Załącznik I

Dokument przyporządkowujący poziomy bezpieczeństwa na potrzeby wzajemnej oceny, o którym mowa w art. 2 ust. 1 lit. a), musi zawierać co najmniej następujące informacje:

1) informacje ogólne, w tym:

a) nazwę zgłaszającego państwa członkowskiego;

b) nazwę systemu identyfikacji elektronicznej (jeżeli jest stosowany);

c) poziom lub poziomy zaufania systemu identyfikacji elektronicznej, wskazany jako niskie, średnie lub wysokie;

2) organ lub organy odpowiedzialne za system identyfikacji elektronicznej, w tym:

a) nazwę lub nazwy organu lub organów odpowiedzialnych za system identyfikacji elektronicznej;

b) adres poczty elektronicznej organu lub organów odpowiedzialnych za system identyfikacji elektronicznej;

3) informacje na temat odpowiednich stron, podmiotów i organów zaangażowanych w system identyfikacji elektronicznej, w tym:

a) nazwę podmiotu lub nazwy podmiotów zarządzających procesem rejestracji niepowtarzalnych danych identyfikujących osobę;

b) nazwę strony lub nazwy stron wydających środki identyfikacji elektronicznej oraz, w stosownych przypadkach, wskazanie, czy o stronie lub stronach mowa w art. 7 lit. a) ppkt (i), (ii) lub (iii) rozporządzenia (UE) nr 910/2014;

c) nazwę strony lub nazwy stron przeprowadzających procedurę uwierzytelnienia („węzeł eIDAS”);

d) nazwę lub nazwy organizacji zarządzających lub organizacji uczestniczących w systemie nadzoru związanym z systemem identyfikacji elektronicznej;

4) opis systemu identyfikacji elektronicznej, z uwzględnieniem:

a) w stosownych przypadkach dokumentu lub dokumentów, które należy załączyć w odniesieniu do każdego z następujących tematów:

— krótki opis systemu identyfikacji elektronicznej, w tym kontekst, w którym działa, jego zakres i dostępność dla prywatnych stron ufających,

— wykaz dodatkowych atrybutów, które można przekazać w odniesieniu do osób fizycznych w ramach systemu identyfikacji elektronicznej na wniosek strony ufającej,

— wykaz dodatkowych atrybutów, które można przekazać w odniesieniu do osób prawnych w ramach systemu identyfikacji elektronicznej na wniosek strony ufającej;

b) mający zastosowanie system nadzoru, system odpowiedzialności i system zarządzania, w tym:

— opis systemu nadzoru nad systemem identyfikacji elektronicznej, w tym proces oceny w odniesieniu do:

— systemu nadzoru mającego zastosowanie do strony lub stron wydających środek identyfikacji elektronicznej;

— systemu nadzoru mającego zastosowanie do strony lub stron eksploatujących węzeł eIDAS.

W stosownych przypadkach opisy te obejmują funkcje, obowiązki i uprawnienia organizacji zarządzających, które uczestniczą w systemie nadzoru, o którym mowa w pkt 3 lit. d), oraz podmiotu, któremu one podlegają. Jeżeli organizacje nie podlegają organowi odpowiedzialnemu za system, należy podać wszystkie szczegółowe informacje dotyczące podmiotu, któremu podlegają;

— opis mającego zastosowanie krajowego systemu odpowiedzialności, w tym:

— opis odpowiedzialności państwa członkowskiego na podstawie art. 11 ust. 1 rozporządzenia (UE) nr 910/2014,

— opis odpowiedzialności strony lub stron wydających środek identyfikacji elektronicznej na podstawie art. 11 ust. 2 rozporządzenia (UE) nr 910/2014,

— opis odpowiedzialności strony lub stron obsługujących węzeł eIDAS na podstawie art. 11 ust. 3 rozporządzenia (UE) nr 910/2014,

— ustalenia dotyczące zarządzania, zawieszania lub uchylenia całego systemu identyfikacji lub konkretnych środków identyfikacji elektronicznej, węzła eIDAS lub jego części, które zostały naruszone;

c) opis elementów systemu identyfikacji elektronicznej, z uwzględnieniem:

— opisu sposobu spełnienia wymogów dotyczących minimalnych specyfikacji technicznych i procedur dotyczących poziomów zaufania środków identyfikacji elektronicznej, określonych w rozporządzeniu wykonawczym (UE) 2015/1502, uzasadniającego poziom zaufania wskazany przy wprowadzeniu do systemu,

— opisu sposobu uwzględnienia następujących procesów w ramach systemu identyfikacji elektronicznej, w tym dokumentacji dotyczącej połączenia wariantów wybranych przez państwo członkowskie w odniesieniu do:

— wniosku i rejestracji,

— sprawdzania i weryfikacji tożsamości osoby fizycznej,

— sprawdzania i weryfikacji tożsamości osoby prawnej,

— powiązania między środkami identyfikacji elektronicznej osób fizycznych i prawnych,

— w odniesieniu do zarządzania środkami identyfikacji elektronicznej – opis sposobu uwzględnienia następujących procesów w ramach środków identyfikacji elektronicznej:

— charakterystyki i projektu środków identyfikacji elektronicznej, w tym, w stosownych przypadkach, informacje na temat certyfikacji bezpieczeństwa,

— wydawania, dostarczania i aktywacji,

— zawieszania, unieważniania i przywracania,

— wznawiania i wymiany,

— w odniesieniu do uwierzytelniania – opis mechanizmu uwierzytelniania, w tym warunki dostępu do uwierzytelniania stron ufających innych niż organy sektora publicznego,

— w odniesieniu do zarządzania i organizacji – opis zarządzania i organizacji następujących aspektów,

— przepisów ogólnych dotyczących zarządzania i organizacji,

— opublikowanych zawiadomień i informacji dla użytkowników,

— zarządzania bezpieczeństwem informacji,

— prowadzenia rejestrów,

— obiektów i personelu,

— kontroli technicznych,

— zgodności i audytu;

d) opis sposobu spełnienia wymogów w zakresie interoperacyjności oraz minimalnych wymogów technicznych i wymogów bezpieczeństwa operacyjnego;

e) wykaz całej przedłożonej dokumentacji uzasadniającej oraz oświadczenie, do którego z powyższych elementów się odnosi, w tym odniesienia do wszelkich przepisów krajowych, które dotyczą zapewniania identyfikacji elektronicznej, istotnych dla powiadomienia i odpowiednich sprawozdań z audytu, oświadczeń dotyczących praktyki certyfikacyjnej i sprawozdań z badań;

f) odpowiednich dokumentów i informacji dotyczących certyfikacji systemu identyfikacji elektronicznej na podstawie art. 12a ust. 1 oraz, w stosownych przypadkach, art. 12a ust. 5 rozporządzenia (UE) nr 910/2014.