–

5

Ocena operativnega tveganja;

–

6

Politike in prakse;

–

7

Upravljanje in delovanje storitve dokazovanja identitete;

–

8

Zahteve glede storitve dokazovanja identitete;

–

9.1

Uvod, skladnost s tem dokumentom, splošne zahteve za vse primere uporabe;

–

9.2.2

Primeri uporabe osebnega dokumenta za nadzorovano dokazovanje identitete na daljavo;

–

9.2.3

Primeri uporabe osebnega dokumenta za nenadzorovano dokazovanje identitete na daljavo;

–

9.2.4

Primer uporabe za dokazovanje identitete z avtentikacijo, ki temelji na uporabi sredstev elektronske identifikacije;

–

9.5

Primeri uporabe za dodatno dokazovanje identitete, da se zviša raven dokazovanja identitete s prehodom iz osnovne na razširjeno raven dokazovanja.

(1)

5

Ocena operativnega tveganja

–

OVR-5-01: Uporabljajo se zahteve iz določbe 5 ETSI EN 319 401 [1].

–

(2)

6.1

Izjava o politiki storitve dokazovanja identitete

–

OVR-6.1-02: Ponudnik storitev za dokazovanje identitete v svoji izjavi o politiki opredeli primere uporabe, za katere se zahteva skladnost s tem dokumentom.

–

(3)

7.9

Ranljivosti in obvladovanje incidentov

–

OVR-7.9-02: Obveznosti poročanja iz ETSI EN 319401 [1] REQ-7.9.2-02X in določbe 7.9.3 se izpolnijo v skladu z zahtevami okvira za dokazovanje identitete in obveznostmi ponudnika identifikacijskih podatkov osebe, ki se zanaša na storitev ponudnika storitev za dokazovanje identitete.

–

PRIMER: Poročanje nadzornemu organu, ki nadzoruje ponudnika evropskih denarnic za digitalno identiteto s sedežem v državi članici, ki ga je imenovala, lahko poteka v sodelovanju med ponudnikom storitev za dokazovanje identitete in ponudnikom identifikacijskih podatkov osebe.

(4)

7.10

Zbiranje dokazov

–

OVR-7.10-01: Uporabljajo se zahteve iz določbe 7.10 ETSI EN 319 401 [1].

–

–

(5)

7.11

Upravljanje neprekinjenega poslovanja

–

OVR-7.11-02: Postopki za krizno upravljanje iz ETSI EN 319401 [1] REQ-7.11.3-01X ustrezajo zahtevam okvira za dokazovanje identitete in obveznostim ponudnika identifikacijskih podatkov osebe, ki se zanaša na storitev ponudnika storitev za dokazovanje identitete.

(6)

7.12

Prenehanje in načrti za prenehanje zagotavljanja storitve

–

OVR-7.12-01: Uporabljajo se zahteve iz določbe 7.12 ETSI EN 319401 [1], razen REQ-7.12-11.

–

(7)

8.1

Začetek

–

INI-8.1-05: Če je postopek dokazovanja identitete na daljavo prekinjen ali neuspešen, ponudnik storitev za dokazovanje identitete zagotovi, da posamezniki prejmejo zadostna pojasnila in pravna sredstva, zlasti v primeru nenadzorovanega dokazovanja identitete na daljavo. Informacije bi morale posameznikom omogočiti, da učinkovito prispevajo k hitri rešitvi težave in po potrebi v razmerju do ustreznega upravljavca uveljavljajo svoje pravice, ki jih imajo kot posamezniki, na katere se nanašajo osebni podatki, kot sta pravica do popravka ali možnost izpodbijanja odločbe.

(8)

8.2.1

Splošne zahteve

–

COL-8.2.1-08: Ponudnik storitev za dokazovanje identitete izvaja ukrepe za zagotovitev skladnosti z zahtevami glede vgrajenega in privzetega varstva podatkov v skladu s členom 25 Uredbe (EU) 2016/679 med postopkom pristopa, zlasti v zvezi z obdelavo biometričnih podatkov. Ustrezni ukrepi lahko vključujejo zadosten kriptografski nadzor, naprave in organizacijske ukrepe, ki izboljšujejo zasebnost. S temi ukrepi bi bilo treba zbiranje podatkov omejiti na to, kar je nujno potrebno za obdelavo biometričnih podatkov in vseh drugih osebnih podatkov, ki jih je treba zbrati iz fizičnih in digitalnih virov identifikacije za povezovanje osebnih identifikacijskih podatkov uporabnikov z njihovimi denarnicami in napravo, na kateri je nameščena enota denarnice.

(9)

8.2.4

Uporaba obstoječih sredstev elektronske identifikacije kot dokaz

–

[POGOJNO] COL-8.2.4-02X: Če je cilj osnovna raven dokazovanja identitete, je treba sredstva elektronske identifikacije priglasiti vsaj za srednjo raven zanesljivosti iz eIDAS ali pa mora njihovo raven zanesljivosti potrditi akreditirani organ za ugotavljanje skladnosti, opredeljen v členu 2(13) Uredbe (ES) št. 765/2008, ali enakovreden organ in če so izpolnjene vse veljavne zahteve, se na podlagi ocene izda certifikat o skladnosti, ki temelji na certifikacijski presoji. Ta formalni postopek certificiranja mora temeljiti na postopku ocenjevanja varnosti, ki se nanaša na ravni zanesljivosti, opredeljene za priglašena sredstva elektronske identifikacije ali certificirane evropske denarnice za digitalno identiteto v skladu z Uredbo (EU) št. 910/2014 [i.25].

–

COL-8.2.4-02A: neveljavno.

(10)

8.3.1

Splošne zahteve

–

VAL-8.3.1-11X: S postopkom dokazovanja identitete se preveri, ali so dokazila v času dokazovanja identitete veljavna.

(11)

8.3.3

Potrjevanje fizičnega identifikacijskega dokumenta

–

VAL-8.3.3-21: Učinkovitost ukrepov za izpolnjevanje zahtev VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A in VAL-8.3.3-07X potrdi akreditirani organ za ugotavljanje skladnosti, opredeljen v členu 2(13) Uredbe (ES) št. 765/2008, ali enakovreden organ.

–

VAL-8.3.3-22: Referenčno podobo obraza iz fizičnega identifikacijskega dokumenta je treba zajeti z uporabo komunikacije v bližnjem polju, v okviru postopka pa je treba izvesti pasivno ali aktivno avtentikacijo čipa na fizičnem identifikacijskem dokumentu.

(12)

9.1

Uvod, skladnost s tem dokumentom, splošne zahteve za vse primere uporabe

–

USE-9.1-01X: Da bi bil postopek dokazovanja identitete v skladu s tem dokumentom, mora biti v skladu s primerom uporabe iz določbe 9.5 tega dokumenta za razširjeno raven dokazovanja identitete.

–

USE-9.1-03X: neveljavno.

(13)

9.2.3.4

Primer uporabe za avtomatizirano delovanje

–

USE-9.2.3.4-04: Ponudnik storitev za dokazovanje identitete določi ciljne vrednosti za delež napačnih odobritev (FAR) in delež napačnih zavrnitev (FRR) na podlagi analize tveganja in postopka zbiranja obveščevalnih podatkov o grožnjah v skladu z metodologijo, določeno v poročilu agencije ENISA Metodologija za sektorske ocene kibernetske varnosti [i.28], ali enakovredno metodologijo v popolnoma avtomatiziranih postopkih dokazovanja identitete. Ciljne vrednosti, ki jih uporablja ponudnik storitev za dokazovanje identitete, morajo biti enake ali nižje kot tiste, ki so določene za primere hibridne uporabe, kadar obstajajo. Ponudnik storitev za dokazovanje identitete dosledno vzdržuje te ciljne vrednosti za delež napačnih odobritev in delež napačnih zavrnitev, pri čemer si pomaga z analizo tveganja in svojim postopkom zbiranja obveščevalnih podatkov o grožnjah.

(14)

9.5.1

Splošne zahteve

–

Prvi odstavek: Kadar je prosilec fizična oseba, vključno s fizično osebo, ki zastopa pravno osebo, in je bila identiteta prosilca dokazana na osnovni ravni dokazovanja identitete s sredstvi avtentikacije, ki temeljijo na uporabi elektronske identifikacije, ter jo je zdaj treba nagraditi na razširjeno raven dokazovanja identitete, se uporabljajo naslednje zahteve.

–

USE-9.5.1-08: Dodatno dokazovanje identitete, ki je potrebno za zvišanje zanesljivosti identitete, se uporablja samo za elektronsko identifikacijo, ki ni bila izdana na podlagi avtomatizirane primerjave slik obraza za prvotni postopek izdaje.

(15)

9.5.2

Primer uporabe za zvišanje ravni dokazovanja identitete na razširjeno raven dokazovanja identitete s popolnim dokazovanjem identitete z uporabo identifikacijskega dokumenta

–

USE-9.5.2-01: Zvišanje ravni dokazovanja identitete z osnovne na razširjeno raven dokazovanja identitete je v skladu z zahtevami glede razširjene ravni dokazovanja identitete iz enega od primerov uporabe, opisanih v določbah 9.2.2 ali 9.2.3 tega dokumenta za razširjeno raven dokazovanja identitete.

(16)

9.5.3

Primer uporabe za zvišanje ravni dokazovanja identitete na razširjeno raven dokazovanja identitete z uporabo predhodno zajete referenčne podobe obraza

–

USE-9.5.3-01: Za zajem referenčne podobe obraza in povezovanje potrebnih atributov identitete z njo se uporabi postopek dokazovanja identitete, ki izpolnjuje zahteve glede razširjene ravni dokazovanja identitete iz enega od primerov uporabe, opisanih v določbah 9.2.2 ali 9.2.3 tega dokumenta, ali postopek dokazovanja identitete, ki ga je strokovno pregledal ali potrdil akreditirani organ za ugotavljanje skladnosti, opredeljen v členu 2(13) Uredbe (ES) št. 765/2008, ali enakovreden organ, da se zagotovi skladnost z visoko ravnjo zanesljivosti v skladu z Uredbo (EU) št. 910/2014 [i.25].