Вимоги до безпеки, застосовні до надавачів довірчих послуг
1. Кваліфіковані і некваліфіковані надавачі довірчих послуг вживають відповідних технічних та організаційних заходів для управління ризиками, яким піддається безпека надаваних ними довірчих послуг. Беручи до уваги останні технічні досягнення, такі заходи повинні забезпечити сумірність рівня безпеки ступеню ризику. Зокрема, необхідно вжити заходів для запобігання впливу інцидентів у сфері безпеки, їх мінімізації та інформування стейкхолдерів про негативні наслідки будь-яких таких інцидентів.
2. Кваліфіковані і некваліфіковані надавачі довірчих послуг повідомляють наглядовий орган та,за доцільності, інші відповідні органи, такі як компетентний національний орган із інформаційної безпеки або орган з питань захисту даних, про будь-які порушення безпеки або втрату цілісності, які мають істотний вплив на надавану довірчу послугу або на персональні дані, використовувані у її межах, без зайвих зволікань та в будь-якому разі протягом 24 годин після того, як їм це стало відомо про таке.
Якщо існує ймовірність, що порушення безпеки або втрата цілісності можуть негативно вплинути на фізичну або юридичну особу, якій надано довірчу послугу, надавач довірчої послуги також повідомляє без зайвих зволікань фізичну або юридичну особу про порушення безпеки або втрату цілісності.
За доцільності, зокрема якщо порушення безпеки або втрата цілісності стосується двох або більше держав-членів, наглядовий орган, якому надійшло повідомлення, інформує наглядові органи інших відповідних держав-членів та ENISA.
Наглядовий орган, якому надіслано повідомлення, інформує широкий загал або вимагає від надавача довірчих послуг зробити це, якщо він встановить, що розкриття інформації про порушення безпеки або втрати цілісності має суспільний інтерес.
3. Наглядовий орган раз на рік надає ENISA стислий виклад повідомлень про порушення безпеки та втрату цілісності, отриманих від надавачів довірчих послуг.
4. Комісія може шляхом ухвалення імплементаційних актів:
(a) додатково визначити заходи, зазначені в параграфі 1; та
(b) визначити формати і процедури, у тому числі кінцеві терміни, застосовні для цілей параграфа 2.
Такі імплементаційні акти ухвалюють відповідно до експертної процедури, зазначеної в статті 48(2).
СЕКЦІЯ 3
Кваліфіковані довірчі послуги