Załącznik

Zgodność ocenia się na podstawie klauzul ETSI TS 119 461 V2.1.1 (2025-02) wymienionych w sekcji 1, z zastrzeżeniem dostosowań wymienionych w sekcji 2.

Sekcja 1 – Klauzule mające zastosowanie

— 5

Ocena ryzyka operacyjnego;

— 6

Polityki i praktyki;

— 7

Zarządzanie usługami potwierdzania tożsamości i ich obsługa;

— 8

Wymogi dotyczące usług potwierdzania tożsamości;

— 9.1

Wprowadzenie, zgodność z niniejszym dokumentem, ogólne wymogi dotyczące wszystkich przypadków użycia;

— 9.2.2

Przypadki użycia z wykorzystaniem dokumentu tożsamości do zdalnego potwierdzania tożsamości z udziałem użytkownika;

— 9.2.3

Przypadki użycia z wykorzystaniem dokumentu tożsamości do automatycznego zdalnego potwierdzania tożsamości;

— 9.2.4

Przypadki użycia do potwierdzania tożsamości poprzez uwierzytelnienie za pomocą środków identyfikacji elektronicznej;

— 9.5

Przypadki użycia do dodatkowego potwierdzania tożsamości w celu podniesienia poziomu potwierdzania tożsamości za pomocą środków identyfikacji elektronicznej z podstawowego na rozszerzony.

Sekcja 2 – Dostosowania

1) 5

Ocena ryzyka operacyjnego;

— OVR-5-01: Stosuje się wymogi określone w klauzuli 5 normy ETSI EN 319 401 [1].

— Uwaga 1:

Jeżeli potwierdzania tożsamości dokonuje sam dostawca danych identyfikujących osobę, ocena ryzyka dostawcy danych identyfikujących osobę może obejmować potwierdzenie tożsamości.

2) 6.1

Oświadczenie dotyczące praktyki w zakresie usługi potwierdzania tożsamości

— OVR-6.1-02: Dostawca usług potwierdzania tożsamości (IPSP) określa w swoim oświadczeniu dotyczącym praktyki przypadki użycia, w odniesieniu do których deklaruje zgodność z niniejszym dokumentem.

— Uwaga 1:

Jeżeli potwierdzenia tożsamości dokonuje sam dostawca danych identyfikujących osobę, oświadczenie dotyczące praktyki dostawcy danych identyfikujących osobę w zakresie usługi potwierdzania tożsamości może obejmować informacje dotyczące potwierdzania tożsamości i nie ma potrzeby sporządzania specjalnego oświadczenia dotyczącego praktyki w zakresie potwierdzania tożsamości.

3) 7.9

Zarządzanie podatnością na zagrożenia i incydentami

— OVR-7.9-02: Obowiązki sprawozdawcze zgodnie z normą ETSI EN 319401 [1] REQ-7.9.2-02X i klauzulą 7.9.3 wypełnia się w zależności od kontekstu potwierdzania tożsamości oraz obowiązków dostawcy danych identyfikujących osobę korzystającego z usługi świadczonej przez dostawcę usługi potwierdzania tożsamości.

— Przykład: Zgłaszanie danych organowi nadzorczemu nadzorującemu dostawcę europejskich portfeli tożsamości cyfrowej mającego siedzibę w wyznaczającym państwie członkowskim może odbywać się we współpracy między IPSP a dostawcą danych identyfikujących osobę.

4) 7.10

Gromadzenie dowodów

— OVR-7.10-01: Stosuje się wymogi określone w klauzuli 7.10 normy ETSI EN 319 401 [1].

— Uwaga 1:

Długoterminowe wymogi dotyczące zatrzymywania dowodów mogą być spełnione przez dostawcę danych identyfikujących osobę wnioskującego o potwierdzenie tożsamości, a nie przez IPSP, jeżeli oba te podmioty są różnymi podmiotami.

— Uwaga 2:

Zastosowanie mają wymogi klauzuli 8.5.2 niniejszego dokumentu.

5) 7.11

Zarządzanie ciągłością działania

— OVR-7.11-02: Procesy zarządzania kryzysowego zgodnie z normą ETSI EN 319401 [1], REQ-7.11.3-01X są zgodne z wymogami kontekstu potwierdzania tożsamości i obowiązkami dostawcy danych identyfikujących osobę korzystającego z usługi IPSP.

6) 7.12

Zakończenie działalności i plany zakończenia działalności

— OVR-7.12-01: Stosuje się wymogi określone w klauzuli 7.12 normy ETSI EN 319401 [1], z wyjątkiem REQ-7.12-11.

— Uwaga:

Jeżeli IPSP i dostawca danych identyfikujących osobę wnioskujący o potwierdzenie tożsamości są różnymi podmiotami, mogą uzgodnić wzajemną lub jednostronną pomoc w opracowywaniu planów zakończenia działalności.

7) 8.1

Inicjacja

— INI-8.1-05: W przypadku przerwania lub niepowodzenia procesu zdalnego potwierdzania tożsamości IPSP zapewnia, aby osobom fizycznym udostępniono wystarczające wyjaśnienia i środki zaradcze, w szczególności w przypadku automatycznego zdalnego potwierdzania tożsamości. Informacje te powinny zapewniać osobom fizycznym możliwość skutecznej reakcji w celu szybkiego rozwiązania problemu oraz, w razie potrzeby, skorzystania z przysługujących im praw jako osób, których dane dotyczą, takich jak prawo do sprostowania lub możliwość zaskarżenia decyzji do właściwego administratora.

8) 8.2.1

Wymogi ogólne

— COL-8.2.1-08: IPSP wdraża środki zapewniające zgodność z wymogami uwzględniania ochrony danych w fazie projektowania i domyślnej ochrony danych zgodnie z art. 25 rozporządzenia (UE) 2016/679 podczas procesu rejestracji, w szczególności w odniesieniu do przetwarzania danych biometrycznych. Odpowiednie środki mogą obejmować odpowiednie kontrole kryptograficzne, urządzenia i środki organizacyjne zwiększające prywatność. Środki te powinny ograniczać gromadzenie danych do tego, co jest absolutnie niezbędne do przetwarzania danych biometrycznych i wszelkich innych danych osobowych, które mają być gromadzone z fizycznych i cyfrowych źródeł identyfikacji w celu powiązania danych identyfikujących użytkownika z jego portfelami i urządzeniem użytkownika, w którym zainstalowana jest jednostka portfela.

9) 8.2.4

Korzystanie z istniejących środków identyfikacji elektronicznej jako dowodów

— [WARUNKOWO] COL-8.2.4-02X: Jeżeli podstawowy poziom potwierdzania tożsamości jest ukierunkowany, środki identyfikacji elektronicznej muszą zostać notyfikowane co najmniej na poziomie średniego poziomu bezpieczeństwa lub ich poziom bezpieczeństwa musi zostać potwierdzony przez akredytowaną jednostkę oceniającą zgodność zdefiniowaną w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008 lub przez równoważny organ, a jeżeli spełnione są wszystkie mające zastosowanie wymogi, wynikiem oceny jest zaświadczenie o zgodności oparte na audycie certyfikacyjnym. Ten formalny proces certyfikacji opiera się na procesie oceny bezpieczeństwa, który odnosi się do poziomów bezpieczeństwa określonych dla notyfikowanych środków identyfikacji elektronicznej lub certyfikowanych europejskich portfeli tożsamości cyfrowej na podstawie rozporządzenia (UE) nr 910/2014 [i.25].

— COL-8.2.4-02 A: nieważny.

10) 8.3.1

Wymogi ogólne

— VAL-8.3.1-11X: W ramach procesu potwierdzania tożsamości weryfikuje się, czy dowody są ważne w momencie potwierdzania tożsamości.

11) 8.3.3

Walidacja fizycznego dokumentu tożsamości

— VAL-8.3.3-21: Skuteczność środków służących spełnieniu wymogów VAL-8.3.3-05X, VAL-8.3.3-05 A, VAL-8.3.3-05B, VAL-8.3.3-05C, VAL-8.3.3-07 A i VAL-8.3.3-07X potwierdza akredytowana jednostka oceniająca zgodność określona w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008 lub równoważny organ.

— VAL-8.3.3-22: Obraz referencyjny twarzy z fizycznego dokumentu tożsamości jest pobierany przy użyciu komunikacji zbliżeniowej, a w ramach procesu dokonuje się biernego lub aktywnego uwierzytelnienia mikroprocesora na fizycznym dokumencie tożsamości.

12) 9.1

Wprowadzenie, zgodność z niniejszym dokumentem, ogólne wymogi dotyczące wszystkich przypadków użycia

— USE-9.1-01X: Aby zachować zgodność z niniejszym dokumentem, proces potwierdzania tożsamości musi być zgodny z przypadkiem użycia określonym w pkt 9.5 niniejszego dokumentu dla rozszerzonego poziomu potwierdzania tożsamości.

— USE-9.1-03X: nieważny.

13) 9.2.3.4

Przypadek użycia do zautomatyzowanych procesów

— USE-9.2.3.4-04: IPSP ustanawia wartości docelowe wskaźnika błędnych akceptacji (FAR) i wskaźnika błędnych odrzuceń (FRR) na podstawie analizy ryzyka i stosowanej przez niego procedury analizy zagrożeń, przestrzegając metody określonej w sprawozdaniu ENISA pt. „Metodyka sektorowych ocen cyberbezpieczeństwa” [i.28] lub równoważnej metodyki w ramach w pełni zautomatyzowanych procesów potwierdzania tożsamości. Wartości docelowe stosowane przez IPSP nie mogą przekraczać wartości ustalonych dla hybrydowych przypadków użycia, o ile takie występują. IPSP utrzymuje te wartości docelowe FAR i FRR w sposób spójny, uzasadniony analizą ryzyka i procedurą analizy zagrożeń.

14) 9.5.1

Wymogi ogólne

— Ustęp pierwszy: W przypadku gdy wnioskodawca jest osobą fizyczną, w tym osobą fizyczną reprezentującą osobę prawną, a tożsamość wnioskodawcy została potwierdzona zgodnie z podstawowym poziomem potwierdzania tożsamości poprzez uwierzytelnienie za pomocą środka identyfikacji elektronicznej i wymagane jest podniesienie poziomu potwierdzania tożsamości i do poziomu rozszerzonego, zastosowanie mają następujące wymogi.

— USE-9.5.1-08: Dodatkowe potwierdzanie tożsamości wymagane w celu wzmocnienia wiarygodności tożsamości ma zastosowanie wyłącznie do identyfikacji elektronicznej, która nie została wydana w oparciu o zautomatyzowane porównanie obrazów twarzy na potrzeby procesu pierwotnego wydania.

15) 9.5.2

Przypadek użycia do podnoszenia poziomu potwierdzania tożsamości do poziomu rozszerzonego poprzez pełne potwierdzanie tożsamości za pomocą dokumentu tożsamości

— USE-9.5.2-01: Potwierdzanie tożsamości w celu podniesienia poziomu potwierdzania tożsamości z podstawowego na rozszerzony musi być zgodne z wymogami dotyczącymi rozszerzonego poziomu potwierdzania tożsamości w odniesieniu do jednego z przypadków użycia opisanych w pkt 9.2.2 lub 9.2.3 niniejszego dokumentu dla rozszerzonego poziomu potwierdzania tożsamości.

16) 9.5.3

Przypadek użycia do podnoszenia poziomu potwierdzania tożsamości do rozszerzonego poprzez wykorzystanie wcześniej pobranego referencyjnego obrazu twarzy.

— USE-9.5.3-01: Aby uzyskać referencyjny obraz twarzy i powiązać niezbędne atrybuty tożsamości z tym referencyjnym obrazem twarzy, stosuje się proces potwierdzania tożsamości spełniający wymogi poziomu rozszerzonego w odniesieniu do jednego z przypadków użycia opisanych w pkt 9.2.2 lub 9.2.3 niniejszego dokumentu lub proces potwierdzania tożsamości poddany wzajemnej ocenie lub certyfikowany przez akredytowaną jednostkę oceniającą zgodność określoną w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008 lub równoważny organ w celu zapewnienia wysokiego poziomu bezpieczeństwa zgodnie z rozporządzeniem (UE) nr 910/2014 [i.25].

ELI: http://data.europa.eu/eli/reg_impl/2026/798/oj

ISSN 1977-0766 (electronic edition)