+24 artikla Hyväksyttyjä luottamuspalvelun tarjoajia koskevat vaatimukset
---+24 artikla 1.
---+Article 24 1a.
---+Article 24 1b.
---+Article 24 1c.
---+24 artikla 2.
---+24 artikla 3.
---+24 artikla 4.
---+Article 24 4a.
---+Article 24 4b.
---+24 artikla 5.

24 artikla Hyväksyttyjä luottamuspalvelun tarjoajia koskevat vaatimukset

1. Yleiskatsaus

,
24 artikla 1.
Kun hyväksytty luottamuspalvelun tarjoaja myöntää hyväksytyn varmenteen tai hyväksytyn sähköisen attribuuttitodistuksen, sen on tarkastettava sen luonnollisen tai oikeushenkilön henkilöllisyys ja mahdolliset muut attribuutit, jolle hyväksytty varmenne tai hyväksytty sähköinen attribuuttitodistus myönnetään.
Article 24 1a.

The verification of the identity referred to in paragraph 1 shall be performed, by appropriate means, by the qualified trust service provider, either directly or by means of a third party, on the basis of one of the following methods or, when needed, on a combination thereof in accordance with the implementing acts referred to in paragraph 1c:

(a) 

by means of the European Digital Identity Wallet or a notified electronic identification means which meets the requirements set out in Article 8 with regard to assurance level high;

(b) 

by means of a certificate of a qualified electronic signature or of a qualified electronic seal, issued in compliance with point (a), (c) or (d);

(c) 

by using other identification methods which ensure the identification of the person with a high level of confidence, the conformity of which shall be confirmed by a conformity assessment body;

(d) 

through the physical presence of the natural person or of an authorised representative of the legal person, by means of appropriate evidence and procedures, in accordance with national law.
Article 24 1b.

The verification of the attributes referred to in paragraph 1 shall be performed, by appropriate means, by the qualified trust service provider, either directly or by means of a third party, on the basis of one of the following methods or, where necessary, on a combination thereof, in accordance with the implementing acts referred to in paragraph 1c:

(a) 

by means of the European Digital Identity Wallet or a notified electronic identification means which meets the requirements set out in Article 8 with regard to assurance level high;

(b) 

by means of a certificate of a qualified electronic signature or of a qualified electronic seal, issued in accordance with paragraph 1a, point (a), (c) or (d);

(c) 

by means of a qualified electronic attestation of attributes;

(d) 

by using other methods, which ensure the verification of the attributes with a high level of confidence, the conformity of which shall be confirmed by a conformity assessment body;

(e) 

by means of the physical presence of the natural person or of an authorised representative of the legal person, by means of appropriate evidence and procedures, in accordance with national law.
Article 24 1c.
By 21 May 2025, the Commission shall, by means of implementing acts, establish a list of reference standards and, where necessary, establish specifications and procedures for the verification of identity and attributes in accordance with paragraphs 1, 1a and 1b of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 48(2).
24 artikla 2.

Hyväksyttyjä luottamuspalveluja tarjoavan hyväksytyn luottamuspalvelun tarjoajan on

▼M2

a) 

ilmoitettava valvontaelimelle vähintään kuukautta aikaisemmin, ennen kuin se toteuttaa muutoksia hyväksyttyjen luottamuspalvelujensa tarjoamiseen, tai vähintään kolme kuukautta aikaisemmin, jos tarkoituksena on lopettaa kyseinen toiminta;

▼B

b) 

palkattava henkilöstöä ja tarvittaessa alihankkijoita, joilla on tarvittava asiantuntemus, luotettavuus, kokemus ja pätevyys ja jotka ovat saaneet tarvittavaa koulutusta tietoturvaa ja henkilötietojen suojaa koskevista säännöistä, ja noudatettava eurooppalaisia tai kansainvälisiä standardeja vastaavia hallinnollisia menettelyjä ja johtamismenettelyjä;

c) 

ylläpidettävä 13 artiklan mukaisen vahinkovastuun riskin suhteen riittäviä taloudellisia varoja ja/tai hankittava asianmukainen vastuuvakuutus kansallisen lain mukaisesti;

▼M2

d) 

ilmoitettava ennen sopimussuhteen aloittamista julkisesti käytettävissä olevassa tilassa ja henkilökohtaisesti henkilöille, jotka haluavat käyttää hyväksyttyä luottamuspalvelua, selkeästi, kattavasti ja helposti saatavilla olevassa muodossa kyseisen palvelun käytön tarkoista ehdoista ja edellytyksistä, muun muassa sen käyttöä koskevista rajoituksista;

e) 

käytettävä luotettavia järjestelmiä ja tuotteita, jotka on suojattu muutoksilta ja joilla varmistetaan niiden tukemien prosessien tekninen tietoturva ja luotettavuus, mukaan lukien soveltuvien salaustekniikoiden käyttö;

▼B

f) 

käytettävä luotettavia järjestelmiä sille annettujen tietojen tallentamiseen tarkastettavissa olevassa muodossa siten, että

i) 

tiedot ovat julkisesti haettavissa vain, jos siihen on saatu tietojen kohteena olevan henkilön suostumus,

ii) 

ainoastaan valtuutetut henkilöt voivat syöttää tietoja ja tehdä muutoksia tallennettuihin tietoihin,

iii) 

tietojen aitous voidaan tarkastaa;

▼M2

f a) 

sen estämättä, mitä direktiivin (EU) 2022/2555 21 artiklassa säädetään, noudatettava asianmukaisia toimintaperiaatteita ja toteutettava vastaavat toimenpiteet hyväksyttyjen luottamuspalvelujen tarjoamiseen kohdistuvien oikeudellisten, liiketoiminnallisten, operatiivisten ja muiden suorien tai välillisten riskien hallitsemiseksi, mukaan lukien vähintään seuraavia koskevat toimenpiteet:

i) 

palveluun rekisteröityminen ja käyttösuhteen aloittamismenettelyt;

ii) 

menettelylliset tai hallinnolliset tarkastukset;

iii) 

palvelujen hallinnointi ja toteuttaminen;

f b) 

ilmoitettava valvontaelimelle, tunnistettavissa oleville asianomaisille henkilöille, tarvittaessa muille asiaankuuluville toimivaltaisille elimille sekä valvontaelimen pyynnöstä yleisölle, jos se on yleisen edun mukaista, ilman aiheetonta viivytystä ja joka tapauksessa viimeistään 24 tunnin kuluttua poikkeamasta palvelujen tarjoamisessa tai f a alakohdan i, ii tai iii alakohdassa tarkoitettujen toimenpiteiden toteuttamisessa havaituista tietoturvaloukkauksista tai häiriöistä, joilla on merkittävä vaikutus tarjottuun luottamuspalveluun tai siinä säilytettyihin henkilötietoihin;

▼M2

g) 

toteutettava tarkoituksenmukaisia toimenpiteitä tietojen väärentämisen, varastamisen tai väärinkäytön tai niiden oikeudettoman tuhoamisen, muuttamisen tai käyttökelvottamaksi tekemisen estämiseksi;

h) 

arkistoitava ja pidettävä saatavilla niin kauan kuin tarpeellista sen jälkeen, kun hyväksytyn luottamuspalvelun tarjoajan toiminta on lakannut, kaikki tarvittavat tiedot hyväksytyn luottamuspalvelun tarjoajan myöntämistä ja vastaanottamista tiedoista, jotta niitä voidaan käyttää todisteena oikeudellisissa käsittelyissä ja jotta voidaan varmistaa palvelun jatkuvuus. Tällaisia arkistoja voidaan ylläpitää sähköisessä muodossa;

i) 

ylläpidettävä ajan tasalla olevaa toiminnan lopettamissuunnitelmaa, jotta voidaan varmistaa palvelun jatkuvuus valvontaelimen 46 b artiklan 4 kohdan i alakohdan nojalla tarkastamien säännösten mukaisesti;

▼M2 —————

▼B

k) 

kun kyse on hyväksyttyjä varmenteita myöntävistä hyväksytyistä luottamuspalvelun tarjoajista, perustettava varmennetietokanta ja pidettävä se ajan tasalla.

Valvontaelin voi pyytää lisätietoja ensimmäisen kohdan a alakohdan nojalla ilmoitettujen tietojen lisäksi tai vaatimustenmukaisuuden arvioinnin tuloksen, ja se voi asettaa luvan myöntämisen ehdoksi, että suunnitellut muutokset hyväksyttyihin luottamuspalveluihin toteutetaan. Jos tarkastusta ei saada päätökseen kolmen kuukauden kuluessa ilmoituksesta, valvontaelimen on ilmoitettava asiasta luottamuspalvelun tarjoajalle ja yksilöitävä viivästyksen syyt ja ajanjakso, jonka aikana tarkastus on määrä saada päätökseen.
24 artikla 3.
Jos hyväksyttyjä varmenteita myöntävä hyväksytty luottamuspalvelujen tarjoaja päättää sulkea varmenteen, sen on kirjattava kyseinen sulkeminen varmennetietokantaansa ja julkaistava varmenteen sulkemistila oikea-aikaisesti ja joka tapauksessa 24 tunnin kuluessa pyynnön vastaanottamisesta. Sulkeminen tulee voimaan välittömästi sen julkaisemisen yhteydessä.
24 artikla 4.
Hyväksyttyjä varmenteita myöntävien hyväksyttyjen luottamuspalvelun tarjoajien on 3 kohtaan liittyen annettava kaikille luottaville osapuolille tietoa niiden myöntämien hyväksyttyjen varmenteiden voimassaolo- tai sulkemistilasta. Tämä tieto on asetettava saataville ainakin varmennekohtaisesti jatkuvasti ja myös varmenteen voimassaolon päätyttyä automaattisella tavalla, joka on luotettava, maksuton ja tehokas.
Article 24 4a.
Paragraphs 3 and 4 shall apply accordingly to the revocation of qualified electronic attestations of attributes.
Article 24 4b.
The Commission shall be empowered to adopt delegated acts in accordance with Article 47, establishing additional measures referred to in paragraph 2, point (fa), of this Article.
24 artikla 5.
Komissio vahvistaa viimeistään 21 päivänä toukokuuta 2025 luettelon viitestandardeista ja tarvittaessa tämän artiklan 2 kohdassa tarkoitettuja vaatimuksia koskevat eritelmät ja menettelyt antamalla täytäntöönpanosäädöksiä. Jos näitä standardeja, teknisiä eritelmiä ja menettelyjä noudatetaan, tässä kohdassa säädettyjen vaatimusten katsotaan täyttyvän. Nämä täytäntöönpanosäädökset hyväksytään 48 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit