Referință individuală · versiune 8 iulie 2024
Articolul 12 - Obligațiile prestatorilor de servicii de încredere
LEGE nr. 214 din 5 iulie 2024 - privind utilizarea semnăturii electronice, a mărcii temporale și prestarea serviciilor de încredere bazate pe acestea
Articolul 12Obligațiile prestatorilor de servicii de încredere
(1)
În vederea emiterii certificatelor calificate, prestatorii de servicii de încredere trebuie să îndeplinească cerințele prevăzute la art. 24 din Regulamentul (UE) nr. 910/2014 și normele emise de către autoritatea de reglementare și supraveghere specializată în domeniu.
(2)
În vederea emiterii certificatelor pentru semnătura electronică avansată, prestatorii de servicii de încredere trebuie să îndeplinească următoarele condiții:
a)
să dispună de mijloace financiare și de resurse materiale, tehnice și umane corespunzătoare pentru garantarea securității, fiabilității și continuității serviciilor de încredere oferite;
b)
să asigure operarea rapidă și sigură a înregistrării informațiilor prevăzute la art. 14 alin. (2), precum și a unui serviciu de suspendare și revocare a certificatelor pentru semnătura electronică avansată;
c)
să asigure posibilitatea de a se determina cu precizie data și ora exactă a eliberării, a suspendării sau a revocării unui certificat pentru semnătura electronică avansată;
d)
să verifice, cu mijloace corespunzătoare și conforme dispozițiilor legale, identitatea și, dacă este cazul, atributele specifice ale persoanei căreia îi este eliberat certificatul pentru semnătura electronică avansată;
e)
să folosească personal cu cunoștințe de specialitate, experiență și calificare, necesare pentru furnizarea serviciilor respective, și, în special, competență în domeniul gestiunii, cunoștințe de specialitate în domeniul tehnologiei semnăturii electronice și o practică suficientă în ceea ce privește procedurile de securitate corespunzătoare;
f)
să aplice procedurile administrative și de gestiune adecvate, care corespund standardelor recunoscute;
g)
să utilizeze produse asociate semnăturii electronice, cu un înalt grad de fiabilitate, care sunt protejate împotriva modificărilor și care asigură securitatea tehnică și criptografică a desfășurării activităților de certificare a semnăturii electronice;
h)
să adopte măsuri împotriva falsificării certificatelor și să garanteze confidențialitatea în cursul procesului de generare a datelor de creare a semnăturilor, în cazul în care prestatorii de servicii de încredere generează astfel de date;
i)
să păstreze toate informațiile cu privire la un certificat pentru semnătura electronică avansată pentru o perioadă de minimum 10 ani de la data încetării valabilității certificatului și în conformitate cu dispozițiile art. 24 alin. (2) lit. (h) din Regulamentul (UE) nr. 910/2014;
j)
să nu stocheze, să nu reproducă și să nu dezvăluie terților datele de creare a semnăturii, cu excepția cazului în care semnatarul solicită aceasta;
k)
să utilizeze sisteme fiabile pentru stocarea certificatelor pentru semnătura electronică avansată, astfel încât: numai persoanele autorizate să poată introduce și modifica informațiile din certificate; exactitatea informației să poată fi verificată; certificatele să poată fi consultate de terți doar în cazul în care există acordul titularului acestora; orice modificare tehnică, care ar putea pune în pericol aceste condiții de securitate, să poată fi identificată de persoanele autorizate;
l)
să dețină un plan actualizat pentru cazul încetării serviciului, în vederea asigurării continuității acestuia, plan pe care îl comunică autorității de supraveghere;
m)
să asigure un nivel adecvat de securitate cibernetică și fizică a infrastructurii la nivelul căreia se generează și gestionează certificatele și datele cu caracter personal;
n)
să dețină un plan de acțiune actualizat, pentru cazul producerii unui incident de securitate cibernetică, în vederea asigurării limitării compromiterii serviciului, plan pe care îl comunică autorității de reglementare și supraveghere specializate în domeniu.
(3)
Autoritățile și instituțiile publice care emit certificate digitale pentru crearea semnăturii electronice avansate sunt obligate să parcurgă o procedură de auditare prin care se verifică îndeplinirea tuturor condițiilor prevăzute de prezenta lege pentru emiterea semnăturii electronice avansate. Procedura de auditare va fi stabilită prin ordin al ministrului cercetării, inovării și digitalizării.
(4)
Prestatorii de servicii de încredere sunt obligați să folosească numai dispozitive securizate de creare a semnăturii electronice sau tehnologii securizate care pot fi gestionate la distanță de către aceștia pentru emiterea de certificate calificate și să respecte pe parcursul desfășurării activității procedurile de securitate și de certificare declarate.
(5)
Atunci când se utilizează un pseudonim, identitatea reală a titularului nu poate fi divulgată de către prestatorul de servicii de încredere decât cu consimțământul titularului sau la cererea unei autorități sau instituții publice competente.
(6)
Prestatorii de servicii de încredere care emit certificate calificate sunt obligați să încheie o asigurare de răspundere profesională prin subscrierea unei polițe de asigurare la o societate de asigurări pentru acoperirea prejudiciilor pe care le-ar putea cauza cu prilejul desfășurării activităților legate de prestarea serviciilor de încredere. Suma asigurată este stabilită prin ordinul prevăzut la art. 10 alin. (4).
(7)
Prestatorii de servicii de încredere au obligația de a facilita exercitarea atribuțiilor de control de către autoritatea de reglementare și supraveghere specializată în domeniu.
(8)
Prestatorii de servicii de încredere au obligația de a se integra cu Platforma națională de interoperabilitate reglementată de Legea nr. 242/2022 privind schimbul de date între sisteme informatice și crearea Platformei naționale de interoperabilitate, pentru a valida actele de identitate prezentate de cetățenii români care solicită certificate calificate sau certificate emise de către o autoritate sau instituție publică.