.

Kvalificirano elektronsko potrdilo o atributih in potrdila o atributih, izdana s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, imajo enak pravni učinek kot zakonito izdana potrdila v papirni obliki.

Potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir v eni državi članici, se prizna kot potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, v vseh državah članicah.

Člen 45c

Elektronsko potrdilo o atributih na področju javnih storitev

Kadar se na podlagi nacionalnega prava za dostop do spletne storitve, ki jo zagotavlja organ javnega sektorja, zahteva elektronska identifikacija z uporabo sredstva elektronske identifikacije in avtentikacije, identifikacijski podatki osebe v elektronskem potrdilu o atributih za namene elektronske identifikacije ne nadomestijo elektronske identifikacije z uporabo sredstva elektronske identifikacije in avtentikacije, razen če to izrecno dovoljuje država članica. V takih primerih se sprejme tudi elektronsko potrdilo o atributih iz drugih držav članic.

Člen 45d

Zahteve za kvalificirana elektronska potrdila o atributih

Kvalificirana elektronska potrdila o atributih izpolnjujejo zahteve iz Priloge V.

Ocena izpolnjevanja zahtev iz Priloge V se izvede v skladu s standardi, specifikacijami in postopki iz odstavka 5 tega člena.

Za kvalificirana elektronska potrdila o atributih ne veljajo nobene obvezne zahteve poleg zahtev iz Priloge V.

Kadar se kvalificirano elektronsko potrdilo o atributih po prvi izdaji prekliče, preneha veljati v trenutku njegovega preklica, status pa se mu v nobenem primeru ne povrne v prejšnje stanje.

Komisija do 21. novembra 2024 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirana elektronska potrdila o atributih. Ti izvedbeni akti so skladni z izvedbenimi akti iz člena 5a(23) o izvajanju evropske denarnice za digitalno identiteto. Sprejmejo se v skladu s postopkom pregleda iz člena 48(2).

Člen 45e

Preverjanje atributov na podlagi verodostojnih virov

Države članice v 24 mesecih od datuma začetka veljavnosti izvedbenih aktov iz členov 5a(23) in 5c(6) zagotovijo, da so vsaj v zvezi z atributi iz Priloge VI, kadar koli se ti opirajo na verodostojne vire znotraj javnega sektorja, sprejeti ukrepi, ki ponudnikom kvalificiranih storitev zaupanja, ki izdajajo kvalificirana elektronska potrdila o atributih, omogočajo, da na zahtevo uporabnika v skladu s pravom Unije ali nacionalnim pravom elektronsko preverijo navedene atribute.

Komisija do 21. novembra 2024 ob upoštevanju ustreznih mednarodnih standardov z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za katalog atributov in shem za potrjevanje atributov ter postopke preverjanja za kvalificirana elektronska potrdila o atributih za namene odstavka 1 tega člena. Ti izvedbeni akti so skladni z izvedbenimi akti iz člena 5a(23) o izvajanju evropske denarnice za digitalno identiteto. Sprejmejo se v skladu s postopkom pregleda iz člena 48(2).

Člen 45f

Zahteve za elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir

Elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, izpolnjuje naslednje zahteve:

(a)

zahteve iz Priloge VII;

(b)

kvalificirano potrdilo, ki podpira kvalificirani elektronski podpis ali kvalificirani elektronski žig organa javnega sektorja iz člena 3, točka 46, opredeljenega kot izdajatelja iz točke (b) Priloge VII, ki vsebuje specifičen nabor certificiranih atributov v obliki, primerni za avtomatsko obdelavo:

(i)

navaja, da je organ izdajatelj v skladu s pravom Unije ali nacionalnim pravom določen kot pristojen za verodostojni vir, na podlagi katerega je izdano elektronsko potrdilo o atributih, ali kot organ, imenovan, da ukrepa v njegovem imenu;

(ii)

zagotavlja nabor podatkov, ki nedvoumno predstavlja verodostojni vir iz točke (i), in

(iii)

določa pravo Unije ali nacionalno pravo iz točke (i).

Država članica, v kateri imajo sedež organi javnega sektorja iz člena 3, točka 46, zagotovi, da je raven zanesljivosti organov javnega sektorja, ki izdajajo elektronska potrdila o atributih, enakovredna ravni zanesljivosti ponudnikov kvalificiranih storitev zaupanja v skladu s členom 24.

Države članice organe javnega sektorja iz člena 3, točka 46, priglasijo Komisiji. Ta priglasitev vključuje poročilo o ugotavljanju skladnosti, ki ga izda organ za ugotavljanje skladnosti in ki potrjuje, da so zahteve iz odstavkov 1, 2 in 6 tega člena izpolnjene. Komisija da seznam organov javnega sektorja iz člena 3, točka 46, na voljo javnosti na varen način in v elektronsko podpisani ali ožigosani obliki, primerni za avtomatizirano obdelavo.

Kadar se elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, po prvotni izdaji prekliče, preneha veljati ob preklicu, njegov status pa se ne povrne v prejšnje stanje.

Šteje se, da elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, izpolnjuje zahteve iz odstavka 1, kadar je skladno s standardi, specifikacijami in postopki iz odstavka 6.

Komisija do 21. novembra 2024 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir. Ti izvedbeni akti so skladni z izvedbenimi akti iz člena 5a(23) o izvajanju evropske denarnice za digitalno identiteto. Sprejmejo se v skladu s postopkom pregleda iz člena 48(2).

Komisija do 21. novembra 2024 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za namene odstavka 3 tega člena. Ti izvedbeni akti so skladni z izvedbenimi akti iz člena 5a(23) o izvajanju evropske denarnice za digitalno identiteto. Sprejmejo se v skladu s postopkom pregleda iz člena 48(2).

Organi javnega sektorja iz člena 3, točka 46, ki izdajo elektronsko potrdilo o atributih, zagotovijo vmesnik za evropske denarnice za digitalno identiteto, ki so zagotovljene v skladu s členom 5a.

Člen 45g

Izdaja elektronskih potrdil o atributih za evropske denarnice za digitalno identiteto

Ponudniki elektronskih potrdil o atributih uporabnikom evropske denarnice za digitalno identiteto omogočijo, da elektronsko potrdilo o atributih zahtevajo, pridobijo, shranijo in upravljajo ne glede na to, v katerih državi članici se evropska denarnica za digitalno identiteto zagotavlja.

Ponudniki kvalificiranih elektronskih potrdil o atributih zagotovijo vmesnik za evropske denarnice za digitalno identiteto, ki so zagotovljene v skladu s členom 5a.

Člen 45h

Dodatna pravila za zagotavljanje storitev elektronskega potrjevanja atributov

Ponudniki kvalificiranih in nekvalificiranih storitev elektronskega potrjevanja atributov osebnih podatkov v zvezi z zagotavljanjem navedenih storitev ne združujejo z osebnimi podatki v zvezi s katerimi koli drugimi storitvami, ki jih ponujajo sami ali njihovi poslovni partnerji.

Osebni podatki v zvezi z zagotavljanjem storitev elektronskega potrjevanja atributov se na logičen način hranijo ločeni od drugih podatkov, ki jih ima ponudnik elektronskega potrjevanja atributov.

Ponudniki kvalificiranih storitev elektronskega potrjevanja atributov take kvalificirane storitve zaupanja zagotavljajo na način, ki je funkcionalno ločen od drugih storitev, ki jih zagotavljajo.

ODDELEK 10

storitve elektronskega arhiviranja

Člen 45i

Pravni učinek storitev elektronskega arhiviranja

Elektronskim podatkom in elektronskim dokumentom, hranjenim s storitvijo elektronskega arhiviranja, se ne odvzameta pravni učinek ali dopustnost kot dokaz v pravnih postopkih le zato, ker so v elektronski obliki ali ker niso shranjeni s kvalificirano storitvijo elektronskega arhiviranja.

V zvezi z elektronskimi podatki in elektronskimi dokumenti, shranjenimi s kvalificirano storitvijo elektronskega arhiviranja, velja med obdobjem njihove hrambe pri ponudniku kvalificiranih storitev zaupanja domneva o njihovi celovitosti in njihovem poreklu.

Člen 45j

Zahteve za kvalificirane storitve elektronskega arhiviranja

Kvalificirane storitve elektronskega arhiviranja izpolnjujejo naslednje zahteve:

(a)

zagotavljajo jih ponudniki kvalificiranih storitev zaupanja;

(b)

pri njih se uporabljajo postopki in tehnologije, s katerimi se lahko zagotovi, da so elektronski podatki in elektronski dokumenti trajni in berljivi tudi po izteku obdobja tehnološke veljavnosti ter vsaj med celotnim pravnim ali pogodbenim obdobjem hrambe, pri čemer se ohranita njihova celovitost in avtentičnost njihovega porekla;

(c)

zagotavljajo, da so ti elektronski podatki in ti elektronski dokumenti shranjeni tako, da so zavarovani pred izgubo ali spreminjanjem, z izjemo sprememb njihovega nosilca zapisa ali elektronske oblike;

(d)

pooblaščenim zanašajočim se strankam omogočajo, da na avtomatiziran način prejmejo poročilo, ki potrjuje, da velja v zvezi z elektronskimi podatki in elektronskimi dokumenti priklicanimi iz kvalificiranega elektronskega arhiva domneva o njihovi celovitosti od začetka obdobja hrambe do trenutka priklica.

Poročilo iz točke (d) prvega pododstavka se zagotovi na zanesljiv in učinkovit način ter je opremljeno s kvalificiranim elektronskim podpisom ali kvalificiranim elektronskim žigom ponudnika kvalificirane storitve elektronskega arhiviranja.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za kvalificirane storitve elektronskega arhiviranja. Zahteve za kvalificirane storitve elektronskega arhiviranja veljajo za izpolnjene, kadar je kvalificirana storitev elektronskega arhiviranja skladna s temi standardi, specifikacijami in postopki. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

ODDELEK 11

elektronske evidence

Člen 45k

Pravni učinki elektronskih evidenc

Elektronski evidenci se ne odvzameta pravni učinek ali dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki ali ker ne izpolnjuje zahtev za kvalificirane elektronske evidence.

V zvezi s podatkovnimi zapisi v kvalificirani elektronski evidenci velja domneva, da so navedeni v enoličnem in točnem kronološkem zaporedju ter da so celoviti.

Člen 45l

Zahteve za kvalificirane elektronske evidence

Kvalificirane elektronske evidence izpolnjujejo naslednje zahteve:

(a)

ustvari in upravlja jih eden ali več ponudnikov kvalificiranih storitev zaupanja;

(b)

dokazujejo poreklo podatkovnih zapisov v evidenci;

(c)

zagotavljajo enolično kronološko zaporedje podatkovnih zapisov v evidenci;

(d)

podatke beležijo tako, da je vsako njihovo naknadno spremembo mogoče takoj ugotoviti, s čimer zagotavljajo njihovo celovitost skozi čas.

Zahteve iz odstavka 1 veljajo za izpolnjene, kadar je elektronska evidenca skladna s standardi, specifikacijami in postopki iz odstavka 3.

Komisija do 21. maja 2025 z izvedbenimi akti vzpostavi seznam referenčnih standardov ter po potrebi določi specifikacije in postopke za zahteve iz odstavka 1 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

POGLAVJE IV

ELEKTRONSKI DOKUMENTI

Člen 46

Pravni učinki elektronskih dokumentov

Elektronskemu dokumentu se ne odvzameta pravni učinek in dopustnost kot dokaz v pravnih postopkih le zato, ker je v elektronski obliki.

▼M2

POGLAVJE Iva

OKVIR ZA UPRAVLJANJE

Člen 46a

Nadzor okvira evropske denarnice za digitalno identiteto

Države članice imenujejo enega ali več nadzornih organov s sedežem na njihovem ozemlju.

Nadzorni organi, imenovani na podlagi prvega pododstavka, dobijo potrebna pooblastila in ustrezne vire za uspešno, učinkovito in neodvisno opravljanje svojih nalog.

Države članice Komisiji uradno sporočijo imena in naslove svojih nadzornih organov, imenovanih na podlagi odstavka 1, ter vse naknadne spremembe v zvezi z njimi. Komisija objavi seznam teh nadzornih organov.

Vloga nadzornih organov, imenovanih na podlagi odstavka 1, je:

(a)

nadzirati ponudnike evropskih denarnic za digitalno identiteto s sedežem na ozemlju države članice, ki je imenovala zadevni nadzorni organ, ter na podlagi predhodnih in naknadnih nadzornih dejavnosti zagotoviti, da ti ponudniki in evropske denarnice za digitalno identiteto, ki jih ti ponudniki zagotavljajo, izpolnjujejo zahteve iz te uredbe;

(b)

po potrebi glede ponudnikov evropskih denarnic za digitalno identiteto s sedežem na ozemlju države članice, ki je imenovala zadevni nadzorni organ, na podlagi naknadnih nadzornih dejavnosti sprejeti ukrepe, kadar so obveščeni, da ponudniki ali evropske denarnice za digitalno identiteto, ki jih ti ponudniki zagotavljajo, kršijo to uredbo.

Naloge nadzornih organov, imenovanih na podlagi odstavka 1, so zlasti naslednje:

(a)

sodelovati z drugimi nadzornimi organi in jim zagotavljati pomoč v skladu s členoma 46c in 46e;

(b)

zahtevati informacije, potrebne za spremljanje skladnosti s to uredbo;

(c)

ustrezne pristojne organe zadevnih držav članic, imenovane ali ustanovljene na podlagi člena 8(1) Direktive (EU) 2022/2555, obvestiti o vseh resnih kršitvah varnosti ali izgubi celovitosti, s katero se seznanijo pri opravljanju svojih nalog, in v primeru resne kršitve varnosti ali izgube celovitosti, ki zadeva druge države članice, obvestiti enotno kontaktno točko zadevne države članice, imenovano ali vzpostavljeno na podlagi člena 8(3) Direktive (EU) 2022/2555, in enotne kontaktne točke v drugih zadevnih državah članicah, vzpostavljene na podlagi člena 46c(1) te uredbe, ter obvestiti javnost ali zahtevati, da to storijo ponudniki evropske denarnice za digitalno identiteto, kadar nadzorni organ ugotovi, da bi bilo razkritje kršitve varnosti ali izgube celovitosti v javnem interesu;

(d)

opravljati inšpekcijske preglede na kraju samem in nadzor na daljavo;

(e)

zahtevati, da ponudniki evropskih denarnic za digitalno identiteto odpravijo vsakršno neizpolnjevanje zahtev iz te uredbe;

(f)

v primeru nezakonite ali goljufive uporabe evropske denarnice za digitalno identiteto začasno preklicati ali razveljaviti registracijo in vključitev zanašajočih se strank v mehanizem iz člena 5b(7);

(g)

sodelovati s pristojnimi nadzornimi organi, ustanovljenimi na podlagi člena 51 Uredbe (EU) 2016/679, zlasti jih v ta namen brez nepotrebnega odlašanja obveščati o domnevnih kršitvah pravil o varstvu osebnih podatkov in o kršitvah varnosti, ki domnevno predstavljajo kršitve varnosti osebnih podatkov;

Kadar nadzorni organ, imenovan na podlagi odstavka 1, zahteva, naj ponudnik evropske denarnice za digitalno identiteto odpravi vsakršno neizpolnjevanje zahtev iz te uredbe na podlagi odstavka 4, točka (e), in ta ponudnik ne ukrepa ustrezno in, če je primerno, v roku, ki ga določi ta nadzorni organ, lahko nadzorni organ, imenovan na podlagi odstavka 1, ob upoštevanju zlasti obsega, trajanja in posledic tega neizpolnjevanja odredi, naj ponudnik začasno prekine ali pa ukine zagotavljanje evropske denarnice za digitalno identiteto. Nadzorni organ nadzornim organom drugih držav članic, Komisiji, zanašajočim se strankam in uporabnikom evropske denarnice za digitalno identiteto brez nepotrebnega odlašanja sporoči odločitev, da bo zahteval začasno razveljavitev ali pa ukinitev zagotavljanja evropske denarnice za digitalno identiteto.

Vsak nadzorni organ, imenovan na podlagi odstavka 1, vsako leto do 31. marca Komisiji predloži poročilo o svojih glavnih dejavnostih v predhodnem koledarskem letu. Komisija da ta letna poročila na voljo Evropskemu parlamentu in Svetu.

Komisija do 21. maja 2025z izvedbenimi akti določi oblike in postopke, ki se nanašajo na poročilo iz odstavka 6 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 46b

Nadzor storitev zaupanja

Države članice imenujejo nadzorni organ, ustanovljen na njihovem ozemlju, ali po medsebojnem dogovoru z drugo državo članico imenujejo nadzorni organ s sedežem v tej drugi državi članici. Ta nadzorni organ je pristojen za nadzorne naloge v državi članici, ki ga imenuje, kar zadeva storitve zaupanja.

Nadzorni organi, imenovani na podlagi prvega pododstavka, dobijo potrebna pooblastila in ustrezne vire za opravljanje svojih nalog.

Vloga nadzornih organov, imenovanih na podlagi odstavka 1, je:

(a)

nadzirati ponudnike kvalificiranih storitev zaupanja s sedežem na ozemlju države članice, ki je imenovala zadevni nadzorni organ, ter na podlagi predhodnih in naknadnih nadzornih dejavnosti zagotoviti, da ti ponudniki kvalificiranih storitev zaupanja in kvalificirane storitve zaupanja, ki jih ti zagotavljajo, izpolnjujejo zahteve iz te uredbe;

(b)

po potrebi na podlagi naknadnih nadzornih dejavnosti sprejeti ukrepe v zvezi s ponudniki nekvalificiranih storitev zaupanja, ki imajo sedež na ozemlju države članice, ki je imenovala zadevni nadzorni organ, kadar so obveščeni, da navedeni ponudniki nekvalificiranih storitev zaupanja ali kvalificirane storitve zaupanja, ki jih ti zagotavljajo, domnevno ne izpolnjujejo zahtev iz te uredbe.

Naloge nadzornega organa, imenovanega na podlagi odstavka 1, so zlasti naslednje:

(a)

ustrezne pristojne organe zadevnih držav članic, imenovane ali ustanovljene na podlagi člena 8(1) Direktive (EU) 2022/2555, obvestiti o vseh resnih kršitvah varnosti ali izgubi celovitosti, s katero se seznani pri opravljanju svojih nalog, in v primeru resne kršitve varnosti ali izgube celovitosti, ki zadeva druge države članice, obvestiti enotno kontaktno točko zadevne države članice, imenovano ali vzpostavljeno na podlagi člena 8(3) Direktive (EU) 2022/2555, in enotne kontaktne točke v drugih zadevnih državah članicah, vzpostavljene na podlagi člena 46c(1) te uredbe, ter obvestiti javnost ali zahtevati, da to stori ponudnik storitev zaupanja, kadar nadzorni organ ugotovi, da bi bilo razkritje kršitve varnosti ali izgube celovitosti v javnem interesu;

(b)

sodelovati z drugimi nadzornimi organi in jim zagotavljati pomoč v skladu s členoma 46c in 46e;

(c)

analizirati poročila o ugotavljanju skladnosti iz člena 20(1) in člena 21(1);

(d)

Komisiji poročati o svojih glavnih dejavnostih v skladu z odstavkom 6 tega člena;

(e)

izvajati revizije ali zahtevati, da organ za ugotavljanje skladnosti opravi ugotavljanje skladnosti ponudnikov kvalificiranih storitev zaupanja v skladu s členom 20(2);

(f)

sodelovati s pristojnimi nadzornimi organi, ustanovljenimi na podlagi člena 51 Uredbe (EU) 2016/679, zlasti jih brez nepotrebnega odlašanja obveščati o domnevnih kršitvah pravil o varstvu osebnih podatkov in o kršitvah varnosti, ki domnevno predstavljajo kršitve varnosti osebnih podatkov;

(g)

ponudnikom storitev zaupanja in storitvam, ki jih ti zagotavljajo, dodeliti kvalificirani status ter ga odvzeti v skladu s členoma 20 in 21;

(h)

obveščati organ, pristojen za nacionalni zanesljivi seznam iz člena 22(3), o svojih odločitvah glede dodelitve ali odvzema kvalificiranega statusa, razen če je ta organ tudi nadzorni organ, imenovan na podlagi odstavka 1 tega člena;

(i)

v primeru, da ponudnik kvalificiranih storitev zaupanja preneha opravljati svoje dejavnosti, preveriti, ali obstajajo določbe o načrtih za prenehanje zagotavljanja storitve in ali se te določbe pravilno uporabljajo, vključno s tem, kako se v skladu s členom 24(2), točka (h), ohrani dostop do informacij;

(j)

zahtevati, da ponudniki storitev zaupanja odpravijo vsakršno neizpolnjevanje zahtev iz te uredbe;

(k)

preiskovati trditve ponudnikov spletnih brskalnikov na podlagi člena 45a in po potrebi ukrepati.

Države članice lahko zahtevajo, da nadzorni organ, imenovan na podlagi odstavka 1, vzpostavi, vzdržuje in posodablja infrastrukturo zaupanja v skladu z nacionalnim pravom.

Komisija do 21. maja 2025 sprejme smernice o izvajanju nalog iz odstavka 4 tega člena s strani nadzornih organov, imenovanih na podlagi odstavka 1 tega člena, ter z izvedbenimi akti določi oblike in postopke, ki se nanašajo na poročilo iz odstavka 6 tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

Člen 46c

Enotne kontaktne točke

Vsaka država članica imenuje enotno kontaktno točko za storitve zaupanja, evropske denarnice za digitalno identiteto in priglašene sheme elektronske identifikacije.

Vsaka enotna kontaktna točka opravlja povezovalno funkcijo, da olajša čezmejno sodelovanje med nadzornimi organi za ponudnike storitev zaupanja in med nadzornimi organi za ponudnike evropskih denarnic za digitalno identiteto ter po potrebi s Komisijo in Agencijo Evropske unije za kibernetsko varnost (ENISA) in z drugimi pristojnimi organi v svoji državi članici.

Vsaka država članica objavi in Komisiji brez nepotrebnega odlašanja uradno sporoči imena in naslove enotne kontaktne točke, imenovane na podlagi odstavka 1, ter vse naknadne spremembe v zvezi z njimi.

Komisija objavi seznam enotnih kontaktnih točk priglašenih na podlagi odstavka 3.

Člen 46d

Medsebojna pomoč

Da se olajšata nadzor in izvrševanje obveznosti iz te uredbe, lahko nadzorni organi, imenovani na podlagi člena 46a(1) in člena 46b(1), tudi prek skupine za sodelovanje, ustanovljene na podlagi člena 46e(1), zaprosijo za medsebojno pomoč nadzorne organe druge države članice, v kateri ima ponudnik evropske denarnice za digitalno identiteto ali ponudnik storitev zaupanja sedež ali v kateri se nahajajo njegovi omrežni in informacijski sistemi ali se zagotavljajo njegove storitve.

Medsebojna pomoč pomeni vsaj naslednje:

(a)

kadar nadzorni organ uporablja nadzorne in izvršilne ukrepe v eni državi članici, o tem obvesti nadzorni organ druge zadevne države članice in se z njim posvetuje;

(b)

nadzorni organ lahko od nadzornega organa druge zadevne države članice zahteva, naj sprejme nadzorne ali izvršilne ukrepe, med drugim lahko zahteva, naj opravlja inšpekcijske preglede, ki se nanašajo na poročila o ugotavljanju skladnosti, kot so navedena v členih 20 in 21 v zvezi z zagotavljanjem storitev zaupanja;

(c)

nadzorni organi lahko po potrebi opravljajo skupne preiskave z nadzornimi organi drugih držav članic.

Zadevne države članice se v skladu s svojim nacionalnim pravom dogovorijo o ureditvi in postopkih skupnih ukrepov iz prvega pododstavka in jih tudi vzpostavijo.

Nadzorni organ, na katerega se naslovi zahtevek za pomoč, lahko ta zahtevek zavrne iz katerega koli od naslednjih razlogov:

(a)

zahtevana pomoč ni sorazmerna z nadzornimi dejavnostmi, ki jih nadzorni organ opravlja v skladu s členoma 46a in 46b;

(b)

nadzorni organ ni pristojen za zagotavljanje zahtevane pomoči;

(c)

zagotovitev zahtevane pomoči ne bi bila skladna s to uredbo.

Skupina za sodelovanje, ustanovljena na podlagi člena 46e(1), do 21. maja 2025 in nato vsaki dve leti izda usmeritve o organizacijskih vidikih in postopkih medsebojne pomoči iz odstavkov 1 in 2 tega člena.

Člen 46e

Skupina za sodelovanje na področju evropske digitalne identitete

Da bi podprli in olajšali čezmejno sodelovanje in izmenjavo informacij držav članic na področju storitev zaupanja, evropskih denarnic za digitalno identiteto in priglašenih shem elektronske identifikacije Komisija ustanovi skupino za sodelovanje na področju evropske digitalne identitete (skupina za sodelovanje).

Skupino za sodelovanje sestavljajo predstavniki, ki jih imenujejo države članice, in Komisija. Skupini za sodelovanje predseduje Komisija. Komisija skupini za sodelovanje zagotovi tudi sekretariat.

Na sestanke skupine za sodelovanje so lahko priložnostno vabljeni predstavniki ustreznih deležnikov, ki lahko sodelujejo pri njenem delu kot opazovalci.

ENISA je povabljena, da kot opazovalka sodeluje pri delu skupine za sodelovanje, kadar ta izmenjuje mnenja, najboljše prakse in informacije o pomembnih vidikih kibernetske varnosti, kot je priglasitev kršitev varnosti, ter kadar obravnava uporabo certifikatov kibernetske varnosti ali standardov s področja kibernetske varnosti.

Naloge skupine za sodelovanje so:

(a)

s Komisijo izmenjavati nasvete in sodelovati glede nastajajočih pobud politike na področju denarnic za digitalno identiteto, sredstev elektronske identifikacije in storitev zaupanja;

(b)

po potrebi Komisiji svetovati pri zgodnji pripravi osnutkov izvedbenih in delegiranih aktov, ki se sprejmejo na podlagi te uredbe;

(c)

v podporo nadzornim organom pri izvajanju določb te uredbe:

(i)

izmenjavati najboljše prakse in informacije glede izvajanja določb te uredbe;

(ii)

preučevati ustrezno dogajanje v sektorjih, ki zadevajo denarnice za digitalno identiteto, elektronsko identifikacijo in storitve zaupanja;

(iii)

organizirati skupne sestanke z ustreznimi zainteresiranimi stranmi iz vse Unije, da bi razpravljali o dejavnostih skupine za sodelovanje in zbirali prispevke o nastajajočih izzivih politike;

(iv)

ob podpori agencije ENISA izmenjavati mnenja, najboljše prakse in informacije o pomembnih vidikih kibernetske varnosti, ki zadevajo evropske denarnice za digitalno identiteto, sheme elektronske identifikacije in storitve zaupanja;

(v)

izmenjavati najboljše prakse v zvezi z razvojem in izvajanjem tako politik o obveščanju o kršitvah varnosti kot skupnih ukrepov iz členov 5e in 10;

(vi)

organizirati skupne sestanke s Skupino za sodelovanje na področju varnosti omrežnih in informacijskih sistemov, ustanovljeno na podlagi člena 14(1) Direktive (EU) 2022/2555, da bi izmenjali pomembne informacije o kibernetskih grožnjah, incidentih, ranljivostih, pobudah za ozaveščanje, usposabljanjih, vajah in spretnostih, krepitvi zmogljivosti, zmogljivosti za razvoj standardov in tehničnih specifikacij, pa tudi standardih in tehničnih specifikacijah, povezanih s storitvami zaupanja in elektronsko identifikacijo;

(vii)

na zahtevo nadzornega organa razpravljati o specifičnih zahtevkih za medsebojno pomoč iz člena 46d;

(viii)

z zagotavljanjem usmeritev o organizacijskih vidikih in postopkih medsebojne pomoči iz člena 46d olajšati izmenjavo informacij med nadzornimi organi;

(d)

organizirati medsebojne strokovne preglede shem elektronske identifikacije, ki jih je treba priglasiti na podlagi te uredbe.

Države članice zagotovijo, da njihovi imenovani predstavniki v skupini za sodelovanje učinkovito in uspešno sodelujejo.

Komisija do 21. maja 2025 z izvedbenimi akti določi potrebno postopkovno ureditev za lažje sodelovanje med državami članicami iz odstavka 5, točka (d), tega člena. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 48(2).

▼B

POGLAVJE V

PRENOS POOBLASTILA IN IZVEDBENE DOLOČBE

Člen 47

Izvajanje pooblastila

Pooblastilo za sprejemanje delegiranih aktov je preneseno na Komisijo pod pogoji, določenimi v tem členu.

▼C1

Pooblastilo za sprejemanje delegiranih aktov iz člena 5c(8), člena 24(4b) in člena 30(4) se prenese na Komisijo za nedoločen čas od 17. septembra 2014.

Prenos pooblastila iz člena 5c(8), člena 24(4b) in člena 30(4) lahko kadar koli prekliče Evropski parlament ali Svet. S sklepom o preklicu preneha veljati prenos pooblastila iz navedenega sklepa. Sklep začne učinkovati dan po njegovi objavi v Uradnem listu Evropske unije ali na poznejši dan, ki je določen v navedenem sklepu. Sklep ne vpliva na veljavnost že veljavnih delegiranih aktov.

▼B

Takoj ko Komisija sprejme delegirani akt, o tem istočasno uradno obvesti Evropski parlament in Svet.

▼M2

Delegirani akt, sprejet na podlagi člena 5c(8), člena 24(4b) ali člena 30(4), začne veljati le, če mu niti Evropski parlament niti Svet ne nasprotuje v roku dveh mesecev od uradnega obvestila Evropskemu parlamentu in Svetu o tem aktu ali če pred iztekom tega roka tako Evropski parlament kot Svet obvestita Komisijo, da mu ne bosta nasprotovala. Ta rok se na pobudo Evropskega parlamenta ali Sveta podaljša za dva meseca.

▼B

Člen 48

Postopek v odboru

Komisiji pomaga odbor. Ta odbor je odbor v smislu Uredbe (EU) št. 182/2011.

Pri sklicevanju na ta odstavek se uporablja člen 5 Uredbe (EU) št. 182/2011.

POGLAVJE VI

KONČNE DOLOČBE

▼M2

Člen 48a

Zahteve glede poročanja

Države članice zagotovijo zbiranje statističnih podatkov v zvezi z delovanjem evropskih denarnic za digitalno identiteto in kvalificiranih storitev zaupanja, ki se zagotavljajo na njihovem ozemlju.

Statistični podatki, zbrani v skladu z odstavkom 1, vključujejo naslednje:

(a)

število fizičnih in pravnih oseb z veljavno evropsko denarnico za digitalno identiteto;

(b)

vrsto in število storitev, ki dopuščajo uporabo evropske denarnice za digitalno identiteto;

(c)

število pritožb uporabnikov in incidentov na področju varstva potrošnikov ali varstva podatkov v zvezi z zanašajočimi se strankami in kvalificiranimi storitvami zaupanja;

(d)

zbirno poročilo s podatki o incidentih, ki so onemogočili uporabo evropske denarnice za digitalno identiteto;

(e)

povzetek pomembnih varnostnih incidentov, kršitev varstva podatkov in prizadetih uporabnikov evropskih denarnic za digitalno identiteto ali kvalificiranih storitev zaupanja.

Statistični podatki iz odstavka 2 se dajo na voljo javnosti v odprti in splošno uporabljani ter strojno berljivi obliki.

Države članice do 31. marca vsakega leta Komisiji predložijo poročilo o statističnih podatkih, zbranih v skladu z odstavkom 2.

▼M2

Člen 49

Pregled

Komisija do 21. maja 2026 pregleda uporabo te uredbe ter Evropskemu parlamentu in Svetu predloži poročilo. Komisija v tem poročilu oceni zlasti, ali bi bilo ustrezno spremeniti področje uporabe te uredbe ali njene posebne določbe, med drugim zlasti določbe iz člena 5c(5), pri tem pa upošteva izkušnje, pridobljene pri uporabi te uredbe, pa tudi tehnološke, tržne in pravne spremembe. Po potrebi temu poročilu priloži predlog za spremembo te uredbe.

Poročilo iz odstavka 1 vključuje oceno razpoložljivosti, varnosti in uporabnosti priglašenih sredstev elektronske identifikacije in evropskih denarnic za digitalno identiteto, ki spadajo na področje uporabe te uredbe, ter oceno o tem, ali naj so vsi zasebni ponudniki spletnih storitev, ki avtentikacijo uporabnikov opravljajo prek storitev elektronske identifikacije tretjih oseb, obvezani sprejeti uporabo priglašenih sredstev elektronske identifikacije in evropske denarnice za digitalno identiteto.

Komisija do 21. maja 2030 in nato vsaka štiri leta Evropskemu parlamentu in Svetu predloži poročilo o napredku pri doseganju ciljev te uredbe.

▼B

Člen 50

Razveljavitev

Direktiva 1999/93/ES se razveljavi z učinkom od 1. julija 2016.

Sklicevanje na razveljavljeno direktivo se razume kot sklicevanje na to uredbo.

▼M2

Člen 51

Prehodni ukrepi

Naprave za varno ustvarjanje podpisa, katerih skladnost je bila ugotovljena v skladu s členom 3(4) Direktive 1999/93/ES, se do 21. maja 2027 še naprej štejejo za naprave za ustvarjanje kvalificiranega elektronskega podpisa na podlagi te uredbe.

Kvalificirana potrdila, izdana fizičnim osebam na podlagi Direktive 1999/93/ES, se do 21. maja 2026 še naprej štejejo za kvalificirana potrdila za elektronske podpise v skladu s to uredbo.

Upravljanje naprav za ustvarjanje kvalificiranega elektronskega podpisa in žiga na daljavo s strani ponudnikov kvalificiranih storitev zaupanja, ki niso ponudniki kvalificiranih storitev zaupanja, ki zagotavljajo kvalificirane storitve zaupanja za upravljanje naprav za ustvarjanje kvalificiranega elektronskega podpisa in žiga na daljavo v skladu s členoma 29a in 39a, se do 21. maja 2026 lahko opravlja ne da bi bilo treba za zagotavljanje teh storitev upravljanja pridobiti kvalificirani status.

Ponudniki kvalificiranih storitev zaupanja, ki jim je bil kvalificirani status na podlagi te uredbe dodeljen pred 20. majem 2024, nadzornemu organu čim prej, najpozneje pa do 21. maja 2026, predložijo poročilo o ugotavljanju skladnosti, ki dokazuje skladnost s členom 24(1), (1a) in 1(b).

▼B

Člen 52

Začetek veljavnosti

Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

Ta uredba se uporablja od 1. julija 2016, z naslednjimi izjemami:

(a)

členi 8(3), 9(5), 12(2) do (9), 17(8), 19(4), 20(4), 21(4), 22(5), 23(3), 24(5), 27(4) in (5), 28(6), 29(2), 30(3) in (4), 31(3), 32(3), 33(2), 34(2), 37(4) in (5), 38(6), 42(2), 44(2), 45(2), ter člena 47 in 48 se uporabljajo od 17. septembra 2014;

(b)

člen 7, člen 8(1) in (2), členi 9, 10, 11 ter člen 12(1) se uporabljajo od datuma začetka uporabe izvedbenih aktov iz členov 8(3) in 12(8);

(c)

člen 6 se začne uporabljati tri leta po datumu začetka uporabe izvedbenih aktov iz členov 8(3) in 12(8).

Če se priglašena shema elektronske identifikacije navede na seznamu, ki ga Komisija objavi v skladu s členom 9, pred datumom iz točke (c) odstavka 2 tega člena, se sredstva elektronske identifikacije v okviru te sheme priznajo na podlagi člena 6 najpozneje 12 mesecev po objavi te sheme, vendar ne pred datumom iz točke (c) odstavka 2 tega člena.

Ne glede na točko (c) odstavka 2 tega člena lahko država članica sklene, da se sredstva elektronske identifikacije v okviru sheme elektronske identifikacije, ki jo na podlagi člena 9(1) priglasi druga država članica, priznajo v prvi državi članici od datuma začetka uporabe izvedbenih aktov iz členov 8(3) in 12(8). Zadevne države članice obvestijo Komisijo. Komisija te informacije objavi.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

PRILOGA I

ZAHTEVE V ZVEZI S KVALIFICIRANIMI POTRDILI ZA ELEKTRONSKE PODPISE

Kvalificirana potrdila za elektronske podpise vsebujejo:

(a)

navedbo, vsaj v formatu, primernem za avtomatizirano obdelavo, da je bilo potrdilo izdano kot kvalificirano potrdilo za elektronski podpis;

(b)

nabor podatkov, ki nedvoumno predstavlja ponudnika kvalificiranih storitev zaupanja, ki izdaja kvalificirana potrdila, ter vključuje vsaj državo članico, v kateri ima zadevni ponudnik sedež, in

—

za pravne osebe: ime in po potrebi registrsko številko, kot sta navedena v uradnih evidencah,

—

za fizične osebe: ime osebe;

(c)

vsaj ime podpisnika ali psevdonim; če je uporabljen psevdonim, se to jasno navede;

(d)

podatke za potrjevanje veljavnosti elektronskega podpisa, ki ustrezajo podatkom za ustvarjanje elektronskega podpisa;

(e)

podrobnosti o začetku in koncu veljavnosti potrdila;

(f)

identifikacijsko šifro potrdila, ki je enolična za ponudnika kvalificiranih storitev zaupanja;

(g)

napredni elektronski podpis ali napredni elektronski žig ponudnika kvalificiranih storitev zaupanja, ki izdaja potrdilo;

(h)

lokacijo, kjer je potrdilo, ki podpira napredni elektronski podpis ali napredni elektronski žig iz točke (g), na voljo brezplačno;

▼M2

(i)

informacije o storitvah, s katerimi je mogoče preveriti veljavnost kvalificiranega potrdila, ali lokacijo teh storitev;

▼B

(j)

če se podatki za ustvarjanje elektronskega podpisa, povezani s podatki za potrjevanje veljavnosti elektronskega podpisa, nahajajo v napravi za ustvarjanje kvalificiranega elektronskega podpisa, se to ustrezno navede vsaj v formatu, primernem za avtomatizirano obdelavo.

PRILOGA II

ZAHTEVE V ZVEZI Z NAPRAVAMI ZA USTVARJANJE KVALIFICIRANEGA ELEKTRONSKEGA PODPISA

1. Naprave za ustvarjanje kvalificiranega elektronskega podpisa z ustrezno tehnologijo in postopki zagotavljajo vsaj, da:

(a)

je razumno zagotovljena zaupnost podatkov za ustvarjanje elektronskega podpisa, s katerimi se ustvari elektronski podpis;

(b)

se lahko podatki za ustvarjanje elektronskega podpisa, s katerimi se ustvari elektronski podpis, dejansko pojavijo samo enkrat;

(c)

je razumno zagotovljeno, da do podatkov za ustvarjanje elektronskega podpisa, s katerimi se ustvari elektronski podpis, ni mogoče priti s sklepanjem in da je elektronski podpis z uporabo trenutno razpoložljive tehnologije zanesljivo zaščiten pred ponarejanjem;

(d)

lahko zakoniti podpisnik zanesljivo zaščiti podatke za ustvarjanje elektronskega podpisa, s katerimi se ustvari elektronski podpis, pred tem, da bi jih lahko uporabljali drugi.

2. Naprave za ustvarjanje kvalificiranega elektronskega podpisa ne spreminjajo podatkov, ki bodo podpisani, ali preprečijo, da bi se ti podatki podpisniku prikazali pred podpisom.

▼M2 —————

▼B

PRILOGA III

ZAHTEVE V ZVEZI S KVALIFICIRANIMI POTRDILI ZA ELEKTRONSKE ŽIGE

Kvalificirana potrdila za elektronske žige vsebujejo:

(a)

navedbo, vsaj v formatu, primernem za avtomatizirano obdelavo, da je bilo potrdilo izdano kot kvalificirano potrdilo za elektronski žig;

(b)

nabor podatkov, ki nedvoumno predstavlja ponudnika kvalificiranih storitev zaupanja, ki izdaja kvalificirana potrdila, ter vključuje vsaj državo članico, v kateri ima zadevni ponudnik sedež, in

—

za pravne osebe: ime in po potrebi registrsko številko, kot sta navedena v uradnih evidencah,

—

za fizične osebe: ime osebe;

(c)

vsaj ime ustvarjalca žiga in po potrebi registrsko številko, kot sta navedena v uradnih evidencah;

(d)

podatke za potrjevanje veljavnosti elektronskega žiga, ki ustrezajo podatkom za ustvarjanje elektronskega žiga;

(e)

podrobnosti o začetku in koncu veljavnosti potrdila;

(f)

identifikacijsko šifro potrdila, ki je enolična za ponudnika kvalificiranih storitev zaupanja;

(g)

napredni elektronski podpis ali napredni elektronski žig ponudnika kvalificiranih storitev zaupanja, ki izdaja potrdilo;

(h)

lokacijo, kjer je potrdilo, ki podpira napredni elektronski podpis ali napredni elektronski žig iz točke (g), na voljo brezplačno;

▼M2

(i)

informacije o storitvah, s katerimi je mogoče preveriti veljavnost kvalificiranega potrdila, ali lokacijo teh storitev;

▼B

(j)

če se podatki za ustvarjanje elektronskega žiga, povezani s podatki za potrjevanje elektronskega žiga, nahajajo v napravi za ustvarjanje kvalificiranega elektronskega žiga, se to ustrezno navede vsaj v formatu, primernem za avtomatizirano obdelavo.

PRILOGA IV

ZAHTEVE ZA KVALIFICIRANA POTRDILA ZA AVTENTIKACIJO SPLETIŠČ

Kvalificirana potrdila za avtentikacijo spletišč vsebujejo:

(a)

navedbo, vsaj v formatu, primernem za avtomatizirano obdelavo, da je bilo potrdilo izdano kot kvalificirano potrdilo za avtentikacijo spletišč;

(b)

nabor podatkov, ki nedvoumno predstavlja ponudnika kvalificiranih storitev zaupanja, ki izdaja kvalificirana potrdila, ter vključuje vsaj državo članico, v kateri ima zadevni ponudnik sedež, in

—

za pravne osebe: ime in po potrebi registrsko številko, kot sta navedena v uradnih evidencah,

—

za fizične osebe: ime osebe;

▼M2

(c)

za fizične osebe: vsaj ime osebe, za katero se izdaja potrdilo, ali psevdonim in, če je uporabljen psevdonim, se to jasno navede;

(ca)

za pravne osebe: enoličen nabor podatkov, ki nedvoumno predstavljajo pravno osebo, za katero se izdaja potrdilo, pri čemer je vključeno vsaj ime pravne osebe, za katero se izdaja potrdilo, in po potrebi registrska številka, kot sta navedena v uradnih evidencah;

▼B

(d)

elemente naslova fizične ali pravne osebe, za katero se izdaja potrdilo, vključno vsaj s krajem in državo, po potrebi, kot so navedeni v uradnih evidencah;

(e)

ime/imena domene, ki jo upravlja fizična ali pravna oseba, za katero se izdaja potrdilo;

(f)

podrobnosti o začetku in koncu obdobja veljavnosti potrdila;

(g)

identifikacijsko šifro potrdila, ki je enolična za ponudnika kvalificiranih storitev zaupanja;

(h)

napredni elektronski podpis ali napredni elektronski žig ponudnika kvalificiranih storitev zaupanja, ki izdaja potrdilo;

(i)

lokacijo, na kateri je potrdilo, ki podpira napredni elektronski podpis ali napredni elektronski žig iz točke (h), na voljo brezplačno;

▼M2

(j)

informacije o storitvah za preverjanje veljavnosti potrdila, s katerimi je mogoče preveriti veljavnost kvalificiranega potrdila, ali lokacijo teh storitev.

▼M2

PRILOGA V

ZAHTEVE V ZVEZI S KVALIFICIRANIM ELEKTRONSKIM POTRDILOM O ATRIBUTIH

Kvalificirana elektronska potrdila o atributih vsebujejo:

(a)

navedbo, vsaj v obliki, primerni za avtomatizirano obdelavo, da je bilo potrdilo izdano kot kvalificirano elektronsko potrdilo o atributih;

(b)

nabor podatkov, ki nedvoumno predstavlja ponudnika kvalificiranih storitev zaupanja, ki izdaja kvalificirana elektronska potrdila o atributih, ter vključuje vsaj državo članico, v kateri ima zadevni ponudnik sedež, in:

(i)

za pravne osebe: ime in po potrebi registrsko številko, kot sta navedena v uradnih evidencah,

(ii)

za fizične osebe: ime osebe;

(c)

nabor podatkov, ki nedvoumno predstavlja subjekt, na katerega se nanašajo potrjeni atributi, in, če je uporabljen psevdonim, se to jasno navede;

(d)

potrjeni atribut ali atribute, po potrebi vključno z informacijami, potrebnimi za opredelitev obsega navedenih atributov;

(e)

podrobnosti o začetku in koncu obdobja veljavnosti potrdila;

(f)

identifikacijsko kodo potrdila, ki mora biti enolična za ponudnika kvalificiranih storitev zaupanja, in, če je primerno, navedbo sheme potrdil, med katere spada potrdilo o atributih;

(g)

kvalificirani elektronski podpis ali kvalificirani elektronski žig ponudnika kvalificiranih storitev zaupanja, ki izdaja potrdilo;

(h)

lokacijo, na kateri je potrdilo, ki podpira kvalificirani elektronski podpis ali kvalificirani elektronski žig iz točke (g), na voljo brezplačno;

(i)

informacije o storitvah, s katerimi je mogoče preveriti veljavnost kvalificiranega potrdila, ali lokacijo teh storitev.

PRILOGA VI

MINIMALNI SEZNAM ATRIBUTOV

Države članice na podlagi člena 45e zagotovijo, da se sprejmejo ukrepi, s katerimi lahko ponudniki kvalificiranih storitev zaupanja, ki izdajajo kvalificirana elektronska potrdila o atributih elektronsko na zahtevo uporabnika preverijo avtentičnost naslednjih atributov na podlagi ustreznega verodostojnega vira na nacionalni ravni ali prek imenovanih posrednikov, priznanih na nacionalni ravni, v skladu pravom Unije ali nacionalnim pravom, kadar se ti atributi opirajo na verodostojne vire znotraj javnega sektorja:

naslov;

starost;

spol;

osebno stanje;

sestava družine;

državljanstvo;

izobrazba, nazivi in licence;

poklicne kvalifikacije, nazivi in licence;

pooblastila in mandati za zastopanje fizičnih ali pravnih oseb;

10.

javna dovoljenja in licence;

11.

za pravne osebe: finančni podatki in podatki o družbah.

PRILOGA VII

ZAHTEVE V ZVEZI Z ELEKTRONSKIM POTRDILOM O ATRIBUTIH, IZDANIM S STRANI ALI V IMENU ORGANA JAVNEGA SEKTORJA, PRISTOJNEGA ZA VERODOSTOJNI VIR

Elektronsko potrdilo o atributih, izdano s strani ali v imenu organa javnega sektorja, pristojnega za verodostojni vir, vsebuje:

(a)

navedbo, vsaj v obliki, primerni za avtomatizirano obdelavo, da je bilo potrdilo izdano kot elektronsko potrdilo o atributih, izdano s strani ali v imenu javnega organa, pristojnega za verodostojni vir;

(b)

nabor podatkov, ki nedvoumno predstavlja javni organ, ki izdaja elektronsko potrdilo o atributih, ki zajemajo vsaj državo članico, v kateri ima ta javni organ sedež, ter njegovo ime in po potrebi registrsko številko, kot sta navedena v uradnih evidencah;

(c)

nabor podatkov, ki nedvoumno predstavlja subjekt, na katerega se nanašajo potrjeni atributi; če je uporabljen psevdonim, se to jasno navede;

(d)

potrjeni atribut ali atribute, po potrebi vključno z informacijami, potrebnimi za opredelitev obsega navedenih atributov;

(e)

podrobnosti o začetku in koncu obdobja veljavnosti potrdila;

(f)

identifikacijsko kodo potrdila, ki mora biti enolična za javni organ izdajatelj, in, če je primerno, navedbo sheme potrdil, med katere spada potrdilo o atributih;

(g)

kvalificirani elektronski podpis ali kvalificirani elektronski žig organa izdajatelja;

(h)

lokacijo, na kateri je potrdilo, ki podpira kvalificirani elektronski podpis ali kvalificirani elektronski žig iz točke (g), na voljo brezplačno;

(i)

informacije o storitvah, s katerimi je mogoče preveriti veljavnost potrdila, ali lokacijo teh storitev.

( 1 ) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

( 2 ) Direktiva 2014/24/EU Evropskega parlamenta in Sveta z dne 26. februarja 2014 o javnem naročanju in razveljavitvi Direktive 2004/18/ES (UL L 94, 28.3.2014, str. 65).

( 3 ) Direktiva (EU) 2019/882 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o zahtevah glede dostopnosti za proizvode in storitve (UL L 151, 7.6.2019, str. 70).

( 4 ) Uredba (EU) 2019/881 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o Agenciji Evropske unije za kibernetsko varnost (ENISA) in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti ter razveljavitvi Uredbe (EU) št. 526/2013 (Akt o kibernetski varnosti) (UL L 151, 7.6.2019, str. 15).

( 5 ) Priporočilo Komisije 2003/361/ES z dne 6. maja 2003 o opredelitvi mikro, malih in srednje velikih podjetij) (UL L 124, 20.5.2003, str. 36).

( 6 ) Uredba (EU) 2022/2065 Evropskega parlamenta in Sveta z dne 19. oktobra 2022 o enotnem trgu digitalnih storitev in spremembi Direktive 2000/31/ES (Akt o digitalnih storitvah) (UL L 277, 27.10.2022, str. 1).

( 7 ) Uredba (EU) 2022/1925 Evropskega parlamenta in Sveta z dne 14. septembra 2022 o tekmovalnih in pravičnih trgih v digitalnem sektorju in spremembi direktiv (EU) 2019/1937 in (EU) 2020/1828 (akt o digitalnih trgih) (UL L 265, 12.10.2022, str. 1).

( 8 ) Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (direktiva NIS 2) (UL L 333, 27.12.2022, str. 80).

		Uradni list
		št.	stran	datum
►M1	DIREKTIVA (EU) 2022/2555 EVROPSKEGA PARLAMENTA IN SVETA z dne 14. decembra 2022	L 333	80	27.12.2022
►M2	UREDBA (EU) 2024/1183 EVROPSKEGA PARLAMENTA IN SVETA z dne 11. aprila 2024	L 1183	1	30.4.2024