Art. 16 Regulamentul (UE) 2024/1183 (eIDAS 2) — Sancțiuni

(1)   Fără a aduce atingere articolului 31 din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului[(\*7)](#ntr*7-L_202401183RO.000101-E0023), statele membre stabilesc normele referitoare la sancțiunile aplicabile în cazul încălcării prezentului regulament. Sancțiunile respective trebuie să fie eficace, proporționale și cu efect de descurajare.

(2)   Statele membre se asigură că încălcările prezentului regulament de către prestatorii de servicii de încredere calificați și necalificați fac obiectul unor amenzi administrative în valoare de cel puțin:

(a)

5 000 000 EUR, în cazul în care prestatorul de servicii de încredere este o persoană fizică; sau

(b)

în cazul în care prestatorul de servicii de încredere este o persoană juridică, 5 000 000 EUR sau 1 % din cifra de afaceri anuală totală la nivel mondial a întreprinderii căreia i-a aparținut prestatorul de servicii de încredere în exercițiul financiar anterior anului în care a avut loc încălcarea, luându-se în considerare valoarea cea mai mare.

(3)   În funcție de sistemul juridic al statelor membre, normele privind amenzile administrative pot fi aplicate astfel încât amenda să fie inițiată de organismul de supraveghere competent și aplicată de instanțele naționale competente. Aplicarea acestor norme în statele membre respective garantează faptul că respectivele măsuri juridice sunt eficiente și au un efect echivalent cu cel al amenzilor administrative aplicate direct de autoritățile de supraveghere.

[(\*7)](#ntc*7-L_202401183RO.000101-E0023)  Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de modificare a Regulamentului (UE) nr. 910/2014 și a Directivei (UE) 2018/1972 și de abrogare a Directivei (UE) 2016/1148 (Directiva NIS 2) ([JO L 333, 27.12.2022, p. 80](http://publications.europa.eu/resource/oj/JOL_2022_333_R_TOC)).”

"

16.

În capitolul III secțiunea 2, titlul se înlocuiește cu următorul text:

„Servicii de încredere necalificate”.

17.

Articolele 17 și 18 se elimină.

18.

În capitolul III secțiunea 2 se introduce următorul articol:

„Articolul 19a

Cerințe pentru prestatorii de servicii de încredere necalificați

(1)   Un prestator de servicii de încredere necalificat care prestează servicii de încredere necalificate:

(a)

dispune de politici adecvate și ia măsurile corespunzătoare pentru a gestiona riscurile juridice, comerciale, operaționale și alte riscuri directe sau indirecte legate de prestarea serviciului de încredere necalificat, care, în pofida articolului 21 din Directiva (UE) 2022/2555, includ cel puțin măsuri referitoare la:

(i)

procedurile de înregistrare și de integrare legate de un serviciu de încredere;

(ii)

controalele procedurale sau administrative necesare pentru prestarea de servicii de încredere;

(iii)

gestionarea și implementarea serviciilor de încredere;

(b)

notificarea organismului de supraveghere, persoanelor afectate care pot fi identificate, publicului – dacă chestiunea este de interes public –, și, după caz, altor autorități competente relevante, cu privire la orice încălcare a securității sau perturbare survenită în prestarea serviciului sau în punerea în aplicare a măsurilor menționate la litera (a) punctul (i), (ii) sau (iii) care are impact semnificativ asupra serviciului de încredere prestat sau asupra datelor cu caracter personal păstrate în cadrul acestuia, fără întârzieri nejustificate și, în orice caz, nu mai târziu de 24 de ore din momentul în care a luat cunoștință de orice încălcare a securității sau perturbare.

(2)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri în scopul alineatului (1) litera (a) de la prezentul articol. În cazul în care standardele, specificațiile și procedurile respective sunt respectate, se prezumă că sunt respectate cerințele prevăzute la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

19.

Articolul 20 se modifică după cum urmează:

(a)

alineatul (1) se înlocuiește cu următorul text:

„(1)   Prestatorii de servicii de încredere calificați sunt auditați, pe propria cheltuială, cel puțin la fiecare 24 de luni, de către un organism de evaluare a conformității. Auditul confirmă că prestatorii de servicii de încredere calificați și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament și la articolul 21 din Directiva (UE) 2022/2555. Prestatorii de servicii de încredere calificați transmit raportul de evaluare a conformității care a rezultat organismului de supraveghere în termen de trei zile lucrătoare de la primirea lui.”;

(b)

se introduc următoarele alineate:

„(1a)   Prestatorii de servicii de încredere calificați informează organismul de supraveghere cu cel puțin o lună înainte de un audit planificat și, la cerere, îi permit organismului de supraveghere să participe în calitate de observator.

(1b)   Statele membre notifică Comisiei, fără întârzieri nejustificate, denumirile, adresele și detaliile de acreditare ale organismelor de evaluare a conformității menționate la alineatul (1), precum și orice modificări ulterioare ale acestora. Comisia pune informațiile respective la dispoziția tuturor statelor membre.”;

(c)

alineatele (2), (3) și (4) se înlocuiesc cu următorul text:

„(2)   Fără a aduce atingere alineatului (1), organismul de supraveghere poate, în orice moment, să efectueze un audit sau să solicite unui organism de evaluare a conformității să efectueze o evaluare a conformității privind prestatorii de servicii de încredere calificați, pe cheltuiala prestatorilor de servicii de încredere respectivi, pentru a confirma că aceștia și serviciile de încredere calificate pe care le prestează îndeplinesc cerințele prevăzute în prezentul regulament. În cazul în care normele de protecție a datelor cu caracter personal par să fi fost încălcate, organismul de supraveghere informează, fără întârzieri nejustificate, autoritățile de supraveghere competente înființate în temeiul articolului 51 din Regulamentul (UE) 2016/679.

(3)   În cazul în care prestatorul de servicii de încredere calificat nu îndeplinește oricare dintre cerințele prevăzute în prezentul regulament, organismul de supraveghere îi solicită să remedieze situația într-un termen stabilit, dacă este cazul.

În cazul în care prestatorul respectiv nu remediază situația, dacă este cazul în termenul stabilit de organismul de supraveghere, acesta din urmă, atunci când acest lucru este justificat în special de amploarea, durata și consecințele respectivei neîndepliniri, retrage statutul de calificat al prestatorului respectiv sau al serviciului prestat de acesta care este afectat.

(3a)   În cazul în care autoritățile competente desemnate sau înființate în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555 informează organismul de supraveghere că prestatorul de servicii de încredere calificat nu îndeplinește oricare dintre cerințele prevăzute la articolul 21 din respectiva directivă, organismul de supraveghere, atunci când acest lucru este justificat în special de amploarea, durata și consecințele respectivei neîndepliniri, retrage statutul de calificat al prestatorului respectiv sau al serviciului afectat pe care îl prestează acesta.

(3b)   În cazul în care autoritățile de supraveghere înființate în temeiul articolului 51 din Regulamentul (UE) 2016/679 informează organismul de supraveghere că prestatorul de servicii de încredere calificat nu îndeplinește oricare dintre cerințele prevăzute în regulamentul menționat, organismul de supraveghere, atunci când acest lucru este justificat în special de amploarea, durata și consecințele respectivei neîndepliniri, retrage statutul de calificat al prestatorului respectiv sau al serviciului afectat pe care îl prestează acesta.

(3c)   Organismul de supraveghere informează prestatorul de servicii de încredere calificat cu privire la retragerea statutului de calificat, al său sau al serviciului în cauză. Organismul de supraveghere informează organismul notificat în temeiul articolului 22 alineatul (3) din prezentul regulament în scopul actualizării listelor sigure menționate la alineatul (1) de la articolul respectiv, precum și autoritatea competentă desemnată sau înființată în temeiul articolului 8 alineatul (1) din Directiva (UE) 2022/2555.

(4)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri pentru:

(a)

acreditarea organismelor de evaluare a conformității și pentru raportul de evaluare a conformității menționat la alineatul (1);

(b)

cerințele de audit pe baza cărora organismele de evaluare a conformității își desfășoară evaluarea conformității, inclusiv evaluarea compozită, a prestatorilor de servicii de încredere calificați, astfel cum se menționează la alineatul (1);

(c)

sistemele de evaluare a conformității utilizate de organismele de evaluare a conformității pentru efectuarea evaluării conformității prestatorilor de servicii de încredere calificați și pentru furnizarea raportului menționat la alineatul (1).

Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

20.

Articolul 21 se modifică după cum urmează:

(a)

alineatele (1) și (2) se înlocuiesc cu următorul text:

„(1)   În cazul în care prestatorii de servicii de încredere intenționează să înceapă prestarea unui serviciu de încredere calificat, aceștia informează organismul de supraveghere cu privire la intenția lor, însoțită de un raport de evaluare a conformității emis de un organism de evaluare a conformității, care confirmă îndeplinirea cerințelor prevăzute în prezentul regulament și la articolul 21 din Directiva (UE) 2022/2555.

(2)   Organismul de supraveghere verifică dacă prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele prevăzute în prezentul regulament și, în special, cerințele pentru prestatorii de servicii de încredere calificați și pentru serviciile de încredere calificate prestate de aceștia.

Pentru a verifica respectarea de către prestatorul de servicii de încredere a cerințelor prevăzute la articolul 21 din Directiva (UE) 2022/2555, organismul de supraveghere solicită autorităților competente desemnate sau înființate în temeiul articolului 8 alineatul (1) din respectiva directivă să desfășoare acțiuni de supraveghere în această privință și să furnizeze informații cu privire la rezultat fără întârzieri nejustificate și, în orice caz, în termen de două luni de la primirea cererii respective. În cazul în care verificarea nu este încheiată în termen de două luni de la notificare, autoritățile competente respective informează organismul de supraveghere, specificând motivele întârzierii și termenul în care urmează să se încheie verificarea.

În cazul în care organismul de supraveghere ajunge la concluzia că prestatorul de servicii de încredere și serviciile de încredere prestate de acesta respectă cerințele prevăzute în prezentul regulament, organismul de supraveghere acordă statutul de calificat prestatorului de servicii de încredere și serviciilor de încredere prestate de acesta și informează în consecință organismul menționat la articolul 22 alineatul (3) în scopul actualizării listelor sigure menționate la articolul 22 alineatul (1), în termen de trei luni de la notificare, în conformitate cu alineatul (1) de la prezentul articol.

În cazul în care verificarea nu este încheiată în termen de trei luni de la notificare, organismul de supraveghere informează prestatorul de servicii de încredere, specificând motivele întârzierii și termenul în care urmează să se încheie verificarea.”;

(b)

alineatul (4) se înlocuiește cu următorul text:

„(4)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, formatele și procedurile de notificare și verificare în vederea aplicării alineatelor (1) și (2) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

21.

Articolul 24 se modifică după cum urmează:

(a)

alineatul (1) se înlocuiește cu următorul text:

„(1)   Atunci când emite un certificat calificat sau un atestat electronic calificat al atributelor, un prestator de servicii de încredere calificat verifică identitatea și, atunci când este cazul, atributele specifice ale persoanei fizice sau juridice căreia urmează să i se emită certificatul calificat sau atestatul electronic calificat al atributelor.

(1a)   Verificarea identității menționată la alineatul (1) se realizează, prin mijloace adecvate, de prestatorul de servicii de încredere calificat, fie direct, fie prin intermediul unui terț, pe baza uneia dintre următoarele metode sau a unei combinații a acestora atunci când este necesar, în conformitate cu actele de punere în aplicare menționate la alineatul (1c):

(a)

prin intermediul portofelului european pentru identitatea digitală sau al unui mijloc de identificare electronică notificat care îndeplinește cerințele stabilite la articolul 8 în ceea ce privește nivelul de asigurare ridicat;

(b)

prin intermediul unui certificat, al unei semnături electronice calificate sau al unui sigiliu electronic calificat emis în conformitate cu litera (a), (c) sau (d);

(c)

prin utilizarea altor metode de identificare care asigură identificarea persoanei cu un nivel ridicat de încredere, a căror conformitate este confirmată de un organism de evaluare a conformității;

(d)

prin prezența fizică a persoanei fizice sau a unui reprezentant autorizat al persoanei juridice, prin utilizarea unor mijloace de probă și proceduri adecvate, în conformitate cu dreptul intern.

(1b)   Verificarea atributelor menționată la alineatul (1) se realizează, prin mijloace adecvate, de prestatorul de servicii de încredere calificat, fie direct, fie prin intermediul unui terț, pe baza uneia dintre următoarele metode sau a unei combinații a acestora, atunci când este necesar, în conformitate cu actele de punere în aplicare menționate la alineatul (1c):

(a)

prin intermediul portofelului european pentru identitatea digitală sau al unui mijloc de identificare electronică notificat care îndeplinește cerințele stabilite la articolul 8 în ceea ce privește nivelul de asigurare ridicat;

(b)

prin intermediul unui certificat, al unei semnături electronice calificate sau al unui sigiliu electronic calificat emis în conformitate cu alineatul (1a) litera (a), (c) sau (d);

(c)

prin intermediul unui atestat electronic calificat al atributelor;

(d)

prin utilizarea altor metode, care asigură verificarea atributelor cu un nivel ridicat de încredere, a căror conformitate este confirmată de un organism de evaluare a conformității;

(e)

prin prezența fizică a persoanei fizice sau a unui reprezentant autorizat al persoanei juridice, prin utilizarea unor mijloace de probă și proceduri adecvate, în conformitate cu dreptul intern.

(1c)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri pentru verificarea identității și a atributelor în conformitate cu alineatele (1), (1a) și (1b) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”;

(b)

alineatul (2) se modifică după cum urmează:

(i)

litera (a) se înlocuiește cu următorul text:

„(a)

informează organismul de supraveghere cu cel puțin o lună înainte de punerea în aplicare a oricărei modificări în prestarea serviciilor sale de încredere calificate sau cu cel puțin trei luni înainte în cazul în care intenționează să înceteze activitățile respective;”;

(ii)

literele (d) și (e) se înlocuiesc cu următorul text:

„(d)

înainte de stabilirea unei relații contractuale, informează, în mod clar, cuprinzător și ușor accesibil, într-un spațiu accesibil publicului și în mod individual, orice persoană care dorește să utilizeze un serviciu de încredere calificat în ceea ce privește clauzele și condițiile exacte privind utilizarea acelui serviciu, inclusiv orice restricție privind utilizarea acestuia;

(e)

utilizează sisteme și produse demne de încredere care sunt protejate împotriva modificărilor și asigură siguranța tehnică și fiabilitatea proceselor susținute de acestea, inclusiv prin folosirea unor tehnici criptografice adecvate;”;

(iii)

se introduc următoarele litere:

„(fa)

în pofida articolului 21 din Directiva (UE) 2022/2555, dispune de politici adecvate și ia măsuri corespunzătoare pentru a gestiona riscurile juridice, comerciale, operaționale și alte riscuri directe sau indirecte legate de prestarea serviciului de încredere calificat, inclusiv cel puțin măsuri referitoare la următoarele aspecte:

(i)

procedurile de înregistrare și de integrare legate de un serviciu;

(ii)

controalele procedurale sau administrative;

(iii)

gestionarea și implementarea serviciilor;

(fb)

notifică organismului de supraveghere, persoanelor afectate care pot fi identificate, altor organisme competente relevante, după caz, și, la cererea organismului de supraveghere, publicului, dacă chestiunea este de interes public, orice încălcare a securității sau perturbare survenită în prestarea serviciului sau în punerea în aplicare a măsurilor menționate la litera (fa) punctul (i), (ii) sau (iii) care are un impact semnificativ asupra serviciului de încredere prestat sau asupra datelor cu caracter personal păstrate în cadrul acestuia, fără întârzieri nejustificate și, în orice caz, în termen de 24 de ore de la producerea incidentului;”;

(iv)

literele (g), (h) și (i) se înlocuiesc cu următorul text:

„(g)

ia măsuri adecvate împotriva falsificării, furtului sau însușirii ilegale de date ori împotriva ștergerii sau modificării neautorizate a datelor sau a acțiunii neautorizate de a le face inaccesibile;

(h)

înregistrează și menține accesibile atât timp cât este necesar, după încetarea activității prestatorului de servicii de încredere calificat, toate informațiile relevante referitoare la datele emise și primite de către acesta, în scopul de a furniza dovezi în procedurile judiciare și în scopul asigurării continuității serviciului. Aceste înregistrări pot fi efectuate în mod electronic;

(i)

are un plan actualizat pentru a asigura, în cazul încetării serviciului, continuitatea serviciului conform dispozițiilor verificate de organismul de supraveghere în conformitate cu articolul 46b alineatul (4) litera (i);”;

(v)

litera (j) se elimină;

(vi)

se adaugă următorul paragraf:

„Organismul de supraveghere poate solicita informații în plus față de informațiile notificate în temeiul primului paragraf litera (a) sau rezultatul unei evaluări a conformității și poate stabili anumite condiții pentru acordarea permisiunii de a pune în aplicare modificările preconizate ale serviciilor de încredere calificate. În cazul în care verificarea nu este încheiată în termen de trei luni de la notificare, organismul de supraveghere informează prestatorul de servicii de încredere, specificând motivele întârzierii și termenul în care urmează să se încheie verificarea.”;

(c)

alineatul (5) se înlocuiește cu următorul text:

„(4a)   Alineatele (3) și (4) se aplică în mod corespunzător revocării atestatelor electronice calificate ale atributelor.

(4b)   Comisia este împuternicită să adopte acte delegate în conformitate cu articolul 47, pentru a stabili măsurile suplimentare menționate la alineatul (2) litera (fa) de la prezentul articol.

(5)   Până la 21 mai 2025, Comisia stabilește, prin intermediul unor acte de punere în aplicare, o listă de standarde de referință și, dacă este necesar, specificații și proceduri privind cerințele menționate la alineatul (2) de la prezentul articol. În cazul în care standardele, specificațiile și procedurile respective sunt respectate, se prezumă că sunt respectate cerințele prevăzute la prezentul alineat. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

22.

În capitolul III secțiunea 3 se introduce următorul articol:

„Articolul 24a

Recunoașterea serviciilor de încredere calificate

(1)   Semnăturile electronice calificate bazate pe un certificat calificat emis într-un stat membru și sigiliile electronice calificate bazate pe un certificat calificat emis într-un stat membru sunt recunoscute drept semnături electronice calificate și, respectiv, drept sigilii electronice calificate în toate celelalte state membre.

(2)   Dispozitivele de creare a semnăturilor electronice calificate și dispozitivele de creare a sigiliilor electronice calificate certificate într-un stat membru sunt recunoscute drept dispozitive de creare a semnăturilor electronice calificate și, respectiv, drept dispozitive de creare a sigiliilor electronic calificate în toate celelalte state membre.

(3)   Un certificat calificat pentru semnăturile electronice, un certificat calificat pentru sigilii electronice, un serviciu de încredere calificat pentru gestionarea dispozitivelor calificate de creare a semnăturii electronice la distanță și un serviciu de încredere calificat pentru gestionarea dispozitivelor calificate de creare a sigiliului electronic la distanță furnizat într-un stat membru este recunoscut drept certificat calificat pentru semnăturile electronice, drept certificat calificat pentru sigilii electronice, drept serviciu de încredere calificat pentru gestionarea dispozitivelor calificate de creare a semnăturii electronice la distanță și, respectiv, drept serviciu de încredere calificat pentru gestionarea dispozitivelor calificate de creare a sigiliului electronic la distanță în toate celelalte state membre.

(4)   Un serviciu de validare calificat pentru semnături electronice calificate și un serviciu de validare calificat pentru sigilii electronice calificate furnizat într-un stat membru este recunoscut drept serviciu de validare calificat pentru semnături electronice calificate și, respectiv, drept serviciu de validare calificat pentru sigilii electronice calificate în toate celelalte state membre.

(5)   Un serviciu calificat de păstrare a semnăturilor electronice calificate și un serviciu calificat de păstrare a sigiliilor electronice calificate furnizat într-un stat membru este recunoscut drept serviciu calificat de păstrare a semnăturilor electronice calificate și, respectiv, drept serviciu calificat de păstrare a sigiliilor electronice calificate în toate celelalte state membre.

(6)   O marcă temporală electronică calificată furnizată într-un stat membru este recunoscută drept marcă temporală electronică calificată în toate celelalte state membre.

(7)   Un certificat calificat pentru autentificarea unui site internet emis într-un stat membru este recunoscut drept certificat calificat pentru autentificarea unui site internet în toate celelalte state membre.

(8)   Un serviciu de distribuție electronică înregistrată calificat furnizat într-un stat membru este recunoscut drept serviciu de distribuție electronică înregistrată calificat în toate celelalte state membre.

(9)   Un atestat electronic calificat al atributelor emis într-un stat membru este recunoscut drept atestat electronic calificat al atributelor în toate celelalte state membre.

(10)   Un serviciu calificat de arhivare electronică furnizat într-un stat membru este recunoscut drept serviciu calificat de arhivare electronică în toate celelalte state membre.

(11)   Un registru electronic calificat furnizat într-un stat membru este recunoscut drept registru electronic calificat în toate celelalte state membre.”

23.

La articolul 25, alineatul (3) se elimină.

24.

Articolul 26 se modifică după cum urmează:

(a)

unicul paragraf devine alineatul (1);

(b)

se adaugă următorul alineat:

„(2)   Până la 21 mai 2026, Comisia evaluează dacă este necesar să adopte acte de punere în aplicare prin care să stabilească o listă de standarde de referință și, dacă este necesar, specificații și proceduri pentru semnăturile electronice avansate. Pe baza rezultatului evaluării respective, Comisia poate adopta astfel de acte de punere în aplicare. În cazul în care o semnătură electronică avansată îndeplinește standardele, specificațiile și procedurile respective, se prezumă că sunt respectate cerințele referitoare la semnăturile electronice avansate. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 48 alineatul (2).”

25.

La articolul 27, alineatul (4) se el