Članak 24. 2.

obavješćuje nadzorno tijelo najmanje mjesec dana prije uvođenja bilo kakvih promjena u vezi s pružanjem svojih kvalificiranih usluga povjerenja, odnosno najmanje tri mjeseca ako namjerava prestati obavljati te djelatnosti;

zapošljava osoblje i, ako je to primjenjivo, podizvođače koji posjeduju potrebno stručno znanje, pouzdanost, iskustvo i kvalifikacije i koji su prošli odgovarajuće osposobljavanje u vezi sa sigurnošću i propisima o zaštiti osobnih podataka te primjenjuju upravne i upravljačke postupke u skladu s europskim ili međunarodnim normama;

u pogledu rizika od odgovornosti za štetu u skladu s člankom 13., raspolaže dostatnim financijskim sredstvima i/ili je sklopio odgovarajuće osiguranje od odgovornosti, u skladu s nacionalnim pravom;

prije stupanja u ugovorni odnos obavješćuje, na jasan, sveobuhvatan i lako dostupan način, na javno dostupnom mjestu i pojedinačno, svaku osobu koja se želi koristiti kvalificiranom uslugom povjerenja o točnim uvjetima korištenja tom uslugom, uključujući bilo kakva ograničenja korištenja njome;

upotrebljava vjerodostojne sustave i proizvode koji su zaštićeni od preinaka te osigurava tehničku sigurnost i pouzdanost postupaka koje ti sustavi i proizvodi podržavaju, što uključuje upotrebu prikladnih kriptografskih tehnika;

koristi vjerodostojne sustave za pohranu podataka koji su mu dostavljeni, u obliku koji se može provjeriti, kako bi:

neovisno o članku 21. Direktive (EU) 2022/2555, ima odgovarajuće politike i poduzima odgovarajuće mjere za upravljanje pravnim, poslovnim, operativnim i drugim izravnim ili neizravnim rizicima za pružanje kvalificirane usluge povjerenja, što uključuje barem mjere koje se odnose na sljedeće:

obavješćuje nadzorno tijelo, pogođene pojedince koje se može identificirati, druga relevantna nadležna tijela ako je to primjenjivo i, na zahtjev nadzornog tijela, javnost ako je to od javnog interesa, o svim povredama sigurnosti ili poremećajima u pružanju usluge ili u provedbi mjera iz točke (fa) podtočaka i., ii. ili iii. koji imaju značajan učinak na pruženu uslugu povjerenja ili na osobne podatke koji se u njoj čuvaju, bez nepotrebne odgode, a u svakom slučaju najkasnije 24 sata nakon incidenta;

poduzima odgovarajuće mjere protiv krivotvorenja, krađe ili prisvajanja podataka ili neovlaštenih brisanja podataka, izmjene podataka ili onemogućivanja pristupa podacima;

bilježi i čini dostupnima onoliko dugo koliko je to potrebno nakon prestanka obavljanja djelatnosti kvalificiranog pružatelja usluga povjerenja sve bitne informacije povezane s podacima koje je izdao i primio kvalificirani pružatelj usluga povjerenja, za potrebe predlaganja dokaza u sudskim postupcima i u svrhu osiguravanja kontinuiteta usluge. Takvo se bilježenje može obavljati elektronički;

ima ažuriran plan prekida pružanja usluge radi osiguravanja njezina kontinuiteta u skladu s odredbama koje je potvrdilo nadzorno tijelo u skladu s člankom 46.b stavkom 4. točkom (i);

ako je riječ o kvalificiranim pružateljima usluga povjerenja koji izdaju kvalificirane certifikate, uspostavlja i ažurira bazu podataka certifikata.