1.

Säkerställa att den sökande är medveten om villkoren förenade med användningen av medlet för elektronisk identifiering.

2.

Säkerställa att den sökande är medveten om rekommenderade säkerhetsåtgärder kopplade till medlet för elektronisk identifiering.

3.

Samla in de relevanta identitetsuppgifter som krävs för styrkande och kontroll av identitet.

1.

Personen kan antas inneha bevis som erkänns i den medlemsstat där ansökan om medlet för elektronisk identitet görs och som avser den påstådda identiteten.

2.

Beviset kan antas vara äkta eller existera enligt en tillförlitlig källa, och beviset förefaller vara giltigt.

3.

Enligt en officiell källa existerar den påstådda identiteten, och det kan antas att den person som åberopar denna identitet är en och samma person.

1.

Kontroll har skett av att personen innehar ett bevis som erkänns i den medlemsstat där ansökan om medlet för elektronisk identitet görs och som avser den påstådda identiteten,

och

beviset kontrolleras för att fastställa att det är äkta, eller enligt en tillförlitlig källa existerar det och avser en verklig person,

och

åtgärder har vidtagits för att minimera risken att personens identitet inte är den påstådda identiteten, varvid det tas hänsyn till exempelvis risken för att beviset har förlorats, stulits, upphävts, återkallats eller löpt ut,

eller

2.

en identitetshandling uppvisas under ett registreringsförfarande i den medlemsstat där handlingen utfärdades, och handlingen tycks avse den person som uppvisar den,

och

åtgärder har vidtagits för att minimera risken att personens identitet inte är den påstådda identiteten, varvid det tas hänsyn till exempelvis risken för att handlingen har förlorats, stulits, upphävts, återkallats eller löpt ut,

eller

3.

om förfaranden som tidigare använts av ett offentligt eller privat företag i samma medlemsstat för andra ändamål än utfärdandet av medel för elektronisk identifiering ger en tillit som är likvärdig de förfaranden som anges i avsnitt 2.1.2 för tillitsnivån väsentlig, behöver den enhet som ansvarar för registreringen inte upprepa de tidigare förfarandena, förutsatt att en sådan likvärdig tillit bekräftas av ett sådant organ för bedömning av överensstämmelse som anges i artikel 2.13 i Europaparlamentets och rådets förordning (EG) nr 765/2008 (1) eller av ett likvärdigt organ,

eller

4.

om medel för elektronisk identifiering utfärdas på grundval av ett giltigt anmält medel för elektronisk identifiering med tillitsnivån väsentlig eller hög, och riskerna för ändring i personidentifieringsuppgifterna beaktas, krävs det inte att förfarandena för styrkande och kontroll av identitet upprepas. Om medlet för elektronisk identifiering som utgör utgångspunkt inte har anmälts, ska tillitsnivån väsentlig eller hög bekräftas av det organ för bedömning av överensstämmelse som avses i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ.

1.

Nivå väsentlig, samt ett av de alternativ som anges i leden a–c måste vara uppfyllt:

ELLER

2.

om den sökande inte lägger fram något erkänt fotografiskt eller biometriskt identifieringsbevis, ska samma förfaranden som används på nationell nivå i medlemsstaten av den enhet som ansvarar för registreringen för att erhålla sådant erkänt fotografiskt eller biometriskt identifieringsbevis tillämpas.

1.

Den juridiska personens påstådda identitet styrks på grundval av bevis som erkänns i den medlemsstat där ansökan om medlet för elektronisk identitet görs.

2.

Beviset förefaller vara giltigt och kan antas vara äkta, eller existera enligt en tillförlitlig källa, om införandet av en juridisk person i den tillförlitliga källan är frivilligt och regleras genom en överenskommelse mellan den juridiska personen och den tillförlitliga källan.

3.

Den juridiska personen är enligt en tillförlitlig källa inte i en ställning som skulle hindra den från att handla som den juridiska personen.

1.

Den juridiska personens påstådda identitet styrks på grundval av bevis som erkänns i den medlemsstat där ansökan om medlet för elektronisk identitet görs, inklusive den juridiska personens namn, juridiska form, och (om så är tillämpligt) registeringsnummer,

och

beviset kontrolleras för att avgöra om det är äkta, eller existerar enligt en tillförlitlig källa, om införandet av den juridiska personen i den tillförlitliga källan krävs för att den juridiska personen ska få bedriva verksamhet inom sin sektor,

och

åtgärder har vidtagits för att minimera risken att den juridiska personens identitet inte är den påstådda identiteten, varvid det tas hänsyn till exempelvis risken för att handlingar har förlorats, stulits, upphävts, återkallats eller löpt ut,

eller

2.

Om förfaranden som tidigare använts av ett offentligt eller privat företag i samma medlemsstat för andra ändamål än utfärdande av medel för elektronisk identifiering ger en tillit som är likvärdig med de förfaranden som anges i avsnitt 2.1.3 för tillitsnivån väsentlig, behöver den enhet som ansvarar för registreringen inte upprepa de tidigare förfarandena, förutsatt att en sådan likvärdig tillit bekräftas av ett sådant organ för bedömning av överensstämmelse som anges i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ,

eller

3.

Om medel för elektronisk identifiering utfärdas på grundval av ett giltigt anmält medel för elektronisk identifiering med tillitsnivån väsentlig eller hög, krävs det inte att förfarandena för styrkande och kontroll av identitet upprepas. Om medlet för elektronisk identifiering som utgör utgångspunkt inte har anmälts, ska tillitsnivån väsentlig eller hög bekräftas av det organ för bedömning av överensstämmelse som avses i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ.

1.

Den juridiska personens påstådda identitet styrks på grundval av bevis som erkänns i den medlemsstat där ansökan om medlet för elektronisk identitet görs, och innefattar den juridiska personens namn, juridiska form, och åtminstone en unik identifierare som avser den juridiska personen och som används i nationella sammanhang,

och

beviset kontrolleras för att fastställa att det är äkta enligt en tillförlitlig källa,

eller

2.

om de förfaranden som tidigare använts av ett offentligt eller privat företag i samma medlemsstat för andra ändamål än utfärdande av medel för elektronisk identifiering ger en tillit som är likvärdig de förfaranden som anges i avsnitt 2.1.3 för tillitsnivån hög, behöver den enhet som ansvarar för registreringen inte upprepa de tidigare förfarandena, förutsatt att en sådan likvärdig tillit bekräftas av ett sådant organ för bedömning av överensstämmelse som anges i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ,

och

åtgärder vidtas för att styrka att resultaten från dessa tidigare förfaranden fortfarande är giltiga,

eller

3.

om medel för elektronisk identifiering utfärdas på grundval av ett giltigt anmält medel för elektronisk identifiering med tillitsnivån hög, krävs det inte att förfarandena för styrkande och kontroll av identitet upprepas. Om medlet för elektronisk identifiering som utgångspunkt inte har anmälts, ska tillitsnivån hög bekräftas av det organ för bedömning av överensstämmelse som avses i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ,

och

åtgärder vidtas för att styrka att resultaten av detta tidigare förfarande för utfärdande av ett anmält medel för elektronisk identifiering fortfarande är giltiga.

1.

Medlet för elektronisk identifiering använder minst en autentiseringsfaktor.

2.

Medlet för elektronisk identifiering är utformat så att utfärdaren vidtar rimliga åtgärder för att kontrollera att det endast används under ägarens kontroll eller innehav.

1.

Medlet för elektronisk identifiering använder minst två autentiseringsfaktorer från olika kategorier.

2.

Medlet för elektronisk identifiering är utformat så att det kan antas att det endast används under ägarens kontroll eller innehav.

1.

medlet för elektronisk identifiering skyddar mot kopiering och manipulering samt mot angripare med hög angreppskapacitet,

2.

medlet för elektronisk identifiering är utformat så att ägaren på tillförlitligt sätt kan skyddas mot användning av andra.

1.

Det är möjligt att avbryta och/eller återkalla ett medel för elektronisk identifiering i god tid och på ett verksamt sätt.

2.

Åtgärder ska föreligga för att förhindra att upphävande, återkallelse och/eller reaktivering sker på otillåtet sätt.

3.

Återaktivering ska ske endast om samma krav angående tilliten som fastställts före upphävandet eller återkallelsen fortsätter att uppfyllas.

1.

Innan personidentifieringsuppgifter lämnas ut sker en tillförlitlig kontroll av medlet för elektronisk identifiering och dess giltighet.

2.

Om personidentifieringsuppgifter lagras som en del av autentiseringsmekanismen är dessa uppgifter säkrade för att skydda mot förlust och från att den äventyras, inklusive offline-analys.

3.

Autentiseringsmekanismen genomför säkerhetskontroller för att verifiera medlet för elektronisk identifiering, varför det är högst osannolikt att exempelvis gissningar, tjuvlyssning, omspelning eller manipulation av kommunikation som görs av en angripare med förhöjd/grundläggande angreppspotential kan underminera autentiseringsmekanismerna.

1.

innan personidentifieringsuppgifter lämnas ut sker en tillförlitlig kontroll av medlet för elektronisk identifiering och dess giltighet med hjälp av en dynamisk autentisering,

2.

autentiseringsmekanismen genomför säkerhetskontroller för att verifiera medlet för elektronisk identifiering, varför det är högst osannolikt att exempelvis gissningar, tjuvlyssning, omspelning eller manipulation av kommunikation som görs av en angripare med måttlig angreppspotential kan underminera autentiseringsmekanismerna.

1.

Tillhandahållare av tjänster som levererar en operativ tjänst som omfattas av denna förordning är en offentlig myndighet eller rättslig enhet som erkänns som sådan i en medlemsstats nationella lagstiftning, med etablerad organisation och till fullo operativ i alla delar som är relevanta för tillhandahållandet av tjänsterna.

2.

Tillhandahållarna av tjänster uppfyller alla rättsliga krav som åligger dem i samband med drift och leverans av tjänsten, däribland de typer av information som kan komma att eftersökas, hur en identitet styrks, vilken information som får lagras och hur länge.

3.

Tillhandahållarna av tjänster kan visa att de har förmåga att ta på sig skadeståndsskyldighet samt att de har tillräckliga ekonomiska resurser för att fortsätta driften och tillhandahålla tjänsterna.

4.

Tillhandahållarna av tjänster är ansvariga för fullgörandet av eventuella åtaganden som lagts ut på entreprenad till en annan enhet, och att systemets policy efterlevs, på samma sätt som om de själva hade utfört arbetsuppgifterna.

5.

System för elektronisk identifiering som inte inrättats enligt nationell rätt ska ha en fullt användbar plan för verksamhetens upphörande. En sådan plan ska innefatta en metodisk nedläggning av driften eller fortsättning genom en annan tillhandahållare av tjänster, sättet på vilket behöriga myndigheter och slutanvändare informeras samt ingående uppgifter om hur register ska skyddas, bevaras och destrueras i enlighet med systemets policy.

1.

En offentliggjord tjänstedefinition ska finnas som innefattar alla tillämpliga villkor och avgifter, däribland eventuella begränsningar av användningen. Tjänstedefinitionen ska innefatta en policy för integritetsskydd.

2.

Lämpliga policyer och förfaranden ska införas för att tjänsteanvändarna ska informeras i tid och på ett tillförlitligt sätt om eventuella ändringar av tjänstedefinitionen och om alla tillämpliga villkor och policyn för integritetsskydd för den specificerade tjänsten.

3.

Lämpliga policyer och förfaranden ska införas så att alla förfrågningar om upplysningar kan besvaras till fullo och på korrekt sätt.

1.

Registrera och lagra relevant information med hjälp av ett effektivt registerhanteringssystem, med beaktande av tillämplig lagstiftning och god praxis i fråga om skydd och lagring av personuppgifter.

2.

Lagra – i den mån det är tillåtet enligt nationell lag eller andra nationella administrativa bestämmelser – och skydda register så länge som de behövs för granskning och undersökning av säkerhetsöverträdelser och för lagring, varefter registren ska förstöras på ett säkert sätt.

1.

Förfaranden ska finnas som ser till att personal och underleverantörer är tillräckligt utbildade, kvalificerade och erfarna i de färdigheter som krävs för att sköta sina roller.

2.

Tillräcklig personal och underleverantörer ska finnas för att korrekt driva och bemanna tjänsten i enlighet med policyer och förfaranden som gäller för den.

3.

Anläggningar som används för att tillhandahålla tjänsten ska kontinuerligt övervakas och skyddas mot skador orsakade av miljöhändelser, obehörig åtkomst och andra faktorer som kan inverka på tjänstens säkerhet.

4.

Anläggningar som används för att tillhandahålla tjänsten ska säkerställa att tillträde till utrymmen där personliga, kryptografiska eller andra känsliga uppgifter finns eller behandlas, är begränsat till auktoriserad personal eller underleverantörer.

1.

Proportionella tekniska kontroller ska finnas för att hantera riskerna för tjänsternas säkerhet, och för att skydda de behandlade uppgifternas sekretess, integritet och tillgänglighet.

2.

Elektroniska kommunikationskanaler som används för att utbyta personuppgifter eller känslig information skyddas mot avlyssning, manipulation och omspelning.

3.

Tillgång till känsligt kryptografiskt material, om sådant används för utfärdande av medel för elektronisk identifiering och autentisering, ska strikt begränsas till de befattningar och applikationer som kräver tillgång. Det ska säkerställas att sådant material aldrig ständigt lagras i klartext.

4.

Förfaranden finns för att se till att säkerheten upprätthålls över tiden och att förmåga finns att agera om risknivån förändras eller vid incidenter och säkerhetsöverträdelser.

5.

Alla medel som innehåller personuppgifter eller kryptografiska eller andra känsliga uppgifter ska lagras, transporteras och bortskaffas på ett säkert sätt.

1.

Förekomst av regelbundna oberoende externa revisioner, som är utformade så att de omfattar alla delar som är relevanta för tillhandahållandet av tjänster, för att garantera efterlevnaden av relevant policy.

2.

Om systemet förvaltas direkt av en statlig myndighet sker revision i enlighet med nationell lagstiftning.