Luottamuspalvelut Virossa: hyväksytyt ja muut kuin hyväksytyt tarjoajat

Mistä toiminnassa on kyse

Sähköisestä tunnistamisesta ja luottamuspalveluista annettu asetus (EU) N:o 910/2014 (eIDAS-asetus, sellaisena kuin se on muutettuna asetuksella (EU) 2024/1183) määrittelee luottamuspalvelun sähköiseksi palveluksi, joka yleensä tarjotaan vastiketta vastaan ja joka koostuu esimerkiksi seuraavista: sähköisten allekirjoitusten, sähköisten leimojen tai verkkosivustojen todentamisen varmenteiden myöntäminen tai validointi; sähköisten allekirjoitusten ja leimojen luominen tai validointi; allekirjoitusten, leimojen ja niiden varmenteiden säilyttäminen; etäallekirjoitus- tai etäleimausvälineiden hallinnointi; sähköisten attribuuttitodistusten myöntäminen tai validointi; sähköisten aikaleimojen luominen tai validointi; sähköinen rekisteröity jakelu; sähköinen arkistointi; ja tietojen kirjaaminen sähköiseen tilikirjaan¹.

Luottamuspalvelun tarjoaja voi tarjota palvelujaan joko hyväksyttynä tai muuna kuin hyväksyttynä tarjoajana². Hyväksytty luottamuspalvelun tarjoaja tarjoaa yhtä tai useampaa hyväksyttyä luottamuspalvelua, ja valvontaelin on myöntänyt sille hyväksytyn aseman³. Hyväksytyllä sähköisellä allekirjoituksella on sama oikeusvaikutus kuin käsin kirjoitetulla allekirjoituksella⁴.

Sääntely ei koske luottamuspalveluja, joita käytetään yksinomaan suljetuissa järjestelmissä, jotka perustuvat kansalliseen lainsäädäntöön tai määritellyn osallistujajoukon välisiin sopimuksiin⁵. Se ei koske myöskään rahanpesun ja terrorismin rahoittamisen estämistä koskevan lain mukaisia trusti- ja yrityspalveluja (yhtiön perustaminen, johtajana toimiminen, rekisteröidyn osoitteen tarjoaminen ja vastaavat), jotka ovat eri toimintaa eri lain nojalla⁶.

Säädös ja viranomainen

Sovelletaan suoraan asetusta (EU) N:o 910/2014 (eIDAS) ja Viron lakia sähköisestä tunnistamisesta ja sähköisten transaktioiden luottamuspalveluista (e-identimise ja e-tehingute usaldusteenuste seadus, EUTS), joka sääntelee luottamuspalveluja siltä osin kuin eIDAS-asetus ei sitä tee⁷. Toiminnan aloittamiseen ja harjoittamiseen sovelletaan elinkeinotoimintalain yleistä osaa (majandustegevuse seadustiku üldosa seadus) EUTS:n ja eIDAS:n erityissäännöin⁸.

EUTS:n mukainen toimivaltainen viranomainen on Viron tietojärjestelmävirasto (Riigi Infosüsteemi Amet, RIA)⁹. RIA ratkaisee toimilupahakemuksen¹⁰, pitää eIDAS-asetuksessa tarkoitettua Viron luotettua luetteloa (22 artikla)¹¹, julkaisee verkkosivustollaan luettelon luottamuspalvelun tarjoajista ja luottamuspalveluista¹² ja hoitaa valtion valvonnan ja hallinnollisen valvonnan¹³. Kuluttajansuoja- ja teknisen valvonnan virasto (TTJA) on elinkeinotoimintarekisterin rekisterinpitäjä¹⁴.

Hyväksytty tarjoaja ja sen palvelu merkitään luotettuun luetteloon toimiluvan voimassaoloajaksi¹⁵. Yleisten sääntöjen mukaan kunkin toimiluvan tiedot merkitään myös rekisteriin¹⁶.

Kenen on haettava toimilupaa

Toimilupa vaaditaan hyväksytyn luottamuspalvelun tarjoamiseen: henkilöllä ja palvelulla on oltava eIDAS-asetuksen mukainen hyväksytty asema (21 artiklan 2 kohta), jonka toimilupa osoittaa¹⁷. Toimilupa on voimassa kaksi vuotta¹⁸.

Muu kuin hyväksytty tarjoaja voidaan merkitä luotettuun luetteloon RIA:n päätöksellä kahdeksi vuodeksi¹⁹; tällöin sen on läpäistävä vaatimustenmukaisuuden arviointilaitoksen tekemä arviointi ennen palvelun aloittamista ja vähintään kahden vuoden välein²⁰. Muilla kuin hyväksytyillä tarjoajilla on oltava riskienhallintaperiaatteet, ja niiden on ilmoitettava tietoturvaloukkauksista 24 tunnin kuluessa niistä tiedon saatuaan²¹; valvontaelin valvoo niitä jälkikäteen²².

eIDAS-asetusta sovelletaan unioniin sijoittautuneisiin luottamuspalvelun tarjoajiin²³.

Vaatimukset hakijalle

• Taloudellinen kate: se, sovelletaanko vähimmäisosakepääomaa, selvitetään asiakkaan tilanteen mukaan. Tarjoajalla on oltava vastuuvakuutus, jonka vuotuinen vakuutusmäärä on vähintään 1 miljoona euroa vakuutustapahtumaa kohti ja vähintään 1 miljoona euroa kaikista tapahtumista yhteensä, tai vastaava takaus tai samansuuruiset taloudelliset voimavarat, ja sen on julkaistava tiedot tästä katteesta²⁴.
• Lopettamissuunnitelma: ajantasaisen lopettamissuunnitelman on sisällettävä vähintään se, miten asiakkaille tiedotetaan, miten yksityiset avaimet tuhotaan ja miten laitteisto tuhotaan tai nollataan²⁵. Myös eIDAS edellyttää ajantasaista lopettamissuunnitelmaa²⁶.
• Henkilöstö: palvelua tarjoavalla henkilöstöllä ei saa olla voimassa olevaa tuomiota tahallisesta rikoksesta²⁷. eIDAS:n mukaan henkilöstöllä ja alihankkijoilla on oltava tarvittava asiantuntemus, luotettavuus, kokemus ja pätevyys sekä koulutus tietoturvasta ja henkilötietojen suojasta, ja hallintomenettelyjen on vastattava eurooppalaisia tai kansainvälisiä standardeja²⁸.
• Järjestelmät ja toiminta: eIDAS edellyttää luotettavia, muutoksilta suojattuja järjestelmiä ja tuotteita, tietojen turvallista säilytystä, toimia väärentämistä ja varkautta vastaan, riskienhallintaperiaatteita, merkittävien tietoturvaloukkausten ilmoittamista 24 tunnissa ja varmenteiden myöntäjiltä varmennetietokantaa²⁹. EUTS edellyttää, että toimista pidetään lokia kymmenen vuotta ja henkilöllisyysnäyttö säilytetään kymmenen vuotta hyväksytyn varmenteen voimassaolon päättymisestä³⁰.
• Ilmoitukset: hyväksytyn tarjoajan on ilmoitettava valvontaelimelle vähintään kuukautta ennen hyväksyttyjen palvelujensa muutosta ja vähintään kolme kuukautta ennen niiden lopettamista³¹.
• Verot: hakijalla ei saa olla valtion tai kunnan verovelkaa³².
• Myöntämisperusteet: toimilupa myönnetään EUTS:n 8 §:ssä luetelluin perustein: eIDAS-asetuksen vaatimukset (24 artiklan 2 kohdan e, f, g ja k alakohta) ja EUTS:n vaatimukset (5 §:n 2, 4 ja 9 momentti), vaatimustenmukaisuuden arviointi ja verovelan puuttuminen³³; se, sovelletaanko yritykseen muiden lakien rahanpesun estämistä koskevia sääntöjä, selvitetään asiakkaan tilanteen mukaan.
• Jatkuva auditointi: hyväksytyt tarjoajat auditoidaan omalla kustannuksellaan vähintään 24 kuukauden välein, ja niiden on lähetettävä raportti valvontaelimelle kolmen työpäivän kuluessa sen vastaanottamisesta³⁴.

Hakemuksen mukana toimitettavat asiakirjat

• Prosessi alkaa ilmoituksella valvontaelimelle sekä vaatimustenmukaisuuden arviointilaitoksen antamalla vaatimustenmukaisuuden arviointiraportilla³⁵. Arviointilaitos on asetuksen (EY) N:o 765/2008 nojalla akkreditoitu päteväksi arvioimaan hyväksyttyjä luottamuspalvelun tarjoajia³⁶.
• EUTS:n mukainen hakemus sisältää elinkeinotoimintalain yleisen osan edellyttämien tietojen lisäksi³⁷ luottamuspalvelun nimen ja kuvauksen, sen toimintaperiaatteet, varmenteen ja vaatimustenmukaisuuden arviointiraportin sekä todisteen siitä, ettei valtion tai kunnan verovelkaa ole, jos nämä tiedot eivät ole saatavilla valtion tietokannasta³⁸.
• Toimintaperiaatteet on kuvattava tyhjentävästi; näin oletetaan olevan, kun ne noudattavat Euroopan telealan standardointilaitoksen (ETSI) standardeja tai vastaavaa julkista eritelmää³⁹.
• Yleisiin tietoihin kuuluvat yhtiön nimi ja rekisterinumero, yhteystiedot, toiminnan nimi ja luokituskoodi sekä allekirjoittajan nimi ja yhteystiedot⁴⁰.

Valtionmaksu ja käsittelyaika

Valtionmaksut valtionmaksulain (116² §) mukaan: ensimmäinen hakemus 1 030 euroa luottamuspalvelua kohti, uusintahakemus 770 euroa luottamuspalvelua kohti ja tietojen muutoshakemus 65 euroa⁴¹.

RIA tekee päätöksen asianmukaiset tiedot ja asiakirjat saatuaan 80 päivän kuluessa ensimmäisestä toimiluvasta ja 50 päivän kuluessa uusintaluvasta⁴². eIDAS-asetuksen mukaan (21 artiklan 2 kohta) hyväksytty asema on myönnettävä ja luotetun luettelon ylläpitäjälle ilmoitettava viimeistään kolmen kuukauden kuluttua ilmoituksesta; jos tarkastus ei valmistu siinä ajassa, valvontaelin ilmoittaa tarjoajalle syyt ja ajan, jonka kuluessa se saadaan päätökseen⁴³. RIA voi pyytää menettelyn aikana täsmentäviä tietoja⁴⁴. Nämä ovat laissa säädettyjä määräaikoja, eivät lupaus päivämäärästä tai lopputuloksesta; päätös on RIA:n.

Toimiluvan myöntämisen jälkeen

Toimiluvan myöntämisen jälkeen RIA merkitsee tarjoajan luotettuun luetteloon kymmenen päivän kuluessa⁴⁵, ja hyväksytyn palvelun saa aloittaa vasta, kun hyväksytty asema on merkitty luotettuun luetteloon⁴⁶. Toimilupa on voimassa kaksi vuotta¹⁸, ja hyväksytyt tarjoajat auditoidaan vähintään 24 kuukauden välein³⁴.

Mitä LexorCorp Global OÜ tekee

LexorCorp Global OÜ laatii toimiluvan hakemusasiakirjat ja hoitaa prosessin: luemme lain vaatimukset toiminnalle virallisesta tekstistä, laadimme hakemuksen ja sen tarvitsemat asiakirjat ja hoidamme viranomaisen kysymyksiin vastaamisen kirjallisesti.

Emme anna oikeudellista neuvontaa tai veroneuvontaa emmekä tee tilintarkastuksia, emme tee vaatimustenmukaisuuden arviointia (sen tekee akkreditoitu arviointilaitos) emmekä täytä vakuutus-, henkilöstö- tai järjestelmävaatimuksia asiakkaan puolesta. Toimilupaa ei voida luvata; päätöksen tekee RIA. Valtionmaksut eivät sisälly palveluun, ja ne maksaa asiakas.

Usein kysyttyä

Lähteet

Jokainen numeroitu tieto on peräisin virallisesta lähteestä. Lähteet on lueteltu englanninkielisellä sivulla: Trust services in Estonia: qualified and non-qualified providers

Laadimme hakemusasiakirjat ja hoidamme menettelyn; päätöksen tekee viranomainen. Tämä ei ole oikeudellista neuvontaa.

Tilaa hakemusasiakirjat · alkaen €3,500 Täydelliset oikeudelliset tiedot (englanniksi) Kaikki luvanvaraiset toiminnat