Artigo 24.ºRequisitos aplicáveis aos prestadores qualificados de serviços de confiança

Através da carteira europeia de identidade digital ou de um meio de identificação eletrónica notificado que satisfaça os requisitos estabelecidos no artigo 8.º no que diz respeito ao nível de garantia elevado;

Através de um certificado qualificado de assinatura eletrónica ou de um selo eletrónico qualificado emitido em cumprimento da alínea a), c) ou d);

Utilizando outros métodos de identificação que garantam a identificação da pessoa com um elevado nível de certeza, cuja conformidade é atestada por um organismo de avaliação da conformidade;

Pela presença física da pessoa singular ou de um representante autorizado da pessoa coletiva, através de elementos de prova adequados e procedimentos, em conformidade com o direito nacional.

Através da carteira europeia de identidade digital ou de um meio de identificação eletrónica notificado que satisfaça os requisitos estabelecidos no artigo 8.º no que diz respeito ao nível de garantia elevado;

Através de um certificado qualificado de assinatura eletrónica ou de um selo eletrónico qualificado emitido em conformidade com o n.º 1-A, alínea a), c) ou d);

Através de uma validação qualificada de certificados eletrónicos de atributos;

Utilizando outros métodos que garantam a verificação dos atributos com um elevado nível de confiança, cuja conformidade é atestada por um organismo de avaliação da conformidade;

Através da presença física da pessoa singular ou de um representante autorizado da pessoa coletiva, através de elementos de prova adequados e procedimentos, em conformidade com o direito nacional.

Informam a entidade supervisora pelo menos um mês antes de implementar qualquer alteração da prestação dos seus serviços de confiança qualificados ou, pelo menos, três meses antes em caso de intenção de cessar essas atividades;

Empregam pessoal e, eventualmente, subcontratantes que possuam a especialização, a confiança, experiência e as qualificações necessárias e que tenham recebido formação adequada em matéria de regras de segurança e de proteção de dados pessoais e aplicam procedimentos administrativos e de gestão que correspondam às normas europeias ou internacionais;

Face ao risco da responsabilidade por danos prevista no artigo 13.º, conservam recursos financeiros suficientes e/ou adquirem um seguro de responsabilidade adequado, de acordo com a legislação nacional;

Antes de estabelecerem uma relação contratual, informam, de forma clara, completa e facilmente acessível, num espaço acessível ao público e individualmente, as pessoas que pretendam utilizar serviços de confiança qualificados dos termos e condições exatos da utilização de tais serviços, incluindo de qualquer limitação à sua utilização;

Utilizam sistemas e produtos fiáveis que estejam protegidos contra modificações e garantam a segurança e a fiabilidade técnicas dos processos de que são suporte, incluindo a utilização de técnicas criptográficas adequadas;

Utilizam sistemas fiáveis de armazenamento dos dados que lhes são fornecidos, num formato verificável, de modo a que:

Não obstante o disposto no artigo 21.º da Diretiva (UE) 2022/2555, dispõem de políticas adequadas e tomam as medidas correspondentes para gerir riscos jurídicos, comerciais, operacionais e outros riscos diretos ou indiretos relacionados com a prestação de serviços de confiança qualificados, incluindo, pelo menos, medidas relacionadas com:

Notificam a entidade supervisora, as pessoas afetadas identificáveis, outros organismos competentes relevantes, se for caso disso, e, a pedido da entidade supervisora, o público, se tal for de interesse público, de quaisquer violações da segurança ou perturbações na prestação do serviço ou na aplicação das medidas referidas na alínea f-A), subalíneas i), ii) ou iii), que tenham um impacto significativo no serviço de confiança prestado ou nos dados pessoais nele conservados, sem demora indevida e, em qualquer caso, no prazo de 24 horas após o incidente;

Tomam as medidas adequadas contra a falsificação, o roubo ou a apropriação indevida dos dados, ou a eliminação, a alteração ou o impedimento do acesso aos dados, na ausência de direito para tal;

Registam e mantêm acessíveis durante o tempo que for necessário depois de o prestador qualificado de serviços de confiança ter cessado as suas atividades, todas as informações pertinentes relativas aos dados emitidos e recebidos pelo prestador qualificado de serviços de confiança, para efeitos de apresentação de provas em processos judiciais e para garantir a continuidade do serviço. Esse registo poderá ser feito por via eletrónica;

Conservam um plano de cessação de atividades atualizado que garanta a continuidade do serviço de acordo com as disposições verificadas pela entidade supervisora nos termos do artigo 46.º-B, n.º 4, alínea i);

Criam e mantêm atualizada uma base de dados de certificados, quando emitam certificados qualificados.