資料３

欧州eIDAS規則におけるアシュアランスレベル
第4回 トラストを確保したDX推進サブワーキンググループ
2022年1月25日
慶應義塾大学SFC研究所
上席所員

濱口 総志
1

eIDAS(electronic Identification and Authentication Service)規則*• eIDAS規則の2つの目的• 欧州DSM(Digital Single Market)戦略• トラストサービスの普及による経済発展の促進*Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in theinternal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32014R0910

2

eIDAS(electronic Identification and Authentication Service)規則*• eIDの加盟国間相互承認フレームワーク➡eIDのアシュアランスレベルについて3段階（low, substantial, High）を規定• トラストサービスの法的効力を規定➡2段階の法的効力①トラストサービスは電子形式、適格トラストサービスでない理由で法的効力が否定されない②適格トラストサービスは法的効力が推定される➡トラストサービスの第三者評価フレームワーク
適合性評価機関による評価と監督機関による適格ステータスの付与*Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in theinternal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32014R0910

3

eIDのアシュアランスレベル
Low, Substantial, Highの要件はCIR (EU)2015/1502*に規定されている。
eIDAS2.0におけるEUDIW(EU Digital Identity Wallet)は保証レベルHighとされている。
認証メカニズムの想定攻撃能力

保証レベル

身元確認

eIDの機能Low

身元確認書類を所持していると見做すことができる

単要素認証

Substantial

身元確認書類の所持を確認及び、 二要素認証
身元確認書類の有効性確認

中(moderate), EAL4

High

顔写真等の生体情報を含む身元確認書類の所持を確認及び、身元確認書類の有効性確認

高, EAL4+

二要素認証＋対タンパ性強化基本(Enhanced-Basic),
EAL1～3

CIR(EU)2015/1502*より抜粋*COMMISSION IMPLEMENTING REGULATION (EU) 2015/1502 of 8 September 2015 on setting out minimum technical specifications and procedures for assurance levels forelectronic identification means pursuant to Article 8(3) of Regulation (EU) No 910/2014 of the European Parliament and of the Council on electronic identification and trust
services for electronic transactions in the internal market

4現在までの通知状況①5現在までの通知状況②6トラストサービスの法的効力
項目

電子文書(Art.46)

電子署名(Art.25）eシール(Art.35)

法的効力
電子文書は、その法的効力及び法的手続きにおける証拠としての能力を、それが電子形式であるという理由だけで否定されない。
1.電子署名は、それが電子形式である、又は適格電子署名の要件を満たさないという理由だけで、法的効力及び法的手続きにおける証拠としての能力を否定されない。
2.適格電子署名は、手書き署名と同等の法的効力をもつこと。
3.ある加盟国で発行された適格証明書に基づく適格電子署名は、他のすべての加盟国においても適格電子署名として認められる。
1.eシールは、その法的効力及び法的手続きにおける証拠としての能力を、それが電子形式である、又は適格eシールの要件を満たさないという理由だけで否定されない。
2.適格eシールは、適格eシールがリンクするデータの完全性及びデータの起源の正確性を推定することができる。
3.ある加盟国で発行された適格証明書に基づく適格eシールは、他の全ての加盟国で適格eシールとして認められる。
1.タイムスタンプは、その法的効力及び法的手続きにおける証拠としての能力を、それが電子形式である、又は、適格タイムスタンプの要件を満たさないという理由だけで否定されない。

タイムスタンプ
2.適格タイムスタンプは、それが示す日時の正確性とその日時を結びつけたデータの完全性に関する推定を享有する。
(Art.41)

eデリバリー(Art.43)

3.ある加盟国で発行された適格タイムスタンプは、他の全ての加盟国で適格タイムスタンプとして認められる。
1.eデリバリーサービスを利用して送受信されたデータは、その法的効力及び法的手続きにおける証拠としての能力を、それが電子形式である、又は、適格eデリバリーサービスの要件を満たさないという理由だけで否定されない。
2.適格eデリバリーサービスを利用して送受信されたデータは、データの完全性、識別された送信者によるデータの送信、識別された宛先者による受信、適格eデリバリーサービスで示されたデータの送受信の日時の正確性に関する推定を享有する。
7

トラストサービス(電子署名)のレベル毎の技術基準、第三者評価フレームワーク
eIDAS規則に法的効力おける区別

適格トラス推定される
トサービス

技術基準
電子署名種別 身元確認要件

秘密鍵の保護

第三者評価のフレームワーク

QSCD(QualifiedF2F, eID(substantial以 Signature/Seal Creation eIDAS規則（適合性評価機上)、適格証明書及び Device)
関の評価結果に基づく監督
適格電子証明書機関による適格性の付与）に基づく先進電 同等の方式
利用者の環境で保護子署名(QCP-n,適格電子署名、適格eシール（QCP-n-qscd,QCP-l-qscd）

QCP-l)

先進電子署名(NCP+)

トラストサービス

F2F及び同等の方式否定されない 先進電子署名(NCP)

先進電子署名(LCP)

本人確認資料に基づ
く確認

その他の電子署名(PKI以外)

N/A

QCP: Qualified Certificate Policy
NCP: Normalized Certificate Policy

LCP: Lightweight Certificate Policy
F2F: Face to Face

SCD(Secure CryptoDevice): ISO/IEC 15408
EAL4+ 或いは FIPS 140-2
level 3
任意の適合性評価或いは自己宣言
利用者の環境で保護

N/A

N/A

技術基準：ETSI EN 319 401, 411-1, 411-2

8

総務省 組織が発行するデータの信頼性を確保する制度に関する検討会（第8回）富士通株式会社提出資料より監査監督のフレームワーク

第三者監査のフロー

QTSP②適合性評価①申請③適合性評価報告書

CAB④適合性評価報告書に基づく適格性付与判断

SBTL⑤適格ステータスのトラステッドリストでの公開

第三者監査のフロー

TSP②適合性評価③適合性評価報告書に基づく認証判断④認証サービスの公開

CB

①申請

• QTSPはeIDAS規則で定められている適合性評価を受け、トラステッドリストで適格ステータスが公開される必要がある。
QTSP：Qualified Trust Service Provider（適格トラストサービスプロバイダ）• TSP(LCP, NCP, NCP+)にとって、第三者監査や認証は必須ではなく、先進eシールにも第三者監査や認証は必須ではない。
一方で先進eシール、eシール共に監督機関による事後監督の対象とはなっている。

9

eIDAS2.0とNIS2(Network and Information
Security Directive 2)• NIS2においてトラストサービスプロバイダはデジタルインフラの一つとして位置付けられており、サイバーセキュリティリス
ク管理及びセキュリティ事故報告の義務を負うことが示されている。
2021年11月26日付けの最新案*1では；➡適格トラストサービスプロバイダは不可欠主体（Essential Entity）として事前、事後監督*2の対象➡トラストサービスプロバイダは、中小企業*3であれば重要主体(ImportantEntity)として事後監督の対象となり、中小企業*の規模を超える場合は不可欠主体として適格トラストサービスプロバイダと同様に事前、事後監督の対象となっている。
*1 Interinstitutional File: 2020/0359(COD) Brussels, 26 November 2021 (OR. en) 14337/21*2 事前監督: サービス開始前に要件の充足を確認
事後監督：事故/違反発生時の立ち入り等*3 COMMISSION RECOMMENDATION 2003/361/EC における中小企業(SME)の定義（従業員250名未満、売上50Mユーロ未満等）

10

適格トラストサービスが要求される領域
NIS2* (70bisaa)では「特定のサイバーセキュリティリスク管理措置への準拠を証明するために、加盟国は不可欠主体及び重要主体に対して、eIDAS規則に基づく適格トラストサービスまたはeIDスキームの利用を要求することができる」とされている。
Annex Iに記載されている不可欠主体及び重要主体
エネルギー(電気、オイル、ガス、水素等)

ヘルス

輸送(航空、鉄道、海運、交通)

飲料水

ICTサービス管理

行政機関

銀行

金融市場インフラ

下水

デジタルインフラ

宇宙

Annex IIに記載されている不可欠主体及び重要主体

郵便、クーリエ
食品

廃棄物管理

化学

ヘルス製造デジタルプロバイダ* Interinstitutional File: 2020/0359(COD) Brussels, 26 November 2021 (OR. en) 14337/21

11

まとめ• EUはeIDAS規則及びNIS2によって、デジタルインフラとしてトラストサービス及びeIDを整備し（ようとし）ている。
• 制度化と技術基準、事前/事後監督• 行政機関及び規制産業における適格トラストサービスの利用を促進• 一方で、B2B等において広く用いることができるレベルのトラストサービスについても、技術基準と民間第三者評価のフレームワークを整備されており、利用者が必要なトラストサービスを正しく選択できる環境を構築されている。

12