Удостоверяющие услуги в Эстонии: квалифицированные и неквалифицированные поставщики

Что это за деятельность

Регламент (ЕС) № 910/2014 об электронной идентификации и удостоверяющих услугах (eIDAS, с изменениями Регламента (ЕС) 2024/1183) называет удостоверяющей услугой электронную услугу, обычно оказываемую за плату, которая состоит, в частности, в выдаче или проверке сертификатов электронной подписи, электронной печати или аутентификации сайтов, создании или проверке электронных подписей и печатей, их сохранении, управлении удалёнными устройствами создания подписи или печати, создании или проверке электронных меток времени, электронной заказной доставке, электронном архивировании и записи данных в электронный реестр¹.

Поставщик может оказывать услуги как квалифицированный или как неквалифицированный². Квалифицированный поставщик оказывает одну или несколько квалифицированных удостоверяющих услуг и получил квалифицированный статус от надзорного органа³. Квалифицированная электронная подпись имеет юридическую силу, равную собственноручной подписи⁴.

Сюда не относятся удостоверяющие услуги, используемые исключительно в закрытых системах⁵, и «услуги траста и компаний» по Закону о противодействии отмыванию денег и финансированию терроризма — учреждение компаний, исполнение функций директора, предоставление юридического адреса и подобное: это другая деятельность по другому закону⁶.

Закон и органы

Регламент (ЕС) № 910/2014 применяется непосредственно. Закон об электронной идентификации и удостоверяющих услугах для электронных сделок (E-identimise ja e-tehingute usaldusteenuste seadus, EUTS) регулирует удостоверяющие услуги в той мере, в какой их не регулирует регламент⁷. К началу и ведению деятельности применяется Закон об общей части Кодекса хозяйственной деятельности (Majandustegevuse seadustiku üldosa seadus) с особенностями EUTS и eIDAS⁸.

Компетентный орган — Департамент государственной инфосистемы (Riigi Infosüsteemi Amet, RIA)⁹. Он рассматривает заявление на лицензию¹⁰, ведёт эстонский доверенный список по статье 22 eIDAS¹¹, публикует на своём сайте перечень поставщиков и услуг¹² и ведёт государственный и административный надзор¹³.

Квалифицированный поставщик и его услуга вносятся в доверенный список на срок действия лицензии¹⁵; данные каждой лицензии вносятся также в Реестр хозяйственной деятельности¹⁶.

Кому нужна лицензия

Лицензия нужна для оказания квалифицированной удостоверяющей услуги: лицо и услуга должны иметь квалифицированный статус по статье 21(2) eIDAS, что подтверждается лицензией¹⁷. Лицензия действует два года¹⁸.

Неквалифицированный поставщик может быть внесён в доверенный список решением RIA на два года¹⁹; тогда он проходит оценку соответствия у органа по оценке соответствия до начала услуги и не реже одного раза в два года²⁰. Неквалифицированные поставщики должны иметь политику управления рисками и сообщать о нарушениях безопасности в течение 24 часов с момента, когда о них стало известно²¹.

Регламент eIDAS применяется к поставщикам удостоверяющих услуг, учреждённым в Союзе²³.

Требования к заявителю

• Финансовое покрытие: страхование ответственности со страховой суммой в год не менее 1 миллиона евро на страховой случай и не менее 1 миллиона евро на все случаи вместе либо сопоставимая гарантия или финансовые ресурсы в том же размере; сведения о покрытии публикуются²⁴. Действует ли требование к минимальному уставному капиталу, уточняется для ситуации клиента.
• Актуальный план прекращения деятельности, в котором указано как минимум, как информируются клиенты, как уничтожаются закрытые ключи и как уничтожается или сбрасывается оборудование²⁵²⁶.
• У работников, оказывающих услугу, не должно быть действующей судимости за умышленное преступление²⁷. По eIDAS персонал и субподрядчики должны иметь необходимые знания, надёжность, опыт и квалификацию и пройти обучение по безопасности и защите персональных данных²⁸.
• eIDAS требует надёжных, защищённых от вмешательства систем и продуктов, безопасного хранения данных, мер против подделки и кражи, политики управления рисками и уведомления о существенных нарушениях безопасности в течение 24 часов²⁹. EUTS требует вести журнал операций десять лет и хранить подтверждения личности десять лет после окончания действия квалифицированного сертификата³⁰.
• У заявителя не должно быть задолженности по государственным или местным налогам³².
• Лицензия выдаётся по основаниям § 8 EUTS: требования статьи 24(2)(e), (f), (g) и (k) eIDAS и § 5(2), (4) и (9) EUTS, оценка соответствия и отсутствие налоговой задолженности³³; применяются ли к бизнесу правила противодействия отмыванию денег из других актов, уточняется для ситуации клиента.

Какие документы подаются

• Процедура начинается с уведомления надзорного органа вместе с отчётом об оценке соответствия, выданным органом по оценке соответствия³⁵, аккредитованным по Регламенту (ЕС) № 765/2008 как компетентный оценивать квалифицированных поставщиков удостоверяющих услуг³⁶.
• Название и описание удостоверяющей услуги, её политики (принципы деятельности), сертификат и отчёт об оценке соответствия³⁷.
• Подтверждение отсутствия задолженности по государственным и местным налогам, если этих данных нет в государственной базе данных³⁸.
• Политики должны быть описаны исчерпывающе; это предполагается, если они следуют стандартам Европейского института телекоммуникационных стандартов (ETSI) или равноценной публичной спецификации³⁹.
• Общие данные: наименование и регистрационный код компании, контактные данные, название деятельности и код по классификатору, имя и контактные данные подписанта⁴⁰.

Госпошлина и срок рассмотрения

Государственные пошлины по § 116² Закона о государственной пошлине: первое заявление — 1030 евро за каждую удостоверяющую услугу, повторное заявление — 770 евро за каждую услугу, заявление об изменении данных — 65 евро⁴¹.

RIA принимает решение после получения надлежащих данных и документов в течение 80 дней по первой лицензии и 50 дней по повторной⁴². По статье 21(2) eIDAS квалифицированный статус присваивается не позднее чем через три месяца после уведомления; если проверка к этому времени не завершена, надзорный орган сообщает поставщику причины и срок её завершения⁴³. RIA может запросить уточняющие сведения⁴⁴. Это сроки закона, а не обещание даты или результата.

После выдачи лицензии RIA вносит поставщика в доверенный список в течение десяти дней⁴⁵; оказывать квалифицированную услугу можно только после того, как квалифицированный статус указан в доверенном списке⁴⁶.

Обязанности после получения лицензии

Квалифицированный поставщик сообщает надзорному органу об изменениях в квалифицированных услугах не менее чем за один месяц, а о прекращении их оказания — не менее чем за три месяца³¹.

Квалифицированные поставщики проходят аудит за свой счёт не реже одного раза в 24 месяца и направляют отчёт надзорному органу в течение трёх рабочих дней с его получения³⁴. Лицензия действует два года¹⁸.

Что делает LexorCorp Global OÜ

Мы читаем требования закона к деятельности по официальному тексту, готовим заявление и нужные для него документы и письменно отвечаем на вопросы органа. Государственные пошлины оплачивает клиент.

Мы не даём юридических и налоговых консультаций, не проводим аудит и оценку соответствия — её выполняет аккредитованный орган по оценке соответствия — и не выполняем за клиента требования к страхованию, персоналу или системам. Лицензию обещать нельзя: решение принимает RIA.

Частые вопросы

Источники

Каждый пронумерованный факт взят из официального источника. Источники перечислены на английской странице: Trust services in Estonia: qualified and non-qualified providers

Мы готовим документы для заявления и ведём процесс; решение принимает государственный орган. Это не юридическая консультация.

Заказать документы для заявления · от €3,500 Полная правовая информация (на английском языке) Вся лицензируемая деятельность