126. löggjafarþing 2000–2001.

Þskj. 372 — 312. mál.

Tillaga til þingsályktunar

um staðfestingu ákvörðunar sameiginlegu EES-nefndarinnar nr. 66/2000, um breytingu á XI. viðauka (Fjarskiptaþjónusta) við EES-samninginn.

(Lögð fyrir Alþingi á 126. löggjafarþingi 2000–2001.)

Alþingi ályktar að heimila ríkisstjórninni að staðfesta fyrir Íslands hönd ákvörðun sam
eiginlegu EES-nefndarinnar nr. 66/2000 frá 2. ágúst 2000, um breytingu á XI. viðauka (Fjar
skiptaþjónusta) við EES-samninginn frá 2. maí 1992, og fella inn í samninginn tilskipun Evrópuþingsins og ráðsins nr. 93/1999 frá 13. desember 1999, um ramma bandalagsins varð
andi rafrænar undirskriftir.

Athugasemdir við þingsályktunartillögu þessa.

1. Inngangur.

Með þingsályktunartillögu þessari er leitað heimildar Alþingis til staðfestingar á ákvörðun sameiginlegu EES-nefndarinnar nr. 66/2000 frá 2. ágúst 2000, um breytingu á XI. viðauka (Fjarskiptaþjónusta) við EES-samninginn frá 2. maí 1992. Sú gerð sem hér um ræðir varðar ramma bandalagsins um rafræna undirskrift.

Ákvörðun þessi kallar á lagabreytingar hér á landi og var tekin af sameiginlegu EES-
nefndinni með stjórnskipulegum fyrirvara af Íslands hálfu. Í tillögu þessari er gerð nánari grein fyrir því hvað felst í slíkum fyrirvara, sbr. 103. gr. EES-samningsins. Jafnframt er gerð grein fyrir efni þeirrar tilskipunar sem hér um ræðir og nauðsynlegum lagabreytingum til inn
leiðingar hennar í íslenskan rétt. Gerð þessi felur ekki í sér breytingar á þeim meginreglum sem í EES-samningnum felast.

Sú málsmeðferð sem hér um ræðir er sú sama og viðhöfð var í tengslum við alls 19 ákvarðanir sameiginlegu EES-nefndarinnar er eins var ástatt um en þingsályktunartillaga þess efnis var flutt og afgreidd á 125. löggjafarþingi. Í athugasemdum með þeirri tillögu var skýrt frá því að framvegis yrði það verklag viðhaft að flytja sérstaka þingsályktun um þær ákvarðanir sem samþykktar hafa verið af sameiginlegu EES-nefndinni með fyrirvara skv. 103. gr. EES-samningsins.

Ákvörðun sameiginlegu EES-nefndarinnar sem hér um ræðir eru prentuð sem fylgiskjal með tillögu þessari ásamt viðeigandi gerð.

2. Um stjórnskipulegan fyrirvara.

Ákvarðanir sameiginlegu EES-nefndarinnar um breytingar á viðaukum eða bókunum við EES-samninginn eru þjóðréttarsamningar. Samkvæmt samningnum er ekki gert ráð fyrir því að í ákvörðunum sé kveðið á um að gildistaka þeirra gagnvart aðildarríkjunum sé háð stað
festingu þeirra heima fyrir. Þær verða með öðrum orðum skuldbindandi fyrir aðildarríkin um leið og þær hafa verið teknar nema eitthvert aðildarríkjanna beiti heimild í 103. gr. EES-
samningsins til að gera fyrirvara um að ákvörðun geti ekki orðið bindandi strax vegna stjórn
skipulegra skilyrða heima fyrir. Hafa ríkin sex mánaða frest frá töku ákvörðunar í sameigin
legu nefndinni til að aflétta fyrirvaranum. Með þessu er vísað til nauðsynlegs atbeina þjóð
þinga aðildarríkjanna og af hálfu Íslands hefur fyrirvara þessum því einungis verið beitt þeg
ar ljóst er að ákvörðun kallar á lagabreytingar. Frá því að EES-samningurinn tók gildi hefur Ísland beitt þessum fyrirvara alls 43 sinnum. Almennt hefur ekki verið leitað sérstaks sam
þykkis Alþingis áður en stjórnskipulegum fyrirvara er aflétt heldur látið við það sitja að Al
þingi hafi samþykkt nauðsynlegar lagabreytingar vegna innleiðingar ákvarðana. Þetta felur í sér nokkuð frávik frá almennri meðferð vegna staðfestingar þjóðréttarsamninga þar sem at
beina Alþingis er krafist en á sér skýringar í sérstöðu ákvarðana sameiginlegu EES-nefndar
innar meðal þjóðréttarsamninga. Hins vegar hafa nokkrir ókostir fylgt þessu fyrirkomulagi. Má þar helst nefna annars vegar að nokkuð mismunandi er með hvaða hætti það hefur komið fram í lagafrumvörpum hvernig þau tengjast tilteknum ákvörðunum sameiginlegu EES-
nefndarinnar og hins vegar að með þessari aðferð hefur skort á að Alþingi hafi verið gefinn kostur á að taka beina afstöðu til staðfestingar einstakra ákvarðana nefndarinnar. Í vissum tilvikum hafa ákvarðanir sameiginlegu EES-nefndarinnar kveðið á um að bætt sé við EES-
samninginn tiltekinni EB-gerð sem ekki öðlast gildi innan Evrópusambandsins fyrr en ein
hverjum misserum eða jafnvel árum seinna. Samkvæmt EES-samningnum er Ísland skuld
bundið til að taka endanlega afstöðu til þess hvort slík gerð verði hluti samningsins innan sex mánaða frá töku ákvörðunarinnar í sameiginlegu EES-nefndinni en hefur sama svigrúm og önnur aðildarríki samningsins til að innleiða viðkomandi gerð í landsrétt. Fram að þessu hefði eina leiðin verið sú að setja lög til innleiðingar þessara gerða innan sex mánaða frests
ins en þau lög hefðu þá að sjálfsögðu ekki þurft að taka gildi fyrr en á ætluðum gildistöku
degi gerðarinnar. Þetta er mjög óheppileg leið þar sem við undirbúning slíkrar lagasetningar er oft og tíðum horft til fordæma erlendis frá en þar er að jafnaði ekki hugað að slíkri laga
setningu fyrr en nær dregur gildistöku viðkomandi gerðar. Að þessari leið slepptri er eina leiðin til að virða samningsskuldbindingar Íslands að leita sérstaks samþykkis Alþingis í formi þingsályktunar.

Að öllu þessu virtu verður að teljast rétt að færa almenna meðferð þeirra ákvarðana sam
eiginlegu EES-nefndarinnar þar sem Ísland hefur gert stjórnskipulegan fyrirvara til samræmis við meðferð þjóðréttarsamninga. Í því felst að almennt verður leitað sérstaklega eftir sam
þykki Alþingis til staðfestingar á sérhverri ákvörðun sameiginlegu EES-nefndarinnar sem stjórnskipulegur fyrirvari hefur verið gerður við. Slíks samþykkis verður leitað í formi þings
ályktunar en viðeigandi ráðuneyti munu samhliða undirbúa nauðsynleg frumvörp til laga
breytinga. Jafnframt verður þeirri föstu vinnureglu komið á, með vísan til 24. gr. laga um þingsköp Alþingis, að haft verði samráð við utanríkismálanefnd um efni þessara ákvarðana meðan þær eru á undirbúningsstigi.

3. Ákvörðun sameiginlegu EES-nefndarinnar nr. 66/2000, um ramma bandalagsins varðandi rafræna undirskrift.

Með tilskipuninni eru settar lágmarksreglur varðandi öryggi og ábyrgð vegna rafrænna undirskrifta og tryggt að rafrænar undirskriftir njóti viðurkenningar að lögum í löndum Evrópska efnahagssvæðisins. Tilskipuninni er þannig m.a. ætlað að skapa ramma fyrir örugg viðskipti á netinu á hinum innri markaði EES og örva þannig fjárfestingu í fyrirtækjum tengdum upplýsingasamfélaginu.

Tilskipuninni er ætlað að vera tæknilega hlutlaus, en hún fjallar í raun í öllum grundvallar
atriðum um stafrænar undirskriftir og notkun á opinberu dulkóðunarkerfi (PKI). Mögulegt er að aðrar lausnir, eins og líffræðileg kennimerki, verði í framtíðinni notuð í tengslum við stafrænar undirskriftir.

Tilskipunin fjallar um:

Markaðsaðgang: Ríkin mega ekki gera kröfur um að vottunaraðilar þurfi að fá leyfi fyrir fram til að stunda starfsemi sína. Ríkin geta hins vegar komið á fót frjálsum viðurkenningar
kerfum til að koma á vottunarkerfi með enn meiri öryggiskröfum. Ríkin skulu tryggja að starfrækt sé kerfi til að hafa eftirlit með vottunaraðilum sem gefa út fullgild vottorð. Ríkjun
um er heimilt að setja nánari reglur um notkun rafrænna undirskrifta hjá stjórnvöldum.

Innri markaðinn: Vottunaraðilar, sem hafa staðfestu innan EES, geta boðið þjónustu sína í öllum aðildarríkjunum. Ríkin skulu einnig tryggja frjáls viðskipti innan svæðisins með ör
uggan undirskriftarbúnað sem uppfyllir ákvæði tilskipunarinnar.

Réttaráhrif: Ríkin skulu tryggja að þróuð rafræn undirskrift, sem studd er af fullgildu vott
orði og gerð með öruggum undirskriftarbúnaði, njóti sömu stöðu að lögum og handskrifaðar undirskriftir og unnt sé að leggja þær fram sem sönnunargögn í dómi með sama hætti og handritaðar undirskriftir. Ríkin skulu einnig tryggja að rafrænum undirskriftum sem ekki uppfylla skilyrði laganna verði ekki neitað um réttaráhrif eingöngu á þeim grundvelli að þær séu rafrænar eða að þær uppfylli ekki ákvæði laganna.

Ábyrgð: Til að skapa traust hjá þeim sem reiða sig á vottorð eru í tilskipuninni reglur um skaðabótaábyrgð vottunaraðila. Ríkin skulu tryggja að vottunaraðilar, sem gefa út fullgild vottorð til almennings, séu ábyrgir fyrir því að upplýsingar sem fram koma í vottorði séu rétt
ar, í samræmi við kröfur tilskipunarinnar og að persónan sem borin er kennsl á í vottorði sé undirritandi. Hins vegar verður vottunaraðilinn ekki bótaskyldur ef hann getur sýnt fram á að hann hafi ekki sýnt af sér gáleysi. Vottunaraðilinn er ekki heldur bótaskyldur sé undir
skrift notuð þannig að ekki samræmist gildi eða takmörkunum þeim sem fram koma í vott
orði.

Alþjóðleg sjónarmið: Ríkin skulu tryggja að vottorð, sem gefin eru í út í landi sem er utan EES, njóti sömu stöðu og fullgild vottorð gefin út innan EES ef vottunaraðilinn er aðili að frjálsu viðurkenningarkerfi í EES-landi, ef vottunaraðili sem uppfyllir ákvæði tilskipunarinn
ar ábyrgist vottorðið eða vottunaraðilinn nýtur viðurkenningar samkvæmt alþjóðlegum samn
ingum.

Persónuvernd: Ríkin skulu tryggja að starfsemi vottunaraðila sé í samræmi við tilskipun 95/46/ESB um vernd persónuupplýsinga. Söfnun vottunaraðila á persónuupplýsingum skal bundin við það sem er nauðsynlegt til að gefa út vottorð og skal vera beint frá þeim sem upp
lýsingarnar stafa frá. Ekki er heimilt að nota slíkar upplýsingar til annars nema með beinu samþykki. Ef undirritandi óskar eftir því skal í vottorði koma fram dulnefni í stað nafns undirritanda. Í slíkum tilvikum getur verið nauðsynlegt að stjórnvöld hafi aðgang að því hver dulnefnið ber. Séu slíkar upplýsingar veittar er rétt að veita undirritanda upplýsingar um það.

Sérstaka nefnd: Samkvæmt 9. og 10. gr. tilskipunarinnar skal sett á fót nefnd til að aðstoða framkvæmdastjórn ESB við að framkvæma tilskipunina. Nefndin skal m.a. vinna að og skýra kröfur sem fram koma í viðaukum tilskipunarinnar og varðandi öruggan undirritunarbúnað. EFTA-ríkin hafa rétt til setu í nefndinni án atkvæðisréttar.

Innleiðingu tilskipunarinnar: Aðildarríkin skulu samþykkja nauðsynleg lög og stjórnsýslu
fyrirmæli til að fara að tilskipuninni fyrir 19. júlí 2001.

Á þessari stundu er ekki ljóst hvort og þá hve mikill kostnaður mun hljótast af framkvæmd tilskipunarinnar hér á landi en hafa ber í huga að ástæða er til að ætla að tilskipunin muni á móti leiða til verulegs sparnaðar í viðskiptalífinu. Þannig má ætla að heildaráhrifin verði já
kvæð.

Verði þingsályktun þessi samþykkt þarf að koma til breyting á löggjöf hér á landi og er unnið að gerð lagafrumvarps þar að lútandi undir forustu iðnaðar- og viðskiptaráðuneytis og er gert ráð fyrir að það verði lagt fyrir yfirstandandi þing.

Fylgiskjal I.

ÁKVÖRÐUN SAMEIGINLEGU EES-NEFNDARINNAR

nr. 66/2000

frá 2. ágúst 2000

um breytingu á XI. viðauka (Fjarskiptaþjónusta)

við EES-samninginn

SAMEIGINLEGA EES-NEFNDIN HEFUR,

með hliðsjón af samningnum um Evrópska efnahagssvæðið, eins og hann var aðlagaður með bókun um breytingu á samningnum um Evrópska efnahagssvæðið, er nefnist hér á eftir samn
ingurinn, einkum 98. gr.,

og að teknu tilliti til eftirfarandi:

1)	XI. viðauka við samninginn var breytt með ákvörðun sameiginlegu EES-nefndarinnar nr. 175/1999 frá 17. desember 1999(1).

2)	Tilskipun Evrópuþingsins og ráðsins 1999/93/EB frá 13. desember 1999 um ramma bandalagsins varðandi rafræna undirskrift(2) skal felld inn í samninginn.

3)	Að því er samninginn varðar ber að aðlaga ákvæði tilskipunar 1999/93/EB sem fjalla um þriðju lönd.

ÁKVEÐIÐ EFTIRFARANDI:

1. gr.

Eftirfarandi komi aftan við lið 5f (tilskipun Evrópuþingsins og ráðsins 97/66/EB) í XI. við
auka við samninginn:

,,5g.	399 L 0093: Tilskipun Evrópuþingsins og ráðsins 1999/93 frá 13. desember 1999 um ramma bandalagsins varðandi rafræna undirskrift (Stjtíð. EB L 13, 19.1.2000, bls. 12).

Ákvæði tilskipunarinnar skulu, að því er þennan samning varðar, aðlöguð sem hér segir:

a)	í c-lið 1. mgr. 7. gr. komi orðin ,,eða milli EFTA-ríkis og þriðju landa eða al
þjóðastofnana" á eftir orðinu ,,stofnanir",

b)	í aðstæðum sem um getur í 2. mgr. 7. gr. skulu samningsaðilarnir láta hverjum öðrum í té upplýsingar og hafa samráð innan sameiginlegu EES-nefndarinnar, ef farið er fram á slíkt,

c)	í hvert sinn þegar bandalagið semur við þriðja land um markaðsaðgang fyrir fyrirtæki bandalagsins á grundvelli 3. mgr. 7. gr. skal hún kappkosta að fá sömu kjör fyrir fyrirtæki EFTA-ríkjanna ".

2. gr.

Texti tilskipunar Evrópuþingsins og ráðsins 1999/93/EB á íslensku og norsku, sem verður birtur í EES-viðbæti við Stjórnartíðindi Evrópubandalaganna, telst fullgiltur.

3. gr.

Ákvörðun þessi öðlast gildi þann 3. ágúst 2000, að því tilskildu að allar tilkynningar sam
kvæmt 1. mgr. 103. gr. samningsins hafi verið sendar sameiginlegu EES-nefndinni(*).

4. gr.

Ákvörðun þessi skal birt í EES-deild og EES-viðbæti við Stjórnartíðindi Evrópubandalag
anna.

Gjört í Brussel 2. ágúst 2000.

Fyrir hönd sameiginlegu EES-nefndarinnar

Formaður

G. S. Gunnarsson

Ritarar

sameiginlegu EES-nefndarinnar

G. Vik	E. Gerner

Fylgiskjal II.

TILSKIPUN EVRÓPUÞINGSINS OG RÁÐSINS 1999/93/EB

frá 13. desember 1999

um ramma bandalagsins varðandi rafrænar undirskriftir

EVRÓPUÞINGIÐ OG RÁÐ EVRÓPUSAMBANDSINS HAFA,

með hliðsjón af stofnsáttmála Evrópubandalagsins, einkum 2. mgr. 47. gr., 55 og 95. gr.,

með hliðsjón af tillögu framkvæmdastjórnarinnar (1),

með hliðsjón af áliti efnahags- og félagsmálanefnd
arinnar (2),

með hliðsjón af áliti svæðanefndarinnar (3),

í samræmi við málsmeðferðina sem mælt er fyrir um í 251. gr. sáttmálans (4),

og að teknu tilliti til eftirfarandi:

1)	Hinn 16. apríl 1997 lagði framkvæmdastjórnin fyrir Evrópuþingið, ráðið, efnahags- og félags
málanefndina og svæðanefndina orðsendingu um evrópskt framtaksverkefni á sviði rafrænnar verslunar.

2)	Hinn 8. október 1997 lagði framkvæmdastjórn
in fyrir Evrópuþingið, ráðið, efnahags- og fé
lagsmálanefndina og svæðanefndina orðsend
ingu um að tryggja öryggi og tiltrú í rafrænum samskiptum — í þágu Evrópuramma fyrir staf
rænar undirskriftir og dulkóðun.

3)	Hinn 1. desember 1997 fór ráðið þess á leit við framkvæmdastjórnina að hún legði eins fljótt og unnt er fram tillögu að tilskipun Evrópu
þingsins og ráðsins um rafrænar undirskriftir.

4)	Rafræn samskipti og verslun útheimta rafrænar undirskriftir og tengda þjónustu sem gerir kleift að sanna uppruna upplýsinga. Mismun
andi reglur í aðildarríkjunum um lagalega við
urkenningu rafrænna undirskrifta og faggild
ingu vottunaraðila kunna að torvelda notkun rafrænna samskipta og verslunar verulega. Á hinn bóginn mun skýr bandalagsrammi um þau skilyrði sem gilda um rafrænar undirskriftir auka tiltrú á þessari nýju tækni og stuðla að al
mennri viðurkenningu hennar. Löggjöf að
ildarríkjanna ætti ekki að hindra frjálsa vöru
flutninga og frjálsa þjónustustarfsemi á hinum innri markaði.

5)	Stuðla ber að rekstarsamhæfi vara til rafrænna undirskrifta. Í samræmi við 14. gr. sáttmálans myndar innri markaðurinn svæði án innri landamæra þar sem frjálsir vöruflutningar eru tryggðir. Uppfylla ber grunnkröfur sem gilda sérstaklega um vörur til rafrænna undirskrifta til þess að tryggja frjálsa flutninga innan innri markaðarins og skapa traust á rafrænum undir
skriftum, með fyrirvara um reglugerð ráðsins (EB) nr. 3381/94 frá 19. desember 1994 um að koma á bandalagsskipan um eftirlit með út
flutningi vara sem þjóna tvenns konar tilgangi (5) og ákvörðun ráðsins 94/942/CFSP frá 19. desember 1994 um sameiginlegar aðgerðir sem ráðið hefur samþykkt um eftirlit með útflutn
ingi vara sem þjóna tvenns konar tilgangi (6).

6)	Þessi tilskipun fjallar ekki um samhæfingu þjónustuveitingar með tilliti til upplýsinga
leyndar ef innlend ákvæði, sem fjalla um alls
herjarreglu eða almannaöryggi, gilda um slíka þjónustuveitingu.

7)	Innri markaðurinn tryggir frjálsa fólksflutninga sem hefur í för með sér að borgarar í Evrópu
sambandinu og þeir sem eru búsettir þar þurfa í auknum mæli að eiga samskipti við yfirvöld í öðrum aðildarríkjum en því þar sem þeir hafa fasta búsetu. Framboð á rafrænum samskiptum gæti gert mikið gagn í þessu tilliti.

8)	Hröð tækniþróun og hnattrænir eiginleikar Netsins útheimta nálgun sem býður heim marg
víslegri tækni og þjónustu sem gerir kleift að sanna uppruna upplýsinga með rafrænum hætti.

9)	Rafrænar undirskriftir verða notaðar við marg
háttaðar aðstæður og aðgerðir sem leiðir af sér margvíslega nýja þjónustu og vörur sem til raf
rænna undirskrifta eða krefjast notkunar þeirra. Skilgreiningu slíkra vara og þjónustu ber ekki að einskorða við útgáfu skilríkja og umsýslu vegna þeirra, heldur ætti slík skilgreining einnig að ná til hvers kyns annarrar þjónustu og allra vara þar sem rafrænar undirskriftir eru notaðar eða sem eru þeim til eflingar, eins og skráningarþjónustu, tímastimplunar, upplýs
ingaþjónustu, þjónustu á sviði gagnameðferðar eða ráðgjafarþjónustu sem tengist rafrænum undirskriftum.

10)	Innri markaðurinn gerir vottunaraðilum kleift að þróa starfsemi sína yfir landamæri í því skyni að auka samkeppnishæfni sína og að bjóða neytendum og fyrirtækjum þannig ný tækifæri til rafrænna upplýsingaskipta og við
skipta með öruggum hætti án tillits til landa
mæra. Í því augnamiði að efla vottunarþjónustu á opnum netum vítt og breitt í bandalaginu ætti vottunaraðilum að vera frjálst að bjóða fram þjónustu sína án heimildar sem er veitt fyrir
fram. Með heimild, sem er veitt fyrirfram, er ekki aðeins átt við leyfi þar sem viðkomandi vottunaraðili skal útvega sér ákvörðun inn
lendra yfirvalda áður en honum er heimilt að veita vottunarþjónustu, heldur og allar aðrar ráðstafanir sem hafa sömu áhrif.

11)	Skipulag valfrjálsrar faggildingar, sem miðar að bættri þjónustuveitingu, gæti verið réttur grundvöllur fyrir vottunaraðila til þess að þróa enn frekar þjónustustarfsemi sína í því skyni að skapa það traust, öryggi og gæði sem hinn vax
andi markaður krefst. Fyrrnefnt skipulag ætti að stuðla að þróun ákjósanlegustu starfshátta vottunaraðila. Vottunaraðilum ætti að vera frjálst að vera þátttakendur í slíku faggildingar
skipulagi og njóta góðs af því.

12)	Opinberir aðilar, lögpersónur eða einstaklingar, sem eru viðurkenndir í samræmi við innlend lög, geta boðið fram vottunarþjónustu. Aðild
arríkin ættu ekki að banna vottunaraðilum að starfa utan skipulags valfrjálsrar faggildingar. Tryggja ber að slíkt faggildingarskipulag dragi ekki úr samkeppni á vottunarþjónustu.

13)	Aðildarríkjunum er heimilt að ákveða með hvaða hætti þau tryggja eftirlit með því að far
ið sé að ákvæðunum sem mælt er fyrir um í þessari tilskipun. Tilskipun þessi útilokar ekki að komið verði á fót einkareknum eftirlitskerf
um. Vottunaraðilum er ekki skylt, samkvæmt þessari tilskipun, að sækja um að hlíta eftirliti samkvæmt faggildingarskipulagi.

14)	Mikilvægt er að jafnvægi ríki milli þarfa neyt
enda og fyrirtækja.

15)	Í III. viðauka er fjallað um kröfur sem eru gerðar til öruggs undirskriftarbúnaðar í því skyni að tryggja virkni þróaðra, rafrænna undirskrifta. Í fyrrnefndum viðauka er ekki fjallað um gervallt umhverfi þess kerfis sem slíkur búnaður vinnur í. Nauðsynlegt er, vegna starfsemi innri markaðarins, að framkvæmda
stjórnin og aðildarríkin bregðist skjótt við til þess að unnt sé að tilnefna þá aðila sem er ætl
að að meta hvort öruggur undirskriftarbúnaður sé í samræmi við III. viðauka. Samræmismat skal fara fram tímanlega og með skilvirkum hætti í því skyni að mæta þörfum markaðarins.

16)	Tilskipun þessi stuðlar að notkun og lagalegri viðurkenningu rafrænna undirskrifta í banda
laginu. Rammaákvæða er ekki þörf vegna raf
rænna undirskrifta sem eru einvörðungu notað
ar innan kerfa sem eru grundvölluð á frjálsum samningum, samkvæmt einkamálarétti, milli tilgreinds fjölda þátttakenda. Virða ber frelsi aðila til að semja sín á milli um skilmála og skilyrði sem gildi um gögn, undirrituð með raf
rænum hætti, sem þeir samþykkja, að því marki sem landslög leyfa. Viðurkenna ber lagalegt gildi rafrænna undirskrifta sem eru notaðar í slíkum kerfum og lögmæti þeirra við málarekstur.

17)	Með þessari tilskipun er ekki stefnt að því að samræma innlendar reglur á sviði samninga
laga, einkum um gerð og efndir samninga, eða önnur formsatriði sem lúta ekki að samningum og varða undirskriftir. Af þessum ástæðum skulu ákvæði um réttaráhrif rafrænna undir
skrifta vera með fyrirvara um formkröfur, sem mælt er fyrir um í landslögum, með tilliti til samningagerðar eða reglna um það hvar samn
ingsgerð fari fram.

18)	Geymsla og afritun undirskriftargagna gæti teflt lögmæti rafrænna undirskrifta í hættu.

19)	Rafrænar undirskriftir verða notaðar í opinbera geiranum í innlendri stjórnsýslu og stjórnsýslu bandalagsins og í samskiptum milli þeirra og við borgara og aðila í atvinnurekstri, til dæmis á vettvangi opinberra innkaupa, skattakerfisins, almannatrygginga og heilbrigðis- og réttarkerf
isins.

20)	Samræming viðmiðana, sem gilda um réttar
áhrif rafrænna undirskrifta, mun gera kleift að viðhalda heildstæðum lagaramma hvarvetna innan bandalagsins. Landslög mæla fyrir um ólíkar kröfur um lögmæti eiginhandarundir
skrifta. Unnt er að nota skilríki til þess að bera kennsl á einstakling sem undirritar með rafræn
um hætti. Með þróuðum rafrænum undirskrift
um, sem eru grundvallaðar á viðurkenndum skilríkjum, er stefnt að hærra öryggisstigi. Því aðeins er unnt að líta á þróaðar rafrænar undir
skriftir, sem eru grundvallaðar á viðurkenndum skilríkjum og gerðar með öruggum undir
skriftarbúnaði, sem jafngildar eiginhandar
undirskriftum í lagalegu tilliti ef kröfum um eiginhandarundirskriftir er fullnægt.

21)	Tryggja ber, í því skyni að stuðla að því að raf
ræn sönnun á uppruna hljóti almenna viður
kenningu, að unnt sé að nota rafrænar undir
skriftir sem sönnunargögn í málarekstri í öllum aðildarríkjunum. Grundvalla ber viðurkenningu rafrænna undirskrifta í lagalegu tilliti á hlut
lægum viðmiðunum, óháð leyfisveitingu til handa viðkomandi vottunaraðila. Landslög skera úr um það á hvaða lagasviðum er heimilt að nota rafræn skjöl og rafrænar undirskriftir. Tilskipun þessi er með fyrirvara um vald inn
lendra dómstóla til þess að fella úrskurð um hvort kröfum þessarar tilskipunar sé fullnægt og hefur ekki áhrif á innlend ákvæði um óháða umfjöllun dómstóla um sönnunargögn.

22)	Innlend ákvæði um ábyrgð gilda um vottunar
aðila sem veita almenningi þjónustu sína.

23)	Þróun rafrænnar verslunar milli landa krefst ráðstafana sem ná yfir landamæri og til þriðju landa. Í því skyni að tryggja hnattrænt rekstrar
samhæfi gæti reynst hagkvæmt að gera samn
inga við þriðju lönd um marghliða reglur sem fjalla um gagnkvæma viðurkenningu vottunar
þjónustu.

24)	Til þess að auka tiltrú notenda á rafrænum samskiptum og rafrænni verslun verða vott
unaraðilar að virða löggjöf um upplýsinga
vernd og friðhelgi einkalífsins.

25)	Ákvæði um notkun dulnefna í skilríkjum ættu ekki að hindra aðildarríkin í því að krefjast þess að unnt sé að bera kennsl á einstaklinga samkvæmt bandalagslögum eða landslögum.

26)	Samþykkja ber nauðsynlegar ráðstafanir til framkvæmdar þessari tilskipun í samræmi við ákvörðun ráðsins 1999/468/EB frá 28. júní 1999 um verklagsreglur um meðferð fram
kvæmdavalds sem framkvæmdastjórninni er falið (1).

27)	Tveimur árum eftir að þessi tilskipun kemur til framkvæmda ber framkvæmdastjórninni að endurskoða hana, meðal annars í því skyni að tryggja að hvorki tækniframfarir né breytingar á lagaumhverfi komi í veg fyrir að markmiðum tilskipunarinnar verði náð. Henni ber að kanna áhrif tengdra tæknisviða og senda Evrópuþing
inu og ráðinu skýrslu þar að lútandi.

28)	Samkvæmt dreifræðisreglunni og meðalhófs
reglunni, eins og kemur fram í 5. gr. sáttmál
ans, eru aðildarríkin ekki nógu vel í stakk búin til þess að ná því takmarki að skapa samræmd
an lagaramma um framboð rafrænna undir
skrifta og tengdrar þjónustu og því er banda
lagið betur til þess fallið að ná því takmarki. Með tilskipun þessari er ekki gengið lengra en nauðsynlegt er til þess að ná fyrrnefndu tak
marki.

SAMÞYKKT TILSKIPUN ÞESSA:

1. gr.

Gildissvið

Tilgangurinn með þessari tilskipun er að greiða fyrir notkun rafrænna undirskrifta og stuðla að lagalegri viðurkenningu þeirra. Með tilskipuninni er settur lagarammi um rafrænar undirskriftir og tiltekna vott
unarþjónustu í því skyni að tryggja eðlilega starfsemi innri markaðarins.

Tilskipunin fjallar hvorki um þætti sem varða gerð og gildi samninga eða aðrar lagaskyldur, þar sem fram koma kröfur með tilliti til forms sem mælt er fyrir um í landslögum eða lögum bandalagsins, né heldur hefur hún áhrif á reglur og skorður sem eru settar í landslögum eða lögum bandalagsins og stýra notkun skjala.

2. gr.

Skilgreiningar

Í tilskipun þessari er skilgreining eftirfarandi hug
taka sem hér segir:

1.	rafræn undirskrift": gögn í rafrænu formi sem fylgja eða tengjast öðrum rafrænum gögnum með rökrænum hætti og þjóna þeim tilgangi að staðfesta uppruna;

2.	þróuð rafræn undirskrift": rafræn undirskrift sem uppfyllir eftirtaldar kröfur:

a)	hún tengist undirritanda einum með ótvíræð
um hætti;

b)	hún segir deili á undirritanda;

c)	hún er gerð með þeim hætti sem undirritand
inn getur einn haft stjórn á; og

d)	hún tengist þeim gögnum sem hún vísar til með þeim hætti að unnt er að greina síðari breytingar á þeim;

3.	undirritandi": einstaklingur sem ræður yfir undirskriftarbúnaði og kemur fram fyrir eigin hönd eða fyrir hönd annars einstaklings eða lög
persónu eða aðila sem hann er fulltrúi fyrir;

4.	undirskriftargögn": sérstök gögn, t.d. kóðar eða einkadulkóðunarlyklar, sem undirritandi notar til rafrænnar undirskriftar;

5.	undirskriftarbúnaður": samskipaður hugbúnaður eða vélbúnaður til þess að gera undirskriftar
gögnin nothæf;

6.	öruggur undirskriftarbúnaður": undirskriftar
búnaður sem fullnægir kröfunum sem mælt er fyrir um í III. viðauka;

7.	staðfestingargögn": gögn, t.d. kóðar eða opin
berir dulkóðunarlyklar, sem eru notuð til þess að staðfesta rafræna undirskrift;

8.	staðfestingarbúnaður": samskipaður hugbúnað
ur eða vélbúnaður til þess að gera staðfestingar
gögnin nothæf;

9.	skilríki": rafræn vottun sem tengir staðfesting
argögn einstaklingi og staðfestir hver hann er;

10.	viðurkennd skilríki": skilríki sem fullnægja kröfunum sem mælt er fyrir um í I. viðauka og látin eru í té af vottunaraðila sem fullnægir kröf
unum sem mælt er fyrir um í II. viðauka;

11.	vottunaraðili": aðili eða lögpersóna eða ein
staklingur sem gefur út skilríki eða veitir aðra þjónustu sem tengist rafrænum undirskriftum;

12.	vara til rafrænna undirskrifta": vél- eða hug
búnaður eða viðeigandi íhlutir hans sem vott
unaraðila er ætlað að nota í því skyni að veita þjónustu á sviði rafrænna undirskrifta eða eru ætluð til þess að staðfesta rafrænar undirskriftir;

13.	valfrjáls faggilding": leyfi sem mælir fyrir um réttindi og skyldur sem varða sérstaklega veit
ingu vottunarþjónustu og er veitt samkvæmt beiðni viðkomandi vottunaraðila af opinberri stofnun eða einkaaðila, sem er falið að sjá um útfærslu á slíkum réttindum og að slíkar skyldur séu uppfylltar, þegar vottunaraðili hefur ekki heimild til þess að njóta þeirra réttinda sem leið
ir af leyfinu fyrr en hann hefur móttekið ákvörð
un viðkomandi aðila.

3. gr.

Markaðsaðgangur

1.	Aðildarríkin skulu ekki gera það að skilyrði að veiting vottunarþjónustu sé háð fyrirframgefnu leyfi.

2.	Aðildarríkjunum er heimilt, með fyrirvara um ákvæði 1. mgr., að samþykkja eða viðhalda skipulagi valfrjálsrar faggildingar sem miðar að bættri vott
unarþjónustu. Öll skilyrði í tengslum við slíkar áætl
anir skulu vera hlutlæg, gagnsæ, í réttu hlutfalli við tilefnið og án mismununar. Aðildarríkjunum er óheimilt að takmarka fjölda faggiltra vottunaraðila af ástæðum sem falla undir gildissvið þessarar tilskip
unar.

3.	Hvert og eitt aðildarríki skal ábyrgjast að komið sé á fót viðeigandi kerfi til að unnt sé að hafa eftirlit með vottunaraðilum sem hafa staðfestu á landsvæði þess og gefa út viðurkennd skilríki handa almenn
ingi.

4.	Til þess bærar opinberar stofnanir eða einkaaðil
ar, sem aðildarríkin tilnefna, skulu skera úr um það hvort öruggur undirskriftarbúnaður sé í samræmi við kröfurnar sem mælt er fyrir um í III. viðauka. Fram
kvæmdastjórninni ber, samkvæmt málsmeðferðinni sem mælt er fyrir um í 9. gr., að samþykkja viðmið
anir sem aðildarríkin fari eftir þegar ákveða skal hvort tilnefna beri tiltekinn aðila.

Öll aðildarríkin skulu viðurkenna ákvarðanir sem stofnanir eða einkaaðilar, sem um getur í fyrstu undirgrein, taka um hvort kröfunum, sem mælt er fyrir um í III. viðauka, sé talið fullnægt.

5.	Framkvæmdastjórninni er heimilt, í samræmi við málsmeðferðina sem mælt er fyrir um í 9. gr., að ákveða og birta í Stjórnartíðindum Evrópubandalag
anna tilvísunarnúmer staðla sem eru almennt viður
kenndir fyrir vörur til rafrænna undirskrifta. Aðildar
ríkin skulu ganga út frá því að vörur til rafrænna undirskrifta uppfylli kröfurnar, sem mælt er fyrir um í f-lið II. viðauka og III. viðauka, ef þær eru í sam
ræmi við fyrrnefnda staðla.

6.	Aðildarríkin og framkvæmdastjórnin skulu í sameiningu stuðla að þróun og notkun staðfestingar
búnaðar með hliðsjón af tilmælum um örugga stað
festingu undirskrifta, sem mælt er fyrir um í IV. við
auka, og með tilliti til hagsmuna neytenda.

7.	Aðildarríkin geta gert notkun rafrænna undir
skrifta í opinbera geiranum háða hugsanlegum við
bótarkröfum. Slíkar kröfur skulu vera hlutlægar, gagnsæjar, í réttu hlutfalli við tilefnið og án mismun
unar og eiga eingöngu við um séreiginleika þeirrar notkunar sem um ræðir. Kröfurnar skulu ekki hindra þjónustustarfsemi yfir landamæri í þágu borgaranna.

4. gr.

Meginreglur um innri markaðinn

1.	Hvert og eitt aðildarríki skal beita innlendum ákvæðum, sem það samþykkir samkvæmt þessari til
skipun, gagnvart vottunaraðilum sem hafa staðfestu á landsvæði þess og þeirri þjónustu sem þeir láta í té. Aðildarríkjunum er óheimilt, á þeim sviðum sem þessi tilskipun fjallar um, að takmarka vottunarþjón
ustu sem á rætur að rekja til annars aðildarríkis.

2.	Aðildarríkin skulu tryggja frjálsa dreifingu á innri markaðinum á vörum til rafrænna undirskrifta sem eru í samræmi við þessa tilskipun.

5. gr.

Réttaráhrif rafrænna undirskrifta

1.	Aðildarríkin skulu tryggja að þróaðar, rafrænar undirskriftir, sem eru byggðar á viðurkenndum skil
ríkjum og til verða með öruggum undirskriftarbún
aði:

a)	uppfylli lagakröfur um undirskrift í tengslum við rafræn gögn á sama hátt og eiginhandarundir
skrift uppfyllir lagakröfur í tengslum við papp
írsgögn; og

b)	séu viðurkenndar sem sönnunargögn í mála
rekstri.

2.	Aðildarríkin skulu tryggja að því sé ekki hafnað að rafræn undirskrift fái réttaráhrif og sé viðurkennd sem sönnunargagn í málarekstri einungis af þeirri ástæðu að hún er:

—	á rafrænu formi, eða

—	ekki byggð á viðurkenndum skilríkjum, eða

—	ekki byggð á viðurkenndum skilríkjum sem fag
giltur vottunaraðili gefur út, eða

—	ekki gerð með öruggum undirskriftarbúnaði.

6. gr.

Skaðabótaábyrgð

1.	Aðildarríkin skulu að minnsta kosti tryggja að samfara því að vottunaraðili gefur út skilríki sem eru ígildi viðurkenndra skilríkja handa almenningi eða ábyrgist slík skilríki gagnvart almenningi sé hann ábyrgur fyrir tjóni aðila, lögpersónu eða einstaklings sem reiðir sig á slík skilríki með eðlilegum hætti að því er varðar:

a)	nákvæma meðferð við útgáfu á öllum upplýsing
um sem viðurkenndu skilríkin innihalda og að því er varðar að skilríkin innihaldi allar þær upp
lýsingar sem mælt er fyrir um að viðurkennd skilríki skuli gera;

b)	tryggingu fyrir því að við útgáfu skilríkjanna hafi undirritandinn, sem er auðkenndur í viður
kenndu skilríkjunum, haft undir höndum undir
skriftargögnin sem svara til staðfestingargagn
anna sem koma fram eða eru auðkennd í skilríkj
unum;

c)	tryggingu fyrir því að unnt sé að nota undir
skriftargögnin og staðfestingargögnin til gagn
kvæmrar uppfyllingar þegar vottunaraðili annast gerð beggja;

nema vottunaraðili færi sönnur á að hann hafi ekki gert sig sekan um vanrækslu.

2.	Aðildarríkin skulu að minnsta kosti tryggja að vottunaraðili, sem hefur gefið út skilríki sem eru ígildi viðurkenndra skilríkja handa almenningi, sé ábyrgur fyrir tjóni aðila, lögpersónu eða einstaklings, sem reiðir sig á skilríkin með eðlilegum hætti, sem rekja má til þess að skráningu á afturköllun skilríkj
anna hefur ekki verið sinnt, nema vottunaraðilinn færi sönnur á að hann hafi ekki gert sig sekan um vanrækslu.

3.	Aðildarríkin skulu tryggja að vottunaraðila sé heimilt að gefa til kynna í viðurkenndum skilríkjum takmarkanir á notkun þeirra, að því tilskildu að þriðju aðilum séu slíkar takmarkanir ljósar. Vottun
araðili er ekki ábyrgur fyrir tjóni sem leiðir af notkun viðurkenndra skilríkja sem nær út fyrir þær takmark
anir sem hún miðast við.

4.	Aðildarríkin skulu tryggja að vottunaraðila sé heimilt að gefa til kynna í viðurkenndum skilríkjum við hvaða mörk viðskiptafjárhæðar notkun skilríkj
anna miðast, að því tilskildu að þriðju aðilum séu mörkin ljós.

Vottunaraðili er ekki ábyrgur fyrir tjóni sem leiðir af því að farið sé yfir fyrrnefnt hámark.

5.	Ákvæði 1. til 4. mgr. eru með fyrirvara um til
skipun ráðsins 93/13/EBE frá 5. apríl 1993 um órétt
mæta skilmála í neytendasamningum (1).

7. gr.

Alþjóðleg sjónarmið

1.	Aðildarríkin skulu tryggja að viðurkennt sé að skilríki, sem vottunaraðili, sem hefur staðfestu í þriðja landi, gefur út sem viðurkennd skilríki handa almenningi, jafngildi skilríkjum sem vottunaraðili, sem hefur staðfestu í bandalaginu, gefur út, ef:

a)	viðkomandi vottunaraðili uppfyllir skilyrðin sem mælt er fyrir um í þessari tilskipun og hefur hlotið faggildingu samkvæmt skipulagi val
frjálsrar faggildingar sem hefur verið komið á í aðildarríki; eða

b)	vottunaraðili, sem hefur staðfestu í bandalaginu og uppfyllir skilyrðin sem mælt er fyrir um í þessari tilskipun, ábyrgist skilríkin; eða

c)	skilríkin eða viðkomandi vottunaraðili er viður
kenndur samkvæmt tvíhliða eða marghliða samningi milli bandalagsins og þriðju landa eða alþjóðastofnana.

2.	Framkvæmdastjórnin skal, í því skyni að auð
velda vottunarþjónustu yfir landamæri við þriðju lönd og lagalega viðurkenningu þróaðra, rafrænna undirskrifta sem eru upprunnar í þriðju löndum, leggja fram tillögur, þar sem það á við, til þess að unnt sé að framkvæma á skilvirkan hátt staðla og milliríkjasamninga sem gilda um vottunarþjónustu. Hún skal, einkum og sér í lagi og ef nauðsyn krefur, senda ráðinu tillögur um viðeigandi umboð til við
ræðna um tvíhliða og marghliða samninga við þriðju lönd og alþjóðastofnanir. Ráðið tekur ákvörðun með auknum meirihluta.

3.	Í hvert sinn sem framkvæmdastjórninni er til
kynnt um vanda bandalagsfyrirtækja í tengslum við markaðsaðgang í þriðju löndum getur hún, ef nauð
syn krefur, sent ráðinu tillögur um viðeigandi umboð til viðræðna um sambærileg réttindi til handa banda
lagsfyrirtækjum í viðkomandi þriðju löndum. Ráðið tekur ákvörðun með auknum meirihluta.

Ráðstafanir, sem eru gerðar samkvæmt þessari máls
grein, eru með fyrirvara um skuldbindingar banda
lagsins og aðildarríkjanna samkvæmt viðeigandi milliríkjasamningum.

8. gr.

Gagnavernd

1.	Aðildarríkin skulu tryggja að vottunaraðilar og innlendir aðilar sem annast faggildingu eða eftirlit uppfylli kröfurnar sem mælt er fyrir um í tilskipun Evrópuþingsins og ráðsins 95/46/EB frá 24. október 1995 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upp
lýsinga (2).

2.	Aðildarríkin skulu tryggja að vottunaraðilar, sem gefa út skilríki handa almenningi, hafi einungis heimild til að verða sér úti um persónuleg gögn beint frá þeim sem gögnin varða eða að fengnu fullu sam
þykki hans og aðeins að svo miklu leyti sem nauð
synlegt er í því skyni að gefa út skilríkin og viðhalda þeim. Óheimilt er að safna gögnunum eða með
höndla þau í öðrum tilgangi án fulls samþykkis þess sem gögnin varða.

3.	Aðildarríkin skulu ekki, með fyrirvara um réttar
áhrif sem dulnefnum eru eignuð samkvæmt lands
lögum, hindra vottunaraðila í að gefa til kynna í skil
ríkjunum dulnefni í stað nafns undirritanda.

9. gr.

Nefnd

1.	Framkvæmdastjórnin skal njóta aðstoðar nefndar um rafrænar undirskriftir, hér á eftir kölluð nefnd
in".

2.	Þegar fjallað er um þessa málsgrein gilda ákvæði 4. og 7. gr. ákvörðunar 1999/468/EB með hliðsjón af ákvæðum 8. gr. sömu ákvörðunar.

Fresturinn, sem mælt er fyrir um í 3. mgr. 4. gr. ákvörðunar 1999/468/EB, skal vera þrír mánuðir.

3.	Nefndin setur sér starfsreglur.

10. gr.

Verkefni nefndarinnar

Nefndin skal, í samræmi við málsmeðferðina sem mælt er fyrir um í 2. mgr. 9. gr., skýra kröfurnar sem mælt er fyrir um í viðaukunum við þessa tilskipun, viðmiðanirnar sem um getur í 4. mgr. 3. gr. og al
mennt viðurkennda staðla fyrir vörur til rafrænna undirskrifta sem eru samþykktir og gefnir út sam
kvæmt 5. mgr. 3. gr.

11. gr.

Tilkynning

1.	Aðildarríkin skulu tilkynna framkvæmdastjórn
inni og hinum aðildarríkjunum um eftirfarandi:

a)	upplýsingar um innlent skipulag valfrjálsrar fag
gildingar, þar með taldar viðbótarkröfur sam
kvæmt 7. mgr. 3. gr.;

b)	nöfn og heimilisföng innlendra aðila sem annast faggildingu og umsjón og einnig þeirra aðila sem um getur í 4. mgr. 3. gr.;

c)	nöfn og heimilisföng allra innlendra vottunar
aðila sem hafa öðlast faggildingu.

2.	Aðildarríkin skulu, eins fljótt og auðið er, til
kynna um allar upplýsingar sem látnar eru í té sam
kvæmt 1. mgr. og um breytingar á þeim.

12. gr.

Endurskoðun

1.	Framkvæmdastjórnin skal leggja mat á fram
kvæmd þessarar tilskipunar og gefa Evrópuþinginu og ráðinu skýrslu um það eigi síðar en 19. júlí 2003.

2.	Í matinu skal meðal annars fjallað um það hvort breyta beri gildissviði þessarar tilskipunar, að teknu tilliti til þróunar á sviði tæknimála, markaðsmála og réttarfars. Í skýrslunni skal sérstaklega koma fram mat á ýmsum hliðum samræmingar er byggist á fenginni reynslu. Skýrslunni skulu fylgja tillögur að fyrirmælum laga, ef við á.

13. gr.

Framkvæmd

1.	Aðildarríkin skulu samþykkja nauðsynleg lög og stjórnsýslufyrirmæli til að fara að tilskipun þessari fyrir 19. júlí 2001. Þau skulu tilkynna það fram
kvæmdastjórninni þegar í stað.

Þegar aðildarríkin samþykkja þessar ráðstafanir skal vera í þeim tilvísun í þessa tilskipun eða þeim fylgja slík tilvísun þegar þær eru birtar opinberlega. Að
ildarríkin skulu setja nánari reglur um slíka tilvísun.

2.	Aðildarríkin skulu senda framkvæmdastjórninni helstu ákvæði úr landslögum sem þau samþykkja um málefni sem tilskipun þessi nær til.

14. gr.

Gildistaka

Tilskipun þessi öðlast gildi á þeim degi sem hún birt
ist í Stjórnartíðindum Evrópubandalaganna.

15. gr.

Viðtakendur

Tilskipun þessari er beint til aðildarríkjanna.

Gjört í Brussel 13. desember 1999.

Fyrir hönd Evrópuþingsins,	Fyrir hönd ráðsins,

N. FONTAINE	S. HASSI

forseti.	Forseti.

I. VIÐAUKI

Kröfur viðvíkjandi viðurkenndum skilríkjum

Viðurkennd skilríki skulu innihalda:

a)	ábendingu þess efnis að skilríkin séu útgefin sem viðurkennd skilríki;

b)	deili á vottunaraðila og ríkinu þar sem hann hefur staðfestu;

c)	nafn undirritanda eða dulnefni sem skal vera auðkennt sem slíkt;

d)	sérstakar upplýsingar um undirritandann sem komi fram ef við á, eftir því í hvaða tilgangi nota á skilríkin;

e)	þau staðfestingargögn sem svara til þeirra undirskriftargagna sem undirritandinn ræður yfir;

f)	upplýsingar um upphaf og lok gildistíma skilríkjanna;

g)	kennikóða skilríkjanna;

h)	þróaða, rafræna undirskrift vottunaraðilans sem gefur þau út;

i)	takmarkanir á notkunarsviði skilríkjanna, ef við á; og

j)	mörk þeirrar viðskiptafjárhæðar sem notkun skilríkjanna miðast við, ef við á.

II. VIÐAUKI

Kröfur viðvíkjandi vottunaraðilum sem gefa út viðurkennd skilríki

Vottunaraðilar skulu:

a)	sýna fram á nauðsynlegan trúverðugleika til þess að láta í té vottunarþjónustu;

b)	sjá til þess að veitt sé hraðvirk og örugg skráar- og afturköllunarþjónusta;

c)	tryggja að unnt sé að sjá nákvæmlega hvaða dag og hvenær dags skilríki eru gefin út eða afturkölluð;

d)	staðfesta, með viðeigandi hætti og í samræmi við landslög, deili á og sérstök einkenni, ef við á, þess ein
staklings sem viðurkenndu skilríkin eru gefin út fyrir;

e)	ráða starfsmenn með sérþekkingu, reynslu og menntun og hæfi sem eru nauðsynleg vegna þeirrar þjónustu sem er veitt, einkum stjórnunarhæfni, sérþekkingu í tækni á sviði rafrænna undirskrifta og þekkingu á við
eigandi starfsháttum á sviði öryggismála; þeir skulu einnig viðhafa rétt stjórnsýslu- og stjórnunarvinnu
brögð sem eru í samræmi við viðurkennda staðla;

f)	nota örugg kerfi og vörur sem ekki er unnt að breyta og tryggja tæknilegt öryggi og öryggi dulkóðunar að því er varðar það ferli sem er byggt á þeim;

g)	gera ráðstafanir til að koma í veg fyrir fölsun skilríkja og þegar vottunaraðilinn er höfundur undirskriftar
gagna, ábyrgjast að trúnaður sé virtur meðan slík gögn eru í vinnslu;

h)	ráða að staðaldri yfir nægilegu fjármagni til þess að geta haldið starfseminni gangandi í samræmi við kröf
urnar sem mælt er fyrir um í þessari tilskipun, einkum að geta risið undir áhættu samfara skaðabóta
ábyrgð, til dæmis með því að útvega sér viðeigandi tryggingu;

i)	skrá allar upplýsingar, sem skipta máli um viðurkennd skilríki, í hæfilega langan tíma, einkum til þess að vera fær um að leggja fram sönnunargögn um vottun í málarekstri. Heimilt er að slík skráning fari fram með rafrænum hætti;

j)	ekki geyma eða afrita undirskriftargögn þess einstaklings sem vottunaraðilinn veitti lykilþjónustu á sviði umsýslu;

k)	áður en þeir gera samning við einstakling, sem sækist eftir að fá skilríki til að renna stoðum undir rafræna undirskrift sína, upplýsa viðkomandi einstakling, gegnum haldgóðan samskiptamiðil, um nákvæma skil
mála og skilyrði sem gilda um notkun skilríkjanna, meðal annars um notkunartakmarkanir þeirra, tilvist skipulags valfrjálsrar faggildingar og um meðferð kærumála og lausn deilumála. Þessar upplýsingar, sem heimilt er að senda með rafrænum hætti, skulu vera skriflegar og á auðskiljanlegu máli. Viðeigandi hlutar þessara upplýsinga skulu einnig, samkvæmt beiðni, vera aðgengilegir þriðju aðilum sem reiða sig á skil
ríkin;

l)	nota örugg kerfi til þess að geyma skilríki í staðfestanlegu formi til þess að:
—	aðeins einstaklingar, sem til þess hafa heimild, geti framkvæmt færslur og gert breytingar,
—	unnt sé að ganga úr skugga um uppruna upplýsinga,
—	skilríki séu aðeins aðgengileg almenningi að fengnu samþykki handhafa skilríkja, og
—	sérhver tæknibreyting, sem er ógnar þessum öryggiskröfum, sé rekstraraðilanum augljós.

III. VIÐAUKI

Kröfur viðvíkjandi öruggum undirskriftarbúnaði

1.	Öruggur undirskriftarbúnaður skal, með viðeigandi tæknilegum aðferðum og verklagsreglum, tryggja, að minnsta kosti:

a)	að undirskriftargögnin, sem eru notuð við gerð undirskriftar, geti í raun aðeins komið fram einu sinni og að leynd þeirra sé tryggð á eðlilegan hátt;

b)	að öruggt sé, eins og eðlilegt má teljast, að ekki sé hægt að rekja undirskriftargögnin sem eru notuð við gerð undirskriftar og að nýjasta tækni komi í veg fyrir að unnt sé að falsa undirskriftina;

c)	að réttur undirritandi geti tryggilega verndað undirskriftargögnin, sem eru notuð við undirskrift, þannig að aðrir geti ekki notað þau.

2.	Undirskriftargögnin mega ekki breyta gögnunum sem undirrita á eða hindra að slík gögn séu kynnt undir
ritandanum áður en til undirskriftar kemur.

IV. VIÐAUKI

Tillögur um örugga staðfestingu undirskrifta

Um leið og staðfesting undirskrifta fer fram skal tryggja með eins miklu öryggi og frekast má:

a)	að gögnin, sem eru notuð til að staðfesta undirskriftina, svari til gagnanna sem þeim sem annast staðfest
inguna eru sýnd;

b)	að undirskriftin sé tryggilega staðfest og niðurstöður þeirrar staðfestingar séu sýndar með réttum hætti;

c)	að sá sem annast staðfestinguna geti, eftir því sem nauðsyn krefur, staðfest með öruggum hætti innihald gagnanna sem hafa verið undirrituð;

d)	að áreiðanleiki og lögmæti skilríkjanna, sem eru nauðsynleg þegar staðfesting undirskriftar fer fram, séu staðfest með öruggum hætti;

e)	að niðurstöður staðfestingar og deili á undirritandanum séu sýnd með réttum hætti;

f)	að notkun dulnefnis komi skýrt fram; og

g)	að unnt sé að koma auga á allar breytingar sem varða öryggi.