Czy jestem dostawcą usług zaufania w rozumieniu NIS 2?
Dostawcy usług zaufania znajdują się w sektorze 8 załącznika I NIS 2. Art. 2 ust. 2 lit. a) ppkt (ii) obejmuje ich niezależnie od wielkości, kwalifikowanych i niekwalifikowanych. Wielkość decyduje tylko o kategorii: kwalifikowani dostawcy są zawsze podmiotami kluczowymi. eIDAS działa równolegle i reguluje samą usługę zaufania.
Wersja skrócona
Dostawcą usług zaufania jest każdy, kto świadczy jedną lub więcej usług zaufania zdefiniowanych w art. 3 pkt 16 rozporządzenia eIDAS (UE) 910/2014: podpisy elektroniczne, pieczęcie elektroniczne, elektroniczne znaczniki czasu, rejestrowane doręczenie elektroniczne, certyfikaty uwierzytelniania witryn internetowych lub konserwację któregokolwiek z nich. Sektor 8 załącznika I NIS 2 wymienia dostawców usług zaufania wprost jako część infrastruktury cyfrowej.
Art. 2 ust. 2 lit. a) ppkt (ii) NIS 2 uruchamia następnie dźwignię, która nie dotyczy większości innych sektorów: dostawcy usług zaufania są objęci zakresem niezależnie od wielkości. Kwalifikowani dostawcy usług zaufania, zdefiniowani w art. 3 pkt 20 eIDAS, są ponadto zawsze podmiotami kluczowymi (art. 3 ust. 1 lit. b) NIS 2). Dwuosobowy kwalifikowany dostawca usług zaufania, który wydaje kwalifikowane certyfikaty podpisów elektronicznych, jest związany tak samo jak 500-osobowy urząd certyfikacji. Próg średniego przedsiębiorstwa z art. 2 ust. 1 ich nie warunkuje.
Niekwalifikowani dostawcy usług zaufania również są objęci zakresem, niezależnie od wielkości. Duży niekwalifikowany dostawca jest podmiotem kluczowym, mniejszy podmiotem ważnym (art. 3 ust. 1 lit. a) i art. 3 ust. 2 NIS 2). W Niemczech §28 BSIG czyni kwalifikowanych dostawców usług zaufania besonders wichtige Einrichtungen, a pozostałych dostawców usług zaufania wichtige Einrichtungen. Tak czy inaczej dwa reżimy działają równolegle: eIDAS dla samej usługi zaufania, NIS 2 dla obowiązków cybernetycznych obejmujących całą organizację (szkolenie kierownictwa z art. 20, zgłaszanie istotnych incydentów na podstawie §32 BSIG, środki zarządzania ryzykiem z art. 21).
Dyrektywa NIS 2 (2022/2555), sektor 8 załącznika I (infrastruktura cyfrowa)
dostawcy punktu wymiany ruchu internetowego; dostawcy usług DNS, z wyłączeniem operatorów głównych serwerów nazw; rejestry nazw TLD; dostawcy usług chmurowych; dostawcy usług ośrodka przetwarzania danych; dostawcy sieci dostarczania treści; dostawcy usług zaufania; dostawcy publicznych sieci łączności elektronicznej; dostawcy publicznie dostępnych usług łączności elektronicznej
Dosłownie z Dz.U. L 333 z 27.12.2022. Sektor 8 to infrastruktura cyfrowa. Dostawcy usług zaufania są jednym z wymienionych rodzajów podmiotów. Lista sektora nie rozdziela kwalifikowanych od niekwalifikowanych; ten podział czyni art. 3 NIS 2 oraz eIDAS.
Art. 2 ust. 2 lit. a) ppkt (ii) i art. 3 ust. 1 lit. b) NIS 2 + art. 3 pkt 16 i 20 eIDAS
Art. 2 ust. 2 NIS 2: Niniejsza dyrektywa ma również zastosowanie do podmiotów w rodzaju tych, o których mowa w załączniku I lub II, w przypadku gdy: a) usługi świadczone są przez: […] (ii) dostawców usług zaufania; […] Art. 3 ust. 1 lit. b) NIS 2: kwalifikowanych dostawców usług zaufania i rejestry nazw domen najwyższego poziomu, a także dostawców usług DNS, niezależnie od ich wielkości; Art. 3 pkt 20 eIDAS: „kwalifikowany dostawca usług zaufania” oznacza dostawcę usług zaufania, który świadczy przynajmniej jedną kwalifikowaną usługę zaufania i któremu status kwalifikowany nadał organ nadzoru; Art. 3 pkt 16 eIDAS (zmienionego rozporządzeniem (UE) 2024/1183): „usługa zaufania” oznacza usługę elektroniczną zazwyczaj świadczoną za wynagrodzeniem i obejmującą którąkolwiek z następujących czynności: a) wydawanie certyfikatów podpisów elektronicznych, certyfikatów pieczęci elektronicznych, certyfikatów uwierzytelniania witryn internetowych lub certyfikatów do celów świadczenia innych usług zaufania; […] n) rejestrowanie danych elektronicznych w rejestrze elektronicznym;
Dwie definicje ułożone na sobie. Art. 3 pkt 16 eIDAS mówi, co liczy się jako usługa zaufania. Art. 3 pkt 20 mówi, kto jest kwalifikowanym dostawcą: ten, któremu status kwalifikowany nadał organ nadzoru. NIS 2 stwierdza następnie: każdy dostawca usług zaufania podlega jej niezależnie od liczby pracowników czy obrotu (art. 2 ust. 2 lit. a) ppkt (ii)), a kwalifikowany jest zawsze podmiotem kluczowym (art. 3 ust. 1 lit. b)).
§28 BSIG + Vertrauensdienstegesetz (Niemcy)
§28 BSIG transponuje zakres załącznika I do prawa niemieckiego i czyni kwalifikowanych dostawców usług zaufania „besonders wichtige Einrichtungen” (§28 ust. 1 pkt 2), a pozostałych dostawców usług zaufania „wichtige Einrichtungen” (§28 ust. 2 pkt 1), niezależnie od wielkości. Vertrauensdienstegesetz (VDG) to krajowa ustawa towarzysząca rozporządzeniu eIDAS; wyznacza Bundesnetzagentur jako organ nadzoru nad usługami zaufania i prowadzi niemiecką zaufaną listę.
Rozporządzenie eIDAS stosuje się bezpośrednio, bez niemieckiej transpozycji. VDG dodaje jedynie maszynerię nadzorczą. NIS 2 znajduje się odrębnie ponad oboma: §28 BSIG plasuje kwalifikowanych dostawców usług zaufania w najwyższym poziomie (besonders wichtige Einrichtung), a pozostałych dostawców usług zaufania w poziomie wichtige Einrichtung, niezależnie od wielkości, z BSI jako regulatorem cybernetycznym.
Czy świadczysz usługę zaufania?
Dopasuj swoją ofertę do art. 3 pkt 16 eIDAS. Lista zamknięta to: podpisy elektroniczne, pieczęcie elektroniczne, elektroniczne znaczniki czasu, usługi rejestrowanego doręczenia elektronicznego, certyfikaty uwierzytelniania witryn internetowych oraz konserwacja któregokolwiek z nich. Usługa jest zwykle świadczona za wynagrodzeniem. Jeżeli twoja oferta nie mieści się w żadnej z tych kategorii, nie jesteś dostawcą usług zaufania w rozumieniu eIDAS, niezależnie od tego, ile kryptografii dostarczasz.
Czy jesteś dostawcą, czy tylko użytkownikiem?
Dostawca usług zaufania wydaje lub prowadzi usługę zaufania dla innych. Firma, która podpisuje własne faktury zewnętrzną kwalifikowaną usługą podpisu, jest użytkownikiem tej usługi, a nie dostawcą usług zaufania. Firma doradcza, która pomaga klientowi wdrożyć procesy podpisu, również jest użytkownikiem. Status dostawcy zależy od tego, czy sam tworzysz, walidujesz, doręczasz lub konserwujesz usługę zaufania, na rzecz kogoś innego, za pieniądze.
Kwalifikowany czy niekwalifikowany?
Sprawdź krajową zaufaną listę (w Niemczech: zaufaną listę Bundesnetzagentur na podstawie VDG). Jeżeli jesteś na niej wpisany jako dostawca kwalifikowany, jesteś podmiotem kluczowym niezależnie od wielkości (art. 3 ust. 1 lit. b) NIS 2). Jeżeli nie jesteś wpisany, jesteś niekwalifikowany: nadal w zakresie niezależnie od wielkości (art. 2 ust. 2 lit. a) ppkt (ii)), jako podmiot kluczowy, jeśli jesteś duży, a w przeciwnym razie jako podmiot ważny. Dwu- i trzyosobowi dostawcy usług zaufania są w tym sektorze powszechni i wszyscy są w zakresie.
Wielkość nie decyduje o zakresie
Art. 2 ust. 2 NIS 2 wymienia przypadki, w których test wielkości nie ma zastosowania, a dostawcy usług zaufania są wśród nich (lit. a) ppkt (ii)). Usługi zaufania trafiły na listę, ponieważ szkoda z kompromitacji kwalifikowanego certyfikatu jest strukturalna: każdy podpis, pieczęć lub znacznik czasu wydany na jego podstawie traci skutek prawny. Wielkość dostawcy nie ma wpływu na rozmiar szkody w dalszej części łańcucha. Dwuosobowy urząd certyfikacji może złamać cały łańcuch podpisów państwa członkowskiego. Dlatego test wielkości jest wyłączony.
Kwalifikowani dostawcy usług zaufania działają w dwóch równoległych reżimach
Art. 19 eIDAS, który wcześniej ustalał obowiązki bezpieczeństwa dla usług zaufania, został uchylony przez art. 42 NIS 2 ze skutkiem od 18 października 2024. Środki bezpieczeństwa i zgłaszanie incydentów wynikają teraz z NIS 2. eIDAS nadal reguluje samą usługę: kwalifikowani dostawcy usług zaufania podlegają audytowi co najmniej raz na 24 miesiące przeprowadzanemu przez jednostkę oceniającą zgodność, a audyt potwierdza także zgodność z art. 21 NIS 2 (art. 20 ust. 1 eIDAS). NIS 2 dodaje obowiązki cybernetyczne obejmujące całą organizację: szkolenie kierownictwa z art. 20, środki zarządzania ryzykiem z art. 21, zgłaszanie istotnych incydentów z art. 23. Art. 4 NIS 2 nie wyłącza tu NIS 2. Oba reżimy mają zastosowanie w pełni. Organ nadzoru eIDAS oraz właściwy organ NIS 2 mogą być różne (w Niemczech: Bundesnetzagentur dla eIDAS, BSI dla NIS 2).
BSI / §28 BSIG (strona NIS 2)
BSI jest właściwym organem NIS 2. Prowadzi portal rejestracyjny na podstawie §33 BSIG, przyjmuje powiadomienia o istotnych incydentach na podstawie §32 BSIG i nadzoruje środki zarządzania ryzykiem z §30 BSIG. Kwalifikowani dostawcy usług zaufania trafiają do poziomu „besonders wichtige Einrichtung” przez §28 ust. 1 BSIG, pozostali dostawcy usług zaufania do poziomu „wichtige Einrichtung” przez §28 ust. 2, co oznacza ściślejszy nadzór i te same terminy zgłaszania incydentów co operatorzy KRITIS.
Bundesnetzagentur (strona eIDAS)
Bundesnetzagentur jest organem nadzoru nad usługami zaufania na podstawie Vertrauensdienstegesetz. Prowadzi niemiecką zaufaną listę, akredytuje status kwalifikowany, przyjmuje sprawozdania z oceny zgodności z 24-miesięcznego audytu na podstawie art. 20 ust. 1 eIDAS. Gdy incydent jest jednocześnie istotnym incydentem na podstawie §32 BSIG i naruszeniem, które kwalifikowani dostawcy usług zaufania muszą zgłosić na podstawie art. 24 ust. 2 lit. fb) eIDAS, zgłaszasz oba, do obu organów.
Wytyczne techniczne ENISA dotyczące wdrożenia + prace nad EUDI Wallet
ENISA publikuje wytyczne techniczne dotyczące wdrożenia CIR, które obejmują także dostawców usług zaufania, i opracowuje poziom bazowy cyberbezpieczeństwa, który zasila oczekiwania krajowych nadzorców. Ten sam organ opracowuje obecnie pakiet prac dotyczący usług zaufania dla europejskiego portfela tożsamości cyfrowej (European Digital Identity Wallet), który od 2026 r. rozszerza obwód kwalifikowanych dostawców usług zaufania.
Krajowe ustawy transponujące
eIDAS jest rozporządzeniem, więc zasady usług zaufania są jednolite w całej UE. NIS 2 jest dyrektywą, więc każde państwo członkowskie ją transponuje: NL przez Cyberbeveiligingswet, AT przez NISG, a we FR transpozycja jest nadal projektem ustawy w parlamencie. Sektor 8 załącznika I oraz reguła niezależna od wielkości z art. 2 ust. 2 lit. a) ppkt (ii) są identyczne we wszystkich. Właściwy organ po stronie NIS 2 różni się w zależności od kraju.
Niekwalifikowane usługi zaufania są poza NIS 2.
Błąd. Niekwalifikowani dostawcy usług zaufania nadal są w sektorze 8 załącznika I, a art. 2 ust. 2 lit. a) ppkt (ii) NIS 2 obejmuje ich niezależnie od wielkości. Kwalifikacja decyduje tylko o kategorii. 60-osobowy niekwalifikowany dostawca znaczników czasu jest w NIS 2 jako podmiot ważny; duży niekwalifikowany dostawca jest podmiotem kluczowym.
eIDAS już obejmuje cyberbezpieczeństwo, więc NIS 2 nic nie dodaje.
Art. 19 eIDAS, który wcześniej ustalał poziom bazowy bezpieczeństwa, został uchylony przez art. 42 NIS 2 ze skutkiem od 18 października 2024. Poziom bazowy bezpieczeństwa wynika teraz z NIS 2. Art. 20, 21 i 23 NIS 2 dodają obowiązki obejmujące całą organizację: szkolenie organu zarządzającego, pełny katalog zarządzania ryzykiem od kryptografii po łańcuch dostaw oraz zgłaszanie istotnych incydentów na podstawie §32 BSIG z 24-godzinnym wczesnym ostrzeżeniem. Zasada lex specialis z art. 4 NIS 2 nie wyłącza NIS 2 dla usług zaufania. Dwa równoległe reżimy, żaden nie zastępuje drugiego.
Jesteśmy za mali na NIS 2.
Dla dostawcy usług zaufania wielkość to złe pytanie. Art. 2 ust. 2 lit. a) ppkt (ii) obejmuje cię niezależnie od liczby pracowników, obrotu czy sumy bilansowej, kwalifikowanego lub nie. Dwuosobowy kwalifikowany urząd certyfikacji jest w tym samym poziomie NIS 2 co wielonarodowy urząd certyfikacji. Powód leży w dalszej części łańcucha: każdy podpis wydany na podstawie skompromitowanego kwalifikowanego certyfikatu traci skutek prawny, niezależnie od tego, kto go wydał.
Typowy przypadek: 12-osobowy kwalifikowany dostawca usług zaufania wydający kwalifikowane certyfikaty podpisów elektronicznych, z 24-miesięcznym cyklem oceny zgodności eIDAS i wpisem na krajową zaufaną listę przez Bundesnetzagentur. Zakres NIS 2 jest automatyczny przez art. 2 ust. 2 lit. a) ppkt (ii). §28 BSIG plasuje firmę w poziomie „besonders wichtige Einrichtung”. Dwóch regulatorów, dwa kanały zgłaszania, jedna firma.
Co praktycy faktycznie robią: biorą dowody z audytu z art. 20 ust. 1 eIDAS, który już sprawdza art. 21 NIS 2, i ponownie wykorzystują je do odpowiednich środków z art. 21 NIS 2 (kryptografia, kontrola dostępu, obsługa incydentów, ciągłość działania). Przeprowadzają rejestrację na podstawie §33 BSIG w BSI. Dodają pozycje, których eIDAS nie obejmuje: szkolenie kierownictwa z art. 20, ryzyko dostawców z art. 21 ust. 2 lit. d), kanał istotnych incydentów na podstawie §32 BSIG. Oba reżimy pokrywają się w zakresie kryptografii i reagowania na incydenty; cała reszta jest dodatkowa.
- Dyrektywa (UE) 2022/2555 (NIS 2), sektor 8 załącznika I, art. 2 ust. 2 lit. a) ppkt (ii), art. 3 ust. 1 lit. b) oraz art. 42: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Rozporządzenie (UE) 910/2014 (eIDAS) zmienione rozporządzeniem (UE) 2024/1183, art. 3 pkt 16, 19 i 20, art. 20 ust. 1 i art. 24: eur-lex.europa.eu/eli/reg/2014/910/oj
- Ustawa o BSI (BSIG), §28 (Anwendungsbereich), §32 (Meldepflichten) i §33 (Registrierung) w brzmieniu ustawy o wdrożeniu NIS2 i wzmocnieniu cyberbezpieczeństwa
- Vertrauensdienstegesetz (VDG): gesetze-im-internet.de/vdg
- Niemiecka zaufana lista Bundesnetzagentur na podstawie art. 22 eIDAS
- Wytyczne techniczne ENISA dotyczące wdrożenia rozporządzenia wykonawczego (UE) 2024/2690, które obejmują dostawców usług zaufania: enisa.europa.eu
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
