--- a/DU/2016/1579 Dz.U. 2024 poz. 422 (2024-03-20)
+++ b/DU/2016/1579 Dz.U. 2024 poz. 1222 (2024-10-18)
@@ -91,7 +91,7 @@
Art. 14 pkt 1 | uzyskać od osoby ubiegającej się o certyfikat potwierdzenie przyporządkowania do niej danych służących do weryfikacji podpisu elektronicznego, które są zawarte w wydanym certyfikacie;
Art. 14 pkt 2 | poinformować osobę ubiegającą się o certyfikat o procedurze zgłaszania żądań unieważnienia kwalifikowanego certyfikatu.
Art. 15 ust. 1 | Informacje i dane związane ze świadczeniem usług zaufania, których ujawnienie mogłoby narazić na szkodę dostawcę usług zaufania lub odbiorcę usług zaufania, w szczególności dane do składania podpisów elektronicznych lub pieczęci elektronicznych, są objęte tajemnicą.
-Art. 15 ust. 2 | Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania oraz informacje o naruszeniach bezpieczeństwa i utracie integralności, o których mowa w art. 19 ust. 2 rozporządzenia 910/2014.
+Art. 15 ust. 2 | Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania oraz informacje o zdarzeniach powodujących naruszenia bezpieczeństwa lub utratę integralności, o których mowa w art. 20a ust. 2.
Art. 15 ust. 3 | Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane:
Art. 15 ust. 3 pkt 1 | osoby pozostające z dostawcą usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze;
Art. 15 ust. 3 pkt 2 | osoby pozostające z podmiotami świadczącymi usługi na rzecz dostawcy usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze.
@@ -124,6 +124,9 @@
Art. 20 ust. 2 | Minister właściwy do spraw informatyzacji przechowuje dokumenty i dane, o których mowa w art. 17 ust. 1, do końca okresu, o którym mowa w art. 17 ust. 2.
Art. 20 ust. 3 | Kwalifikowany dostawca usług zaufania niszczy niezwłocznie dane do składania przez niego zaawansowanego podpisu elektronicznego lub zaawansowanej pieczęci elektronicznej weryfikowanych za pomocą certyfikatu dostawcy usług zaufania, w przypadku gdy polityka świadczenia usługi nie przewiduje dalszego wykorzystania tych danych lub w przypadku unieważnienia certyfikatu dostawcy usług zaufania powiązanego z tymi danymi.
Art. 20 ust. 4 | Kwalifikowany dostawca usług zaufania z czynności, o których mowa w ust. 3, sporządza protokół zniszczenia danych i przekazuje go ministrowi właściwemu do spraw informatyzacji w terminie 7 dni od wykonania tych czynności.
+Art. 20a ust. 1 | Dostawcy usług zaufania podejmują odpowiednie środki techniczne i organizacyjne w celu zarządzania ryzykiem, na jakie narażone jest bezpieczeństwo świadczonych przez nich usług zaufania, w szczególności środki zapobiegające zdarzeniom powodującym naruszenie bezpieczeństwa lub utratę integralności, związanym z usługami zaufania lub minimalizujące wpływ tych zdarzeń. W ramach zadania, o którym mowa w zdaniu pierwszym, dostawcy usług zaufania uwzględniają najnowsze osiągnięcia w dziedzinie cyberbezpieczeństwa.
+Art. 20a ust. 2 | Dostawca usług zaufania zawiadamia ministra właściwego do spraw informatyzacji o zdarzeniu powodującym naruszenie bezpieczeństwa lub utratę integralności, które mają znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe, niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia.
+Art. 20a ust. 3 | W przypadku gdy prawdopodobne jest, że zdarzenie, o którym mowa w ust. 2, niekorzystnie wpłynie na osobę fizyczną lub prawną, na rzecz której świadczona była usługa zaufania, dostawca usług zaufania bez zbędnej zwłoki zawiadamia także tę osobę fizyczną lub prawną o tym zdarzeniu i jego potencjalnych skutkach.
Art. 21 | Dostawca usług zaufania nie odpowiada za szkody wynikające z nieprzestrzegania przez odbiorcę usług zaufania zasad określonych w polityce świadczenia usługi, w szczególności za szkody wynikające z:
Art. 21 pkt 1 | użycia certyfikatu niezgodnie z zakresem określonym w polityce świadczenia usługi wskazanej w certyfikacie, w tym za szkody wynikające z przekroczenia najwyższej wartości granicznej transakcji, jeżeli wartość ta została wskazana w certyfikacie;
Art. 21 pkt 2 | nieprawdziwości danych zawartych w certyfikacie, podanych przez odbiorcę usług zaufania używającego tego certyfikatu, chyba że szkoda była wynikiem niedołożenia należytej staranności przez dostawcę usług zaufania;
@@ -344,6 +347,7 @@
Art. 30 pkt 1 lit. b | zmienił politykę świadczenia usług lub inne dokumenty związane ze świadczeniem usług zaufania,
Art. 30 pkt 1 lit. c | unieważnił kwalifikowane certyfikaty wydane z naruszeniem polityki świadczenia usług;
Art. 30 pkt 2 | wydać decyzję o odebraniu kwalifikowanemu dostawcy usług zaufania statusu kwalifikowanego lub statusu kwalifikowanego świadczonej przez niego usłudze zaufania.
+Art. 30a | Minister właściwy do spraw informatyzacji może podać do wiadomości publicznej informacje o zdarzeniu, o którym mowa w art. 20a ust. 2, w przypadku gdy uzna, że jego ujawnienie jest konieczne dla zapewnienia ochrony interesów innych dostawców usług zaufania oraz użytkowników tych usług.
Art. 31 | Audyt, o którym mowa w art. 20:
Art. 31 pkt 1 | ust. 2 rozporządzenia 910/2014 - jest przeprowadzany przez osoby upoważnione przez ministra właściwego do spraw informatyzacji, zwane dalej „audytorami organu nadzoru”;
Art. 31 pkt 2 | ust. 1 lub 2 rozporządzenia 910/2014 - może być przeprowadzany przy udziale osób upoważnionych przez ministra właściwego do spraw informatyzacji, zwanych dalej „obserwatorami organu nadzoru”, w przypadku gdy jest przeprowadzany przez jednostkę oceniającą zgodność.
@@ -364,7 +368,7 @@
Art. 37 ust. 1 | Minister właściwy do spraw informatyzacji może wyznaczyć podmiot badający zgodność kwalifikowanych urządzeń do składania podpisu elektronicznego lub pieczęci elektronicznej z wymogami, o których mowa w załączniku II do rozporządzenia 910/2014.
Art. 37 ust. 2 | Minister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej nazwę i adres wyznaczonego podmiotu, o którym mowa w ust. 1.
Art. 38 | Minister właściwy do spraw informatyzacji może zawierać porozumienia z organami nadzoru innych państw członkowskich Unii Europejskiej w celu prowadzenia wspólnych postępowań, o których mowa w art. 18 ust. 3 rozporządzenia 910/2014.
-Art. 39 | Minister właściwy do spraw informatyzacji, w porozumieniu z innymi organami określonymi w art. 19 ust. 2 rozporządzenia 910/2014, ustala sposób zgłaszania drogą elektroniczną przypadków naruszenia bezpieczeństwa lub utraty integralności, które mają znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe.
+Art. 39 | Minister właściwy do spraw informatyzacji ustala sposób zgłaszania drogą elektroniczną zdarzenia, o którym mowa w art. 20a ust. 2, które ma znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe.
Art. 39a | Nadzór nad krajowym schematem identyfikacji elektronicznej sprawuje minister właściwy do spraw informatyzacji.
Art. 39b ust. 1 | W ramach nadzoru minister właściwy do spraw informatyzacji:
Art. 39b ust. 1 pkt 1 | prowadzi kontrole:
@@ -436,7 +440,7 @@
Art. 46 pkt 5 | wydaje certyfikaty niezgodnie z polityką świadczenia usługi;
Art. 46 pkt 6 | nie udziela informacji lub nie udostępnia dokumentów w przypadku, o którym mowa w art. 28;
Art. 46 pkt 7 | nie poinformował ministra właściwego do spraw informatyzacji o zmianie danych podlegających wpisowi do rejestru lub danych dotyczących technicznych możliwości prowadzenia działalności w zakresie świadczenia usług zaufania wskazanych we wniosku o wpis do rejestru;
-Art. 46 pkt 8 | nie wykonuje obowiązków informacyjnych, o których mowa w art. 19 ust. 2 rozporządzenia 910/2014;
+Art. 46 pkt 8 | nie wykonuje obowiązków informacyjnych, o których mowa w art. 20a ust. 2 lub 3;
Art. 46 pkt 9 | uniemożliwia lub utrudnia audytorowi organu nadzoru wykonywanie czynności audytowych;
Art. 46 pkt 10 | nie posiada planu zakończenia działalności lub nie stosuje go do zakończenia działalności;
Art. 46 pkt 11 | nie wykona obowiązku, o którym mowa w art. 20 ust. 3 lub 4;