Załącznik III

Wymogi dotyczące interoperacyjności

Artykuł rozporządzenia wykonawczego Komisji (UE) 2015/1501

Wymóg

Opis

4

Przyporządkowanie krajowych poziomów bezpieczeństwa

Przyporządkowanie krajowych poziomów bezpieczeństwa notyfikowanych systemów identyfikacji elektronicznej musi być zgodne z wymogami określonymi w rozporządzeniu wykonawczym (UE) 2015/1502. Wyniki tego przyporządkowania są przekazywane Komisji przy użyciu formularza powiadomienia określonego w decyzji wykonawczej (UE) 2015/1984.

<wypełnia państwo członkowskie>

5

Węzły

1. Węzeł w jednym państwie członkowskim ma możliwość połączenia się z węzłami w innych państwach członkowskich.

2. Węzły są w stanie za pomocą środków technicznych dokonać rozróżnienia między organami sektora publicznego i innymi stronami ufającymi.

3. Wdrożenie przez państwo członkowskie wymogów technicznych określonych w niniejszym rozporządzeniu nie może obciążać innych państw członkowskich niewspółmiernymi wymogami technicznymi i kosztami koniecznymi do osiągnięcia interoperacyjności z systemem wdrożonym przez to państwo członkowskie.

<wypełnia państwo członkowskie>

6

Ochrona i poufność danych

1. Ochronę prywatności i poufności wymienianych danych oraz utrzymanie integralności danych pomiędzy węzłami należy zapewnić poprzez stosowanie najlepszych dostępnych rozwiązań technicznych i praktyk ochrony.

2. Węzły nie przechowują żadnych danych osobowych, z wyjątkiem przechowywania do celów określonych w art. 9 ust. 3 rozporządzenia wykonawczego (UE) 2015/1501.

<wypełnia państwo członkowskie>

7

Integralność i autentyczność danych na potrzeby przekazywania

W łączności między węzłami należy zapewnić integralność i autentyczność danych, tak aby wszystkie zapytania i odpowiedzi były autentyczne i nie ulegały manipulacjom. W tym celu w węzłach stosuje się rozwiązania, które są z powodzeniem wykorzystywane w transgranicznym ruchu operacyjnym.

<wypełnia państwo członkowskie>

8

Format przekazywania wiadomości

Węzły wykorzystują składnię powszechnych formatów komunikatów opartych na normach, które zastosowano już więcej niż jeden raz między państwami członkowskimi i które sprawdziły się w środowisku operacyjnym.

Składnia ta umożliwia:

a) prawidłowe przetwarzanie minimalnego zbioru danych identyfikujących osobę reprezentujących niepowtarzalnie osobę fizyczną lub prawną;

b) prawidłowe przetwarzanie poziomu bezpieczeństwa środków identyfikacji elektronicznej;

c) rozróżnienie między organami sektora publicznego i innymi stronami ufającymi;

d) elastyczność w spełnianiu potrzeb w zakresie dodatkowych atrybutów odnoszących się do identyfikacji.

<wypełnia państwo członkowskie>

9

Zarządzanie bezpieczeństwem informacji i metadane

1. Operator węzła przekazuje metadane związane z zarządzaniem węzłem w znormalizowanej postaci przetwarzalnej maszynowo oraz w sposób bezpieczny i godny zaufania.

2. Przynajmniej parametry dotyczące bezpieczeństwa są pobierane automatycznie.

3. Operator węzła przechowuje dane, które w razie incydentu umożliwią odtworzenie sekwencji wymiany komunikatów w celu określenia miejsca i charakteru incydentu. Dane przechowywane są przez czas określony zgodnie z wymogami krajowymi i obejmują co najmniej:

a) dane identyfikujące węzeł;

b) dane identyfikujące wiadomość;

c) datę i godzinę wiadomości.

<wypełnia państwo członkowskie>

10

Bezpieczeństwo informacji i normy bezpieczeństwa

1. Operatorzy węzłów zapewniających uwierzytelnienie muszą udowodnić – poprzez certyfikację lub równoważne metody oceny, bądź dzięki zgodności z przepisami krajowymi – że w odniesieniu do węzłów uczestniczących w ramach interoperacyjności dany węzeł spełnia wymogi normy ISO/IEC 27001.

2. Operatorzy węzłów niezwłocznie dokonują aktualizacji o krytycznym znaczeniu dla bezpieczeństwa.

<wypełnia państwo członkowskie>

11

Dane identyfikujące osobę

1. Minimalny zbiór danych identyfikujących osobę reprezentujących niepowtarzalnie osobę fizyczną lub prawną musi spełniać wymogi określone w załączniku do rozporządzenia wykonawczego (UE) 2015/1501, kiedy dane te są stosowane w ruchu transgranicznym.

2. Minimalny zestaw danych dotyczących osoby fizycznej reprezentującej osobę prawną musi zawierać połączenie atrybutów wymienionych w załączniku do rozporządzenia wykonawczego (UE) 2015/1501 dotyczących osób fizycznych i osób prawnych, kiedy dane te są stosowane w ruchu transgranicznym.

3. Dane są przekazywane w oryginalnym zapisie, a w stosownych przypadkach także w transliteracji na alfabet łaciński.

<wypełnia państwo członkowskie>