Rozporządzenie Ministra Cyfryzacjiz dnia 10 marca 2020 r.w sprawie szczegółowych warunków organizacyjnych i technicznych, które powinien spełniać system teleinformatyczny służący do uwierzytelniania u

ust. 1, przechowuje dane dotyczące wystawionych certyfikatów przez okres 20 lat, licząc od dnia 1 stycznia roku następującego po roku, w którym certyfikat został wystawiony. 3. Zapewnienie bieżącej poprawności i użyteczności funkcjonalnej systemu,

ust. 1, wymaga spełnienia następujących warunków technicznych i organizacyjnych: 1) dokonywania systematycznego przeglądu skuteczności zastosowanych środków zabezpieczeń na wypadek zagrożeń bezpieczeństwa teleinformatycznego, w celu wprowadzania ich usprawnień; 2) utrzymywania w aktualnym stanie dokumentacji operacyjnej i technicznej systemu, w celu zapewnienia jego bezpiecznej eksploatacji; 3) zapewniania organizacyjnego, technicznego i kryptograficznego bezpieczeństwa działania systemu; 4) prowadzenia działań zapobiegających fałszowaniu certyfikatów, w tym zapewniania poufności podczas procesu tworzenia danych do potwierdzania tożsamości użytkownika; 5) informowania osób ubiegających się o certyfikat o warunkach stosowania certyfikatu zawartych w polityce certyfikacji.

1. Warunki, o których mowa w ust. 1-3, zostały spełnione, gdy: 1) została wdrożona polityka certyfikacji spełniająca wymagania wskazane w normie PN-ETSI EN 319 411 lub nowszej; 2) zapewnione zostały warunki organizacyjne i techniczne zgodne z wymaganiami specyfikacji technicznej CEN/TS 419261 lub nowszej w zakresie świadczenia usług innych niż wydawanie certyfikatów kwalifikowanych; 3) zastosowane zostały systemy i produkty zgodne z wymaganiami specyfikacji technicznej CEN/TS 419221 lub nowszej.
2. Administrator systemu,

ust. 1, udostępnia deklarację o spełnieniu wymagań określonych w ust. 3 oraz politykę certyfikacji: 1) w Biuletynie Informacji Publicznej albo 2) na stronie internetowej administratora - w przypadku podmiotów niezobowiązanych do udostępniania informacji publicznej w Biuletynie Informacji Publicznej. §

2. System teleinformatyczny przetwarzający dane dotyczące tożsamości użytkowników wykorzystywany przez podmioty publiczne do uwierzytelniania użytkowników w oparciu o inne technologie niż certyfikat: 1) rejestruje użytkowników; 2) potwierdza tożsamość użytkowników; 3) przechowuje i udostępnia dane identyfikacyjne użytkowników systemom autoryzującym uprawnionym do ich otrzymania; 4) umożliwia zablokowanie konta użytkownika na jego żądanie; 5) zapewnia rozliczalność, rozumianą jako przypisanie określonego działania w systemie do osoby fizycznej lub procesu oraz umiejscowienie ich w czasie; 6) zapewnia integralność, autentyczność i poufność danych identyfikacyjnych i uwierzytelniających użytkownika; 7) zapewnia codzienną synchronizację czasu systemowego z czasem uniwersalnym koordynowanym UTC(PL).
3. System,

ust. 1, przechowuje dane dotyczące tożsamości użytkownika przez okres 20 lat, licząc od dnia 1 stycznia roku następującego po roku, w którym wykonano w systemie ostatnią operację z użyciem tożsamości tego użytkownika. 3. System,

ust. 1, spełnia następujące warunki techniczne i organizacyjne w zakresie administrowania: 1) zapewnianie wiarygodności procesu rejestracji użytkowników i potwierdzania ich tożsamości; 2) utrzymywanie w aktualnym stanie dokumentacji operacyjnej i technicznej systemu, w celu zapewnienia jego bezpiecznej eksploatacji; 3) opracowywanie i ustanawianie, wdrażanie i eksploatowanie, monitorowanie i przeglądanie oraz utrzymywanie i doskonalenie systemu zarządzania bezpieczeństwem informacji spełniającego wymagania Polskiej Normy PN-EN ISO/IEC 27001,

przepisach wydanych na podstawie art. 18 ustawy. 4. Warunki określone w ust. 3 uważa się za spełnione, jeżeli: 1) system zarządzania bezpieczeństwem informacji,

ust. 3 pkt 3, został oceniony pozytywnie przez jednostkę oceniającą zgodność, zgodnie z ustawą z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (Dz. U. z 2019 r. poz. 544), albo 2) administrator systemu,

ust. 1, udostępnił deklarację o spełnieniu wymagań określonych w ust. 3:

1. a)w Biuletynie Informacji Publicznej albo
2. b)na stronie internetowej administratora - w przypadku podmiotów niezobowiązanych do udostępniania informacji publicznej w Biuletynie Informacji Publicznej. § 4. 1. System teleinformatyczny,

art. 20a ust. 2 ustawy, uwierzytelniając użytkowników, dokonuje weryfikacji tożsamości użytkowników, wykorzystując certyfikaty wydane w systemie,

§ 2ust.

1, lub usługi systemu,

§ 3ust.

1, oraz przechowuje dane potwierdzające tę weryfikację.

1. Dane potwierdzające weryfikację, o których mowa w ust. 1, umożliwiają w sposób jednoznaczny: 1) ustalenie tożsamości użytkownika, który dokonał czynności w postaci elektronicznej; 2) ustalenie czasu dokonania czynności; 3) stwierdzenie ważności uprawnień w momencie dokonania czynności. §
3. Zakres danych przetwarzanych w certyfikatach wydawanych w systemie,

§ 2ust.

1, w przypadku wydawania certyfikatów: 1) osobom fizycznym - jest zgodny z profilem certyfikatu określonym w normie PN-ETSI EN 319 412-2 lub nowszej; 2) osobom prawnym - jest zgodny z profilem certyfikatu określonym w normie PN-ETSI EN 319 412-3 lub nowszej. 2. Zakres danych przetwarzanych w systemie,

§ 3ust.

1, odnoszących się do tożsamości użytkowników jest odpowiedni do zakresu danych profilu zaufanego, określonego w przepisach wydanych na podstawie art. 20d ustawy. §

1. Systemy teleinformatyczne podmiotów realizujących zadania publiczne, służące do wydania certyfikatu oraz stosowania technologii, o których mowa w art. 20a ust. 2 ustawy, funkcjonujące w dniu wejścia w życie niniejszego rozporządzenia, należy dostosować do wymagań określonych w przepisach niniejszego rozporządzenia nie później niż do dnia 12 marca 2022 r. §
2. Rozporządzenie wchodzi w życie z dniem 12 marca 2020 r.2)Niniejsze rozporządzenie było poprzedzone rozporządzeniem Ministra Cyfryzacji z dnia 5 października 2016 r. w sprawie szczegółowych warunków organizacyjnych i technicznych, które powinien spełniać system teleinformatyczny służący do uwierzytelniania użytkowników (Dz. U. poz. 1627), które traci moc z dniem 11 marca 2020 r. na podstawie art. 61 ustawy z dnia 5 lipca 2018 r. o zmianie ustawy o usługach zaufania oraz identyfikacji elektronicznej oraz niektórych innych ustaw (Dz. U. poz. 1544 oraz z 2019 r. poz. 60 i 934). 1) Minister Cyfryzacji kieruje działem administracji rządowej - informatyzacja, na podstawie § 1 ust. 2 rozporządzenia Prezesa Rady Ministrów z dnia 18 listopada 2019 r. w sprawie szczegółowego zakresu działania Ministra Cyfryzacji (Dz. U. poz. 2270). 2) Niniejsze rozporządzenie było poprzedzone rozporządzeniem Ministra Cyfryzacji z dnia 5 października 2016 r. w sprawie szczegółowych warunków organizacyjnych i technicznych, które powinien spełniać system teleinformatyczny służący do uwierzytelniania użytkowników (Dz. U. poz. 1627), które traci moc z dniem 11 marca 2020 r. na podstawie art. 61 ustawy z dnia 5 lipca 2018 r. o zmianie ustawy o usługach zaufania oraz identyfikacji elektronicznej oraz niektórych innych ustaw (Dz. U. poz. 1544 oraz z 2019 r. poz. 60 i 934). Pokaż całość