24/2016. (VI. 30.) BM rendelet

1. § E rendelet hatálya az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvényben (a továbbiakban: E-ügyintézési tv.) meghatározott, Magyarország területén letelepedett bizalmi szolgáltatókra és az általuk nyújtott bizalmi szolgáltatásokra terjed ki.

2. § E rendelet alkalmazásában:

3. § (1) A szolgáltató köteles biztosítani, hogy a bizalmi szolgáltatási szerződés a jogszabályok által előírt követelményeken túl a következő rendelkezéseket is tartalmazza:

(2) A szolgáltató bizalmi szolgáltatási szabályzata tartalmazza

(3) Ha a bizalmi szolgáltató a bizalmi szolgáltatás keretében a fogyasztók számára is tanúsítványt bocsát ki, a fogyasztók részére a szolgáltatási kivonatot is elérhetővé tesz, amely a bizalmi szolgáltatási rend vagy szolgáltatási szabályzat rendelkezéseivel összhangban, tömören, jól áttekinthető módon, összefoglaló jelleggel az alábbi adatokat és tájékoztatást tartalmazza, szükség szerint a szolgáltatási szerződés, szolgáltatási szabályzat vagy bizalmi szolgáltatási rend vonatkozó rendelkezéseire hivatkozásokkal:

4. § A feladatkörök elhatárolása végett a szolgáltató gondoskodik arról, hogy

5. § (1) A szolgáltatónak a megbízhatóság biztosítása érdekében felelősségbiztosítással kell rendelkeznie, amelynek ki kell terjednie a szolgáltató által nyújtott bizalmi szolgáltatásokkal összefüggésben okozott alábbi károkra és költségekre:

(2) A szolgáltatónak biztosítania kell, hogy az általa az (1) bekezdésben foglaltaknak való megfelelés érdekében kötött biztosítási szerződés kiterjedjen az (1) bekezdés szerinti költségekre és károkra. A biztosítási szerződésben szereplő felelősségvállalási érték káreseményenként nem lehet alacsonyabb, mint 3 000 000 forint.

(3)¹ Ha a szolgáltató állami költségvetési szerv, az (1) bekezdésben meghatározott károk és költségek fedezetéről a (2) bekezdésben meghatározott mértékig költségvetése terhére köteles gondoskodni.

6. § Az elektronikus aláírással, bélyegzővel kapcsolatos szolgáltatást nyújtó szolgáltatónak, valamint az időbélyeg szolgáltatónak biztosítania kell a szolgáltatói nyilvános kulcsának sértetlenségét, hitelességét és elérhetőségét. Ennek érdekében a szolgáltatói nyilvános kulcsot interneten is elérhetővé kell tennie.

7. § Az elektronikus aláírással vagy bélyegzővel kapcsolatos szolgáltatást nyújtó szolgáltató tevékenysége befejezésekor az informatikai rendszerében foglalt adatairól teljes körű, időbélyegzővel ellátott mentést készít. A szolgáltató a mentett adatállományokat védi a jogosulatlan módosítástól, és biztosítja, hogy az adatállomány tartalmához jogosulatlan személy nem férhet hozzá. A szolgáltató biztosítja, hogy az adatok a megőrzési időn belül az arra jogosult személyek számára hozzáférhetőek és értelmezhetőek.

8. § Tanúsítvány kibocsátásával kapcsolatos bizalmi szolgáltatás esetén a szolgáltató a 3. § (3) bekezdésében foglalt adatokon túl a szolgáltatási kivonatban az alábbi adatokat is rögzíti:

9. § (1) Az archiválási szolgáltató a felek megállapodása esetén olyan archiválási szolgáltatást is nyújthat, amelynek alapján a bizalmi szolgáltatási ügyfél nem bocsátja az archiválási szolgáltató rendelkezésére személyazonosító adatait.

(2) Az archiválási szolgáltató az archiválási szolgáltatásából csak a dokumentumok vagy azok lenyomatának megőrzésre való átvételét szüneteltetheti.

10. § Az archiválási szolgáltató a 3. § (3) bekezdése szerinti adatokon túl a szolgáltatási kivonatban arról is köteles tájékoztatást adni, hogy a bizalmi szolgáltatási ügyfélen kívüli harmadik személy milyen módon férhet hozzá a bizalmi szolgáltatási ügyfél által átadott elektronikus dokumentumhoz.

11. § Az archiválási szolgáltató az elektronikus dokumentum vagy lenyomat átvételekor ellenőrzi az elektronikus aláírást vagy bélyegzőt, majd beszerzi az elektronikus aláírás vagy bélyegző hosszú távú érvényesítéséhez szükséges információkat, így különösen:

12. § Ha az elektronikus aláírás vagy bélyegző hosszú távú érvényesítéséhez szükséges információk nem szerezhetők be, az archiválási szolgáltató köteles erről a tényről a bizalmi szolgáltatási ügyfelet haladéktalanul tájékoztatni. Ha az archiválási szolgáltató a tájékoztatást elmulasztja, az ezzel okozott kárért az eIDAS Rendelet 13. cikk (1) bekezdése szerint felel.

13. § (1) A 11. §-ban meghatározott információk beszerzése után az archiválási szolgáltató az érvényességi láncon minősített szolgáltató által kibocsátott időbélyegzőt helyez vagy helyeztet el, és erről értesíti a bizalmi szolgáltatási ügyfelet.

(2) Az archiválási szolgáltató az erre vonatkozó határozat kézhezvételét követően a határozatban előírt időpontban köteles minősített szolgáltató által kibocsátott időbélyegzőt elhelyezni vagy elhelyeztetni az érvényességi láncon.

(3) Az archiválási szolgáltató köteles a rábízott elektronikus dokumentumot vagy lenyomatot oly módon megőrizni, amely kizárja az utólagos módosítás lehetőségét, folyamatosan biztosítja a jogosultak hozzáférését, valamint – a szolgáltatási szabályzat erre vonatkozó rendelkezése esetén – az elektronikus dokumentum értelmezhetőségét (olvashatóságát). Az archiválási szolgáltató az elektronikus dokumentumot köteles védeni a jogosulatlan hozzáférés, módosítás, törlés vagy megsemmisítés ellen.

14. § Az elektronikus dokumentum tartalmát az archiválási szolgáltató, valamint alkalmazottja vagy a megbízásából eljáró személy csak a bizalmi szolgáltatási ügyfél írásbeli engedélyével ismerheti meg.

15. § Az archiválási szolgáltató a szolgáltatási szerződésben rögzítettek szerint állandó hozzáférést biztosít a bizalmi szolgáltatási ügyfélnek az általa átadott elektronikus dokumentumhoz.

16. § Ha az érvényességi láncnak az elektronikus dokumentum nem része, – a szolgáltatási szabályzat ellenkező rendelkezése hiányában – a bizalmi szolgáltatási ügyfél köteles az archiválási szolgáltató felhívására a szolgáltatási szabályzatban meghatározott időközönként és esetekben az elektronikus dokumentumnak a bizalmi felügyelet határozata szerinti, elfogadott kriptográfiai algoritmus alkalmazásával képzett lenyomatát az archiválási szolgáltató számára átadni. Ha a bizalmi szolgáltatási ügyfél e kötelezettségének a szolgáltató felhívása ellenére nem tesz eleget, az archiválási szolgáltató mentesül az eIDAS Rendelet 13. cikk (1) bekezdésében szabályozott felelőssége alól.

17. § (1) Ha az archiválási szolgáltató ellen végelszámolási eljárása megindult vagy a felszámolását elrendelték, köteles e tényről haladéktalanul tájékoztatni a bizalmi felügyeletet, megnevezve az eljárást lefolytató szervezetet. A bizalmi felügyelet az eljárás időtartama alatt jogosult a végelszámolótól vagy felszámolótól az ügy állásáról tájékoztatást kérni.

(2) Az archiválási szolgáltató megszűnése vagy az archiválási szolgáltatás befejezése esetén a bizalmi felügyelet törli az archiválási szolgáltatót a nyilvántartásból.

18. § A bejelentési kötelezettséget követően az archiválási szolgáltató minősített szolgáltató által kibocsátott időbélyegzőt köteles elhelyezni vagy elhelyeztetni az érvényességi láncon, és azt a bizalmi szolgáltatási ügyfélnek köteles átadni. Az érvényességi láncot ezt követően visszaállíthatatlan módon törölni kell az archiválási szolgáltató informatikai rendszeréből.

19. §² (1) A minősített szolgáltató a minősített szolgáltatás megszűnésével kapcsolatos költségek biztosítása és a megbízhatóság érdekében köteles a 20–22. §-ban meghatározott pénzügyi követelmények legalább egyikének megfelelni.

(2) Ha a szolgáltató állami költségvetési szerv a minősített szolgáltatás megszűnésével kapcsolatos költségek fedezetéről az (1) bekezdésben előírt pénzügyi követelménynek megfelelő mértékig költségvetése terhére köteles gondoskodni.

20. § (1) A minősített szolgáltatónak legalább huszonötmillió forint összegű, feltétel nélküli és visszavonhatatlan bankgaranciával kell rendelkeznie.

(2) Az (1) bekezdésben meghatározott bankgaranciának legalább az alábbiakat kell tartalmaznia:

(3) A (2) bekezdés h) pontja szerinti felszólításnak tartalmaznia kell a minősített szolgáltató nevét és címét, a fizetési kötelezettség alapján fizetendő összeget, az előírt és nem teljesített fizetési határidőt.

(4) A bejelentéshez mellékelt bankgaranciának a szolgáltatás megkezdése napjától (a továbbiakban: kezdő időpont) kell lehívhatónak lennie. A bankgaranciának legalább a kezdő időponttól számított két évig érvényesnek kell lennie. A bankgaranciában a garanciavállalónak vállalnia kell, hogy a bankgarancia érvényességének lejárta előtt három hónappal értesítést küld a bizalmi felügyeletnek, amely értesítés tartalmazza a minősített szolgáltató nevét és székhelyét, valamint a bankgarancia lejártának idejét.

(5) A minősített szolgáltató köteles a bankgarancia lejártát megelőző második hónap végéig igazolni a bizalmi felügyeletnek, hogy a bankgaranciát meghosszabbította vagy más pénzügyi intézménnyel az itt meghatározott követelményeknek megfelelő új szerződést kötött.

(6) A garanciavállaló jogosult a garancia összegének módosítására, illetve a lejárat meghosszabbítására. Ilyen esetben a garanciavállalás folyamatossága érdekében a módosításnak tartalmaznia kell a garanciavállaló kötelezettségvállalását arra, hogy az előző garancia érvényességi ideje alatt keletkező fizetési kötelezettségekről szóló igénybejelentéseket 30 napon belül elfogadja.

(7) A bankgaranciában a garanciavállalónak vállalnia kell, hogy garanciavállalási kötelezettségének határidő előtti visszavonásáról hitelt érdemlő módon értesíti a kedvezményezett hatóságot. A visszavonás az értesítés kedvezményezett általi kézbesítését követő 30. napon léphet csak hatályba. A garanciavállaló a garanciavállalási kötelezettség alól a visszavonás hatálybalépésétől számított 30. napon mentesülhet.

21. § (1) A minősített szolgáltató a bizalmi felügyelet mint jogosult javára, az E-ügyintézési tv. 89. § (1) bekezdése szerinti költségek megfizetésének biztosítására pénzügyi intézménynél óvadékot alapít. Az óvadék összege legalább huszonötmillió forint.

(2) A bizalmi felügyelet az (1) bekezdésben meghatározott óvadékból akkor használhatja fel a kielégítést, ha a minősített szolgáltató a bizalmi felügyeletnek az E-ügyintézési tv. 89. § (1) bekezdése szerinti feladatai ellátása miatt felmerült költségeit a bizalmi felügyelet erre irányuló felszólításától számított 15 napon belül nem fizette ki.

(3) Az óvadék vagy annak egy része a minősített szolgáltatónak akkor jár vissza, ha

22. § Az E-ügyintézési tv. 89. § (1) bekezdése szerinti költségek minősített szolgáltató általi megfizetéséért legalább százmillió forint jegyzett tőkéjű, az Európai Gazdasági Térségben letelepedett vállalkozás készfizető kezességet vállalhat. A kezességvállalás mértéke legalább huszonötmillió forintig terjed.

23. § A minősített szolgáltató a minősített szolgáltatás bejelentése előtt szolgáltatási szabályzatot készít, amelyben az 1. mellékletben foglalt információkat is rögzíti, feltüntetve bizalmi szolgáltatási rendenként az eltéréseket.

24. § (1) A minősített szolgáltató a jogszabályoknak és szabályzatainak megfelelő és naprakész belső irányítási és ellenőrzési eljárásrendet és kapcsolódó felelősségi rendszert köteles folyamatosan működtetni. A rendszer megfelelő működését a független rendszervizsgáló ellenőrzési tevékenysége biztosítja.

(2) A minősített szolgáltató külső, független rendszervizsgáló által folyamatosan ellenőrzött minőségirányítási és információbiztonsági irányítási rendszerrel kell, hogy rendelkezzen.

(3) A minősített szolgáltató a minősített szolgáltatás nyújtása során létrejövő és kezelt adatot a jogszabályok és a szolgáltatási szabályzatban meghatározott kockázatelemzés alapján biztonsági osztályba sorolja, és gondoskodik azok megfelelő nyilvántartásáról, ellenőrzéséről, védelméről, valamint az ehhez szükséges felelősségi rendszer működtetéséről.

25. § (1) A minősített szolgáltatónál bizalmi munkakört csak olyan személy tölthet be, akinek a bizalmi munkakör betöltéséhez szükséges befolyásmentességét, szakértelmét a minősített szolgáltató szakmai gyakorlattal, végzettséggel és szakképesítéssel igazolni tudja.

(2) Az informatikai rendszerért általánosan felelős munkakört olyan személynek kell betöltenie, aki szakirányú felsőfokú végzettséggel és legalább három év, az informatikai biztonsággal összefüggésben szerzett szakmai gyakorlattal rendelkezik.

(3) A (2) bekezdés tekintetében szakirányú felsőfokú végzettség a matematikusi, fizikusi egyetemi végzettség vagy a műszaki tudományterületre tartozó mérnöki szakon szerzett főiskolai vagy egyetemi végzettség.

26. § A minősített szolgáltatónak törekednie kell a bizalmi munkakörök teljes személyi elválasztására azzal, hogy a feladatkörök elhatárolása végett a minősített szolgáltató a 4. §-ban foglaltakon túl köteles az alábbi feladatköröket is elválasztani:

27. § (1) A minősített szolgáltató a bizalmi munkakört betöltő személyt munkaviszonyban köteles foglalkoztatni, és a bizalmi munkakört betöltő személynek függetlennek kell lennie minden olyan érdektől, amely hátrányosan érintheti a minősített szolgáltatás megbízhatóságát és biztonságát.

(2) A minősített szolgáltatónak gondoskodnia kell arról, hogy a minősített szolgáltatások nyújtásával kapcsolatban álló személy a szükséges és megfelelően naprakész tudással és tapasztalattal rendelkezzen.

28. § (1) A szolgáltatói magánkulcs létrehozását, mentését és helyreállítását fizikailag védett környezetben, legalább két bizalmi munkakört betöltő személy együttes részvételével, más személy jelenlétének kizárásával kell végezni.

(1a)³ Szolgáltatói gyökérhitelesítő magánkulcs létrehozása esetében az (1) bekezdésben foglalt feltételek mellett külső független auditor vagy közjegyző egyidejű részvétele is megengedett.

(2) A szolgáltatói magánkulcsot biztonságos módon kell tárolni. Meg kell akadályozni, hogy a szolgáltatói magánkulcshoz jogosulatlan személy hozzáférhessen, és a kulcsot arra jogosulatlan személy használhassa.

(3) Ha a minősített szolgáltató a szolgáltatói magánkulcsot többé nem kívánja használni, az lejárt vagy kompromittálódott, azt olyan módon kell megsemmisítenie, hogy a kulcs további használata lehetetlenné váljon.

29. § (1) A minősített szolgáltató biztosítja a minősített szolgáltatás nyújtásához a szabályozott változáskezelést és a megbízható üzemeltetést, továbbá az üzemeltetés elválasztását a fejlesztéstől.

(2) A minősített szolgáltató köteles az informatikai rendszer minden felhasználóját és az adminisztratív folyamatok minden szereplőjét személy szerint azonosítani, kivéve azt a kizárólag olvasási jogosultsággal rendelkező felhasználót, aki csak a minősített szolgáltatót terhelő nyilvánosságra hozatali kötelezettségek körébe eső nyilvántartásokhoz fér hozzá.

30. § (1) A minősített szolgáltatás nyújtásával összefüggésben használt bizalmi szolgáltatást megvalósító terméket, valamint azt a helyiséget, amelyben a minősített szolgáltató az ilyen terméket elhelyezi, fizikailag is védeni kell a jogosulatlan hozzáféréstől a jogosulatlan személyek bejutásának kizárásával.

(2) A minősített szolgáltató naplóban rögzíti a belépésre jogosultak belépésének időpontját, tartózkodásának célját, időtartamát, és kilépésének időpontját.

(3) A fizikai és környezeti biztonság komplex kezelése magába foglalja az élet- és vagyonvédelem alábbi területeit is: tűz, árvíz, elárasztás, fizikai behatolás, sugárzás, áramellátás-kimaradás elleni megfelelő szintű védelem.

31. § (1) A minősített szolgáltatónak a szolgáltatás folytonosságának biztosítása érdekében az eIDAS Rendelet 24. cikk (2) bekezdés i) pontjában foglalt megszüntetési terv által lefedett körön kívüli rendkívüli üzemeltetési helyzetek esetére olyan eljárással kell rendelkeznie, amely lehetővé teszi a minősített szolgáltatás mielőbbi helyreállítását.

(2) A visszavonási nyilvántartások megbízható üzemeltetésének helyreállítása rendkívüli üzemeltetési helyzet bekövetkezése esetén minden más szolgáltatás vagy tevékenység helyreállítását megelőzi.

(3) Ha a rendkívüli üzemeltetési helyzet a 36. és 45. §-ban foglalt időtartamot meghaladja, a minősített szolgáltató köteles – az eIDAS Rendelet 19. cikke szerinti és a Bizottság végrehajtási jogi aktusain alapuló kötelezettségein túl – a bizalmi felügyeletet haladéktalanul értesíteni a rendkívüli üzemeltetési helyzettel kapcsolatos alábbi információkról is:

32. § (1) A minősített szolgáltató az üzemmenet folytonossága és az adatvesztés elkerülése érdekében mentéseket végez, és biztosítja az informatikai rendszer egészének szükség esetén való helyreállíthatóságát.

(2) A mentéseket védeni kell a jogosulatlan módosítástól, törléstől, megsemmisüléstől és a jogosulatlan hozzáféréstől.

(3) A rendkívüli helyzetekre való felkészülés magában foglalja a kidolgozott tervek adott esetekre történő alkalmazását és tesztelését is.

33. § A minősített szolgáltató minden, az informatikai rendszerével és a minősített szolgáltatás nyújtásával kapcsolatos eseményt – az üzemmenet folytonossága, az adatvesztés elkerülése, valamint az informatikai biztonság biztosítása érdekében – folyamatosan naplóz. A naplózott adatállománynak a minősített szolgáltatás nyújtásának teljes folyamatát át kell fognia, és alkalmasnak kell lennie a minősített szolgáltatással kapcsolatos minden esemény rekonstruálására a valós helyzetek megítéléséhez szükséges mértékben.

34. § (1) A naplózott adatállomány a naplózott esemény bekövetkeztének naptári napját és pontos idejét, az esemény követhetőségéhez, rekonstruálásához szükséges adatokat és az eseményt előidéző felhasználó vagy más személy nevét tartalmazza.

(2) A naplózott adatállomány minden bejegyzését védeni kell a módosítástól és a jogosulatlan hozzáféréstől.

(3) A naplót úgy kell kezelni, hogy kizárható legyen a napló megsemmisítése, a napló bejegyzéseinek törlése, módosítása, a bejegyzések sorrendjének bármilyen módon történő megváltoztatása. A minősített szolgáltató a naplóról rendszeres mentést készít.

(4) A minősített szolgáltató gondoskodik a naplóadatok folyamatos értékeléséről és ellenőrzéséről.

35. § (1) A minősített szolgáltató az E-ügyintézési tv. 84. § (1) bekezdése szerinti adatokat az ott előírt határidőig, az azon kívüli naplózott adatokat a keletkezésüktől, a szolgáltatási szabályzatot és annak módosításait pedig hatályon kívül helyezésétől számított 10 évig köteles megőrizni, vagy megőrzéséről gondoskodni.

(2) A minősített szolgáltató az (1) bekezdés szerint archivált adatállomány minden bejegyzését védi a jogosulatlan módosítástól, törléstől, megsemmisüléstől és jogosulatlan hozzáféréstől. Az elektronikus formában tárolt archivált adatállományt legalább fokozott biztonságú elektronikus aláírással vagy bélyegzővel, és időbélyegzővel kell ellátni.

(3) A minősített szolgáltató köteles biztosítani, hogy mindaddig, amíg az (1) bekezdés szerinti adatokat őrzi, az adatok hitelesek, az arra jogosult személyek számára hozzáférhetőek és értelmezhetőek legyenek.

36. § A minősített szolgáltató biztosítja a visszavonási nyilvántartás, a kibocsátott tanúsítványokat tartalmazó nyilvántartás és a visszavonás-kezelés legalább naptári éves szinten számított 99,9%-os rendelkezésre állását. Egy eseti szolgáltatáskiesés időtartama nem haladhatja meg a három órát.

37. § A tanúsítványt kibocsátó szolgáltató a tanúsítványok előállításához, a kibocsátott tanúsítványt tartalmazó nyilvántartáshoz és a visszavonási nyilvántartáshoz használt szolgáltatói magánkulcsokat csak fizikailag védett környezetben, az adott kulcsra meghatározott rendeltetési célra használhatja fel.

38. § Tanúsítvány kibocsátásával kapcsolatos bizalmi szolgáltatás esetén a minősített szolgáltató a 3. § (3) bekezdésében és a 8. §-ban foglalt követelményeken túl a szolgáltatási kivonatban az alábbi adatokat is rögzíti:

39. § (1)⁴ Ha törvény vagy a törvény végrehajtására kiadott kormányrendelet eltérően nem rendelkezik, a minősített szolgáltató által kibocsátott minősített tanúsítvány érvényességi ideje nem haladhatja meg azt az időt, amely időpontig a felhasznált kriptográfiai algoritmusok a bizalmi felügyelet E-ügyintézési tv. 92. § (1) bekezdés b) pontja szerint kibocsátott határozata értelmében biztonságosan felhasználhatók, de legfeljebb a kibocsátástól számított három évet.

(2) A minősített szolgáltató a kibocsátott minősített tanúsítvány felhasználását a tanúsítványban meghatározott tárgybeli, időbeli, földrajzi vagy egyéb korlátok szerint korlátozhatja, ha a korlátozás a tanúsítványból egyértelműen kitűnik. A korlátozásról és ennek következményeiről a minősített szolgáltató köteles a tanúsítvány alanyt megfelelően tájékoztatni.

(3) A minősített tanúsítványnak tartalmaznia kell azt az időtartamot, ameddig a minősített szolgáltató egy tanúsítvánnyal kapcsolatosan rendelkezésére álló információkat az E-ügyintézési tv. 84. § (1) bekezdése szerint megőrzi.

(4) A minősített szolgáltató gondoskodik arról, hogy a tanúsítványba foglalt személyazonosító adat az adott szolgáltatás keretében mindig egyedi maradjon.

40. § (1) A minősített szolgáltató visszavonási vagy felfüggesztési kérelem esetén csak azt követően teljesítheti a kérést, hogy a kérelmező ezen jogosultságáról meggyőződött.

(2) A minősített szolgáltató köteles a benyújtott visszavonási vagy felfüggesztési kérelmeket haladéktalanul, minden más típusú tevékenysége (így különösen tanúsítvány előállítása vagy kibocsátás) előtt feldolgozni, és az arra jogosult által benyújtott kérelmeket teljesíteni.

(3) A minősített szolgáltató biztosítja, hogy egy tanúsítvány visszavonása vagy felfüggesztése a visszavonási vagy felfüggesztési kérelem teljesítésével egyidejűleg megjelenik a visszavont és felfüggesztett tanúsítványok nyilvántartásában.

(4) A minősített szolgáltató gondoskodik róla, hogy a visszavont és felfüggesztett tanúsítványok nyilvántartásában szereplő adatokat szükség esetén az arra jogosult harmadik személyek értelmezni tudják, így különösen egy szolgáltatás befejezése esetén.

41. § A minősített szolgáltató valamennyi bizalmi munkakör betöltését köteles biztosítani, és a bizalmi munkaköröket a szolgáltatási szabályzatban is nevesítenie kell.

42. § (1) A minősített szolgáltató elkülönítve kezeli és működteti

(2) A minősített szolgáltató egyéb tevékenységeihez használt termékek nem befolyásolhatják a bizalmi szolgáltatást megvalósító termék megbízható üzemeltetését.

(3) A minősített szolgáltató a bizalmi szolgáltatást megvalósító terméket a szolgáltatási szabályzatban meghatározott kockázatelemzések alapján biztonsági osztályokba sorolja, és ezekről nyilvántartást vezet.

(4) Mielőtt a minősített szolgáltató a minősített szolgáltatás nyújtásához használt bizalmi szolgáltatást megvalósító terméket a saját maga által végzett szolgáltatásnyújtáson kívüli célokra használja fel, megbizonyosodik arról, hogy a termék nem tartalmaz olyan adatot, amely bizalmi szolgáltatáshoz fűződik, valamint arról, hogy az ilyen adatot nem lehet visszaállítani. E vizsgálatot és a vizsgálat eredménye alapján végrehajtott intézkedést a minősített szolgáltató naplózza.

43. § (1) Ha a minősített szolgáltató az elektronikus aláírás vagy bélyegző létrehozásához használt adat előállításáról és annak elektronikus aláírást vagy bélyegzőt létrehozó eszközben való elhelyezéséről maga gondoskodik, a (2)–(6) bekezdés szerinti követelményeket is köteles teljesíteni.

(2) A minősített szolgáltató az elektronikus aláírás vagy bélyegző létrehozásához használt adat előállítását fizikailag védett környezetben köteles végezni, kizárólag bizalmi munkakört betöltő személyek részvételével.

(3) A minősített szolgáltató az elektronikus aláírás vagy bélyegző létrehozásához használt adatot csak a tanúsítvány alany elektronikus aláírást vagy bélyegzőt létrehozó eszközében tárolhatja. Ha az elektronikus aláírás vagy bélyegző létrehozásához használt adatot az elektronikus aláírást vagy bélyegzőt létrehozó eszközön kívül hozzák létre, az elektronikus aláírás vagy bélyegző létrehozásához használt adat elektronikus aláírást vagy bélyegzőt létrehozó eszközön kívüli minden másolatát azonnal törölni kell, amint az elektronikus aláírás vagy bélyegző létrehozásához használt adat az elektronikus aláírást vagy bélyegzőt létrehozó eszközbe kerül. Az elektronikus aláírás vagy bélyegző létrehozásához használt adat másolatát a minősített szolgáltató olyan módon köteles törölni, hogy a törölt másolat további használata lehetetlenné váljon.

(4) A minősített szolgáltató biztosítja, hogy az elektronikus aláírás vagy bélyegző létrehozásához használt adathoz mások ne férhessenek hozzá.

(5) A minősített szolgáltató az elektronikus aláírást vagy bélyegzőt létrehozó eszköz használatához szükséges, a tanúsítvány alany hozzáférési jogosultságát ellenőrző adatot (így különösen PIN-kódot) csak abból a célból rögzítheti, hogy azt a tanúsítvány alany számára – másolat megőrzése nélkül – átadhassa.

(6) A minősített szolgáltató az elektronikus aláírást vagy bélyegzőt létrehozó eszközt, valamint az aláíró hozzáférési jogosultságát ellenőrző adatot csak közvetlenül a tanúsítvány alany – bélyegző esetén a tanúsítvány alany által feljogosított természetes személy – számára adhatja át. A minősített szolgáltatónak azt is naplóznia kell, hogy az elektronikus aláírás vagy bélyegző létrehozásához használt adatot mikor adta át az arra jogosultnak.

44. § A minősített elektronikus aláírással vagy bélyegzővel kapcsolatos bizalmi szolgáltatás esetén a minősített szolgáltató a 3. § (3) bekezdésében, a 8. §-ban és a 41. §-ban foglalt követelményeken túl a szolgáltatási kivonatban az alábbi adatokat is rögzíti:

45. § (1) A minősített szolgáltató biztosítja, hogy a minősített időbélyegzővel kapcsolatos szolgáltatás folyamatosan rendelkezésre áll. Egy eseti szolgáltatáskiesés időtartama nem haladhatja meg a három órát.

(2) A minősített szolgáltató a minősített időbélyeg elhelyezésére használt szolgáltatói magánkulcsokat csak fizikailag védett környezetben, az adott kulcsra meghatározott rendeltetési célra használhatja fel.

46. § (1) A minősített archiválási szolgáltató biztosítja, hogy a bizalmi szolgáltatási ügyfél az elektronikus dokumentum minősített archiválási szolgáltató általi átvételét megelőzően magát a szolgáltatási szabályzatban meghatározott módon azonosítani tudja. Az azonosítás a bizalmi szolgáltatási ügyfél egyedi azonosítását lehetővé tévő bármely módon, álnév, tanúsítvány vagy egyéb azonosító alkalmazásával is történhet.

(2) A minősített archiválási szolgáltató az elektronikus aláírás vagy bélyegző hosszú távú érvényesítéséhez szükséges információkat köteles haladéktalanul, de legfeljebb három naptári napon belül beszerezni.

47. § (1) A szolgáltatási szabályzatban meghatározott formátumokban átadott elektronikus dokumentumok olvashatóságának és megjeleníthetőségének folyamatos fenntartása érdekében a minősített archiválási szolgáltató a szerződésben, illetve az archiválási szabályzatban meghatározott megőrzési ideig köteles biztosítani az adathordozók olvashatóságát és a dokumentumok megjeleníthetőségét biztosító szoftver- és hardverkörnyezetet.

(2) Az (1) bekezdésben meghatározottak érdekében a minősített archiválási szolgáltató köteles a szolgáltatási szabályzat részeként archiválási szabályzatot alkotni.

48. § (1) A minősített archiválási szolgáltató a bizalmi szolgáltatási ügyfél számára igazolást köteles kiadni az alábbi tényekről:

(2) Az (1) bekezdésben meghatározott tényekről együttes igazolás is kiadható.

(3) Az igazolás harmadik személy számára is kiadható, ha a kérelméhez csatolja a bizalmi szolgáltatási ügyfél teljes bizonyító erejű magánokiratba vagy közokiratba foglalt meghatalmazását.

(4) Ha az igazolást a minősített archiválási szolgáltató elektronikus úton állítja ki, az elektronikus dokumentumon minősített elektronikus aláírást vagy bélyegzőt kell elhelyeznie, valamint minősített szolgáltató által kibocsátott időbélyegzőt elhelyeznie vagy elhelyeztetnie.

49. § A szolgáltatási szerződés megszűnése vagy a bizalmi szolgáltatási ügyfél ilyen rendelkezése esetén a minősített archiválási szolgáltató köteles az érvényességi láncot visszaállíthatatlan módon törölni az informatikai rendszeréből.

50. § A minősített archiválási szolgáltató a 3. § (3) bekezdésében és a 8. §-ban foglalt követelményeken túl a szolgáltatási kivonatban az alábbi tájékoztatásokat is rögzíti:

51. § A minősített archiválási szolgáltatás nyújtásával összefüggésben azt a helyiséget, amelyben a minősített archiválási szolgáltató az archiválásra átvett adatokat őrzi, a jogosulatlan személyek bejutásának kizárásával a jogosulatlan hozzáféréstől fizikailag is védeni kell.

52. § Ez a rendelet 2016. július 1-jén lép hatályba.

53. § A 2016. július 1-jét megelőzően kibocsátott, nem minősített aláíró tanúsítványok, valamint az ilyen tanúsítványon alapuló elektronikus aláírások Magyarországon 2016. július 15-ig bírnak mindazon, jogszabály által előírt joghatással, amellyel 2016. június 30-án rendelkeztek, feltéve, hogy ezen időszak alatt az elektronikus aláírásról szóló 2001. évi XXXV. törvény és végrehajtási rendeleteiben foglalt, 2016. június 30-án hatályos követelményeknek megfelelnek.

54. § Ez a rendelet a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről szóló 2014. július 23-i 910/2014/EU európai parlamenti és tanácsi rendelet III. fejezetének végrehajtásához szükséges rendelkezéseket állapít meg.