European flag

Europos Sąjungos
oficialusis leidinys

LT

L serija

2025/2532

2025 12 17

KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2025/2532

2025 m. gruodžio 16 d.

kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 nuostatų, susijusių su kvalifikuotų elektroninio archyvavimo paslaugų referenciniais standartais ir specifikacijomis, taikymo taisyklės

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,

atsižvelgdama į 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentą (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB (1), ypač į jo 45j straipsnio 2 dalį,

kadangi:

(1)

naujų patikimumo užtikrinimo paslaugų ir kvalifikuotų patikimumo užtikrinimo paslaugų, įskaitant kvalifikuotą elektroninio archyvavimo paslaugą, sąrašas į Reglamentą (ES) Nr. 910/2014 įtrauktas Europos Parlamento ir Tarybos reglamentu (ES) 2024/1183 (2); Komisija turi parengti tokioms paslaugoms taikomų referencinių standartų sąrašą ir, jei būtina, nustatyti tokių paslaugų specifikacijas;

(2)

elektroninis archyvavimas – paslauga, kuria užtikrinamas elektroninių duomenų ir elektroninių dokumentų gavimas, saugojimas, paieška ir šalinimas, siekiant užtikrinti jų patvarumą ir įskaitomumą, taip pat išsaugoti jų vientisumą, konfidencialumą ir kilmės įrodymą visą saugojimo laikotarpį. Kvalifikuotos elektroninio archyvavimo paslaugos elektroninėje verslo erdvėje labai svarbios, nes jomis skatinama pereiti nuo įprastų popieriniais dokumentais grindžiamų procesų prie lygiaverčių elektroninių alternatyvų. Sudaryti bendrą kvalifikuotų elektroninio archyvavimo paslaugų specifikacijų rinkinį būtina tam, kad visą laiką, kol elektroninius duomenis ir elektroninius dokumentus saugo kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas, būtų galima daryti tų duomenų bei dokumentų vientisumo ir kilmės prielaidą ir pasiekti aukštą skaidrumo bei pasitikėjimo lygį visiems dalyviams visą informacijos gyvavimo ciklą;

(3)

kvalifikuotos patikimumo užtikrinimo paslaugos turėtų būti naudojamos siekiant padidinti kvalifikuotų elektroninio archyvavimo paslaugų įrodomąją vertę, saugumą ir patikimumą, kai elektroniniai parašai, elektroniniai spaudai arba elektroninės laiko žymos naudojami, pavyzdžiui, archyvavimo įrodymų, įrodymų įrašų, įvykių įrašų, procedūrų teisingo atlikimo įrašų arba archyvavimo patvirtinimo ataskaitų kūrimui, pasirašymui, antspaudavimui arba datos ir laiko patvirtinimui;

(4)

Reglamento (ES) Nr. 910/2014 45j straipsnio 2 dalyje numatyta atitikties užtikrinimo prielaida turėtų būti daroma, jei kvalifikuotos elektroninio archyvavimo paslaugos atitinka šiame reglamente nustatytus reikalavimus. Priede nurodyti referenciniai standartai, taikomi kvalifikuotoms elektroninio archyvavimo paslaugoms, turėtų atitikti nusistovėjusią praktiką ir būti plačiai pripažįstami atitinkamuose sektoriuose. Jie turėtų būti pritaikyti taip, kad apimtų papildomas kontrolės priemones, kuriomis garantuojamas kvalifikuotų elektroninio archyvavimo paslaugų saugumas ir patikimumas;

(5)

jei patikimumo užtikrinimo paslaugų teikėjas laikosi šiame reglamente nustatytų reikalavimų, priežiūros įstaigos turėtų daryti prielaidą, kad jis laikosi ir aktualių Reglamento (ES) Nr. 910/2014 reikalavimų, ir tinkamai į tokią prielaidą atsižvelgti, kad suteiktų arba patvirtintų patikimumo užtikrinimo paslaugos kvalifikacijos statusą. Tačiau įrodyti, kad laikosi Reglamento (ES) Nr. 910/2014 reikalavimų, kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas gali ir kitais būdais;

(6)

kad būtų išsaugotas elektroninių duomenų ir elektroninių dokumentų su vienu arba daugiau kvalifikuotų elektroninių parašų arba spaudų vientisumas ir kilmės įrodymas, teikiant kvalifikuotas elektroninio archyvavimo paslaugas turėtų būti taikomos procedūros ir technologijos, kuriomis tų elektroninių parašų ir spaudų patikimumą galima užtikrinti ilgiau nei technologinio galiojimo laikotarpiu – bent visą saugojimo laikotarpį;

(7)

Komisija reguliariai vertina naujas technologijas, praktiką, standartus ar technines specifikacijas. Pagal Reglamento (ES) 2024/1183 75 konstatuojamąją dalį, Komisija šį reglamentą turėtų peržiūrėti ir prireikus atnaujinti, kad jis atitiktų pasaulinius pokyčius, naujas technologijas, praktiką, standartus arba technines specifikacijas ir atitiktų geriausią vidaus rinkos praktiką;

(8)

asmens duomenų tvarkymo veiklai pagal šį reglamentą taikomas Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 (3) ir, kai aktualu, Europos Parlamento ir Tarybos direktyva 2002/58/EB (4);

(9)

vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (5) 42 straipsnio 1 dalimi, konsultuotasi su Europos duomenų apsaugos priežiūros pareigūnu ir jis pateikė nuomonę (6)2025 m. spalio 21 d.;

(10)

šiame reglamente numatytos priemonės atitinka pagal Reglamento (ES) Nr. 910/2014 48 straipsnį įsteigto komiteto nuomonę,

PRIĖMĖ ŠĮ REGLAMENTĄ:

1 straipsnis

Dokumentų su kvalifikuotu elektroniniu parašu arba kvalifikuotu elektroniniu spaudu elektroninis archyvavimas

1.   Kvalifikuotų elektroninio archyvavimo paslaugų teikėjai elektroninius duomenis arba elektroninius dokumentus su kvalifikuotais elektroniniais parašais arba kvalifikuotais elektroniniais spaudais archyvuoja užtikrindami, kad būtų išlaikytas tų kvalifikuotų elektroninių parašų arba kvalifikuotų elektroninių spaudų patikimumas (net kai jų technologinio galiojimo laikotarpis pasibaigęs) ir kad kvalifikuotų elektroninių parašų ir spaudų vientisumas ir kilmės tikslumas būtų išlaikytas bent iki teisinio arba sutartinio saugojimo laikotarpio pabaigos.

2.   1 dalies tikslais kvalifikuotų elektroninio archyvavimo paslaugų teikėjai gali kvalifikuotiems elektroniniams parašams arba kvalifikuotiems elektroniniams spaudams pasitelkti kvalifikuotas ilgalaikio išsaugojimo paslaugas.

2 straipsnis

Kvalifikuotų elektroninio archyvavimo paslaugų teikimo referenciniai standartai ir specifikacijos

Reglamento (ES) Nr. 910/2014 45j straipsnio 2 dalyje nurodyti referenciniai standartai ir specifikacijos nustatomi šio reglamento priede.

3 straipsnis

Įsigaliojimas

Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.

Priimta Briuselyje 2025 m. gruodžio 16 d.

Komisijos vardu

Pirmininkė

Ursula VON DER LEYEN

(1)   OL L 257, 2014 8 28, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2)   2024 m. balandžio 11 d. Europos Parlamento ir Tarybos reglamentas (ES) 2024/1183, kuriuo iš dalies keičiamas Reglamentas (ES) Nr. 910/2014, kiek tai susiję su Europos skaitmeninės tapatybės sistemos nustatymu, (OL L, 2024/1183, 2024 4 30, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(3)   2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)   2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002 7 31, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(5)   2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018 11 21, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(6)   Europos duomenų apsaugos priežiūros pareigūno oficialios pastabos dėl įgyvendinimo reglamento, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 nuostatų, susijusių su kvalifikuotų elektroninio archyvavimo paslaugų referenciniais standartais ir specifikacijomis, taikymo taisyklės, projekto.

PRIEDAS

Kvalifikuotoms elektroninio archyvavimo paslaugoms taikomų referencinių standartų sąrašas

Standartas CEN/TS 18170:2025 (toliau – CEN/TS 18170) taikomas su šiais pakeitimais:

a)

Norminės nuorodos (2 punktas)

—

ETSI EN 319 401 V3.1.1 (2024-06) „Elektroniniai parašai ir patikimumo infrastruktūros (EPI). Bendrieji politikos reikalavimai patikimumo užtikrinimo paslaugų teikėjams“

—

ETSI EN 319 421 V1.3.1 (2025-07) „Elektroniniai parašai ir infrastruktūros (EPI). Politikos ir saugumo reikalavimai, keliami laiko žymas išduodantiems patikimumo užtikrinimo paslaugų teikėjams“

—

ISO 14721:2025 „Erdvinių duomenų sistemos praktika. Atvirosios archyvavimo informacijos sistemos (OAIS) bazinis modelis“

—

ACM-ECCG, Europos kibernetinio saugumo sertifikavimo grupės šifravimo klausimų pogrupis „Suderintieji šifravimo mechanizmai“, paskelbė Europos Sąjungos kibernetinio saugumo agentūra (ENISA)

—

Komisijos įgyvendinimo reglamentas (ES) 2024/482 (1)

—

Komisijos įgyvendinimo reglamentas (ES) 2024/3144 (2)

—

ISO/IEC 15408:2022 (1–5 dalys) „Informacijos saugumas, kibernetinis saugumas ir privatumo apsauga. IT saugumo įvertinimo kriterijai“

—

FIPS PUB 140-3 (2019) „Šifravimo modulių saugumo reikalavimai“

b)

Politika ir praktikos pareiškimas (6.1 punktas)

—

Taikomi specifikacijos CEN/TS 18170 6.1 punkto reikalavimai.

—

Taikomi standarto ETSI EN 319 401 5 punkto reikalavimai.

—

Elektroninio archyvavimo patikimumo užtikrinimo paslaugos teikėjas (toliau – EATSP) nustato procedūrą, pagal kurią priežiūros įstaigai praneša apie visus elektroninio archyvavimo patikimumo užtikrinimo paslaugos teikimo pakeitimus ir apie ketinimą nutraukti tokią veiklą, kaip numatyta verslo reikalavimuose ir aktualiuose įstatymuose ir kituose teisės aktuose, įskaitant pagal Reglamento (ES) Nr. 910/2014 [i.2] 24 straipsnio 5 dalį priimtų įgyvendinimo aktų reikalavimus.

—

EATSP pranešimus kompetentingai priežiūros įstaigai pateikia bent prieš:

—

mėnesį iki pakeitimo įgyvendinimo,

—

tris mėnesius iki patikimumo užtikrinimo paslaugos teikimo planuoto nutraukimo.

c)

Sąlygos (6.2 punktas)

—

Taikomi specifikacijos CEN/TS 18170 6.2 punkto reikalavimai.

—

Abonentai ir šalys, pasikliaujantys elektroninio archyvavimo patikimumo užtikrinimo paslauga, apie konkrečias sąlygas aiškiai, suprantamai ir lengvai prieinamu būdu viešoje erdvėje ir individualiai informuojami iki sutartinių santykių užmezgimo.

d)

Žmogiškieji ištekliai (7.3 punktas)

—

Taikomi specifikacijos CEN/TS 18170 7.3 punkto reikalavimai.

—

Pasitikėjimo funkcijas vykdantys EATSP darbuotojai ir, jei taikytina, pasitikėjimo funkcijas vykdantys samdomi rangovai turi būti pajėgūs įvykdyti reikalavimą turėti būtinų ekspertinių žinių, patirties ir kvalifikaciją, įgytą baigus oficialų mokymą ir patvirtintą pažymėjimais, ir (arba) praktinės patirties. Tam reikia reguliariai (bent kas 12 mėnesių) atnaujinti žinias apie naujausias grėsmes ir šiuolaikinę saugumo užtikrinimo praktiką.

e)

Šifravimo kontrolės priemonės ir stebėjimas (7.6 punktas)

—

Archyvavimo sistema duomenų ir dokumentų slaptumą turi užtikrinti per visą archyvo gyvavimo ciklą – nuo jo sukūrimo iki sunaikinimo.

—

Taikomi standarto ETSI EN 319 401 7.5 papunktyje „Šifravimo kontrolės priemonės“ nustatyti reikalavimai.

—

Duomenų, kuriuos reikia suarchyvuoti elektroninio archyvavimo sistemoje, kilmę nustato EATSP. Jei EATSP tam naudoja elektroninius parašus arba elektroninius spaudus, tie elektroniniai parašai turi būti kvalifikuoti.

—

Jei EATSP elektroniniu būdu pasirašo skaitmeninį objektą arba įrašą (tokio objekto arba įrašo dalį), EATSP privatusis pasirašymo raktas turi būti laikomas ir naudojamas arba kvalifikuotame elektroniniame parašo ar spaudo kūrimo įtaise, arba saugiojo šifravimo įtaise, kuris yra patikima sistema, sertifikuota pagal:

a)

standarte ISO/IEC 15408 arba Bendrųjų IT saugumo srities kriterijų sertifikatų pripažinimo susitarimo dalyvių paskelbtuose Bendruosiuose informacinių technologijų saugumo vertinimo kriterijuose (redakcija CC:2022, 1–5 dalys) nustatytus bendruosius informacinių technologijų saugumo vertinimo kriterijus ir sertifikuota ne žemesniu kaip 4-uoju vertinimo užtikrinimo lygiu (EAL) arba

b)

bendraisiais kriterijais grindžiamą Europos kibernetinio saugumo sertifikavimo schemą (Komisijos įgyvendinimo reglamentas (ES) 2024/482, Komisijos įgyvendinimo reglamentas (ES) 2024/3144) ir sertifikuota ne žemesniu kaip 4-uoju vertinimo užtikrinimo lygiu (EAL), arba

c)

iki 2030 m. gruodžio 31 d. – 3-čiojo lygio FIPS PUB 140-3.

—

Remiantis rizikos analize ir atsižvelgiant į fizines ir kitas netechnines saugumo priemones, toks sertifikavimas turi atitikti saugumo tikslą arba apsaugos profilį, arba modulio sandarą ir saugumo dokumentus, kad atitiktų šio dokumento reikalavimus.

—

Jei saugiam šifravimo įrenginiui taikomas bendraisiais kriterijais grindžiamos Europos kibernetinio saugumo sertifikavimo schemos (EUCC) (Komisijos įgyvendinimo reglamentas (ES) 2024/482, Komisijos įgyvendinimo reglamentas (ES) 2024/3144) sertifikatas, toks įrenginys turi būti sukonfigūruotas ir naudojamas pagal tą sertifikatą.

—

EATSP stebi naudoto algoritmo / naudojamų algoritmų šifravimo stiprumą. Jei manoma, kad vienas iš naudojamų algoritmų arba parametrų taps netinkamas atsižvelgiant į rizikos valdymo apibrėžtį, EATSP arba atnaujina susijusią archyvavimo politiką, arba sukuria naują archyvavimo profilį, kad būtų galima tvarkyti archyvavimo informacijos paketus (AIP) ir apibrėžti bei taikyti atitinkamas priemones.

—

Šifravimo algoritmų vertinimas ir tai, kaip juos naudoja EATSP, turi atitikti suderintuosius šifravimo mechanizmus, kuriems pritarė Europos kibernetinio saugumo sertifikavimo grupė ir paskelbė ENISA (ACM-ECCG).

—

Elektroninio archyvavimo patikimumo užtikrinimo paslaugos techniniai komponentai vienas kito tapatumą prieš užmegzdami ryšį turi patvirtinti šifravimo metodais.

f)

Tinklas (7.9 punktas)

—

Taikomi standarto ETSI EN 319 401 7.8 punkte „Tinklo saugumas“ nustatyti reikalavimai.

—

Silpnųjų vietų paieška, kurios reikalaujama pagal standarto ETSI EN 319 401 REQ-7.8-13 punktą, atliekama bent kartą per ketvirtį.

—

Įsiskverbimo bandymas, kurio reikalaujama pagal standarto ETSI EN 319 401 REQ-7.8-17X punktą, atliekamas bent kartą per metus.

—

Užkardos sureguliuojamos taip, kad nepraleistų jokių protokolų ir neleistų jokios prieigos, kurių nereikia EATSP veiklai.

g)

Įrodymų rinkimas (7.11 punktas)

—

Taikomi standarto ETSI EN 319 401 7.10 papunktyje „Įrodymų rinkimas“ nustatyti reikalavimai, įskaitant kritinių ir nekritinių įvykių įrodymus (žr. 13.2 papunktį).

h)

EATSP veiklos nutraukimas ir veiklos nutraukimo planas (7.13 punktas)

—

Taikomi specifikacijos CEN/TS 18170 7.13 punkto reikalavimai.

—

EATSP veiklos nutraukimo planas turi atitikti įgyvendinimo aktų, priimtų pagal Reglamento (ES) Nr. 910/2014 24 straipsnio 5 dalį, reikalavimus.

i)

Patikimas įvykių laikas (13.3.1 punktas)

—

Taikomi specifikacijos CEN/TS 18170 13.3.1 punkto reikalavimai.

—

Jei EATSP naudoja laiko žymas, jos turi būti kvalifikuotos laiko žymos.

(1)   2024 m. sausio 31 d. Komisijos įgyvendinimo reglamentas (ES) 2024/482, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2019/881 taikymo taisyklės dėl bendraisiais kriterijais grindžiamos Europos kibernetinio saugumo sertifikavimo schemos (EKSSS) priėmimo, (OL L, 2024/482, 2024 2 7, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(2)   2024 m. gruodžio 18 d. Komisijos įgyvendinimo reglamentas (ES) 2024/3144, kuriuo iš dalies keičiamos Įgyvendinimo reglamento (ES) 2024/482 nuostatos dėl taikytinų tarptautinių standartų ir tas reglamentas ištaisomas, (OL L, 2024/3144, 2024 12 19, ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj).

ELI: http://data.europa.eu/eli/reg_impl/2025/2532/oj

ISSN 1977-0723 (electronic edition)