Source: https://www.lexlege.pl/rozporzadzenie-ministra-cyfryzacji-z-dnia-10-wrzesnia-2018-r-w-sprawie-profilu-zaufanego-i-podpisu-zaufanego/
Timestamp: 2020-04-03 07:42:31
Legal References Found: art. 20
 art. 20
 art. 3
 art. 20
 art. 20
 art. 20
 art. 20
 art. 20
 art. 20
 art. 8
 art. 20
 art. 8
 art. 20
 art. 12
 art. 20
 art. 20
 art. 20
 art. 8
 art. 18
 art. 137
 art. 20

Document Content:
Rozporządzenie Ministra Cyfryzacji w sprawie profilu zaufanego i podpisu zaufanego - prof. zauf.i podpis
Rozporządzenie Ministra C...
Rozporządzenie Ministra Cyfryzacji w sprawie profilu zaufanego i podpisu zaufanego
Dz.U.2018.0.1760 - Rozporządzenie Ministra Cyfryzacji z dnia 10 września 2018 r. w sprawie profilu zaufanego i podpisu zaufanego
Na podstawie art. 20d ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000, 1544 i 1669) zarządza się, co następuje:
Rozporządzenie określa warunki:
potwierdzania, przedłużania ważności, wykorzystywania i unieważniania profilu zaufanego, w tym:
a) okres ważności profilu zaufanego,
b) zbiór danych zawartych w profilu zaufanym,
c) przypadki, w których nie dokonuje się potwierdzenia profilu zaufanego,
d) przypadki, w których profil zaufany traci ważność,
e) warunki przechowywania oraz archiwizowania dokumentów i danych bezpośrednio związanych z potwierdzeniem profilu zaufanego,
f) dane i dokumenty wymagane w procedurze potwierdzania, przedłużania ważności i unieważnienia profilu zaufanego, g) warunki, które powinien spełniać punkt potwierdzający profil zaufany,
h) warunki organizacyjne i techniczne dla potwierdzenia profilu zaufanego oraz uwierzytelnień i autoryzacji przy nieodpłatnym wykorzystaniu środka identyfikacji elektronicznej stosowanego do uwierzytelniania w systemie teleinformatycznym banku krajowego lub innego przedsiębiorcy, zwanego dalej „podmiotem niepublicznym”,
i) sposób potwierdzania spełniania warunków, o których mowa w lit. h;
składania podpisu zaufanego.
§ 2. Objaśnienie pojęć
system, w którym wydawany jest profil zaufany – system teleinformatyczny, przy użyciu którego zapewniana jest obsługa publicznego systemu identyfikacji elektronicznej, w ramach którego wydawany jest profil zaufany;
identyfikator profilu zaufanego – unikatowy ciąg znaków alfanumerycznych jednoznacznie identyfikujących profil zaufany;
identyfikator użytkownika – unikatowy ciąg znaków alfanumerycznych jednoznacznie identyfikujących użytkownika systemu, w którym wydawany jest profil zaufany;
konto profilu zaufanego – konto osoby fizycznej, założone w systemie, w którym wydawany jest profil zaufany, umożliwiające wnioskowanie o potwierdzenie profilu zaufanego, używanie profilu zaufanego, przedłużanie ważności profilu zaufanego i unieważnianie profilu zaufanego, a także zmianę czynników uwierzytelniania;
konto nieużywane – konto profilu zaufanego, które nie było wykorzystywane przez użytkownika profilu zaufanego w okresie dłuższym niż 3 lata;
osoba wnioskująca – osobę fizyczną występującą z wnioskiem o potwierdzenie profilu zaufanego;
ustawa – ustawę z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
punkt potwierdzający – punkt potwierdzający profil zaufany, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ustawy;
rozporządzenie 910/2014 – rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, s. 73);
ePUAP – elektroniczną platformę usług administracji publicznej, w rozumieniu art. 3 katalog pojęć ustawowych pkt 13 ustawy;
minister – ministra właściwego do spraw informatyzacji.
§ 3. Składanie wniosku o potwierdzenie profilu zaufanego w postaci elektronicznej
Osoba wnioskująca o potwierdzenie profilu zaufanego w punkcie potwierdzającym składa wniosek o potwierdzenie profilu zaufanego w postaci elektronicznej, wypełniając formularz elektroniczny udostępniony w systemie, w którym wydawany jest profil zaufany. Formularz elektroniczny, o którym mowa w zdaniu pierwszym, może stanowić element udostępnionej w ePUAP usługi elektronicznej umożliwiającej założenie konta w tym systemie teleinformatycznym.
Jeżeli w terminie 14 dni od dnia złożenia wniosku, o którym mowa w ust. 1, nie dokonano potwierdzenia profilu zaufanego, wniosek ten jest usuwany z systemu, w którym wydawany jest profil zaufany.
§ 4. Składanie wniosku o potwierdzenie profilu zaufanego w punkcie potwierdzającym
W celu potwierdzenia profilu zaufanego w punkcie potwierdzającym osoba wnioskująca zgłasza się do wybranego przez siebie punktu potwierdzającego.
W punkcie potwierdzającym osoba upoważniona do potwierdzenia profilu zaufanego stwierdza tożsamość osoby wnioskującej na podstawie okazanego dokumentu tożsamości.
Osoba wnioskująca potwierdza wolę posiadania profilu zaufanego, opatrując podpisem własnoręcznym wydruk wniosku, o którym mowa w § 3 ust. 1, sporządzony w punkcie potwierdzającym przez osobę upoważnioną do potwierdzenia profilu zaufanego.
Osoba upoważniona do potwierdzenia profilu zaufanego, po pozytywnej weryfikacji tożsamości osoby wnioskującej, potwierdza profil zaufany oraz odnotowuje na wydruku wniosku dokonanie potwierdzenia.
Osoba upoważniona do potwierdzenia profilu zaufanego dokonuje potwierdzenia, podpisując profil zaufany osoby wnioskującej:
podpisem zaufanym albo
§ 5. Samodzielne potwierdzenie profilu zaufanego
Osoba wnioskująca może samodzielnie dokonać potwierdzenia profilu zaufanego, odpowiednio:
opatrując utworzony profil zaufany kwalifikowanym podpisem elektronicznym;
identyfikując się i autoryzując czynność utworzenia i potwierdzenia profilu zaufanego w systemie teleinformatycznym podmiotu niepublicznego przy użyciu środka identyfikacji elektronicznej, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 8 ustawy;
identyfikując się i autoryzując czynność utworzenia i potwierdzenia profilu zaufanego przy użyciu profilu
Profil zaufany potwierdzony w sposób, o którym mowa w ust. 1 pkt 2 i 3, opatruje się pieczęcią elektroniczną ministra.
W przypadku samodzielnego potwierdzenia profilu zaufanego:
dane identyfikujące osobę fizyczną, o których mowa w art. 20ad zakres danych identyfikujących osobę zawartych w profilu zaufanym ust. 1 ustawy, ustalane są automatycznie, odpowiednio do metod, o których mowa w ust. 1, na podstawie: kwalifikowanego certyfikatu podpisu elektronicznego albo środka identyfikacji elektronicznej, przy użyciu którego dokonano uwierzytelnienia osoby wnioskującej;
dane, o których mowa w § 8 ust. 1 pkt 6–8, określane są przez osobę wnioskującą przy użyciu formularza elektronicznego udostępnionego odpowiednio w systemie, w którym wydawany jest profil zaufany, albo w systemie teleinformatycznym podmiotu niepublicznego, o którym mowa w ust. 1 pkt 2.
§ 6. Zakres danych i oświadczenia do wniosku o potwierdzenie profilu zaufanego
Zakres danych oraz oświadczenia wymagane we wniosku o potwierdzenie profilu zaufanego określa załącznik nr 1 do rozporządzenia.
§ 7. Obowiązki osoby posiadającej profil zaufany
Osoba posiadająca ważny profil zaufany:
zapewnia poufność danych, które mogłyby być wykorzystane do identyfikacji i uwierzytelnienia w systemie teleinformatycznym przy użyciu profilu zaufanego lub złożenia podpisu zaufanego przez osoby trzecie;
niezwłocznie unieważnia profil zaufany w przypadku utraty częściowej lub całkowitej kontroli nad tym profilem.
§ 8. Zakres danych profilu zaufanego i jego funkcjonowanie
Profil zaufany zawiera:
dane, o których mowa w art. 20ad zakres danych identyfikujących osobę zawartych w profilu zaufanym ust. 1 ustawy;
identyfikator użytkownika;
identyfikator profilu zaufanego;
czas potwierdzenia;
informację o wybranych przez użytkownika czynnikach uwierzytelniania, o których mowa w ust. 3.
Raz nadany identyfikator użytkownika nie może być nadany ponownie.
W przypadku potwierdzenia profilu zaufanego:
w punkcie potwierdzającym – profil zaufany zawiera również oznaczenie punktu potwierdzającego oraz imię i nazwisko osoby upoważnionej do potwierdzania profilu zaufanego;
w sposób, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 1 pkt 2 ustawy – profil zaufany zawiera również wskazanie, że został potwierdzony przy wykorzystaniu kwalifikowanego podpisu elektronicznego;
w sposób, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 1 pkt 3 ustawy – profil zaufany zawiera również oznaczenie systemu teleinformatycznego podmiotu niepublicznego, w którym uwierzytelnianie dokonywane jest przy użyciu środka identyfikacji elektronicznej, który posłużył do potwierdzenia profilu zaufanego;
w sposób, o którym mowa w art. 20c ust. 1 pkt 4 ustawy – profil zaufany zawiera również wskazanie, że został potwierdzony przy wykorzystaniu profilu osobistego.
Uwierzytelnienie z wykorzystaniem profilu zaufanego dokonywane jest w sposób zapewniający średni poziom bezpieczeństwa, przy wykorzystaniu co najmniej dwóch czynników uwierzytelnienia należących do co najmniej dwóch różnych kategorii, o których mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, przy czym:
jeden czynnik stanowi:
a) identyfikator użytkownika i hasło do konta profilu zaufanego albo
b) inny czynnik uwierzytelniania wymagający od osoby podlegającej uwierzytelnieniu określonej, znanej tylko tej osobie wiedzy, albo
c) dane posiadacza profilu zaufanego zweryfikowane za pomocą kwalifikowanego certyfikatu podpisu elektronicznego;
drugi czynnik stanowi:
a) hasło jednorazowe przesyłane na wskazany przez użytkownika numer telefonu komórkowego albo
b) inny czynnik uwierzytelniania wymagający od posiadacza profilu zaufanego wykazania się posiadaniem ustalonej uprzednio rzeczy lub urządzenia niezbędnego dla wykorzystania tego czynnika.
Uwierzytelnienie przy użyciu profilu zaufanego może następować również:
z wykorzystaniem czynników uwierzytelniania, spełniających warunki określone w ust. 4, wykorzystywanych w ramach środka identyfikacji elektronicznej, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 8 ustawy, stosowanego do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego;
wyłącznie przy wykorzystaniu czynnika uwierzytelniania, o którym mowa w ust. 4 pkt 1, jeżeli przepisy prawa regulujące usługę online dopuszczają możliwość uwierzytelnienia użytkownika tej usługi w sposób zapewniający niski poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014.
W przypadku usług online, wymagających uwierzytelnienia użytkownika profilem zaufanym, autoryzacje wymagane w tych usługach dokonywane są przy użyciu drugiego czynnika uwierzytelnienia, o którym mowa w ust. 4 pkt 2, z uwzględnieniem czynników uwierzytelniania, o których mowa w ust. 5 pkt 1, spełniających warunki określone w ust. 4 pkt 2.
Posiadacz profilu zaufanego może dokonać zmiany:
adresu poczty elektronicznej lub numeru telefonu komórkowego – samodzielnie w systemie, w którym wydawany jest profil zaufany, autoryzując tę czynność w sposób, o którym mowa ust. 6, albo w punkcie potwierdzającym profil zaufany;
środka identyfikacji elektronicznej lub czynników uwierzytelniania, o których mowa w ust. 5 pkt 1 – samodzielnie w systemie podmiotu niepublicznego;
czynników uwierzytelniania – samodzielnie w systemie, w którym wydawany jest profil zaufany, albo w systemie teleinformatycznym podmiotu niepublicznego, o ile w systemie tym udostępniono taką możliwość.
Komunikaty związane z funkcjonowaniem konta profilu zaufanego przesyłane są na adres poczty elektronicznej, o którym mowa w ust. 1 pkt 6.
Struktura danych profilu zaufanego oraz podpisu zaufanego udostępniane są przez ministra w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.
W przypadku użytkownika ePUAP czynniki, o których mowa w ust. 4 pkt 1 lit. a, są tożsame z czynnikami służącymi do identyfikacji i uwierzytelniania tego użytkownika w ePUAP.
System, w którym wydawany jest profil zaufany, dopuszcza stosowanie wyłącznie hasła, o którym mowa w ust. 4 pkt 1 lit. a, które spełnia wymogi w zakresie stopnia złożoności oraz wymaganej częstotliwości zmian, ustalonych przez ministra.
§ 9. Potwierdzenie i przedłużenie ważności profilu zaufanego
Profil zaufany potwierdza się na okres trzech lat, a jego ważność może być przedłużona na taki sam okres.
Osoba posiadająca profil zaufany może dokonać przedłużenia jego ważności:
samodzielnie w systemie, w którym wydawany jest profil zaufany, potwierdzając tę czynność przy wykorzystaniu profilu zaufanego, profilu osobistego albo kwalifikowanego podpisu elektronicznego;
w punkcie potwierdzającym.
W systemie, w którym wydawany jest profil zaufany, gromadzone są dane odzwierciedlające historię kolejnych przedłużeń ważności profilu zaufanego obejmujące w szczególności czas i sposób przedłużenia.
Zakres danych oraz oświadczenia wymagane we wniosku o przedłużenie ważności profilu zaufanego określa załącznik nr 2 do rozporządzenia.
§ 10. Zwolnienie od potwierdzenia profilu zaufanego
Nie dokonuje się potwierdzenia profilu zaufanego w przypadku:
przedłożenia nieważnego dokumentu, o którym mowa w § 4 ust. 2, lub braku możliwości jednoznacznego potwierdzenia tożsamości osoby wnioskującej na podstawie okazanego dokumentu;
niezgodności imienia, imion lub nazwiska podanych w złożonym wniosku o potwierdzenie profilu zaufanego z danymi ustalonymi na podstawie okazanego przez wnioskodawcę dokumentu tożsamości;
niezgodności numeru PESEL podanego w złożonym wniosku o potwierdzenie profilu zaufanego z numerem PESEL ustalonym na podstawie okazanego przez wnioskodawcę dokumentu tożsamości;
niezgodności daty urodzenia ustalonej na podstawie pierwszych sześciu cyfr numeru PESEL podanego w złożonym wniosku o potwierdzenie profilu zaufanego z datą urodzenia ustaloną na podstawie okazanego przez wnioskodawcę dokumentu tożsamości – w przypadku gdy okazany dokument tożsamości nie zawiera numeru PESEL.
Niedokonanie potwierdzenia profilu zaufanego osoba upoważniona do potwierdzenia profilu zaufanego odnotowuje na wydruku wniosku o potwierdzenie profilu zaufanego wraz z podaniem czasu i przyczyny niedokonania potwierdzenia.
§ 11. Utrata ważności profilu zaufanego
Profil zaufany traci ważność w przypadku:
usunięcia konta profilu zaufanego;
upływu okresu, na jaki został potwierdzony albo przedłużony.
W przypadku zmiany adresu poczty elektronicznej, numeru telefonu komórkowego albo środka identyfikacji elektronicznej stosowanego do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego profil zaufany jest unieważniany, a w jego miejsce automatycznie tworzony jest nowy profil zaufany powiązany z dotychczasowym kontem profilu zaufanego.
Osoba posiadająca profil zaufany może samodzielnie dokonać unieważnienia swojego profilu zaufanego w systemie, w którym wydawany jest profil zaufany, albo wystąpić z wnioskiem o unieważnienie profilu zaufanego.
W celu unieważnienia profilu zaufanego osoba posiadająca profil zaufany składa wniosek w wybranym przez siebie punkcie potwierdzającym, w którym osoba upoważniona do potwierdzenia profilu zaufanego unieważnia profil zaufany, stwierdzając uprzednio tożsamość osoby wnioskującej na podstawie okazanego dokumentu tożsamości.
Zakres danych oraz oświadczenia wymagane we wniosku o unieważnienie profilu zaufanego określa załącznik nr 3 do rozporządzenia.
§ 12. Unieważnienie profilu zaufanego
Profil zaufany może być unieważniony, bez udziału jego posiadacza, w przypadku:
wykrycia nieprawidłowości w procedurze jego potwierdzenia lub przedłużenia jego ważności;
wykrycia nieprawidłowości mogących mieć wpływ na rozliczalność i niezaprzeczalność działań dokonywanych z wykorzystaniem profilu zaufanego:
a) stwierdzenia lub uzasadnionych przesłanek wskazujących na wysokie prawdopodobieństwo, że dane, które mogą pozwolić na użycie profilu zaufanego, przestały być pod wyłączną kontrolą jego posiadacza,
b) wykrycia nieuprawnionego użycia profilu zaufanego;
wykrycia w profilu zaufanym nieprawidłowości:
a) zagrażających bezpieczeństwu lub prawidłowemu działaniu systemu, w którym wydawany jest profil zaufany,
b) wykluczających użytkowanie profilu zaufanego w sposób zapewniający poziom bezpieczeństwa, o którym mowa w § 8 ust. 4.
W przypadku uzasadnionego podejrzenia nieprawidłowości, o których mowa w ust. 1, dopuszcza się dokonywanie przez ministra czynności sprawdzających mających na celu potwierdzenie lub zaprzeczenie istnienia tych nieprawidłowości.
W toku czynności, o których mowa w ust. 2, dopuszcza się możliwość żądania od posiadacza profilu zaufanego dokonania czynności lub przekazania danych, które pozwolą na zaprzeczenie istnienia nieprawidłowości.
§ 13. Złożenie podpisu zaufanego
Złożenie podpisu zaufanego jest możliwe w okresie ważności użytego do złożenia podpisu środka identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy.
Czynność złożenia podpisu zaufanego wymaga autoryzacji, po której następuje opatrzenie podpisywanych danych w postaci elektronicznej pieczęcią elektroniczną ministra wykorzystywaną do zapewnienia integralności podpisanych danych oraz autentyczności złożonego podpisu.
Autoryzacja, o której mowa w ust. 2, dokonywana jest, odpowiednio do użytego środka identyfikacji elektronicznej:
w przypadku profilu osobistego – w sposób określony dla tego środka identyfikacji elektronicznej w przepisach
wydanych na podstawie art. 12j rozporządzenie w sprawie wymagań dla warstwy elektronicznej dowodu i trybu postepowania z certyfikatami ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. z 2017 r. poz. 1464, z 2018 r. poz. 730 oraz z 2019 r. poz. 53 i 60);
w przypadku profilu zaufanego – w sposób, o którym mowa w § 8 ust. 6.
Weryfikacja integralności danych podpisanych przy użyciu podpisu zaufanego oraz autentyczności tego podpisu dokonywana jest za pomocą certyfikatu pieczęci elektronicznej udostępnionego przez ministra pod adresem elektronicznym wskazanym w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.
Osoba podejmująca czynności zmierzające do złożenia podpisu zaufanego, przed faktycznym złożeniem tego podpisu elektronicznego, informowana jest w drodze komunikatu udostępnianego w interfejsie użytkownika oprogramowania umożliwiającego złożenie takiego podpisu, że dokonuje czynności złożenia podpisu zaufanego.
§ 14. Wymogi wobec punktu potwierdzającego profil zaufany
Podmioty, o których mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 3 ustawy, mogą pełnić funkcję punktu potwierdzającego profil zaufany po uprzednim przedłożeniu ministrowi oświadczenia o spełnieniu wymagań, określonych w § 3 ust. 2 i 3 rozporządzenia Ministra Cyfryzacji z dnia 5 października 2016 r. w sprawie szczegółowych warunków organizacyjnych i technicznych, które powinien spełniać system teleinformatyczny służący do uwierzytelniania użytkowników (Dz. U. poz. 1627), w zakresie, w jakim dotyczyć to będzie uprawnień i czynności osób upoważnionych do potwierdzania profili zaufanych.
Punkt potwierdzający stale zapewnia spełnienie wymagań, o których mowa w ust. 1.
Punkt potwierdzający, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 3 pkt 2–5 ustawy, w przypadku gdy nie posiada instrukcji określającej zasady i tryb postępowania z dokumentacją wydanej na podstawie ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2018 r. poz. 217, 357, 398 i 650), zapewnia wdrożenie instrukcji określającej zasady i tryb postępowania z dokumentacją związaną z potwierdzaniem, przedłużaniem ważności i unieważnianiem profilu zaufanego oraz przedkłada ministrowi kopię tego dokumentu.
Osoby realizujące czynności związane z potwierdzaniem profilu zaufanego działają zgodnie z procedurami zarządzania profilami zaufanymi oraz nadawania uprawnień do potwierdzania, przedłużania ważności i unieważniania profilu zaufanego zamieszczonymi w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.
§ 15. Przechowywanie i archiwizacja dokumentów przez punkt potwierdzający profil zaufany
Punkt potwierdzający przechowuje i archiwizuje dokumenty w postaci papierowej w zakresie potwierdzania, przedłużania i unieważniania profilu zaufanego w warunkach zapewniających:
zachowanie integralności dokumentów;
odszukanie i udostępnienie dokumentów;
ochronę danych osobowych zawartych w dokumentach;
ochronę tych dokumentów przed zniszczeniem.
Dokumenty w postaci elektronicznej w zakresie potwierdzania, przedłużania i unieważniania profilu zaufanego, z zachowaniem warunków określonych w ust. 1, przechowuje oraz archiwizuje minister.
Obowiązek przechowania dokumentów, o których mowa w ust. 1 i 2, trwa przez okres 20 lat od chwili potwierdzenia albo przedłużenia ważności profilu zaufanego lub od chwili odmowy jego potwierdzenia albo odmowy przedłużenia ważności bądź od chwili jego unieważnienia.
Organ lub jednostka organizacyjna przejmująca zadania, funkcje i dokumenty punktu potwierdzającego, którego działalność ustała, zapewnia spełnienie warunków, o których mowa w ust. 1 i 3. W przypadku braku następcy prawnego punktu potwierdzającego spełnienie warunków, o których mowa w ust. 1 i 3, zapewnia minister.
§ 16. Unieważnienie profilu zaufanego
Unieważnienie profilu zaufanego może być dokonane za pośrednictwem systemu teleinformatycznego podmiotu niepublicznego, przy użyciu środka identyfikacji elektronicznej, o którym mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 8 ustawy.
§ 17. Wykorzystanie środków identyfikacji elektronicznej do uwierzytelniania dla potwierdzania profilu zaufanego i autoryzacji
Wykorzystanie środków identyfikacji elektronicznej stosowanych do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego do potwierdzania profilu zaufanego oraz autoryzacji wymaga:
wdrożenia przez podmiot niepubliczny zabezpieczeń dotyczących co najmniej średniego poziomu bezpieczeństwa, wymaganych rozporządzeniem wykonawczym Komisji (UE) nr 2015/1502 z dnia 8 września 2015 r. w sprawie ustanowienia minimalnych specyfikacji technicznych i procedur dotyczących poziomów bezpieczeństwa w zakresie środków identyfikacji elektronicznej na podstawie art. 8 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz. Urz. UE L 235 z 09.09.2015, str. 7, z późn. zm.), zwanym dalej „rozporządzeniem wykonawczym 2015/1502”;
opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach wykonawczych wydanych na podstawie art. 18 delegacja ustawowa ustawy;
poddawania się przez podmiot niepubliczny niezależnemu audytowi, o którym mowa w pkt 2.4.7 załącznika do rozporządzenia wykonawczego 2015/1502, sprawdzającemu spełnianie wymagań, o których mowa w pkt 1 i 2, nie rzadziej niż raz na dwa lata;
potwierdzenia przez podmiot niepubliczny tożsamości osoby, której udostępniono środki identyfikacji elektronicznej stosowane do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego, na podstawie:
a) okazanego podczas fizycznej obecności dokumentu tożsamości, który zawiera numer PESEL, z zachowaniem należytej staranności w ustaleniu autentyczności dokumentu tożsamości oraz w działaniach zmierzających do zminimalizowania ryzyka, że tożsamość deklarowana przy użyciu okazanego dokumentu tożsamości jest niezgodna z faktyczną tożsamością osoby okazującej ten dokument, albo
b) danych pochodzących z poprawnie przeprowadzonej weryfikacji kwalifikowanego podpisu elektronicznego, którego certyfikat zawiera numer PESEL, przy użyciu którego osoba ta podpisała dokument elektroniczny, w którym oświadczyła, że świadoma jest warunków i zalecanych zasad korzystania z systemu identyfikacji elektronicznej, oraz wyraziła zgodę na nadanie statusu użytkownika tego systemu oraz wykorzystywanie udostępnionych środków identyfikacji elektronicznej w systemie;
przeprowadzenia testów integracyjnych w zakresie możliwości wykorzystania środków identyfikacji elektronicznej stosowanych do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego do potwierdzania profilu zaufanego i autoryzacji, zgodnie z procedurą udostępnioną w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.
Wymagania, o których mowa w ust. 1 pkt 1–4, uznaje się za spełnione w przypadku przedstawienia przez podmiot niepubliczny:
ważnego akredytowanego certyfikatu, obejmującego w swym zakresie stosowanie środków identyfikacji elektronicznej, systemu zarządzania bezpieczeństwem informacji, albo
protokołu pokontrolnego kontroli organu nadzoru, potwierdzającego wdrożenie wymogów określonych w przepisach wydanych na podstawie art. 137 rekomendacje KNF dotyczące dobrych praktyk ostrożnego i stabilnego zarządzania bankami ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2017 r. poz. 1876, z późn. zm.), w zakresie dotyczącym zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach, albo
pozytywnego wyniku audytu, o którym mowa w ust. 1 pkt 3, przeprowadzonego nie wcześniej niż 15 miesięcy przed dniem złożenia przez podmiot niepubliczny wniosku do ministra o wyrażenie zgody na wykorzystywanie do potwierdzania profilu zaufanego środków identyfikacji elektronicznej, stosowanych do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego, albo
innego dokumentu potwierdzającego spełnianie warunków, o których mowa w ust. 1 pkt 1–4.
Wymaganie, o którym mowa w ust. 1 pkt 5, uznaje się za spełnione w przypadku przedstawienia pozytywnego wyniku testów integracyjnych.
§ 18. Obowiązek przedstawienia dokumentów na żądanie ministra
Podmiot niepubliczny przedstawia dokumenty, o których mowa w § 17 ust. 2 i 3, na żądanie ministra.
§ 19. Zabezpieczenie przed usunięciem konta profilu zaufanego
System, w którym wydawany jest profil zaufany, uniemożliwia usunięcie konta profilu zaufanego w przypadku, gdy prowadziłoby to do utraty kontroli użytkownika tego konta nad jego kontem w ePUAP.
§ 20. Kontrola dla ustalenia nieużywanych kont profilu zaufanego
Minister co najmniej raz na dwa lata dokonuje sprawdzenia mającego na celu ustalenie kont nieużywanych celem ich usunięcia.
W przypadku ustalenia konta nieużywanego dokonuje się dwukrotnego powiadomienia użytkownika tego konta na adres poczty elektronicznej powiązany z tym kontem profilu zaufanego, w odstępie 30 dni, o zamiarze jego usunięcia.
Powiadomienie, o którym mowa w ust. 2, zawiera informację dotyczącą oczekiwanych czynności, jakich posiadacz konta profilu zaufanego może dokonać na potwierdzenie woli dalszego korzystania z wskazanego konta nieużywanego.
W przypadku niepodjęcia przez użytkownika konta profilu zaufanego czynności, o których mowa w ust. 3, w terminie 30 dni od przesłania drugiego powiadomienia, konto nieużywane jest usuwane.
§ 21. Przepis przejściowy
Wnioski o potwierdzenie, przedłużenie ważności i unieważnienie profilu zaufanego ePUAP złożone przed dniem wejścia w życie rozporządzenia są rozpatrywane na zasadach dotychczasowych.
§ 22. Przepis przejściowy
Wnioski, o których mowa w art. 20c potwierdzenie profilu zaufanego ePUAP ust. 4 ustawy, złożone przed dniem wejścia w życie rozporządzenia, są rozpatrywane na zasadach dotychczasowych.
§ 23. Wejście rozporządzenia w życie
Rozporządzenie wchodzi w życie z dniem 11 września 2018 r.
[Rozporządzenie zostało ogłoszone - Dz.U. z 2018 r. poz. 1760]
Załączniki do rozporządzenia Ministra Cyfryzacji
z dnia 10 września 2018 r. (poz. 1760)
Zakres danych oraz oświadczenia wymagane we wniosku o potwierdzenie profilu zaufanego:
1) dane dotyczące osoby wnioskującej:
a) imię (imiona),
d) identyfikator użytkownika,
e) identyfikator profilu zaufanego,
f) adres poczty elektronicznej,
g) numer telefonu komórkowego,
h) wybrane czynniki uwierzytelniania;
2) oświadczenia osoby wnioskującej, że:
a) dane zawarte we wniosku są prawdziwe i aktualne,
b) zapewni poufność danych, które mogłyby być wykorzystane do identyfikacji i uwierzytelnienia w systemie teleinformatycznym przy użyciu profilu zaufanego lub złożenia podpisu zaufanego przez osoby trzecie,
c) nie udostępni konta profilu zaufanego osobom trzecim,
d) niezwłocznie unieważni profil zaufany w przypadku utraty częściowej lub całkowitej kontroli nad tym profilem;
3)1) miejscowość i data oraz czytelny podpis osoby wnioskującej;
4)1) adnotacje osoby upoważnionej do potwierdzania profilu zaufanego w imieniu punktu potwierdzającego:
a) dane dotyczące punktu potwierdzającego:
– nazwa punktu potwierdzającego,
– znak sprawy nadany w punkcie potwierdzającym,
b) dane dotyczące osoby upoważnionej do potwierdzania profilu zaufanego:
c) w przypadku stwierdzania tożsamości osoby wnioskującej na podstawie dokumentu tożsamości niezawierającego numeru PESEL, jeżeli na jego podstawie stwierdzono tożsamość osoby wnioskującej – dane dotyczące tego dokumentu
tożsamości:
– kraj wydania,
– rodzaj,
– numer,
d) informacje dotyczące potwierdzenia profilu zaufanego:
– czas potwierdzenia (godzina i minuta),
– czytelny podpis osoby upoważnionej do potwierdzania profilu zaufanego albo informacje o niepotwierdzeniu profilu zaufanego:
– przyczyna niepotwierdzenia,
– czas (godzina i minuta),
– czytelny podpis osoby upoważnionej do potwierdzania profilu zaufanego,
e) inne lub uzupełniające adnotacje.
1) Dotyczy potwierdzenia profilu zaufanego w punkcie potwierdzającym.
Zakres danych oraz oświadczenia wymagane we wniosku o przedłużenie ważności profilu zaufanego:
c) informacje dotyczące przedłużenia profilu zaufanego:
– czas przedłużenia (godzina i minuta),
– czytelny podpis osoby upoważnionej do potwierdzania profilu zaufanego albo informacje o niedokonaniu
przedłużenia profilu zaufanego,
– przyczyna niedokonania przedłużenia,
d) inne lub uzupełniające adnotacje.
Zakres danych oraz oświadczenia wymagane we wniosku o unieważnienie profilu zaufanego:
e) identyfikator profilu zaufanego;
2) oświadczenie osoby wnioskującej, że dane zawarte we wniosku są prawdziwe i aktualne;
c) informacje dotyczące wniosku o unieważnienie profilu zaufanego:
– data złożenia wniosku,
– czas złożenia wniosku (godzina i minuta),
d) informacje dotyczące unieważnienia profilu zaufanego: