European flag

Europos Sąjungos
oficialusis leidinys

LT

L serija

2025/1567

2025 7 30

KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2025/1567

2025 m. liepos 29 d.

kuriuo dėl nuotolinių kvalifikuotų elektroninio parašo kūrimo įtaisų ir nuotolinių kvalifikuotų elektroninio spaudo kūrimo įtaisų administravimo, kaip kvalifikuotos patikimumo užtikrinimo paslaugos, nustatomos Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 taikymo taisyklės

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,

atsižvelgdama į 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentą (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB (1), ypač į jo 29a straipsnio 2 dalį ir 39a straipsnį,

kadangi:

(1)

kvalifikuotos patikimumo užtikrinimo paslaugos, kuriomis valdomi nuotoliniai kvalifikuoti elektroninio parašo kūrimo įtaisai ir nuotoliniai kvalifikuoti elektroninio spaudo kūrimo įtaisai, turi labai svarbias funkcijas skaitmeninėje verslo aplinkoje, nes jomis skatinama pereiti nuo įprastų popieriniais dokumentais grindžiamų procesų prie lygiaverčių elektroninių alternatyvų. Kvalifikuotos patikimumo užtikrinimo paslaugos padeda spaudus pasirašiusių ir sukūrusių asmenų vardu saugiai ir patikimai valdyti tokius nuotolinius prietaisus, užtikrinant, kad būtų laikomasi kvalifikuotų elektroninių parašų ir kvalifikuotų elektroninių spaudų sąlygų;

(2)

siekiant didinti kvalifikuotų patikimumo užtikrinimo paslaugų, kuriomis valdomi nuotoliniai kvalifikuoti elektroninio parašo kūrimo įtaisai ir nuotoliniai kvalifikuoti elektroninio spaudo kūrimo įtaisai, teikimo teisinį tikrumą ir tokių paslaugų patikimumą, jas teikiantys kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai turėtų laikytis šiame reglamente nustatytų standartų;

(3)

šie standartai turėtų atitikti nusistovėjusią praktiką ir būti plačiai pripažįstami atitinkamuose sektoriuose. Jie turėtų būti su pakeitimais, kad juose būtų numatytos kontrolės priemonės, kuriomis užtikrinamas kvalifikuotų patikimumo užtikrinimo paslaugų saugumas ir patikimumas, taip pat užtikrinama, kad tik pasirašantys asmenys, užsitikrinę aukštą patikimumo lygį, galėtų kontroliuoti savo elektroninio parašo kūrimo duomenų naudojimą ir atitinkamai, kad spaudo kūrėjai kontroliuotų savo elektroninio spaudo kūrimo duomenų naudojimą;

(4)

kad užtektų laiko patikimumo užtikrinimo paslaugų teikėjų auditui, susijusiam su naujaisiais reikalavimais, šis reglamentas turėtų būti taikomas po 24 mėnesių nuo jo įsigaliojimo dienos;

(5)

Komisija reguliariai vertina naujas technologijas, praktiką, standartus ar technines specifikacijas. Pagal Europos Parlamento ir Tarybos reglamento (ES) 2024/1183 (2) 75 konstatuojamąją dalį, Komisija prireikus turėtų šį reglamentą peržiūrėti ir atnaujinti, kad jis atitiktų pasaulinius pokyčius, naujas technologijas, standartus arba technines specifikacijas ir atitiktų geriausią vidaus rinkos praktiką;

(6)

visų asmens duomenų tvarkymo veiklai pagal šį reglamentą turėtų būti taikomas Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 (3) ir, kai aktualu, Europos Parlamento ir Tarybos direktyva 2002/58/EB (4);

(7)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (5) 42 straipsnio 1 dalimi, konsultuotasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė nuomonę 2025 m. birželio 6 d.;

(8)

šiame reglamente nustatytos priemonės atitinka pagal Reglamento (ES) Nr. 910/2014 48 straipsnį įsteigto komiteto nuomonę,

PRIĖMĖ ŠĮ REGLAMENTĄ:

1 straipsnis

Referenciniai standartai ir specifikacijos

Reglamento (ES) Nr. 910/2014 29a straipsnio 2 dalyje ir 39a straipsnyje nurodyti nuotolinių kvalifikuotų elektroninio parašo kūrimo įtaisų ir nuotolinių kvalifikuotų elektroninio spaudo kūrimo įtaisų administravimo referenciniai standartai ir specifikacijos nustatyti šio reglamento priede.

2 straipsnis

Įsigaliojimas ir taikymas

Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

Šis reglamentas taikomas nuo 2027 m. rugpjūčio 19 d.

Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.

Priimta Briuselyje 2025 m. liepos 29 d.

Komisijos vardu

Pirmininkė

Ursula VON DER LEYEN

(1)   OL L 257, 2014 8 28, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2)   2024 m. balandžio 11 d. Europos Parlamento ir Tarybos reglamentas (ES) 2024/1183, kuriuo iš dalies keičiamas Reglamentas (ES) Nr. 910/2014, kiek tai susiję su Europos skaitmeninės tapatybės sistemos nustatymu (OL L, 2024/1183, 2024 4 30, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3)   2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)   2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002 7 31, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5)   2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB, (OL L 295, 2018 11 21, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

PRIEDAS

Nuotolinių kvalifikuotų elektroninio parašo kūrimo įtaisų ir nuotolinių kvalifikuotų elektroninio spaudo kūrimo įtaisų administravimo referencinių standartų ir specifikacijų sąrašas

Kai reikia įvertinti atitiktį ES pasirašymo serverių paslaugų politikai (v2) (angl. EU Server Signing Application Service Policy, SSASP) pagal standarto ETSI TS 119 431-1 V1.3.1 (2024-12) („ETSI TS 119 431-1“) A priedą, tas standartas taikomas su šiais pakeitimais:

1)

2.1. Norminės nuorodos

—

[1] ETSI EN 319 401 V3.1.1 (2024-06) „Elektroniniai parašai ir patikimumo infrastruktūros (ESI). Bendrieji politikos reikalavimai patikimumo užtikrinimo paslaugų teikėjams“ (Electronic Signatures and Trust Infrastructures (ESI). General Policy Requirements for Trust Service Providers),

—

[7] Europos kibernetinio saugumo sertifikavimo grupės kriptografijos pogrupis. „Suderintieji kriptografijos mechanizmai“ (Agreed Cryptographic Mechanisms), paskelbė Europos Sąjungos kibernetinio saugumo agentūra (ENISA) (1);

2)

6.1. Paskelbimas ir saugyklos pareigos

—

OVR-6.1-04. Pirmiau nurodytame OVR-6.1-01 punkte nustatyta informacija skelbiama viešai ir tarptautiniu mastu;

3)

6.4.4. Darbuotojų kontrolės priemonės

—

OVR-6.4.4-02. Įgyvendinant pasirašymo serverių paslaugų politiką (SSASP), pasitikėjimo funkcijoms atlikti įdarbinami asmenys arba, jei taikytina, samdomi rangovai, turintys būtinas ekspertines žinias, patirtį ir kvalifikaciją įgytą baigus oficialų mokymą ir patvirtintą pažymėjimais, ir (arba) patirties,

—

OVR-6.4.4-03. Kad būtų užtikrinta atitiktis OVR-6.4.4-02 punktui, reikia reguliariai (bent kas 12 mėnesių) atnaujinti žinias apie naujausias grėsmes ir šiuolaikinius saugumo užtikrinimo metodus;

4)

6.4.9. SSASP paslaugų teikimo nutraukimas

—

OVR-6.4.9-02. SSASP nutraukimo planas atitinka įgyvendinimo aktus, priimtus pagal Reglamento (ES) Nr. 910/2014 [i.1] 24 straipsnio 5 dalį;

5)

6.5.5. Tinklo saugumo kontrolės priemonės

—

OVR-6.5.5-02. Silpnųjų vietų paieška, kurios reikalaujama pagal standarto ETSI EN 319 401 [1] REQ-7.8-13 punktą, atliekama bent kartą per ketvirtį,

—

OVR-6.5.5-03. Užkardos sureguliuojamos taip, kad nepraleistų jokių protokolų ir neleistų jokios prieigos, kurių nereikia patikimumo užtikrinimo paslaugų teikėjo veikimui;

6)

6.8.5. Kriptografijos kontrolės priemonės

—

OVR-6.8.5-01. Turi būti įdiegtos tinkamos saugumo kontrolės priemonės visiems SSASP kriptografijos metodams valdyti per visą jų gyvavimo ciklą,

—

OVR-6.8.5-02. Apie OVR-6.8.5-01 punktą pasakytina, kad pagal SSASP turi būti pasirenkami ir taikomi tinkami kriptografijos metodai, atitinkantys Europos kibernetinio saugumo sertifikavimo grupės patvirtintus ir ENISA paskelbtus suderintuosius kriptografijos mechanizmus [7];

7)

A priedas, A.3 skirsnis „Bendrieji reikalavimai“

—

OVR-A.3-02 [EUSPv2]. Patikimumo užtikrinimo paslaugų teikėjo praktikos pareiškime pateikiama nuoroda į kvalifikuoto elektroninio parašo kūrimo įtaiso, kuriam taikomi Reglamento (ES) Nr. 910/2014 [i.1] II priedo reikalavimai, sertifikavimą.

(1)   https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.

ELI: http://data.europa.eu/eli/reg_impl/2025/1567/oj

ISSN 1977-0723 (electronic edition)