For å sikre at det indre marked fungerer på en tilfredsstillende måte, og for å oppnå et egnet sikkerhetsnivå for elektroniske identifikasjonsmidler og tillitstjenester er formålet med denne forordning å

• a) fastsette vilkårene for medlemsstatenes anerkjennelse av midler for elektronisk identifikasjon av fysiske og juridiske personer som omfattes av en meldt ordning for elektronisk identifikasjon i en annen medlemsstat,

• b) fastsette regler for tillitstjenester, særlig for elektroniske transaksjoner, og

• c) fastsette en rettslig ramme for elektroniske signaturer, elektroniske segl, elektroniske tidsstempler, elektroniske dokumenter, elektroniske tjenester for registrert sending og sertifikattjenester for nettstedsautentisering.

• 1. Denne forordning får anvendelse på ordninger for elektronisk identifikasjon som er meldt av en medlemsstat, og på tilbydere av tillitstjenester som er etablert i Unionen.

• 2. Denne forordning får ikke anvendelse på tillitstjenester som utelukkende benyttes i lukkede systemer som følge av nasjonal lovgivning eller avtaler mellom en definert gruppe av deltakere.

• 3. Denne forordning berører ikke nasjonal lovgivning eller unionsretten som gjelder inngåelse av kontrakter eller kontrakters gyldighet eller andre formelle juridiske eller prosedyremessige forpliktelser med hensyn til formkrav.

I denne forordning menes med:

• 1) «elektronisk identifikasjon» en prosess som omfatter bruk av personidentifikasjonsdata i elektronisk form som på en entydig måte representerer enten en fysisk eller juridisk person, eller en fysisk person som representerer en juridisk person,

• 2) «elektronisk identifikasjonsmiddel» en materiell og/eller immateriell enhet som inneholder personidentifikasjonsdata, og som brukes til autentisering av en nettbasert tjeneste,

• 3) «personidentifikasjonsdata» et datasett som gjør det mulig å fastslå identiteten til en fysisk eller juridisk person, eller en fysisk person som representerer en juridisk person,

• 4) «ordning for elektronisk identifikasjon» et system for elektronisk identifikasjon der det utstedes elektroniske identifikasjonsmidler til fysiske eller juridiske personer, eller til fysiske personer som representerer juridiske personer,

• 5) «autentisering» en elektronisk prosess som gjør det mulig å bekrefte den elektroniske identifikasjonen av en fysisk eller juridisk person, eller opprinnelsen og integriteten til data i elektronisk form,

• 6) «tjenestebruker» en fysisk eller juridisk person som benytter seg av elektronisk identifikasjon eller en tillitstjeneste,

• 7) «offentlig organ» en statlig, regional eller lokal myndighet, et offentligrettslig organ eller en sammenslutning av én eller flere av nevnte myndigheter eller ett eller flere av nevnte offentligrettslige organer, eller en privat enhet med mandat fra minst én av nevnte myndigheter, organer eller sammenslutninger til å tilby offentlige tjenester, når den opptrer i henhold til et slikt mandat,

• 8) «offentligrettslig organ» et organ som definert i artikkel 2 nr. 1 punkt 4 i europaparlaments- og rådsdirektiv 2014/24/EU(¹⁵),

• 9) «underskriver» en fysisk person som framstiller en elektronisk signatur,

• 10) «elektronisk signatur» data i elektronisk form som er lagt ved eller er logisk knyttet til andre data i elektronisk form, og som underskriveren bruker til å signere,

• 11) «avansert elektronisk signatur» en elektronisk signatur som oppfyller kravene fastsatt i artikkel 26,

• 12) «kvalifisert elektronisk signatur» en avansert elektronisk signatur som er framstilt ved hjelp av et kvalifisert elektronisk signaturframstillingssystem, og som bygger på et kvalifisert sertifikat for elektroniske signaturer,

• 13) «elektroniske signaturframstillingsdata» entydige data som underskriveren bruker til å framstille en elektronisk signatur,

• 14) «sertifikat for elektronisk signatur» en elektronisk attest som knytter valideringsdata for en elektronisk signatur til en fysisk person og minst bekrefter denne personens navn eller pseudonym,

• 15) «kvalifisert sertifikat for elektronisk signatur» et sertifikat for elektroniske signaturer som er utstedt av en kvalifisert tilbyder av tillitstjenester, og som oppfyller kravene fastsatt i vedlegg I,

• 16) «tillitstjeneste» en elektronisk tjeneste som normalt tilbys mot betaling, og som består av

  • a) framstilling, kontroll og validering av elektroniske signaturer, elektroniske segl eller elektroniske tidsstempler, elektroniske tjenester for registrert sending og sertifikater knyttet til slike tjenester eller

  • b) framstilling, kontroll og validering av sertifikater for nettstedsautentisering eller

  • c) bevaring av elektroniske signaturer, segl eller sertifikater knyttet til slike tjenester,

• 17) «kvalifisert tillitstjeneste» en tillitstjeneste som oppfyller gjeldende krav fastsatt i denne forordning,

• 18) «samsvarsvurderingsorgan» et organ som definert i artikkel 2 nr. 13 i forordning (EF) nr. 765/2008, som er akkreditert i samsvar med nevnte forordning som kompetent til å utføre samsvarsvurdering av en kvalifisert tilbyder av tillitstjenester og de kvalifiserte tillitstjenestene denne leverer,

• 19) «tilbyder av tillitstjenester» en fysisk eller juridisk person som leverer en eller flere tillitstjenester som tilbyder av enten kvalifiserte eller ikke-kvalifiserte tillitstjenester,

• 20) «kvalifisert tilbyder av tillitstjenester» en tilbyder av tillitstjenester som leverer en eller flere kvalifiserte tillitstjenester, og som har fått tildelt status som kvalifisert av tilsynsorganet,

• 21) «produkt» maskinvare eller programvare, eller relevante maskin- eller programvarekomponenter, beregnet på bruk i forbindelse med levering av tillitstjenester,

• 22) «elektronisk signaturframstillingssystem» konfigurert programvare eller maskinvare som brukes til framstilling av en elektronisk signatur,

• 23) «kvalifisert elektronisk signaturframstillingssystem» et elektronisk signaturframstillingssystem som oppfyller kravene fastsatt i vedlegg II,

• 24) «seglframstiller» en juridisk person som framstiller et juridisk segl,

• 25) «elektronisk segl» data i elektronisk form som er lagt ved eller er logisk knyttet til andre data i elektronisk form for å sikre sistnevntes opprinnelse og integritet,

• 26) «avansert elektronisk segl» et elektronisk segl som oppfyller kravene i artikkel 36,

• 27) «kvalifisert elektronisk segl» et avansert elektronisk segl som er framstilt ved hjelp av et kvalifisert elektronisk seglframstillingssystem, og som bygger på et kvalifisert sertifikat for elektroniske segl,

• 28) «elektroniske seglframstillingsdata» entydige data som framstilleren av det elektroniske seglet bruker til å framstille et elektronisk segl,

• 29) «sertifikat for elektronisk segl» en elektronisk attest som knytter valideringsdata for et elektronisk segl til en juridisk person og bekrefter denne personens navn,

• 30) «kvalifisert sertifikat for elektronisk segl» et sertifikat for et elektronisk segl som er utstedt av en kvalifisert tilbyder av tillitstjenester, og som oppfyller kravene fastsatt i vedlegg III,

• 31) «elektronisk seglframstillingssystem» konfigurert programvare eller maskinvare som brukes til framstilling av et elektronisk segl,

• 32) «kvalifisert elektronisk seglframstillingssystem» et elektronisk seglframstillingssystem som med de nødvendige endringer oppfyller kravene fastsatt i vedlegg II,

• 33) «elektronisk tidsstempel» data i elektronisk form som knytter andre data i elektronisk form til et bestemt tidspunkt og dokumenterer at sistnevnte data eksisterte på det tidspunktet,

• 34) «kvalifisert elektronisk tidsstempel» et elektronisk tidsstempel som oppfyller kravene i artikkel 42,

• 35) «elektronisk dokument» innhold lagret i elektronisk form, særlig tekst, lyd, bilder eller audiovisuelle opptak,

• 36) «elektronisk tjeneste for registrert sending» en tjeneste som gjør det mulig å overføre data elektronisk mellom tredjeparter, som omfatter dokumentasjon av håndteringen av de overførte dataene, herunder dokumentasjon av sending og mottak av dataene, og som beskytter overførte data mot tap, tyveri, skade eller ikke-autoriserte endringer,

• 37) «kvalifisert elektronisk tjeneste for registrert sending» en elektronisk tjeneste for registrert sending som oppfyller kravene fastsatt i artikkel 44,

• 38) «sertifikat for nettstedsautentisering» en attest som gjør det mulig å autentisere et nettsted, og som knytter nettstedet til den fysiske eller juridiske personen som sertifikatet er utstedt til,

• 39) «kvalifisert sertifikat for nettstedsautentisering» et sertifikat for nettstedsautentisering som er utstedt av en kvalifisert tilbyder av tillitstjenester, og som oppfyller kravene fastsatt i vedlegg IV,

• 40) «valideringsdata» data som brukes til validering av en elektronisk signatur eller et elektronisk segl,

• 41) «validering» prosessen med å kontrollere og bekrefte at en elektronisk signatur eller et elektronisk segl er gyldig.

• 1. En tilbyder av tillitstjenester som er etablert i en medlemsstat, skal ikke bli gjenstand for begrensning på levering av tillitstjenester på territoriet til en annen medlemsstat av årsaker som faller inn under områdene som omfattes av denne forordning.

• 2. Produkter og tillitstjenester som oppfyller kravene i denne forordning, skal omfattes av fri bevegelighet i det indre marked.

• 1. Personopplysninger skal behandles i samsvar med direktiv 95/46/EF.

• 2. Med forbehold for den rettsvirkning som pseudonymer er gitt i henhold til nasjonal lovgivning, skal bruk av pseudonymer i elektroniske transaksjoner ikke forbys.

• 1. Dersom det i henhold til nasjonal lovgivning eller forvaltningspraksis kreves elektronisk identifikasjon ved hjelp av et elektronisk identifikasjonsmiddel samt autentisering for å få tilgang til en nettbasert tjeneste som leveres av et offentlig organ i en medlemsstat, skal det elektroniske identifikasjonsmiddelet utstedt i en annen medlemsstat anerkjennes i den første medlemsstaten med henblikk på autentisering over landegrensene av den nettbaserte tjenesten, forutsatt at følgende vilkår er oppfylt:

  • a) det elektroniske identifikasjonsmiddelet er utstedt innenfor rammen av en ordning for elektronisk identifikasjon som er oppført på listen offentliggjort av Kommisjonen i henhold til artikkel 9,

  • b) sikkerhetsnivået for det elektroniske identifikasjonsmiddelet tilsvarer eller er høyere enn sikkerhetsnivået som kreves av det berørte offentlige organet for å få tilgang til den nettbaserte tjenesten i den første medlemsstaten, forutsatt at sikkerhetsnivået for det elektroniske identifikasjonsmiddelet tilsvarer sikkerhetsnivået «betydelig» eller «høyt»,

  • c) det berørte offentlige organet benytter sikkerhetsnivået «betydelig» eller «høyt» i forbindelse med tilgang til den nettbaserte tjenesten.

Anerkjennelsen skal finne sted senest tolv måneder etter at Kommisjonen har offentliggjort listen nevnt i nr. 1 bokstav a).

• 2. Et elektronisk identifikasjonsmiddel som utstedes innenfor rammen av en ordning for elektronisk identifikasjon som er oppført på listen offentliggjort av Kommisjonen i henhold til artikkel 9, og som tilsvarer sikkerhetsnivået «lavt», kan anerkjennes av offentlige organer med henblikk på autentisering over landegrensene av den nettbaserte tjenesten som organene tilbyr.

En ordning for elektronisk identifikasjon kan meldes i henhold til artikkel 9 nr. 1 dersom alle vilkårene nedenfor er oppfylt:

• a) det elektroniske identifikasjonsmiddelet innenfor rammen av ordningen for elektronisk identifikasjon er utstedt

  • i) av meldermedlemsstaten,

  • ii) i henhold til et mandat fra meldermedlemsstaten eller

  • iii) uavhengig av meldermedlemsstaten og er anerkjent av nevnte medlemsstat,

• b) det elektroniske identifikasjonsmiddelet innenfor rammen av ordningen for elektronisk identifikasjon kan brukes for å få tilgang til minst én tjeneste som tilbys av et offentlig organ, og som krever elektronisk identifikasjon i meldermedlemsstaten,

• c) ordningen for elektronisk identifikasjon og det elektroniske identifikasjonsmiddelet utstedt innenfor rammen av ordningen, oppfyller kravene til minst ett av sikkerhetsnivåene fastsatt i gjennomføringsrettsakten nevnt i artikkel 8 nr. 3,

• d) meldermedlemsstaten sikrer at personidentifikasjonsdataene som på en entydig måte representerer den aktuelle personen, i samsvar med de tekniske spesifikasjonene, standardene og framgangsmåtene for det relevante sikkerhetsnivået fastsatt i gjennomføringsrettsakten nevnt i artikkel 8 nr. 3, knyttes til den fysiske eller juridiske personen nevnt i artikkel 3 nr. 1 på tidspunktet for utstedelse av det elektroniske identifikasjonsmiddelet innenfor rammen av nevnte ordning,

• e) parten som utsteder det elektroniske identifikasjonsmiddelet innenfor rammen av nevnte ordning, sikrer at det elektroniske identifikasjonsmiddelet knyttes til personen nevnt i bokstav d) i denne artikkel i samsvar med de tekniske spesifikasjonene, standardene og framgangsmåtene for det relevante sikkerhetsnivået fastsatt i gjennomføringsrettsakten nevnt i artikkel 8 nr. 3,

• f) meldermedlemsstaten sikrer at autentisering via internett er tilgjengelig, slik at tjenestebrukere som er etablert på en annen medlemsstats territorium, kan bekrefte personidentifikasjonsdataene som er mottatt i elektronisk form.

  For andre tjenestebrukere enn offentlige organer kan meldermedlemsstaten definere vilkår for tilgang til autentiseringen. Autentisering over landegrensene skal være gratis når det utføres i forbindelse med en nettbasert tjeneste som tilbys av et offentlig organ.

  Medlemsstatene skal ikke pålegge tjenestebrukere som har til hensikt å utføre en slik autentisering, urimelige tekniske krav, dersom slike krav hindrer eller i vesentlig grad hemmer samvirkingsevnen til de meldte ordningene for elektronisk identifikasjon,

• g) minst seks måneder før det gis melding i henhold til artikkel 9 nr. 1 skal meldermedlemsstaten, med tanke på forpliktelsen nevnt i artikkel 12 nr. 5, gi de andre medlemsstatene en beskrivelse av ordningen i samsvar med saksbehandlingsreglene fastsatt ved gjennomføringsrettsaktene nevnt i artikkel 12 nr. 7,

• h) ordningen for elektronisk identifikasjon oppfyller kravene fastsatt i gjennomføringsrettsaktene nevnt i artikkel 12 nr. 8.

• 1. I en ordning for elektronisk identifikasjon som er meldt i henhold til artikkel 9 nr. 1, skal sikkerhetsnivåene «lavt», «betydelig» og/eller «høyt» angis for elektroniske identifikasjonsmidler utstedt innenfor rammen av denne ordningen.

• 2. Sikkerhetsnivåene «lavt», «betydelig» og «høyt» skal oppfylle følgende kriterier:

  • a) sikkerhetsnivået «lavt» skal vise til et elektronisk identifikasjonsmiddel innenfor rammen av en ordning for elektronisk identifikasjon som gir en begrenset grad av tillit til en persons påberopte eller påståtte identitet, og som kjennetegnes på grunnlag av tekniske spesifikasjoner, standarder og framgangsmåter knyttet til dette, herunder tekniske kontroller, hvis formål er å redusere risikoen for misbruk eller endring av identiteten,

  • b) sikkerhetsnivået «betydelig» skal vise til et elektronisk identifikasjonsmiddel innenfor rammen av en ordning for elektronisk identifikasjon som gir en betydelig grad av tillit til en persons påberopte eller påståtte identitet, og som kjennetegnes på grunnlag av tekniske spesifikasjoner, standarder og framgangsmåter knyttet til dette, herunder tekniske kontroller, hvis formål er å oppnå en betydelig redusert risiko for misbruk eller endring av identiteten,

  • c) sikkerhetsnivået «høyt» skal vise til et elektronisk identifikasjonsmiddel innenfor rammen av en ordning for elektronisk identifikasjon som gir en høyere grad av tillit til en persons påberopte eller påståtte identitet enn elektroniske identifikasjonsmidler med sikkerhetsnivået «betydelig», og som kjennetegnes på grunnlag av tekniske spesifikasjoner, standarder og framgangsmåter knyttet til dette, herunder tekniske kontroller, hvis formål er å hindre misbruk eller endring av identiteten,

• 3. Innen 18. september 2015 skal Kommisjonen, idet det tas hensyn til relevante internasjonale standarder og med forbehold for nr. 2, ved hjelp av gjennomføringsrettsakter fastsette tekniske minstespesifikasjoner, minstestandarder og minstekrav til framgangsmåter som skal utgjøre grunnlaget for angivelse av sikkerhetsnivåene «lavt», «betydelig» og «høyt» for elektroniske identifikasjonsmidler med henblikk på nr. 1.

Disse tekniske minstespesifikasjonene, minstestandardene og minstekravene til framgangsmåter skal fastsettes med henvisning til følgende elementers pålitelighet og kvalitet:

• a) framgangsmåten for å bevise og kontrollere identiteten til fysiske eller juridiske personer som søker om utstedelse av elektroniske identifikasjonsmidler,

• b) framgangsmåten for utstedelse av de elektroniske identifikasjonsmidlene som det er anmodet om,

• c) autentiseringsordningen som gjør det mulig for den fysiske eller juridiske personen å bruke det elektroniske identifikasjonsmiddelet til å bekrefte sin identitet overfor en tjenestebruker,

• d) enheten som utsteder de elektroniske identifikasjonsmidlene,

• e) ethvert annet organ involvert i søknaden om utstedelse av elektroniske identifikasjonsmidler og

• f) de tekniske spesifikasjonene og sikkerhetsspesifikasjonene for de utstedte elektroniske identifikasjonsmidlene.

Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Meldermedlemsstaten skal gi Kommisjonen følgende opplysninger og så snart som mulig underrette om eventuelle endringer av dem:

  • a) en beskrivelse av ordningen for elektronisk identifikasjon, herunder ordningens sikkerhetsnivåer og utstederen/utstederne av elektroniske identifikasjonsmidler innenfor rammen av ordningen,

  • b) den gjeldende tilsynsordningen og opplysninger om ansvarsordningen med hensyn til følgende:

    • i) parten som utsteder det elektroniske identifikasjonsmiddelet, og

    • ii) parten som utfører framgangsmåten for autentisering,

  • c) myndigheten(e) som har ansvar for ordningen for elektronisk identifikasjon,

  • d) opplysninger om enheten(e) som tar hånd om registreringen av de entydige personidentifikasjonsdataene,

  • e) en beskrivelse av hvordan kravene fastsatt i gjennomføringsrettsaktene nevnt i artikkel 12 nr. 8 er oppfylt,

  • f) en beskrivelse av autentiseringen nevnt i artikkel 7 bokstav f),

  • g) ordninger for midlertidig oppheving eller tilbakekalling av enten den meldte ordningen for elektronisk identifikasjon, autentiseringen eller de berørte utsatte delene.

• 2. Ett år fra anvendelsesdatoen for gjennomføringsrettsaktene nevnt i artikkel 8 nr. 3 og 12 nr. 8 skal Kommisjonen offentliggjøre en liste over ordningene for elektronisk identifikasjon meldt i henhold til nr. 1 i denne artikkel samt de grunnleggende opplysningene om disse i Den europeiske unions tidende.

• 3. Dersom Kommisjonen mottar en melding etter utgangen av perioden nevnt i nr. 2, skal den offentliggjøre endringene som er gjort i listen nevnt i nr. 2, i Den europeiske unions tidende innen to måneder etter datoen for mottak av meldingen.

• 4. En medlemsstat kan anmode Kommisjonen om å fjerne en ordning for elektronisk identifikasjon som er meldt av medlemsstaten, fra listen nevnt i nr. 2. Kommisjonen skal offentliggjøre de aktuelle endringene som er gjort i listen, i Den europeiske unions tidende innen én måned etter datoen for mottak av medlemsstatens anmodning.

• 5. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette vilkår, formater og framgangsmåter for meldingene nevnt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Dersom enten ordningen for elektronisk identifikasjon meldt i henhold til artikkel 9 nr. 1 eller autentiseringen nevnt i artikkel 7 bokstav f) utsettes for et brudd eller en delvis svekkelse på en måte som påvirker påliteligheten til ordningens autentisering over landegrensene, skal meldermedlemsstaten omgående midlertidig oppheve eller tilbakekalle denne autentiseringen over landegrensene eller de berørte svekkede delene og underrette andre medlemsstater og Kommisjonen.

• 2. Dersom bruddet eller svekkelsen nevnt i nr. 1 utbedres, skal meldermedlemsstaten gjenopprette autentiseringen over landegrensene og underrette andre medlemsstater og Kommisjonen så snart som mulig.

• 3. Dersom bruddet eller svekkelsen nevnt i nr. 1 ikke utbedres innen tre måneder etter den midlertidige opphevingen eller tilbakekallingen, skal meldermedlemsstaten underrette andre medlemsstater og Kommisjonen om at ordningen for elektronisk identifikasjon er trukket tilbake.

Kommisjonen skal så snart som mulig offentliggjøre de tilsvarende endringene som er gjort i listen nevnt i artikkel 9 nr. 2, i Den europeiske unions tidende.

• 1. Meldermedlemsstaten skal være ansvarlig for skader som forsettlig eller uaktsomt påføres en fysisk eller juridisk person på grunn av manglende overholdelse av forpliktelsene i henhold til artikkel 7 bokstav d) og f), i forbindelse med en transaksjon over landegrensene.

• 2. Parten som utsteder det elektroniske identifikasjonsmiddelet, skal være ansvarlig for skader som forsettlig eller uaktsomt påføres en fysisk eller juridisk person på grunn av manglende overholdelse av forpliktelsen nevnt i artikkel 7 bokstav e), i forbindelse med en transaksjon over landegrensene.

• 3. Parten som utfører framgangsmåten for autentisering, skal være ansvarlig for skader som forsettlig eller uaktsomt påføres en fysisk eller juridisk person som følge av at autentiseringen nevnt i artikkel 7 bokstav f) ikke utføres på riktig måte, i forbindelse med en transaksjon over landegrensene.

• 4. Nr. 1, 2 og 3 får anvendelse i samsvar med nasjonale regler for erstatningsansvar.

• 5. Nr. 1, 2 og 3 berører ikke erstatningsansvaret som i henhold til nasjonal lovgivning påhviler parter i en transaksjon der det benyttes elektroniske identifikasjonsmidler som omfattes av ordningen for elektronisk identifikasjon meldt i henhold til artikkel 9 nr. 1.

• 1. De nasjonale ordningene for elektronisk identifikasjon meldt i henhold til artikkel 9 nr. 1 skal være samvirkende.

• 2. Med hensyn til nr. 1 skal det opprettes en ramme for samvirkingsevne.

• 3. Rammen for samvirkingsevne skal oppfylle følgende kriterier:

  • a) den har som mål å være teknologinøytral og skal ikke skille mellom spesifikke nasjonale tekniske løsninger for elektronisk identifikasjon i en medlemsstat,

  • b) den følger europeiske og internasjonale standarder når det er mulig,

  • c) den fremmer gjennomføringen av prinsippet om «innebygd personvern» og

  • d) den sikrer at personopplysninger behandles i samsvar med direktiv 95/46/EF.

• 4. Rammen for samvirkingsevne skal bestå av

  • a) en henvisning til tekniske minstekrav knyttet til sikkerhetsnivåene nevnt i artikkel 8,

  • b) en sammenligningstabell over nasjonale sikkerhetsnivåer for meldte ordninger for elektronisk identifikasjon og sikkerhetsnivåene nevnt i artikkel 8,

  • c) en henvisning til tekniske minstekrav til samvirkingsevne,

  • d) en henvisning til et minstesett av personidentifikasjonsdata som på en entydig måte representerer en fysisk eller juridisk person, og som er tilgjengelig via ordninger for elektronisk identifikasjon,

  • e) saksbehandlingsregler,

  • f) tvisteløsningsordninger og

  • g) felles standarder for driftssikkerhet.

• 5. Medlemsstatene skal samarbeide om følgende:

  • a) samvirkingsevnen til ordningene for elektronisk identifikasjon meldt i henhold til artikkel 9 nr. 1 og ordningene for elektronisk identifikasjon som medlemsstatene har til hensikt å melde, og

  • b) sikkerheten i ordningene for elektronisk identifikasjon.

• 6. Samarbeidet mellom medlemsstater skal bestå av

  • a) utveksling av opplysninger, erfaring og god praksis med hensyn til ordninger for elektronisk identifikasjon og særlig tekniske krav knyttet til samvirkingsevne og sikkerhetsnivåer,

  • b) utveksling av opplysninger, erfaring og god praksis med hensyn til bruk av sikkerhetsnivåene for ordninger for elektronisk identifikasjon nevnt i artikkel 8,

  • c) fagfellevurdering av ordninger for elektronisk identifikasjon som omfattes av denne forordning, og

  • d) undersøkelse av relevant utvikling i sektoren for elektronisk identifikasjon.

• 7. Innen 18. mars 2015 skal Kommisjonen ved hjelp av gjennomføringsrettsakter fastsette de nødvendige saksbehandlingsreglene for å forenkle samarbeidet mellom medlemsstatene nevnt i nr. 5 og 6 med henblikk på å fremme et høyt nivå av tillit og sikkerhet som står i forhold til graden av risiko.

• 8. Med henblikk på å fastsette ensartede vilkår for gjennomføringen av kravet i nr. 1, med forbehold for kriteriene fastsatt i nr. 3 og idet det tas hensyn til resultatene av samarbeidet mellom medlemsstatene, skal Kommisjonen innen 18. september 2015 vedta gjennomføringsrettsakter om rammen for samvirkingsevne som fastsatt i nr. 4.

• 9. Gjennomføringsrettsaktene nevnt i nr. 7 og 8 i denne artikkel skal vedtas etter framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Med forbehold for nr. 2 skal tilbydere av tillitstjenester være ansvarlige for skader som forsettlig eller uaktsomt påføres en fysisk eller juridisk person på grunn av manglende overholdelse av forpliktelsene i denne forordning. Bevisbyrden for at en ikke-kvalifisert tilbyder av tillitstjenester har handlet forsettlig eller uaktsomt, påhviler den fysiske eller juridiske personen som hevder å ha lidd skadene nevnt i første ledd. En kvalifisert tilbyder av tillitstjenester formodes å ha handlet forsettlig eller uaktsomt, med mindre vedkommende beviser at skaden nevnt i første ledd oppsto uten at vedkommende har handlet forsettlig eller uaktsomt.

• 2. Når tilbydere av tillitstjenester på behørig vis underretter sine kunder på forhånd om begrensningene som gjelder for bruken av tjenestene de leverer, og når begrensningene er mulig å gjenkjenne for tredjeparter, skal tilbydere av tillitstjenester ikke være ansvarlige for skader som oppstår ved slik bruk av tjenester som overskrider de angitte begrensningene.

• 3. Nr. 1 og 2 får anvendelse i samsvar med nasjonale regler for erstatningsansvar.

• 1. Tillitstjenester som leveres av tilbydere av tillitstjenester etablert i en tredjestat, skal anerkjennes som rettslig likeverdige med kvalifiserte tillitstjenester som leveres av kvalifiserte tilbydere av tillitstjenester etablert i Unionen, dersom tillitstjenestene fra tredjestaten er anerkjent i henhold til en avtale inngått mellom Unionen og den berørte tredjestaten eller en internasjonal organisasjon i samsvar med artikkel 218 i TEUV.

• 2. Avtalene nevnt i nr. 1 skal særlig sikre at

  • a) kravene som gjelder for kvalifiserte tilbydere av tillitstjenester etablert i Unionen og de kvalifiserte tillitstjenestene de leverer, oppfylles av tilbyderne av tillitstjenester i tredjestaten eller de internasjonale organisasjonene det er inngått avtale med, og av tillitstjenestene de leverer,

  • b) de kvalifiserte tillitstjenestene som leveres av kvalifiserte tilbydere av tillitstjenester i Unionen, anerkjennes som rettslig likeverdige med tillitstjenester som leveres av tilbydere av tillitstjenester i tredjestaten eller den internasjonale organisasjonen som avtalen er inngått med.

Når det er mulig, skal tillitstjenester og sluttbrukerprodukter som benyttes ved levering av slike tjenester, gjøres tilgjengelige for personer med nedsatt funksjonsevne.

Medlemsstatene skal fastsette regler for sanksjoner som får anvendelse ved overtredelse av denne forordning. De fastsatte sanksjonene skal være virkningsfulle, stå i forhold til overtredelsen og virke avskrekkende.

• 1. Medlemsstatene skal utpeke et tilsynsorgan som er etablert på deres territorium eller, etter gjensidig avtale med en annen medlemsstat, et tilsynsorgan som er etablert i den andre medlemsstaten. Organet skal ha ansvar for tilsynsoppgaver i den utpekende medlemsstaten.

Tilsynsorganet skal gis nødvendig myndighet og tilstrekkelige ressurser til å kunne utføre sine oppgaver.

• 2. Medlemsstatene skal underrette Kommisjonen om navnene på og adressene til de utpekte tilsynsorganene.

• 3. Tilsynsorganet skal ha følgende rolle:

  • a) føre tilsyn med kvalifiserte tilbydere av tillitstjenester som er etablert på den utpekende medlemsstatens territorium, for å sikre, gjennom tilsyn på forhånd og i ettertid, at de kvalifiserte tilbydere av tillitstjenester og de kvalifiserte tillitstjenestene de leverer, oppfyller kravene fastsatt i denne forordning,

  • b) om nødvendig treffe tiltak overfor ikke-kvalifiserte tilbydere av tillitstjenester som er etablert på den utpekende medlemsstatens territorium, som følge av tilsyn i ettertid når det er blitt underrettet om at de ikke-kvalifiserte tilbyderne av tillitstjenester eller tillitstjenestene de leverer, angivelig ikke oppfyller kravene fastsatt i denne forordning.

• 4. Med hensyn til nr. 3 og med forbehold for begrensningene fastsatt i nevnte nummer skal tilsynsorganets oppgaver særlig omfatte å

  • a) samarbeide med andre tilsynsorganer og bistå dem i samsvar med artikkel 18,

  • b) analysere samsvarsvurderingsrapportene nevnt i artikkel 20 nr. 1 og 21 nr. 1,

  • c) underrette andre tilsynsorganer og offentligheten om sikkerhetsbrudd eller tap av integritet i samsvar med artikkel 19 nr. 2,

  • d) framlegge rapport for Kommisjonen om sin hovedvirksomhet i samsvar med nr. 6 i denne artikkel,

  • e) foreta revisjoner eller anmode et samsvarsvurderingsorgan om å foreta en samsvarsvurdering av de kvalifiserte tilbyderne av tillitstjenester i samsvar med artikkel 20 nr. 2,

  • f) samarbeide med personvernmyndighetene, særlig ved å underrette dem så snart som mulig om resultatene fra revisjoner av kvalifiserte tilbydere av tillitstjenester, ved mistanke om at reglene for vern av personopplysninger ikke er overholdt,

  • g) tildele status som kvalifisert til tilbydere av tillitstjenester og tjenestene de leverer, og trekke tilbake denne statusen i samsvar med artikkel 20 og 21,

  • h) underrette organet med ansvar for den nasjonale tillitslisten nevnt i artikkel 22 nr. 3 om sine beslutninger om å tildele eller trekke tilbake status som kvalifisert, med mindre dette organet også er tilsynsorganet,

  • i) kontrollere at det foreligger bestemmelser om planer for opphør av virksomhet, og at de anvendes på riktig måte, i de tilfeller der kvalifiserte tilbydere av tillitstjenester innstiller sin virksomhet, herunder hvordan opplysninger forblir tilgjengelige i samsvar med artikkel 24 nr. 2 bokstav h),

  • j) kreve at tilbydere av tillitstjenester korrigerer enhver manglende overholdelse av kravene fastsatt i denne forordning.

• 5. Medlemsstatene kan kreve at tilsynsorganet oppretter, opprettholder og oppdaterer en tillitsinfrastruktur i samsvar med vilkårene i nasjonal lovgivning.

• 6. Innen 31. mars hvert år skal hvert tilsynsorgan framlegge en rapport for Kommisjonen om sin hovedvirksomhet i forrige kalenderår sammen med et sammendrag av meldingene om sikkerhetsbrudd som er mottatt fra tilbydere av tillitstjenester i samsvar med artikkel 19 nr. 2.

• 7. Kommisjonen skal gjøre den årlige rapporten nevnt i nr. 6 tilgjengelig for medlemsstatene.

• 8. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formatene og framgangsmåtene for rapporten nevnt i nr. 6. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Tilsynsorganene skal samarbeide om å utveksle god praksis.

Et tilsynsorgan skal etter mottak av en begrunnet anmodning fra et annet tilsynsorgan yte bistand til dette organet, slik at tilsynsorganenes virksomhet kan utføres på en ensartet måte. Gjensidig bistand kan særlig omfatte anmodninger om opplysninger og tilsynstiltak, for eksempel anmodninger om å foreta inspeksjoner knyttet til samsvarsvurderingsrapportene nevnt i artikkel 20 og 21.

• 2. Et tilsynsorgan som mottar en anmodning om bistand, kan avvise anmodningen med følgende begrunnelser:

  • a) tilsynsorganet er ikke kompetent til å yte bistanden det anmodes om,

  • b) bistanden det anmodes om, står ikke i forhold til tilsynsorganets tilsynsvirksomhet utført i samsvar med artikkel 17,

  • c) det vil være uforenlig med denne forordning å yte bistanden det anmodes om.

• 3 Når det er relevant, kan medlemsstater tillate at deres respektive tilsynsorganer utfører felles undersøkelser der personale fra andre medlemsstaters tilsynsorganer deltar. Vilkårene og framgangsmåtene for slike felles tiltak skal avtales og fastsettes av de berørte medlemsstatene i samsvar med deres nasjonale lovgivning.

• 1. Kvalifiserte og ikke-kvalifiserte tilbydere av tillitstjenester skal treffe egnede tekniske og organisatoriske tiltak for å håndtere sikkerhetsrisikoer i forbindelse med tillitstjenestene de leverer. Idet det tas hensyn til den siste teknologiske utviklingen, skal nevnte tiltak sikre at sikkerhetsnivået står i forhold til graden av risiko. Det skal særlig treffes tiltak for å forebygge og minimere virkningen av sikkerhetshendelser samt for å underrette berørte parter om skadevirkningene av slike hendelser.

• 2. Kvalifiserte og ikke-kvalifiserte tilbydere av tillitstjenester skal så snart som mulig og senest 24 timer etter å ha fått kjennskap til sikkerhetsbrudd eller tap av integritet som i betydelig grad påvirker tillitstjenesten eller personopplysninger som oppbevares i forbindelse med levering av tjenesten, underrette tilsynsorganet og eventuelt andre berørte organer, for eksempel vedkommende nasjonale organ for informasjonssikkerhet eller personvernmyndighet.

Dersom det er trolig at et sikkerhetsbrudd eller tap av integritet vil ha negativ innvirkning på en fysisk eller juridisk person som har benyttet seg av tillitstjenesten, skal tilbyderen av tillitstjenesten så snart som mulig også underrette den fysiske eller juridiske personen om sikkerhetsbruddet eller tapet av integritet.

Når det er relevant, særlig dersom et sikkerhetsbrudd eller tap av integritet gjelder to eller flere medlemsstater, skal det meldte tilsynsorganet underrette tilsynsorganene i andre berørte medlemsstater samt ENISA.

Det meldte tilsynsorganet skal underrette offentligheten eller kreve at tilbyderen av tillitstjenestene gjør dette, dersom det fastslår at det er i offentlighetens interesse at sikkerhetsbruddet eller tapet av integritet offentliggjøres.

• 3. Tilsynsorganet skal én gang i året framlegge for ENISA et sammendrag av meldingene om sikkerhetsbrudd og tap av integritet som er mottatt fra tilbydere av tillitstjenester.

• 4. Kommisjonen kan ved hjelp av gjennomføringsrettsakter

  • a) spesifisere tiltakene nevnt i nr. 1 ytterligere og

  • b) fastsette formater og framgangsmåter, herunder tidsfrister, som gjelder for nr. 2.

Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Kvalifiserte tilbydere av tillitstjenester skal minst hver 24. måned og for egen regning revideres av et samsvarsvurderingsorgan. Formålet med revisjonen er å bekrefte at de kvalifiserte tilbyderne av tillitstjenester og de kvalifiserte tillitstjenestene de leverer, oppfyller kravene fastsatt i denne forordning. De kvalifiserte tilbyderne av tillitstjenester skal framlegge samsvarsvurderingsrapporten for tilsynsorganet innen tre virkedager etter at den er mottatt.

• 2. Med forbehold for nr. 1 kan tilsynsorganet til enhver tid foreta revisjon eller anmode et samsvarsvurderingsorgan om å foreta en samsvarsvurdering av de kvalifiserte tilbyderne av tillitstjenester, for tilbyderne av tillitstjenester sin regning, for å bekrefte at de og de kvalifiserte tillitstjenestene de leverer, oppfyller kravene fastsatt i denne forordning. Ved mistanke om at reglene for vern av personopplysninger ikke er overholdt, skal tilsynsorganet underrette personvernmyndighetene om resultatene av sine revisjoner.

• 3. Dersom tilsynsorganet krever at den kvalifiserte tilbyderen av tillitstjenester skal korrigere en eventuell manglende overholdelse av kravene fastsatt i denne forordning, og dersom tjenestetilbyderen ikke retter seg etter dette, eventuelt innen en tidsfrist fastsatt av tilsynsorganet, kan tilsynsorganet, idet det særlig tar hensyn til omfanget, varigheten og følgene av den manglende overholdelsen, trekke tilbake status som kvalifisert for tjenestetilbyderen eller tjenesten denne leverer, og underrette organet nevnt i artikkel 22 nr. 3 for å få ajourført tillitslistene nevnt i artikkel 22 nr. 1. Tilsynsorganet skal underrette den kvalifiserte tilbyderen av tillitstjenester om tilbaketrekkingen av vedkommendes eller den berørte tjenestens status som kvalifisert.

• 4. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for følgende standarder:

  • a) akkreditering av samsvarsvurderingsorganer og for samsvarsvurderingsrapporten nevnt i nr. 1,

  • b) revisjonsregler som samsvarsvurderingsorganer skal følge ved samsvarsvurdering av de kvalifiserte tilbyderne av tillitstjenester nevnt i nr. 1.

Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Dersom tilbydere av tillitstjenester som ikke har status som kvalifisert, har til hensikt å begynne å levere kvalifiserte tillitstjenester, skal de underrette tilsynsorganet om dette og samtidig framlegge en samsvarsvurderingsrapport utstedt av et samsvarsvurderingsorgan.

• 2. Tilsynsorganet skal kontrollere om tilbyderen av tillitstjenester og tillitstjenestene denne leverer, oppfyller kravene fastsatt i denne forordning, og særlig kravene til kvalifiserte tilbydere av tillitstjenester og til de kvalifiserte tillitstjenestene de leverer.

Dersom tilsynsorganet fastslår at tilbyderen av tillitstjenester og tillitstjenestene denne leverer, oppfyller kravene nevnt i første ledd, skal tilsynsorganet gi status som kvalifisert til tilbyderen av tillitstjenester og tillitstjenestene denne leverer, og underrette organet nevnt i artikkel 22 nr. 3 for å få ajourført tillitslistene nevnt i artikkel 22 nr. 1 senest tre måneder etter underretningen i samsvar med nr. 1 i denne artikkel.

Dersom kontrollen ikke er avsluttet innen tre måneder etter underretningen, skal tilsynsorganet underrette tilbyderen av tillitstjenester om dette og angi årsakene til forsinkelsen og tidspunktet for når kontrollen skal være avsluttet.

• 3. Kvalifiserte tilbydere av tillitstjenester kan begynne å levere den kvalifiserte tillitstjenesten når status som kvalifisert er angitt i tillitslistene nevnt i artikkel 22 nr. 1.

• 4. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formater og framgangsmåter som gjelder for nr. 1 og 2. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Hver medlemsstat skal opprette, ajourføre og offentliggjøre tillitslister med opplysninger om de kvalifiserte tilbyderne av tillitstjenester som den har ansvar for, sammen med opplysninger om de kvalifiserte tillitstjenestene de leverer.

• 2. Medlemsstatene skal på en sikker måte opprette, ajourføre og offentliggjøre de elektronisk signerte eller forseglede tillitslistene nevnt i nr. 1 i en form som er egnet for automatisert behandling.

• 3. Medlemsstatene skal så snart som mulig underrette Kommisjonen om hvilket organ som er ansvarlig for å opprette, ajourføre og offentliggjøre nasjonale tillitslister, og om hvor slike lister offentliggjøres, om sertifikatene som brukes til å signere eller forsegle tillitslistene, og om eventuelle endringer av dette.

• 4. Kommisjonen skal gjøre opplysningene nevnt i nr. 3 offentlig tilgjengelige via en sikker kanal i elektronisk signert eller forseglet form egnet for automatisert behandling.

• 5. Innen 18. september 2015 skal Kommisjonen ved hjelp av gjennomføringsrettsakter presisere opplysningene nevnt i nr. 1 og fastsette tekniske spesifikasjoner og formater som skal gjelde for tillitslister med hensyn til nr. 1–4. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Når status som kvalifisert nevnt i artikkel 21 nr. 2 annet ledd er angitt i tillitslisten nevnt i artikkel 22 nr. 1, kan kvalifiserte tilbydere av tillitstjenester bruke EU-tillitsmerket for på en enkel, gjenkjennelig og tydelig måte angi de kvalifiserte tillitstjenestene de leverer.

• 2. Ved bruk av EU-tillitsmerket for de kvalifiserte tillitstjenestene nevnt i nr. 1 skal kvalifiserte tilbydere av tillitstjenester sørge for at deres nettsted inneholder en lenke til den relevante tillitslisten.

• 3. Innen 1. juli 2015 skal Kommisjonen ved hjelp av gjennomføringsrettsakter fastsette spesifikasjoner med hensyn til formen og særlig presentasjonen, sammensetningen, størrelsen og utformingen av EU-tillitsmerket for kvalifiserte tillitstjenester. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Når en kvalifisert tilbyder av tillitstjenester utsteder et kvalifisert sertifikat for en tillitstjeneste, skal vedkommende ved hjelp av egnede midler og i samsvar med nasjonal lovgivning kontrollere identiteten til og, dersom det er relevant, eventuelle særlige egenskaper ved den fysiske eller juridiske personen som det kvalifiserte sertifikatet utstedes til.

Opplysningene nevnt i første ledd skal kontrolleres av den kvalifiserte tilbyderen av tillitstjenester enten direkte eller via en tredjepart i samsvar med nasjonal lovgivning:

• a) ved fysisk tilstedeværelse av den fysiske personen eller en godkjent representant for den juridiske personen eller

• b) uten fysisk tilstedeværelse ved bruk av elektroniske identifikasjonsmidler, der det før utstedelsen av det kvalifiserte sertifikatet var sikret fysisk tilstedeværelse av den fysiske personen eller en godkjent representant for den juridiske personen, og som oppfyller kravene fastsatt i artikkel 8 med hensyn til sikkerhetsnivåene «betydelig» eller «høyt», eller

• c) ved hjelp av et sertifikat for en kvalifisert elektronisk signatur eller et kvalifisert elektronisk segl utstedt i samsvar med bokstav a) eller b) eller

• d) ved bruk av andre identifikasjonsmetoder anerkjent på nasjonalt plan som garanterer pålitelighet som tilsvarer fysisk tilstedeværelse. Et samsvarsvurderingsorgan skal bekrefte at garantiene er likeverdige.

• 2. En kvalifisert tilbyder av tillitstjenester som tilbyr kvalifiserte tillitstjenester, skal

  • a) underrette tilsynsorganet om eventuelle endringer i leveringen av sine kvalifiserte tillitstjenester og om en eventuell hensikt om å innstille denne virksomheten,

  • b) ha personale og eventuelt underleverandører med den nødvendige sakkunnskap, pålitelighet, erfaring og kvalifikasjoner som har fått egnet opplæring med hensyn til sikkerhet og regler for vern av personopplysninger, og skal anvende administrative og forvaltningsmessige framgangsmåter som er i samsvar med europeiske eller internasjonale standarder,

  • c) når det gjelder risikoen for erstatningsansvar i samsvar med artikkel 13, ha tilstrekkelige økonomiske midler og/eller tegne en egnet ansvarsforsikring i samsvar med nasjonal lovgivning,

  • d) før inngåelse av et kontraktsforhold, på en tydelig og forståelig måte opplyse enhver person som ønsker å benytte en kvalifisert tillitstjeneste, om de nøyaktige vilkårene for bruk av denne tjenesten, herunder eventuelle bruksbegrensninger,

  • e) benytte pålitelige systemer og produkter som er beskyttet mot endringer, og sikre den tekniske sikkerheten og påliteligheten i de prosessene som støttes av disse,

  • f) benytte pålitelige systemer til lagring av dataene den mottar, i en kontrollerbar form slik at

    • i) de er offentlig tilgjengelige bare dersom det er innhentet samtykke fra personen som dataene gjelder,

    • ii) bare autoriserte personer kan legge inn opplysninger og gjøre endringer i de lagrede dataene,

    • iii) dataenes ekthet kan kontrolleres,

  • g) treffe egnede tiltak mot forfalskning og tyveri av data,

  • h) registrere alle relevante opplysninger om data som den kvalifiserte tilbyderen av tillitstjenester har utstedt og mottatt, og sørge for at de er tilgjengelige i et rimelig tidsrom, herunder etter at virksomheten til den kvalifiserte tilbyderen av tillitstjenester er innstilt, særlig for å kunne framlegge bevis i forbindelse med rettergang og å sikre kontinuitet i tjenesten. Slik registrering kan gjøres elektronisk,

  • i) ha en ajourført plan for opphør av virksomhet for å sikre kontinuitet i tjenesten i samsvar med bestemmelsene kontrollert av tilsynsorganet i samsvar med artikkel 17 nr. 4 bokstav i),

  • j) sikre rettmessig behandling av personopplysninger i samsvar med direktiv 95/46/EF,

  • k) dersom kvalifiserte tilbydere av tillitstjenester utsteder sertifikater, opprette og holde oppdatert en sertifikatdatabase.

• 3. Dersom en kvalifisert tilbyder av tillitstjenester som utsteder kvalifiserte sertifikater, beslutter å tilbakekalle et sertifikat, skal den registrere tilbakekallingen i sin sertifikatdatabase og offentliggjøre sertifikatets status som tilbakekalt i god tid, og i alle tilfeller innen 24 timer etter mottak av anmodningen. Tilbakekallingen skal tre i kraft umiddelbart etter at den er offentliggjort.

• 4. Med hensyn til nr. 3 skal kvalifiserte tilbydere av tillitstjenester som utsteder kvalifiserte sertifikater, informere eventuelle tjenestebrukere om gyldigheten av eller status som tilbakekalt for kvalifiserte sertifikater som er utstedt av dem. Slike opplysninger skal minst gjøres tilgjengelige for hvert enkelt sertifikat, når som helst og utover sertifikatets gyldighetsperiode på en automatisert måte som er pålitelig, gratis og effektiv.

• 5. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for pålitelige systemer og produkter som oppfyller kravene i nr. 2 bokstav e) og f) i denne artikkel. Dersom pålitelige systemer og produkter oppfyller kravene i nevnte standarder, skal de formodes å oppfylle kravene i denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. En elektronisk signatur skal ikke nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at den er elektronisk, eller at den ikke oppfyller kravene til kvalifiserte elektroniske signaturer.

• 2. En kvalifisert elektronisk signatur skal ha samme rettsvirkning som en håndskreven signatur.

• 3. En kvalifisert elektronisk signatur som er basert på et kvalifisert sertifikat utstedt i én medlemsstat, skal anerkjennes som en kvalifisert elektronisk signatur i alle andre medlemsstater.

En avansert elektronisk signatur skal oppfylle følgende krav:

• a) den er entydig knyttet til underskriveren,

• b) den kan identifisere underskriveren,

• c) den er framstilt ved hjelp av elektroniske signaturframstillingsdata som underskriveren, med en høy grad av pålitelighet, har enekontroll over bruken av, og

• d) den er knyttet til dataene som er signert med denne signaturen, på en slik måte at eventuelle etterfølgende endringer i dataene kan oppdages.

• 1. Dersom en medlemsstat krever en avansert elektronisk signatur for å bruke en nettbasert tjeneste som tilbys av eller på vegne av et offentlig organ, skal medlemsstaten anerkjenne avanserte elektroniske signaturer, avanserte elektroniske signaturer basert på et kvalifisert sertifikat for elektroniske signaturer og kvalifiserte elektroniske signaturer i minst de formatene eller ved bruk av metodene som er fastsatt i gjennomføringsrettsaktene nevnt i nr. 5.

• 2. Dersom en medlemsstat krever en avansert elektronisk signatur basert på et kvalifisert sertifikat for å bruke en nettbasert tjeneste som tilbys av eller på vegne av et offentlig organ, skal medlemsstaten anerkjenne avanserte elektroniske signaturer basert på et kvalifisert sertifikat og kvalifiserte elektroniske signaturer i minst de formatene eller ved bruk av metodene som er fastsatt i gjennomføringsrettsaktene nevnt i nr. 5.

• 3. Ved bruk over landegrensene i en nettbasert tjeneste som tilbys av et offentlig organ, skal medlemsstatene ikke kreve en elektronisk signatur med et høyere sikkerhetsnivå enn det som gjelder for den kvalifiserte elektroniske signaturen.

• 4. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for avanserte elektroniske signaturer. Dersom en avansert elektronisk signatur oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene til avanserte elektroniske signaturer nevnt i nr. 1 og 2 i denne artikkel og i artikkel 26. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 5. Innen 18. september 2015 og idet det tas hensyn til eksisterende praksis, standarder og EU-rettsakter skal Kommisjonen ved hjelp av gjennomføringsrettsakter fastsette referanseformater for avanserte elektroniske signaturer eller referansemetoder dersom alternative formater brukes. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Kvalifiserte sertifikater for elektroniske signaturer skal oppfylle kravene fastsatt i vedlegg I.

• 2. Kvalifiserte sertifikater for elektroniske signaturer skal ikke omfattes av ufravikelige krav som går lenger enn kravene fastsatt i vedlegg I.

• 3. Kvalifiserte sertifikater for elektroniske signaturer kan omfatte ikke-obligatoriske særlige tilleggsattributter. Nevnte attributter skal ikke påvirke samvirkingsevnen til og anerkjennelsen av kvalifiserte elektroniske signaturer.

• 4. Dersom et kvalifisert sertifikat for elektroniske signaturer er blitt tilbakekalt etter første aktivering, skal det miste gyldighet fra tilbakekallingstidspunktet, og dets status skal ikke under noen omstendigheter gjenopprettes.

• 5. Medlemsstatene kan fastsette nasjonale regler for midlertidig oppheving av et kvalifisert sertifikat for elektronisk signatur på følgende vilkår:

  • a) dersom et kvalifisert sertifikat for elektronisk signatur er blitt midlertidig opphevet, skal sertifikatet miste sin gyldighet i opphevingsperioden,

  • b) opphevingsperioden skal angis tydelig i sertifikatdatabasen, og i opphevingsperioden skal statusen som midlertidig opphevet være synlig gjennom tjenesten som formidler opplysninger om sertifikatets status.

• 6. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for kvalifiserte sertifikater for elektronisk signaturer. Dersom et kvalifisert sertifikat for elektronisk signatur oppfyller kravene i nevnte standarder, skal det formodes å oppfylle kravene fastsatt i vedlegg I. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Kvalifiserte elektroniske signaturframstillingssystemer skal oppfylle kravene fastsatt i vedlegg II.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for kvalifiserte elektroniske signaturframstillingssystemer. Dersom et kvalifisert elektronisk signaturframstillingssystem oppfyller kravene i nevnte standarder, skal det formodes å oppfylle kravene fastsatt i vedlegg II. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Egnede offentlige eller private organer utpekt av medlemsstatene skal sertifisere at kvalifiserte elektroniske signaturframstillingssystemer oppfyller kravene fastsatt i vedlegg II.

• 2. Medlemsstatene skal underrette Kommisjonen om navnet på og adressen til det offentlige eller private organet nevnt i nr. 1. Kommisjonen skal gjøre disse opplysningene tilgjengelige for medlemsstatene.

• 3. Sertifiseringen nevnt i nr. 1 skal bygge på ett av følgende elementer:

  • a) en sikkerhetsvurderingsprosess utført i samsvar med en av standardene for sikkerhetsvurdering av informasjonsteknologiprodukter oppført på listen opprettet i samsvar med annet ledd, eller

  • b) en annen prosess enn prosessen nevnt i bokstav a), forutsatt at den omfatter sammenlignbare sikkerhetsnivåer, og forutsatt at det offentlige eller private organet nevnt i nr. 1 melder prosessen til Kommisjonen. Denne prosessen kan brukes bare dersom standardene nevnt i bokstav a) ikke foreligger, eller dersom det pågår en sikkerhetsvurderingsprosess som nevnt i bokstav a).

Kommisjonen skal ved hjelp av gjennomføringsrettsakter opprette en liste over standarder med henblikk på sikkerhetsvurderingen av informasjonsteknologiprodukter nevnt i bokstav a). Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 4. Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 47 om fastsettelse av spesifikke kriterier som skal oppfylles av de utpekte organene nevnt i nr. 1 i denne artikkel.

• 1. Medlemsstatene skal så raskt som mulig og senest én måned etter at sertifiseringen er avsluttet, framlegge for Kommisjonen opplysninger om de kvalifiserte systemene for framstilling av elektroniske signaturer som er blitt sertifisert av organene nevnt i artikkel 30 nr. 1. De skal også så raskt som mulig og senest én måned etter at sertifiseringen er annullert, framlegge for Kommisjonen opplysninger om de systemene for framstilling av elektroniske signaturer som ikke lenger er sertifisert.

• 2. På grunnlag av de mottatte opplysningene skal Kommisjonen opprette, offentliggjøre og ajourføre en liste over sertifiserte kvalifiserte elektroniske signaturframstillingssystemer.

• 3. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formater og framgangsmåter som gjelder for nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Prosessen for validering av en kvalifisert elektronisk signatur skal bekrefte gyldigheten av en kvalifisert elektronisk signatur, forutsatt at

  • a) sertifikatet som støtter signaturen, på signeringstidspunktet var et kvalifisert sertifikat for elektronisk signatur som oppfyller kravene i vedlegg I,

  • b) det kvalifiserte sertifikatet er utstedt av en kvalifisert tilbyder av tillitstjenester og var gyldig på signeringstidspunktet,

  • c) signaturvalideringsdataene stemmer overens med dataene som stilles til rådighet for tjenestebrukeren,

  • d) det entydige datasettet som representerer underskriveren i sertifikatet, stilles til rådighet på riktig måte for tjenestebrukeren,

  • e) bruken av et pseudonym framgår tydelig for tjenestebrukeren dersom det på signeringstidspunktet ble brukt et pseudonym,

  • f) den elektroniske signaturen er framstilt av et kvalifisert elektronisk signaturframstillingssystem,

  • g) integriteten til de signerte dataene er intakt,

  • h) kravene fastsatt i artikkel 26 er oppfylt på signeringstidspunktet.

• 2. Systemet som brukes for å validere den kvalifiserte elektroniske signaturen, skal gi tjenestebrukeren det riktige resultatet av valideringsprosessen og gjøre det mulig for tjenestebrukeren å oppdage eventuelle problemer knyttet til sikkerheten.

• 3. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for validering av kvalifiserte elektroniske signaturer. Dersom valideringen av kvalifiserte elektroniske signaturer oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene fastsatt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. En kvalifisert valideringstjeneste for kvalifiserte elektroniske signaturer kan leveres bare av en kvalifisert tilbyder av tillitstjenester som

  • a) tilbyr validering i samsvar med artikkel 32 nr. 1, og

  • b) lar tjenestebrukere motta resultatet av valideringsprosessen på en automatisert måte som er pålitelig og effektiv, påført den avanserte elektroniske signaturen eller det avanserte elektroniske seglet til tilbyderen av den kvalifiserte valideringstjenesten.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for kvalifiserte valideringstjenester nevnt i nr. 1. Dersom valideringstjenesten for en kvalifisert elektronisk signatur oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene fastsatt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. En kvalifisert tjeneste for bevaring av kvalifiserte elektroniske signaturer kan leveres bare av en kvalifisert tilbyder av tillitstjenester som benytter framgangsmåter og teknologi som gjør det mulig å forlenge påliteligheten til den kvalifiserte elektroniske signaturen utover den teknologiske gyldighetstiden.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for den kvalifiserte tjenesten for bevaring av kvalifiserte elektroniske signaturer. Dersom den kvalifiserte tjenesten for bevaring av elektroniske signaturer oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene fastsatt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Et elektronisk segl skal ikke nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at det er elektronisk, eller at det ikke oppfyller kravene til kvalifiserte elektroniske segl.

• 2. For et kvalifisert elektronisk segl skal det formodes at integriteten til dataene som det kvalifiserte elektroniske seglet er knyttet til, er intakt, og at dataenes opprinnelse er riktig.

• 3. Et kvalifisert elektronisk segl som er basert på et kvalifisert sertifikat utstedt i én medlemsstat, skal anerkjennes som et kvalifisert elektronisk segl i alle andre medlemsstater.

Et avansert elektronisk segl skal oppfylle følgende krav:

• a) det er entydig knyttet til seglframstilleren,

• b) det kan identifisere seglframstilleren,

• c) det er framstilt ved hjelp av elektroniske seglframstillingsdata som seglframstilleren, med en høy grad av pålitelighet, har under sin kontroll og kan bruke til framstilling av elektroniske segl, og

• d) det er knyttet til dataene det gjelder, på en slik måte at eventuelle etterfølgende endringer i dataene kan oppdages.

• 1. Dersom en medlemsstat krever et avansert elektronisk segl for å bruke en nettbasert tjeneste som tilbys av eller på vegne av et offentlig organ, skal medlemsstaten anerkjenne avanserte elektroniske segl, avanserte elektroniske segl basert på et kvalifisert sertifikat for elektroniske segl og kvalifiserte elektroniske segl i minst de formatene eller ved bruk av metodene som er fastsatt i gjennomføringsrettsaktene nevnt i nr. 5.

• 2. Dersom en medlemsstat krever et avansert elektronisk segl basert på et kvalifisert sertifikat for å bruke en nettbasert tjeneste som tilbys av eller på vegne av et offentlig organ, skal medlemsstaten anerkjenne avanserte elektroniske segl basert på et kvalifisert sertifikat og kvalifiserte elektroniske segl i minst de formatene eller ved bruk av metodene som er fastsatt i gjennomføringsrettsaktene nevnt i nr. 5.

• 3. Ved bruk over landegrensene i en nettbasert tjeneste som tilbys av et offentlig organ, skal medlemsstatene ikke kreve et elektronisk segl med et høyere sikkerhetsnivå enn det som gjelder for det kvalifiserte elektroniske seglet.

• 4. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for avanserte elektroniske segl. Dersom et avansert elektronisk segl oppfyller kravene i nevnte standarder, skal det formodes å oppfylle kravene til avanserte elektroniske segl nevnt i nr. 1 og 2 i denne artikkel og i artikkel 36. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 5. Innen 18. september 2015 og idet det tas hensyn til eksisterende praksis, standarder og EU-rettsakter skal Kommisjonen ved hjelp av gjennomføringsrettsakter fastsette referanseformater for avanserte elektroniske segl eller referansemetoder dersom alternative formater brukes. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Kvalifiserte sertifikater for elektroniske segl skal oppfylle kravene fastsatt i vedlegg III.

• 2. Kvalifiserte sertifikater for elektroniske segl skal ikke omfattes av ufravikelige krav som går lenger enn kravene fastsatt i vedlegg III.

• 3. Kvalifiserte sertifikater for elektroniske segl kan omfatte ikke-obligatoriske særlige tilleggsattributter. Nevnte attributter skal ikke påvirke samvirkingsevnen til og anerkjennelsen av kvalifiserte elektroniske segl.

• 4. Dersom et kvalifisert sertifikat for et elektronisk segl er blitt tilbakekalt etter første aktivering, skal det miste sin gyldighet fra tilbakekallingstidspunktet, og dets status skal ikke under noen omstendigheter gjenopprettes.

• 5. Medlemsstatene kan fastsette nasjonale regler for midlertidig oppheving av kvalifiserte sertifikater for elektroniske segl på følgende vilkår:

  • a) dersom et kvalifisert sertifikat for et elektroniske segl er blitt midlertidig opphevet, skal sertifikatet miste sin gyldighet i opphevingsperioden,

  • b) opphevingsperioden skal angis tydelig i sertifikatdatabasen, og i opphevingsperioden skal statusen som midlertidig opphevet være synlig gjennom tjenesten som formidler opplysninger om sertifikatets status.

• 6. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for kvalifiserte sertifikater for elektroniske segl. Dersom et kvalifisert sertifikat for elektroniske segl oppfyller kravene i nevnte standarder, skal det formodes å oppfylle kravene fastsatt i vedlegg III. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Artikkel 29 får tilsvarende anvendelse på krav til kvalifiserte elektroniske seglframstillingssystemer.

• 2. Artikkel 30 får tilsvarende anvendelse på sertifisering av kvalifiserte elektroniske seglframstillingssystemer.

• 3. Artikkel 31 får tilsvarende anvendelse på offentliggjøring av en liste over sertifiserte kvalifiserte elektroniske seglframstillingssystemer.

Artikkel 32, 33 og 34 får tilsvarende anvendelse på validering og bevaring av kvalifiserte elektroniske segl.

• 1. Et elektronisk tidsstempel skal ikke nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at det er elektronisk, eller at det ikke oppfyller kravene til et kvalifisert elektronisk tidsstempel.

• 2. For et kvalifisert elektronisk tidsstempel skal det formodes at datoen og tidspunktet det angir, er nøyaktig, og at integriteten til dataene som datoen og tidspunktet er knyttet til, er intakt.

• 3. Et kvalifisert elektronisk tidsstempel utstedt i én medlemsstat skal anerkjennes som et kvalifisert elektronisk tidsstempel i alle andre medlemsstater.

• 1. Et kvalifisert elektronisk tidsstempel skal oppfylle følgende krav:

  • a) det knytter datoen og tidspunktet til dataene på en slik måte at muligheten for at dataene endres uten at det oppdages, med rimelighet kan utelukkes,

  • b )det bygger på en nøyaktig tidskilde som er knyttet til koordinert universell tid, og

  • c) det er signert ved bruk av en avansert elektronisk signatur eller forseglet med et avansert elektronisk segl tilhørende den kvalifiserte tilbyderen av tillitstjenester, eller med en annen tilsvarende metode.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for å knytte dato og tidspunkt til data og for nøyaktige tidskilder. Dersom tilknytningen mellom dato/tidspunkt og data samt den nøyaktige tidskilden oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene fastsatt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Data som sendes og mottas ved hjelp av en elektronisk tjeneste for registrert sending, skal ikke nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at de er elektroniske, eller at de ikke oppfyller kravene til den kvalifiserte elektroniske tjenesten for registrert sending.

• 2. Data som sendes og mottas ved hjelp av en kvalifisert elektronisk tjeneste for registrert sending, skal omfattes av en formodning om dataenes integritet, den identifiserte senderens sending av dataene, den identifiserte mottakerens mottak av dataene og nøyaktigheten av datoen og tidspunktet for sending og mottak som angis av den kvalifiserte elektroniske tjenesten for registrert sending.

• 1. Kvalifiserte elektroniske tjenester for registrert sending skal oppfylle følgende krav:

  • a) de leveres av én eller flere kvalifiserte tilbydere av tillitstjenester,

  • b) de sikrer identifikasjon av senderen med en høy grad av pålitelighet,

  • c) de sikrer identifikasjon av mottakeren før dataene leveres,

  • d) sending og mottak av data sikres ved hjelp av en avansert elektronisk signatur eller et avansert elektronisk segl tilhørende en kvalifisert tilbyder av tillitstjenester på en slik måte at det utelukker muligheten for at dataene endres uten at det oppdages,

  • e) enhver endring av dataene som er nødvendig for å sende eller motta dataene, angis tydelig for senderen og mottakeren av dataene,

  • f) datoen og tidspunktet for sending, mottak og eventuelle endringer av dataene angis ved hjelp av et kvalifisert elektronisk tidsstempel.

Dersom dataene overføres mellom to eller flere kvalifiserte tilbydere av tillitstjenester, får kravene i bokstav a)–f) anvendelse på alle de kvalifiserte tilbyderne av tillitstjenester.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for prosesser for sending og mottak av data. Dersom prosessen for sending og mottak av data oppfyller kravene i nevnte standarder, skal den formodes å oppfylle kravene fastsatt i nr. 1. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

• 1. Kvalifiserte sertifikater for nettstedsautentisering skal oppfylle kravene fastsatt i vedlegg IV.

• 2. Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette referansenumre for standarder for kvalifiserte sertifikater for nettstedsautentisering. Dersom et kvalifisert sertifikat for nettstedsautentisering oppfyller kravene i nevnte standarder, skal det formodes å oppfylle kravene fastsatt i vedlegg IV. Disse gjennomføringsrettsaktene skal vedtas i samsvar med framgangsmåten med undersøkelseskomité nevnt i artikkel 48 nr. 2.

Et elektronisk dokument skal ikke nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at det er elektronisk.

• 1. Myndigheten til å vedta delegerte rettsakter gis Kommisjonen med forbehold for vilkårene fastsatt i denne artikkel.

• 2. Myndigheten til å vedta delegerte rettsakter nevnt i artikkel 30 nr. 4 gis Kommisjonen på ubestemt tid fra 17. september 2014.

• 3. Den delegerte myndigheten nevnt i artikkel 30 nr. 4 kan når som helst tilbakekalles av Europaparlamentet eller Rådet. En beslutning om tilbakekalling innebærer at den delegerte myndigheten som angis i beslutningen, opphører å gjelde. Beslutningen får anvendelse dagen etter at den er offentliggjort i Den europeiske unions tidende, eller på et senere tidspunkt angitt i beslutningen. Den berører ikke gyldigheten av delegerte rettsakter som allerede er trådt i kraft.

• 4. Så snart Kommisjonen vedtar en delegert rettsakt, skal den underrette Europaparlamentet og Rådet samtidig om dette.

• 5. En delegert rettsakt vedtatt i henhold til artikkel 30 nr. 4 skal tre i kraft bare dersom verken Europaparlamentet eller Rådet har gjort innsigelse mot rettsakten innen en frist på to måneder etter at rettsakten ble meddelt Europaparlamentet og Rådet, eller dersom både Europaparlamentet og Rådet innen utløpet av denne fristen har underrettet Kommisjonen om at de ikke kommer til å gjøre innsigelse. På Europaparlamentets eller Rådets initiativ forlenges denne fristen med to måneder.

• 1. Kommisjonen skal bistås av en komité. Nevnte komité skal være en komité i henhold til forordning (EU) nr. 182/2011.

• 2. Når det vises til dette nummer, får artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

Kommisjonen skal gjennomgå anvendelsen av denne forordning og framlegge en rapport for Europaparlamentet og Rådet senest 1. juli 2020. Kommisjonen skal særlig vurdere om det er hensiktsmessig å endre denne forordnings virkeområde eller dens særlige bestemmelser, herunder artikkel 6, artikkel 7 bokstav f) og artikkel 34, 43, 44 og 45, idet det tas hensyn til erfaringene fra anvendelsen av denne forordning, den teknologiske og juridiske utvikling samt markedsutviklingen.

Rapporten nevnt i første ledd skal om nødvendig ledsages av forslag til regelverk.

Kommisjonen skal dessuten hvert fjerde år etter rapporten nevnt i første ledd framlegge en rapport for Europaparlamentet og Rådet om hvilke framskritt som er gjort med hensyn til å nå målene i denne forordning.

• 1. Direktiv 1999/93/EF oppheves med virkning fra 1. juli 2016.

• 2. Henvisninger til det opphevede direktivet skal forstås som henvisninger til denne forordning.

• 1. Sikre signaturframstillingssystemer hvis samsvar er blitt fastslått i samsvar med artikkel 3 nr. 4 i direktiv 1999/93/EF, skal anses som kvalifiserte elektroniske signaturframstillingssystemer i henhold til denne forordning.

• 2. Kvalifiserte sertifikater utstedt til fysiske personer i henhold til direktiv 1999/93/EF skal anses som kvalifiserte sertifikater for elektroniske signaturer i henhold til denne forordning fram til de utløper.

• 3. En tilbyder av sertifiseringstjenester som utsteder kvalifiserte sertifikater i henhold til direktiv 1999/93/EF, skal framlegge en samsvarsvurderingsrapport for tilsynsorganet så snart som mulig og senest 1. juli 2017. Fram til en slik samsvarsvurderingsrapport er framlagt og tilsynsorganet har fullført sin vurdering av den, skal tilbyderen av sertifiseringstjenester anses som en kvalifisert tilbyder av tillitstjenester i henhold til denne forordning.

• 4. Dersom en tilbyder av sertifiseringstjenester som utsteder kvalifiserte sertifikater i henhold til direktiv 1999/93/EF, ikke framlegger en samsvarsvurderingsrapport for tilsynsorganet innen tidsfristen angitt i nr. 3, skal tilbyderen av sertifiseringstjenester ikke anses som en kvalifisert tilbyder av sertifiseringstjenester i henhold til denne forordning fra og med 2. juli 2017.

• 1. Denne forordning trer i kraft den 20. dagen etter at den er kunngjort i Den europeiske unions tidende.

• 2. Denne forordning får anvendelse fra 1. juli 2016, med unntak av følgende bestemmelser:

  • a) Artikkel 8 nr. 3, 9 nr. 5, 12 nr. 2–9, 17 nr. 8, 19 nr. 4, 20 nr. 4, 21 nr. 4, 22 nr. 5, 23 nr. 3, 24 nr. 5, 27 nr. 4 og 5, 28 nr. 6, 29 nr. 2, 30 nr. 3 og 4, 31 nr. 3, 32 nr. 3, 33 nr. 2, 34 nr. 2, 37 nr. 4 og 5, 38 nr. 6, 42 nr. 2, 44 nr. 2, 45 nr. 2 og artikkel 47 og 48 får anvendelse fra 17. september 2014.

  • b) Artikkel 7, artikkel 8 nr. 1 og 2, artikkel 9, 10, 11 og artikkel 12 nr. 1 får anvendelse fra anvendelsesdatoen for gjennomføringsrettsaktene nevnt i artikkel 8 nr. 3 og 12 nr. 8.

  • c) Artikkel 6 får anvendelse fra og med tre år fra anvendelsesdatoen for gjennomføringsrettsaktene nevnt i artikkel 8 nr. 3 og 12 nr. 8.

• 3. Dersom den meldte ordningen for elektronisk identifikasjon er oppført på listen offentliggjort av Kommisjonen i henhold til artikkel 9 før datoen nevnt i nr. 2 bokstav c) i denne artikkel, skal de elektroniske identifikasjonsmidlene innenfor rammen av denne ordningen i henhold til artikkel 6 anerkjennes senest 12 måneder etter offentliggjøring av ordningen, men ikke før datoen nevnt i nr. 2 bokstav c) i denne artikkel.

• 4. Uten hensyn til nr. 2 bokstav c) i denne artikkel kan en medlemsstat beslutte at elektroniske identifikasjonsmidler innenfor rammen av en ordning for elektronisk identifikasjon som er meldt i henhold til artikkel 9 nr. 1 av en annen medlemsstat, skal anerkjennes i den første medlemsstaten fra og med anvendelsesdatoen for gjennomføringsrettsaktene nevnt i artikkel 8 nr. 3 og 12 nr. 8. De berørte medlemsstatene skal underrette Kommisjonen. Kommisjonen skal offentliggjøre disse opplysningene.

Denne forordning er bindende i alle deler og kommer direkte til anvendelse i alle medlemsstater.

Utferdiget i Brussel 23. juli 2014.

VEDLEGG I

KRAV TIL KVALIFISERTE SERTIFIKATER FOR ELEKTRONISKE SIGNATURER

Kvalifiserte sertifikater for elektroniske signaturer skal inneholde

• a) en angivelse, som minst er i en form som er egnet for automatisert behandling, om at sertifikatet er utstedt som et kvalifisert sertifikat for elektronisk signatur,

• b) et datasett som på en utvetydig måte representerer den kvalifiserte tilbyderen av tillitstjenester som utsteder de kvalifiserte sertifikatene, som minst inneholder opplysninger om hvilken medlemsstat tjenestetilbyderen er etablert i, og

  • — for en juridisk person: navn og, når det er relevant, registreringsnummeret oppført i offisielle registre,

  • — for en fysisk person: personens navn,

• c) minst underskriverens navn eller et pseudonym, der pseudonymet er tydelig angitt dersom et slikt brukes,

• d) valideringsdata for den elektroniske signaturen som stemmer overens med dataene for framstilling av den elektroniske signaturen,

• e) opplysninger om når sertifikatets gyldighetsperiode starter og utløper,

• f) sertifikatets identifikasjonskode, som må være entydig for den kvalifiserte tilbyderen av tillitstjenester,

• g) den avanserte elektroniske signaturen eller det avanserte elektroniske seglet til den utstedende kvalifiserte tilbyderen av tillitstjenester,

• h) opplysninger om hvor sertifikatet som støtter den avanserte elektroniske signaturen eller det avanserte elektroniske seglet nevnt i bokstav g), er gratis tilgjengelig,

• i) opplysninger om hvor tjenestene som kan brukes for å få kjennskap til det kvalifiserte sertifikatets gyldighetsstatus, befinner seg,

• j) dersom de elektroniske signaturframstillingsdataene som er knyttet til valideringsdataene for elektroniske signaturer, befinner seg i et kvalifisert elektronisk signaturframstillingssystem, en egnet angivelse av dette som minst skal være i en form som er egnet for automatisert behandling.

VEDLEGG II

KRAV TIL KVALIFISERTE ELEKTRONISKE SIGNATURFRAMSTILLINGSSYSTEMER

• 1. Kvalifiserte elektroniske signaturframstillingssystemer skal ved hjelp av egnede tekniske midler og framgangsmåter minst sikre at

  • a) de elektroniske signaturframstillingsdataene som brukes til framstilling av elektroniske signaturer, behandles tilstrekkelig fortrolig,

  • b) de elektroniske signaturframstillingsdataene som brukes til framstilling av elektroniske signaturer, i praksis kan forekomme bare én gang,

  • c) de elektroniske signaturframstillingsdataene som brukes til framstilling av elektroniske signaturer, med rimelig sikkerhet ikke kan utledes, og at tilgjengelig teknologi er brukt for å beskytte den elektroniske signaturen mot forfalskning,

  • d) den rettmessige underskriveren på en pålitelig måte kan hindre andre i å bruke de elektroniske signaturframstillingsdataene som brukes til framstilling av elektroniske signaturer.

• 2. Kvalifiserte elektroniske signaturframstillingssystemer skal ikke endre dataene som skal signeres, eller hindre at disse dataene vises for underskriveren før signaturprosessen.

• 3. Generering eller håndtering av elektroniske signaturframstillingsdata på vegne av underskriveren kan gjøres bare av en kvalifisert tilbyder av tillitstjenester.

• 4. Med forbehold for nr. 1 bokstav d) kan kvalifiserte tilbydere av tillitstjenester som håndterer elektroniske signaturframstillingsdata på vegne av underskriveren, kopiere disse dataene bare for å opprette sikkerhetskopier, forutsatt at følgende krav er oppfylt:

  • a) sikkerhetsnivået for de kopierte datasettene må være det samme som for de opprinnelige datasettene,

  • b) antall kopierte datasett skal ikke overskride minsteantallet som er nødvendig for å sikre kontinuitet i tjenesten.

VEDEGG III

KRAV TIL KVALIFISERTE SERTIFIKATER FOR ELEKTRONISKE SEGL

Kvalifiserte sertifikater for elektroniske segl skal inneholde

• a) en angivelse, som minst er i en form som er egnet for automatisert behandling, om at sertifikatet er utstedt som et kvalifisert sertifikat for elektroniske segl,

• b) et datasett som på en utvetydig måte representerer den kvalifiserte tilbyderen av tillitstjenester som utsteder de kvalifiserte sertifikatene, som minst inneholder opplysninger om hvilken medlemsstat tjenestetilbyderen er etablert i, og

  • — for en juridisk person: navn og, når det er relevant, registreringsnummeret oppført i offisielle registre,

  • — for en fysisk person: personens navn,

• c) minst seglframstillerens navn og, når det er relevant, registreringsnummeret oppført i offisielle registre,

• d) valideringsdata for det elektroniske seglet som stemmer overens med dataene for framstilling av det elektroniske seglet,

• e) opplysninger om når sertifikatets gyldighetsperiode starter og utløper,

• f) sertifikatets identifikasjonskode, som må være entydig for den kvalifiserte tilbyderen av tillitstjenester,

• g) den avanserte elektroniske signaturen eller det avanserte elektroniske seglet til den utstedende kvalifiserte tilbyderen av tillitstjenester,

• h) opplysninger om hvor sertifikatet som støtter den avanserte elektroniske signaturen eller det avanserte elektroniske seglet nevnt i bokstav g), er gratis tilgjengelig,

• i) opplysninger om hvor tjenestene som kan brukes for å få kjennskap til det kvalifiserte sertifikatets gyldighetsstatus, befinner seg,

• j) dersom de elektroniske seglframstillingsdataene som er knyttet til valideringsdataene for elektroniske segl, befinner seg i et system for framstilling av kvalifiserte elektroniske segl, en egnet angivelse av dette som minst skal være i en form som er egnet for automatisert behandling.

VEDLEGG IV

KRAV TIL KVALIFISERTE SERTIFIKATER FOR NETTSTEDAUTENTISERING

Kvalifiserte sertifikater for nettstedsautentisering skal inneholde

• a) en angivelse, som minst er i en form som er egnet for automatisert behandling, om at sertifikatet er utstedt som et kvalifisert sertifikat for nettstedsautentisering,

• b) et datasett som på en utvetydig måte representerer den kvalifiserte tilbyderen av tillitstjenester som utsteder de kvalifiserte sertifikatene, som minst inneholder opplysninger om hvilken medlemsstat tjenestetilbyderen er etablert i, og

  • — for en juridisk person: navn og, når det er relevant, registreringsnummeret oppført i offisielle registre,

  • — for en fysisk person: personens navn,

• c) for fysiske personer: minst navnet på personen som sertifikatet er utstedt til, eller et pseudonym, der pseudonymet er tydelig angitt dersom et slikt brukes,

  for juridiske personer: minst navnet på den juridiske personen som sertifikatet er utstedt til, og eventuelt registreringsnummeret oppført i offisielle registre,

• d) adresseopplysningene, herunder minst opplysninger om by og stat, til den fysiske eller juridiske personen som sertifikatet er utstedt til, og eventuelt som angitt i offisielle registre,

• e) domenenavnet eller -navnene som drives av den fysiske eller juridiske personen som sertifikatet er utstedt til,

• f) opplysninger om når sertifikatets gyldighetsperiode starter og utløper,

• g) sertifikatets identifikasjonskode, som må være entydig for den kvalifiserte tilbyderen av tillitstjenester,

• h) den avanserte elektroniske signaturen eller det avanserte elektroniske seglet til den utstedende kvalifiserte tilbyderen av tillitstjenester,

• i) opplysninger om hvor sertifikatet som støtter den avanserte elektroniske signaturen eller det avanserte elektroniske seglet nevnt i bokstav h), er gratis tilgjengelig,

• j) opplysninger om hvor tjenestene som kan brukes for å få kjennskap til det kvalifiserte sertifikatets gyldighetsstatus, befinner seg,