--- a/DU/2016/1579 Dz.U. 2024 poz. 1725 (2024-11-25)
+++ b/DU/2016/1579 + DU/2026/252
@@ -41,6 +41,8 @@
Art. 4 ust. 4 pkt 3 | plan zakończenia działalności, o którym mowa w art. 24 ust. 2 lit. i rozporządzenia 910/2014;
Art. 4 ust. 4 pkt 4 | dane niezbędne do wystawienia certyfikatu, o którym mowa w art. 10 ust. 1 pkt 1.
Art. 4 ust. 5 | Do wniosku o wpis, o którym mowa w ust. 1, można dołączyć kopie dokumentów, o których mowa w ust. 4 pkt 1-3.
+Art. 4 ust. 5a | Do wniosku o wpis, o którym mowa w ust. 1, dołącza się dane i informacje, o których mowa w art. 7 ust. 2 pkt 1–18 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20 i 252).
+Art. 4 ust. 5b | Po wpisie do rejestru, minister właściwy do spraw informatyzacji dane i informacje, o których mowa w art. 7 ust. 2 pkt 1–18 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wpisuje do wykazu podmiotów kluczowych i podmiotów ważnych, o którym mowa w art. 7 ust. 1 tej ustawy. Danych tych nie zamieszcza się w rejestrze.
Art. 4 ust. 6 | Minister właściwy do spraw informatyzacji, po rozpatrzeniu wniosku, o którym mowa w ust. 1, wydaje decyzję o wpisie:
Art. 4 ust. 6 pkt 1 | dostawcy usług zaufania i świadczonych przez niego usług zaufania do rejestru, jeżeli spełniają wymagania określone w przepisach o usługach zaufania;
Art. 4 ust. 6 pkt 2 | kwalifikowanej usługi zaufania do rejestru, w przypadku gdy usługa spełnia wymagania określone w przepisach o usługach zaufania.
@@ -91,7 +93,7 @@
Art. 14 pkt 1 | uzyskać od osoby ubiegającej się o certyfikat potwierdzenie przyporządkowania do niej danych służących do weryfikacji podpisu elektronicznego, które są zawarte w wydanym certyfikacie;
Art. 14 pkt 2 | poinformować osobę ubiegającą się o certyfikat o procedurze zgłaszania żądań unieważnienia kwalifikowanego certyfikatu.
Art. 15 ust. 1 | Informacje i dane związane ze świadczeniem usług zaufania, których ujawnienie mogłoby narazić na szkodę dostawcę usług zaufania lub odbiorcę usług zaufania, w szczególności dane do składania podpisów elektronicznych lub pieczęci elektronicznych, są objęte tajemnicą.
-Art. 15 ust. 2 | Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania oraz informacje o zdarzeniach powodujących naruszenia bezpieczeństwa lub utratę integralności, o których mowa w art. 20a ust. 2.
+Art. 15 ust. 2 | Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania.
Art. 15 ust. 3 | Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane:
Art. 15 ust. 3 pkt 1 | osoby pozostające z dostawcą usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze;
Art. 15 ust. 3 pkt 2 | osoby pozostające z podmiotami świadczącymi usługi na rzecz dostawcy usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze.
@@ -124,9 +126,7 @@
Art. 20 ust. 2 | Minister właściwy do spraw informatyzacji przechowuje dokumenty i dane, o których mowa w art. 17 ust. 1, do końca okresu, o którym mowa w art. 17 ust. 2.
Art. 20 ust. 3 | Kwalifikowany dostawca usług zaufania niszczy niezwłocznie dane do składania przez niego zaawansowanego podpisu elektronicznego lub zaawansowanej pieczęci elektronicznej weryfikowanych za pomocą certyfikatu dostawcy usług zaufania, w przypadku gdy polityka świadczenia usługi nie przewiduje dalszego wykorzystania tych danych lub w przypadku unieważnienia certyfikatu dostawcy usług zaufania powiązanego z tymi danymi.
Art. 20 ust. 4 | Kwalifikowany dostawca usług zaufania z czynności, o których mowa w ust. 3, sporządza protokół zniszczenia danych i przekazuje go ministrowi właściwemu do spraw informatyzacji w terminie 7 dni od wykonania tych czynności.
-Art. 20a ust. 1 | Dostawcy usług zaufania podejmują odpowiednie środki techniczne i organizacyjne w celu zarządzania ryzykiem, na jakie narażone jest bezpieczeństwo świadczonych przez nich usług zaufania, w szczególności środki zapobiegające zdarzeniom powodującym naruszenie bezpieczeństwa lub utratę integralności, związanym z usługami zaufania lub minimalizujące wpływ tych zdarzeń. W ramach zadania, o którym mowa w zdaniu pierwszym, dostawcy usług zaufania uwzględniają najnowsze osiągnięcia w dziedzinie cyberbezpieczeństwa.
-Art. 20a ust. 2 | Dostawca usług zaufania zawiadamia ministra właściwego do spraw informatyzacji o zdarzeniu powodującym naruszenie bezpieczeństwa lub utratę integralności, które mają znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe, niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia.
-Art. 20a ust. 3 | W przypadku gdy prawdopodobne jest, że zdarzenie, o którym mowa w ust. 2, niekorzystnie wpłynie na osobę fizyczną lub prawną, na rzecz której świadczona była usługa zaufania, dostawca usług zaufania bez zbędnej zwłoki zawiadamia także tę osobę fizyczną lub prawną o tym zdarzeniu i jego potencjalnych skutkach.
+Art. 20a | (uchylony)
Art. 21 | Dostawca usług zaufania nie odpowiada za szkody wynikające z nieprzestrzegania przez odbiorcę usług zaufania zasad określonych w polityce świadczenia usługi, w szczególności za szkody wynikające z:
Art. 21 pkt 1 | użycia certyfikatu niezgodnie z zakresem określonym w polityce świadczenia usługi wskazanej w certyfikacie, w tym za szkody wynikające z przekroczenia najwyższej wartości granicznej transakcji, jeżeli wartość ta została wskazana w certyfikacie;
Art. 21 pkt 2 | nieprawdziwości danych zawartych w certyfikacie, podanych przez odbiorcę usług zaufania używającego tego certyfikatu, chyba że szkoda była wynikiem niedołożenia należytej staranności przez dostawcę usług zaufania;
@@ -154,7 +154,7 @@
Art. 21b ust. 1 | Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po:
Art. 21b ust. 1 pkt 1 | potwierdzeniu spełnienia przez ten system wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie, określonych w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;
Art. 21b ust. 1 pkt 2 | przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność systemów identyfikacji elektronicznej, z uwzględnieniem przepisów wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014;
-Art. 21b ust. 1 pkt 3 | zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
+Art. 21b ust. 1 pkt 3 | zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
Art. 21b ust. 1 pkt 4 | przedstawieniu przez podmiot odpowiedzialny za ten system dokumentu zawierającego przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy;
Art. 21b ust. 1 pkt 5 | przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu tego podmiotu zgodnie z przepisami o ochronie danych osobowych;
Art. 21b ust. 1 pkt 6 | uzyskaniu pozytywnej opinii Szefa Agencji Bezpieczeństwa Wewnętrznego w przypadku, o którym mowa w art. 21g ust. 6.
@@ -278,7 +278,7 @@
Art. 21s ust. 5 | Szef Agencji Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania przekazuje opinię ministrowi właściwemu do spraw informatyzacji.
Art. 21s ust. 6 | Minister właściwy do spraw informatyzacji przekazuje opinię podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej.
Art. 21t ust. 1 | Minister właściwy do spraw informatyzacji wydaje zgodę o przyłączeniu do węzła krajowego systemu teleinformatycznego, w którym udostępniane są usługi online, po:
-Art. 21t ust. 1 pkt 1 | zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
+Art. 21t ust. 1 pkt 1 | zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
Art. 21t ust. 1 pkt 2 | przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność tego systemu z węzłem krajowym;
Art. 21t ust. 1 pkt 3 | przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu tego podmiotu zgodnie z przepisami o ochronie danych osobowych;
Art. 21t ust. 1 pkt 4 | wskazaniu interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego - w przypadku podmiotu innego niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014.
@@ -287,7 +287,7 @@
Art. 21u ust. 1 | Przyłączenie systemu, o którym mowa w art. 21t ust. 1, do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za ten system.
Art. 21u ust. 2 | Wniosek zawiera nazwę podmiotu odpowiedzialnego za system albo jego imię i nazwisko oraz wskazanie adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej albo adresu zamieszkania.
Art. 21u ust. 3 | Do wniosku dołącza się:
-Art. 21u ust. 3 pkt 1 | oświadczenie o zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
+Art. 21u ust. 3 pkt 1 | oświadczenie o zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
Art. 21u ust. 3 pkt 2 | oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3;
Art. 21u ust. 3 pkt 3 | listę usług online udostępnianych w tym systemie wraz z określeniem dla każdej z tych usług wymaganych poziomów bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 8 ust. 2 rozporządzenia 910/2014, niezbędnych dla realizacji tych usług;
Art. 21u ust. 3 pkt 4 | oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych;
@@ -347,7 +347,7 @@
Art. 30 pkt 1 lit. b | zmienił politykę świadczenia usług lub inne dokumenty związane ze świadczeniem usług zaufania,
Art. 30 pkt 1 lit. c | unieważnił kwalifikowane certyfikaty wydane z naruszeniem polityki świadczenia usług;
Art. 30 pkt 2 | wydać decyzję o odebraniu kwalifikowanemu dostawcy usług zaufania statusu kwalifikowanego lub statusu kwalifikowanego świadczonej przez niego usłudze zaufania.
-Art. 30a | Minister właściwy do spraw informatyzacji może podać do wiadomości publicznej informacje o zdarzeniu, o którym mowa w art. 20a ust. 2, w przypadku gdy uzna, że jego ujawnienie jest konieczne dla zapewnienia ochrony interesów innych dostawców usług zaufania oraz użytkowników tych usług.
+Art. 30a | (uchylony)
Art. 31 | Audyt, o którym mowa w art. 20:
Art. 31 pkt 1 | ust. 2 rozporządzenia 910/2014 - jest przeprowadzany przez osoby upoważnione przez ministra właściwego do spraw informatyzacji, zwane dalej „audytorami organu nadzoru”;
Art. 31 pkt 2 | ust. 1 lub 2 rozporządzenia 910/2014 - może być przeprowadzany przy udziale osób upoważnionych przez ministra właściwego do spraw informatyzacji, zwanych dalej „obserwatorami organu nadzoru”, w przypadku gdy jest przeprowadzany przez jednostkę oceniającą zgodność.
@@ -368,7 +368,7 @@
Art. 37 ust. 1 | Minister właściwy do spraw informatyzacji może wyznaczyć podmiot badający zgodność kwalifikowanych urządzeń do składania podpisu elektronicznego lub pieczęci elektronicznej z wymogami, o których mowa w załączniku II do rozporządzenia 910/2014.
Art. 37 ust. 2 | Minister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej nazwę i adres wyznaczonego podmiotu, o którym mowa w ust. 1.
Art. 38 | Minister właściwy do spraw informatyzacji może zawierać porozumienia z organami nadzoru innych państw członkowskich Unii Europejskiej w celu prowadzenia wspólnych postępowań, o których mowa w art. 18 ust. 3 rozporządzenia 910/2014.
-Art. 39 | Minister właściwy do spraw informatyzacji ustala sposób zgłaszania drogą elektroniczną zdarzenia, o którym mowa w art. 20a ust. 2, które ma znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe.
+Art. 39 | (uchylony)
Art. 39a | Nadzór nad krajowym schematem identyfikacji elektronicznej sprawuje minister właściwy do spraw informatyzacji.
Art. 39b ust. 1 | W ramach nadzoru minister właściwy do spraw informatyzacji:
Art. 39b ust. 1 pkt 1 | prowadzi kontrole:
@@ -440,7 +440,7 @@
Art. 46 pkt 5 | wydaje certyfikaty niezgodnie z polityką świadczenia usługi;
Art. 46 pkt 6 | nie udziela informacji lub nie udostępnia dokumentów w przypadku, o którym mowa w art. 28;
Art. 46 pkt 7 | nie poinformował ministra właściwego do spraw informatyzacji o zmianie danych podlegających wpisowi do rejestru lub danych dotyczących technicznych możliwości prowadzenia działalności w zakresie świadczenia usług zaufania wskazanych we wniosku o wpis do rejestru;
-Art. 46 pkt 8 | nie wykonuje obowiązków informacyjnych, o których mowa w art. 20a ust. 2 lub 3;
+Art. 46 pkt 8 | (uchylony)
Art. 46 pkt 9 | uniemożliwia lub utrudnia audytorowi organu nadzoru wykonywanie czynności audytowych;
Art. 46 pkt 10 | nie posiada planu zakończenia działalności lub nie stosuje go do zakończenia działalności;
Art. 46 pkt 11 | nie wykona obowiązku, o którym mowa w art. 20 ust. 3 lub 4;