„Dodatek 3

Procedura zatwierdzania i autoryzacji niezależnych podmiotów w zakresie dostępu do zabezpieczeń pojazdu (*5)

1. Zakres

Niniejszy dodatek zawiera wymogi do celów zatwierdzania i autoryzacji niezależnych podmiotów wymagających dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji pojazdów (RMI).

Określono w nim szczegółowo procedurę i organy wymagane do zatwierdzania i autoryzacji niezależnych podmiotów do uzyskania dostępu do związanych z zabezpieczeniami informacji dotyczących napraw i konserwacji lekkich pojazdów pasażerskich i użytkowych oraz pojazdów ciężarowych.

2. Definicje i skróty

2.1. Definicje

Do celów niniejszego dodatku stosuje się następujące definicje:

2.1.1. »akredytacja«

»akredytacja« oznacza akredytację zgodnie z definicją w art. 2 pkt 10 rozporządzenia (WE) nr 765/2008;

2.1.2. »pracownik niezależnego podmiotu«

»pracownik niezależnego podmiotu« oznacza pracownika zatwierdzonego niezależnego podmiotu, który na podstawie autoryzacji od swojej jednostki oceniającej zgodność będzie miał dostęp do RMI związanych z zabezpieczeniami;

2.1.3. »związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji« lub »RMI związane z zabezpieczeniami«

»związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji« lub »RMI związane z zabezpieczeniami« oznaczają informacje, oprogramowanie, funkcje i usługi wymagane do celów naprawy i utrzymania zabezpieczeń, które zostały zainstalowane w pojeździe przez producenta, aby zapobiec kradzieży pojazdu lub odjechaniu pojazdem oraz umożliwić śledzenie i odzyskiwanie pojazdu;

2.1.4. »świadectwo kontroli zatwierdzenia«

»świadectwo kontroli zatwierdzenia« oznacza świadectwo wydawane przez jednostkę oceniającą zgodność niezależnym podmiotom spełniającym kryteria zatwierdzenia określone w niniejszym dodatku, które potwierdza, że te niezależne podmioty zostały zatwierdzone oraz że pracownicy niezależnego podmiotu mogą się ubiegać o autoryzację w zakresie dostępu do RMI związanych z zabezpieczeniami;

2.1.5. »świadectwo kontroli autoryzacji«

»świadectwo kontroli autoryzacji« oznacza świadectwo wydane przez jednostkę oceniającą zgodność pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji określone w niniejszym dodatku, które potwierdza, że pracownicy ci są autoryzowani w zakresie dostępu do RMI związanych z zabezpieczeniami na stronie internetowej producenta pojazdów;

2.1.6. »centrum zaufania« lub »TC«

»centrum zaufania« lub »TC« oznacza organ wyznaczony przez SERMI i zatwierdzony przez Komisję, odpowiedzialny za:

a)	zarządzanie certyfikatami cyfrowymi i statusem autoryzacji pracowników niezależnego podmiotu oraz dostarczanie jednostce oceniającej zgodność niezbędnych tokenów bezpieczeństwa i certyfikatów elektronicznych dla autoryzowanych pracowników niezależnego podmiotu;

b)	dostarczanie producentowi pojazdów informacji na temat statusu autoryzacji pracownika niezależnego podmiotu.

2.1.7. »token bezpieczeństwa«

»token bezpieczeństwa« oznacza urządzenie, które umożliwia bezpieczne uwierzytelnienie niezależnego podmiotu;

2.1.8. »certyfikat cyfrowy«

»certyfikat cyfrowy« oznacza certyfikat elektroniczny, który wymaga podpisu cyfrowego centrum zaufania wydającego certyfikat w celu powiązania klucza publicznego z tożsamością pracownika niezależnego podmiotu, zgodnie z normą ISO 9594;

2.1.9. »baza danych autoryzacji«

»baza danych autoryzacji« oznacza bazę danych prowadzoną przez centrum zaufania, która zawiera szczegółowe informacje dotyczące autoryzacji zanonimizowanych autoryzowanych pracowników niezależnego podmiotu oraz rejestracji zatwierdzonych niezależnych podmiotów;

2.1.10. »baza danych certyfikacji«

»baza danych certyfikacji« oznacza bazę danych prowadzoną przez centrum zaufania w celu zarządzania ważnością certyfikatów cyfrowych i identyfikatorami autoryzowanych pracowników niezależnych podmiotów;

2.1.11. »Europejska Współpraca w Dziedzinie Akredytacji« lub »EA«

»Europejska Współpraca w Dziedzinie Akredytacji« lub »EA« oznacza jednostkę uznaną przez Komisję zgodnie z art. 14 rozporządzenia (WE) nr 765/2008, która jest odpowiedzialna za opracowanie, utrzymanie i wdrożenie akredytacji w Unii;

2.1.12. »Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami« lub »SERMI«

»Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami« lub »SERMI« oznacza podmiot odpowiedzialny za koordynację i doradzanie Komisji w zakresie wdrażania procedur »akredytacji, zatwierdzania i autoryzacji do celów dostępu« do RMI związanych z zabezpieczeniami;

2.1.13. »odpowiednie organy«

»odpowiednie organy« oznaczają te organy publiczne, które posiadają uprawnienia do działania w dziedzinie ochrony przed przestępstwami przeciwko bezpieczeństwu pojazdów, prowadzenia dochodzeń związanych z takimi przestępstwami i ścigania takich przestępstw.

3. Akredytacja jednostek oceniających zgodność, zatwierdzanie niezależnych podmiotów oraz autoryzację pracowników niezależnych podmiotów

Wyłącznie jednostki oceniające zgodność akredytowane przez zdefiniowaną w art. 2 pkt 11 rozporządzenia (WE) nr 765/2008 krajową jednostkę akredytującą państwa członkowskiego, w którym mają siedzibę, wydają świadectwa kontroli zatwierdzenia poświadczające, że niezależny podmiot został zatwierdzony, oraz świadectwa kontroli autoryzacji poświadczające, że pracownik niezależnego podmiotu ma mieć dostęp do RMI związanych z zabezpieczeniami.

Zatwierdzenia niezależnego podmiotu i autoryzacji pracownika niezależnego podmiotu udziela się na okres 60 miesięcy, począwszy od daty wydania odpowiednich świadectw kontroli.

Niezależne podmioty, które chcą otrzymać RMI związane z zabezpieczeniami, muszą uzyskać świadectwo kontroli zatwierdzenia od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym niezależny podmiot ma siedzibę.

Pracownicy niezależnego podmiotu, którzy mają się posługiwać RMI związanymi z zabezpieczeniami, muszą uzyskać świadectwo kontroli autoryzacji od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym zamieszkuje pracownik niezależnego podmiotu.

Jednostki oceniające zgodność powiadamiają TC o wszelkich wydanych świadectwach kontroli zatwierdzenia lub świadectwach kontroli autoryzacji, na podstawie których TC tworzą rejestr autoryzacji i wydają token bezpieczeństwa oraz certyfikat cyfrowy zawierający szczegółowe dane umożliwiające niepowtarzalną identyfikację pracowników niezależnego podmiotu na stronie internetowej producenta pojazdów dotyczącej RMI. Jednostki oceniające zgodność wyposażają indywidualnych pracowników niezależnego podmiotu w token bezpieczeństwa i certyfikat cyfrowy.

Producenci pojazdów mogą żądać opłaty za rejestrację pracowników niezależnego podmiotu na stronach internetowych producentów pojazdów dotyczących RMI producentów pojazdów oraz za dostęp do RMI związanych z zabezpieczeniami. Przedmiotowa opłata musi być proporcjonalna do kosztów takiej rejestracji i zapewnienia dostępu. Należne opłaty określa się na stronach internetowych producentów pojazdów dotyczących RMI. Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy.

Oświadczenie zaświadczające, że niezależny podmiot prowadzi legalną działalność gospodarczą, o której mowa w pkt 6.3 niniejszego załącznika, jest podpisywane przez niezależny podmiot wnioskujący o udzielenie autoryzacji przez jednostkę oceniającą zgodność. Niezależny podmiot zatwierdza się dopiero po przeprowadzeniu przez jednostkę oceniającą zgodność kontroli, w ramach której sprawdza się, czy deklaracja ta została podpisana i czy niezależny podmiot i jego poszczególni pracownicy spełniają wymogi określone w niniejszym dodatku.

Poszczególnym pracownikom niezależnego podmiotu udziela się autoryzacji dopiero po kontroli ze strony jednostki oceniającej zgodność. Jednostki oceniające zgodność sprawdzają przedłożone dokumenty i weryfikują, czy dany pracownik niezależnego podmiotu złożył uprzednio wniosek o autoryzację, który został odrzucony przez zainteresowaną jednostkę oceniającą zgodność lub jakąkolwiek inną jednostkę oceniającą zgodność na szczeblu Unii.

Jednostki oceniające zgodność przesyłają do TC wszystkie dane niezbędne do przygotowania certyfikatu cyfrowego i tokena bezpieczeństwa, które jednostka oceniająca zgodność przesyła pracownikom niezależnego podmiotu.

Pracownicy niezależnego podmiotu, którzy uzyskali autoryzację, otrzymują od jednostek oceniających zgodność PIN powiązany z certyfikatem cyfrowym.

3.1. Dostęp do RMI związanych z zabezpieczeniami w zarysie

Producenci pojazdów zapewniają dostęp do RMI związanych z zabezpieczeniami za pośrednictwem swojej strony internetowej dotyczącej RMI, pod warunkiem że pracownicy niezależnego podmiotu są autoryzowani i mogą przedstawić świadectwo kontroli autoryzacji oraz że niezależny podmiot, w imieniu którego wykonują pracę pracownicy niezależnego podmiotu, posiada świadectwo kontroli zatwierdzenia.

Producenci mogą oferować autoryzowanym pracownikom niezależnego podmiotu pracującym dla zatwierdzonych niezależnych podmiotów dostęp do internetowego narzędzia do składania zamówień na części związane z zabezpieczeniami za pomocą specjalnej aplikacji powiązanej ze stroną internetową dotyczącą RMI.

Po otrzymaniu wniosku o dostęp do strony internetowej dotyczącej RMI strony internetowe producentów pojazdów żądają identyfikacji za pomocą niepowtarzalnego identyfikatora pracownika niezależnego podmiotu oraz żądają uwierzytelnienia. Uwierzytelnianie pracowników niezależnego podmiotu odbywa się wyłącznie przy użyciu certyfikatów cyfrowych. Po otrzymaniu certyfikatu elektronicznego strony internetowe producenta pojazdów dotyczące RMI weryfikują niepowtarzalny identyfikator pracownika niezależnego podmiotu oraz aktualny status certyfikatu cyfrowego i autoryzacji, komunikując się z TC określonym w certyfikacie elektronicznym.

Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, producentami pojazdów, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy. Po zweryfikowaniu niepowtarzalnego identyfikatora pracownika niezależnego podmiotu i statusu autoryzacji pracownika niezależnego podmiotu producent pojazdów zapewnia na swojej stronie internetowej dostęp do wymaganych RMI związanych z zabezpieczeniami.

4. Szczegółowe zasady dotyczące dostępu do RMI związanych z zabezpieczeniami

4.1. Rola SERMI

4.1.1. Zakresy odpowiedzialności i obowiązki

SERMI monitoruje wdrażanie procesu akredytacji w państwach członkowskich i odpowiednio powiadamia o tym Komisję. SERMI doradza Komisji w sprawie wniosków o wprowadzenie zmian w procesie akredytacji.

a)	SERMI doradza Komisji w sprawie wniosków o wprowadzenie zmian w procesie akredytacji. SERMI monitoruje wdrażanie procesu akredytacji w państwach członkowskich i odpowiednio powiadamia o tym Komisję;

b)	SERMI konsultuje się z Komisją w sprawie ustanowienia kryteriów wyboru TC;

c)	SERMI doradza Komisji w sprawie wprowadzenia technicznych wytycznych wdrożeniowych dotyczących interakcji między podmiotami zaangażowanymi w proces;

d)	SERMI postępuje zgodnie z zasadami EA dotyczącymi własności systemu;

e)	członkowie SERMI są reprezentowani przez zainteresowane strony zaangażowane w proces akredytacji, zatwierdzania i autoryzacji do celów dostępu do RMI związanych z zabezpieczeniami.

4.1.2. Wybór centrum zaufania

SERMI wybiera TC i zgłasza Komisji do zatwierdzenia.

Wybrane TC musi być przestrzegać normy ETSI TS 319 411-3, spełniać wymogi dotyczące podpisów elektronicznych określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 (*6) oraz wymogi określone w pkt 4.6 niniejszego dodatku.

Ponadto TC musi:

-	posiadać kompetencje techniczne i kierownicze oraz stabilność finansową i doświadczenie istotne dla procesu akredytacji,

-	posiadać kluczowy personel wykazujący umiejętności, doświadczenie i dyspozycyjność niezbędne do procesu akredytacji,

-	być w stanie działać we wszystkich państwach członkowskich,

-	wprowadzić proces zapewnienia jakości na poziomie operacyjnym.

4.2. Rola krajowych jednostek akredytujących

Krajowa jednostka akredytująca jest odpowiedzialna za akredytację jednostek oceniających zgodność do celów zatwierdzania niezależnych podmiotów i autoryzacji pracowników niezależnego podmiotu w zakresie dostępu do RMI związanych z zabezpieczeniami.

4.2.1. Zakresy odpowiedzialności i wymogi

Zakresy odpowiedzialności i wymogi odnoszące się do krajowych jednostek akredytujących określono w art. 8-12 rozporządzenia (WE) nr 765/2008.

4.2.2. Kryteria akredytacji jednostek oceniających zgodność

Jednostki oceniające zgodność akredytuje się jako organy kontrolne typu A zgodnie z normą ISO/IEC 17020:2012. Jednostki oceniające zgodność muszą spełniać wymogi dotyczące najwyższego poziomu niezależności.

Ponadto krajowa jednostka akredytująca ocenia zdolność jednostek oceniających zgodność do spełnienia wymogów określonych w pkt 4.3.1-4.3.4.

Personel odpowiedzialny za kontrole niezależnych podmiotów musi posiadać poziom wiedzy w zakresie naprawy i konserwacji pojazdów samochodowych oraz specyfiki motoryzacyjnego rynku wtórnego, który jest odpowiedni do wykonywanych zadań.

4.3. Rola jednostek oceniających zgodność

Jednostka oceniająca zgodność jest odpowiedzialna za kontrole niezależnych podmiotów i ich pracowników oraz za wydawanie świadectw kontroli zatwierdzenia i autoryzacji zgodnie z niniejszym dodatkiem, a także za unieważnianie takich świadectw.

4.3.1. Zakresy odpowiedzialności i wymogi

a)	Jednostki oceniające zgodność przechowują dane przedłożone na potrzeby zatwierdzenia niezależnego podmiotu.

b)	Jednostki oceniające zgodność ustanawiają bezpieczny kanał komunikacyjny z TC i przekazują TC wyniki kontroli w celu wydania tokena bezpieczeństwa wraz z certyfikatem cyfrowym.

c)	Jednostki oceniające zgodność powiadamiają pracowników niezależnych podmiotów 6 miesięcy przed wygaśnięciem ich autoryzacji.

d)	Jednostki oceniające zgodność prowadzą bazę danych zawierającą dane przedłożone na potrzeby uzyskania autoryzacji dla pracowników niezależnych podmiotów.

e)	Jednostki oceniające zgodność, które odmawiają zatwierdzenia niezależnego podmiotu lub udzielenia autoryzacji pracownikowi niezależnego podmiotu, przekazują TC wyniki kontroli dotyczące danego niezależnego podmiotu lub danego pracownika.

f)	Jednostki oceniające zgodność gromadzą i wykorzystują wyłącznie dane wymagane do celów procesu zatwierdzania lub autoryzacji.

g)	Jednostki oceniające zgodność zachowują poufność wszystkich danych dotyczących niezależnych podmiotów i ich pracowników oraz zapewniają, aby dostęp do takich danych mieli wyłącznie autoryzowani pracownicy.

h)	Raz do roku jednostki oceniające zgodność dostarczają SERMI i Komisji dane statystyczne dotyczące liczby wydanych zatwierdzeń i autoryzacji, a także liczby odmów.

i)	Jednostki oceniające zgodność przechowują zabezpieczoną dokumentację dotyczącą zatwierdzeń i autoryzacji przez okres 5 lat.

j)	Jednostki oceniające zgodność powiadamiają wszystkie pozostałe jednostki oceniające zgodność w państwie członkowskim, w którym mają siedzibę, o negatywnych wynikach kontroli niezależnych podmiotów.

k)

Niezależne podmioty oraz pracownicy niezależnych podmiotów, których kontrole zakończyły się wynikiem negatywnym, mogą przekazać jednostce oceniającej zgodność dodatkowe informacje korygujące drobne niedociągnięcia w terminie 15 dni roboczych od otrzymania negatywnego wyniku kontroli. Jednostki oceniające zgodność ustalają odpowiednio, czy wynik kontroli ma zostać zmieniony.

l)	Jednostki oceniające zgodność powiadamiają niezależne podmioty 6 miesięcy przed wygaśnięciem ich zatwierdzenia;

m)

W okresie ważności zatwierdzenia wynoszącym 60 miesięcy jednostki oceniające zgodność przeprowadzają losowe i niezapowiedziane kontrole niezależnych podmiotów na miejscu oraz poddają każdy zatwierdzony niezależny podmiot przynajmniej jednej wyrywkowej kontroli na miejscu w trakcie tego okresu ważności zatwierdzenia wynoszącego 60 miesięcy;

n)

Na podstawie skargi skierowanej przeciwko zatwierdzonemu niezależnemu podmiotowi lub autoryzowanemu pracownikowi niezależnego podmiotu jednostki oceniające zgodność sprawdzają, czy dany niezależny podmiot lub dany pracownik niezależnego podmiotu spełnia kryteria, na podstawie których został, odpowiednio, zatwierdzony lub autoryzowany. W trakcie dochodzenia jednostka oceniająca zgodność ustala, czy konieczna jest kontrola na miejscu;

o)	Do celów kontroli na miejscu jednostki oceniające zgodność mogą zwrócić się o pomoc do organów nadzoru rynku z państwa członkowskiego, w którym mają siedzibę;

p)

Jednostki oceniające zgodność cofają zatwierdzenia niezależnego podmiotu i autoryzacje pracowników niezależnego podmiotu, jeżeli nie spełniają już kryteriów, na podstawie których zostali odpowiednio zatwierdzeni lub autoryzowani. Jednostki oceniające zgodność zwracają się do TC o zawieszenie i uchylenie certyfikatu cyfrowego danych pracowników niezależnego podmiotu.

4.3.2. Przedłużenie zatwierdzenia

Na wniosek niezależnego podmiotu lub 6 miesięcy przed wygaśnięciem ważności zatwierdzenia, jednostki oceniające zgodność przeprowadzają kontrolę na miejscu, a w przypadku pozytywnego wyniku kontroli - przedłużają zatwierdzenie.

Jednostki oceniające zgodność wydają nowe świadectwo kontroli zatwierdzenia dla niezależnego podmiotu, który spełnia kryteria zatwierdzenia.

Jednostki oceniające zgodność dokonują oceny wniosków o przedłużenie autoryzacji i wydają świadectwo kontroli autoryzacji pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji.

4.3.3. Kryteria zatwierdzania niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed zatwierdzeniem niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostki oceniające zgodność sprawdzają:

a)	udokumentowaną własność niezależnego podmiotu, imię i nazwisko dyrektora zarządzającego;

b)	przekazany przez niezależny podmiot wykaz pracowników, którzy mają zostać autoryzowani;

c)	informacje na temat odpowiedzialności i funkcji pracowników, o których mowa w lit. a);

d)	posiadanie przez niezależny podmiot ubezpieczenia od odpowiedzialności cywilnej z minimalną kwotą pokrycia w wysokości 1 mln EUR w przypadku uszkodzenia ciała i 0,5 mln EUR w przypadku szkód majątkowych;

e)	czy zatwierdzenie niezależnego podmiotu zostało cofnięte z powodu nadużyć;

f)	czy niezależny podmiot przedstawił dowód prowadzenia działalności w sektorze motoryzacyjnym;

g)	czy deklaracja potwierdzająca, że niezależny podmiot prowadzi legalną działalność gospodarczą, o której mowa w pkt 6.3, została podpisana przez niezależny podmiot, oraz podczas kontroli na miejscu, czy organizacja ta faktycznie prowadzi legalną działalność gospodarczą;

h)	czy niezależny podmiot lub jego pracownicy nie figurują w rejestrze karnym;

i)	czy przedstawiciel prawny niezależnego podmiotu podpisał oświadczenie, że zapewniono zgodność z wymogami proceduralnymi określonymi w pkt 4.3.4 w odniesieniu do wszystkich czynności związanych z zabezpieczeniem pojazdu.

4.3.4. Kryteria autoryzacji pracownika niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed autoryzacją pracownika niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostka oceniająca zgodność weryfikuje, czy:

a)	dany pracownik nie posiada wcześniej wydanej autoryzacji, która została cofnięta z powodu jej nadużycia;

b)	pracownik nie figuruje w rejestrze karnym;

c)	istnieje umowa o pracę między danym pracownikiem a zatwierdzonym niezależnym podmiotem;

d)	dany pracownik posiada ważny dowód tożsamości danego państwa lub równoważny dokument.

4.4. Rola niezależnego podmiotu

4.4.1. Zakresy odpowiedzialności i wymogi

a)	Niezależne podmioty zwracają się do jednostki oceniającej zgodność z wnioskiem o przeprowadzenie kontroli w celu uzyskania zatwierdzenia;

b)	niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o zmianach swoich danych kontaktowych;

c)	niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o likwidacji przedsiębiorstwa;

d)	niezależne podmioty rejestrują każdą transakcję i operację dotyczącą RMI związanych z zabezpieczeniami;

e)	niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o każdym rozwiązaniu stosunku pracy z którymkolwiek ze swoich autoryzowanych pracowników;

f)	niezależne podmioty zgłaszają właściwym organom każde przestępstwo lub przewinienie popełnione przez ich autoryzowanych pracowników, dotyczące RMI związanych z zabezpieczeniami;

g)	niezależne podmioty zapewniają, aby ich autoryzowani pracownicy korzystali wyłącznie z własnych świadectw kontroli autoryzacji;

h)	niezależne podmioty zapewniają, aby wszystkie opłaty związane z autoryzacją pracownika ich niezależnego podmiotu zostały uiszczone;

i)	niezależne podmioty zapewniają, aby ich pracownicy byli przeszkoleni w zakresie konserwacji, przeprogramowania oraz funkcji zabezpieczeń i bezpieczeństwa pojazdów;

j)	niezależny podmiot zwraca się do swojej jednostki oceniającej zgodność z wnioskiem o przeprowadzenie kontroli na miejscu w okresie sześciu miesięcy przed wygaśnięciem świadectwa kontroli zatwierdzenia.

4.5. Rola pracowników niezależnych podmiotów

4.5.1. Zakresy odpowiedzialności i wymogi

a)	Pracownicy niezależnego podmiotu zwracają się do swojej jednostki oceniającej zgodność z wnioskiem o autoryzację;

b)	pracownicy niezależnego podmiotu rejestrują się w systemie RMI producenta pojazdu;

c)	pracownicy niezależnego podmiotu korzystają z dostępu do RMI związanych z zabezpieczeniami zgodnie z normą EN ISO 18541-2014;

d)	pracownicy niezależnego podmiotu zapewniają, aby wszystkie zapisy RMI związanych z zabezpieczeniami pobrane z systemu RMI producenta pojazdu nie były przechowywane dłużej, niż jest to konieczne do przeprowadzenia operacji, dla której informacje te są potrzebne;

e)	w stosownych przypadkach pracownicy niezależnego podmiotu powiadamiają niezależny podmiot będący ich pracodawcą o tym, że ich certyfikat cyfrowy nie jest już potrzebny;

f)	pracownik niezależnego podmiotu nie może udostępniać żadnej osobie trzeciej tokena bezpieczeństwa, certyfikatu cyfrowego ani numeru PIN;

g)	pracownicy niezależnego podmiotu są odpowiedzialni za prawidłowe używanie osobistego tokena bezpieczeństwa i numeru PIN;

h)	pracownicy niezależnego podmiotu informują swojego pracodawcę i TC w ciągu 24 godzin o każdej utracie lub niewłaściwym użyciu swojego tokena bezpieczeństwa;

i)	pracownicy niezależnego podmiotu zgłaszają właściwym organom wszelkie wnioski lub działania innych pracowników niezależnego podmiotu dotyczące RMI związanych z zabezpieczeniami, które nie stanowią legalnej działalności gospodarczej, o której mowa w pkt 6.3 niniejszego załącznika.

4.6. Rola centrum zaufania

TC tworzą i przesyłają certyfikaty cyfrowe do niezależnych podmiotów i pracowników niezależnych podmiotów za pośrednictwem odpowiednich jednostek oceniających zgodność. TC prowadzą bazę danych wydanych świadectw kontroli autoryzacji. TC zapewniają producentom pojazdów dostęp do interfejsu w celu weryfikacji statusu certyfikatów cyfrowych i świadectw kontroli autoryzacji.

TC przechowują informacje dotyczące pracowników niezależnego podmiotu w bazie danych autoryzacji przez dodatkowy okres nieprzekraczający 60 miesięcy. Okres ten nie może być dłuższy niż pozostały okres ważności zatwierdzenia udzielonego niezależnemu podmiotowi, w którym świadczy pracę dany pracownik niezależnego podmiotu.

4.6.1. Zakresy odpowiedzialności i wymogi

a)	Na wniosek jednostki oceniającej zgodność TC mogą zawiesić lub uchylić certyfikaty cyfrowe;

b)	TC dostarczają niezależnemu podmiotowi i pracownikom niezależnego podmiotu oprogramowanie do korzystania z certyfikatów cyfrowych;

c)	TC działają 24 godziny na dobę przez 7 dni w tygodniu.

4.7. Rola producentów pojazdów

Producenci pojazdów zapewniają wszystkim zatwierdzonym niezależnym podmiotom i autoryzowanym pracownikom niezależnego podmiotu dostęp do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji. Producenci pojazdów komunikują się z TC w celu weryfikacji autoryzacji oraz statusu autoryzacji pracowników niezależnego podmiotu ubiegających się o dostęp do takich informacji.

4.7.1. Zakresy odpowiedzialności i wymogi

a)	Producenci pojazdów zapewniają, aby ich strony internetowe były dostosowane do obsługi dostępu dla niezależnych podmiotów do RMI związanych z zabezpieczeniami;

b)	producenci pojazdów dopilnowują pobrania przez nich specyfikacji technicznych udostępnionych na stronie internetowej SERMI.

4.7.2. Wymogi proceduralne dla producentów pojazdów

Producenci pojazdów nie udzielają dostępu do RMI związanych z zabezpieczeniami, o ile nie spełniono wszystkich następujących wymogów proceduralnych:

1)

Wymogi proceduralne dotyczące skradzionych pojazdów Producenci pojazdów prowadzą rejestr wszystkich pojazdów ich marki zgłoszonych przez organy jako skradzione. Producenci pojazdów muszą wprowadzić proces zapewniający wyraźną identyfikowalność i rozliczalność oraz umożliwiający właściwym organom prześledzenie danych dostarczonych przez producenta pojazdu pracownikowi niezależnego podmiotu, któremu przyznano dostęp do informacji dotyczących skradzionego pojazdu.

2)

Wymogi proceduralne dotyczące przechowywania informacji Producenci pojazdów przechowują następujące informacje w odniesieniu do każdego udzielonego dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji: a) numer identyfikacyjny pojazdu (VIN) pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje; b) datę zgłoszenia wniosku; c) numer rejestracyjny pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje, jeżeli jest dostępny; d) wariant typu pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje, oraz wersję tego pojazdu, jeżeli jest dostępna. Producenci pojazdów przechowują takie dane przez 5 lat.