Załącznik

Norma ETSI TS 119 461 V2.1.1 (2025-02) dotycząca zgodności z pkt C.3 załącznika C ma zastosowanie z następującymi dostosowaniami:

1) 2.1. Odesłania do norm

— [1] ETSI EN 319 401 V3.1.1 (2024-06): „Podpisy elektroniczne i infrastruktura zaufania (ESI); Ogólne wymagania polityki dla dostawców usług zaufania”.

2) C.3. Przypadki użycia przy wydawaniu certyfikatów kwalifikowanych lub kwalifikowanych elektronicznych poświadczeń atrybutów zgodnie z art. 24 ust. 1, 1a i 1b rozporządzenia (UE) nr 910/2014.

— [WARUNKOWO] QTS-C3-01: Jeżeli weryfikację tożsamości w odniesieniu do certyfikatu kwalifikowanego lub kwalifikowanego poświadczenia elektronicznego przeprowadza się w połączeniu z weryfikacją tożsamości w celu wydania wiarygodnego dowodu, ten proces weryfikacji tożsamości:

— musiał zostać poddany wzajemnej ocenie lub certyfikowany przez akredytowaną jednostkę oceniającą zgodność z wymogiem wysokiego poziomu pewności zgodnie z rozporządzeniem (UE) nr 910/2014, lub

— musi spełnić wymogi określone w pkt C3.1–C3.6.

3) C.3.4. Przypadek użycia przy potwierdzaniu tożsamości za pomocą innych środków identyfikacji

— QTS-C.3.4-06A: Niezależna jednostka oceniająca zgodność, o której mowa w [WARUNKOWO] QTS-C.3.4-06 lit. c), musi być akredytowana zgodnie z art. 3 pkt 18 rozporządzenia (UE) nr 910/2014, a jeżeli spełnione są wszystkie stosowne wymogi, ocena powinna skutkować wydaniem certyfikatu zgodności na podstawie audytu certyfikacyjnego. Ten formalny proces certyfikacji opiera się na procesie oceny bezpieczeństwa, który odnosi się do poziomów bezpieczeństwa określonych dla notyfikowanych środków identyfikacji elektronicznej lub certyfikowanych europejskich portfeli tożsamości cyfrowej na podstawie rozporządzenia (UE) nr 910/2014 i obejmuje rygorystyczne testy oceniające odporność na potencjalne zagrożenia bezpieczeństwa. W ocenach tych stosuje się odpowiednie normy techniczne w celu wykazania odporności na te ataki.

4) 9.2.3.4. Przypadek użycia przy zautomatyzowanych procesach

— USE-9.2.3.4-04: IPSP ustanawia wartości docelowe dla FAR i FRR na podstawie analizy ryzyka i stosowanej przez niego procedury analizy zagrożeń, przestrzegając metody określonej w sprawozdaniu ENISA pt. „Metodyka sektorowych ocen cyberbezpieczeństwa” [i.28] lub równoważnej metodyki w ramach w pełni zautomatyzowanych procesów potwierdzania tożsamości. Te wartości docelowe nie mogą przekraczać wartości ustalonych dla przypadków zastosowania hybrydowego, o ile takie występują. IPSP utrzymuje te wartości docelowe dla FAR i FRR w sposób spójny, uzasadniony analizą ryzyka i procedurą analizy zagrożeń.

5) 8.3.3. Walidacja fizycznego dokumentu tożsamości

— VAL-8.3.3-21: Skuteczność środków służących spełnieniu wymagań VAL-8.3.3-05X, VAL-8.3.3-05A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07A oraz VAL-8.3.3-07X testuje akredytowane laboratorium lub właściwy organ krajowy, w przypadku ich wyznaczenia, najpóźniej do dnia 19 sierpnia 2027 r., a następnie testy powtarza się co dwa lata.

6) 7.12. Zakończenie działalności i plany zakończenia działalności

— OVR-7.12-02: Plan zakończenia działalności musi spełniać wymogi określone w aktach wykonawczych przyjętych na podstawie art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 [i.1].