AP813-005

Μαρούσι, 7-6-2017 ΑΠ: 813/5 ΑΠΟΦΑΣΗ Υποχρέωση των εγκεκριµένων παρόχων υπηρεσιών εµπιστοσύνης για υποβολή εκθέσεων αξιολόγησης συµµόρφωσης σύµφωνα µε τον Ευρωπαϊκό Κανονισµό (ΕΕ) 910/2014 «Κανονισµός σχετικά µε την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εµπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της Οδηγίας 1999/93/ΕΚ» Η Εθνική Επιτροπή Τηλεπικοινωνιών και Ταχυδροµείων (ΕΕΤΤ) Έχοντας υπόψη: α. Το Νόµο 4070/2012 «Ρυθµίσεις Ηλεκτρονικών Επικοινωνιών, Μεταφορών, ∆ηµοσίων Έργων και άλλες διατάξεις» (ΦΕΚ 82/Α/10.04.2012), όπως έχει τροποποιηθεί και ισχύει, ιδίως το άρθρο 12 παρ. 1 περ. κε’ αυτού, β. Τον Κανονισµό (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου της 23ης Ιουλίου 2014 σχετικά µε την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εµπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της οδηγίας 1999/93/ΕΚ», γ. Τον Κανονισµό (ΕΚ) αριθ. 765/2008 του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου, της 9ης Ιουλίου 2008 , για τον καθορισµό των απαιτήσεων διαπίστευσης και εποπτείας της αγοράς όσον αφορά την εµπορία των προϊόντων και για την κατάργηση του κανονισµού (ΕΟΚ) αριθ. 339/93 του Συµβουλίου (Κείµενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ), δ. Την απόφαση ΕΕΤΤ ΑΠ 248/71/15.3.2002 «Κανονισµός Παροχής Υπηρεσιών Πιστοποίησης Ηλεκτρονικής Υπογραφής» (ΦΕΚ 603/Β/2002), όπως τροποποιήθηκε µε την ΑΠ ΕΕΤΤ 775/5/2016 (ΦΕΚ 3156Β/2016), ε. Το υπ’ αριθµ. 14629/25-5-2017 αίτηµα της εταιρείας QMSCert µε τίτλο «Υποβολή αιτήµατος σχετικού µε τον Κατάλογο Εγκεκριµένων Παρόχων Υπηρεσιών Εµπιστοσύνης (“Qualified Trust List”), σύµφωνα µε τις µεταβατικές διατάξεις του Κανονισµού ΕΕ 910/2014 (“eIDAS”), 1 στ. Το υπ’ αριθµ. 15607/2-6-2017 ηλεκτρονικό µήνυµα της εταιρείας Ernst & Young, µε το οποίο η εταιρεία αιτήθηκε δυνατότητα αποδοχής έκθεσης αξιολόγησης συµµόρφωσης που έχει εκδοθεί από Οργανισµό Αξιολόγησης Συµµόρφωσης, ο οποίος βρίσκεται στη διαδικασία διαπίστευσης και δεν την έχει ακόµα ολοκληρώσει, ζ. Το από 4/5/2017 ηλεκτρονικό µήνυµα του Εθνικού Συστήµατος ∆ιαπίστευσης (ΕΣΥ∆) προς την ΕΕΤΤ, αναφορικά µε τη διαδικασία προσδιορισµού Εθνικού Σχήµατος ∆ιαπίστευσης, η. Την υπ’ αρ. πρωτ. 31514/2-6-2017 εισήγηση της αρµόδιας υπηρεσίας της ΕΕΤΤ και κατόπιν προφορικής εισήγησης του Προέδρου της ΕΕΤΤ, Καθηγ. ∆ηµ. Τσαµάκη. Και επειδή:

1. Από την 1η Ιουλίου 2016 τέθηκε σε ισχύ ο Κανονισµός (ΕΕ) αρ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συµβουλίου σχετικά µε την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εµπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της Οδηγίας 1999/93/ΕΚ (eIDAS).
2. Ο Κανονισµός eIDAS προβλέπει στο άρθρο 20 την υποχρέωση των εγκεκριµένων παρόχων υπηρεσιών εµπιστοσύνης να ελέγχονται, µε δικές τους δαπάνες τουλάχιστον κάθε 24 µήνες, από Οργανισµό Αξιολόγησης Συµµόρφωσης (CAB), µε σκοπό να επιβεβαιώνεται ότι οι ίδιοι οι πάροχοι και οι παρεχόµενες από αυτούς εγκεκριµένες υπηρεσίες εµπιστοσύνης πληρούν τις απαιτήσεις του κανονισµού. Οι εγκεκριµένοι πάροχοι υπηρεσιών εµπιστοσύνης υποβάλλουν την προκύπτουσα έκθεση αξιολόγησης της συµµόρφωσης στον εποπτικό φορέα εντός τριών εργάσιµων ηµερών από την παραλαβή της.
3. Αφού υποβληθεί η έκθεση αξιολόγησης ο εποπτικός φορέας την εξετάζει και χορηγεί έγκριση στους παρόχους υπηρεσιών εµπιστοσύνης και στις υπηρεσίες που αυτοί παρέχουν, σύµφωνα µε τα άρθρα 20 και 21 και ακολούθως ενηµερώνει τον εθνικό κατάλογο εµπιστοσύνης που αναφέρεται στο άρθρο 22 παράγραφος 3 του Κανονισµού eIDAS.
4. Σύµφωνα µε τις µεταβατικές διατάξεις του άρθρου 51 του Κανονισµού eIDAS: «
5. Οι πάροχοι υπηρεσιών πιστοποίησης που εκδίδουν εγκεκριµένα πιστοποιητικά δυνάµει της οδηγίας 1999/93/ΕΚ υποβάλλουν έκθεση αξιολόγησης της συµµόρφωσης στον εποπτικό φορέα το συντοµότερο δυνατόν και το αργότερο την 1η Ιουλίου
6. Μέχρι την υποβολή της έκθεσης αξιολόγησης της συµµόρφωσης και την ολοκλήρωση της αξιολόγησης από τον εποπτικό φορέα, οι πάροχοι υπηρεσιών πιστοποίησης θεωρούνται εγκεκριµένοι πάροχοι υπηρεσιών εµπιστοσύνης δυνάµει του παρόντος κανονισµού.
7. Εάν πάροχος υπηρεσιών πιστοποίησης που εκδίδει εγκεκριµένα πιστοποιητικά δυνάµει της οδηγίας 1999/93/ΕΚ δεν υποβάλει έκθεση αξιολόγησης της συµµόρφωσης στον εποπτικό φορέα εντός της προθεσµίας της παραγράφου 3, ο εν λόγω πάροχος δεν θεωρείται εγκεκριµένος πάροχος υπηρεσιών εµπιστοσύνης δυνάµει του παρόντος κανονισµού από τις 2 Ιουλίου 2017.»
8. Συνεπώς, βάσει των ανωτέρω διατάξεων, η ΕΕΤΤ καλείται, δυνάµει των αρµοδιοτήτων της για την εποπτεία των παρόχων υπηρεσιών εµπιστοσύνης και την τήρηση του εθνικού καταλόγου εµπιστοσύνης εγκεκριµένων παρόχων υπηρεσιών εµπιστοσύνης (TSL), κατά 2 την πρώτη εργάσιµη ηµέρα µετά την 2α Ιουλίου 2017, ήτοι την 3η Ιουλίου 2017, να διαγράψει από τον εθνικό κατάλογο εµπιστοσύνης τους παρόχους που δεν έχουν υποβάλει έκθεση αξιολόγησης της συµµόρφωσης στον εποπτικό φορέα εντός της προθεσµίας της παραγράφου 3 του άρθρου 51 του Κανονισµού eIDAS.
9. Με το από 4/5/2017 ηλεκτρονικό µήνυµα, το ΕΣΥ∆ καλεί την ΕΕΤΤ να συνδράµει στη διαδικασία προσδιορισµού Εθνικού Σχήµατος ∆ιαπίστευσης για τη διαπίστευση των Οργανισµών Αξιολόγησης Συµµόρφωσης για την Ελλάδα, για το οποίο είναι αρµόδιο το ΕΣΥ∆ και δεν το έχει ακόµα οριστικοποιήσει.
10. Η ΕΕΤΤ έχοντας ενηµερωθεί (ανωτέρω στοιχ. ε, στ΄) για το ότι στην ελληνική αγορά υπάρχουν Οργανισµοί Αξιολόγησης της Συµµόρφωσης (CAB, Conformity Assesment Body) που τελούν σε διαδικασία διαπίστευσης, η οποία δεν αναµένεται ωστόσο να έχει ολοκληρωθεί εγκαίρως, καθόσον το ΕΣΥ∆ δεν έχει οριστικοποιήσει το Εθνικό Σχήµα ∆ιαπίστευσης (ανωτέρω στοιχ. ζ) και προκειµένου να µην δηµιουργηθεί πρόβληµα στην ελληνική αγορά, από την αυτόµατη θέση εκτός ισχύος εκατοντάδων πιστοποιητικών ηλεκτρονικών υπογραφών στις 3/7/2017, θα πρέπει να δεχτεί να εξετάσει εκθέσεις συµµόρφωσης (CARs) που έχουν εκδοθεί από Οργανισµό Αξιολόγησης της Συµµόρφωσης (CABs) που τελούν υπό διαπίστευση, εφόσον αυτό βεβαιώνεται µε έγγραφο του ΕΣΥ∆. Αποφασίζει
11. Καλεί τους εγκεκριµένους παρόχους υπηρεσιών εµπιστοσύνης να υποβάλουν εµπροθέσµως, µέχρι την 1η Ιουλίου 2017, την προβλεπόµενη στον Κανονισµό eIDAS (άρθρο 20 και 51) έκθεση αξιολόγησης συµµόρφωσης, εκδιδόµενη από Οργανισµό Αξιολόγησης Συµµόρφωσης, ο οποίος θα πρέπει να έχει διαπιστευθεί, σύµφωνα µε το άρθρο 2 σηµ. 13 του Κανονισµού (ΕΚ) αριθ. 765/2008, ή να τελεί υπό διαπίστευση σύµφωνα µε σχετική βεβαίωση από το Εθνικό Σύστηµα ∆ιαπίστευσης (ΕΣΥ∆) ή από αντίστοιχο Φορέα ∆ιαπίστευσης Κράτους-Μέλους της ΕΕ.
12. Μαζί µε την έκθεση αξιολόγησης συµµόρφωσης, κάθε πάροχος θα πρέπει να καταθέσει στην ΕΕΤΤ τα ακόλουθα στοιχεία, µε την επιφύλαξη ότι η ΕΕΤΤ µπορεί να ζητήσει πρόσθετες πληροφορίες: i. ii. iii. Στοιχεία του Οργανισµού Αξιολόγησης Συµµόρφωσης, συµπεριλαµβανοµένων, της στοιχείων εγγραφής σε δηµόσια αρχεία, την έδρα του και τα δεδοµένα επικοινωνίας (αριθµός τηλεφώνου και διεύθυνση ηλεκτρονικού ταχυδροµείου του νοµίµου εκπροσώπου). Στοιχεία του Φορέα ∆ιαπίστευσης που έχει διαπιστεύσει τον Οργανισµού Αξιολόγησης Συµµόρφωσης (ταχυδροµική διεύθυνση και e-mail) καθώς και πληροφορίες που αφορούν το πιστοποιητικό διαπίστευσης (π.χ. αριθµό αναγνώρισης του πιστοποιητικού). Το πιστοποιητικό του Οργανισµού Αξιολόγησης Συµµόρφωσης, που έχει εκδοθεί από τον Φορέα ∆ιαπίστευσης και λεπτοµερή περιγραφή του συστήµατος διαπίστευσης που χρησιµοποιήθηκε, συµπεριλαµβανοµένης της δήλωσης συµµόρφωση µε τις απαιτήσεις του κανονισµού eIDAS. Σε περίπτωση, όπου ο Οργανισµός Αξιολόγησης Συµµόρφωσης δεν έχει ολοκληρώσει τη διαδικασία διαπίστευσης, o πάροχος καταθέτει τεκµηρίωση από το Εθνικό Σύστηµα ∆ιαπίστευσης (ΕΣΥ∆) ή από αντίστοιχο Φορέα ∆ιαπίστευσης Κράτους-Μέλους της ΕΕ, ότι ο Οργανισµός Αξιολόγησης Συµµόρφωσης βρίσκεται σε διαδικασία 3 διαπίστευσης, στην οποία, µεταξύ άλλων αναφέρεται και η εκτιµώµενη ηµεροµηνία ολοκλήρωσης της διαδικασίας διαπίστευσης.
13. Πάροχος υπηρεσιών εµπιστοσύνης, ο οποίος θα υποβάλει έκθεση αξιολόγησης συµµόρφωσης από Οργανισµό Αξιολόγησης Συµµόρφωσης που δεν έχει ολοκληρώσει τη διαδικασία διαπίστευσης, υποχρεούται επιπλέον να επανυποβάλει στην ΕΕΤΤ σε προθεσµία τριών