Usługi zaufania w Estonii: dostawcy kwalifikowani i niekwalifikowani

Na czym polega działalność

Rozporządzenie (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania (eIDAS, zmienione rozporządzeniem (UE) 2024/1183) definiuje usługę zaufania jako usługę elektroniczną świadczoną zwykle za wynagrodzeniem, obejmującą takie czynności jak: wydawanie lub walidacja certyfikatów podpisów elektronicznych, pieczęci elektronicznych lub uwierzytelniania witryn; tworzenie lub walidacja podpisów i pieczęci elektronicznych; konserwacja podpisów, pieczęci i ich certyfikatów; zarządzanie urządzeniami do zdalnego składania podpisu lub pieczęci; wydawanie lub walidacja elektronicznych poświadczeń atrybutów; tworzenie lub walidacja elektronicznych znaczników czasu; rejestrowane doręczenie elektroniczne; archiwizacja elektroniczna; zapisywanie danych w rejestrze elektronicznym¹.

Dostawca może świadczyć usługi jako kwalifikowany albo niekwalifikowany². Kwalifikowany dostawca usług zaufania świadczy co najmniej jedną kwalifikowaną usługę zaufania i otrzymał status kwalifikowany od organu nadzoru³. Kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu⁴.

Poza zakresem pozostają usługi zaufania używane wyłącznie w systemach zamkniętych wynikających z prawa krajowego lub z porozumień określonej grupy uczestników⁵. Czym innym są też „usługi powiernicze i dla spółek” według ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (zakładanie spółek, pełnienie funkcji członka zarządu, udostępnianie adresu siedziby i podobne) – to inna działalność według innej ustawy⁶.

Akt prawny i organ

Rozporządzenie eIDAS stosuje się bezpośrednio. Ustawa o identyfikacji elektronicznej i usługach zaufania w transakcjach elektronicznych (e-identimise ja e-tehingute usaldusteenuste seadus, EUTS) reguluje usługi zaufania w zakresie nieuregulowanym przez eIDAS⁷. Do rozpoczęcia i prowadzenia działalności stosuje się część ogólną kodeksu działalności gospodarczej (majandustegevuse seadustiku üldosa seadus), z uwzględnieniem szczególnych zasad EUTS i eIDAS⁸.

Organem właściwym według EUTS jest Urząd Systemów Informacyjnych Państwa (Riigi Infosüsteemi Amet, RIA)⁹. RIA rozstrzyga o wniosku¹⁰, prowadzi estońską zaufaną listę według art. 22 eIDAS¹¹, publikuje na swojej stronie listę dostawców i usług zaufania¹² oraz sprawuje nadzór państwowy i administracyjny¹³. Administratorem rejestru działalności gospodarczej jest Urząd Ochrony Konsumentów i Nadzoru Technicznego (TTJA)¹⁴.

Kwalifikowanego dostawcę i jego usługę wpisuje się na zaufaną listę na okres ważności zezwolenia¹⁵. Według zasad ogólnych dane każdego zezwolenia wpisuje się także do rejestru¹⁶.

Kto musi złożyć wniosek

Zezwolenie jest wymagane do świadczenia kwalifikowanej usługi zaufania: osoba i usługa muszą mieć status kwalifikowany według art. 21 ust. 2 eIDAS, potwierdzony zezwoleniem¹⁷. Zezwolenie jest ważne dwa lata¹⁸.

Dostawcę niekwalifikowanego można wpisać na zaufaną listę decyzją RIA, na dwa lata¹⁹; musi on wtedy przejść ocenę zgodności przez jednostkę oceniającą zgodność przed rozpoczęciem usługi i co najmniej raz na dwa lata²⁰. Dostawcy niekwalifikowani muszą mieć polityki zarządzania ryzykiem i zgłaszać naruszenia bezpieczeństwa w ciągu 24 godzin od ich stwierdzenia²¹, a organ nadzoru działa wobec nich w trybie nadzoru następczego²². Rozporządzenie eIDAS stosuje się do dostawców usług zaufania mających siedzibę w Unii²³.

Wymagania wobec wnioskodawcy

• Zabezpieczenie finansowe: to, czy obowiązuje minimalny kapitał zakładowy, ustala się dla sytuacji klienta. Dostawca musi mieć ubezpieczenie odpowiedzialności z roczną sumą ubezpieczenia co najmniej 1 mln EUR na jedno zdarzenie i co najmniej 1 mln EUR na wszystkie zdarzenia łącznie albo porównywalną gwarancję lub środki finansowe w tej samej wysokości i musi opublikować informację o tym zabezpieczeniu²⁴.
• Plan zakończenia działalności: aktualny plan musi obejmować co najmniej sposób informowania klientów, sposób niszczenia kluczy prywatnych oraz sposób niszczenia lub resetowania sprzętu²⁵. Aktualnego planu zakończenia wymaga także eIDAS²⁶.
• Personel: osoby świadczące usługę nie mogą mieć niezatartego skazania za przestępstwo umyślne²⁷. Według eIDAS personel i podwykonawcy muszą mieć niezbędną wiedzę, wiarygodność, doświadczenie i kwalifikacje oraz przeszkolenie z bezpieczeństwa i ochrony danych osobowych, a procedury zarządzania muszą odpowiadać normom europejskim lub międzynarodowym²⁸.
• Systemy i działanie: eIDAS wymaga wiarygodnych systemów i produktów chronionych przed modyfikacją, bezpiecznego przechowywania danych, środków przeciw fałszerstwu i kradzieży, polityk zarządzania ryzykiem, zgłaszania istotnych naruszeń bezpieczeństwa w ciągu 24 godzin, a od wydawców certyfikatów – bazy certyfikatów²⁹. EUTS wymaga przechowywania dziennika operacji przez dziesięć lat, a dowodów tożsamości przez dziesięć lat po upływie ważności kwalifikowanego certyfikatu³⁰.
• Zawiadomienia: kwalifikowany dostawca informuje organ nadzoru co najmniej miesiąc przed każdą zmianą w swoich usługach kwalifikowanych i co najmniej trzy miesiące przed ich zaprzestaniem³¹.
• Podatki: wnioskodawca nie może mieć zaległości w podatkach państwowych ani lokalnych³².
• Podstawy udzielenia: zezwolenia udziela się na podstawach z § 8 EUTS: wymagania art. 24 ust. 2 lit. e), f), g) i k) eIDAS oraz § 5 ust. 2, 4 i 9 EUTS, ocena zgodności i brak zaległości podatkowych³³. To, czy do firmy stosują się przepisy innych ustaw o przeciwdziałaniu praniu pieniędzy, ustala się dla sytuacji klienta.
• Audyt bieżący: kwalifikowani dostawcy są audytowani na własny koszt co najmniej raz na 24 miesiące i muszą przesłać sprawozdanie organowi nadzoru w ciągu trzech dni roboczych od jego otrzymania³⁴.

Jakie dokumenty się składa

• Postępowanie zaczyna się od zawiadomienia organu nadzoru wraz ze sprawozdaniem z oceny zgodności wydanym przez jednostkę oceniającą zgodność³⁵ – akredytowaną według rozporządzenia (WE) nr 765/2008 jako kompetentną do oceny kwalifikowanych dostawców usług zaufania³⁶.
• Wniosek według EUTS zawiera, oprócz danych wymaganych przez część ogólną kodeksu działalności gospodarczej: nazwę i opis usługi zaufania, jej polityki (zasady praktyki), certyfikat i sprawozdanie z oceny zgodności³⁷.
• Dowód braku zaległości w podatkach państwowych i lokalnych, jeżeli danych tych nie można uzyskać z państwowej bazy danych³⁸.
• Polityki muszą być opisane wyczerpująco; domniemywa się to, gdy są zgodne z normami Europejskiego Instytutu Norm Telekomunikacyjnych (ETSI) lub równoważną publiczną specyfikacją³⁹.
• Dane ogólne: nazwa i numer rejestrowy spółki, dane kontaktowe, nazwa działalności i kod klasyfikacji oraz imię, nazwisko i dane kontaktowe osoby podpisującej⁴⁰.

Opłata państwowa i termin rozpatrzenia

Opłaty państwowe (§ 116² ustawy o opłatach państwowych): pierwszy wniosek – 1030 EUR za każdą usługę zaufania; wniosek ponowny – 770 EUR za każdą usługę zaufania; wniosek o zmianę danych – 65 EUR⁴¹.

Po otrzymaniu prawidłowych danych i dokumentów RIA rozstrzyga w ciągu 80 dni przy pierwszym zezwoleniu i 50 dni przy ponownym⁴². Według art. 21 ust. 2 eIDAS status kwalifikowany nadaje się, a organ prowadzący zaufaną listę zostaje poinformowany, nie później niż trzy miesiące po zawiadomieniu; jeżeli weryfikacja nie zakończy się w tym czasie, organ nadzoru informuje dostawcę o przyczynach i o okresie, w którym zostanie zakończona⁴³. RIA może w toku postępowania żądać wyjaśnień⁴⁴.

Są to terminy ustawowe, a nie obietnica daty ani wyniku; decyzja należy do RIA.

Po udzieleniu zezwolenia

Po udzieleniu zezwolenia RIA wpisuje dostawcę na zaufaną listę w ciągu dziesięciu dni⁴⁵, a kwalifikowaną usługę można rozpocząć dopiero po wskazaniu statusu kwalifikowanego na zaufanej liście⁴⁶.

Co robi LexorCorp Global OÜ

Przygotowujemy dokumenty wniosku o zezwolenie i prowadzimy sprawę: odczytujemy wymagania ustawy dla tej działalności z oficjalnego tekstu, przygotowujemy wniosek i potrzebne do niego dokumenty oraz pisemnie odpowiadamy na pytania organu. Opłaty państwowe ponosi klient.

Nie udzielamy porad prawnych ani podatkowych, nie wykonujemy audytów ani oceny zgodności (wykonuje ją akredytowana jednostka oceniająca zgodność) i nie spełniamy za klienta wymagań dotyczących ubezpieczenia, personelu ani systemów. Zezwolenia nie można obiecać; decyduje RIA.

Częste pytania

Źródła

Każda numerowana informacja pochodzi z oficjalnego źródła. Źródła są wymienione na stronie angielskiej: Trust services in Estonia: qualified and non-qualified providers

Przygotowujemy dokumentację wniosku i prowadzimy postępowanie; decyzję podejmuje organ. To nie jest porada prawna.

Zamów dokumentację wniosku · od €3,500 Pełne informacje prawne (po angielsku) Wszystkie rodzaje działalności wymagającej zezwolenia