24 straipsnis. Kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams keliami reikalavimai

1. Išduodamas kvalifikuotą sertifikatą arba kvalifikuotą elektroninį požymių liudijimą, kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas patikrina fizinio ar juridinio asmens, kuriam turi būti išduotas kvalifikuotas sertifikatas arba kvalifikuotas elektroninis požymių liudijimas, tapatybę ir, jeigu taikytina, visus jo specifinius požymius.

1a. 1 dalyje nurodytą tapatybės patikrinimą tinkamomis priemonėmis atlieka kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas tiesiogiai arba pasikliaudamas trečiąja šalimi, remdamasis vienu iš toliau nurodytų metodų arba, jei reikia, jų deriniu ir laikydamasis 1c dalyje nurodytų įgyvendinimo aktų:

a) naudodamas europinę skaitmeninės tapatybės dėklę arba elektroninės atpažinties priemonę, apie kurią pranešta, kuri atitinka 8 straipsnyje nustatytus reikalavimus dėl aukšto saugumo užtikrinimo lygio;

b) naudodamas pagal a, c arba d punktą išduotą kvalifikuoto elektroninio parašo arba kvalifikuoto elektroninio spaudo sertifikatą;

c) naudodamas kitus tapatybės nustatymo metodus, kuriais užtikrinamas aukšto patikimumo lygio asmens tapatybės nustatymas, kurio atitiktį turi patvirtinti atitikties vertinimo įstaiga;

d) fiziškai dalyvaujant fiziniam asmeniui arba juridinio asmens įgaliotajam atstovui, pateikiant įrodymus ir vykdant tinkamas procedūras laikantis nacionalinės teisės.

1b. Pirmoje dalyje nurodytą požymių patikrinimą tinkamomis priemonėmis atlieka kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas tiesiogiai arba pasikliaudamas trečiąja šalimi, remdamasis vienu iš toliau nurodytų metodų arba, jei būtina, jų deriniu ir laikydamasis 1c dalyje nurodytų įgyvendinimo aktų:

a) naudodamas europinę skaitmeninės tapatybės dėklę arba elektroninės atpažinties priemonę, apie kurią pranešta, kuri atitinka 8 straipsnyje nustatytus reikalavimus dėl aukšto saugumo užtikrinimo lygio;

b) naudodamas pagal 1a dalies a, c arba d punktą išduotą kvalifikuoto elektroninio parašo arba kvalifikuoto elektroninio spaudo sertifikatą;

c) naudodamas kvalifikuotą elektroninį požymių liudijimą;

d) naudodamas kitus metodus, kuriais užtikrinamas aukšto patikimumo lygio požymių patikrinimas, kurio atitiktį turi patvirtinti atitikties vertinimo įstaiga;

e) fiziškai dalyvaujant fiziniam asmeniui arba juridinio asmens įgaliotajam atstovui, pateikiant tinkamus įrodymus ir vykdant tinkamas procedūras laikantis nacionalinės teisės.

1c. Ne vėliau kaip 2025 m. gegužės 21 d. Komisija priima įgyvendinimo aktus, kuriais nustato referencinių standartų sąrašą ir, kai būtina, specifikacijas ir procedūras, skirtas tapatybei ir požymiams patikrinti pagal šio straipsnio 1, 1a ir 1b dalis. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

2. Kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, teikiantis kvalifikuotas patikimumo užtikrinimo paslaugas:

a) informuoja priežiūros įstaigą bent prieš mėnesį iki bet kokio jo kvalifikuotų patikimumo užtikrinimo paslaugų teikimo pakeitimo įgyvendinimo arba bent prieš tris mėnesius, jei ketinama tą veiklą nutraukti;

b) samdo darbuotojus ir, jei taikytina, subrangovus, kurie turi būtinos kompetencijos, yra patikimi, turi būtinos patirties ir kvalifikacijos, yra tinkamai apmokyti saugumo ir asmens duomenų apsaugos taisyklių, ir taiko Europos arba tarptautinius standartus atitinkančias administracines bei valdymo procedūras;

c) atsakomybės už žalą rizikos atžvilgiu pagal 13 straipsnį, disponuoja pakankamais finansiniais ištekliais ir (arba) gauna tinkamą atsakomybės draudimą pagal nacionalinės teisės aktus;

d) prieš užmegzdamas sutartinius santykius, aiškiai, išsamiai ir lengvai prieinamu būdu viešai prieinamoje erdvėje ir atskirai informuoja visus asmenis, kurie nori naudotis kvalifikuota patikimumo užtikrinimo paslauga, apie tikslias naudojimosi ta paslauga sąlygas, įskaitant visus naudojimosi ja apribojimus;

e) naudoja patikimas sistemas ir produktus, kurie yra apsaugoti nuo pakeitimų, ir užtikrina jų palaikomų procesų techninį saugumą ir patikimumą, be kita ko, naudodamas tinkamus kriptografinius metodus;

f) jam pateiktus duomenis patikrinama forma saugo patikimose sistemose, kad:

i) juos būtų galima viešai gauti tik gavus asmens, su kuriuo yra susiję šie duomenys, sutikimą;

ii) saugomų duomenų įrašus ir pakeitimus galėtų daryti tik įgalioti asmenys;

iii) būtų galima patikrinti duomenų tikrumą;

fa) nepaisant Direktyvos (ES) 2022/2555 21 straipsnio, taiko tinkamą politiką ir imasi atitinkamų su kvalifikuotos patikimumo užtikrinimo paslaugos teikimu susijusios teisinės, verslo, veiklos ir kitos tiesioginės ar netiesioginės rizikos valdymo priemonių, įskaitant bent priemones, susijusias su:

i) registravimosi patikimumo užtikrinimo paslaugai gauti ir prisijungimo prie tokios paslaugos procedūromis;

ii) procedūriniais ar administraciniais patikrinimais;

iii) paslaugų administravimu ir įgyvendinimu;

fb) nepagrįstai nedelsdama ir bet kuriuo atveju ne vėliau kaip per 24 valandas po incidento praneša priežiūros įstaigai, poveikį patyrusiems asmenims, kurių tapatybė gali būti nustatyta, kitoms atitinkamoms kompetentingoms įstaigoms, kai taikytina, ir, priežiūros įstaigos prašymu, visuomenei, jei tai susiję su viešuoju interesu, apie visus paslaugų teikimo saugumo pažeidimus ar sutrikimus arba fa punkto i, ii arba iii papunkčiuose nurodytų priemonių įgyvendinimo pažeidimus ar sutrikimus, kurie daro didelį poveikį teikiamai patikimumo užtikrinimo paslaugai arba ją teikiant saugomiems asmens duomenims;

g) imasi tinkamų priemonių, kad apsisaugotų nuo duomenų klastojimo, vagystės ar pasisavinimo, neteisėto duomenų šalinimo, keitimo ar prieigos prie duomenų užkirtimo;

h) tiek, kiek reikia, kvalifikuotam patikimumo užtikrinimo paslaugų teikėjui nutraukus veiklą, registruoja ir laiko prieinamą visą susijusią informaciją dėl kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo suteiktų ir gautų duomenų tam, kad šią informaciją būtų galima panaudoti teismo procese kaip įrodymą ir siekiant užtikrinti paslaugų tęstinumą. Tokia informacija gali būti registruojama elektroniniu būdu;

i) turi atnaujinamą nutraukimo planą, kad užtikrintų paslaugų tęstinumą, atsižvelgdamas į priežiūros įstaigos pagal 46b straipsnio 4 dalies i punktą patikrintas nuostatas;

k) tais atvejais, kai kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai išduoda kvalifikuotus sertifikatus – sukuria ir atnaujina sertifikatų duomenų bazę.

Priežiūros įstaiga gali paprašyti pateikti ne tik pagal pirmos pastraipos a punktą teikiamą informaciją, bet ir papildomą informaciją arba atitikties vertinimo rezultatus, o išduodama leidimą įgyvendinti numatytus kvalifikuotų patikimumo užtikrinimo paslaugų pakeitimus gali taikyti tam tikras sąlygas. Jeigu patikrinimas nebaigiamas per tris mėnesius nuo pranešimo dienos, priežiūros įstaiga apie tai praneša patikimumo užtikrinimo paslaugų teikėjui, nurodydama vėlavimo priežastis ir laikotarpį, per kurį patikrinimas bus baigtas.

3. Jei kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, išduodantis kvalifikuotus sertifikatus nusprendžia atšaukti sertifikatą, tokį atšaukimą jis užregistruoja savo sertifikatų duomenų bazėje ir laiku paskelbia apie sertifikato atšaukimo statusą, ir bet kuriuo atveju per 24 valandas po prašymo gavimo dienos. Atšaukimas įsigalioja nedelsiant po jo paskelbimo.

4. Atsižvelgdami į 3 dalį, kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai, išduodantys kvalifikuotus sertifikatus, kiekvienai pasikliaujančiajai šaliai pateikia informaciją apie jų išduotų kvalifikuotų sertifikatų galiojimą arba atšaukimą. Ši informacija bet kuriuo metu, net ir pasibaigus sertifikato galiojimo laikotarpiui, pateikiama bent apie kiekvieną sertifikatą taikant automatizuotą būdą, kuris yra saugus, nemokamas ir veiksmingas.

4a. Kvalifikuotų elektroninių požymių liudijimų atšaukimui atitinkamai taikomos 3 ir 4 dalys.

4b. Komisijai pagal 47 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, kuriais nustatomos papildomos šio straipsnio 2 dalies fa punkte nurodytos priemonės.

5. Ne vėliau kaip 2025 m. gegužės 21 d. Komisija priima įgyvendinimo aktus, kuriais nustato referencinių standartų sąrašą ir, kai būtina, šio straipsnio 2 dalyje punktuose nurodytiems reikalavimams skirtas specifikacijas ir procedūras. Jeigu tų standartų, specifikacijų ir procedūrų laikomasi, preziumuojama, kad atitiktis šioje dalyje išdėstytiems reikalavimams užtikrinta. Tie įgyvendinimo aktai priimami laikantis 48 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.