Про затвердження Порядку проведення процедури оцінки відповідності у сфері електронних довірчих послуг
Відповідно до частини шостої статті 32 Закону України “Про електронні довірчі послуги” Кабінет Міністрів України постановляє:
Затвердити Порядок проведення процедури оцінки відповідності у сфері електронних довірчих послуг, що додається.
ПОРЯДОК
проведення процедури оцінки відповідності у сфері електронних довірчих послуг
1. Цей Порядок встановлює механізм проведення процедури оцінки відповідності вимогам до кваліфікованих надавачів електронних довірчих послуг та послуг, що ними надаються.
2. Дія цього Порядку не поширюється на надання кваліфікованих електронних довірчих послуг у банківській системі та під час здійснення переказу коштів.
3. У цьому Порядку терміни вживаються у такому значенні:
1) документ про відповідність - сертифікат відповідності, виданий органом з оцінки відповідності у сфері електронних довірчих послуг, що підтверджує відповідність юридичних осіб, фізичних осіб - підприємців, які мають намір надавати електронні довірчі послуги, кваліфікованих надавачів електронних довірчих послуг та послуг, що ними надаються, вимогам у сфері електронних довірчих послуг, затвердженим постановою Кабінету Міністрів України від 7 листопада 2018 р. № 992 (далі - вимоги у сфері електронних довірчих послуг);
2) інформаційно-телекомунікаційна система - сукупність інформаційних та телекомунікаційних систем надавача, які у процесі обробки інформації діють як єдине ціле та об’єднують програмно-технічний комплекс, що використовується під час надання кваліфікованих електронних довірчих послуг, фізичне середовище, інформацію, що обробляється в цих системах, а також найманих працівників надавача, які безпосередньо задіяні у наданні кваліфікованих електронних довірчих послуг або обслуговують програмно-технічний комплекс;
3) об’єкт оцінки відповідності - юридична особа, фізична особа - підприємець, які мають намір надавати кваліфіковані електронні довірчі послуги, кваліфікований надавач електронних довірчих послуг, інформаційно-телекомунікаційна система, засоби кваліфікованого електронного підпису та кваліфіковані електронні довірчі послуги;
4) орган з оцінки відповідності у сфері електронних довірчих послуг (далі - орган з оцінки відповідності) - підприємство, установа, організація чи їх структурний підрозділ, що пройшли акредитацію в національному органі з акредитації та провадять діяльність з оцінки відповідності у сфері електронних довірчих послуг;
5) замовник процедури оцінки відповідності - юридична особа, фізична особа - підприємець, які мають намір надавати кваліфіковані електронні довірчі послуги, кваліфікований надавач електронних довірчих послуг.
Інші терміни вживаються у значенні, наведеному в Законах України “Про електронні довірчі послуги”, “Про акредитацію органів з оцінки відповідності”, “Про технічні регламенти та оцінку відповідності”, “Про захист інформації в інформаційно-телекомунікаційних системах”.
4. Процедура оцінки відповідності у сфері електронних довірчих послуг проводиться з метою підтвердження відповідності об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг з урахуванням вимог законодавства у сфері захисту інформації.
5. Процедура оцінки відповідності у сфері електронних довірчих послуг проводиться на добровільних засадах за рахунок замовника процедури оцінки відповідності.
Вартість робіт з проведення процедури оцінки відповідності у сфері електронних довірчих послуг визначається на договірних засадах.
6. Для проходження процедури оцінки відповідності у сфері електронних довірчих послуг замовник процедури оцінки відповідності самостійно обирає орган з оцінки відповідності та укладає з ним відповідний договір.
7. Органи з оцінки відповідності та замовники процедури оцінки відповідності під час проведення процедури оцінки відповідності у сфері електронних довірчих послуг повинні дотримуватися положень, визначених у стандарті ДСТУ ETSI EN 319 403:2016 “Електронні підписи та інфраструктури (ESI). Оцінювання відповідності провайдерів довірчих послуг. Вимоги до органів з оцінювання відповідності, що оцінюють провайдерів довірчих послуг” (ETSI EN 319 403:2015, IDT).
8. Рішення за результатами проведення процедури оцінки відповідності у сфері електронних довірчих послуг приймається органом з оцінки відповідності на основі аналізу аудиторського звіту, оформленого цим органом за результатами виконання усіх етапів процесу аудиту, визначених у стандарті ДСТУ ETSI EN 319 403:2016 “Електронні підписи та інфраструктури (ESI). Оцінювання відповідності провайдерів довірчих послуг. Вимоги до органів з оцінювання відповідності, що оцінюють провайдерів довірчих послуг” (ETSI EN 319 403:2015, IDT).
9. Строк прийняття органом з оцінки відповідності за результатами проведення процедури оцінки відповідності у сфері електронних довірчих послуг рішення про видачу документа про відповідність або відмову у його видачі не може бути більшим ніж шість місяців з дня укладення договору, визначеного в пункті 6 цього Порядку.
10. За результатами проведення процедури оцінки відповідності у сфері електронних довірчих послуг органом з оцінки відповідності приймається одне з таких рішень:
1) про відповідність об’єкта оцінки відповідності у повному обсязі вимогам у сфері електронних довірчих послуг;
2) про часткову відповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг з певними недоліками, які не впливають на якість надання кваліфікованих електронних довірчих послуг та можуть бути виправлені протягом трьох місяців після завершення процедури оцінки відповідності у сфері електронних довірчих послуг;
3) про невідповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг.
11. У разі прийняття рішення про відповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг орган з оцінки відповідності видає замовнику процедури оцінки відповідності підписаний документ про відповідність, невід’ємною частиною якого є аудиторський звіт.
12. У разі прийняття рішення про часткову відповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг орган з оцінки відповідності видає замовнику процедури оцінки відповідності аудиторський звіт з висновками про часткову відповідність з переліком недоліків, які можливо виправити протягом трьох місяців після завершення процедури оцінки відповідності у сфері електронних довірчих послуг.
13. Після виправлення недоліків органом з оцінки відповідності може бути проведена додаткова процедура оцінки відповідності у сфері електронних довірчих послуг щодо підтвердження виправлення недоліків протягом не більш як трьох місяців.
14. Якщо під час додаткової процедури оцінки відповідності у сфері електронних довірчих послуг виправлення недоліків підтверджено та доведено відповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг, орган з оцінки відповідності видає замовнику процедури оцінки відповідності підписаний документ про відповідність, невід’ємною частиною якого є аудиторський звіт.
15. У разі прийняття рішення про невідповідність об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг орган з оцінки відповідності видає замовнику процедури оцінки відповідності аудиторський звіт з висновками про невідповідність з переліком недоліків.
16. Документ про відповідність повинен містити такі відомості:
1) найменування органу з оцінки відповідності;
2) інформацію про акредитацію органу з оцінки відповідності (дата та номер атестата про акредитацію);
3) прізвище, ім’я, по батькові (у разі наявності) осіб, що проводили процедуру оцінки відповідності у сфері електронних довірчих послуг;
4) період проведення процедури оцінки відповідності у сфері електронних довірчих послуг;
5) реквізити замовника процедури оцінки відповідності у сфері електронних довірчих послуг (найменування або прізвище, ім’я та по батькові, ідентифікаційні дані та контактна інформація);
6) сфера оцінки відповідності;
7) перелік кваліфікованих електронних довірчих послуг, які має намір надавати або надає замовник процедури оцінки відповідності;
8) найменування інформаційно-телекомунікаційної системи;
9) найменування засобів кваліфікованого електронного підпису, які будуть використовуватися або використовуються під час надання кваліфікованих електронних довірчих послуг;
10) перелік вимог у сфері електронних довірчих послуг, національних стандартів та/або технічних специфікацій, щодо відповідності яким проводилася процедура оцінка відповідності у сфері електронних довірчих послуг;
11) висновок щодо відповідності об’єкта оцінки відповідності вимогам у сфері електронних довірчих послуг;
12) строк дії документа про відповідність.
17. Кваліфіковані надавачі електронних довірчих послуг, які пройшли процедуру оцінки відповідності у сфері електронних довірчих послуг та відомості про яких внесені до Довірчого списку, проходять планову процедуру оцінки відповідності у сфері електронних довірчих послуг кожні 24 місяці.
18. Процедура повторної (позапланової) оцінки відповідності у сфері електронних довірчих послуг проводиться у разі наявності обставин, визначених у стандарті ДСТУ ETSI EN 319 403:2016 “Електронні підписи та інфраструктури (ESI). Оцінювання відповідності провайдерів довірчих послуг. Вимоги до органів з оцінювання відповідності, що оцінюють провайдерів довірчих послуг” (ETSI EN 319 403:2015, IDT).
19. Про результати проведення процедури планової та повторної (позапланової) оцінки відповідності у сфері електронних довірчих послуг кваліфіковані надавачі електронних довірчих послуг повинні повідомити Держспецзв’язку шляхом надання копій документів про відповідність (за наявності) та аудиторських звітів не пізніше трьох робочих днів з дня їх отримання.
20. Органи з оцінки відповідності надають публічний доступ до актуальної інформації про результати оцінки відповідності у сфері електронних довірчих послуг.
