Rozporządzenie wykonawcze Komisji (UE) 2025/2162 z dnia 27 października 2025 r. ustanawiaj...

Artykuł 1

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1) „właściciel programu” oznacza podmiot odpowiedzialny za opracowanie i utrzymanie programu oceny zgodności lub grupę takich podmiotów;

2) „decyzja w sprawie certyfikacji” oznacza decyzję w sprawie certyfikacji wydaną w następstwie oceny zgodności przeprowadzonej przez jednostkę oceniającą zgodność, potwierdzającą zgodność lub stwierdzającą brak zgodności określonego kwalifikowanego dostawcy usług zaufania i świadczonej przez niego kwalifikowanej usługi zaufania z wymogami określonymi w rozporządzeniu (UE) nr 910/2014 oraz z art. 21 dyrektywy (UE) 2022/2555;

3) „certyfikat zgodności” oznacza dokument, za pomocą którego jednostka oceniająca zgodność poświadcza decyzję w sprawie certyfikacji potwierdzającą zgodność określonego kwalifikowanego dostawcy usług zaufania i świadczonej przez niego kwalifikowanej usługi zaufania z wymogami określonymi w rozporządzeniu (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555;

4) „program oceny zgodności” oznacza zbiór zasad i procedur, które mają być stosowane przez jednostki oceniające zgodność do celów oceny zgodności kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania z wymogami określonymi w rozporządzeniu (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555;

5) „raport z oceny zgodności” oznacza dokument zawierający szczegółowe informacje, w stosownych przypadkach uzupełniające w stosunku do informacji zawartych w decyzji w sprawie certyfikacji i związanym z nią certyfikacie zgodności, na temat metody zastosowanej do przeprowadzenia – zgodnie z programem oceny zgodności – oceny zgodności określonego kwalifikowanego dostawcy usług zaufania i świadczonej przez niego kwalifikowanej usługi zaufania z wymogami rozporządzenia (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555 oraz na temat wyników oceny zgodności;

6) „akredytacja” oznacza akredytację w rozumieniu art. 2 pkt 10 rozporządzenia (WE) nr 765/2008;

7) „akredytacja o elastycznym zakresie” oznacza akredytację, w przypadku której określone czynności związane z oceną zgodności, których dotyczy wniosek o akredytację lub dla których udzielono akredytacji, są wskazane jako pozwalające jednostkom oceniającym zgodność na wprowadzanie zmian w metodyce i innych parametrach wchodzących w zakres potwierdzonych przez krajową jednostkę akredytującą kompetencji jednostki oceniającej zgodność;

8) „krajowa jednostka akredytująca” oznacza krajową jednostkę akredytującą zdefiniowaną w art. 2 pkt 11 rozporządzenia (WE) nr 765/2008.

Artykuł 2

Akredytacja jednostek oceniających zgodność

1. Do celów podejmowania decyzji w sprawie certyfikacji zgodnie z określonym programem oceny zgodności jednostki oceniające zgodność muszą być akredytowane zgodnie z normą EN ISO/IEC 17065:2012 uzupełnioną normą ETSI EN 319 403 -1 v2.3.1.

2. Akredytację jednostek oceniających zgodność, o której mowa w ust. 1, przeprowadza krajowa jednostka akredytująca zgodnie z normą EN ISO/IEC 17011:2017.

Artykuł 3

Certyfikat akredytacji wydawany jednostkom oceniającym zgodność

1. Krajowe jednostki akredytujące zapewniają, aby certyfikaty akredytacji wydawane przez nie jednostkom oceniającym zgodność zawierały co najmniej następujące informacje:

a) niepowtarzalny kod identyfikacyjny certyfikatu akredytacji;

b) datę wydania certyfikatu akredytacji;

c) nazwę krajowej jednostki akredytującej wydającej certyfikat akredytacji, zgodnie z oficjalnym krajowym rejestrem, oraz kraj, w którym działa jednostka akredytująca;

d) nazwę akredytowanej jednostki oceniającej zgodność oraz, w stosownych przypadkach, jej numer wpisu do rejestru, zgodnie z oficjalnym krajowym rejestrem;

e) zakres akredytacji w odniesieniu do co najmniej jednej z następujących kwalifikowanych usług zaufania:

— wydawania kwalifikowanych certyfikatów podpisów elektronicznych;

— wydawania kwalifikowanych certyfikatów pieczęci elektronicznych;

— wydawania kwalifikowanych certyfikatów uwierzytelniania witryn internetowych;

— kwalifikowanej usługi walidacji kwalifikowanych podpisów elektronicznych;

— kwalifikowanej usługi walidacji kwalifikowanych pieczęci elektronicznych;

— kwalifikowanej usługi konserwacji kwalifikowanych podpisów elektronicznych;

— kwalifikowanej usługi konserwacji kwalifikowanych pieczęci elektronicznych;

— tworzenia kwalifikowanych elektronicznych znaczników czasu;

— świadczenia kwalifikowanych usług rejestrowanego doręczenia elektronicznego;

— kwalifikowanej usługi zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość;

— kwalifikowanej usługi zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość;

— świadczenia kwalifikowanych usług archiwizacji elektronicznej;

— wydawania kwalifikowanych elektronicznych poświadczeń atrybutów;

— rejestrowania danych elektronicznych w kwalifikowanym rejestrze elektronicznym;

f) wskazanie, z uwzględnieniem – w stosownych przypadkach – określonej wersji, programu oceny zgodności, w odniesieniu do którego jednostce oceniającej zgodność udzielono akredytacji;

g) wskazanie, w stosownych przypadkach, stosowania akredytacji o elastycznym zakresie;

h) wskazanie, w stosownych przypadkach, dokumentu opisującego proces opracowywania i wdrażania akredytacji o elastycznym zakresie.

2. Krajowe jednostki akredytujące zapewniają, aby data rozpoczęcia i, w stosownych przypadkach, data zakończenia akredytacji jednostki oceniającej zgodność na potrzeby przeprowadzenia oceny zgodności kwalifikowanych usług zaufania, o których mowa w ust. 1 lit. e), w tym – w stosownych przypadkach – określone daty dla każdej kwalifikowanej usługi zaufania, były częścią szczegółów akredytacji, o których mowa w art. 20 ust. 1b rozporządzenia (UE) nr 910/2014.

3. Krajowe jednostki akredytujące zapewniają, aby wszelkie istotne zmiany wprowadzone w odniesieniu do informacji przekazywanych zgodnie z ust. 1 były wyraźnie odzwierciedlone w certyfikacie akredytacji.

4. Certyfikat akredytacji musi jasno opisywać zakres akredytacji jednostki oceniającej zgodność zgodnie z art. 2 ust. 1.

Artykuł 4

Ponowne rozpatrzenie istniejącej akredytacji

1. Właściciel programu wdraża procedury monitorowania wszelkich zmian w normach, o których mowa w art. 2 ust. 1 lub w art. 6 ust. 3, lub w będącym jego własnością programie oceny zgodności, na podstawie którego jednostka oceniająca zgodność została akredytowana zgodnie z art. 2.

2. Właściciel programu w odpowiednim czasie powiadamia krajową jednostkę akredytującą o zmianach stwierdzonych w wyniku przeprowadzenia procedur, o których mowa w ust. 1.

3. W przypadku gdy krajowa jednostka akredytująca nie stosowała akredytacji o elastycznym zakresie wobec akredytowanych jednostek oceniających zgodność, krajowa jednostka akredytująca określa, czy zmiany stwierdzone w wyniku przeprowadzenia procedur, o których mowa w ust. 1, mogą istotnie wpłynąć na zdolność akredytowanych jednostek oceniających zgodność do przeprowadzania ocen zgodności zgodnie z programami, w odniesieniu do których zostały akredytowane.

4. W przypadku gdy krajowa jednostka akredytująca stwierdzi zgodnie z ust. 3, że zmiany wpływają na zdolność jednostek oceniających zgodność do przeprowadzania ocen zgodności, zwraca się do jednostki oceniającej zgodność o wdrożenie odpowiednich środków w wyznaczonym rozsądnym terminie.

5. Jeżeli jednostka oceniająca zgodność nie jest w stanie lub nie chce wdrożyć środków, o których mowa w ust. 4, w wyznaczonym terminie, krajowa jednostka akredytująca niezwłocznie cofa lub zawiesza akredytację.

6. W przypadku gdy krajowa jednostka akredytująca stwierdzi zgodnie z ust. 3, że zmiany te nie mają wpływu na zdolność jednostek oceniających zgodność do przeprowadzania ocen zgodności, może ona – w stosownych przypadkach – rozszerzyć ważność i zakres akredytacji poddanej ocenie jednostki oceniającej zgodność.

7. W stosownych przypadkach krajowa jednostka akredytująca aktualizuje certyfikat akredytacji w odpowiednim czasie, aby odzwierciedlić wynik ponownego rozpatrzenia akredytacji zgodnie z niniejszym artykułem.

8. W przypadku gdy jednostka oceniająca zgodność otrzyma wniosek na podstawie ust. 4, informuje w odpowiednim czasie wszystkich kwalifikowanych dostawców usług zaufania, których wcześniej oceniła w ramach odpowiedniego programu oceny zgodności, o wszelkich skutkach, jakie może mieć dla nich ponowne rozpatrzenie akredytacji tej jednostki oceniającej zgodność, w tym w odniesieniu do przyszłych decyzji w sprawie certyfikacji podejmowanych przez tę jednostkę oceniającą zgodność w ramach tego programu.

Artykuł 5

Jednostki oceniające zgodność

1. Jednostki oceniające zgodność udostępniają wydawane przez siebie certyfikaty zgodności w prowadzonym przez siebie w tym celu publicznym repozytorium.

2. Powierzenie przez jednostkę oceniającą zgodność przeprowadzenia czynności związanych z oceną zgodności wymaga należytego rozważenia charakteru czynności, jaka ma zostać wykonana. Jednostka oceniająca zgodność zapewnia, aby podwykonawca spełniał normy określone w załączniku I dla określonych zlecanych mu czynności.

3. Po wydaniu decyzji w sprawie certyfikacji jednostki oceniające zgodność zapewniają, aby kwalifikowany dostawca usług zaufania, którego decyzja dotyczy, był w stanie przedłożyć organom nadzoru pełne raporty z oceny zgodności odpowiadające tej decyzji.

Artykuł 6

Programy oceny zgodności

1. W każdym programie oceny zgodności określa się jego właściciela.

2. Program oceny zgodności musi być zgodny z programem typu 6 normy EN ISO/IEC 17067:2013 oraz z wymogami określonymi w niniejszym artykule.

3. Właściciele programów zapewniają, aby ich programy oceny zgodności obejmowały co najmniej normy, w stosownych przypadkach, określone w załączniku II poprzez wskazanie roku i numeru wersji tych norm.

4. Właściciele programów zapewniają, aby w przypadku gdy ma zastosowanie akredytacja o elastycznym zakresie, było to wskazane w programie oceny zgodności.

5. Właściciele programów zapewniają, aby ich programy oceny zgodności ustanawiały procesy i procedury dotyczące co najmniej następujących kwestii:

a) przyjmowania i rozpatrywania skarg kierowanych do właściciela programu dotyczących wdrażania programu oceny zgodności;

b) kierowania przez jednostkę oceniającą zgodność do organu nadzoru wyznaczonego zgodnie z art. 46b ust. 1 rozporządzenia (UE) nr 910/2014 powiadomień o wydaniu certyfikatów zgodności oraz o wszelkich dotyczących ich zmianach;

c) w stosownych przypadkach powierzenia przez jednostkę oceniającą zgodność wykonania czynności związanych z oceną zgodności podwykonawcom;

d) wykonywania corocznych działań nadzorczych na podstawie mających zastosowanie wymogów klauzuli 7.9 normy ISO/IEC 17065:2012;

e) zarządzania przez kwalifikowanego dostawcę usług zaufania wszelkimi zmianami mającymi wpływ na działanie kwalifikowanych dostawców usług zaufania lub świadczonych przez nich kwalifikowanych usług zaufania oraz notyfikowanie tych zmian jednostce oceniającej zgodność i właściwemu organowi nadzoru;

f) weryfikacji dowodów wykazujących, że jednostka oceniająca zgodność:

— ma wystarczającą wiedzę, w tym wiedzę fachową, w zakresie stosowania określonych norm dotyczących świadczonej przez siebie kwalifikowanej usługi zaufania, jak określono w ust. 3;

— ma doświadczenie zawodowe w zakresie oceny zgodności zdobyte w co najmniej trzech ocenach dostawców usług zaufania lub w trzech ocenach systemów zarządzania bezpieczeństwem informacji; oraz

— może zapewnić dostępność zespołu składającego się z nie mniej niż dwóch wykwalifikowanych osób mających wiedzę fachową niezbędną do przeprowadzenia takiej oceny zgodności.

6. Właściciele programów zapewniają, aby ich programy oceny zgodności wymagały od kwalifikowanych dostawców usług zaufania posiadania procesów, procedur i instrukcji roboczych służących powiadomieniu jednostki oceniającej zgodność co najmniej na miesiąc przed wprowadzeniem przez tych dostawców jakichkolwiek istotnych zmian w świadczeniu kwalifikowanych usług zaufania certyfikowanych w ramach danego programu i co najmniej na trzy miesiące przed planowanym zaprzestaniem świadczenia tych usług lub ich części.

7. Właściciele programów zapewniają, aby ich programy oceny zgodności nie pozwalały na wydawanie pozytywnych decyzji w sprawie certyfikacji ani certyfikatów zgodności, w przypadku gdy ocena zgodności prowadzi do stwierdzenia braku zgodności poddawanych ocenie kwalifikowanych dostawców usług zaufania i świadczonej przez nich kwalifikowanej usługi zaufania z wymogami rozporządzenia (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555.

8. Właściciele programów zapewniają, aby ich programy oceny zgodności określały procedurę poświadczania certyfikatu zgodności. Wymagają oni w szczególności, aby kwalifikowani dostawcy usług zaufania niezwłocznie informowali właściwy organ nadzoru o każdej zmianie w certyfikacie zgodności. Wymagają oni również, aby kwalifikowani dostawcy usług zaufania powstrzymali się od świadczenia określonych kwalifikowanych usług zaufania lub od reklamowania wszelkich odniesień do nich do czasu ponownego potwierdzenia kwalifikowanego statusu przez właściwy organ nadzoru. Procedura ta musi być zgodna z wymogami ustanowionymi w klauzuli 7.11 normy ISO/IEC 17065:2012.

9. Właściciele programów zapewniają, aby ich programy oceny zgodności określały proces oceny zgodności, który ma być prowadzony przez wystarczającą liczbę osobodni, oraz zapewniają przeznaczenie wystarczających zasobów i czasu na przeprowadzenie oceny zgodności, biorąc od uwagę zakres i złożoność oceny.

10. Właściciele programów udostępniają publicznie streszczenie programu oceny zgodności z możliwością pobrania dokumentu. Streszczenie musi zawierać opis zbioru zasad i procedur stosowanych do oceny zgodności kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania z wymogami rozporządzenia (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555.

11. Właściciele programów zapewniają, aby ich programy oceny zgodności wymagały przeprowadzania co najmniej jednej nadzorczej oceny zgodności rocznie w odniesieniu do każdej ocenianej kwalifikowanej usługi zaufania.

Artykuł 7

Raporty z oceny zgodności

1. Raport z oceny zgodności, o którym mowa w art. 20 ust. 1 rozporządzenia (UE) nr 910/2014, musi być zgodny ze specyfikacjami określonymi w załączniku III.

2. Raport z oceny zgodności uznaje się za część dokumentacji certyfikacyjnej określonej w klauzuli 7.7 normy ETSI EN 319 403 -1.

Artykuł 8

Informacje dotyczące akredytacji

1. Każda zainteresowana strona może bezpłatnie zażądać aktualnych i dotyczących przeszłości informacji na temat zakresu, daty rozpoczęcia i, w stosownych przypadkach, daty zakończenia akredytacji jednostek oceniających zgodność, w odniesieniu do każdego rodzaju kwalifikowanej usługi zaufania, do której oceny jednostka oceniająca zgodność jest lub była akredytowana. Informacje te są udostępniane przez krajowe jednostki akredytujące.

2. Aktualne i dotyczące przeszłości informacje, o których mowa w ust. 1, należy udostępniać przez okres co najmniej 6 lat po akredytacji jednostki oceniającej zgodność.

Artykuł 9

Przepisy przejściowe

Jednostki oceniające zgodność, które przed dniem 17 listopada 2025 r. uzyskały akredytację w odniesieniu do normy ETSI EN 319 403 wersja 2.2.2 lub jej wcześniejszej wersji, do celów oceny zgodności z rozporządzeniem (UE) nr 910/2014 kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania, uznaje się za mające akredytację spełniające wymogi art. 2 ust. 1 do dnia 17 maja 2027 r.

Artykuł 10

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik I

Normy referencyjne dotyczące podwykonawstwa czynności związanych z oceną zgodności

1) EN ISO/IEC 17025:2017 dla czynności testowych;

2) EN ISO/IEC 17021-1:2015 dla czynności audytu związanych z systemami zarządzania;

3) EN ISO/IEC 17020:2012 dla czynności kontrolnych;

4) EN ISO/IEC 17065:2012 dla czynności związanych z ocenami zgodności.

Załącznik II

Normy referencyjne dotyczące programów oceny zgodności

Normami, o których mowa w art. 6 ust. 3, są ETSI TS 119 612 v2.4.1 oraz:

Kwalifikowana usługa zaufania

Odpowiednie normy

Wydawanie kwalifikowanych certyfikatów podpisów elektronicznych

— ETSI EN 319 411 -2

— ETSI EN 301 549

— ETSI EN 319 412 -1

— ETSI EN 319 412 -2

— ETSI EN 319 412 -5

— ETSI TS 119 461

— ETSI EN 319 401

Wydawanie kwalifikowanych certyfikatów pieczęci elektronicznych

— ETSI EN 319 411 -2

— ETSI TS 119 495

— ETSI EN 301 549

— ETSI EN 319 412 -1

— ETSI EN 319 412 -2

— ETSI EN 319 412 -3

— ETSI EN 319 412 -5

— ETSI TS 119 461

— ETSI EN 319 401

Wydawanie kwalifikowanych certyfikatów uwierzytelniania witryn internetowych

— ETSI EN 319 411 -2

— ETSI TS 119 411 -5

— ETSI TS 119 495

— ETSI EN 301 549

— ETSI EN 319 412 -1

— ETSI EN 319 412 -4

— ETSI EN 319 412 -5

— ETSI TS 119 461

— ETSI EN 319 401

Kwalifikowana usługa walidacji kwalifikowanych podpisów elektronicznych

— ETSI TS 119 441

— ETSI TS 119 442

— ETSI EN 319 102 -1

— ETSI TS 119 102 -2

— ETSI TS 119 172 -4

— ETSI EN 301 549

— ETSI EN 319 401

Kwalifikowana usługa walidacji kwalifikowanych pieczęci elektronicznych

— ETSI TS 119 441

— ETSI TS 119 442

— ETSI EN 319 102 -1

— ETSI TS 119 102 -2

— ETSI TS 119 172 -4

— ETSI EN 301 549

— ETSI EN 319 401

Kwalifikowana usługa konserwacji kwalifikowanych podpisów elektronicznych

— ETSI TS 119 511

— ETSI TS 119 172 -4

— ETSI TS 119 512

— ETSI EN 301 549

— ETSI EN 319 401

Kwalifikowana usługa konserwacji kwalifikowanych pieczęci elektronicznych

— ETSI TS 119 511

— ETSI TS 119 172 -4

— ETSI TS 119 512

— ETSI EN 301 549

— ETSI EN 319 401

Tworzenie kwalifikowanych elektronicznych znaczników czasu

— ETSI EN 319 421

— ETSI EN 319 422

— ETSI EN 301 549

— ETSI EN 319 401

Świadczenie kwalifikowanych usług rejestrowanego doręczenia elektronicznego

— ETSI EN 319 521

— ETSI EN 319 522

— ETSI EN 319 531

— ETSI EN 319 532

— ETSI EN 301 549

— ETSI TS 119 461

— ETSI EN 319 401

Kwalifikowana usługa zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość

— ETSI TS 119 431 -1

— ETSI EN 301 549

— ETSI TS 119 461

— ETSI EN 319 401

Kwalifikowana usługa zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość

— ETSI TS 119 431 -1

— ETSI EN 301 549

— ETSI TS 119 461

— ETSI EN 319 401

Świadczenie kwalifikowanych usług archiwizacji elektronicznej

— ISO 14641

— ISO 14721

— CEN/TS 18170

— ETSI EN 301 549

— ETSI EN 319 401

— ETSI EN 119 511

Wydawanie kwalifikowanych elektronicznych poświadczeń atrybutów

— ETSI TS 119 471

— ETSI EN 301 549

— ETSI TS 119 461

— ETSI EN 319 401

Rejestrowanie danych elektronicznych w kwalifikowanym rejestrze elektronicznym

— ETSI EN 319 401

— ETSI EN 301 549

— CEN/TS 18170

— ISO 23257

— ISO 23635

— ETSI EN 319 122 -1

— ETSI EN 319 132 -1

— ETSI TS 119 182 -1

Załącznik III

Specyfikacje raportów z oceny zgodności

Raport z oceny zgodności, o którym mowa w art. 7 ust. 1:

1) jest sporządzany wraz z jasną decyzją w sprawie certyfikacji zgodnie z klauzulą 7.6 normy ETSI EN 319403-1 v2.3.1 („ETSI EN 319403-1”), potwierdzającą, czy oceniany dostawca usług zaufania i oceniane kwalifikowane usługi zaufania, które świadczy, spełniają wymogi określone w rozporządzeniu (UE) nr 910/2014 i w art. 21 dyrektywy (UE) 2022/2555;

2) podaje nazwę kwalifikowanego dostawcy usług zaufania oraz, w stosownych przypadkach, jego numer wpisu do rejestru zgodnie z oficjalnym rejestrem, jego oficjalny adres pocztowy i adres elektroniczny, a także, w stosownych przypadkach, te same informacje w odniesieniu do wszystkich jednostek zależnych, powiązanych podmiotów prawnych, wykonawców i podwykonawców, którzy obsługują komponenty usług zaufania w zakresie świadczenia kwalifikowanych usług zaufania przez kwalifikowanego dostawcę usług zaufania;

3) zawiera szczegółowy opis zakresu oceny kwalifikowanego dostawcy usług zaufania, w tym określonych kwalifikowanych usług zaufania objętych oceną;

4) zawiera wystarczający dowód potwierdzający, że kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają wymogi określone w rozporządzeniu (UE) nr 910/2014 oraz w art. 21 dyrektywy (UE) 2022/2555;

5) podaje nazwę jednostki oceniającej zgodność oraz, w stosownych przypadkach, jej numer wpisu do rejestru zgodnie z oficjalnym rejestrem, jej zarejestrowany adres pocztowy i jej adres elektroniczny;

6) podaje następujące informacje:

a) nazwę krajowej jednostki akredytującej, która akredytowała daną jednostkę oceniającą zgodność, oraz kraj, w którym jednostka akredytująca działa;

b) imiona i nazwiska osób fizycznych zaangażowanych przez jednostkę oceniającą zgodność w przeprowadzanie oceny zgodności oraz ich odpowiednią rolę w tej ocenie;

c) link do oficjalnej strony internetowej krajowej jednostki akredytującej zawierającej certyfikat akredytacji wydany jednostce oceniającej zgodność przez krajową jednostkę akredytującą;

d) w stosownych przypadkach – cyfrowy symbol akredytacji;

e) program oceny zgodności, w odniesieniu do którego jednostka oceniająca zgodność została akredytowana zgodnie z art. 2 ust. 1;

f) pytania i kwestie sprawdzane w ramach oceny zgodności, uzasadnienie ich wyboru oraz zastosowaną metodykę, w tym metodykę doboru próby i procedury badań;

g) akredytowany program oceny zgodności i odpowiednie dokumenty lub link do miejsca, w którym dany program oceny zgodności i odpowiednie dokumenty są dostępne;

7) zawiera co najmniej jeden kwalifikowany podpis elektroniczny, w przypadku gdy raport jest przekazywany w formie elektronicznej, lub podpis odręczny, w przypadku gdy jest on sporządzony w formie papierowej, z podaniem imienia i nazwiska oraz stanowiska osoby odpowiedzialnej lub osób upoważnionych do podjęcia decyzji w sprawie certyfikacji w imieniu jednostki oceniającej zgodność;

8) dotyczy jednego kwalifikowanego dostawcy usług zaufania;

9) określa, zgodnie z klauzulą 5.5.3 normy ETSI TS 119612 v.2.4.1, tożsamość cyfrową usługi według rodzaju kwalifikowanej usługi zaufania, w odniesieniu do której potwierdza zgodność z wymogami ustanowionymi w rozporządzeniu (UE) nr 910/2014 i w art. 21 dyrektywy (UE) 2022/2555, oraz zawiera następujące informacje:

a) w przypadku gdy kwalifikowana usługa zaufania nie opiera się na technologii infrastruktury klucza publicznego – identyfikator wyrażony jako URI, który jednoznacznie identyfikuje kwalifikowaną usługę zaufania;

b) w przypadku gdy kwalifikowana usługa zaufania opiera się na technologii infrastruktury klucza publicznego, co najmniej następujące elementy:

— identyfikator klucza przedmiotu zdefiniowany w IETF RFC 5280;

— powiązany certyfikat cyfrowy X.509v3 w formacie Base64 PEM;

— w stosownych przypadkach wskazanie, czy konkretne zestawy lub części zestawów certyfikatów podmiotu końcowego wydanych z oznaczeniem tożsamości cyfrowej usługi lub w ramach tej tożsamości są wyłączone z decyzji w sprawie certyfikacji lub wyraźnie w niej uwzględnione, a także na podstawie jakich kryteriów można je zidentyfikować;

— wskazanie, czy tożsamość cyfrowa usługi odnosi się do podmiotu końcowego czy organu certyfikującego, z doprecyzowaniem, czy jest to certyfikat wystawiającego, pośredniego, czy głównego urzędu certyfikacji;

— opis sposobu korzystania z tożsamości cyfrowej usługi w kontekście odpowiedniej kwalifikowanej usługi zaufania;

10) zawiera, w stosownych przypadkach, szczegółowy opis hierarchii funkcjonalnej infrastruktury klucza publicznego w podziale na rodzaje kwalifikowanej usługi zaufania i w odniesieniu do wszystkich tożsamości cyfrowych usług określonych zgodnie z pkt 11, w tym co najmniej:

a) ilustrację hierarchii infrastruktury klucza publicznego, określającą główne urzędy certyfikacji, pośrednie urzędy certyfikacji i wystawiające urzędy certyfikacji oraz ścieżki certyfikacji między nimi;

b) identyfikację każdego organu certyfikującego zilustrowanego w lit. a) za pomocą identyfikatora klucza podmiotu zdefiniowanego w IETF RFC 5280;

c) w odniesieniu do każdego z wystawiających urzędów certyfikacji określonych zgodnie z lit. b) wykaz poszczególnych zestawów polityk dotyczących certyfikatów, które wydaje każdy organ certyfikujący, dla każdego zestawu ze wskazaniem:

— kryteriów, które jednoznacznie identyfikują certyfikaty zestawu, w formie wykazu identyfikatorów polityki certyfikacji odpowiadających treści rozszerzenia certyfikatu w ramach polityki certyfikacji zdefiniowanego w IETF RFC 5280 albo innych kryteriów określonych w aktach wykonawczych przyjętych na podstawie art. 22 ust. 5 rozporządzenia (UE) nr 910/2014;

— czy certyfikaty zestawu są kwalifikowane, czy też niekwalifikowane;

— czy certyfikaty zestawu służą do podpisów elektronicznych, pieczęci elektronicznych czy do uwierzytelnienia stron internetowych, czy też do żadnego z tych celów, przy czym w tym ostatnim przypadku ze wskazaniem, do jakich innych celów są przeznaczone;

— czy klucz prywatny odpowiadający kluczowi publicznemu certyfikowanemu w certyfikatach zestawów znajduje się w kwalifikowanym urządzeniu do składania podpisu lub pieczęci lokalnie lub na odległość;

11) zawiera, zgodnie z pkt 2,

a) wyczerpujący wykaz osób trzecich, w tym podwykonawców, dostarczających komponenty kwalifikowanych usług zaufania lub komponenty usług, z podaniem nazw (nazwisk) tych osób, jak określono w pkt 2, wraz z lokalizacją obiektów, w których wykonywane są odpowiednie komponenty usług;

b) wskazanie, czy te osoby trzecie i obiekty zostały poddane ocenie zgodności i w jakim zakresie;

12) opisuje, w stosownych przypadkach, treść wpisu, który ma być umieszczony lub zaktualizowany na odpowiedniej krajowej zaufanej liście, zgodnie z wynikami oceny;

13) zawiera wyczerpujący wykaz dokumentów wewnętrznych dostawców usług publicznych i kwalifikowanych dostawców usług zaufania, właściwie zidentyfikowanych z podaniem wersji dokumentu, które były objęte zakresem oceny zgodności, w tym co najmniej następującą dokumentację, o której mowa w pkt 8, której kopię dostarcza się wraz z raportem z oceny zgodności albo w inny sposób udostępnia właściwemu organowi nadzoru na jego żądanie:

a) oświadczenie o praktykach stosowanych przez kwalifikowanego dostawcę usług zaufania w celu świadczenia kwalifikowanych usług zaufania;

b) zbiór zasad wskazujący na możliwość zastosowania kwalifikowanych usług zaufania do określonej społeczności lub klasy zastosowań objętych wspólnymi wymogami bezpieczeństwa („polityka kwalifikowanych usług zaufania”);

c) warunki związane z umowami abonenckimi;

d) plan zakończenia świadczenia kwalifikowanych usług zaufania;

e) dokumentację, która jest związana z oceną ryzyka i ma na celu wykazanie, że wymogi art. 24 ust. 2 lit. fa) i fb) rozporządzenia (UE) nr 910/2014 oraz art. 21 dyrektywy (UE) 2022/2555 zostały spełnione;

f) plan zgłaszania naruszeń bezpieczeństwa, którego celem jest wykazanie, że spełniono wymogi określone w art. 24 ust. 2 lit. fa) i fb) rozporządzenia (UE) nr 910/2014 oraz art. 21 dyrektywy (UE) 2022/2555;

g) wykaz wszystkich dokumentów wewnętrznych potwierdzających skuteczne wdrożenie praktyk zadeklarowanych i stosowanych przez kwalifikowanego dostawcę usług zaufania w celu świadczenia kwalifikowanych usług zaufania;

h) akt założycielski lub statut kwalifikowanego dostawcy usług zaufania, zgodnie z mającymi zastosowanie przepisami krajowymi, wraz z następującymi elementami:

— oświadczeniem o działalności gospodarczej niezwiązanej ze świadczeniem usług zaufania;

— schematem organizacyjnym;

— informacją o strukturze własności;

— w stosownych przypadkach i w miarę dostępności, raportem audytora z badania sprawozdania finansowego za poprzednie dwa lata obrachunkowe lub od daty jego utworzenia do daty podpisania raportu z oceny zgodności, w zależności od tego, który z tych okresów jest krótszy;

i) dowody potwierdzające, że kwalifikowany dostawca usług zaufania, zgodnie z mającymi zastosowanie przepisami krajowymi, utrzymuje wystarczające zasoby finansowe oraz, w stosownych przypadkach, uzyskał odpowiednie ubezpieczenie od odpowiedzialności cywilnej w odniesieniu do świadczenia kwalifikowanych usług zaufania;

j) wykaz norm, z którymi zgodnie z deklaracjami operacje są zgodne;

k) wykaz norm, poprzez odniesienie do których operacje poddaje się audytowi, ocenie, certyfikacji lub ocenie pod kątem zgodności, wraz ze szczegółowymi informacjami na temat stanowiącego ich podstawę systemu audytu lub oceny lub programu certyfikacji lub oceny zgodności, stosownie do przypadku;

l) wykaz kwalifikowanych urządzeń do składania podpisu elektronicznego lub kwalifikowanych urządzeń do składania pieczęci elektronicznej oraz informacje dotyczące ich certyfikacji, w przypadku gdy kwalifikowany dostawca usług zaufania dostarcza lub udostępnia takie urządzenia jego użytkownikom;

m) wykaz urządzeń wykorzystywanych przez kwalifikowanego dostawcę usług zaufania jako wiarygodny system lub produkt, wraz z modułami bezpieczeństwa sprzętu lub bezpiecznymi urządzeniami kryptograficznymi, służących ochronie własnych kluczy, oraz informacje dotyczące ich certyfikacji, w przypadku gdy kwalifikowany dostawca usług zaufania wykorzystuje takie urządzenia do zabezpieczenia procesów wspierających świadczone przez niego kwalifikowane usługi zaufania;

14) zawiera ocenę spełnienia wymogów mających zastosowanie do odpowiednich kwalifikowanych usług zaufania na podstawie rozporządzenia (UE) nr 910/2014 oraz, w stosownych przypadkach, określonych w aktach wykonawczych i delegowanych mających zastosowanie do tej kwalifikowanej usługi zaufania, przyjętych zgodnie z następującymi przepisami:

— art. 24 ust. 1c rozporządzenia (UE) nr 910/2014 w odniesieniu do weryfikacji tożsamości i atrybutów osób, którym ma zostać wydany kwalifikowany certyfikat lub kwalifikowane poświadczenie elektroniczne;

— art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 w odniesieniu do wymogów dotyczących kwalifikowanych dostawców usług zaufania świadczących kwalifikowane usługi zaufania;

— art. 28 ust. 6 rozporządzenia (UE) nr 910/2014 w odniesieniu do wydawania kwalifikowanych certyfikatów podpisów elektronicznych;

— art. 38 ust. 6 rozporządzenia (UE) nr 910/2014 w odniesieniu do wydawania kwalifikowanych certyfikatów pieczęci elektronicznych;

— art. 45 ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do wydawania kwalifikowanych certyfikatów uwierzytelniania witryn internetowych;

— art. 33 ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi walidacji kwalifikowanych podpisów elektronicznych;

— art. 33 ust. 2 i art. 40 rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi walidacji kwalifikowanych pieczęci elektronicznych,

— art. 34 ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi konserwacji kwalifikowanych podpisów elektronicznych;

— art. 34 ust. 2 i art. 40 rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi konserwacji kwalifikowanych pieczęci elektronicznych;

— art. 42 ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do tworzenia kwalifikowanych elektronicznych znaczników czasu;

— art. 44 ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do świadczenia kwalifikowanych usług rejestrowanego doręczenia elektronicznego;

— art. 29a ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi zarządzania kwalifikowanymi urządzeniami do składania podpisu elektronicznego na odległość;

— art. 29a ust. 2 i art. 39a rozporządzenia (UE) nr 910/2014 w odniesieniu do kwalifikowanej usługi zarządzania kwalifikowanymi urządzeniami do składania pieczęci elektronicznej na odległość;

— art. 45j ust. 2 rozporządzenia (UE) nr 910/2014 w odniesieniu do świadczenia kwalifikowanych usług archiwizacji elektronicznej;

— art. 45d ust. 5 rozporządzenia (UE) nr 910/2014 w odniesieniu do wydawania kwalifikowanego elektronicznego poświadczenia atrybutów;

— art. 45l ust. 3 rozporządzenia (UE) nr 910/2014 w odniesieniu do rejestrowania danych elektronicznych w kwalifikowanym rejestrze elektronicznym;

15) zawiera ocenę spełnienia mających zastosowanie do kwalifikowanego dostawcy usług zaufania i odpowiednich kwalifikowanych usług zaufania wymogów wynikających z art. 21 dyrektywy (UE) 2022/2555 oraz z aktów wykonawczych mających zastosowanie do tej kwalifikowanej usługi zaufania, przyjętych zgodnie z art. 21 ust. 5 tej dyrektywy;

16) zawiera oświadczenie stwierdzające, w stosownych przypadkach, brak jakichkolwiek niezgodności, niezależnie od stopnia ich krytyczności; w przypadku gdy raport stwierdza jakąkolwiek niezgodność, musi zawierać plan działań naprawczych wraz z harmonogramem, przedstawiony przez kwalifikowanego dostawcę usług zaufania i zatwierdzony przez jednostkę oceniającą zgodność, wraz z opisem planowanych zadań w zakresie oceny, które jednostka oceniająca zgodność zobowiąże się ocenić pod kątem korekty niezgodności;

17) zawiera, w stosownych i koniecznych przypadkach, wskazanie możliwości zwiększenia stopnia, w jakim kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają odpowiednie wymogi;

18) dla każdego etapu oceny zgodności, w tym audytu dokumentacji, oceny wdrażania i kontroli na miejscu, określa okres, w odniesieniu do którego przeprowadzono ocenę, oraz czas w osobodniach przeznaczony przez jednostkę oceniającą zgodność na przeprowadzenie oceny;

19) wskazuje w odpowiednim raporcie dotyczącym określonego wymogu szczegółowe kontrole w ramach oceny zgodności i cele kontroli, które zostały przeprowadzone w trakcie oceny, lub zawiera odniesienie do oddzielnie dostępnych raportów z oceny, w których zamieszczono takie informacje, pod warunkiem że oddzielne raporty z oceny:

a) wydały jednostki oceniające zgodność akredytowane zgodnie z rozporządzeniem (UE) nr 910/2014;

b) zatwierdziły jednostki oceniające zgodność wydające raport z oceny zgodności;

20) obejmuje zakres, opis i wyniki znacznego zestawu testów lub próbek produkcyjnych oraz ich ocenę w odniesieniu do wszystkich istotnych i mających zastosowanie rodzajów wyników poddanych ocenie kwalifikowanych usług zaufania;

21) wskazuje następujące terminy:

a) termin, w którym należy przeprowadzić kolejną nadzorczą ocenę zgodności;

b) termin, w którym należy przeprowadzić kolejną ocenę zgodności zgodnie z art. 20 ust. 1 rozporządzenia (UE) nr 910/2014;

22) zawiera wyraźną deklarację stwierdzającą, że dokumenty certyfikacyjne, w tym raport z oceny zgodności, są również przeznaczone do wykorzystania przez właściwy krajowy organ nadzoru.

Treść aktu