Traustþjónusta er rafræn þjónusta sem að öllu jöfnu er veitt gegn þóknun og felst í myndun, sannprófun og staðfestingu rafrænna undirskrifta, rafrænna innsigla eða rafrænna tímastimpla, rekjanlegrar rafrænnar afhendingarþjónustu og vottorða sem tengjast þessum þjónustum.

Traustþjónusta getur einnig falist í myndun, sannprófun og staðfestingu vottorða fyrir sannvottun vefsetra eða varðveislu rafrænna undirskrifta, innsigla eða vottorða sem tengjast þessum þjónustum.

Traustþjónusta hjálpar þannig meðal annars til við að staðfesta uppruna rafrænna gagna og hvort þeim hafi verið breytt. Henni er ætlað að stuðla að réttaröryggi, trausti og öryggi í rafrænum viðskiptum.

eIDAS-reglugerðin tekur meðal annars til þjónustu sem tengist:

Rafrænum undirskriftum, sem einstaklingar nota til að undirrita rafræn gögn.

Rafrænum innsiglum, sem eru notuð til að tryggja uppruna og heilleika rafrænna gagna frá lögaðila.

Rafrænum tímastimplum, sem tengja rafræn gögn við tiltekinn tíma og færa sönnur á að gögnin hafi verið til á þeim tíma.

Rekjanlegri rafrænni afhendingarþjónustu, sem gerir kleift að senda gögn rafrænt og veitir sönnun fyrir sendingu og móttöku þeirra.

Sannvottun vefsetra, með vottorðum sem gera kleift að sannvotta vefsetur og tengja það við þann einstakling eða lögaðila sem vottorðið er gefið út fyrir.

Traustþjónusta getur verið fullgild eða án fullgildrar stöðu. Um báðar tegundir gilda kröfur samkvæmt lögum, en ríkari kröfur eru gerðar til fullgildrar traustþjónustu og henni fylgja sérstök réttaráhrif eftir því hvaða þjónusta á í hlut.

Lagagrundvöllur: 3. gr. laga nr. 55/2019 og 3. gr. eIDAS-reglugerðarinnar

Hér á landi gilda lög nr. 55/2019 um rafræna auðkenningu og traustþjónustu fyrir rafræn viðskipti. Með lögunum voru ákvæði reglugerðar Evrópusambandsins nr. 910/2014 um rafræna auðkenningu og traustþjónustu fyrir rafræn viðskipti á innri markaðinum, svonefndrar eIDAS-reglugerðar, lögfest hér á landi með þeim aðlögunum sem leiðir af EES-samningnum.

Nánar er fjallað um framkvæmd laganna í reglugerð nr. 100/2020, með síðari breytingum. Þar er meðal annars mælt fyrir um traustlista, tilkynningar um rafrænar auðkenningarskipanir og gildistöku tiltekinna framkvæmdargerða eIDAS-reglugerðarinnar hér á landi.

Markmið eIDAS-reglugerðarinnar
Markmið eIDAS-reglugerðarinnar er að auka traust á rafrænum viðskiptum á innri markaðinum með því að skapa sameiginlegan lagagrundvöll fyrir örugg rafræn samskipti milli einstaklinga, fyrirtækja og opinberra yfirvalda. Þannig er stuðlað að aukinni skilvirkni í stafrænni þjónustu, rafrænum samskiptum og rafrænum viðskiptum innan EES.

Reglugerðinni er jafnframt ætlað að ryðja rafrænum hindrunum úr vegi og auðvelda notkun rafrænna auðkenningarleiða yfir landamæri. Skylda til gagnkvæmrar viðurkenningar rafrænna auðkenningarleiða tekur, að uppfylltum skilyrðum reglugerðarinnar, til leiða sem falla undir tilkynnta auðkenningarskipan og eru notaðar til aðgangs að nettengdri þjónustu opinberra aðila. Fullgild staða traustþjónustuveitanda felur ekki sjálfkrafa í sér að auðkenningarskipan verði tilkynnt.

Hlutverk Fjarskiptastofu
Fjarskiptastofa fer með eftirlit með fullgildum traustþjónustuveitendum og traustþjónustuveitendum án fullgildrar stöðu sem hafa staðfestu á Íslandi. Stofnunin metur hvort skilyrði fyrir veitingu fullgildrar stöðu séu uppfyllt, hefur eftirlit með því að viðeigandi kröfum sé fylgt og kemur á, viðheldur og birtir íslenska traustlistann.

Við framkvæmd eftirlits getur Fjarskiptastofa krafið eftirlitsskylda aðila um nauðsynlegar upplýsingar og gögn. Stofnunin getur jafnframt mælt fyrir um nauðsynlegar aðgerðir eða lagt bann við háttsemi sem brýtur gegn lögunum eða reglum settum samkvæmt þeim.

Lagagrundvöllur: 1., 2. og 4. gr. laga nr. 55/2019, 6., 17. og 22. gr. eIDAS-reglugerðarinnar og reglugerð nr. 100/2020.

Rafræn auðkenning er aðferð sem notar auðkenningargögn á rafrænu formi til þess að staðfesta kennsl einstaklings, lögaðila eða einstaklings sem fulltrúa lögaðila. Þannig er rafræn auðkenning notuð til að ganga úr skugga um að um sé að ræða tiltekinn einstakling eða lögaðila.

Auðkenningargögn eru upplýsingar á rafrænu formi sem standa með einkvæmum hætti fyrir tiltekinn einstakling eða lögaðila og geta meðal annars falið í sér nafn, kennitölu eða önnur auðkenni. Við notkun rafrænnar auðkenningarleiðar, svo sem rafrænna skilríkja, fer síðan fram sannvottun sem gerir kleift að staðfesta rafrænu auðkenninguna, til dæmis við innskráningu í rafræna þjónustu.

Fullvissustig rafrænna auðkenningarleiða
Rafrænar auðkenningarleiðir geta haft mismunandi fullvissustig. Samkvæmt eIDAS-reglugerðinni skiptast stigin í „lágt“, „verulegt“ og „hátt“. Fullvissustig eiga að endurspegla tiltrú á getu rafrænnar auðkenningarleiðar til að staðfesta kennsl aðila og veita vissu fyrir því að sá sem notar leiðina sé í reynd sá sem fékk henni úthlutað.

Fullvissustig er ákvarðað á grundvelli krafna eIDAS-reglugerðarinnar og framkvæmdarreglugerðar (ESB) 2015/1502. Við matið er meðal annars litið til þess hvernig kennsl eru sannprófuð við skráningu, hvernig auðkenningarleið er gefin út og henni stjórnað, hvernig sannvottun fer fram við notkun hennar og hvaða kröfur eru gerðar til stjórnunar og öryggis útgefanda. Fullvissustig ræðst því ekki eingöngu af tæknilegum eiginleikum auðkenningarleiðarinnar, heldnetur einnig af þeim ferlum og öryggisráðstöfunum sem liggja að baki henni.

Fullvissustig rafrænnar auðkenningarleiðar er ekki það sama og fullgild staða traustþjónustu. Þótt sami aðili veiti bæði rafræna auðkenningu og fullgilda traustþjónustu þarf að greina á milli þessara þátta.

Tilkynning auðkenningarskipanar
Rafræn auðkenningarskipan er það fyrirkomulag sem rafrænar auðkenningarleiðir eru gefnar út undir. Við tilkynningu slíkrar skipanar samkvæmt eIDAS-reglugerðinni skal meðal annars tilgreina fullvissustig þeirra auðkenningarleiða sem falla undir hana og sýna fram á að viðeigandi kröfur séu uppfylltar.

Fjarskiptastofa annast tilkynningar til Eftirlitsstofnunar EFTA um rafræna auðkenningarskipan sem ráðherra ákveður að tilkynna, samkvæmt 6. gr. reglugerðar nr. 100/2020.

Lagagrundvöllur: 3. gr. laga nr. 55/2019, 8. og 9. gr. eIDAS-reglugerðarinnar, framkvæmdarreglugerð (ESB) 2015/1502 og 5. og 6. gr. reglugerðar nr. 100/2020.

Fjarskiptastofu hefur verið falið að koma á, viðhalda og birta íslenska traustlistann. Á listanum eru birtar upplýsingar um fullgilda traustþjónustuveitendur sem falla undir ábyrgð íslenska ríkisins, ásamt upplýsingum um þá fullgildu traustþjónustu sem þeir veita.

Traustlistinn gerir einstaklingum, fyrirtækjum og stjórnvöldum kleift að sannreyna hvaða traustþjónustuveitendur og þjónustur hafa fullgilda stöðu samkvæmt eIDAS-reglugerðinni. Skráning á traustlistann er jafnframt forsenda þess að heimilt sé að hefja veitingu þjónustu sem fullgildrar.

Við sannprófun á fullgildri stöðu skal líta til viðeigandi færslu um þjónustuna á traustlistanum, en ekki eingöngu heitis traustþjónustuveitandans. Þar má einnig nálgast upplýsingar um stöðu þjónustunnar og breytingar á henni.

Íslenska traustlistann má nálgast á eftirfarandi formum:

Íslenski traustlistinn á læsilegu formi (PDF).
Íslenski traustlistinn á véltæku formi (XML).
Íslenski traustlistinn á SHA-256 formi (SHA2).

Í traustlistavafra framkvæmdastjórnar Evrópusambandsins er hægt að fletta upp fullgildum traustþjónustuveitendum og þjónustu þeirra í ríkjum EES. Erlendir fullgildir traustþjónustuveitendur geta einnig veitt þjónustu sína á Íslandi í samræmi við eIDAS-reglugerðina.

Lagagrundvöllur og skráning: 21. og 22. gr. eIDAS-reglugerðarinnar, 3. gr. reglugerðar nr. 100/2020 og íslenski traustlistinn

Rafrænar undirskriftir er eflaust sú traustþjónusta sem flestir þekkja, og geta verið með mismunandi hætti og uppfyllt ólíkar kröfur samkvæmt eIDAS-reglugerðinni. Greint er á milli almennra rafrænna undirskrifta, útfærðra rafrænna undirskrifta og fullgildra rafrænna undirskrifta.

Almenn rafræn undirskrift, oft nefnd einföld rafræn undirskrift, felst í rafrænum gögnum sem undirritandi notar til að undirrita önnur rafræn gögn og eru tengd þeim með beinum eða rökrænum hætti. Útfærð rafræn undirskrift þarf að uppfylla ríkari kröfur, meðal annars um tengsl við undirritanda, að unnt sé að bera kennsl á hann og að hægt sé að greina breytingar á undirrituðum gögnum. Til þess að rafræn undirskrift teljist fullgild þarf hún jafnframt að byggjast á fullgildu vottorði fyrir rafrænar undirskriftir og vera mynduð með fullgildum rafrænum undirskriftarbúnaði.

Fullgild rafræn undirskrift hefur sömu réttaráhrif og eiginhandarundirskrift. Aðrar rafrænar undirskriftir geta þó einnig haft réttaráhrif og verið viðurkenndar sem sönnunargögn. Ekki skal hafna því að rafræn undirskrift fái réttaráhrif eða sé viðurkennd sem sönnunargagn í málarekstri einungis af þeirri ástæðu að hún er á rafrænu formi eða uppfyllir ekki kröfur sem gerðar eru til fullgildrar rafrænnar undirskriftar.

Fullgild rafræn undirskrift sem byggist á fullgildu vottorði útgefnu í einu EES-ríki skal viðurkenna sem fullgilda rafræna undirskrift í öðrum EES-ríkjum. Á traustlistum má nálgast upplýsingar um útgefendur fullgildra vottorða og þá fullgildu þjónustu sem þeir veita.

Lagagrundvöllur: 2., 3., 25. og 26. gr. eIDAS-reglugerðarinnar.

Fullgildur traustþjónustuveitandi er sá sem veitir eina eða fleiri tegundir fullgildrar traustþjónustu og sem viðeigandi eftirlitsstofnun hefur veitt fullgilda stöðu.

Fullgild staða er veitt að undangengnu samræmismati og staðfestingu eftirlitsstofnunar á því að traustþjónustuveitandinn og viðkomandi þjónusta uppfylli þær kröfur sem gerðar eru samkvæmt eIDAS-reglugerðinni. Fullgildri traustþjónustu fylgir sérstök lagaleg viðurkenning og, eftir tegund þjónustunnar, tiltekin réttaráhrif.

Fullgild staða tekur aðeins til þeirrar þjónustu sem hefur verið metin og skráð sem fullgild. Þótt fyrirtæki sé fullgildur traustþjónustuveitandi er því ekki sjálfgefið að öll þjónusta þess sé fullgild.

Fullgildir traustþjónustuveitendur með staðfestu á Íslandi

Á Íslandi starfa tveir fullgildir traustþjónustuveitendur:

• Auðkenni, vegna útgáfu fullgildra vottorða fyrir rafrænar undirskriftir og rafræn innsigli.
• Advania Ísland, vegna fullgildrar tímastimplunarþjónustu.

Fullgildir traustþjónustuveitendur með staðfestu í öðrum EES-ríkjum geta einnig veitt þjónustu sína á Íslandi í samræmi við eIDAS-reglugerðina.

Upplýsingar um fullgilda stöðu einstakra traustþjónustuveitenda og þá þjónustu sem þeir veita er að finna á viðeigandi traustlista.

Lagagrundvöllur og skráning: 3. og 21. gr. eIDAS-reglugerðarinnar.

Fullgildir traustþjónustuveitendur sæta virku eftirliti bæði áður en fullgild staða er veitt og eftir að veiting þjónustunnar hefst. Eftirlitinu er ætlað að tryggja að þeir og fullgilda traustþjónustan sem þeir veita uppfylli áfram viðeigandi kröfur.

Reglubundið samræmismat og úttektir
Fullgildir traustþjónustuveitendur skulu á eigin kostnað gangast undir heildstætt samræmismat hjá faggiltri samræmismatsstofu eigi sjaldnar en á 24 mánaða fresti. Á milli slíkra úttekta fer að jafnaði fram eftirlitsúttekt, þannig að úttektir samræmismatsstofu fara almennt fram árlega. Tilgangur úttektanna er að staðfesta að traustþjónustuveitandinn og sú fullgilda traustþjónusta sem hann veitir uppfylli áfram viðeigandi kröfur.
Traustþjónustuveitandinn skal senda Fjarskiptastofu samræmismatsskýrslu innan þriggja virkra daga frá móttöku hennar.

Fjarskiptastofa getur jafnframt hvenær sem er gert úttekt eða óskað eftir því að samræmismatsstofa framkvæmi samræmismat á kostnað traustþjónustuveitandans, til að staðfesta að hann og fullgilda traustþjónustan sem hann veitir uppfylli viðeigandi kröfur.

Ef fullgildur traustþjónustuveitandi uppfyllir ekki lengur viðeigandi skilyrði og bætir ekki úr annmörkum í samræmi við kröfur Fjarskiptastofu getur stofnunin afturkallað fullgilda stöðu veitandans eða þeirrar þjónustu sem annmarkarnir varða. Traustlistinn er uppfærður til samræmis við ákvörðunina.

Breytingar á þjónustu og lok starfsemi
Fullgildur traustþjónustuveitandi skal tilkynna Fjarskiptastofu allar breytingar á veitingu fullgildrar traustþjónustu, þar á meðal breytingar á þeim forsendum sem lágu til grundvallar samræmismati og veitingu fullgildrar stöðu, óháð eðli þeirra eða umfangi. Fyrirhugaðar breytingar skulu tilkynntar með nægilegum fyrirvara til að unnt sé að meta áhrif þeirra á áframhaldandi fullgilda stöðu þjónustunnar.

Verulegar breytingar, svo sem á framkvæmd traustþjónustunnar, verklagi við sannprófun kennsla og útgáfu vottorða, innihaldi vottorða, tæknilegum innviðum eða öryggisráðstöfunum, geta kallað á nýtt eða uppfært samræmismat. Hafi breytingar áhrif á gildissvið eða forsendur fyrra samræmismats skal traustþjónustuveitandi láta faggilta samræmismatsstofu meta breytingarnar og leggja viðeigandi uppfærða samræmismatsskýrslu fyrir Fjarskiptastofu. Slíkar breytingar skulu ekki koma til framkvæmda fyrr en Fjarskiptastofa hefur yfirfarið matið og, eftir því sem við á, staðfest áframhaldandi fullgilda stöðu þjónustunnar eða samþykkt nauðsynlegar breytingar á skráningu hennar á traustlista.

Fullgildur traustþjónustuveitandi skal jafnframt tilkynna Fjarskiptastofu ef hann hyggst hætta veitingu fullgildrar traustþjónustu eða leggja niður starfsemi sína. Veitandinn skal hafa uppfærða áætlun um niðurlagningu starfsemi, meðal annars til að tryggja að viðeigandi upplýsingar verði áfram aðgengilegar og að hagsmuna notenda sé gætt. Mikilvægt er að hafa tímanlegt samráð við Fjarskiptastofu um fyrirhuguð starfslok og áhrif þeirra á fullgilda stöðu og skráningu á traustlista.

Lagagrundvöllur: 17., 20. og 24. gr. eIDAS-reglugerðarinnar og 4. gr. laga nr. 55/2019.

Traustþjónustuveitandi með staðfestu á Íslandi sem hyggst hefja veitingu fullgildrar traustþjónustu skal tilkynna Fjarskiptastofu um fyrirætlun sína og leggja fram samræmismatsskýrslu frá faggiltri samræmismatsstofu. Aðilar með staðfestu í öðru EES-ríki skulu leita til viðeigandi eftirlitsstofnunar þar.

Æskilegt er að hafa samband við Fjarskiptastofu snemma í undirbúningnum til að fá leiðbeiningar um hvaða kröfur eiga við um fyrirhugaða þjónustu og hvernig staðið skuli að framlagningu gagna.

Undirbúningur og kröfur til þjónustunnar
Fyrst þarf að skilgreina hvaða traustþjónustu fyrirhugað er að veita og hvaða kröfur gilda um hana. Auk almennra öryggiskrafna þarf að uppfylla sérstakar kröfur til fullgildra traustþjónustuveitenda og þeirrar þjónustu sem óskað er eftir fullgildingu fyrir.

Kröfurnar varða meðal annars hæfni starfsfólks, stjórnun og öryggi kerfa, varðveislu viðeigandi gagna, áætlun um niðurlagningu starfsemi og fleira. Jafnframt þarf að gera ráðstafanir vegna mögulegrar skaðabótaábyrgðar, svo sem með nægilegu fjármagni eða viðeigandi ábyrgðartryggingum. Við útgáfu fullgildra vottorða gilda einnig sérstakar kröfur um sannprófun kennsla og, eftir því sem við á, eiginda.

Veita þarf upplýsingar um hvernig þessum kröfum og fleirum er fullnægt í framkvæmd. Við undirbúning og samræmismat þarf að taka mið af þeim tækniforskriftum og stöðlum sem eiga við um viðkomandi þjónustu.

Samræmismat
Samræmismatsstofa metur hvort traustþjónustuveitandinn og fyrirhuguð fullgild traustþjónusta uppfylli viðeigandi kröfur eIDAS-reglugerðarinnar. Tryggja þarf að faggilding samræmismatsstofunnar taki til þeirrar tegundar samræmismats sem óskað er eftir.

Niðurstöður matsins skulu koma fram í samræmismatsskýrslu. Að fenginni skýrslunni tekur Fjarskiptastofa sjálfstæða ákvörðun um hvort veita skuli fullgilda stöðu. Samræmismat eða vottorð frá samræmismatsstofu veitir því ekki eitt og sér fullgilda stöðu.

Upplýsingar um samræmismatsstofur má nálgast hjá framkvæmdastjórn Evrópusambandsins.

Tilkynning og fylgigögn
Með tilkynningu til Fjarskiptastofu skal fylgja samræmismatsskýrsla, sem skal berast innan þriggja daga frá því að hún var afhent traustþjónustuaðila. Í tilkynningunni ætti jafnframt að koma skýrt fram hver veitandinn er, hver sé tengiliður hans og hvaða þjónustu óskað er eftir fullgildri stöðu fyrir.

Með samræmismatsskýrslu skulu fylgja þau gögn og skjöl sem lágu til grundvallar samræmismatinu, svo Fjarskiptastofa geti yfirfarið forsendur þess og sannreynt niðurstöður. Eftir eðli þjónustunnar skulu meðal annars fylgja:

• lýsing á þjónustunni, skipulagi og ábyrgð, þar á meðal aðkomu undirverktaka,
• starfsreglur, þjónustuskilmálar og eftir atvikum vottorða- og framkvæmdastefnur,
• áhættumat, lýsing á öryggisráðstöfunum og viðbragðsáætlanir vegna öryggisatvika og rekstrartruflana,
• áætlun um niðurlagningu starfsemi og upplýsingar um varðveislu gagna og ráðstafanir vegna skaðabótaábyrgðar.

Fjarskiptastofa getur óskað eftir frekari gögnum og skýringum sem nauðsynleg eru til að meta hvort viðeigandi kröfur séu uppfylltar.

Skráning á traustlista
Að lokinni yfirferð tilkynningar og samræmismatsskýrslu tekur Fjarskiptastofa ákvörðun um hvort veita skuli traustþjónustuveitanda og viðkomandi þjónustu fullgilda stöðu. Samkvæmt 21. gr. eIDAS-reglugerðarinnar skal afgreiðslu að jafnaði lokið innan þriggja mánaða frá tilkynningu, en yfirferð getur tekið lengri tíma. Í slíkum tilvikum skal Fjarskiptastofa upplýsa veitandann um ástæður tafarinnar og hvenær áætlað er að yfirferðinni ljúki.

Sé fullgild staða veitt eru upplýsingar um traustþjónustuveitandann og viðkomandi fullgilda þjónustu færðar á íslenska traustlistann. Heimilt er að hefja veitingu þjónustunnar sem fullgildrar þegar skráning á traustlistann hefur farið fram.

Lagagrundvöllur: 3., 19., 21. og 24. gr. eIDAS-reglugerðarinnar og 4. og 7. gr. laga nr. 55/2019.

Traustþjónustuveitandi án fullgildrar stöðu er aðili sem veitir eina eða fleiri tegundir traustþjónustu án þess að hafa fengið fullgilda stöðu samkvæmt eIDAS-reglugerðinni.

Slík þjónusta getur haft réttaráhrif og sönnunargildi þótt hún njóti ekki þeirrar sérstöku stöðu sem fullgild traustþjónusta hefur samkvæmt reglugerðinni. Veitendur hennar bera ábyrgð á að uppfylla þær kröfur sem eiga við um starfsemina og lúta eftirliti Fjarskiptastofu.

Kröfur til starfseminnar
Traustþjónustuveitendur án fullgildrar stöðu skulu uppfylla þær kröfur eIDAS-reglugerðarinnar sem eiga við um starfsemi þeirra. Helstu ákvæði sem gilda um slíka veitendur eru eftirfarandi:
• 5. gr. - meðferð persónuupplýsinga: Við vinnslu persónuupplýsinga skal fylgja gildandi persónuverndarlöggjöf.
• 13. gr. - skaðabótaábyrgð: Traustþjónustuveitendur bera ábyrgð á tjóni sem þeir valda af ásetningi eða gáleysi vegna þess að þeir uppfylla ekki skyldur sínar samkvæmt reglugerðinni.
• 15. gr. - aðgengi að þjónustu: Traustþjónusta og vörur fyrir endanotendur sem notaðar eru við veitingu hennar skulu vera aðgengilegar fötluðu fólki eftir því sem framkvæmanlegt er.
• 19. gr. - öryggiskröfur og tilkynningarskylda: Traustþjónustuveitendur skulu gera viðeigandi tæknilegar og skipulagslegar ráðstafanir til að stýra öryggisáhættu þeirrar þjónustu sem þeir veita. Öryggisráðstafanir skulu taka mið af nýjustu tækniþróun og vera í réttu hlutfalli við áhættuna. Jafnframt ber að tilkynna Fjarskiptastofu um öryggisbresti eða skerðingu á heilleika sem hafa veruleg áhrif á þjónustuna eða persónuupplýsingar sem varðveittar eru í tengslum við hana, án ástæðulausrar tafar og eigi síðar en 24 klukkustundum eftir að þeirra verður vart. Eftir atvikum skal einnig upplýsa viðkomandi notendur og önnur lögbær stjórnvöld.

Aðrar kröfur geta einnig átt við eftir því hvers konar traustþjónustu er um að ræða. Við útfærslu öryggisráðstafana má meðal annars hafa hliðsjón af viðeigandi stöðlum, svo sem ETSI EN 319 401 um almennar kröfur til traustþjónustuveitenda. Ekki felst þó í því að allar kröfur til fullgildrar traustþjónustu gildi sjálfkrafa um þjónustu án fullgildrar stöðu.

Er samræmismats krafist?
Traustþjónusta án fullgildrar stöðu er ekki háð því samþykktar- og reglubundna samræmismatsferli sem gildir um fullgilda traustþjónustu samkvæmt 20. og 21. gr. eIDAS-reglugerðarinnar.

Aðili sem hyggst veita traustþjónustu án fullgildrar stöðu ætti að greina hvort fyrirhuguð starfsemi falli undir skilgreiningu laganna á traustþjónustu og hvaða kröfur gildi um hana. Leita má leiðbeininga hjá Fjarskiptastofu ef vafi er um það. Óheimilt er að koma fram sem fullgildur traustþjónustuveitandi án tilskilinnar skráningar.

Eftirlit Fjarskiptastofu
Fjarskiptastofa fer með eftirlit með traustþjónustuvitendum án fullgildrar stöðu skv. b-lið 3. mgr. 17. gr. eIDAS-reglugerðarinnar. Eftirlitið er fyrst og fremst framkvæmt eftir á, þegar stofnuninni berast upplýsingar um eða hún verður þess vör að traustþjónustuveitandi uppfylli ekki viðeigandi kröfur reglugerðarinnar. Fjarskiptastofa getur þó haft frumkvæði að samskiptum við traustþjónustuveitendur án fullgildrar stöðu, meðal annars með því að óska eftir fundum eða upplýsingum um starfsemi þeirra. Tilgangur slíkra samskipta er meðal annars að tryggja að stofnunin hafi yfirsýn yfir þá traustþjónustu sem veitt er hér á landi og starfsemi þeirra aðila sem undir eftirlit hennar heyra.

Fjarskiptastofa getur samkvæmt 4. gr. laga nr. 55/2019 krafið eftirlitsskylda aðila um upplýsingar og gögn sem nauðsynleg eru vegna eftirlitsins og mælt fyrir um úrbætur þegar við á.
Lagagrundvöllur: 3., 5., 15., 17., 19., 20. og 21. gr. eIDAS-reglugerðarinnar og 4.–7. gr. laga nr. 55/2019. Til hliðsjónar um öryggisráðstafanir: ETSI EN 319 401.

Tilkynningarskylda vegna öryggisatvika nær bæði til fullgildra traustþjónustuveitenda og traustþjónustuveitenda án fullgildrar stöðu.

Traustþjónustuveitandi skal án ástæðulausrar tafar, og í öllum tilvikum innan 24 klukkustunda frá því að honum verður atvikið ljóst, tilkynna Fjarskiptastofu um öryggisrof eða glötun á heilleika sem hefur umtalsverð áhrif á traustþjónustuna sem hann veitir eða á persónuupplýsingar sem í henni felast. Eftir atvikum skal einnig tilkynna öðrum viðeigandi stjórnvöldum.

Sé líklegt að atvikið hafi skaðleg áhrif á einstakling eða lögaðila sem hefur verið veitt traustþjónusta skal veitandinn einnig upplýsa viðkomandi um atvikið án ástæðulausrar tafar.

Tilkynning ætti að lýsa eðli atviksins, hvenær þess varð vart, hvaða þjónusta og notendur kunna að verða fyrir áhrifum og hvaða ráðstafanir hafa verið gerðar eða eru fyrirhugaðar. Ekki ætti að bíða eftir endanlegri niðurstöðu rannsóknar áður en tilkynnt er um atvik sem fellur undir tilkynningarskylduna. Viðbótarupplýsingar má veita eftir því sem rannsókn vindur fram.

Tilkynningar skulu berast á oryggisatvik@fjarskiptastofa.is.

Lagagrundvöllur: 19. gr. eIDAS-reglugerðarinnar.

Þegar fullgild staða hefur verið birt á traustlista mega fullgildir traustþjónustuveitendur nota traustmerki Evrópusambandsins til að auðkenna þá fullgildu traustþjónustu sem þeir veita.

Traustmerkinu er ætlað að gera notendum kleift að aðgreina fullgilda traustþjónustu með skýrum hætti frá annarri traustþjónustu og stuðla þannig að gagnsæi á innri markaðinum.

Notkun traustmerkisins er valkvæð. Kjósi fullgildur traustþjónustuveitandi að nota merkið skal hlekkur á viðeigandi traustlista vera aðgengilegur á vefsíðu hans. Notkun merkisins skal vera bundin við þá þjónustu sem skráð er sem fullgild.

Lagagrundvöllur: 23. gr. eIDAS-reglugerðarinnar.

Fyrirspurnum um traustþjónustu, fullgildingu og eftirlit má beina til Fjarskiptastofu á netfangið fjarskiptastofa@fjarskiptastofa.is.