(Text s významem pro EHP)

Transkript

1 L 235/7 PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2015/1502 ze dne 8. září 2015, kterým se stnoví minimální technické specifikce postupy pro úrovně záruky prostředků pro elektronickou identifikci podle čl. 8 odst. 3 nřízení Evropského prlmentu Rdy (EU) č. 910/2014 o elektronické identifikci službách vytvářejících důvěru pro elektronické trnskce n vnitřním trhu (Text s význmem pro EHP) EVROPSKÁ KOMISE, s ohledem n Smlouvu o fungování Evropské unie, s ohledem n nřízení Evropského prlmentu Rdy (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikci službách vytvářejících důvěru pro elektronické trnskce n vnitřním trhu o zrušení směrnice 1999/93/ES ( 1 ), zejmén n čl. 8 odst. 3 uvedeného nřízení, vzhledem k těmto důvodům: (1) Článek 8 nřízení (EU) č. 910/2014 stnoví, že systém elektronické identifikce oznámený podle čl. 9 odst. 1 musí uvádět nízkou, znčnou vysokou úroveň záruky pro prostředky pro elektronickou identifikci vydávné v rámci tohoto systému. (2) Je nezbytné stnovit minimální technické specifikce, normy postupy, by bylo dosženo obecné shody ohledně podrobností týkjících se úrovní záruky byl zjištěn interoperbilit při mpování vnitrostátních úrovní záruky oznámených systémů elektronické identifikce podle úrovní záruky uvedených v článku 8, jk stnoví čl. 12 odst. 4 písm. b) nřízení (EU) č. 910/2014. (3) Při stnovování specifikcí postupů v tomto prováděcím ktu byl jko zákldní mezinárodní norm dostupná v oblsti úrovní záruky prostředků pro elektronickou identifikci zohledněn mezinárodní norm ISO/IEC Obsh nřízení (EU) č. 910/2014 se všk od uvedené mezinárodní normy liší, zejmén pokud jde o poždvky n prokzování ověřování totožnosti o způsob, jkým se zohledňují rozdíly mezi optřeními členských států v oblsti totožnosti stávjícími nástroji v Evropské unii v téže oblsti. Příloh by proto neměl odkzovt n žádný konkrétní obsh mezinárodní normy ISO/IEC 29115, přestože z této normy vychází. (4) Toto nřízení bylo vyprcováno n zákldě přístupu orientovného n výsledky, protože tento přístup byl nejvhodnější, což je rovněž ptrné v definicích použitých k upřesnění pojmů konceptů. Berou v úvhu cíl nřízení (EU) č. 910/2014, pokud jde o úrovně záruky prostředků pro elektronickou identifikci. Proto by se při stnovování specifikcí postupů v tomto prováděcím ktu měl co nejvíce zohlednit rozsáhlý pilotní projekt STORK, včetně specifikcí vyprcovných v jeho rámci, definice koncepty z ISO/IEC (5) V závislosti n kontextu, v němž je třeb ověřit nějký spekt prokázání totožnosti, mohou mít spolehlivé zdroje různou podobu, npř. registrů, dokumentů, subjektů j. Spolehlivé zdroje se mohou v různých členských státech nvzdory podobnému kontextu lišit. (6) Poždvky n prokzování ověřování totožnosti by měly zohlednit různé systémy postupy součsně zjistit dosttečně vysokou úroveň záruky, by byl vytvořen nezbytná důvěr. Postupy, které se předtím používly pro jiné účely než vydávání prostředků pro elektronickou identifikci, by proto měly být přijty z podmínky, že tyto postupy splňují poždvky stnovené pro příslušnou úroveň záruky. ( 1 ) Úř. věst. L 257, , s. 73.

2 L 235/ (7) Obvykle se používjí určité fktory utentizce, jko jsou sdílená tjemství, fyzické prostředky fyzické vlstnosti. Z účelem zvýšení bezpečnosti procesu utentizce by se všk mělo podpořit používání většího počtu fktorů utentizce, zejmén z různých ktegorií fktorů. (8) Tímto nřízením by neměl být dotčen práv právnických osob n zstoupení. V příloze by všk měly být stnoveny poždvky n propojení mezi prostředky pro elektronickou identifikci fyzických právnických osob. (9) Měl by být uznán význm systémů řízení informční bezpečnosti služeb, jkož i význm používání uznných metod upltňování zásd obsžených v normách, jko je řd ISO/IEC ISO/IEC (10) Dále by se měly zohlednit osvědčené postupy v členských státech týkjící se úrovní záruky. (11) Důležitým nástrojem pro ověřování souldu produktů s bezpečnostními poždvky tohoto prováděcího ktu je certifikce bezpečnosti IT systémů zložená n mezinárodních normách. (12) Výbor uvedený v článku 48 nřízení (EU) č. 910/2014 nezujl stnovisko ve lhůtě stnovené předsedou, PŘIJALA TOTO NAŘÍZENÍ: Článek 1 1., znčná vysoká úroveň záruky prostředků pro elektronickou identifikci vydných v rámci oznámeného systému elektronické identifikce se určí s ohledem n specifikce postupy stnovené v příloze. 2. Specifikce postupy stnovené v této příloze se použijí k upřesnění úrovně záruky prostředků pro elektronickou identifikci vydných v rámci oznámeného systému elektronické identifikce určením spolehlivosti kvlity těchto prvků: ) přihlášení, jk je stnoveno v oddíle 2.1 přílohy tohoto nřízení v souldu s čl. 8 odst. 3 písm. ) nřízení (EU) č. 910/2014; b) správy prostředků pro elektronickou identifikci, jk je stnoveno v oddíle 2.2 přílohy tohoto nřízení podle čl. 8 odst. 3 písm. b) f) nřízení (EU) č. 910/2014; c) utentizce, jk je stnoveno v oddíle 2.3 přílohy tohoto nřízení v souldu s čl. 8 odst. 3 písm. c) nřízení (EU) č. 910/2014; d) řízení orgnizce, jk je stnoveno v oddíle 2.4 přílohy tohoto nřízení v souldu s čl. 8 odst. 3 písm. d) e) nřízení (EU) č. 910/ Pokud prostředek pro elektronickou identifikci vydný v rámci oznámeného systému elektronické identifikce splňuje poždvek uvedený ve vyšší úrovni záruky, má se z to, že splňuje odpovídjící poždvek nižší úrovně záruky. 4. Není-li v příslušné části přílohy uvedeno jink, musí být k dosžení poždovné úrovně záruky splněny všechny prvky uvedené v příloze pro konkrétní úroveň záruky prostředků pro elektronickou identifikci vydných v rámci oznámeného systému elektronické identifikce. Článek 2 Toto nřízení vstupuje v pltnost dvcátým dnem po vyhlášení v Úředním věstníku Evropské unie.

3 L 235/9 Toto nřízení je závzné v celém rozshu přímo použitelné ve všech členských státech. V Bruselu dne 8. září Z Komisi předsed Jen-Clude JUNCKER

4 L 235/ PŘÍLOHA Technické specifikce postupy pro nízkou, znčnou vysokou úroveň záruky prostředků pro elektronickou identifikci vydných v rámci oznámeného systému elektronické identifikce 1. Použitelné definice Pro účely této přílohy se použijí tyto definice: 1) spolehlivým zdrojem se rozumí jkýkoli zdroj bez ohledu n svou formu, u něhož se lze spolehnout n to, že poskytuje přesné údje, informce / důkzy, které lze použít k prokázání totožnosti; 2) fktorem utentizce se rozumí fktor, který je prokztelně spojen s osobou spdá do některé z těchto ktegorií: ) fktorem utentizce n zákldě vlstnictví se rozumí fktor utentizce, kdy osob musí prokázt, že jej má ve svém vlstnictví; b) fktorem utentizce n zákldě znlostí se rozumí fktor utentizce, kdy osob musí prokázt jeho znlost; c) inherentním fktorem utentizce se rozumí fktor utentizce, který vychází z fyzické vlstnosti fyzické osoby u něhož musí osob prokázt, že dnou fyzickou vlstnost má; 3) dynmickou utentizcí se rozumí elektronický proces, který s využitím kryptogrfie jiných metod vytváří n požádání elektronický důkz, že osob disponuje identifikčními údji je má ve svém vlstnictví který se mění při kždé utentizci mezi osobou systémem ověřujícím její totožnost; 4) systémem řízení bezpečnosti informcí se rozumí soubor procesů postupů určených ke zmírňování rizik týkjících se bezpečnosti informcí n přijtelné úrovně. 2. Technické specifikce postupy Prvky technických specifikcí postupů uvedené v této příloze se použijí k určení způsobu, jk se poždvky kritéri článku 8 nřízení (EU) č. 910/2014 upltňují n prostředky pro elektronickou identifikci vydné v rámci systému elektronické identifikce Přihlášení Žádost registrce 1. Zjistit, by byl ždtel obeznámen s podmínkmi používání prostředků pro elektronickou identifikci. 2. Zjistit, by byl ždtel obeznámen s doporučenými bezpečnostními optřeními spojenými s používáním prostředků pro elektronickou identifikci. 3. Shromáždit příslušné údje o totožnosti nezbytné pro prokzování ověřování totožnosti.

5 L 235/ Prokzování ověřování totožnosti (fyzická osob) 1. Lze předpokládt, že osob vlstní důkz deklrovné totožnosti uznný členským státem, ve kterém se žádost o prostředek pro elektronickou identifikci podává. 2. Lze předpokládt, že tento důkz je prvý podle spolehlivého zdroje existuje, důkz se jeví být pltným. 3. Spolehlivému zdroji je známo, že deklrovná identit existuje, lze předpokládt, že osob deklrující identitu je jedn ttáž. úroveň nvíc musí být splněn jedn z lterntiv uvedených v bodech 1 ž 4: 1. Bylo ověřeno, že osob vlstní důkz deklrovné totožnosti uznný členským státem, ve kterém se žádost o prostředek pro elektronickou identifikci podává, důkz se zkontroluje, by se zjistilo, zd je prvý, je podle spolehlivého zdroje známo, že důkz existuje vzthuje se ke skutečné osobě, byly podniknuty kroky s cílem minimlizovt riziko, že totožnost osoby není deklrovnou totožností, přičemž bylo zohledněno npříkld riziko ztráty, odcizení, zrušení důkzu pozstvení či vypršení jeho pltnosti; 2. během procesu registrce se předloží dokld totožnosti v členském státě, kde byl dokld vydán, dokld se zjevně vzthuje k osobě, která jej předložil, byly podniknuty kroky s cílem minimlizovt riziko, že totožnost osoby není deklrovnou totožností, přičemž bylo zohledněno npříkld riziko ztráty, odcizení, zrušení dokldů pozstvení či vypršení jejich pltnosti; 3. pokud postupy, které předtím používl veřejný či soukromý subjekt v témže členském státě z jiným účelem než vydávání prostředků pro elektronickou identifikci, zjišťují záruky rovnocenné s postupy stnovenými v oddíle pro znčnou úroveň záruky, nemusí subjekt odpovědný z registrci opkovt tyto dřívější postupy z předpokldu, že tkovou rovnocennou záruku potvrdí subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení Evropského prlmentu Rdy (ES) č. 765/2008 ( 1 ) rovnocenný subjekt; 4. pokud jsou prostředky pro elektronickou identifikci vydány n zákldě pltných oznámených prostředků pro elektronickou identifikci, které mjí znčnou vysokou úroveň záruky, je přitom přihlédnuto k rizikům změny osobních identifikčních údjů, není nutno postupy prokzování ověřování totožnosti opkovt. Pokud prostředek pro elektronickou identifikci sloužící jko zákld nebyl oznámen, musí znčnou vysokou úroveň záruky potvrdit subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt.

6 L 235/ Musí být splněny poždvky bodu 1, bodu 2: 1. úroveň nvíc musí být splněn jedn z lterntiv uvedených v písmenech ) ž c): ) Pokud bylo ověřeno, že osob vlstní důkz totožnosti optřený fotogrfií biometrickými údji uznný členským státem, ve kterém se žádost o prostředky pro elektronickou identifikci podává, že důkz oznčuje deklrovnou totožnost, důkz se zkontroluje, by se zjistilo, zd je podle spolehlivého zdroje pltný, n zákldě srovnání jedné více fyzických vlstností osoby s údji ze spolehlivého zdroje se zjistí, zd se totožnost ždtele shoduje s deklrovnou totožností; b) pokud postupy, které předtím používl veřejný či soukromý subjekt v témže členském státě z jiným účelem než vydávání prostředků pro elektronickou identifikci, zjišťují záruky rovnocenné s postupy stnovenými v oddíle pro vysokou úroveň záruky, nemusí subjekt odpovědný z registrci opkovt tyto dřívější postupy z předpokldu, že tkovou rovnocennou záruku potvrdí subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení Evropského prlmentu Rdy (ES) č. 765/2008 rovnocenný subjekt, jsou podniknuty kroky s cílem prokázt, že výsledky předchozích postupů zůstávjí v pltnosti; c. pokud jsou prostředky pro elektronickou identifikci vydány n zákldě pltného oznámeného prostředku pro elektronickou identifikci, který má znčnou vysokou úroveň záruky, je přitom přihlédnuto k rizikům změny osobních identifikčních údjů, není nutno opkovt postupy prokzování ověřování totožnosti. Pokud prostředek pro elektronickou identifikci sloužící jko zákld nebyl oznámen, musí vysokou úroveň záruky potvrdit subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt, jsou podniknuty kroky s cílem prokázt, že výsledky předchozího postupu vydávání oznámeného prostředku pro elektronickou identifikci zůstávjí v pltnosti. NEBO 2. Pokud ždtel nepředloží žádný uznný důkz totožnosti optřený fotogrfií biometrickými údji, upltní se nprosto stejné postupy, jké se pro získání tkového uznného důkzu totožnosti optřeného fotogrfií biometrickými údji používjí n vnitrostátní úrovni v členském státě subjektu odpovědného z registrci. ( 1 ) Nřízení Evropského prlmentu Rdy (ES) č. 765/2008 ze dne 9. července 2008, kterým se stnoví poždvky n kreditci dozor nd trhem týkjící se uvádění výrobků n trh kterým se zrušuje nřízení (EHS) č. 339/93 (Úř. věst. L 218, , s. 30) Prokzování ověřování totožnosti (právnická osob) 1. Deklrovná totožnost právnické osoby se prokáže n zákldě důkzu uznného členským státem, ve kterém se žádost o prostředek pro elektronickou identifikci podává.

7 L 235/13 2. Důkz se jeví být pltným lze předpokládt, že je prvý že podle spolehlivého zdroje existuje, pokud je zhrnutí právnické osoby do spolehlivého zdroje dobrovolné je uprveno dohodou mezi právnickou osobou spolehlivým zdrojem. 3. Spolehlivému zdroji není známo, že by právnická osob byl v situci, která by jí bránil jednt jko právnická osob. úroveň nvíc musí být splněn jedn z lterntiv uvedených v bodech 1 ž 3: 1. Deklrovná totožnost právnické osoby se prokáže n zákldě důkzu uznného členským státem, ve kterém se žádost o prostředek pro elektronickou identifikci podává, to včetně názvu právnické osoby, její právní formy (přípdně) registrčního čísl, důkz se zkontroluje, by se zjistilo, zd je prvý zd je podle spolehlivého zdroje známo, že existuje, pokud se pro působení právnické osoby v jejím odvětví vyžduje, by byl zhrnut do spolehlivého zdroje, byly podniknuty kroky s cílem minimlizovt riziko, že totožnost právnické osoby není deklrovnou totožností, přičemž bylo zohledněno npříkld riziko ztráty, odcizení, zrušení dokldů pozstvení či vypršení jejich pltnosti; 2. pokud postupy, které předtím používl veřejný či soukromý subjekt v témže členském státě z jiným účelem než vydávání prostředků pro elektronickou identifikci, zjišťují záruky rovnocenné s postupy stnovenými v oddíle pro znčnou úroveň záruky, nemusí subjekt odpovědný z registrci opkovt tyto dřívější postupy z předpokldu, že tkovou rovnocennou záruku potvrdí subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt; 3. pokud jsou prostředky pro elektronickou identifikci vydány n zákldě pltného oznámeného prostředku pro elektronickou identifikci, který má znčnou vysokou úroveň záruky, není nutno opkovt postupy prokzování ověřování totožnosti. Pokud prostředek pro elektronickou identifikci sloužící jko zákld nebyl oznámen, musí znčnou vysokou úroveň záruky potvrdit subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt. úroveň nvíc musí být splněn jedn z lterntiv uvedených v bodech 1 ž 3: 1. Deklrovná totožnost právnické osoby se prokáže n zákldě důkzu uznného členským státem, ve kterém se žádost o prostředek pro elektronickou identifikci podává, to včetně názvu právnické osoby, její právní formy lespoň jednoho jedinečného identifikátoru oznčujícího dnou právnickou osobu, který je používán n vnitrostátní úrovni, důkz se zkontroluje, by se zjistilo, zd je podle spolehlivého zdroje pltný;

8 L 235/ pokud postupy, které předtím používl veřejný či soukromý subjekt v témže členském státě z jiným účelem než vydávání prostředků pro elektronickou identifikci, zjišťují záruky rovnocenné s postupy stnovenými v oddíle pro vysokou úroveň záruky, nemusí subjekt odpovědný z registrci opkovt tyto dřívější postupy z předpokldu, že tkovou rovnocennou záruku potvrdí subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt, jsou podniknuty kroky s cílem prokázt, že výsledky tohoto předchozího postupu zůstávjí v pltnosti; 3. pokud jsou prostředky pro elektronickou identifikci vydány n zákldě pltného oznámeného prostředku pro elektronickou identifikci, který má vysokou úroveň záruky, není nutno opkovt postupy prokzování ověřování totožnosti. Pokud prostředek pro elektronickou identifikci sloužící jko zákld nebyl oznámen, musí vysokou úroveň záruky potvrdit subjekt posuzování shody uvedený v čl. 2 odst. 13 nřízení (ES) č. 765/2008 rovnocenný subjekt, jsou podniknuty kroky s cílem prokázt, že výsledky předchozího postupu vydávání oznámeného prostředku pro elektronickou identifikci zůstávjí v pltnosti Propojení mezi prostředky pro elektronickou identifikci fyzických právnických osob V příslušných přípdech pltí pro propojení mezi prostředky pro elektronickou identifikci fyzické osoby prostředky pro elektronickou identifikci právnické osoby (dále jen propojení ) tyto podmínky: 1) Propojení musí být možné pozstvit / zrušit. Životní cyklus propojení (npř. ktivce, pozstvení, obnovení, zrušení) je sprvován podle vnitrostátně uznávných postupů. 2) Fyzická osob, jejíž prostředek pro elektronickou identifikci je propojen s prostředkem pro elektronickou identifikci právnické osoby, může pověřit vykonáváním propojení jinou fyzickou osobu n zákldě vnitrostátně uznávných postupů. Odpovědnost všk ndále nese pověřující fyzická osob. 3) Propojení se provádí následujícím způsobem: 1. Je ověřeno, že byl prokázán totožnost fyzické osoby, která jedná jménem právnické osoby, n nízké vyšší úrovni. 2. Propojení bylo stnoveno n zákldě vnitrostátně uznávných postupů. 3. Spolehlivému zdroji není známo, že by fyzická osob byl v situci, která by jí bránil jednt jménem právnické osoby. Bod 3 nízké úrovně nvíc: 1. Je ověřeno, že byl prokázán totožnost fyzické osoby, která jedná jménem právnické osoby, n znčné vysoké úrovni.

9 L 235/15 2. Propojení bylo stnoveno n zákldě vnitrostátně uznávných postupů, jejichž výsledkem byl registrce propojení ve spolehlivém zdroji. 3. Propojení bylo ověřeno n zákldě informcí ze spolehlivého zdroje. Bod 3 nízké úrovně bod 2 znčné úrovně nvíc: 1. Je ověřeno, že byl prokázán totožnost fyzické osoby, která jedná jménem právnické osoby, n vysoké úrovni. 2. Propojení bylo ověřeno n zákldě jedinečného identifikátoru oznčujícího právnickou osobu, který je používán n vnitrostátní úrovni, n zákldě informcí ze spolehlivého zdroje, které fyzickou osobu jednoznčně oznčují Správ prostředků pro elektronickou identifikci Vlstnosti form prostředků pro elektronickou identifikci 1. Prostředek pro elektronickou identifikci využívá lespoň jednoho fktoru utentizce. 2. Prostředek pro elektronickou identifikci je nvržen tk, by vydvtel mohl přijmout přiměřené kroky k ověření toho, zd se používá pouze pod kontrolou v rámci vlstnictví osoby, které ptří. 1. Prostředek pro elektronickou identifikci využívá lespoň dvou fktorů utentizce z odlišných ktegorií. 2. Prostředek pro elektronickou identifikci je nvržen tk, by bylo možno předpokládt, že se používá pouze pod kontrolou v rámci vlstnictví osoby, které ptří. úroveň nvíc: 1. Prostředek pro elektronickou identifikci chrání proti vyhotovování duplikátů neoprávněné mnipulci i proti útočníkům s vysokým potenciálem útoku. 2. Prostředek pro elektronickou identifikci je nvržen tk, by jej mohl osob, které ptří, spolehlivě chránit před zneužitím třetí osobou Vydání, doručení ktivce Po vydání je prostředek pro elektronickou identifikci doručen prostřednictvím mechnismu, n zákldě kterého lze předpokládt, že prostředek dostne pouze určená osob. Po vydání je prostředek pro elektronickou identifikci doručen prostřednictvím mechnismu, n zákldě kterého lze předpokládt, že je prostředek předán pouze do vlstnictví osoby, které ptří. V procesu ktivce se ověří, že byl prostředek pro elektronickou identifikci předán pouze do vlstnictví osoby, které ptří.

10 L 235/ Pozstvení, zrušení rektivce 1. Prostředek pro elektronickou identifikci je možné včs účinným způsobem pozstvit / zrušit. 2. Existují optření přijtá s cílem zbránit neoprávněnému pozstvení, zrušení / rektivci. 3. Rektivci je možné provést, pouze pokud budou ndále splněny stejné poždvky n záruku, které byly stnoveny před pozstvením zrušením Obnovení výměn S přihlédnutím k rizikům změny osobních identifikčních údjů musí obnov výměn splňovt stejné poždvky n záruku jko původní prokzování ověřování totožnosti vycházet z pltného prostředku pro elektronickou identifikci se stejnou vyšší úrovní záruky. úroveň nvíc: Pokud obnovení výměn probíhá n zákldě pltného prostředku pro elektronickou identifikci, ověří se údje o totožnosti podle spolehlivého zdroje Autentizce Tento oddíl se změřuje n hrozby související s používáním mechnismu utentizce obshuje poždvky pro kždou úroveň záruky. Kontroly se v tomto oddíle povžují z přiměřené rizikům n dné úrovni Mechnismus utentizce V následující tbulce jsou pro kždou úroveň záruky stnoveny poždvky n mechnismus utentizce, jehož prostřednictvím fyzická právnická osob používá prostředek pro elektronickou identifikci k potvrzení své totožnosti spoléhjící se strně. 1. Vydání osobních identifikčních údjů předchází spolehlivé ověření prostředku pro elektronickou identifikci jeho pltnosti. 2. Pokud jsou osobní identifikční údje uloženy jko součást mechnismu utentizce, jsou tyto informce zbezpečeny proti ztrátě vyzrzení, včetně offline nlýzy. 3. Mechnismus utentizce provádí bezpečnostní kontroly k ověření prostředku pro elektronickou identifikci, tkže je velmi neprvděpodobné, že by činnosti jko hádání, odposlech, reprodukce mnipulce komunikce ze strny útočník se zvýšeným zákldním potenciálem útoku mohly mechnismy utentizce nrušit.

11 L 235/17 úroveň nvíc: 1. Vydání osobních identifikčních údjů předchází spolehlivé ověření prostředku pro elektronickou identifikci jeho pltnosti prostřednictvím dynmické utentizce. 2. Mechnismus utentizce provádí bezpečnostní kontroly k ověření prostředku pro elektronickou identifikci, tkže je velmi neprvděpodobné, že by činnosti jko hádání, odposlech, reprodukce mnipulce komunikce ze strny útočník s mírným potenciálem útoku mohly mechnismy utentizce nrušit. úroveň nvíc: Mechnismus utentizce provádí bezpečnostní kontroly k ověření prostředku pro elektronickou identifikci, tkže je velmi neprvděpodobné, že by činnosti jko hádání, odposlech, opkování mnipulce komunikce ze strny útočník s vysokým potenciálem útoku mohly mechnismy utentizce nrušit Řízení orgnizce Všichni účstníci, kteří poskytují služby související s elektronickou identifikcí v přeshrničním kontextu (dále jen poskytovtelé ), musí mít zvedeny dokumentovné postupy řízení bezpečnosti informcí, politiky, přístupy k řízení rizik dlší uznné kontroly, by správním orgánům příslušným pro systémy elektronické identifikce v jednotlivých členských státech poskytli záruku, že se používjí účinné postupy. Všechny poždvky/prvky v oddíle 2.4 se povžují z přiměřené rizikům n dné úrovni Obecná ustnovení 1. Poskytovteli provozních služeb, n které se vzthuje toto nřízení, jsou orgány veřejné správy právnické osoby uznné jko tkové podle vnitrostátního práv členského státu, které mjí zvedenou orgnizční strukturu jsou plně provozuschopné ve všech úsecích relevntních pro poskytování služeb. 2. Poskytovtelé dodržují všechny právní poždvky, které se n ně vzthují v souvislosti s provozem poskytováním služby, včetně druhů informcí, které je možno poždovt, způsobů ověřování totožnosti upřesnění, jké informce mohou být uchovávány jk dlouho. 3. Poskytovtelé jsou s to prokázt svou schopnost převzít riziko odpovědnosti z škodu, jkož i dosttek finnčních prostředků pro nepřetržitý provoz poskytování služeb. 4. Poskytovtelé nesou odpovědnost z plnění veškerých závzků zdných externím subjektům z dodržování politiky systému, jko by tyto povinnosti plnili smi. 5. Systémy elektronické identifikce, které nebyly zřízeny podle vnitrostátního práv, musí mít zvedeny účinný plán ukončení činnosti. Tento plán musí zhrnovt řádné ukončení služby pokrčování jiným poskytovtelem, způsob, jkým jsou informovány příslušné orgány koneční uživtelé, podrobnosti, jk mjí být chráněny, uchovávány ničeny záznmy v souldu s politikou systému.

12 L 235/ Zveřejněná oznámení informce pro uživtele 1. Existuje zveřejněná definice služby, která zhrnuje všechny pltné podmínky popltky, včetně veškerých omezení jejího používání. Definice služby zhrnuje politiku ochrny osobních údjů. 2. Je nutno zvést vhodnou politiku postupy, které zjistí, by byli uživtelé služby včs spolehlivým způsobem informováni o veškerých změnách definice služeb pltných podmínek politiky ochrny osobních údjů u dné služby. 3. Je nutno zvést vhodné politiky postupy, které zjistí úplné správné odpovědi n žádosti o informce Řízení bezpečnosti informcí Existuje účinný systém řízení bezpečnosti informcí pro řízení kontrolu rizik v oblsti bezpečnosti informcí. úroveň nvíc: Systém řízení bezpečnosti informcí dodržuje osvědčené normy zásdy řízení kontroly rizik v oblsti bezpečnosti informcí. Stejné jko při znčné úrovni Vedení záznmů 1. Zznmenávání uchovávání příslušných informcí prostřednictvím účinného systému správy záznmů při zohlednění pltných právních předpisů osvědčených postupů v souvislosti s ochrnou údjů uchováváním údjů. 2. Uchovávání, pokud to povolují vnitrostátní právní předpisy jiná vnitrostátní správní optření, ochrn záznmů po dobu potřebnou pro účely uditu, vyšetřování přípdů nrušení bezpečnosti ukládání dt jejich následné bezpečné zničení Zřízení personál V následující tbulce jsou uvedeny poždvky týkjící se zřízení personálu přípdně subdodvtelů, kteří vykonávjí úkoly v oblsti působnosti tohoto nřízení. Shod s kždým z poždvků musí být úměrná úrovni rizik spojeného s poskytovnou úrovní záruky.

13 L 235/19 1. Existují postupy, které zjistí, by změstnnci subdodvtelé měli dosttečnou odbornou příprvu dosttečné kvlifikce zkušenosti v dovednostech nutných k výkonu úkolů, které plní. 2. Změstnnci subdodvtelé jsou v dosttečném počtu potřebném k dekvátnímu provozu služby zjištění přiměřených zdrojů v souldu s jejími politikmi postupy. 3. Zřízení používná pro poskytování služby jsou nepřetržitě monitorován chráněn proti škodám způsobeným ekologickými událostmi, neoprávněným přístupem jinými fktory, které mohou ovlivnit bezpečnost služby. 4. Zřízení používná pro poskytování služby zjišťují, že přístup do prostor, v nichž se uchovávjí zprcovávjí osobní, kryptogrfické jiné citlivé informce, mjí pouze oprávnění změstnnci subdodvtelé Technické kontroly 1. Existují přiměřené technické kontroly z účelem řízení rizik ohrožujících bezpečnost služeb n ochrnu důvěrnosti, integrity dostupnosti zprcovávných informcí. 2. Knály elektronické komunikce používné pro výměnu citlivých osobních informcí jsou chráněny proti odposlechu, mnipulci opkování dt ( reply ). 3. Pokud se pro vydávání prostředků pro elektronickou identifikci utentizci používjí citlivé kryptogrfické mteriály, je přístup k nim omezen pouze n úlohy plikce, které přístup bezpodmínečně vyždují. Musí se zjistit, by tkový mteriál nebyl nikdy trvle uchováván jko jednoduchý text. 4. Existují postupy k zjištění toho, by se trvle udržovl bezpečnost bylo možno regovt n změny úrovní rizik, incidenty přípdy nrušení bezpečnosti. 5. Všechny nosiče obshující osobní, kryptogrfické jiné citlivé informce se uchovávjí, přeprvují likvidují bezpečným chráněným způsobem. Stejné jko při nízké úrovni nvíc: Citlivý kryptogrfický mteriál, který se používá pro vydávání prostředků pro elektronickou identifikci utentizci, je chráněn před neoprávněnou mnipulcí. Stejné jko při znčné úrovni Dodržování udit Existují prvidelné interní udity, jejichž rozsh zhrnuje všechny úseky týkjící se poskytování služeb, by se zjistilo dodržování příslušné politiky.

14 L 235/ Existují prvidelné nezávislé interní externí udity, jejichž rozsh zhrnuje všechny úseky týkjící se poskytování služeb, by se zjistilo dodržování příslušné politiky. 1. Existují prvidelné nezávislé externí udity, jejichž rozsh zhrnuje všechny úseky týkjící se poskytování služeb, by se zjistilo dodržování příslušné politiky. 2. Sprvuje-li systém přímo orgán veřejné správy, probíhá udit v souldu s vnitrostátními právními předpisy.