18³ straipsnis. Kvalifikuotos elektroninės atpažinties paslaugos teikėjų teisė ir pareigos

1. Kvalifikuotos elektroninės atpažinties paslaugos teikėjai turi teisę kreiptis į mazgo operatorių dėl jų prijungimo prie mazgo.

2. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo užtikrinti, kad jo išduodama prižiūrima elektroninės atpažinties priemonė atitiktų visus jai priskirtam saugumo užtikrinimo lygiui nustatytus reikalavimus.

3. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo turėti su priežiūros įstaiga suderintą veiklos nutraukimo planą, kurio reikalavimai nustatyti priežiūros įstaigos tvirtinamame kvalifikuotos elektroninės atpažinties paslaugos teikėjų veiklos ataskaitų pateikimo priežiūros įstaigai tvarkos apraše.

4. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo priežiūros įstaigai pateikti:

1) informaciją apie bet kokius kvalifikuotos elektroninės atpažinties paslaugos teikimo pakeitimus – nedelsdamas, bet ne vėliau kaip per 3 darbo dienas nuo šių pakeitimų dienos;

2) informaciją apie numatomą kvalifikuotos elektroninės atpažinties paslaugos teikimo nutraukimą – ne vėliau kaip prieš 3 mėnesius iki veiklos nutraukimo dienos;

3) metinę veiklos, susijusios su kvalifikuotos elektroninės atpažinties paslaugos teikimu, ataskaitą – kasmet, už praėjusius metus – ne vėliau kaip iki einamųjų metų vasario 1 dienos priežiūros įstaigos nustatyta tvarka;

4) kas 24 mėnesius – elektroninės atpažinties atitikties vertinimo įstaigos parengtą kvalifikuotos elektroninės atpažinties paslaugos teikėjo išduodamų prižiūrimų elektroninės atpažinties priemonių atitikties Reglamento (ES) Nr. 910/2014 8 straipsnio 2 dalyje nurodytiems saugumo užtikrinimo lygiams įvertinimo ataskaitą, parengtą ne anksčiau kaip prieš 3 mėnesius iki jos pateikimo priežiūros įstaigai dienos.

5. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo imtis reikiamų techninių ir organizacinių priemonių rizikai, galinčiai sukelti grėsmę jo teikiamos kvalifikuotos elektroninės atpažinties paslaugos saugumui ir (ar) vientisumui, valdyti bei užtikrinti, kad šios paslaugos saugumo užtikrinimo lygis atitiktų keliamos rizikos lygį.

6. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo naudoti patikimas technines priemones, kurios yra apsaugotos nuo galimybės atlikti pakeitimus be kvalifikuotos elektroninės atpažinties paslaugos teikėjo žinios, ir užtikrinti jų palaikomo proceso techninį saugumą ir patikimumą.

7. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas apie teikiamos prižiūrimos elektroninės atpažinties priemonės saugumo ar vientisumo pažeidimus privalo pranešti priežiūros įstaigai jos nustatyta tvarka ne vėliau kaip per 3 valandas nuo saugumo ar vientisumo pažeidimo nustatymo. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas, vadovaudamasis šio įstatymo 41 straipsnio 2 dalies 6 punkte nustatyta tvarka, informaciją apie įvykusį saugumo ar vientisumo pažeidimą privalo pateikti priežiūros įstaigai ne vėliau kaip per 24 valandas nuo šio pažeidimo suvaldymo momento. Tais atvejais, kai saugumo ar vientisumo pažeidimas galėtų turėti neigiamą poveikį, kuris galėtų lemti žalos atsiradimą fiziniam ar juridiniam asmeniui, kuriam teikiama kvalifikuota elektroninės atpažinties paslauga, kvalifikuotos elektroninės atpažinties paslaugos teikėjas nedelsdamas, bet ne vėliau kaip per 24 valandas nuo saugumo ar vientisumo pažeidimo nustatymo apie šį pažeidimą privalo pranešti kvalifikuotą elektroninės atpažinties paslaugą gaunančiam fiziniam ar juridiniam asmeniui.

8. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo viešai skelbti aiškią ir išsamią informaciją, skirtą asmenims, kurie pageidauja naudotis jo teikiama kvalifikuota elektroninės atpažinties paslauga, apie naudojimosi šia paslauga sąlygas, tarp jų apie bet kokius naudojimosi ja apribojimus, taip pat pateikti šią informaciją asmenims prieš sudarant sutartį dėl kvalifikuotos elektroninės atpažinties paslaugos teikimo.

9. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas, nutraukęs kvalifikuotos elektroninės atpažinties paslaugos teikimą, 3 metus nuo šios paslaugos teikimo nutraukimo dienos privalo saugoti visą informaciją, susijusią su parengtais ir gautais asmens tapatybės nustatymo duomenimis.

10. Kvalifikuotos elektroninės atpažinties paslaugos teikėjas privalo būti apdraudęs savo civilinę atsakomybę ne mažesne kaip 30 000 eurų suma vienam draudžiamajam įvykiui ir ne mažesne kaip 90 000 eurų suma visiems draudžiamiesiems įvykiams per metus.

11. Kvalifikuotos elektroninės atpažinties paslaugos teikėjo darbuotojai ir (ar) subrangovų darbuotojai negali turėti neišnykusio ar nepanaikinto teistumo už tyčinių nusikaltimų padarymą, privalo būti susipažinę su informacijos saugumo ir asmens duomenų apsaugos reikalavimais.