Постановление от 16.05.2025 № 577 Об утверждении Технического регламента относительно требований к средствам электронной идентификации в контексте схемы электронной идентификации и процедуры, применяемым для...
КАБІНЕТ МІНІСТРІВ УКРАЇНИ
ПОСТАНОВА
від 16 травня 2025 р. N 577
Київ
Про затвердження Технічного регламенту щодо вимог до засобів електронної ідентифікації в контексті схеми електронної ідентифікації та процедури, що застосовуються для визначення рівня довіри до засобів електронної ідентифікації
Відповідно до частини четвертої статті 15 Закону України "Про електронну ідентифікацію та електронні довірчі послуги" Кабінет Міністрів України постановляє:
1. Затвердити Технічний регламент щодо вимог до засобів електронної ідентифікації в контексті схеми електронної ідентифікації та процедури, що застосовуються для визначення рівня довіри до засобів електронної ідентифікації, що додається.
2. Ця постанова набирає чинності через шість місяців з дня її опублікування.
|
Прем'єр-міністр України |
Д. ШМИГАЛЬ |
ЗАТВЕРДЖЕНО
постановою Кабінету Міністрів України
від 16 травня 2025 р. N 577
ТЕХНІЧНИЙ РЕГЛАМЕНТ
щодо вимог до засобів електронної ідентифікації в контексті схеми
електронної ідентифікації та процедури, що застосовуються для визначення рівня
довіри до засобів електронної ідентифікації
1. Цей Технічний регламент встановлює вимоги до засобів електронної ідентифікації в контексті схеми електронної ідентифікації залежно від рівнів довіри до засобів електронної ідентифікації та процедури оцінки, що застосовуються для визначення відповідності цих засобів низькому, середньому або високому рівню довіри.
Цей Технічний регламент розроблено на основі Імплементаційного регламенту комісії (ЄС) 2015/1502 від 8 вересня 2015 року про встановлення мінімальних технічних специфікацій та процедур для рівнів надійності засобів електронної ідентифікації відповідно до статті 8(3) Регламенту Європейського Парламенту і Ради (ЄС) N 910/2014 про електронну ідентифікацію та довірчі послуги для електронних транзакцій на внутрішньому ринку.
2. У цьому Технічному регламенті терміни вживаються у такому значенні:
адміністратори систем - юридичні особи, фізичні особи - підприємці, що здійснюють технічне та технологічне забезпечення функціонування інформаційно-комунікаційних систем;
вразлива інформація - відомості, які перебувають у володінні, користуванні або розпорядженні окремих фізичних та/або юридичних осіб і поширюються за їх бажанням відповідно до передбачених ними умов;
динамічна автентифікація - процес в електронній формі з використанням алгоритмів криптографічного захисту інформації та/або засобів технічного захисту інформації, який здійснюється для підтвердження того, що ідентифікаційні дані перебувають під контролем або у володінні особи, яка змінює свої вхідні параметри з початком кожного сеансу автентифікації;
достовірне джерело - документи, що посвідчують особу, підтверджують громадянство України чи спеціальний статус особи та ідентифікаційні дані, які обробляються в інформаційних ресурсах єдиної інформаційної системи МВС (відомості, що містяться в Єдиному державному демографічному реєстрі, та відомості щодо викрадених (втрачених) документів - за зверненнями), Державного реєстру фізичних осіб - платників податків, Єдиного державного реєстру юридичних осіб, фізичних осіб - підприємців та громадських формувань, зокрема Державного реєстру актів цивільного стану громадян про державну реєстрацію смерті, а також інших публічних електронних реєстрів відповідно до Закону України "Про публічні електронні реєстри", та які дають змогу встановити фізичну, юридичну особу або представника юридичної особи;
замовник - фізична особа, у тому числі іноземець та особа без громадянства, фізична особа - підприємець, юридична особа та їх уповноважені представники, що звернулися до надавача послуг електронної ідентифікації для отримання таких послуг;
ключова інформація (криптографічний матеріал) - конкретний стан деяких параметрів криптографічного алгоритму, які забезпечують вибір одного криптографічного перетворення із сукупності усіх можливих для такого криптографічного алгоритму;
система управління інформаційною безпекою - ряд процесів і процедур, призначених для управління прийнятними рівнями ризиків, пов'язаних з інформаційною безпекою;
фактор автентифікації - чинник, який підтверджено як такий, що пов'язаний з особою, яка проходить ідентифікацію (далі - особа).
Інші терміни вживаються у значенні, наведеному в Законах України "Про електронну ідентифікацію та електронні довірчі послуги", "Про Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус", "Про основні засади забезпечення кібербезпеки України", "Про захист інформації в інформаційно-комунікаційних системах", "Про захист персональних даних" та "Про технічні регламенти та оцінку відповідності".
3. Фактори автентифікації поділяються на такі групи:
на підставі права володіння - чинник автентифікації, коли від особи вимагають пред'явити документи, що посвідчують особу, підтверджують громадянство України чи спеціальний статус особи;
на підставі знання - чинник автентифікації, коли особі необхідно підтвердити знання інформації;
на підставі властивості - чинник автентифікації, коли особі потрібно надати біометричні дані.
4. Засоби електронної ідентифікації повинні відповідати вимогам до рівнів довіри, визначеним у додатку 1.
5. Специфікації та процедури, наведені в додатку 1, мають використовуватися для встановлення відповідності рівнів довіри до засобів електронної ідентифікації в контексті схеми електронної ідентифікації шляхом встановлення надійності та якості таких елементів:
реєстрація користувачів засобів електронної ідентифікації відповідно до розділу I додатка 1;
управління засобами електронної ідентифікації відповідно до розділу II додатка 1;
автентифікація відповідно до розділу III додатка 1;
управління та організація роботи надавача послуг електронної ідентифікації відповідно до розділу IV додатка 1.
6. Засоби електронної ідентифікації, що можуть використовуватися в контексті схеми електронної ідентифікації, та пов'язані з ними процеси повинні відповідати вимогам таких стандартів в обсязі виконуваних функцій (за призначенням):
ДСТУ EN ISO/IEC 29100:2022 (EN ISO/IEC 29100:2020, IDT; ISO/IEC 29100:2011, including Amd 1:2018, IDT) "Інформаційні технології. Методи захисту. Основні положення щодо забезпечення невтручання в особисте життя";
ДСТУ EN ISO/IEC 29101:2022 (EN ISO/IEC 29101:2021, IDT; ISO/IEC 29101:2018, IDT) "Інформаційні технології. Методи захисту. Структура архітектури забезпечення прайвесі";
ДСТУ ISO/IEC 19989-1:2023 (ISO/IEC 19989-1:2020, IDT) "Інформаційна безпека. Критерії та методологія оцінювання безпеки біометричних систем. Частина 1. Структура";
ДСТУ ISO/IEC 19989-2:2023 (ISO/IEC 19989-2:2020, IDT) "Інформаційна безпека. Критерії та методологія оцінювання безпеки біометричних систем. Частина 2. Ефективність біометричного розпізнавання";
ДСТУ ISO/IEC 24745:2023 (ISO/IEC 24745:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Захист біометричної інформації";
ДСТУ ISO/IEC 30107-1:2023 (ISO/IEC 30107-1:2016, IDT) "Інформаційні технології. Виявлення атак на біометричне подання. Частина 1. Структура";
ДСТУ ISO/IEC 30107-2:2023 (ISO/IEC 30107-2:2017, IDT) "Інформаційні технології. Виявлення атак на біометричне подання. Частина 2. Формати даних";
ДСТУ ISO/IEC 30107-3:2023 (ISO/IEC 30107-3:2017, IDT) "Інформаційні технології. Виявлення атак на біометричне подання. Частина 3. Тестування та звітування";
ДСТУ ISO/IEC 30107-4:2023 (ISO/IEC 30107-4:2020, IDT) "Інформаційні технології. Виявлення атак на біометричне подання. Частина 4. Профіль для тестування мобільних пристроїв";
ДСТУ ISO/IEC 29146:2023 (ISO/IEC 29146:2016, IDT) "Інформаційні технології. Методи безпеки. Структура керування доступом";
ДСТУ ISO/IEC 15408-1:2023 ISO/IEC 15408-1:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Частина 1. Вступ та загальна модель";
ДСТУ ISO/IEC 15408-2:2023 (ISO/IEC 15408-2:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Частина 2. Функційні компоненти безпеки";
ДСТУ ISO/IEC 15408-3:2023 (ISO/IEC 15408-3:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Частина 3. Компоненти убезпечення";
ДСТУ ISO/IEC 15408-4:2023 (ISO/IEC 15408-4:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Частина 4. Структура для визначення методів оцінювання та діяльності";
ДСТУ ISO/IEC 15408-5:2023 (ISO/IEC 15408-5:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Частина 5. Попередньо визначені пакети вимог до безпеки";
ДСТУ ISO/IEC 18045:2023 (ISO/IEC 18045:2022, IDT) "Інформаційні технології. Кібербезпека та захист конфіденційності. Критерії оцінювання безпеки ІТ. Методологія оцінювання безпеки ІТ";
ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги";
ДСТУ ISO/IEC 27002:2023 (ISO/IEC 27002:2022, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Засоби контролювання інформаційної безпеки";
ДСТУ ISO/IEC 27005:2023 (ISO/IEC 27005:2022, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Настанова керування ризиками інформаційної безпеки";
ДСТУ ISO/IEC 27551:2023 (ISO/IEC 27551:2021, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Вимоги до автентифікації непов'язаних об'єктів на основі атрибутів".
7. У разі коли засоби електронної ідентифікації, що видаються відповідно до схеми електронної ідентифікації, відповідають вимогам, передбаченим для високого рівня довіри, вважається, що такі засоби відповідають аналогічним вимогам до середнього та низького рівнів довіри.
8. Відповідність засобів електронної ідентифікації, що видаються відповідно до схеми електронної ідентифікації, певному рівню довіри вважається встановленою за умови виконання всіх елементів та дотримання всіх процедур, визначених у додатку 1.
9. Для проведення процедури оцінки відповідності засобів електронної ідентифікації вимогам цього Технічного регламенту застосовується модуль Н (відповідність на основі цілковитого забезпечення якості) згідно з постановою Кабінету Міністрів України від 13 січня 2016 р. N 95 "Про затвердження модулів оцінки відповідності, які використовуються для розроблення процедур оцінки відповідності, та правил використання модулів оцінки відповідності" (Офіційний вісник України, 2016 р., N 16, ст. 625).
10. Для перевірки достовірності повноважень щодо представництва юридичної особи її уповноваженим представником (далі - перевірка представництва) на основі ідентифікаційних даних юридичної особи та її уповноваженого представника відповідно до підрозділу 4 розділу I додатка 1 застосовуються такі умови:
встановлення строку дії представництва та припинення представництва здійснюються відповідно до цивільного законодавства;
уповноважений представник юридичної особи, ідентифікаційні дані якого пов'язані з ідентифікаційними даними юридичної особи, яку він представляє, може передати своє повноваження щодо представництва іншій фізичній особі відповідно до цивільного законодавства. При цьому відповідальною за збереження та достовірність ідентифікаційних даних юридичної особи є уповноважений представник юридичної особи, який передає своє повноваження.
11. Таблиця відповідності положень Імплементаційного регламенту комісії (ЄС) 2015/1502 від 8 вересня 2015 року про встановлення мінімальних технічних специфікацій та процедур для рівнів надійності засобів електронної ідентифікації відповідно до статті 8(3) Регламенту Європейського Парламенту і Ради (ЄС) N 910/2014 про електронну ідентифікацію та довірчі послуги для електронних транзакцій на внутрішньому ринку та цього Технічного регламенту наведена у додатку 2.
Додаток 1
до Технічного регламенту
ТЕХНІЧНІ СПЕЦИФІКАЦІЇ
елементів та процедур до реєстрації користувачів засобів
електронної ідентифікації, управління засобами електронної ідентифікації,
автентифікації, управління та організації
|
Рівні довіри до засобів електронної ідентифікації |
Обов'язкові елементи та процедури до реєстрації користувачів засобів електронної ідентифікації |
|
I. Реєстрація користувачів засобів електронної ідентифікації |
|
|
1. Подання заявки на реєстрацію засобів електронної ідентифікації |
|
|
Низький |
1) забезпечення інформування заявника про умови, пов'язані з
використанням засобів електронної ідентифікації |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для низького рівня довіри |
|
2. Встановлення заявника, який є фізичною особою або його уповноваженим представником, та підтвердження їх ідентифікаційних даних |
|
|
Низький |
1) володіння заявником інформацією, яка дає можливість
відповідно до законодавства ідентифікувати фізичну особу та особу, яка її
представляє |
|
Середній |
виконання вимог до обов'язкових елементів та процедур низького
рівня довіри та додаткове виконання однієї з таких вимог: |
|
Високий |
виконання однієї з таких вимог: |
|
3. Встановлення заявника, який є юридичною особою або його уповноваженим представником, та підтвердження їх ідентифікаційних даних |
|
|
Низький |
1) встановлення юридичної особи на основі відомостей, які
відповідно до законодавства ідентифікують таку особу та уповноваженого
представника юридичної особи |
|
Середній |
виконання вимог до обов'язкових елементів та процедур низького
рівня довіри та додатково виконання однієї з таких вимог: |
|
Високий |
виконання вимог до обов'язкових елементів та процедур середнього
рівня довіри та додатково виконання однієї з таких вимог: |
|
4. Перевірка представництва на основі ідентифікаційних даних юридичної особи та її уповноваженого представника |
|
|
Низький |
1) підтвердження ідентифікаційних даних уповноваженого
представника юридичної особи здійснено за процедурами, які відповідають
низькому, середньому або високому рівням довіри |
|
Середній |
виконання вимог, зазначених у пункті 3 підрозділу 4 розділу I
для низького рівня довіри до засобів електронної ідентифікації, а також
вимог, зазначених у пунктах 1 - 3 підрозділу 4 розділу I для середнього рівня
довіри до засобів електронної ідентифікації цього додатка |
|
Високий |
виконання вимог, зазначених у пункті 3 підрозділу 4 розділу I
для низького рівня довіри до засобів електронної ідентифікації та у пунктах 2
і 3 підрозділу 4 розділу I для середнього рівня довіри до засобів електронної
ідентифікації, а також вимог, зазначених у пунктах 1 і 2 підрозділу 4 розділу
I для високого рівня довіри до засобів електронної ідентифікації цього
додатка |
|
II. Управління засобами електронної ідентифікації |
|
|
1. Характеристики засобів електронної ідентифікації та їх використання |
|
|
Низький |
1) засоби електронної ідентифікації використовують щонайменше
один із таких факторів автентифікації: |
|
Середній |
1) засоби електронної ідентифікації використовують щонайменше
два фактори автентифікації, зазначені в пункті 1 підрозділу 1 розділу II для
низького рівня довіри до засобів електронної ідентифікації цього додатка |
|
Високий |
1) такі самі, як для середнього рівня довіри |
|
2. Видача та активація засобів електронної ідентифікації |
|
|
Низький |
видача засобів електронної ідентифікації фізичній чи юридичній особі, яка їх замовила |
|
Середній |
видача засобів електронної ідентифікації особі, якій вони належать |
|
Високий |
у процесі активації засобу електронної ідентифікації здійснюється підтвердження видачі засобів електронної ідентифікації особі, якій вони належать |
|
3. Блокування, скасування та поновлення дії засобів електронної ідентифікації |
|
|
Низький |
1) можливість блокування та/або скасування засобу електронної
ідентифікації повинна бути забезпечена вчасно та ефективно |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для низького рівня довіри |
|
4. Поновлення та заміна ідентифікаційних даних користувача засобу електронної ідентифікації |
|
|
Низький |
процедури поновлення або заміни ідентифікаційних даних користувача засобу електронної ідентифікації здійснюються відповідно до вимог, наведених у розділах I і II цього додатка |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
1) такі самі, як для низького рівня довіри |
|
III. Автентифікація |
|
|
1. Вимоги до механізму автентифікації засобів електронної ідентифікації |
|
|
Низький |
1) перед передачею ідентифікаційних даних до
інформаційно-комунікаційних систем здійснюється надійна верифікація засобів
електронної ідентифікації та встановлення їх дійсності |
|
Середній |
1) такі самі, як для низького рівня довіри |
|
Високий |
1) такі самі, як для середнього рівня довіри |
|
IV. Управління та організація роботи надавача послуг електронної ідентифікації |
|
|
1. Адміністратори систем |
|
|
Низький |
1) адміністратори систем повинні мати визначену організаційну
структуру та провадити діяльність у всіх сферах, пов'язаних з наданням послуг
електронної ідентифікації |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для низького рівня довіри |
|
2. Публікація повідомлень та інформація про надання послуг електронної ідентифікації для користувачів |
|
|
Низький |
1) на веб-сайті надавача послуг електронної ідентифікації
повинно бути оприлюднено інформацію щодо процесів та процедур, пов'язаних із
видачею та використанням засобів електронної ідентифікації, а також правила,
умови експлуатації, обмеження щодо використання таких засобів, відомості про
платежі. Також на веб-сайті повинно бути оприлюднено положення щодо захисту
персональних даних користувачів послуг електронної ідентифікації відповідно
до вимог Закону України "Про захист
персональних даних" |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для низького рівня довіри |
|
3. Управління інформаційною безпекою |
|
|
Низький |
впровадження системи управління інформаційною безпекою та контролю за ризиками інформаційної безпеки |
|
Середній |
1) такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для середнього рівня довіри |
|
4. Зберігання даних |
|
|
Низький |
1) запис та зберігання даних, які обробляються в
інформаційно-комунікаційній системі схеми електронної ідентифікації,
здійснюються з використанням надійної системи управління записами |
|
Середній |
такі самі, як для низького рівня |
|
Високий |
такі самі, як для низького рівня |
|
5. Об'єктовий контроль та вимоги до працівників надавача послуг електронної ідентифікації |
|
|
Низький |
1) визначення адміністратором системи процедур, які забезпечують
перевірку наявності у працівників надавача послуг електронної ідентифікації
(далі - працівники) належної підготовки, кваліфікації та досвіду, необхідних
для виконання ними своїх обов'язків |
|
Середній |
такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для низького рівня довіри |
|
6. Технічний контроль |
|
|
Низький |
1) проведення пропорційного технічного контролю для управління
ризиками, які загрожують безпеці обслуговування, захисту конфіденційності,
цілісності та доступності інформації, що обробляється в
інформаційно-комунікаційній системі |
|
Середній |
1) такі самі, як для низького рівня довіри |
|
Високий |
такі самі, як для середнього рівня довіри |
|
7. Аудит на відповідність Технічному регламенту щодо вимог до засобів електронної ідентифікації в контексті схеми електронної ідентифікації та процедури, що застосовуються для визначення рівня довіри до засобів електронної ідентификації |
|
|
Низький |
проведення внутрішніх аудитів інформаційної безпеки, які охоплюють усі складові інформаційно-комунікаційної системи схеми електронної ідентифікації |
|
Середній |
1) такі самі, як для низького рівня довіри |
|
Високий |
1) систематичне проведення незалежних зовнішніх аудитів
інформаційної безпеки, які охоплюють усі складові інформаційно-комунікаційної
системи схеми електронної ідентифікації |
Додаток 2
до Технічного регламенту
ТАБЛИЦЯ ВІДПОВІДНОСТІ
положень Імплементаційного регламенту комісії (ЄС) 2015/1502 від 8
вересня 2015 року про встановлення мінімальних технічних специфікацій та
процедур для рівнів надійності засобів електронної ідентифікації відповідно до
статті 8(3) Регламенту Європейського Парламенту і Ради (ЄС) N 910/2014 про
електронну ідентифікацію та довірчі послуги для електронних транзакцій на
внутрішньому ринку та Технічного регламенту щодо вимог до засобів електронної
ідентифікації в контексті схеми електронної ідентифікації та процедури, що
застосовується для визначення рівня довіри до засобів електронної ідентифікації
|
Положення Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Положення Технічного регламенту |
|
Пункт 1 статті 1 |
Пункт 4 |
|
Пункт 2 статті 1 |
Пункт 5 |
|
Пункт 3 статті 1 |
Пункт 7 |
|
Пункт 4 статті 1 |
Пункт 8 |
|
Секція 1 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Пункти 2 і 3 |
|
Секція 2 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Додаток 1 |
|
Секція 2.1 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Розділ I Додатка 1 |
|
Секція 2.2 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Розділ II Додатка 1 |
|
Секція 2.3 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Розділ III Додатка 1 |
|
Секція 2.4 Додатка Імплементаційного регламенту комісії (ЄС) 2015/1502 |
Розділ IV Додатка 1 |



