(1)

Zgodnie z art. 20 ust. 1 i art. 21 ust. 1 rozporządzenia (UE) nr 910/2014 kwalifikowani dostawcy usług zaufania i świadczone przez nich kwalifikowane usługi zaufania podlegają audytowi przeprowadzanemu przez jednostki oceniające zgodność. Sporządzone w ten sposób raporty z oceny zgodności potwierdzają, czy spełnione są wymogi określone w tym rozporządzeniu oraz w art. 21 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (2). W związku z tym konieczne jest ustanowienie zharmonizowanych i solidnych ram akredytacji jednostek oceniających zgodność, wdrażanych przez nie programów oceny zgodności, ocen zgodności przeprowadzanych przez te jednostki zgodnie z tymi programami oraz wynikających z nich raportów z oceny zgodności.

(2)

Akredytacja jednostek oceniających zgodność dokonujących oceny kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania, raport z oceny zgodności i program oceny zgodności powinny spełniać wymogi określone w niniejszym rozporządzeniu. Jednostki oceniające zgodność mogą spełniać te wymogi niezależnie, korzystając z certyfikacji złożonej, albo zlecając podwykonawstwo należycie akredytowanym podmiotom.

(3)

Jednostkom oceniającym zgodność akredytowanym do celów oceny kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania w zakresie wydawania kwalifikowanych elektronicznych poświadczeń atrybutów należy zezwolić na wydawanie raportu z oceny zgodności wymaganego na podstawie art. 45f ust. 3 rozporządzenia (UE) nr 910/2014.

(4)

W celu zwiększenia przejrzystości procesu akredytacji certyfikat akredytacji wydany jednostce oceniającej zgodność zgodnie z art. 5 rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 765/2008 (3) powinien zawierać wystarczające informacje umożliwiające osobom trzecim sprawdzenie, czy akredytowana jednostka oceniająca zgodność jest upoważniona do przeprowadzenia oceny zgodności na podstawie rozporządzenia (UE) nr 910/2014.

(5)

W celu zachowania integralności i dokładności certyfikatów akredytacji krajowe jednostki akredytujące powinny zapewniać, aby certyfikaty te odzwierciedlały aktualne informacje.

(6)

W celu zapewnienia integralności procesu akredytacji certyfikat akredytacji wydany jednostce oceniającej zgodność może zostać w dowolnym momencie zawieszony lub cofnięty w odniesieniu do każdej kwalifikowanej usługi zaufania, do której oceny jednostka oceniająca zgodność została akredytowana. Zawieszenie lub cofnięcie może nastąpić po nałożeniu sankcji przez krajową jednostkę akredytującą lub może go dobrowolnie dokonać sama jednostka oceniająca zgodność.

(7)

Do celów harmonizacji tych ram akredytacji niniejsze rozporządzenie powinno opierać się na ustalonych normach, które odzwierciedlają utrwalone praktyki i są powszechnie uznawane w odpowiednich sektorach.

(8)

W celu zwiększenia przejrzystości jednostki oceniające zgodność powinny udostępniać publicznie wydawane przez siebie certyfikaty zgodności. Certyfikaty zgodności potwierdzają pozytywne decyzje w sprawie certyfikacji podjęte przez jednostki oceniające zgodność. Jednak wyłącznie organ nadzoru może przyznać lub cofnąć kwalifikowany status dostawcy usług zaufania i świadczonym przez niego usługom zaufania.

(9)

W celu przeprowadzenia oceny zgodności kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania z rozporządzeniem (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555 jednostki oceniające zgodność powinny korzystać z programu oceny zgodności. Jako punkty odniesienia do oceny kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania jednostki oceniające zgodność powinny stosować normy, z uwzględnieniem wersji i dostosowań tych norm określonych w dotyczących poszczególnych usług aktach wykonawczych opartych na rozporządzeniu (UE) nr 910/2014. Przedmiotowe normy powinny odzwierciedlać utrwalone praktyki i być powszechnie uznawane w odpowiednich sektorach.

(10)

Programy oceny zgodności określają zasady i procedury, które jednostki oceniające zgodność mają stosować w swoich ocenach kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania. Krajowe jednostki akredytujące oceniają takie programy pod kątem wymogów określonych w niniejszym rozporządzeniu. Treść takich programów podlega zmianom w czasie. Aby ułatwić stosowanie kolejnych wersji programów oceny zgodności, akredytowane jednostki oceniające zgodność powinny wprowadzić specjalny proces zarządzania zmianami w programie, w odniesieniu do którego uzyskały akredytację.

(11)

W celu nadzorowania rozwoju i utrzymania programów oceny zgodności do każdego programu oceny zgodności należy przypisać właściciela programu. Właścicielami programu mogą być jednostki oceniające zgodność, organy rządowe lub władze, stowarzyszenie branżowe, grupa jednostek oceniających zgodność lub jakakolwiek odpowiednia jednostka lub grupa jednostek i mogą nimi być podmioty inne niż obsługująca program jednostka oceniająca zgodność.

(12)

W celu zapewnienia ciągłości świadczenia usług przez jednostki oceniające zgodność ich akredytacja powinna zachować ważność w odniesieniu do wcześniejszych wersji norm, do których odnosi się program oceny zgodności. W takich przypadkach jednostki oceniające zgodność powinny wyraźnie odnosić się do tych wcześniejszych wersji norm, w tym poprzez wskazanie roku i numeru wersji.

(13)

W celu zwiększenia elastyczności należy zezwolić krajowym jednostkom akredytującym na oferowanie akredytacji o elastycznym zakresie, umożliwiającej jednostkom oceniającym zgodność, w szczególnych okolicznościach, włączenie do zakresu swojej akredytacji dodatkowych czynności bez konieczności przeprowadzania oceny przez krajową jednostkę akredytującą. Opracowując akredytację o elastycznym zakresie, krajowe jednostki akredytujące wezmą pod uwagę akredytację o elastycznych zakresach określoną przez Europejską Współpracę w Dziedzinie Akredytacji – organizację powołaną zgodnie z rozporządzeniem (WE) nr 765/2008. W przypadku gdy krajowe jednostki akredytujące zezwalają jednostkom oceniającym zgodność na korzystanie z takich akredytacji o elastycznym zakresie, w celu zachowania przejrzystości powinny wskazać to w certyfikacie akredytacji. Aby zwiększyć elastyczność, nawet w przypadku gdy krajowe jednostki akredytujące nie oferują akredytacji o elastycznym zakresie, przed ponowną oceną akredytowanej jednostki oceniającej zgodność powinny one uważnie rozważyć wpływ zmian w programie oceny zgodności, w odniesieniu do którego ta jednostka uzyskała akredytację.

(14)

W celu zagwarantowania wiarygodności programów oceny zgodności właściciele powinni zapewnić, aby ich programy oceny zgodności nie pozwalały na wydawanie pozytywnych decyzji w sprawie certyfikacji ani certyfikatów zgodności, w przypadku gdy ocena zgodności prowadzi do stwierdzenia jakichkolwiek niezgodności z wymogami rozporządzenia (UE) nr 910/2014 lub art. 21 dyrektywy (UE) 2022/2555 po stronie kwalifikowanych dostawców usług zaufania i w świadczonych przez nich kwalifikowanych usługach zaufania. Chociaż raporty z oceny zgodności mogłyby obejmować informacje o niezgodnościach i potencjalne plany zaradcze, w przypadku stwierdzenia niezgodności nie należy wydawać certyfikatu zgodności ani pozytywnej decyzji w sprawie certyfikacji.

(15)

W celu zapewnienia przejrzystości swoich praktyk właściciele programów powinni udostępniać publicznie streszczenia swoich programów oceny zgodności. Streszczenie to powinno zawierać opis zbioru zasad i procedur stosowanych do oceny zgodności kwalifikowanych dostawców usług zaufania i świadczonych przez nich kwalifikowanych usług zaufania z wymogami określonymi w rozporządzeniu (UE) nr 910/2014 i art. 21 dyrektywy (UE) 2022/2555.

(16)

W celu wspierania jakości, bezpieczeństwa i wiarygodności działalności kwalifikowanego dostawcy usług zaufania w raporcie z oceny zgodności należy określić, w stosownych przypadkach, możliwości ulepszeń, które mogłyby udoskonalić sposób, w jaki kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają mające zastosowanie wymogi.

(17)

W celu wspierania przejrzystości i ułatwienia organom nadzoru weryfikacji, czy oceniany kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają mające zastosowanie wymogi, raport z oceny zgodności powinien zawierać określone minimalne informacje. W szczególności, aby ułatwić identyfikację wpisów dotyczących usług, które mają być umieszczone na krajowej zaufanej liście zgodnie z art. 22 rozporządzenia (UE) nr 910/2014, w stosownych przypadkach w raporcie z oceny zgodności należy podać szczegółowy opis hierarchii funkcjonalnej infrastruktury klucza publicznego w podziale na rodzaje kwalifikowanej usługi zaufania.

(18)

W celu wspierania przejrzystości oraz ułatwienia weryfikacji i monitorowania akredytacji jednostek oceniających zgodność zgodnie z rozporządzeniem (UE) nr 910/2014 krajowe jednostki akredytujące powinny – w stosownych przypadkach – przedstawić historię zakresu akredytacji, w tym datę rozpoczęcia i – w stosownych przypadkach – datę zakończenia akredytacji w odniesieniu do każdej kwalifikowanej usługi zaufania.

(19)

W celu zapewnienia ciągłości działania jednostek oceniających zgodność, które zostały już akredytowane, oraz wsparcia przejścia na przepisy określone w niniejszym rozporządzeniu jednostki oceniające zgodność, które są obecnie akredytowane zgodnie z normą ETSI EN 319 403 wersja 2.2.2 lub z jej wcześniejszą wersją, nie wymagałyby ponownej akredytacji na podstawie rozporządzenia (UE) nr 910/2014 do dnia 17 maja 2027 r. Po tej dacie jednostki oceniające zgodność powinny zostać ocenione przez krajową jednostkę akredytującą pod kątem zgodności z wymogami określonymi w niniejszym rozporządzeniu.

(20)

Komisja przeprowadza okresową ocenę nowych technologii, praktyk, norm lub specyfikacji technicznych. Zgodnie z motywem 75 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1183 (4) Komisja powinna poddawać przeglądowi i w razie potrzeby aktualizować niniejsze rozporządzenie wykonawcze, aby zachować jego aktualność względem globalnych zmian, nowych technologii, norm lub specyfikacji technicznych oraz nadążać za najlepszymi praktykami na rynku wewnętrznym.

(21)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (5) oraz – w stosownych przypadkach – dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady (6) mają zastosowanie do wszystkich czynności przetwarzania danych osobowych na podstawie niniejszego rozporządzenia.

(22)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (7) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 8 sierpnia 2025 r. (8)

(23)

Środki przewidziane w niniejszym rozporządzeniu są zgodne z opinią komitetu ustanowionego na podstawie art. 48 rozporządzenia (UE) nr 910/2014,

1)

EN ISO/IEC 17025:2017 dla czynności testowych;

2)

EN ISO/IEC 17021-1:2015 dla czynności audytu związanych z systemami zarządzania;

3)

EN ISO/IEC 17020:2012 dla czynności kontrolnych;

4)

EN ISO/IEC 17065:2012 dla czynności związanych z ocenami zgodności.

1)

jest sporządzany wraz z jasną decyzją w sprawie certyfikacji zgodnie z klauzulą 7.6 normy ETSI EN 319403-1 v2.3.1 („ETSI EN 319403-1”), potwierdzającą, czy oceniany dostawca usług zaufania i oceniane kwalifikowane usługi zaufania, które świadczy, spełniają wymogi określone w rozporządzeniu (UE) nr 910/2014 i w art. 21 dyrektywy (UE) 2022/2555;

2)

podaje nazwę kwalifikowanego dostawcy usług zaufania oraz, w stosownych przypadkach, jego numer wpisu do rejestru zgodnie z oficjalnym rejestrem, jego oficjalny adres pocztowy i adres elektroniczny, a także, w stosownych przypadkach, te same informacje w odniesieniu do wszystkich jednostek zależnych, powiązanych podmiotów prawnych, wykonawców i podwykonawców, którzy obsługują komponenty usług zaufania w zakresie świadczenia kwalifikowanych usług zaufania przez kwalifikowanego dostawcę usług zaufania;

3)

zawiera szczegółowy opis zakresu oceny kwalifikowanego dostawcy usług zaufania, w tym określonych kwalifikowanych usług zaufania objętych oceną;

4)

zawiera wystarczający dowód potwierdzający, że kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają wymogi określone w rozporządzeniu (UE) nr 910/2014 oraz w art. 21 dyrektywy (UE) 2022/2555;

5)

podaje nazwę jednostki oceniającej zgodność oraz, w stosownych przypadkach, jej numer wpisu do rejestru zgodnie z oficjalnym rejestrem, jej zarejestrowany adres pocztowy i jej adres elektroniczny;

6)

podaje następujące informacje:

7)

zawiera co najmniej jeden kwalifikowany podpis elektroniczny, w przypadku gdy raport jest przekazywany w formie elektronicznej, lub podpis odręczny, w przypadku gdy jest on sporządzony w formie papierowej, z podaniem imienia i nazwiska oraz stanowiska osoby odpowiedzialnej lub osób upoważnionych do podjęcia decyzji w sprawie certyfikacji w imieniu jednostki oceniającej zgodność;

8)

dotyczy jednego kwalifikowanego dostawcy usług zaufania;

9)

określa, zgodnie z klauzulą 5.5.3 normy ETSI TS 119612 v.2.4.1, tożsamość cyfrową usługi według rodzaju kwalifikowanej usługi zaufania, w odniesieniu do której potwierdza zgodność z wymogami ustanowionymi w rozporządzeniu (UE) nr 910/2014 i w art. 21 dyrektywy (UE) 2022/2555, oraz zawiera następujące informacje:

10)

zawiera, w stosownych przypadkach, szczegółowy opis hierarchii funkcjonalnej infrastruktury klucza publicznego w podziale na rodzaje kwalifikowanej usługi zaufania i w odniesieniu do wszystkich tożsamości cyfrowych usług określonych zgodnie z pkt 11, w tym co najmniej:

11)

zawiera, zgodnie z pkt 2,

12)

opisuje, w stosownych przypadkach, treść wpisu, który ma być umieszczony lub zaktualizowany na odpowiedniej krajowej zaufanej liście, zgodnie z wynikami oceny;

13)

zawiera wyczerpujący wykaz dokumentów wewnętrznych dostawców usług publicznych i kwalifikowanych dostawców usług zaufania, właściwie zidentyfikowanych z podaniem wersji dokumentu, które były objęte zakresem oceny zgodności, w tym co najmniej następującą dokumentację, o której mowa w pkt 8, której kopię dostarcza się wraz z raportem z oceny zgodności albo w inny sposób udostępnia właściwemu organowi nadzoru na jego żądanie:

14)

zawiera ocenę spełnienia wymogów mających zastosowanie do odpowiednich kwalifikowanych usług zaufania na podstawie rozporządzenia (UE) nr 910/2014 oraz, w stosownych przypadkach, określonych w aktach wykonawczych i delegowanych mających zastosowanie do tej kwalifikowanej usługi zaufania, przyjętych zgodnie z następującymi przepisami:

15)

zawiera ocenę spełnienia mających zastosowanie do kwalifikowanego dostawcy usług zaufania i odpowiednich kwalifikowanych usług zaufania wymogów wynikających z art. 21 dyrektywy (UE) 2022/2555 oraz z aktów wykonawczych mających zastosowanie do tej kwalifikowanej usługi zaufania, przyjętych zgodnie z art. 21 ust. 5 tej dyrektywy;

16)

zawiera oświadczenie stwierdzające, w stosownych przypadkach, brak jakichkolwiek niezgodności, niezależnie od stopnia ich krytyczności; w przypadku gdy raport stwierdza jakąkolwiek niezgodność, musi zawierać plan działań naprawczych wraz z harmonogramem, przedstawiony przez kwalifikowanego dostawcę usług zaufania i zatwierdzony przez jednostkę oceniającą zgodność, wraz z opisem planowanych zadań w zakresie oceny, które jednostka oceniająca zgodność zobowiąże się ocenić pod kątem korekty niezgodności;

17)

zawiera, w stosownych i koniecznych przypadkach, wskazanie możliwości zwiększenia stopnia, w jakim kwalifikowany dostawca usług zaufania i świadczone przez niego kwalifikowane usługi zaufania spełniają odpowiednie wymogi;

18)

dla każdego etapu oceny zgodności, w tym audytu dokumentacji, oceny wdrażania i kontroli na miejscu, określa okres, w odniesieniu do którego przeprowadzono ocenę, oraz czas w osobodniach przeznaczony przez jednostkę oceniającą zgodność na przeprowadzenie oceny;

19)

wskazuje w odpowiednim raporcie dotyczącym określonego wymogu szczegółowe kontrole w ramach oceny zgodności i cele kontroli, które zostały przeprowadzone w trakcie oceny, lub zawiera odniesienie do oddzielnie dostępnych raportów z oceny, w których zamieszczono takie informacje, pod warunkiem że oddzielne raporty z oceny:

20)

obejmuje zakres, opis i wyniki znacznego zestawu testów lub próbek produkcyjnych oraz ich ocenę w odniesieniu do wszystkich istotnych i mających zastosowanie rodzajów wyników poddanych ocenie kwalifikowanych usług zaufania;

21)

wskazuje następujące terminy:

22)

zawiera wyraźną deklarację stwierdzającą, że dokumenty certyfikacyjne, w tym raport z oceny zgodności, są również przeznaczone do wykorzystania przez właściwy krajowy organ nadzoru.