Ustawa z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej

1. Rejestr jest prowadzony w postaci elektronicznej. 2. Rejestr jest jawny. Każdy ma prawo dostępu do danych zawartych w rejestrze. 3. Do rejestru wpisuje się dostawców usług zaufania, którzy mają siedzibę lub oddział na terytorium Rzeczypospolitej Polskiej, oraz usługi zaufania świadczone przez tych dostawców. 4. Do rejestru wpisuje się:
1) imię i nazwisko lub firmę (nazwę) dostawcy usług zaufania;
2) adres siedziby i miejsca wykonywania działalności;
3) numer w Krajowym Rejestrze Sądowym – w przypadku dostawców usług zaufania podlegających wpisowi do tego rejestru;
4) numer identyfikacji podatkowej;
5) nazwę polityki świadczenia usług;
6) rodzaj świadczonych usług zaufania;
7) datę rozpoczęcia świadczenia usługi zaufania;
8) datę zakończenia świadczenia usługi zaufania;
9) informację o wystawionych certyfikatach, o których mowa w art. 10 ust. 1 pkt 1;
10) nazwę i adres zakładu ubezpieczeń, z którym dostawca usług zaufania zawarł umowę ubezpieczenia, okres, na jaki umowa ta została zawarta, oraz sumę ubezpieczenia;
11) informacje o zamiarze zaprzestania prowadzenia działalności w zakresie świadczenia usług zaufania lub zamiarze ograniczenia zakresu świadczonych usług zaufania;
12) informacje o otwarciu likwidacji dostawcy usług zaufania oraz datę jego likwidacji;
13) informacje o ogłoszeniu upadłości dostawcy usług zaufania lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. – Prawo upadłościowe (Dz. U. z 2024 r. poz. 794 i
1222) oraz datę zakończenia postępowania upadłościowego;
14) datę wykreślenia z rejestru dostawcy usług zaufania.

1. Wpis do rejestru:
1) dostawcy usług zaufania, który zamierza świadczyć kwalifikowane usługi zaufania, lub
2) kwalifikowanej usługi zaufania
– następuje na wniosek dostawcy usług zaufania. 2. Wniosek o wpis, o którym mowa w ust. 1, zawiera dane i informacje, o których mowa w art. 3 ust. 4 pkt 1–7. 3. Minister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej formularz wniosku o wpis, o którym mowa w ust. 1. 4. Do wniosku o wpis, o którym mowa w ust. 1, dołącza się, w postaci elektronicznej:
1) raport z oceny zgodności, o którym mowa w art. 21 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73), zwanego dalej „rozporządzeniem 910/2014”, wydany przez jednostkę oceniającą zgodność;
2) politykę świadczenia usług objętych wnioskiem, zgodnie z którą mają być świadczone usługi zaufania;
3) plan zakończenia działalności, o którym mowa w art. 24 ust. 2 lit. i rozporządzenia 910/2014;
4) dane niezbędne do wystawienia certyfikatu, o którym mowa w art. 10 ust. 1 pkt 1. 5. Do wniosku o wpis, o którym mowa w ust. 1, można dołączyć kopie dokumentów, o których mowa w ust. 4 pkt 1–3. 5a. Do wniosku o wpis, o którym mowa w ust. 1, dołącza się dane i informacje, o których mowa w art. 7 ust. 2 pkt 1–18 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20 i 000). 5b. Po wpisie do rejestru, minister właściwy do spraw informatyzacji dane i informacje, o których mowa w art. 7 ust. 2 pkt 1–18 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, wpisuje do wykazu podmiotów kluczowych i podmiotów ważnych, o którym mowa w art. 7 ust. 1 tej ustawy. Danych tych nie zamieszcza się w rejestrze. 6. Minister właściwy do spraw informatyzacji, po rozpatrzeniu wniosku, o którym mowa w ust. 1, wydaje decyzję o wpisie:
1) dostawcy usług zaufania i świadczonych przez niego usług zaufania do rejestru, jeżeli spełniają wymagania określone w przepisach o usługach zaufania;
2) kwalifikowanej usługi zaufania do rejestru, w przypadku gdy usługa spełnia wymagania określone w przepisach o usługach zaufania. 7. Decyzja o wpisie, o której mowa w ust. 6, zawiera informacje podlegające wpisowi do rejestru.

1. Minister właściwy do spraw informatyzacji wykreśla kwalifikowanego
dostawcę usług zaufania lub świadczoną przez niego kwalifikowaną usługę zaufania
z rejestru w drodze decyzji.
2. Decyzja o wykreśleniu z rejestru kwalifikowanego dostawcy usług zaufania
oznacza odebranie statusu kwalifikowanego temu dostawcy.
3. Decyzja o wykreśleniu z rejestru kwalifikowanej usługi zaufania oznacza
odebranie tej usłudze statusu kwalifikowanego.
4. Minister właściwy do spraw informatyzacji wydaje decyzję o wykreśleniu
z rejestru kwalifikowanego dostawcy usług zaufania lub świadczonej przez niego
kwalifikowanej usługi zaufania w przypadku:
1) złożenia przez tego dostawcę wniosku o wykreślenie z rejestru;
2) wykorzystywania certyfikatów, o których mowa w art. 10 ust. 1 pkt 1, w sposób
wykraczający poza zakres ich stosowania;
3) o którym mowa w art. 20 ust. 3 rozporządzenia 910/2014;
4) zaprzestania działalności przez kwalifikowanego dostawcę usług zaufania.
5. Decyzja o wykreśleniu, o której mowa w ust. 1, jest podstawą wykreślenia
dostawcy usług zaufania z zaufanej listy oraz może być podstawą do unieważnienia
certyfikatów, o których mowa w art. 10 ust. 1 pkt 1.
6. Minister właściwy do spraw informatyzacji wykreśla niekwalifikowanego
dostawcę usług zaufania z rejestru w przypadku ustalenia, że zaprzestał on
świadczenia usług zaufania.

1. Kwalifikowany dostawca usług zaufania jest obowiązany zawrzeć
umowę ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone odbiorcom
usług zaufania powstałe w okresie świadczenia usług zaufania, w terminie 30 dni od
dnia dokonania wpisu kwalifikowanej usługi zaufania do rejestru, nie później niż jeden
dzień przed dniem rozpoczęcia świadczenia tej usługi.
2. Kwalifikowany dostawca usług zaufania jest obowiązany, w terminie 30 dni
od dnia doręczenia decyzji o wpisie do rejestru, przekazać ministrowi właściwemu do
spraw informatyzacji, drogą elektroniczną, kopię umowy, o której mowa w ust. 1.
3. Kwalifikowany dostawca usług zaufania jest obowiązany, w terminie 7 dni od
dnia upływu okresu ubezpieczenia, przekazać ministrowi właściwemu do spraw
informatyzacji, drogą elektroniczną, kopię kolejnej umowy ubezpieczenia.
4. Minister właściwy do spraw instytucji finansowych w porozumieniu
z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, szczegółowy zakres ubezpieczenia,
o którym mowa w ust. 1, oraz minimalną sumę gwarancyjną, uwzględniając specyfikę
działalności prowadzonej przez kwalifikowanych dostawców usług zaufania.

1. Informacje i dane związane ze świadczeniem usług zaufania, których ujawnienie mogłoby narazić na szkodę dostawcę usług zaufania lub odbiorcę usług zaufania, w szczególności dane do składania podpisów elektronicznych lub pieczęci elektronicznych, są objęte tajemnicą. 2. Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania. 3. Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane:
1) osoby pozostające z dostawcą usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze;
2) osoby pozostające z podmiotami świadczącymi usługi na rzecz dostawcy usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze. 4. Osoby, o których mowa w ust. 3, mają obowiązek udzielenia informacji i danych, o których mowa w ust. 1, z wyjątkiem danych do składania podpisów elektronicznych lub pieczęci elektronicznych, wyłącznie na żądanie:
1) sądu lub prokuratora – w związku z toczącym się postępowaniem;
2) ministra właściwego do spraw informatyzacji – w związku ze sprawowaniem przez niego nadzoru nad działalnością dostawców usług zaufania;
3) innych upoważnionych organów – w związku z prowadzonym przez te organy postępowaniem. 5. Obowiązek zachowania tajemnicy, o której mowa w ust. 1, trwa przez 10 lat od dnia ustania stosunku prawnego, o którym mowa w ust. 3. 6. Obowiązek zachowania w tajemnicy danych do składania podpisu elektronicznego lub pieczęci elektronicznej jest nieograniczony w czasie.

Dostawca usług zaufania nie odpowiada za szkody wynikające z nieprzestrzegania przez odbiorcę usług zaufania zasad określonych w polityce świadczenia usługi, w szczególności za szkody wynikające z:
1) użycia certyfikatu niezgodnie z zakresem określonym w polityce świadczenia usługi wskazanej w certyfikacie, w tym za szkody wynikające z przekroczenia najwyższej wartości granicznej transakcji, jeżeli wartość ta została wskazana w certyfikacie;
2) nieprawdziwości danych zawartych w certyfikacie, podanych przez odbiorcę usług zaufania używającego tego certyfikatu, chyba że szkoda była wynikiem niedołożenia należytej staranności przez dostawcę usług zaufania;
3) przechowywania lub używania przez odbiorców usług zaufania danych do składania podpisu elektronicznego, pieczęci elektronicznej lub uwierzytelniania witryn internetowych w sposób niezapewniający ich ochrony przed nieuprawnionym wykorzystaniem. Rozdział 4 Krajowy schemat identyfikacji elektronicznej

Art. 21a. 1. Krajowy schemat identyfikacji elektronicznej obejmuje:
1) węzeł krajowy identyfikacji elektronicznej, zwany dalej „węzłem krajowym”;
2) przyłączone do węzła krajowego:
a) systemy identyfikacji elektronicznej, w których wydawane są środki identyfikacji elektronicznej,
b) systemy teleinformatyczne, w których udostępniane są usługi online;
3) węzeł wykorzystywany w procesie transgranicznego uwierzytelniania osób, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, zwany dalej „węzłem transgranicznym”. 2. Węzeł krajowy jest rozwiązaniem organizacyjno-technicznym umożliwiającym uwierzytelnianie użytkownika systemu teleinformatycznego, korzystającego z usługi online, z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej przyłączonym do tego węzła bezpośrednio albo za pośrednictwem węzła transgranicznego. 3. Wykorzystywanie środka identyfikacji elektronicznej do uwierzytelnienia użytkownika systemu teleinformatycznego w celu realizacji usługi online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 1557), lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, jest nieodpłatne. 4. Uwierzytelnienie użytkownika systemu teleinformatycznego w celu realizacji usługi online wymaga użycia środka identyfikacji elektronicznej na poziomie bezpieczeństwa określonym przez podmiot świadczący tę usługę. 5. Funkcjonowanie węzła krajowego zapewnia minister właściwy do spraw informatyzacji. 6. Minister właściwy do spraw informatyzacji przetwarza dane osobowe osób, którym wydano środki identyfikacji elektronicznej, obejmujące:
1) imię (imiona),
2) nazwisko,
3) nazwisko rodowe,
4) numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,
5) datę urodzenia,
6) miejsce urodzenia,
7) płeć,
8) adres zamieszkania
– w celu uwierzytelnienia z wykorzystaniem węzła krajowego.

Art. 21b. 1. Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po:
1) potwierdzeniu spełnienia przez ten system wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie, określonych w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;
2) przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność systemów identyfikacji elektronicznej, z uwzględnieniem przepisów wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014;
3) zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
4) przedstawieniu przez podmiot odpowiedzialny za ten system dokumentu zawierającego przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy;
5) przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu tego podmiotu zgodnie z przepisami o ochronie danych osobowych;
6) uzyskaniu pozytywnej opinii Szefa Agencji Bezpieczeństwa Wewnętrznego w przypadku, o którym mowa w art. 21g ust. 6. 2. Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje pod warunkiem dostarczenia ministrowi właściwemu do spraw informatyzacji przez podmiot odpowiedzialny za system identyfikacji elektronicznej, w terminie wskazanym przez tego ministra, nie krótszym niż 30 dni, kopii umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy. 3. Po spełnieniu warunku, o którym mowa w ust. 2, przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje bez zbędnej zwłoki.

Art. 21c. 1. Ubezpieczeniem, o którym mowa w art. 21b ust. 2, jest objęta odpowiedzialność cywilna podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkodę wynikającą z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej, w usłudze online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej. 2. Ubezpieczenie, o którym mowa w art. 21b ust. 2, nie obejmuje szkód:
1) wyrządzonych przez ubezpieczonego po dniu wydania ostatecznej decyzji o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego, chyba że szkoda jest następstwem działania lub zaniechania, które miało miejsce w okresie przyłączenia do węzła krajowego,
2) polegających na zapłacie kar umownych,
3) powstałych wskutek siły wyższej
– chyba że w umowie ubezpieczenia zakres ochrony ubezpieczeniowej zostanie rozszerzony również o szkody wynikające ze zdarzeń wskazanych w pkt 1–3. 3. Ubezpieczenie, o którym mowa w art. 21b ust. 2, obejmuje wszystkie szkody w zakresie, o którym mowa w ust. 1 i 2, bez możliwości umownego ograniczenia odpowiedzialności przez zakład ubezpieczeń.

Art. 21ca. 1. Podmiot odpowiedzialny za system identyfikacji elektronicznej ponosi odpowiedzialność cywilną za szkodę wynikającą z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji elektronicznej, w celu uwierzytelnienia użytkowników systemów określonych w art. 21a ust. 1 pkt 2 lit. b, korzystających z usługi online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej do wysokości 2 000 000 euro w odniesieniu do wszystkich zdarzeń w danym roku. 2. Ograniczenia odpowiedzialności do wysokości wskazanej w ust. 1 nie stosuje się w przypadku transgranicznego uwierzytelniania osób, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014.

Art. 21d. 1. Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, minimalną sumę gwarancyjną ubezpieczenia, o którym mowa w art. 21b ust. 2, za szkody wynikające z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. l ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowane przez awarie, przerwy lub błędy systemu lub przez zaciągnięcie zobowiązań w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, uwzględniając specyfikę działalności prowadzonej przez podmioty odpowiedzialne za systemy identyfikacji elektronicznej. 2. Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, wysokość kwot odpowiedzialności podmiotu odpowiedzialnego za system identyfikacji elektronicznej, o której mowa w art. 21ca ust. 1, w odniesieniu do jednego zdarzenia, w zależności od poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie, kierując się potrzebą zapewnienia zaufania do uwierzytelnienia z wykorzystaniem środków identyfikacji elektronicznej.

Art. 21e. 1. Osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, jest obowiązana:
1) korzystać ze środka identyfikacji elektronicznej zgodnie z warunkami określonymi przez podmiot odpowiedzialny za system identyfikacji elektronicznej, w którym został wydany ten środek;
2) zgłaszać niezwłocznie podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej, w którym został wydany ten środek, utratę, kradzież, przywłaszczenie środka identyfikacji elektronicznej lub utratę wyłącznej kontroli nad danymi umożliwiającymi identyfikację przy użyciu tego środka albo stwierdzenie nieuprawnionego użycia środka identyfikacji elektronicznej. 2. W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, z chwilą wydania tego środka podejmuje niezbędne działania służące zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego środka lub danych umożliwiających identyfikację przy użyciu tego środka.

Art. 21f. W przypadku zgłoszenia, o którym mowa w art. 21e ust. 1 pkt 2, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, po dokonaniu zgłoszenia nie ponosi odpowiedzialności za zobowiązanie zaciągnięte z wykorzystaniem środka identyfikacji elektronicznej.

Art. 21g. 1. Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za system identyfikacji elektronicznej. 2. Wniosek zawiera:
1) imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności, numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został on nadany, podmiotu odpowiedzialnego za system identyfikacji elektronicznej;
2) imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności, numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został on nadany, każdego podmiotu:
a) potwierdzającego tożsamość oraz weryfikującego dane identyfikujące osoby ubiegającej się o wydanie środka identyfikacji elektronicznej,
b) wydającego środki identyfikacji elektronicznej,
c) zapewniającego funkcjonalność pozwalającą na uwierzytelnienie osób, którym wydano środek identyfikacji elektronicznej
– w przypadku gdy czynności tych nie wykonuje podmiot odpowiedzialny za system identyfikacji elektronicznej;
3) nazwę i szczegółowy opis systemu identyfikacji elektronicznej, w tym opis środków identyfikacji elektronicznej wydawanych w tym systemie z określeniem ich poziomu bezpieczeństwa, o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014, oraz informacje techniczne i organizacyjne dotyczące wykorzystania tych środków. 3. Do wniosku dołącza się:
1) dokument potwierdzający spełnianie wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej, określonych w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, w szczególności:
a) pozytywny wynik audytu systemu zarządzania bezpieczeństwem informacji obejmującego swym zakresem system identyfikacji elektronicznej, którego dotyczy wniosek, albo
b) pozytywny wynik audytu, o którym mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014
– adekwatnie do poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie;
2) dokument zawierający przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy;
3) oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3;
4) oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych. 4. Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym. 5. Minister właściwy do spraw informatyzacji informuje Szefa Agencji Bezpieczeństwa Wewnętrznego o wpłynięciu wniosku, o którym mowa w ust. 1, w celu umożliwienia Szefowi Agencji Bezpieczeństwa Wewnętrznego dokonania oceny, czy podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, znajdują się pod kontrolą korporacyjną, w tym faktycznym wpływem innego państwa, jego podmiotu lub obywatela tego państwa, a w przypadku znajdowania się pod taką kontrolą, w celu ustalenia, czy może zagrażać bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa. 6. Szef Agencji Bezpieczeństwa Wewnętrznego może przeprowadzić postępowanie w celu dokonania oceny, o której mowa w ust. 5, o czym informuje ministra właściwego do spraw informatyzacji w terminie 7 dni od dnia otrzymania informacji o wpłynięciu wniosku. 7. Kontrolą korporacyjną, o której mowa w ust. 5, są wszelkie formy bezpośredniego lub pośredniego uzyskania przez podmiot uprawnień, które osobno albo łącznie, przy uwzględnieniu wszystkich okoliczności prawnych i faktycznych, umożliwiają wywieranie decydującego wpływu na podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, a w szczególności w przypadku:
1) dysponowania bezpośrednio lub pośrednio większością głosów na zgromadzeniu wspólników albo na walnym zgromadzeniu, także jako zastawnik albo użytkownik, bądź w zarządzie innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;
2) uprawnienia do powoływania lub odwoływania większości członków zarządu lub rady nadzorczej innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;
3) gdy członkowie jego zarządu lub rady nadzorczej stanowią więcej niż połowę członków zarządu innego podmiotu (podmiotu zależnego);
4) dysponowania bezpośrednio lub pośrednio większością głosów w spółce osobowej zależnej albo na walnym zgromadzeniu spółdzielni zależnej, także na podstawie porozumień z innymi osobami;
5) dysponowania prawem do całego albo do części mienia innego podmiotu (podmiotu zależnego);
6) umów przewidujących zarządzanie innym podmiotem (podmiotem zależnym) lub przekazywanie zysku przez taki podmiot. 8. W przypadku wszczęcia przez Szefa Agencji Bezpieczeństwa Wewnętrznego postępowania w celu dokonania oceny, o której mowa w ust. 5, minister właściwy do spraw informatyzacji wzywa podmiot odpowiedzialny za system identyfikacji elektronicznej do przekazania danych niezbędnych do przeprowadzenia postępowania w stosunku do tego podmiotu lub podmiotu, o którym mowa w ust. 2 pkt 2. 9. Podmiot odpowiedzialny za system identyfikacji elektronicznej na żądanie ministra właściwego do spraw informatyzacji obowiązany jest przekazać dane i dokumenty niezbędne do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5. 10. Agencja Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania w celu dokonania oceny, o której mowa w ust. 5, wydaje pozytywną opinię, jeżeli podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2:
1) nie znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela tego państwa, albo
2) znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela tego państwa, ale kontrola ta nie zagraża bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa. 11. Szef Agencji Bezpieczeństwa Wewnętrznego wydaje negatywną opinię w przypadku niespełnienia odpowiednio przez podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, warunków, o których mowa w ust. 10. 12. Opinia Szefa Agencji Bezpieczeństwa Wewnętrznego zawiera oddzielnie stanowisko w stosunku do każdego z ocenianych podmiotów. 13. Rada Ministrów określi, w drodze rozporządzenia, zakres danych i dokumentów niezbędnych do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5, mając na uwadze potrzebę zapewnienia kompletności danych i dokumentów niezbędnych do wydania opinii oraz zapewnienie sprawności postępowania. 14. Termin postępowania w sprawie przeprowadzenia oceny, o której mowa w ust. 5, wynosi 30 dni od otrzymania danych i dokumentów niezbędnych do przeprowadzenia postępowania i może zostać wydłużony o kolejne 30 dni w przypadkach szczególnie uzasadnionych. Okresu przeprowadzenia postępowania nie wlicza się do terminów przewidzianych na wydanie decyzji, o której mowa w art. 21b ust. 1.

Art. 21h. Minister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których mowa w art. 21b ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Art. 21i. Minister właściwy do spraw informatyzacji informuje podmiot odpowiedzialny za system identyfikacji elektronicznej na piśmie, w postaci papierowej albo elektronicznej, o:
1) przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego;
2) każdej zmianie polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3.

Art. 21j. W przypadku niespełniania wymagań, o których mowa w art. 21b ust. 1, minister właściwy do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu identyfikacji elektronicznej do węzła krajowego.

Art. 21k. Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego dostarcza ministrowi właściwemu do spraw informatyzacji:
1) dokumenty potwierdzające spełnianie aktualnych wymagań dla wskazanych we wniosku poziomów bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 21g ust. 3 pkt 1, w przypadku zmiany przepisów wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, w terminie 14 dni od dnia wejścia w życie zmiany tych przepisów;
2) kopię kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wniosko- dawcy, w terminie 14 dni od dnia jej zawarcia.

Art. 21l. 1. Ponowne złożenie wniosku, o którym mowa w art. 21g ust. 1, wymagane jest w przypadku:
1) zmiany poziomu bezpieczeństwa środka identyfikacji elektronicznej, wydawanego w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego;
2) uruchomienia w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego środka identyfikacji elektronicznej nieobjętego zakresem wniosku, na podstawie którego została wydana decyzja o przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego;
3) wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku, o którym mowa w art. 21s ust. 3. 2. Umożliwienie korzystania za pośrednictwem węzła krajowego ze środków identyfikacji elektronicznej, o których mowa w ust. 1, następuje po pozytywnym rozpatrzeniu wniosku i przeprowadzeniu testów integracyjnych.

Art. 21m. Do węzła krajowego przyłącza się system teleinformatyczny zapewniający obsługę publicznego systemu identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działal- ności podmiotów realizujących zadania publiczne.

Art. 21n. 1. Minister właściwy do spraw informatyzacji prowadzi rejestr systemów identyfikacji elektronicznej przyłączonych do węzła krajowego, zwany dalej „rejestrem systemów”. 2. Rejestr systemów jest jawny. 3. Podstawą do wpisania systemu identyfikacji elektronicznej do rejestru systemów jest decyzja, o której mowa w art. 21b ust. 1. Wpis jest czynnością materialno-techniczną. 4. Do rejestru systemów wpisuje się:
1) informacje zawarte we wniosku, o którym mowa w art. 21g ust. 1;
2) datę przyłączenia systemu identyfikacji elektronicznej do węzła krajowego;
3) informacje o zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji elektronicznej wydawanymi w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego;
4) informacje o otwarciu likwidacji podmiotu odpowiedzialnego za system identyfikacji elektronicznej oraz datę jego likwidacji;
5) informacje o ogłoszeniu upadłości podmiotu odpowiedzialnego za system identyfikacji elektronicznej lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. – Prawo upadłościowe oraz datę zakończenia postępowania upadłościowego;
6) informacje o zawieszeniu możliwości korzystania z systemu identyfikacji elektronicznej lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie;
7) informacje o przywróceniu możliwości korzystania z systemu identyfikacji elektronicznej lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie;
8) informację o tym, czy system identyfikacji elektronicznej został przyłączony do węzła transgranicznego;
9) datę wykreślenia z rejestru systemów podmiotu odpowiedzialnego za system identyfikacji elektronicznej.

Art. 21o. 1. Informacje i dane zawarte w dokumentach potwierdzających spełnianie wymagań, o których mowa w art. 21b ust. 1, których ujawnienie mogłoby narazić na szkodę podmiot odpowiedzialny za system identyfikacji elektronicznej, objęte są tajemnicą. 2. Informacje i dane objęte tajemnicą udostępnia się wyłącznie na żądanie:
1) sądu lub prokuratora – w związku z toczącym się postępowaniem;
2) innych upoważnionych organów – w związku z prowadzonym przez te organy postępowaniem;
3) Szefa Agencji Bezpieczeństwa Wewnętrznego.

Art. 21p. 1. Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego:
1) zarządza systemem identyfikacji elektronicznej oraz ponosi koszty jego utrzymania i rozwoju;
2) potwierdza tożsamość oraz weryfikuje dane identyfikujące osoby ubiegającej się o wydanie środka identyfikacji elektronicznej w sposób adekwatny do poziomu bezpieczeństwa danego środka identyfikacji elektronicznej, zgodnie z wymaganiami określonymi w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;
3) wydaje, zawiesza i unieważnia środki identyfikacji elektronicznej;
4) zapewnia funkcjonalność pozwalającą na uwierzytelnienie osoby, której wydano środek identyfikacji elektronicznej, z wykorzystaniem tego środka;
5) zapisuje i zachowuje informacje związane z wydawaniem, zawieszaniem i unieważnianiem środków identyfikacji elektronicznej oraz zapewnieniem rozliczalności i niezaprzeczalności działań użytkowników korzystających z tych środków;
6) stosuje politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt 3;
7) unieważnia środki identyfikacji elektronicznej wydane przez podmiot, w stosunku do którego Szef Agencji Bezpieczeństwa Wewnętrznego wydał negatywną opinię w przypadku, o którym mowa w art. 21s ust. 3. 2. Czynności, o których mowa w ust. 1 pkt 2–5 i 7, mogą wykonywać podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej, spełniające wymogi określone w art. 21b ust. 1 pkt 1, 3 i 5, o ile posiadają siedzibę na terenie jednego z państw członkowskich Unii Europejskiej. Odpowiedzialność za czynności wykonywane przez podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej ponosi podmiot odpowiedzialny za system identyfikacji elektronicznej. 3. Podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej stosują politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt 3.

Art. 21q. 1. Podmiot odpowiedzialny za system identyfikacji elektronicznej przetwarza dane osobowe osób, którym w tym systemie wydano środki identyfikacji elektronicznej, obejmujące:
1) imię (imiona),
2) nazwisko,
3) nazwisko rodowe,
4) numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,
5) datę urodzenia,
6) miejsce urodzenia,
7) płeć,
8) adres zamieszkania
– w celu realizacji zadań, o których mowa w art. 21p ust. 1 pkt 1–5 i 7. 2. Podmiot, o którym mowa w art. 21p, inny niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, zapewniając możliwość uwierzytelniania w usługach online, nie może pozyskiwać, przechowywać oraz przetwarzać danych dotyczących realizacji tych usług, innych niż dane niezbędne do zrealizowania procesu uwierzytelnienia.

Art. 21r. 1. W przypadku gdy nastąpi naruszenie bezpieczeństwa systemu identyfikacji elektronicznej przyłączonego do węzła krajowego lub części środków identyfikacji elektronicznej wydanych w tym systemie, mogące mieć wpływ na rozliczalność i niezaprzeczalność działań wykonywanych z wykorzystaniem tego systemu lub części środków identyfikacji elektronicznej wydanych w tym systemie, podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego niezwłocznie zawiesza możliwość uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej, których dotyczy naruszenie bezpieczeństwa. 2. Po usunięciu naruszenia bezpieczeństwa systemu identyfikacji elektronicznej lub zawieszonej części środków identyfikacji elektronicznej podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego przywraca możliwość uwierzytelniania za pomocą środków identyfikacji elektronicznej, których dotyczyło zawieszenie.

Art. 21s. 1. Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła krajowego informuje ministra właściwego do spraw informatyzacji o:
1) każdej zmianie dotyczącej systemu identyfikacji elektronicznej przyłączonego do węzła krajowego mającej wpływ na aktualność danych wpisanych do rejestru systemów – w terminie 14 dni od dnia zmiany tych danych;
2) zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji elektronicznej wydawanymi w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego – w terminie 12 miesięcy przed planowanym zaprzestaniem świadczenia tych usług;
3) otwarciu jego likwidacji, ogłoszeniu jego upadłości lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. – Prawo upadłościowe – niezwłocznie;
4) zawieszeniu możliwości uwierzytelniania z powodu naruszenia bezpieczeństwa, o którym mowa w art. 21r ust. 1, oraz przywróceniu możliwości uwierzytelniania po usunięciu naruszenia bezpieczeństwa, o którym mowa w art. 21r ust. 2 – niezwłocznie, nie później niż w ciągu 24 godzin od momentu odpowiednio wykrycia naruszenia bezpieczeństwa oraz usunięcia naruszenia bezpieczeństwa. 2. Minister właściwy do spraw informatyzacji po otrzymaniu danych, o których mowa w ust. 1, przekazuje je Szefowi Agencji Bezpieczeństwa Wewnętrznego, jeżeli istnieją uzasadnione przesłanki pozwalające wnioskować, iż zmiany tych danych mogą mieć wpływ na bezpieczeństwo publiczne, bezpieczeństwo państwa lub zagrażają w sposób bezpośredni bezpieczeństwu systemów teleinformatycznych państwa. 3. Szef Agencji Bezpieczeństwa Wewnętrznego, w przypadku powzięcia informacji o okolicznościach prawnych lub faktycznych dotyczących struktury właścicielskiej podmiotu odpowiedzialnego za system identyfikacji elektronicznej lub podmiotu, o którym mowa w art. 21g ust. 2 pkt 2, które mogą zagrozić bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa, przeprowadza postępowanie w tej sprawie. Do postępowania stosuje się odpowiednio przepisy art. 21g ust. 5–13. 4. Szef Agencji Bezpieczeństwa Wewnętrznego przeprowadza postępowanie, o którym mowa w ust. 3, również na polecenie Prezesa Rady Ministrów lub ministra członka Rady Ministrów właściwego do spraw koordynowania działal- ności służb specjalnych. 5. Szef Agencji Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania przekazuje opinię ministrowi właściwemu do spraw informatyzacji. 6. Minister właściwy do spraw informatyzacji przekazuje opinię podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej.

Art. 21t. 1. Minister właściwy do spraw informatyzacji wydaje zgodę o przyłączeniu do węzła krajowego systemu teleinformatycznego, w którym udostępniane są usługi online, po:
1) zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
2) przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność tego systemu z węzłem krajowym;
3) przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu tego podmiotu zgodnie z przepisami o ochronie danych osobowych;
4) wskazaniu interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego – w przypadku podmiotu innego niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014. 2. Ocena interesu faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo i interes publiczny. 3. Wyrażenie zgody, o której mowa w ust. 1, stanowi czynność materialno-
-techniczną.

Art. 21u. 1. Przyłączenie systemu, o którym mowa w art. 21t ust. 1, do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za ten system. 2. Wniosek zawiera nazwę podmiotu odpowiedzialnego za system albo jego imię i nazwisko oraz wskazanie adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej albo adresu zamieszkania. 3. Do wniosku dołącza się:
1) oświadczenie o zapewnieniu przez podmiot odpowiedzialny za ten system wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami określonymi w art. 8 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa;
2) oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3;
3) listę usług online udostępnianych w tym systemie wraz z określeniem dla każdej z tych usług wymaganych poziomów bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 8 ust. 2 rozporządzenia 910/2014, niezbędnych dla realizacji tych usług;
4) oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych;
5) uzasadnienie interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego – w przypadku podmiotu innego niż podmiot, o których mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014;
6) raport z testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność tego systemu z węzłem krajowym. 4. Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym.

Art. 21v. Testy integracyjne, o których mowa w art. 21t ust. 1 pkt 2, przeprowadza się zgodnie z procedurą udostępnioną w Biuletynie Informacji Publicznej na stronie podmiotowej ministra właściwego do spraw informatyzacji.

Art. 21w. Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi online, przyłączony do węzła krajowego, niezwłocznie informuje ministra właściwego do spraw informatyzacji o każdej zmianie danych zawartych w liście usług, o której mowa w art. 21u ust. 3 pkt 3.

Art. 21x. Minister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej informację o przyłączonych do węzła krajowego systemach teleinformatycznych, w którym udostępniane są usługi online.

Art. 21y. W przypadku niespełniania wymagań, o których mowa w art. 21t ust. 1, minister właściwy do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu teleinformatycznego, w którym udostępniane są usługi online, do węzła krajowego.

Art. 21z. Do węzła krajowego przyłącza się elektroniczną platformę usług administracji publicznej.

1. Wniosek o notyfikowanie systemu identyfikacji elektronicznej
w Komisji Europejskiej składa do ministra właściwego do spraw informatyzacji
podmiot odpowiedzialny za ten system.
2. Do wniosku, o którym mowa w ust. 1, załącza się formularz notyfikacji
systemu identyfikacji elektronicznej zgodny ze wzorem określonym w przepisach
wykonawczych wydanych na podstawie art. 9 ust. 5 rozporządzenia 910/2014.
3. Minister właściwy do spraw informatyzacji może zgłosić system identyfikacji
elektronicznej do przeprowadzenia wzajemnej oceny, o której mowa
w art. 12 ust. 6 lit. c rozporządzenia 910/2014, po pozytywnym zweryfikowaniu
wniosku, o którym mowa w ust. 1, biorąc pod uwagę warunki kwalifikowania się systemu do notyfikowania wskazane w art. 7 tego rozporządzenia oraz politykę państwa w zakresie identyfikacji elektronicznej.
4. Minister właściwy do spraw informatyzacji zgłasza system identyfikacji
elektronicznej do notyfikacji, o której mowa w art. 9 rozporządzenia 910/2014, biorąc
pod uwagę wynik wzajemnej oceny, o której mowa w przepisach wykonawczych
wydanych na podstawie art. 12 ust. 7 tego rozporządzenia.
5. Minister właściwy do spraw informatyzacji może powierzyć wykonywanie
zadań, o których mowa w ust. 3 i 4, podmiotowi publicznemu w rozumieniu art. 2
ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów
realizujących zadania publiczne.

1. Obowiązki, o których mowa w art. 10 rozporządzenia 910/2014, wykonuje minister właściwy do spraw informatyzacji. 2. Informacje dotyczące naruszenia bezpieczeństwa notyfikowanego systemu identyfikacji elektronicznej albo uwierzytelnienia, o którym mowa w art. 10 rozporządzenia 910/2014, podmiot odpowiedzialny za ten system przekazuje niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia naruszenia, drogą elektroniczną, ministrowi właściwemu do spraw informatyzacji. Rozdział 4a Standard usługi rejestrowanego doręczenia elektronicznego

Art. 26a. Minister właściwy do spraw informatyzacji określi i udostępni w Biuletynie Informacji Publicznej na swojej stronie podmiotowej standard publicznej usługi rejestrowanego doręczenia elektronicznego świadczonej przez operatora wyznaczonego i kwalifikowanych dostawców usług zaufania świadczących kwalifikowane usługi rejestrowanego doręczenia elektronicznego w zakresie współpracy z publiczną usługą rejestrowanego doręczenia elektronicznego oraz skrzynki doręczeń, obejmujący:
1) wymagania techniczne przekazywania dokumentów elektronicznych w ramach publicznej usługi rejestrowanego doręczenia elektronicznego,
2) sposób identyfikacji nadawcy i adresata danych w ramach publicznej usługi rejestrowanego doręczenia elektronicznego,
3) strukturę dowodów wysłania i dowodów otrzymania w ramach publicznej usługi rejestrowanego doręczenia elektronicznego,
4) formę i sposób:
a) wystawiania dowodu wysłania,
b) wystawiania dowodu otrzymania,
c) utrwalania dowodów wysłania i dowodów otrzymania
– w ramach publicznej usługi rejestrowanego doręczenia elektronicznego,
5) zakres i strukturę danych dotyczących komunikacji pomiędzy adresami do doręczeń elektronicznych,
6) wymagania funkcjonowania skrzynki doręczeń, o której mowa w art. 2 pkt 9 ustawy z dnia 18 listopada 2020 r. o doręczeniach elektronicznych (Dz. U. z 2024 r. poz. 1045)
– uwzględniając konieczność zapewnienia interoperacyjności i bezpieczeństwa wymiany danych, w tym możliwość transgranicznej wymiany danych, biorąc pod uwagę normy i wytyczne dotyczące procedur wysyłania i otrzymywania danych opracowane przez Europejski Instytut Norm Telekomunikacyjnych lub normy wskazane przez Komisję Europejską w drodze aktów wykonawczych, o których mowa w art. 44 ust. 2 rozporządzenia 910/2014.

Art. 26b. Kwalifikowany dostawca usług zaufania świadczy kwalifikowaną usługę rejestrowanego doręczenia elektronicznego zgodnie ze standardem określonym w art. 26a.

Art. 26c. Kwalifikowany dostawca usług zaufania świadczący kwalifikowaną usługę rejestrowanego doręczenia elektronicznego zgłasza do ministra właściwego do spraw informatyzacji za pomocą systemu teleinformatycznego, o którym mowa w art. 58 ust. 1 ustawy z dnia 18 listopada 2020 r. o doręczeniach elektronicznych, informację o zmianie lokalizacji adresu do doręczeń elektronicznych w przypadku przeniesienia go do innego dostawcy. Rozdział 5 Nadzór nad dostawcami usług zaufania

1. Audytorzy organu nadzoru są uprawnieni do:
1) wstępu do obiektów i pomieszczeń kwalifikowanych dostawców usług zaufania;
2) wglądu do dokumentów i danych, z wyjątkiem danych do składania podpisów
elektronicznych lub pieczęci elektronicznych dostawców usług zaufania i innych
informacji, które mogą służyć do odtworzenia tych danych, związanych
z działalnością w zakresie usług zaufania;
3) przetwarzania danych osobowych w zakresie objętym przedmiotem audytu;
4) przeprowadzania oględzin obiektów oraz innych składników majątkowych
związanych ze świadczeniem usług zaufania, a także sprawdzenia przebiegu
czynności związanych ze świadczeniem tych usług;
5) żądania udzielenia ustnych lub pisemnych wyjaśnień od pracowników
kwalifikowanych dostawców usług zaufania;
6) zabezpieczania dokumentów i innych materiałów, z zachowaniem przepisów
o ochronie informacji niejawnych i innych informacji prawnie chronionych.
2. Upoważniony przedstawiciel audytowanego kwalifikowanego dostawcy usług
zaufania udziela wyjaśnień lub przedkłada, na żądanie audytora organu nadzoru,
dokumenty i inne materiały niezbędne do przeprowadzenia audytu.
3. Przepisy ust. 1 pkt 1–4 stosuje się do obserwatorów organu nadzoru.

(uchylony) Rozdział 5a Nadzór nad krajowym schematem identyfikacji elektronicznej

Art. 39a. Nadzór nad krajowym schematem identyfikacji elektronicznej sprawuje minister właściwy do spraw informatyzacji.

Art. 39b. 1. W ramach nadzoru minister właściwy do spraw informatyzacji:
1) prowadzi kontrole:
a) spełniania przez systemy identyfikacji elektronicznej przyłączone do węzła krajowego wymagań, o których mowa w art. 21b ust. 1,
b) spełniania przez systemy teleinformatyczne, w których udostępniane są usługi online, przyłączone do węzła krajowego wymagań, o których mowa w art. 21t ust. 1;
2) prowadzi działania zapobiegające naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji elektronicznej, w szczególności dokonuje systematycznego szacowania ryzyka wystąpienia incydentów w krajowym schemacie identyfikacji elektronicznej;
3) określa i udostępnia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej politykę bezpieczeństwa węzła krajowego;
4) uczestniczy w inicjatywach krajowych i międzynarodowych mających na celu podnoszenie bezpieczeństwa węzła krajowego, węzła transgranicznego oraz systemów identyfikacji elektronicznej;
5) współpracuje z organem właściwym do spraw ochrony danych osobowych. 2. W ramach działań zapobiegających naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji elektronicznej minister właściwy do spraw informatyzacji:
1) prowadzi systematyczne szacowanie ryzyka wystąpienia incydentów, przez które rozumie się każde zdarzenie, które ma lub może mieć niekorzystny wpływ na poufność danych albo rozliczalność działań dokonywanych w ramach świadczonych usług w krajowym schemacie identyfikacji elektronicznej, w tym za pośrednictwem węzła krajowego;
2) wdraża, rozwija i upowszechnia stosowanie środków technicznych i organizacyjnych uwzględniających najnowszy stan wiedzy, odpowiednich i proporcjonalnych do zidentyfikowanych ryzyk, zapewniających bezpieczeństwo systemów teleinformatycznych wykorzystywanych do świadczenia usług za pośrednictwem węzła krajowego;
3) po dostrzeżeniu podatności lub zagrożeń naruszających lub mogących naruszać poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemach teleinformatycznych działających w ramach krajowego schematu identyfikacji elektronicznej niezwłocznie podejmuje działania zaradcze.

Art. 39c. 1. W przypadku naruszenia polityki bezpieczeństwa węzła krajowego lub niespełniania wymagań, o których mowa w art. 21b ust. 1, dotyczących systemu identyfikacji elektronicznej przyłączonego do węzła krajowego, w zakresie mającym wpływ na wiarygodność uwierzytelnienia z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie, minister właściwy do spraw informatyzacji wydaje decyzję o zawieszeniu:
1) możliwości korzystania z tego systemu, jeżeli naruszenie dotyczy całego systemu, albo
2) możliwości korzystania z części środków identyfikacji elektronicznej wydanych w tym systemie, jeżeli naruszenie dotyczy części środków identyfikacji elektronicznej i zawieszenie takie jest możliwe technicznie. 2. Minister właściwy do spraw informatyzacji wydaje decyzję o przywróceniu możliwości korzystania z systemu identyfikacji elektronicznej lub zawieszonej części środków identyfikacji elektronicznej niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za system identyfikacji elektronicznej potwierdzenia usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1. 3. Decyzja, o której mowa w ust. 1, podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.

Art. 39d. Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego i odłącza ten system od węzła krajowego w przypadku:
1) złożenia przez podmiot odpowiedzialny za system identyfikacji elektronicznej wniosku o odłączenie od węzła krajowego;
2) zaprzestania prowadzenia działalności przez podmiot odpowiedzialny za system identyfikacji elektronicznej;
3) nieusunięcia przyczyny zawieszenia możliwości uwierzytelniania, o której mowa w art. 21r ust. 1, lub możliwości korzystania z systemu, o której mowa w art. 39c ust. 1, w terminie 3 miesięcy od dnia jego zawieszenia;
4) nieprzedstawienia kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej;
5) wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku, o którym mowa w art. 21s ust. 3, w stosunku do podmiotu odpowiedzialnego za system identyfikacji elektronicznej.

Art. 39e. 1. Decyzja o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego jest podstawą do wykreślenia tego systemu z rejestru systemów. 2. Decyzja podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.

Art. 39f. Podmiot odpowiedzialny za system identyfikacji elektronicznej, na żądanie ministra właściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem systemu identyfikacji elektronicznej, w tym dotyczą naruszeń, o których mowa w art. 21r ust. 1 lub art. 39c ust. 1.

Art. 39g. 1. W przypadku naruszenia polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3, lub niespełniania wymagań, o których mowa w art. 21t ust. 1, dotyczących systemu teleinformatycznego, w którym udostępniane są usługi online, przyłączonego do węzła krajowego, w zakresie mającym wpływ na bezpieczeństwo uwierzytelnienia z wykorzystaniem węzła krajowego, minister właściwy do spraw informatyzacji zawiesza w tym systemie możliwość uwierzytelniania z wykorzystaniem węzła krajowego. 2. Minister właściwy do spraw informatyzacji przywraca możliwość uwierzytelniania z wykorzystaniem węzła krajowego w systemie teleinformatycznym, w którym udostępniane są usługi online, niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za ten system potwierdzenia usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1.

Art. 39h. Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu teleinformatycznego, w którym udostępniane są usługi online, i odłącza ten system od węzła krajowego w przypadku:
1) złożenia przez podmiot odpowiedzialny za ten system wniosku o odłączenie systemu od węzła krajowego;
2) zaprzestania udostępniania usług online w tym systemie;
3) nieusunięcia przyczyny zawieszenia tego systemu, o której mowa w art. 39g ust. 1, w terminie 3 miesięcy od dnia jego zawieszenia.

Art. 39i. Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi online, na żądanie ministra właściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem tego systemu, w tym dotyczą naruszeń, o których mowa w art. 39g ust. 1.

Art. 39j. 1. Kontrola, o której mowa w art. 39b ust. 1 pkt 1, jest przeprowadzana przez osoby upoważnione przez ministra właściwego do spraw informatyzacji. 2. Osoby, o których mowa w ust. 1, są uprawnione do:
1) wstępu do obiektów i pomieszczeń podmiotu odpowiedzialnego za system identyfikacji elektronicznej lub podmiotu wydającego środek identyfikacji elektronicznej w tym systemie;
2) wglądu do dokumentów zawierających dane dotyczące funkcjonowania systemu identyfikacji elektronicznej oraz wydanych w tym systemie środków identyfikacji elektronicznej;
3) przetwarzania danych osobowych w zakresie objętym przedmiotem kontroli;
4) przeprowadzania oględzin obiektów oraz innych składników majątkowych związanych z funkcjonowaniem systemu identyfikacji elektronicznej, a także sprawdzania przebiegu czynności związanych z wydawaniem środków identyfikacji elektronicznej oraz oceny technicznej środków identyfikacji elektronicznej;
5) żądania udzielenia ustnych lub pisemnych wyjaśnień od pracowników podmiotu odpowiedzialnego za system identyfikacji elektronicznej, podmiotu wydającego środek identyfikacji elektronicznej oraz przeprowadzającego procedurę uwierzytelniania w tym systemie;
6) zabezpieczania dokumentów i innych materiałów, z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie chronionych.

Art. 39k. W przypadku gdy wyniki kontroli wykażą niezgodność z przepisami ustawy, minister właściwy do spraw informatyzacji, po zapoznaniu się z zastrzeżeniami oraz wyjaśnieniami zgłoszonymi przez podmiot kontrolowany, może wydać decyzję nakładającą obowiązek usunięcia stwierdzonych niezgodności w terminie nie krótszym niż 14 dni.

Art. 39l. W sprawach nieuregulowanych w ustawie, do przeprowadzenia kontroli, o której mowa w art. 39b ust. 1 pkt 1, stosuje się odpowiednio przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców. Rozdział 6 Przepisy karne

Karze pieniężnej podlega kwalifikowany dostawca usług zaufania, który:
1) nie wykonuje obowiązku wynikającego z art. 24 ust. 1 rozporządzenia 910/2014;
2) nie usunął w terminie określonym w wezwaniu, o którym mowa w art. 30 pkt 1 lit. a, stwierdzonych nieprawidłowości w prowadzonej przez siebie działalności;
3) stosuje politykę świadczenia usługi lub przyjmuje inne dokumenty związane ze świadczeniem usługi zaufania niezgodne z przepisami o usługach zaufania;
4) nie unieważnia kwalifikowanych certyfikatów mimo wezwania ministra właściwego do spraw informatyzacji, o którym mowa w art. 30 pkt 1 lit. c;
5) wydaje certyfikaty niezgodnie z polityką świadczenia usługi;
6) nie udziela informacji lub nie udostępnia dokumentów w przypadku, o którym mowa w art. 28;
7) nie poinformował ministra właściwego do spraw informatyzacji o zmianie danych podlegających wpisowi do rejestru lub danych dotyczących technicznych możliwości prowadzenia działalności w zakresie świadczenia usług zaufania wskazanych we wniosku o wpis do rejestru;
8) (uchylony)
9) uniemożliwia lub utrudnia audytorowi organu nadzoru wykonywanie czynności audytowych;
10) nie posiada planu zakończenia działalności lub nie stosuje go do zakończenia działalności;
11) nie wykona obowiązku, o którym mowa w art. 20 ust. 3 lub 4;
12) nie wykona obowiązku, o którym mowa w art. 13 ust. 1.

W ustawie z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2016 r. poz. 23,
868 i 996) wprowadza się następujące zmiany:
1) w art. 33:
a) § 2a otrzymuje brzmienie:
„§ 2a. Pełnomocnictwo w formie dokumentu elektronicznego powinno być opatrzone kwalifikowanym
podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.”,
b) § 3a otrzymuje brzmienie:
„§ 3a. Jeżeli odpis pełnomocnictwa lub odpisy innych dokumentów wykazujących umocowanie zostały
sporządzone w formie dokumentu elektronicznego, ich uwierzytelnienia, o którym mowa w § 3, dokonuje się,
opatrując odpisy kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym
ePUAP. Odpisy pełnomocnictwa lub odpisy innych dokumentów wykazujących umocowanie uwierzytelniane
elektronicznie są sporządzane w formatach danych określonych w przepisach wydanych na podstawie art. 18
pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.”;
2) w art. 46 w § 4 pkt 3 otrzymuje brzmienie:
„3) pouczenie dotyczące sposobu odbioru pisma, a w szczególności sposobu identyfikacji pod wskazanym adresem elektronicznym w systemie teleinformatycznym organu administracji publicznej, oraz informację o wymogu podpisania urzędowego poświadczenia odbioru w określony sposób.”;
3) w art. 54 § 2 otrzymuje brzmienie:
„§ 2. Wezwanie powinno być opatrzone podpisem pracownika organu wzywającego, z podaniem imienia, nazwiska i stanowiska służbowego podpisującego lub, jeżeli dokonywane jest z użyciem dokumentu elektronicznego, powinno być opatrzone kwalifikowanym podpisem elektronicznym.”;
4) w art. 63 w § 3a pkt 1 otrzymuje brzmienie:
„1) być opatrzone kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP, lub uwierzytelniane w sposób zapewniający możliwość potwierdzenia pochodzenia i integralności weryfikowanych danych w postaci elektronicznej;”;
5) w art. 73 § 3 otrzymuje brzmienie:
„§ 3. Organ administracji publicznej może zapewnić stronie dokonanie czynności, o których mowa w § 1,
w swoim systemie teleinformatycznym, po uwierzytelnieniu strony w sposób określony w art. 20a ust. 1 albo 2 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.”;
6) w art. 76a § 2a otrzymuje brzmienie:
„§ 2a. Jeżeli odpis dokumentu został sporządzony w formie dokumentu elektronicznego, poświadczenie jego
zgodności z oryginałem, o którym mowa w § 2, dokonuje się przy użyciu kwalifikowanego podpisu elektronicznego albo podpisu potwierdzonego profilem zaufanym ePUAP. Odpisy dokumentów poświadczane elektronicznie sporządzane są w formatach danych określonych w przepisach wydanych na podstawie art. 18 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.”;
7) w art. 107 § 1 otrzymuje brzmienie:
„§ 1. Decyzja powinna zawierać: oznaczenie organu administracji publicznej, datę wydania, oznaczenie strony
lub stron, powołanie podstawy prawnej, rozstrzygnięcie, uzasadnienie faktyczne i prawne, pouczenie, czy i w jakim trybie służy od niej odwołanie, podpis z podaniem imienia i nazwiska oraz stanowiska służbowego osoby upoważnionej do wydania decyzji lub, jeżeli decyzja wydana została w formie dokumentu elektronicznego, powinna być opatrzona kwalifikowanym podpisem elektronicznym. Decyzja, w stosunku do której może być wniesione powództwo do sądu powszechnego lub skarga do sądu administracyjnego, powinna zawierać ponadto pouczenie o dopuszczalności
wniesienia powództwa lub skargi.”;
8) w art. 124 § 1 otrzymuje brzmienie:
„§ 1. Postanowienie powinno zawierać: oznaczenie organu administracji publicznej, datę jego wydania, oznaczenie strony lub stron albo innych osób biorących udział w postępowaniu, powołanie podstawy prawnej, rozstrzygnięcie, pouczenie, czy i w jakim trybie służy na nie zażalenie lub skarga do sądu administracyjnego, oraz podpis z podaniem imienia i nazwiska oraz stanowiska służbowego osoby upoważnionej do jego wydania lub, jeżeli postanowienie wydane zostało w formie dokumentu elektronicznego, powinno być opatrzone kwalifikowanym podpisem elektronicznym.”;
9) w art. 217 § 4 otrzymuje brzmienie:
„§ 4. Zaświadczenie wydaje się w formie dokumentu elektronicznego, opatrzonego kwalifikowanym podpisem
elektronicznym, jeżeli zażąda tego osoba ubiegająca się o zaświadczenie.”;
10) w art. 220 § 3 otrzymuje brzmienie:
„§ 3. Jeżeli strona lub inny uczestnik postępowania nie może uzyskać w formie dokumentu elektronicznego zaświadczenia wymaganego do potwierdzenia faktów lub stanu prawnego lub innego dokumentu wydanego przez podmiot publiczny w rozumieniu ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, jak również potwierdzenia uiszczenia opłat i kosztów postępowania, strona lub inny uczestnik postępowania może złożyć elektroniczną kopię takiego dokumentu, po uwierzytelnieniu jej przez wnoszącego, przy użyciu kwalifikowanego podpisu elektronicznego lub podpisu potwierdzonego profilem zaufanym ePUAP.”;
11) w art. 238 § 1 otrzymuje brzmienie:
„§ 1. Zawiadomienie o sposobie załatwienia skargi powinno zawierać: oznaczenie organu, od którego pochodzi,
wskazanie, w jaki sposób skarga została załatwiona, oraz podpis z podaniem imienia, nazwiska i stanowiska służbowego osoby upoważnionej do załatwienia skargi lub, jeżeli zawiadomienie sporządzone zostało w formie dokumentu elektronicznego, powinno być opatrzone kwalifikowanym podpisem elektronicznym. Zawiadomienie o odmownym załatwieniu skargi powinno zawierać ponadto uzasadnienie faktyczne i prawne oraz pouczenie o treści art. 239.”.