Článek 24 2.

informuje orgán dohledu alespoň jeden měsíc před provedením jakékoli změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru nebo tři měsíce v případě záměru ukončit tyto činnosti;

zaměstnává pracovníky a případně subdodavatele, kteří mají potřebné odborné znalosti, zkušenosti a kvalifikace, jsou spolehliví a absolvovali odpovídající odbornou přípravu týkající se bezpečnosti a pravidel ochrany osobních údajů, a používá správní a řídicí postupy, které odpovídají evropským nebo mezinárodním normám;

vzhledem k riziku odpovědnosti za škody v souladu s článkem 13 udržuje dostatečné finanční prostředky nebo uzavřel vhodné pojištění odpovědnosti v souladu s vnitrostátním právem;

před uzavřením smluvního vztahu informuje jasným, srozumitelným a jednoduše přístupným způsobem, ve veřejně dostupném prostoru a individuálně každou osobu, která chce využít kvalifikovanou službu vytvářející důvěru, o přesných podmínkách používání této služby, včetně případných omezení jejího využívání;

používá důvěryhodné systémy a produkty, které jsou chráněny proti pozměnění, a zajišťuje technickou bezpečnost a spolehlivost procesů, které podporují, včetně použití vhodných kryptografických technik;

používá důvěryhodné systémy k uchovávání dat, která jsou mu poskytnuta, v ověřitelné podobě, aby:

bez ohledu na článek 21 směrnice (EU) 2022/2555 má vhodné politiky a přijímá odpovídající opatření pro řízení právních, obchodních, provozních a jiných přímých nebo nepřímých rizik poskytování kvalifikované služby vytvářející důvěru, zahrnující alespoň opatření týkající se:

oznámí orgánu dohledu, identifikovatelným dotčeným osobám, případně dalším relevantním příslušným orgánům a na žádost orgánu dohledu veřejnosti, pokud je to ve veřejném zájmu, veškerá narušení bezpečnosti nebo narušení poskytování služby nebo provádění opatření uvedených v písm. fa) bodech i), ii) nebo iii), která mají významný dopad na poskytovanou službu vytvářející důvěru nebo na osobní údaje v ní uchovávané, a to bez zbytečného odkladu a v každém případě do 24 hodin poté, co došlo k incidentu;

přijímá vhodná opatření proti padělání, odcizení nebo zneužití dat nebo neoprávněnému vymazání, pozměnění nebo znepřístupnění dat;

po nezbytně dlouhou dobu poté, co ukončil svou činnost kvalifikovaného poskytovatele služeb vytvářejících důvěru, eviduje a zpřístupňuje veškeré příslušné informace týkající se dat, která vydal a obdržel, pro účely poskytnutí důkazů v soudním a správním řízení a pro účely zajištění kontinuity služby. Tato evidence může mít elektronickou podobu;

má k dispozici aktualizovaný plán ukončení činnosti k zajištění kontinuity služby v souladu s ustanoveními ověřenými orgánem dohledu podle čl. 46b odst. 4 písm. i);

pokud se jedná o kvalifikovaného poskytovatele služeb vytvářejících důvěru vydávajícího kvalifikované certifikáty, vede a aktualizuje databázi certifikátů.