Artykuł 16

1. Organizacje ds. certyfikacji zapewniają, aby ich rejestry certyfikacji spełniały następujące wymogi:

a) rejestrowały i śledziły tożsamość certyfikowanych podmiotów oraz odpowiednie wydane certyfikaty zgodności;

b) uniemożliwiały rejestrację jakichkolwiek działań zarejestrowanych w innej organizacji ds. certyfikacji pochłaniania dwutlenku węgla lub redukcji emisji z gleby;

c) uniemożliwiały wydawanie jednostek certyfikowanych w odniesieniu do danego działania i danego okresu certyfikacji, jeżeli inna organizacja ds. certyfikacji wydała już jednostki certyfikowane w odniesieniu do tego samego działania i tego samego okresu certyfikacji i nie anulowała tych jednostek;

d) zapobiegały temu, aby certyfikowane jednostki były rozliczane przez beneficjenta lub w jego imieniu (wycofywane) albo definitywnie wykreślane z rejestru bez rozliczenia (anulowane), jeżeli zostały już wcześniej wycofane lub anulowane;

e) wymagały identyfikacji beneficjenta, o którym mowa w lit. d), oraz celu, w jakim jednostkę wycofano lub anulowano;

f) rozwiązywały za pomocą środków naprawczych przypadki błędnego lub oszukańczego wydania jednostek certyfikowanych;

g) środki naprawcze, o których mowa w lit. f), obejmują co najmniej zawieszenie konta podmiotu oraz, w stosownych przypadkach, późniejszą kompensację nadwyżki wydanych jednostek certyfikowanych. Kompensację przeprowadza się w jeden z następujących sposobów: anulowanie przez organizacje ds. certyfikacji odpowiedniej liczby wydanych jednostek certyfikowanych na koncie podmiotu albo zastąpienie przez podmiot równoważnej liczby jednostek certyfikowanych, a następnie ich niezwłoczne anulowanie.

2. System bezpieczeństwa informatycznego stanowiący podstawę rejestrów certyfikacji spełnia następujące wymogi:

a) opiera się na zasadach legalności, przejrzystości, proporcjonalności i rozliczalności;

b) jest uwzględniany podczas całego procesu opracowywania cyklu życia systemu;

c) zapewnia odpowiedni poziom autentyczności, dostępności, poufności, integralności, niezaprzeczalności, ochrony danych osobowych i tajemnicy zawodowej;

d) opiera się na procesie zarządzania ryzykiem;

e) zawiera jasno określone role i obowiązki poszczególnych użytkowników;

f) określa wymogi dotyczące bezpieczeństwa oraz zależności względem wszelkich innych systemów lub usług informatycznych;

g) został ujęty w planie bezpieczeństwa informatycznego i planie wdrożenia bezpieczeństwa informatycznego;

h) zawiera plan wdrożenia bezpieczeństwa informatycznego określający wymagane projekty i procesy w celu ograniczenia ryzyka do odpowiedniego poziomu i przy zachowaniu proporcjonalnych kosztów oraz jest zgodny z powszechnie uznaną normą bezpieczeństwa informatycznego.