Akty ujednolicone - rok 2021 poz. 16

„Dodatek 3

Procedura zatwierdzania i autoryzacji niezależnych podmiotów w zakresie dostępu do zabezpieczeń pojazdu (*5)

1. Zakres

Niniejszy dodatek zawiera wymogi do celów zatwierdzania i autoryzacji niezależnych podmiotów wymagających dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji pojazdów (RMI).

Określono w nim szczegółowo procedurę i organy wymagane do zatwierdzania i autoryzacji niezależnych podmiotów do uzyskania dostępu do związanych z zabezpieczeniami informacji dotyczących napraw i konserwacji lekkich pojazdów pasażerskich i użytkowych oraz pojazdów ciężarowych.

2. Definicje i skróty

2.1. Definicje

Do celów niniejszego dodatku stosuje się następujące definicje:

2.1.1. »akredytacja«

»akredytacja« oznacza akredytację zgodnie z definicją w art. 2 pkt 10 rozporządzenia (WE) nr 765/2008;

2.1.2. »pracownik niezależnego podmiotu«

»pracownik niezależnego podmiotu« oznacza pracownika zatwierdzonego niezależnego podmiotu, który na podstawie autoryzacji od swojej jednostki oceniającej zgodność będzie miał dostęp do RMI związanych z zabezpieczeniami;

2.1.3. »związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji« lub »RMI związane z zabezpieczeniami«

»związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji« lub »RMI związane z zabezpieczeniami« oznaczają informacje, oprogramowanie, funkcje i usługi wymagane do celów naprawy i utrzymania zabezpieczeń, które zostały zainstalowane w pojeździe przez producenta, aby zapobiec kradzieży pojazdu lub odjechaniu pojazdem oraz umożliwić śledzenie i odzyskiwanie pojazdu;

2.1.4. »świadectwo kontroli zatwierdzenia«

»świadectwo kontroli zatwierdzenia« oznacza świadectwo wydawane przez jednostkę oceniającą zgodność niezależnym podmiotom spełniającym kryteria zatwierdzenia określone w niniejszym dodatku, które potwierdza, że te niezależne podmioty zostały zatwierdzone oraz że pracownicy niezależnego podmiotu mogą się ubiegać o autoryzację w zakresie dostępu do RMI związanych z zabezpieczeniami;

2.1.5. »świadectwo kontroli autoryzacji«

»świadectwo kontroli autoryzacji« oznacza świadectwo wydane przez jednostkę oceniającą zgodność pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji określone w niniejszym dodatku, które potwierdza, że pracownicy ci są autoryzowani w zakresie dostępu do RMI związanych z zabezpieczeniami na stronie internetowej producenta pojazdów;

2.1.6. »centrum zaufania« lub »TC«

»centrum zaufania« lub »TC« oznacza organ wyznaczony przez SERMI i zatwierdzony przez Komisję, odpowiedzialny za:

2.1.7. »token bezpieczeństwa«

»token bezpieczeństwa« oznacza urządzenie, które umożliwia bezpieczne uwierzytelnienie niezależnego podmiotu;

2.1.8. »certyfikat cyfrowy«

»certyfikat cyfrowy« oznacza certyfikat elektroniczny, który wymaga podpisu cyfrowego centrum zaufania wydającego certyfikat w celu powiązania klucza publicznego z tożsamością pracownika niezależnego podmiotu, zgodnie z normą ISO 9594;

2.1.9. »baza danych autoryzacji«

»baza danych autoryzacji« oznacza bazę danych prowadzoną przez centrum zaufania, która zawiera szczegółowe informacje dotyczące autoryzacji zanonimizowanych autoryzowanych pracowników niezależnego podmiotu oraz rejestracji zatwierdzonych niezależnych podmiotów;

2.1.10. »baza danych certyfikacji«

»baza danych certyfikacji« oznacza bazę danych prowadzoną przez centrum zaufania w celu zarządzania ważnością certyfikatów cyfrowych i identyfikatorami autoryzowanych pracowników niezależnych podmiotów;

2.1.11. »Europejska Współpraca w Dziedzinie Akredytacji« lub »EA«

»Europejska Współpraca w Dziedzinie Akredytacji« lub »EA« oznacza jednostkę uznaną przez Komisję zgodnie z art. 14 rozporządzenia (WE) nr 765/2008, która jest odpowiedzialna za opracowanie, utrzymanie i wdrożenie akredytacji w Unii;

2.1.12. »Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami« lub »SERMI«

»Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami« lub »SERMI« oznacza podmiot odpowiedzialny za koordynację i doradzanie Komisji w zakresie wdrażania procedur »akredytacji, zatwierdzania i autoryzacji do celów dostępu« do RMI związanych z zabezpieczeniami;

2.1.13. »odpowiednie organy«

»odpowiednie organy« oznaczają te organy publiczne, które posiadają uprawnienia do działania w dziedzinie ochrony przed przestępstwami przeciwko bezpieczeństwu pojazdów, prowadzenia dochodzeń związanych z takimi przestępstwami i ścigania takich przestępstw.

3. Akredytacja jednostek oceniających zgodność, zatwierdzanie niezależnych podmiotów oraz autoryzację pracowników niezależnych podmiotów

Wyłącznie jednostki oceniające zgodność akredytowane przez zdefiniowaną w art. 2 pkt 11 rozporządzenia (WE) nr 765/2008 krajową jednostkę akredytującą państwa członkowskiego, w którym mają siedzibę, wydają świadectwa kontroli zatwierdzenia poświadczające, że niezależny podmiot został zatwierdzony, oraz świadectwa kontroli autoryzacji poświadczające, że pracownik niezależnego podmiotu ma mieć dostęp do RMI związanych z zabezpieczeniami.

Zatwierdzenia niezależnego podmiotu i autoryzacji pracownika niezależnego podmiotu udziela się na okres 60 miesięcy, począwszy od daty wydania odpowiednich świadectw kontroli.

Niezależne podmioty, które chcą otrzymać RMI związane z zabezpieczeniami, muszą uzyskać świadectwo kontroli zatwierdzenia od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym niezależny podmiot ma siedzibę.

Pracownicy niezależnego podmiotu, którzy mają się posługiwać RMI związanymi z zabezpieczeniami, muszą uzyskać świadectwo kontroli autoryzacji od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym zamieszkuje pracownik niezależnego podmiotu.

Jednostki oceniające zgodność powiadamiają TC o wszelkich wydanych świadectwach kontroli zatwierdzenia lub świadectwach kontroli autoryzacji, na podstawie których TC tworzą rejestr autoryzacji i wydają token bezpieczeństwa oraz certyfikat cyfrowy zawierający szczegółowe dane umożliwiające niepowtarzalną identyfikację pracowników niezależnego podmiotu na stronie internetowej producenta pojazdów dotyczącej RMI. Jednostki oceniające zgodność wyposażają indywidualnych pracowników niezależnego podmiotu w token bezpieczeństwa i certyfikat cyfrowy.

Producenci pojazdów mogą żądać opłaty za rejestrację pracowników niezależnego podmiotu na stronach internetowych producentów pojazdów dotyczących RMI producentów pojazdów oraz za dostęp do RMI związanych z zabezpieczeniami. Przedmiotowa opłata musi być proporcjonalna do kosztów takiej rejestracji i zapewnienia dostępu. Należne opłaty określa się na stronach internetowych producentów pojazdów dotyczących RMI. Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy.

Oświadczenie zaświadczające, że niezależny podmiot prowadzi legalną działalność gospodarczą, o której mowa w pkt 6.3 niniejszego załącznika, jest podpisywane przez niezależny podmiot wnioskujący o udzielenie autoryzacji przez jednostkę oceniającą zgodność. Niezależny podmiot zatwierdza się dopiero po przeprowadzeniu przez jednostkę oceniającą zgodność kontroli, w ramach której sprawdza się, czy deklaracja ta została podpisana i czy niezależny podmiot i jego poszczególni pracownicy spełniają wymogi określone w niniejszym dodatku.

Poszczególnym pracownikom niezależnego podmiotu udziela się autoryzacji dopiero po kontroli ze strony jednostki oceniającej zgodność. Jednostki oceniające zgodność sprawdzają przedłożone dokumenty i weryfikują, czy dany pracownik niezależnego podmiotu złożył uprzednio wniosek o autoryzację, który został odrzucony przez zainteresowaną jednostkę oceniającą zgodność lub jakąkolwiek inną jednostkę oceniającą zgodność na szczeblu Unii.

Jednostki oceniające zgodność przesyłają do TC wszystkie dane niezbędne do przygotowania certyfikatu cyfrowego i tokena bezpieczeństwa, które jednostka oceniająca zgodność przesyła pracownikom niezależnego podmiotu.

Pracownicy niezależnego podmiotu, którzy uzyskali autoryzację, otrzymują od jednostek oceniających zgodność PIN powiązany z certyfikatem cyfrowym.

3.1. Dostęp do RMI związanych z zabezpieczeniami w zarysie

Producenci pojazdów zapewniają dostęp do RMI związanych z zabezpieczeniami za pośrednictwem swojej strony internetowej dotyczącej RMI, pod warunkiem że pracownicy niezależnego podmiotu są autoryzowani i mogą przedstawić świadectwo kontroli autoryzacji oraz że niezależny podmiot, w imieniu którego wykonują pracę pracownicy niezależnego podmiotu, posiada świadectwo kontroli zatwierdzenia.

Producenci mogą oferować autoryzowanym pracownikom niezależnego podmiotu pracującym dla zatwierdzonych niezależnych podmiotów dostęp do internetowego narzędzia do składania zamówień na części związane z zabezpieczeniami za pomocą specjalnej aplikacji powiązanej ze stroną internetową dotyczącą RMI.

Po otrzymaniu wniosku o dostęp do strony internetowej dotyczącej RMI strony internetowe producentów pojazdów żądają identyfikacji za pomocą niepowtarzalnego identyfikatora pracownika niezależnego podmiotu oraz żądają uwierzytelnienia. Uwierzytelnianie pracowników niezależnego podmiotu odbywa się wyłącznie przy użyciu certyfikatów cyfrowych. Po otrzymaniu certyfikatu elektronicznego strony internetowe producenta pojazdów dotyczące RMI weryfikują niepowtarzalny identyfikator pracownika niezależnego podmiotu oraz aktualny status certyfikatu cyfrowego i autoryzacji, komunikując się z TC określonym w certyfikacie elektronicznym.

Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, producentami pojazdów, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy. Po zweryfikowaniu niepowtarzalnego identyfikatora pracownika niezależnego podmiotu i statusu autoryzacji pracownika niezależnego podmiotu producent pojazdów zapewnia na swojej stronie internetowej dostęp do wymaganych RMI związanych z zabezpieczeniami.

4. Szczegółowe zasady dotyczące dostępu do RMI związanych z zabezpieczeniami

4.1. Rola SERMI

4.1.1. Zakresy odpowiedzialności i obowiązki

SERMI monitoruje wdrażanie procesu akredytacji w państwach członkowskich i odpowiednio powiadamia o tym Komisję. SERMI doradza Komisji w sprawie wniosków o wprowadzenie zmian w procesie akredytacji.

4.1.2. Wybór centrum zaufania

SERMI wybiera TC i zgłasza Komisji do zatwierdzenia.

Wybrane TC musi być przestrzegać normy ETSI TS 319 411-3, spełniać wymogi dotyczące podpisów elektronicznych określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 (*6) oraz wymogi określone w pkt 4.6 niniejszego dodatku.

Ponadto TC musi:

4.2. Rola krajowych jednostek akredytujących

Krajowa jednostka akredytująca jest odpowiedzialna za akredytację jednostek oceniających zgodność do celów zatwierdzania niezależnych podmiotów i autoryzacji pracowników niezależnego podmiotu w zakresie dostępu do RMI związanych z zabezpieczeniami.

4.2.1. Zakresy odpowiedzialności i wymogi

Zakresy odpowiedzialności i wymogi odnoszące się do krajowych jednostek akredytujących określono w art. 8-12 rozporządzenia (WE) nr 765/2008.

4.2.2. Kryteria akredytacji jednostek oceniających zgodność

Jednostki oceniające zgodność akredytuje się jako organy kontrolne typu A zgodnie z normą ISO/IEC 17020:2012. Jednostki oceniające zgodność muszą spełniać wymogi dotyczące najwyższego poziomu niezależności.

Ponadto krajowa jednostka akredytująca ocenia zdolność jednostek oceniających zgodność do spełnienia wymogów określonych w pkt 4.3.1-4.3.4.

Personel odpowiedzialny za kontrole niezależnych podmiotów musi posiadać poziom wiedzy w zakresie naprawy i konserwacji pojazdów samochodowych oraz specyfiki motoryzacyjnego rynku wtórnego, który jest odpowiedni do wykonywanych zadań.

4.3. Rola jednostek oceniających zgodność

Jednostka oceniająca zgodność jest odpowiedzialna za kontrole niezależnych podmiotów i ich pracowników oraz za wydawanie świadectw kontroli zatwierdzenia i autoryzacji zgodnie z niniejszym dodatkiem, a także za unieważnianie takich świadectw.

4.3.1. Zakresy odpowiedzialności i wymogi

4.3.2. Przedłużenie zatwierdzenia

Na wniosek niezależnego podmiotu lub 6 miesięcy przed wygaśnięciem ważności zatwierdzenia, jednostki oceniające zgodność przeprowadzają kontrolę na miejscu, a w przypadku pozytywnego wyniku kontroli - przedłużają zatwierdzenie.

Jednostki oceniające zgodność wydają nowe świadectwo kontroli zatwierdzenia dla niezależnego podmiotu, który spełnia kryteria zatwierdzenia.

Jednostki oceniające zgodność dokonują oceny wniosków o przedłużenie autoryzacji i wydają świadectwo kontroli autoryzacji pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji.

4.3.3. Kryteria zatwierdzania niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed zatwierdzeniem niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostki oceniające zgodność sprawdzają:

4.3.4. Kryteria autoryzacji pracownika niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed autoryzacją pracownika niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostka oceniająca zgodność weryfikuje, czy:

4.4. Rola niezależnego podmiotu

4.4.1. Zakresy odpowiedzialności i wymogi

4.5. Rola pracowników niezależnych podmiotów

4.5.1. Zakresy odpowiedzialności i wymogi

4.6. Rola centrum zaufania

TC tworzą i przesyłają certyfikaty cyfrowe do niezależnych podmiotów i pracowników niezależnych podmiotów za pośrednictwem odpowiednich jednostek oceniających zgodność. TC prowadzą bazę danych wydanych świadectw kontroli autoryzacji. TC zapewniają producentom pojazdów dostęp do interfejsu w celu weryfikacji statusu certyfikatów cyfrowych i świadectw kontroli autoryzacji.

TC przechowują informacje dotyczące pracowników niezależnego podmiotu w bazie danych autoryzacji przez dodatkowy okres nieprzekraczający 60 miesięcy. Okres ten nie może być dłuższy niż pozostały okres ważności zatwierdzenia udzielonego niezależnemu podmiotowi, w którym świadczy pracę dany pracownik niezależnego podmiotu.

4.6.1. Zakresy odpowiedzialności i wymogi

4.7. Rola producentów pojazdów

Producenci pojazdów zapewniają wszystkim zatwierdzonym niezależnym podmiotom i autoryzowanym pracownikom niezależnego podmiotu dostęp do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji. Producenci pojazdów komunikują się z TC w celu weryfikacji autoryzacji oraz statusu autoryzacji pracowników niezależnego podmiotu ubiegających się o dostęp do takich informacji.

4.7.1. Zakresy odpowiedzialności i wymogi

4.7.2. Wymogi proceduralne dla producentów pojazdów

Producenci pojazdów nie udzielają dostępu do RMI związanych z zabezpieczeniami, o ile nie spełniono wszystkich następujących wymogów proceduralnych: