potwierdzonego przez właściwą okręgową izbę lekarską lub Naczelną Izbę Lekarską w zakresie tożsamości osoby, która konto założyła. ” ;
\nWarunkiem dokonywania przez osoby określone w art. 31, art. 33 i art. 34 czynności za pomocą SMK jest potwierdzenie tożsamości osoby, która konto założyła, i weryfikacja uprawnień tej osoby.
\n3.
\nPotwierdzenia, o którym mowa w ust. 2, dokonuje się na podstawie wniosku o nadanie uprawnień:
\nWarunkiem dokonywania przez osoby określone w art. 39, art. 41 i art. 42 czynności za pomocą SMK jest potwierdzenie tożsamości osoby, która konto założyła, i weryfikacja uprawnień tej osoby.
\n3.
\nPotwierdzenia, o którym mowa w ust. 2, dokonuje się na podstawie wniosku o nadanie uprawnień:
\n(Dz. U. poz. 177) w art. 68 § 2 otrzymuje brzmienie: „
\nupominawczym przy wykorzystaniu kwalifikowanego podpisu elektronicznego. ” .
\n(Dz. U. poz. 195) w art. 13:
\nWniosek i załączniki do wniosku określone w ust. 4 składane w postaci elektronicznej za pomocą systemów teleinformatycznych, o których mowa w ust. 5 pkt 1, 2 i 4, opatruje się kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP lub uwierzytelnia w sposób zapewniający możliwość potwierdzenia pochodzenia i integralności weryfikowanych danych w postaci elektronicznej. ” ;
\nW przypadku wniosku składanego w postaci elektronicznej opatrzonego kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP lub uwierzytelnionego w sposób zapewniający możliwość potwierdzenia pochodzenia i integralności weryfikowanych danych w postaci elektronicznej, po wpisaniu do formularza wniosku numerów PESEL osoby występującej o przyznanie świadczenia wychowawczego i dzieci pozostających na utrzymaniu tej osoby, formularz wniosku może być uzupełniony o dane zgromadzone w rejestrze PESEL w zakresie imion, nazwiska, daty urodzenia, stanu cywilnego, obywatelstwa i płci osoby występującej o przyznanie świadczenia wychowawczego i dzieci pozostających na utrzymaniu tej osoby. ” .
\n(Dz. U. poz. 542 i 1228) w art. 23 ust. 4 otrzymuje brzmienie: „ 4.
\nWniosek złożony za pomocą środków komunikacji elektronicznej opatruje się kwalifikowanym podpisem elektronicznym. ” .
\nniektórych innych ustaw (Dz. U. poz. 1020) w art. 18 pkt 4 otrzymuje brzmienie: „
\npoz. 65, 352, 615, 780, 868, 903, 960, 1165 i 1228. m) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2015 r. poz. 1240, 1269, 1365, 1569, 1692, 1735, 1830, 1844, 1893, 1916, 1991 i 1994 oraz z 2016 r. poz. 65, 652, 960 i 1355. n) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2015 r. poz. 978, 1158, 1259, 1311, 1830, 1854, 1864 i 2281 oraz z 2016 r. poz. 615, 904, 996 i 1177. o) Zmiany wymienionej ustawy zostały ogłoszone w Dz. U. z 2013 r. poz. 888 i 1238, z 2014 r. poz. 695, 1101 i 1322 oraz z 2015 r. poz. 87, 122, 933, 1045, 1688, 1936 i 2281. p) Zmiany wymienionej ustawy zostały ogłoszone w Dz. U. z 2014 r. poz. 1888, z 2015 r. poz. 262, 1087, 1274 i 2281 oraz z 2016 r. poz. 1221.
\nZałącznik - Tekst jednolity ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej1)Niniejsza ustawa służy stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73).
\nPrzepisy ogólne
\n1.
\nUstawa określa:
\n1544), która weszła w życie z dniem 11 września 2018 r.) krajowy schemat identyfikacji elektronicznej;
\n1544), która weszła w życie z dniem 11 września 2018 r.) nadzór nad krajowym schematem identyfikacji elektronicznej.
\n2.
\nPrzepisów ustawy nie stosuje się do identyfikacji elektronicznej lub świadczenia usług zaufania wykorzystywanych wyłącznie w zamkniętych systemach wynikających z przepisów prawa, porozumień lub umów zawartych przez określoną grupę uczestników.
\nKrajowa infrastruktura zaufania
\nzaufania, która obejmuje:
\n1.
\nRejestr jest prowadzony w postaci elektronicznej.
\n2.
\nRejestr jest jawny. Każdy ma prawo dostępu do danych zawartych w rejestrze.
\n3.
\nDo rejestru wpisuje się dostawców usług zaufania, którzy mają siedzibę lub oddział na terytorium Rzeczypospolitej Polskiej, oraz usługi zaufania świadczone przez tych dostawców.
\n4.
\nDo rejestru wpisuje się:
\n1.
\nWpis do rejestru:
\n2.
\nWniosek o wpis, o którym mowa w ust. 1, zawiera dane i informacje, o których mowa w art. 3 ust. 4 pkt 1-7.
\n3.
\nMinister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej formularz wniosku o wpis, o którym mowa w ust. 1.
\n4.
\nDo wniosku o wpis, o którym mowa w ust. 1, dołącza się, w postaci elektronicznej:
\n5.
\nDo wniosku o wpis, o którym mowa w ust. 1, można dołączyć kopie dokumentów, o których mowa w ust. 4 pkt 1-3.
\n6.
\nMinister właściwy do spraw informatyzacji, po rozpatrzeniu wniosku, o którym mowa w ust. 1, wydaje decyzję o wpisie:
\n7.
\nDecyzja o wpisie, o której mowa w ust. 6, zawiera informacje podlegające wpisowi do rejestru.
\n1.
\nDecyzja, o której mowa w art. 4 ust. 6, jest podstawą do wydania certyfikatu, o którym mowa w art. 10 ust. 1 pkt 1, oraz dokonania wpisu na zaufaną listę i oznacza nadanie statusu kwalifikowanego dostawcy usług zaufania lub świadczonej przez niego usłudze.
\n2.
\nMinister właściwy do spraw informatyzacji prowadzi zaufaną listę.
\n1.
\nWpis do rejestru:
\n2.
\nNiekwalifikowany dostawca usług zaufania w zgłoszeniu, o którym mowa w ust. 1, zgłasza co najmniej informacje, o których mowa w art. 3 ust. 4 pkt 1-6.
\ndo spraw informatyzacji o:
\n1.
\nMinister właściwy do spraw informatyzacji wykreśla kwalifikowanego dostawcę usług zaufania lub świadczoną przez niego kwalifikowaną usługę zaufania z rejestru w drodze decyzji.
\n2.
\nDecyzja o wykreśleniu z rejestru kwalifikowanego dostawcy usług zaufania oznacza odebranie statusu kwalifikowanego temu dostawcy.
\n3.
\nDecyzja o wykreśleniu z rejestru kwalifikowanej usługi zaufania oznacza odebranie tej usłudze statusu kwalifikowanego.
\n4.
\nMinister właściwy do spraw informatyzacji wydaje decyzję o wykreśleniu z rejestru kwalifikowanego dostawcy usług zaufania lub świadczonej przez niego kwalifikowanej usługi zaufania w przypadku:
\n5.
\nDecyzja o wykreśleniu, o której mowa w ust. 1, jest podstawą wykreślenia dostawcy usług zaufania z zaufanej listy oraz może być podstawą do unieważnienia certyfikatów, o których mowa w art. 10 ust. 1 pkt 1.
\n6.
\nMinister właściwy do spraw informatyzacji wykreśla niekwalifikowanego dostawcę usług zaufania z rejestru w przypadku ustalenia, że zaprzestał on świadczenia usług zaufania.
\n1.
\nDecyzja o wykreśleniu kwalifikowanego dostawcy usług zaufania z rejestru oraz decyzja o wykreśleniu wpisu kwalifikowanej usługi zaufania z rejestru podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r. poz. 1302, 1467, 1544 i 1629) nie stosuje się.
\n2.
\nW przypadku wykreślenia dostawcy usług zaufania z rejestru w rejestrze pozostawia się informacje o dostawcy i świadczonych przez niego usługach.
\n1.
\nNarodowe centrum certyfikacji:
\n2.
\nNarodowe centrum certyfikacji realizuje zadania, o których mowa w ust. 1, zgodnie z polityką certyfikacji.
\n1.
\nNa wniosek Prezesa Narodowego Banku Polskiego, minister właściwy do spraw informatyzacji może upoważnić Narodowy Bank Polski do realizacji zadań, o których mowa w art. 10, jak również do prowadzenia rejestru i zaufanej listy.
\n2.
\nW przypadku upoważnienia do realizacji zadań, o których mowa w art. 10, polityka certyfikacji narodowego centrum certyfikacji podlega uzgodnieniu z ministrem właściwym do spraw informatyzacji.
\n3.
\nW przypadku upoważnienia do realizacji zadań, o których mowa w art. 10, minister właściwy do spraw informatyzacji przekazuje do Narodowego Banku Polskiego kopie dokumentów stanowiących podstawę wpisu do rejestru lub wykreślenia z rejestru albo zmian wpisów w rejestrze.
\nDziałalność dostawców usług zaufania
\n1.
\nKwalifikowany dostawca usług zaufania jest obowiązany zawrzeć umowę ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone odbiorcom usług zaufania powstałe w okresie świadczenia usług zaufania, w terminie 30 dni od dnia dokonania wpisu kwalifikowanej usługi zaufania do rejestru, nie później niż jeden dzień przed dniem rozpoczęcia świadczenia tej usługi.
\n2.
\nKwalifikowany dostawca usług zaufania jest obowiązany, w terminie 30 dni od dnia doręczenia decyzji o wpisie do rejestru, przekazać ministrowi właściwemu do spraw informatyzacji, drogą elektroniczną, kopię umowy, o której mowa w ust. 1.
\n3.
\nKwalifikowany dostawca usług zaufania jest obowiązany, w terminie 7 dni od dnia upływu okresu ubezpieczenia, przekazać ministrowi właściwemu do spraw informatyzacji, drogą elektroniczną, kopię kolejnej umowy ubezpieczenia.
\n4.
\nMinister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, szczegółowy zakres ubezpieczenia, o którym mowa w ust. 1, oraz minimalną sumę gwarancyjną, uwzględniając specyfikę działalności prowadzonej przez kwalifikowanych dostawców usług zaufania.
\nKwalifikowany dostawca usług zaufania, wydając kwalifikowany certyfikat podpisu elektronicznego, jest obowiązany:
\n1.
\nInformacje i dane związane ze świadczeniem usług zaufania, których ujawnienie mogłoby narazić na szkodę dostawcę usług zaufania lub odbiorcę usług zaufania, w szczególności dane do składania podpisów elektronicznych lub pieczęci elektronicznych, są objęte tajemnicą.
\n2.
\nTajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania oraz informacje o naruszeniach bezpieczeństwa i utracie integralności, o których mowa w art. 19 ust. 2 rozporządzenia 910/2014.
\n3.
\nDo zachowania tajemnicy, o której mowa w ust. 1, są obowiązane:
\n4.
\nOsoby, o których mowa w ust. 3, mają obowiązek udzielenia informacji i danych, o których mowa w ust. 1, z wyjątkiem danych do składania podpisów elektronicznych lub pieczęci elektronicznych, wyłącznie na żądanie:
\n5.
\nObowiązek zachowania tajemnicy, o której mowa w ust. 1, trwa przez 10 lat od dnia ustania stosunku prawnego, o którym mowa w ust. 3.
\n6.
\nObowiązek zachowania w tajemnicy danych do składania podpisu elektronicznego lub pieczęci elektronicznej jest nieograniczony w czasie.
\nza pomocą certyfikatu dostawcy usług zaufania służą do opatrywania podpisem elektronicznym lub pieczęcią elektroniczną:
\n1.
\nKwalifikowany dostawca usług zaufania przechowuje następujące dokumenty i dane związane ze świadczeniem usług zaufania:
\n2.
\nKwalifikowany dostawca usług zaufania jest obowiązany przechowywać dokumenty i dane, o których mowa w ust. 1, z wyłączeniem danych służących do składania podpisu elektronicznego lub pieczęci elektronicznej, przez 20 lat od dnia ich wytworzenia.
\n1.
\nPodpis elektroniczny lub pieczęć elektroniczna weryfikowane za pomocą certyfikatu wywołują skutki prawne, jeżeli zostały złożone w okresie ważności tego certyfikatu.
\n2.
\nPodpis elektroniczny lub pieczęć elektroniczna złożone w okresie zawieszenia certyfikatu wykorzystywanego do jego weryfikacji nie wywołują skutków prawnych. Informacja o zawieszeniu certyfikatu jest udostępniana w ramach usługi informowania o statusie certyfikatu.
\n3.
\nPo uchyleniu zawieszenia certyfikatu, skutek prawny podpisu elektronicznego lub pieczęci elektronicznej weryfikowanych tym certyfikatem złożonych w trakcie zawieszenia następuje z chwilą uchylenia tego zawieszenia.
\n1.
\nDostawca usług zaufania jest obowiązany posiadać politykę świadczenia usługi.
\n2.
\nPolityka świadczenia usługi stanowi nazwany zestaw reguł, w szczególności takich jak polityka certyfikacji, określający zasady świadczenia usługi, odpowiedzialność stron, zasady postępowania z danymi i mający zastosowanie do określonego kręgu podmiotów lub zastosowań, o wspólnych dla tego kręgu wymaganiach bezpieczeństwa, opracowywany na podstawie norm lub standardów określających wymagania dla polityk świadczenia usług.
\n3.
\nKwalifikowany dostawca usług zaufania jest obowiązany posiadać plan zakończenia działalności oraz zastosować ten plan do zakończenia działalności.
\n4.
\nKwalifikowany dostawca usług zaufania zapewnia możliwość całodobowego zgłaszania żądań unieważnienia kwalifikowanych certyfikatów.
\n1.
\nW przypadku gdy kwalifikowany dostawca usług zaufania utracił status kwalifikowany i żaden inny kwalifikowany dostawca usług zaufania nie przejął jego działalności w zakresie świadczenia usług zaufania, przekazuje on dokumenty i dane, o których mowa w art. 17 ust. 1, ministrowi właściwemu do spraw informatyzacji w terminie 30 dni od dnia utraty statusu kwalifikowanego.
\n2.
\nMinister właściwy do spraw informatyzacji przechowuje dokumenty i dane, o których mowa w art. 17 ust. 1, do końca okresu, o którym mowa w art. 17 ust. 2.
\n3.
\nKwalifikowany dostawca usług zaufania niszczy niezwłocznie dane do składania przez niego zaawansowanego podpisu elektronicznego lub zaawansowanej pieczęci elektronicznej weryfikowanych za pomocą certyfikatu dostawcy usług zaufania, w przypadku gdy polityka świadczenia usługi nie przewiduje dalszego wykorzystania tych danych lub w przypadku unieważnienia certyfikatu dostawcy usług zaufania powiązanego z tymi danymi.
\n4.
\nKwalifikowany dostawca usług zaufania z czynności, o których mowa w ust. 3, sporządza protokół zniszczenia danych i przekazuje go ministrowi właściwemu do spraw informatyzacji w terminie 7 dni od wykonania tych czynności.
\nodbiorcę usług zaufania zasad określonych w polityce świadczenia usługi, w szczególności za szkody wynikające z:
\nKrajowy schemat identyfikacji elektronicznej
\nArt. 21a4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nKrajowy schemat identyfikacji elektronicznej obejmuje:
\n2.
\nWęzeł krajowy jest rozwiązaniem organizacyjno-technicznym umożliwiającym uwierzytelnianie użytkownika systemu teleinformatycznego, korzystającego z usługi online, z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej przyłączonym do tego węzła bezpośrednio albo za pośrednictwem węzła transgranicznego.
\n3.
\nWykorzystywanie środka identyfikacji elektronicznej do uwierzytelnienia użytkownika systemu teleinformatycznego w celu realizacji usługi online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000, 1544 i 1669), lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, jest nieodpłatne.
\n4.
\nUwierzytelnienie użytkownika systemu teleinformatycznego w celu realizacji usługi online wymaga użycia środka identyfikacji elektronicznej na poziomie bezpieczeństwa określonym przez podmiot świadczący tę usługę.
\n5.
\nFunkcjonowanie węzła krajowego zapewnia minister właściwy do spraw informatyzacji.
\n6.
\nMinister właściwy do spraw informatyzacji przetwarza dane osobowe osób, którym wydano środki identyfikacji elektronicznej, obejmujące:
\nArt. 21b4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nMinister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po:
\n2.
\nPrzyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje pod warunkiem dostarczenia ministrowi właściwemu do spraw informatyzacji przez podmiot odpowiedzialny za system identyfikacji elektronicznej, w terminie wskazanym przez tego ministra, nie krótszym niż 30 dni, kopii umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy.
\n3.
\nPo spełnieniu warunku, o którym mowa w ust. 2, przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje bez zbędnej zwłoki.
\nArt. 21c4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nUbezpieczeniem, o którym mowa w art. 21b ust. 2, jest objęta odpowiedzialność cywilna podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkodę wynikającą z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej, w usłudze online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej.
\n2.
\nUbezpieczenie, o którym mowa w art. 21b ust. 2, nie obejmuje szkód:
\n3.
\nUbezpieczenie, o którym mowa w art. 21b ust. 2, obejmuje wszystkie szkody w zakresie, o którym mowa w ust. 1 i 2, bez możliwości umownego ograniczenia odpowiedzialności przez zakład ubezpieczeń.
\nArt. 21d4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nMinister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, minimalną sumę gwarancyjną ubezpieczenia, o którym mowa w art. 21b ust. 2, za szkody wynikające z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. I ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowane przez awarie, przerwy lub błędy systemu lub przez zaciągnięcie zobowiązań w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, uwzględniając specyfikę działalności prowadzonej przez podmioty odpowiedzialne za systemy identyfikacji elektronicznej.
\n2.
\nMinister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji określi, w drodze rozporządzenia, wysokość kwot odpowiedzialności podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkody wynikające z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowane przez awarie, przerwy lub błędy systemu lub za zobowiązanie zaciągnięte w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, w zależności od poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie.
\nArt. 21e4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nOsoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, jest obowiązana:
\n2.
\nW celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, z chwilą wydania tego środka podejmuje niezbędne działania służące zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego środka lub danych umożliwiających identyfikację przy użyciu tego środka.
\nArt. 21f4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nW przypadku zgłoszenia, o którym mowa w art. 21e ust. 1 pkt 2, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, po dokonaniu zgłoszenia nie ponosi odpowiedzialności za zobowiązanie zaciągnięte z wykorzystaniem środka identyfikacji elektronicznej.
\nArt. 21g4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPrzyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za system identyfikacji elektronicznej.
\n2.
\nWniosek zawiera:
\n3.
\nDo wniosku dołącza się:
\n3 rozporządzenia 910/2014
\n39b ust. 1 pkt 3;
\n4.
\nWniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym.
\n5.
\nMinister właściwy do spraw informatyzacji informuje Szefa Agencji Bezpieczeństwa Wewnętrznego o wpłynięciu wniosku, o którym mowa w ust. 1, w celu umożliwienia Szefowi Agencji Bezpieczeństwa Wewnętrznego dokonania oceny, czy podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, znajdują się pod kontrolą korporacyjną, w tym faktycznym wpływem innego państwa, jego podmiotu lub obywatela tego państwa, a w przypadku znajdowania się pod taką kontrolą, w celu ustalenia, czy może zagrażać bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa.
\n6.
\nSzef Agencji Bezpieczeństwa Wewnętrznego może przeprowadzić postępowanie w celu dokonania oceny, o której mowa w ust. 5, o czym informuje ministra właściwego do spraw informatyzacji w terminie 7 dni od dnia otrzymania informacji o wpłynięciu wniosku.
\n7.
\nKontrolą korporacyjną, o której mowa w ust. 5, są wszelkie formy bezpośredniego lub pośredniego uzyskania przez podmiot uprawnień, które osobno albo łącznie, przy uwzględnieniu wszystkich okoliczności prawnych i faktycznych, umożliwiają wywieranie decydującego wpływu na podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, a w szczególności w przypadku:
\n8.
\nW przypadku wszczęcia przez Szefa Agencji Bezpieczeństwa Wewnętrznego postępowania w celu dokonania oceny, o której mowa w ust. 5, minister właściwy do spraw informatyzacji wzywa podmiot odpowiedzialny za system identyfikacji elektronicznej do przekazania danych niezbędnych do przeprowadzenia postępowania w stosunku do tego podmiotu lub podmiotu, o którym mowa w ust. 2 pkt 2.
\n9.
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej na żądanie ministra właściwego do spraw informatyzacji obowiązany jest przekazać dane i dokumenty niezbędne do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5.
\n10.
\nAgencja Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania w celu dokonania oceny, o której mowa w ust. 5, wydaje pozytywną opinię, jeżeli podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2:
\n11.
\nSzef Agencji Bezpieczeństwa Wewnętrznego wydaje negatywną opinię w przypadku niespełnienia odpowiednio przez podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, warunków, o których mowa w ust. 10.
\n12.
\nOpinia Szefa Agencji Bezpieczeństwa Wewnętrznego zawiera oddzielnie stanowisko w stosunku do każdego z ocenianych podmiotów.
\n13.
\nRada Ministrów określi, w drodze rozporządzenia, zakres danych i dokumentów niezbędnych do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5, mając na uwadze potrzebę zapewnienia kompletności danych i dokumentów niezbędnych do wydania opinii oraz zapewnienie sprawności postępowania.
\n14.
\nTermin postępowania w sprawie przeprowadzenia oceny, o której mowa w ust. 5, wynosi 30 dni od otrzymania danych i dokumentów niezbędnych do przeprowadzenia postępowania i może zostać wydłużony o kolejne 30 dni w przypadkach szczególnie uzasadnionych.
\nOkresu przeprowadzenia postępowania nie wlicza się do terminów przewidzianych na wydanie decyzji, o której mowa w art. 21b ust. 1.
\nArt. 21h4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nMinister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których mowa w art. 21b ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.
\nArt. 21i4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nMinister właściwy do spraw informatyzacji informuje podmiot odpowiedzialny za system identyfikacji elektronicznej na piśmie, w postaci papierowej albo elektronicznej, o:
\nArt. 21j4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nW przypadku niespełniania wymagań, o których mowa w art. 21b ust. 1, minister właściwy do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu identyfikacji elektronicznej do węzła krajowego.
\nArt. 21k4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego dostarcza ministrowi właściwemu do spraw informatyzacji:
\n3 pkt 1, w przypadku zmiany przepisów wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, w terminie 14 dni od dnia wejścia w życie zmiany tych przepisów;
\nArt. 21l4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPonowne złożenie wniosku, o którym mowa w art. 21g ust. 1, wymagane jest w przypadku:
\n2.
\nUmożliwienie korzystania za pośrednictwem węzła krajowego ze środków identyfikacji elektronicznej, o których mowa w ust. 1, następuje po pozytywnym rozpatrzeniu wniosku i przeprowadzeniu testów integracyjnych.
\nArt. 21m4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nDo węzła krajowego przyłącza się system teleinformatyczny zapewniający obsługę publicznego systemu identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.
\nArt. 21n4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nMinister właściwy do spraw informatyzacji prowadzi rejestr systemów identyfikacji elektronicznej przyłączonych do węzła krajowego, zwany dalej „rejestrem systemów”.
\n2.
\nRejestr systemów jest jawny.
\n3.
\nPodstawą do wpisania systemu identyfikacji elektronicznej do rejestru systemów jest decyzja, o której mowa w art. 21b ust. 1. Wpis jest czynnością materialno-techniczną.
\n4.
\nDo rejestru systemów wpisuje się:
\nArt. 21o4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nInformacje i dane zawarte w dokumentach potwierdzających spełnianie wymagań, o których mowa w art. 21b ust. 1, których ujawnienie mogłoby narazić na szkodę podmiot odpowiedzialny za system identyfikacji elektronicznej, objęte są tajemnicą.
\n2.
\nInformacje i dane objęte tajemnicą udostępnia się wyłącznie na żądanie:
\nArt. 21p4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego:
\n2.
\nCzynności, o których mowa w ust. 1 pkt 2-5 i 7, mogą wykonywać podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej, spełniające wymogi określone w art. 21b ust. 1 pkt 1, 3 i 5, o ile posiadają siedzibę na terenie jednego z państw członkowskich Unii Europejskiej. Odpowiedzialność za czynności wykonywane przez podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej ponosi podmiot odpowiedzialny za system identyfikacji elektronicznej.
\n3.
\nPodmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej stosują politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt 3.
\nArt. 21q4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej przetwarza dane osobowe osób, którym w tym systemie wydano środki identyfikacji elektronicznej, obejmujące:
\n2.
\nPodmiot, o którym mowa w art. 21p, inny niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, zapewniając możliwość uwierzytelniania w usługach online, nie może pozyskiwać, przechowywać oraz przetwarzać danych dotyczących realizacji tych usług, innych niż dane niezbędne do zrealizowania procesu uwierzytelnienia.
\nArt. 21r4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nW przypadku gdy nastąpi naruszenie bezpieczeństwa systemu identyfikacji elektronicznej przyłączonego do węzła krajowego lub części środków identyfikacji elektronicznej wydanych w tym systemie, mogące mieć wpływ na rozliczalność i niezaprzeczalność działań wykonywanych z wykorzystaniem tego systemu lub części środków identyfikacji elektronicznej wydanych w tym systemie, podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego niezwłocznie zawiesza możliwość uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej, których dotyczy naruszenie bezpieczeństwa.
\n2.
\nPo usunięciu naruszenia bezpieczeństwa systemu identyfikacji elektronicznej lub zawieszonej części środków identyfikacji elektronicznej podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego przywraca możliwość uwierzytelniania za pomocą środków identyfikacji elektronicznej, których dotyczyło zawieszenie.
\nArt. 21s4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego informuje ministra właściwego do spraw informatyzacji o:
\n2.
\nMinister właściwy do spraw informatyzacji po otrzymaniu danych, o których mowa w ust.
\n1, przekazuje je Szefowi Agencji Bezpieczeństwa Wewnętrznego, jeżeli istnieją uzasadnione przesłanki pozwalające wnioskować, iż zmiany tych danych mogą mieć wpływ na bezpieczeństwo publiczne, bezpieczeństwo państwa lub zagrażają w sposób bezpośredni bezpieczeństwu systemów teleinformatycznych państwa.
\n3.
\nSzef Agencji Bezpieczeństwa Wewnętrznego, w przypadku powzięcia informacji o okolicznościach prawnych lub faktycznych dotyczących struktury właścicielskiej podmiotu odpowiedzialnego za system identyfikacji elektronicznej lub podmiotu, o którym mowa w art. 21g ust.
\n2 pkt 2, które mogą zagrozić bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa, przeprowadza postępowanie w tej sprawie. Do postępowania stosuje się odpowiednio przepisy art. 21g ust. 5-13.
\n4.
\nSzef Agencji Bezpieczeństwa Wewnętrznego przeprowadza postępowanie, o którym mowa w ust. 3, również na polecenie Prezesa Rady Ministrów lub ministra członka Rady Ministrów właściwego do spraw koordynowania działalności służb specjalnych.
\n5.
\nSzef Agencji Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania przekazuje opinię ministrowi właściwemu do spraw informatyzacji.
\n6.
\nMinister właściwy do spraw informatyzacji przekazuje opinię podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej.
\nArt. 21t4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nMinister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu do węzła krajowego systemu teleinformatycznego, w którym udostępniane są usługi online, po:
\n2.
\nOcena interesu faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo i interes publiczny.
\nArt. 21u4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\n1.
\nPrzyłączenie systemu, o którym mowa w art. 21t ust. 1, do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za ten system.
\n2.
\nWniosek zawiera nazwę podmiotu odpowiedzialnego za system albo jego imię i nazwisko oraz wskazanie adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej albo adresu zamieszkania.
\n3.
\nDo wniosku dołącza się:
\n39b ust. 1 pkt 3;
\n4.
\nWniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym.
\nArt. 21v4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nMinister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których mowa w art. 21t ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.
\nArt. 21w4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nPodmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi online, przyłączony do węzła krajowego, niezwłocznie informuje ministra właściwego do spraw informatyzacji o każdej zmianie danych zawartych w liście usług, o której mowa w art. 21u ust. 3 pkt 3.
\nArt. 21x4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nMinister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej informację o przyłączonych do węzła krajowego systemach teleinformatycznych, w którym udostępniane są usługi online.
\nArt. 21y4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nW przypadku niespełniania wymagań, o których mowa w art. 21t ust. 1, minister właściwy do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu teleinformatycznego, w którym udostępniane są usługi online, do węzła krajowego.
\nArt. 21z4)Dodany przez art. 1 pkt 3 ustawy, o której mowa w odnośniku 2..
\nDo węzła krajowego przyłącza się elektroniczną platformę usług administracji publicznej.
\n2; wszedł w życie z dniem 29 września 2018 r..
\nMinister właściwy do spraw informatyzacji zapewnia funkcjonowanie węzła transgranicznego, zgodnie z rozporządzeniem 910/2014.
\nDo notyfikacji, o której mowa w art. 9 rozporządzenia 910/2014, mogą być zgłaszane wyłącznie systemy identyfikacji elektronicznej przyłączone do węzła krajowego, jeżeli zostało potwierdzone spełnienie warunków, o których mowa w art. 7 tego rozporządzenia.
\nNotyfikowany system identyfikacji elektronicznej jest przyłączany do węzła transgranicznego za pośrednictwem węzła krajowego.
\nna rzecz współpracy z państwami członkowskimi Unii Europejskiej w sprawach dotyczących systemów identyfikacji elektronicznej, prowadzonej zgodnie z art. 12 ust. 5 i 6 rozporządzenia 910/2014, w szczególności zapewniając obsługę pojedynczego punktu kontaktowego, o którym mowa w przepisach wykonawczych wydanych na podstawie art. 12 ust. 7 tego rozporządzenia.
\n2; wszedł w życie z dniem 29 września 2018 r..
\nWniosek o notyfikowanie systemu identyfikacji elektronicznej w Komisji Europejskiej składa do ministra właściwego do spraw informatyzacji podmiot odpowiedzialny za ten system.
\n2.
\nDo wniosku, o którym mowa w ust. 1, załącza się formularz notyfikacji systemu identyfikacji elektronicznej zgodny ze wzorem określonym w przepisach wykonawczych wydanych na podstawie art. 9 ust. 5 rozporządzenia 910/2014.
\nMinister właściwy do spraw informatyzacji może zgłosić system identyfikacji elektronicznej do przeprowadzenia wzajemnej oceny, o której mowa w art. 12 ust. 6 lit. c rozporządzenia 910/2014, po pozytywnym zweryfikowaniu wniosku, o którym mowa w ust. 1, biorąc pod uwagę warunki kwalifikowania się systemu do notyfikowania wskazane w art. 7 tego rozporządzenia oraz politykę państwa w zakresie identyfikacji elektronicznej.
\nMinister właściwy do spraw informatyzacji zgłasza system identyfikacji elektronicznej do notyfikacji, o której mowa w art. 9 rozporządzenia 910/2014, biorąc pod uwagę wynik wzajemnej oceny, o której mowa w przepisach wykonawczych wydanych na podstawie art.
\n12 ust. 7 tego rozporządzenia.
\n5.
\nMinister właściwy do spraw informatyzacji może powierzyć wykonywanie zadań, o których mowa w ust. 3 i 4, podmiotowi publicznemu w rozumieniu art. 2 ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.
\nw życie z dniem 29 września 2018 r..
\nPodmioty odpowiedzialne za systemy teleinformatyczne, w których udostępniane są usługi online, przyłączane do węzła krajowego określają wymagane poziomy bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 8 ust. 2 rozporządzenia 910/2014, niezbędne dla realizacji tych usług.
\n1.
\nObowiązki, o których mowa w art. 10 rozporządzenia 910/2014, wykonuje minister właściwy do spraw informatyzacji.
\nInformacje dotyczące naruszenia bezpieczeństwa notyfikowanego systemu identyfikacji elektronicznej albo uwierzytelnienia, o którym mowa w art. 10 rozporządzenia 910/2014, podmiot odpowiedzialny za ten system przekazuje niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia naruszenia, drogą elektroniczną, ministrowi właściwemu do spraw informatyzacji.
\nNadzór nad dostawcami usług zaufania
\n1.
\nNadzór nad dostawcami usług zaufania sprawuje minister właściwy do spraw informatyzacji.
\n2.
\nW zakresie nadzoru, o którym mowa w ust. 1, minister właściwy do spraw informatyzacji:
\n3.
\nDecyzja, o której mowa w ust. 2 pkt 5, podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.
\nDostawca usługi zaufania, na żądanie ministra właściwego do spraw informatyzacji, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych, jest obowiązany udzielać informacji lub udostępniać dokumenty, które są bezpośrednio związane ze świadczonymi usługami zaufania lub mają wpływ na świadczone usługi zaufania, w tym dotyczą zarządzania incydentami związanymi z usługą zaufania.
\n1.
\nW przypadku odebrania kwalifikowanemu dostawcy usług zaufania statusu kwalifikowanego lub statusu kwalifikowanego świadczonej przez niego usłudze zaufania minister właściwy do spraw informatyzacji, w drodze decyzji, może unieważnić odpowiednie certyfikaty dostawcy usług zaufania, wydane temu dostawcy.
\n2.
\nUnieważniając certyfikaty dostawcy usług zaufania, minister właściwy do spraw informatyzacji bierze pod uwagę stopień zagrożenia bezpieczeństwa świadczenia usług zaufania, możliwość usunięcia tego zagrożenia w inny sposób oraz pewność obrotu.
\ndostawca usług zaufania prowadzi działalność niezgodnie z przepisami o usługach zaufania, może:
\n1.
\nAudytorzy organu nadzoru oraz obserwatorzy organu nadzoru odpowiednio przeprowadzają audyt albo biorą udział w przeprowadzeniu audytu na podstawie imiennego upoważnienia wydanego przez ministra właściwego do spraw informatyzacji.
\n2.
\nAudytorzy organu nadzoru i obserwatorzy organu nadzoru nie mogą prowadzić działalności gospodarczej w zakresie świadczenia usług zaufania, świadczyć usług zaufania, być wspólnikami albo akcjonariuszami dostawcy usług zaufania ani wykonywać obowiązków osoby reprezentującej lub członka rady nadzorczej albo komisji rewizyjnej tego dostawcy, a także pozostawać z tym dostawcą w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze.
\n1.
\nAudytorzy organu nadzoru są uprawnieni do:
\n2.
\nUpoważniony przedstawiciel audytowanego kwalifikowanego dostawcy usług zaufania udziela wyjaśnień lub przedkłada, na żądanie audytora organu nadzoru, dokumenty i inne materiały niezbędne do przeprowadzenia audytu.
\n3.
\nPrzepisy ust. 1 pkt 1-4 stosuje się do obserwatorów organu nadzoru.
\n910/2014 wykażą niezgodność z przepisami o usługach zaufania, minister właściwy do spraw informatyzacji, po zapoznaniu się z zastrzeżeniami oraz wyjaśnieniami zgłoszonymi przez dostawcę usług zaufania, może wydać decyzję nakładającą na tego dostawcę obowiązek usunięcia stwierdzonych niezgodności w terminie nie krótszym niż 14 dni.
\nzachowania w tajemnicy informacji uzyskanych w związku z przeprowadzanym audytem, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych.
\nustawę - Prawo przedsiębiorców oraz inne ustawy dotyczące działalności gospodarczej (Dz. U. poz. 650), która weszła w życie z dniem 30 kwietnia 2018 r..
\nW sprawach nieuregulowanych w ustawie, do przeprowadzenia audytu dostawców usług zaufania przez audytorów organu nadzoru stosuje się odpowiednio przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. poz. 646, 1479, 1629, 1633 i 2212), z wyłączeniem przepisu art. 55 ust. 1 tej ustawy.
\n1.
\nMinister właściwy do spraw informatyzacji może wyznaczyć podmiot badający zgodność kwalifikowanych urządzeń do składania podpisu elektronicznego lub pieczęci elektronicznej z wymogami, o których mowa w załączniku II do rozporządzenia 910/2014.
\n2.
\nMinister właściwy do spraw informatyzacji przekazuje Komisji Europejskiej nazwę i adres wyznaczonego podmiotu, o którym mowa w ust. 1.
\ninnych państw członkowskich Unii Europejskiej w celu prowadzenia wspólnych postępowań, o których mowa w art. 18 ust. 3 rozporządzenia 910/2014.
\nw art. 19 ust. 2 rozporządzenia 910/2014, ustala sposób zgłaszania drogą elektroniczną przypadków naruszenia bezpieczeństwa lub utraty integralności, które mają znaczący wpływ na świadczoną usługę zaufania lub przetwarzane w jej ramach dane osobowe.
\nNadzór nad krajowym schematem identyfikacji elektronicznej
\ndo spraw informatyzacji.
\n1.
\nW ramach nadzoru minister właściwy do spraw informatyzacji:
\n2.
\nW ramach działań zapobiegających naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji elektronicznej minister właściwy do spraw informatyzacji:
\n1.
\nW przypadku naruszenia polityki bezpieczeństwa węzła krajowego lub niespełniania wymagań, o których mowa w art. 21b ust. 1, dotyczących systemu identyfikacji elektronicznej przyłączonego do węzła krajowego, w zakresie mającym wpływ na wiarygodność uwierzytelnienia z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie, minister właściwy do spraw informatyzacji wydaje decyzję o zawieszeniu:
\n2.
\nMinister właściwy do spraw informatyzacji wydaje decyzję o przywróceniu możliwości korzystania z systemu identyfikacji elektronicznej lub zawieszonej części środków identyfikacji elektronicznej niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za system identyfikacji elektronicznej potwierdzenia usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1.
\n3.
\nDecyzja, o której mowa w ust. 1, podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.
\nelektronicznej od węzła krajowego i odłącza ten system od węzła krajowego w przypadku:
\n21r ust. 1, lub możliwości korzystania z systemu, o której mowa w art. 39c ust. 1, w terminie 3 miesięcy od dnia jego zawieszenia;
\n1.
\nDecyzja o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego jest podstawą do wykreślenia tego systemu z rejestru systemów.
\n2.
\nDecyzja podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.
\nwłaściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem systemu identyfikacji elektronicznej, w tym dotyczą naruszeń, o których mowa w art. 21r ust. 1 lub art. 39c ust. 1.
\n1.
\nW przypadku naruszenia polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3, lub niespełniania wymagań, o których mowa w art. 21t ust. 1, dotyczących systemu teleinformatycznego, w którym udostępniane są usługi online, przyłączonego do węzła krajowego, w zakresie mającym wpływ na bezpieczeństwo uwierzytelnienia z wykorzystaniem węzła krajowego, minister właściwy do spraw informatyzacji zawiesza w tym systemie możliwość uwierzytelniania z wykorzystaniem węzła krajowego.
\n2.
\nMinister właściwy do spraw informatyzacji przywraca możliwość uwierzytelniania z wykorzystaniem węzła krajowego w systemie teleinformatycznym, w którym udostępniane są usługi online, niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za ten system potwierdzenia usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1.
\nMinister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu teleinformatycznego, w którym udostępniane są usługi online, i odłącza ten system od węzła krajowego w przypadku:
\nonline, na żądanie ministra właściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem tego systemu, w tym dotyczą naruszeń, o których mowa w art. 39g ust. 1.
\n1.
\nKontrola, o której mowa w art. 39b ust. 1 pkt 1, jest przeprowadzana przez osoby upoważnione przez ministra właściwego do spraw informatyzacji.
\n2.
\nOsoby, o których mowa w ust. 1, są uprawnione do:
\ndo spraw informatyzacji, po zapoznaniu się z zastrzeżeniami oraz wyjaśnieniami zgłoszonymi przez podmiot kontrolowany, może wydać decyzję nakładającą obowiązek usunięcia stwierdzonych niezgodności w terminie nie krótszym niż 14 dni.
\nw art. 39b ust. 1 pkt 1, stosuje się odpowiednio przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców.
\nPrzepisy karne
\n1.
\nKto składa kwalifikowany podpis elektroniczny lub zaawansowany podpis elektroniczny z wykorzystaniem danych do składania podpisu elektronicznego przyporządkowanych do innej osoby, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\n2.
\nTej samej karze podlega, kto składa kwalifikowaną pieczęć elektroniczną lub zaawansowaną pieczęć elektroniczną, nie będąc do tego uprawnionym.
\nArt. 40a14)Dodany przez art. 1 pkt 9 ustawy, o której mowa w odnośniku 2..
\nKto posługuje się cudzym środkiem identyfikacji elektronicznej, wydawanym w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, w celu uzyskania nieuprawnionego dostępu do usługi online, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\nzaawansowanego podpisu elektronicznego lub pieczęci elektronicznej lub inne dane, które mogłyby służyć do ich odtworzenia, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\nArt. 41a15)Dodany przez art. 1 pkt 10 ustawy, o której mowa w odnośniku 2..
\nKto bez uprawnienia kopiuje lub przechowuje nieprzyporządkowane do niego dane pozwalające na identyfikowanie się z wykorzystaniem środka identyfikacji elektronicznej, wydawanym w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\n1.
\nKto, świadcząc usługi zaufania, wydaje certyfikat zawierający nieprawdziwe dane w celu popełnienia czynu zabronionego, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\n2.
\nTej samej karze podlega, kto składa podpis elektroniczny lub pieczęć elektroniczną weryfikowane certyfikatem, o którym mowa w ust. 1, w celu popełnienia czynu zabronionego.
\n1.
\nKto, będąc obowiązanym do zachowania tajemnicy związanej ze świadczeniem usług zaufania, ujawnia lub wykorzystuje, wbrew warunkom określonym w przepisach o usługach zaufania, informacje objęte tą tajemnicą, podlega grzywnie.
\n2.
\nJeżeli sprawca dopuszcza się czynu określonego w ust. 1 jako kwalifikowany dostawca usług zaufania albo w celu osiągnięcia korzyści majątkowej lub osobistej, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\nKto wydaje środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego osobie nieuprawnionej, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.
\nw tych przepisach, działając w imieniu lub w interesie innej osoby fizycznej, osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej.
\nPrzepisy o karach pieniężnych
\nKary pieniężne, o których mowa w art. 46, art. 47a i art. 47b, nakłada, w drodze decyzji, minister właściwy do spraw informatyzacji.
\n2.
\nWysokość kary pieniężnej, o której mowa w art. 46:
\nArt. 47a18)Dodany przez art. 1 pkt 13 ustawy, o której mowa w odnośniku 2..
\nKto w sposób nieuprawniony gromadzi, przetwarza lub powiela dane dotyczące wykorzystania środka identyfikacji elektronicznej, wydanego w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, podlega karze pieniężnej w wysokości do 1 000 000 zł.
\nArt. 47b18)Dodany przez art. 1 pkt 13 ustawy, o której mowa w odnośniku 2..
\nPodmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego, który w wyniku świadomego działania lub zaniechania dopuścił w swoim systemie identyfikacji elektronicznej do uwierzytelnienia z wykorzystaniem środka identyfikacji elektronicznej, co do którego posiada wiedzę, że nie pozostaje on pod wyłączną kontrolą osoby, której ten środek wydano, podlega karze pieniężnej w wysokości do 1 000 000 zł.
\ndo spraw informatyzacji uwzględnia zakres, czas trwania i skutki naruszenia wymagań, o których mowa w przepisach o usługach zaufania.
\nDo kar pieniężnych stosuje się odpowiednio przepisy działu III i IV ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2018 r. poz. 800, z późn. zm.19)Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2018 r. poz. 650, 723, 771, 1000, 1039, 1075, 1499, 1540, 1544, 1629, 1693, 2126, 2193 i 2244.).
\nZmiany w przepisach
\n(pominięte)20)Zamieszczone w obwieszczeniu.
\nPrzepisy przejściowe
\nw rozumieniu ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. z 2013 r. poz. 262, z 2014 r. poz. 1662 oraz z 2015 r. poz. 1893) jest kwalifikowanym podpisem elektronicznym w rozumieniu niniejszej ustawy.
\n1.
\nZaświadczenia certyfikacyjne, poświadczenia elektroniczne i certyfikaty wydane zgodnie z przepisami ustawy z dnia 18 września 2001 r. o podpisie elektronicznym zachowują ważność przez okres w nich wskazany, o ile nie zostaną unieważnione.
\n2.
\nDo zaświadczeń certyfikacyjnych, poświadczeń elektronicznych i certyfikatów, o których mowa w ust. 1, stosuje się odpowiednio przepisy dotyczące certyfikatów krajowych dostawców usług zaufania oraz narodowego centrum certyfikacji.
\n1.
\nRejestr kwalifikowanych podmiotów świadczących usługi certyfikacyjne, o którym mowa w art. 23 ust. 1 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym, staje się rejestrem dostawców usług zaufania w rozumieniu niniejszej ustawy.
\n2.
\nUsługę znakowania czasem, o której mowa w art. 3 pkt 16 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym, wpisaną do rejestru, o którym mowa w art. 23 ust. 1 tej ustawy, uznaje się za usługę elektronicznego znacznika czasu.
\n3.
\nElektroniczny znacznik czasu, o którym mowa w ust. 2, wywołuje skutki prawne określone w art. 7 ust. 2 i 3 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym.
\ngospodarki na podstawie art. 23 ust. 5 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym zachowuje moc do chwili odwołania przez ministra właściwego do spraw informatyzacji.
\n1.
\nPostępowania wszczęte i prowadzone przed dniem wejścia w życie niniejszej ustawy przed ministrem właściwym do spraw gospodarki w sprawach, w których właściwy na mocy przepisów niniejszej ustawy staje się minister właściwy do spraw informatyzacji, są prowadzone na podstawie przepisów dotychczasowych przez ministra właściwego do spraw informatyzacji.
\n2.
\nMinister właściwy do spraw gospodarki, w terminie 14 dni od dnia wejścia w życie niniejszej ustawy, przekaże ministrowi właściwemu do spraw informatyzacji dokumentację w zakresie przejętych przez niego spraw.
\n3.
\nZ dniem wejścia w życie niniejszej ustawy stroną udzielonych upoważnień lub umów zawartych przez ministra właściwego do spraw gospodarki w zakresie spraw przekazanych na podstawie niniejszej ustawy staje się minister właściwy do spraw informatyzacji.
\nw art. 64, w brzmieniu dotychczasowym, są obowiązane dostosować statuty do przepisów ustawy zmienianej w art. 64, w brzmieniu nadanym niniejszą ustawą, w terminie 12 miesięcy od dnia wejścia w życie niniejszej ustawy.
\nDo dnia 1 lipca 2018 r. do składania zaawansowanych podpisów elektronicznych lub zaawansowanych pieczęci elektronicznych można stosować funkcję skrótu SHA-1, chyba że wymagania techniczne wynikające z aktów wykonawczych wydanych na podstawie rozporządzenia 910/2014 wyłączą możliwość stosowania tej funkcji skrótu.
\nDostawcy usług zaufania, producenci oprogramowania oraz podmioty publiczne obowiązani są do odpowiedniego dostosowania oprogramowania oraz systemów teleinformatycznych do zmian i terminu określonych w ust. 1.
\nDo umów ubezpieczenia odpowiedzialności cywilnej, o których mowa w art. 10 ust. 1 pkt 4 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym, zawartych przed dniem wejścia w życie niniejszej ustawy stosuje się przepisy dotychczasowe.
\nDotychczasowe przepisy wykonawcze wydane na podstawie art. 10 ust. 5 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym zachowują moc do dnia wejścia w życie przepisów wykonawczych wydanych na podstawie art. 13 ust. 4, jednak nie dłużej niż 3 miesiące od dnia wejścia w życie niniejszej ustawy.
\ni wydatków budżetowych, w tym wynagrodzeń oraz limitów zatrudnienia, między częścią budżetu państwa, której dysponentem jest minister właściwy do spraw gospodarki, a częścią, której dysponentem jest minister właściwy do spraw informatyzacji, z zachowaniem przeznaczenia środków publicznych wynikających z ustawy budżetowej.
\nPrzepisy końcowe
\n(Dz. U. z 2013 r. poz. 262, z 2014 r. poz. 1662 oraz z 2015 r. poz. 1893).
\nArt. 14223)W brzmieniu ustalonym przez art. 1 pkt 16 ustawy, o której mowa w odnośniku 2..
\nUstawa wchodzi w życie po upływie 7 dni od dnia ogłoszenia24)Ustawa została ogłoszona w dniu 29 września 2016 r., z wyjątkiem art. 22 oraz art. 24-26, które wchodzą w życie z dniem 29 września 2018 r.
\n1544), która weszła w życie z dniem 11 września 2018 r.
\nPokaż całość