Dostawca usług zaufania

„Dostawca usług zaufania” to podmiot, który świadczy co najmniej jedną usługę zaufania w rozumieniu przepisów unijnych wskazanych w ustawie „Krajowy system cyberbezpieczeństwa”. Ustawa nie tworzy więc odrębnej, autonomicznej definicji tego pojęcia, lecz odsyła do art. 3 pkt 19 rozporządzenia 910/2014. Znaczenie terminu należy ustalać z uwzględnieniem tego odesłania.

W praktyce chodzi o podmiot, który oferuje usługi służące budowaniu i potwierdzaniu zaufania w obrocie elektronicznym. Taki dostawca może być osobą fizyczną albo osobą prawną i musi świadczyć przynajmniej jedną usługę zakwalifikowaną przez rozporządzenie 910/2014 jako usługa zaufania. O tym, czy dany podmiot ma taki status, nie decyduje sama nazwa prowadzonej działalności ani ogólne świadczenie usług informatycznych, lecz rzeczywisty charakter oferowanej usługi oraz jej zgodność z kategoriami określonymi w przepisach unijnych.

Znaczenie pojęcia w ustawie polega przede wszystkim na wskazaniu konkretnej kategorii podmiotów, do których mogą odnosić się przepisy krajowego systemu cyberbezpieczeństwa. Odesłanie do rozporządzenia 910/2014 zapewnia, że termin jest rozumiany jednolicie, a jego zakres nie zależy wyłącznie od krajowej praktyki lub potocznego znaczenia słów „dostawca” i „usługi zaufania”. Pozwala także powiązać regulacje dotyczące cyberbezpieczeństwa z unijnymi zasadami dotyczącymi identyfikacji elektronicznej i usług zaufania w transakcjach elektronicznych.

Warto odróżnić dostawcę usługi zaufania od użytkownika takiej usługi. Dostawca ją organizuje i świadczy, natomiast użytkownik korzysta z jej funkcji, na przykład w celu uzyskania określonego poziomu wiarygodności lub bezpieczeństwa czynności elektronicznych. Status dostawcy ma zatem znaczenie praktyczne przy ustalaniu, czy dany podmiot mieści się w zakresie przepisów posługujących się tym pojęciem. Termin ten ma również znaczenie przy stosowaniu samego rozporządzenia 910/2014, do którego ustawa bezpośrednio się odwołuje.