18¹ straipsnis. Elektroninės atpažinties priemonės saugumo užtikrinimo lygio vertinimas, priskyrimas, pakeitimas ir panaikinimas

1. Elektroninės atpažinties priemonės saugumo užtikrinimo lygio vertinimas, priskyrimas, pakeitimas ir panaikinimas atliekamas pagal Elektroninės atpažinties priemonių priežiūros tvarkos aprašą, kuris rengiamas atsižvelgiant į reikalavimus, nustatytus Įgyvendinimo reglamento (ES) 2015/1502 priedo 2 skirsnyje.

2. Lietuvos Respublikoje įsisteigęs ar įsteigtas elektroninės atpažinties paslaugos teikėjas, norintis, kad jo išduodama ar ketinama išduoti elektroninės atpažinties priemonė būtų pripažinta prižiūrima elektroninės atpažinties priemone, privalo raštu ar elektroninėmis priemonėmis kreiptis į priežiūros įstaigą Elektroninės atpažinties priemonių priežiūros tvarkos apraše nustatyta tvarka ir pateikti pranešimą apie išduodamą ar ketinamą išduoti elektroninės atpažinties priemonę kartu su elektroninės atpažinties atitikties vertinimo įstaigos parengta atitikties vertinimo ataskaita.

3. Šio straipsnio 2 dalyje nurodyta atitikties vertinimo ataskaita turi būti parengta vadybos sistemų sertifikavimo įstaigos, kuri turi būti akredituota standartų LST EN ISO/IEC 17021-1 ir LST ISO/IEC 27006 atitikčiai sertifikuoti informacijos saugumo valdymo sistemas pagal LST EN ISO 27001 standartą ir būti kompetentinga atlikti kvalifikuotos elektroninės atpažinties paslaugos teikėjo ir jo teikiamos kvalifikuotos elektroninės atpažinties paslaugos atitikties nustatytiems reikalavimams vertinimą.

4. Priežiūros įstaiga ne vėliau kaip per 3 mėnesius nuo pranešimo apie išduodamą ar ketinamą išduoti elektroninės atpažinties priemonę ir visų Elektroninės atpažinties priemonių priežiūros tvarkos apraše nurodytų elektroninės atpažinties priemonės saugumo užtikrinimo lygio įvertinimui reikalingų dokumentų gavimo dienos įvertina, ar elektroninės atpažinties priemonė atitinka prašomam priskirti saugumo užtikrinimo lygiui nustatytus reikalavimus, priima vieną iš šioje dalyje nurodytų motyvuotų sprendimų ir apie jį pagal Elektroninės atpažinties priemonių priežiūros tvarkos aprašo nuostatas informuoja elektroninės atpažinties paslaugų teikėją:

1) priskirti elektroninės atpažinties priemonei vieną iš Reglamento (ES) Nr. 910/2014 8 straipsnio 2 dalyje nurodytų saugumo užtikrinimo lygių;

2) atsisakyti priskirti elektroninės atpažinties priemonei vieną iš Reglamento (ES) Nr. 910/2014 8 straipsnio 2 dalyje nurodytų saugumo užtikrinimo lygių.

5. Šio straipsnio 4 dalyje nurodytas terminas priežiūros įstaigos motyvuotu sprendimu gali būti pratęstas ne ilgiau kaip 20 darbo dienų, kai dėl objektyvių priežasčių elektroninės atpažinties priemonės saugumo užtikrinimo lygiui įvertinti reikia ilgesnio laiko. Priežiūros įstaiga apie priimtą sprendimą pratęsti elektroninės atpažinties priemonės saugumo užtikrinimo lygio vertinimo terminą raštu informuoja elektroninės atpažinties paslaugų teikėją ne vėliau kaip per 3 darbo dienas nuo sprendimo pratęsti terminą priėmimo dienos ir nurodo termino pratęsimo priežastis bei terminą, kuriam yra pratęstas elektroninės atpažinties priemonės saugumo užtikrinimo lygio vertinimas.

6. Priežiūros įstaiga, nustačiusi, kad prižiūrima elektroninės atpažinties priemonė nebeatitinka priskirtam saugumo užtikrinimo lygiui nustatytų reikalavimų, apie tai nedelsdama, bet ne vėliau kaip per 3 darbo dienas nuo neatitikties šiems reikalavimams nustatymo dienos raštu informuoja kvalifikuotos elektroninės atpažinties paslaugos teikėją ir nurodo ištaisyti nustatytus neatitikimus per priežiūros įstaigos nustatytą terminą, kuris negali būti trumpesnis kaip 10 darbo dienų. Jeigu kvalifikuotos elektroninės atpažinties paslaugos teikėjas per nustatytą terminą nepašalina nustatytų neatitikimų, priežiūros įstaiga, remdamasi Elektroninės atpažinties priemonių priežiūros tvarkos aprašu, priima sprendimą pakeisti arba panaikinti prižiūrimai elektroninės atpažinties priemonei priskirtą saugumo užtikrinimo lygį ir apie tai ne vėliau kaip per 3 darbo dienas nuo sprendimo priėmimo dienos raštu informuoja kvalifikuotos elektroninės atpažinties paslaugos teikėją ir mazgo operatorių.

7. Siekdama įvertinti kvalifikuotos elektroninės atpažinties paslaugos teikėjo išduodamų prižiūrimų elektroninės atpažinties priemonių atitiktį Reglamento (ES) Nr. 910/2014 8 straipsnio 2 dalyje nurodytiems saugumo užtikrinimo lygiams, priežiūros įstaiga turi teisę atlikti kvalifikuotos elektroninės atpažinties paslaugos teikėjo auditą arba reikalauti, kad kvalifikuotos elektroninės atpažinties paslaugos teikėjas pateiktų elektroninės atpažinties atitikties vertinimo įstaigos parengtą atitikties vertinimo ataskaitą.