2009D0767 — BG — 01.12.2010 — 001.002

Този документ е средство за документиране и не обвързва институциите

Изменен с

поправен от

▼B

▼C1

РЕШЕНИЕ НА КОМИСИЯТА

от 16 октомври 2009 година

за определяне на мерки, улесняващи прилагането на процедури с помощта на електронни средства чрез „единични звена за контакт“ в съответствие с Директива 2006/123/ЕО на Европейския парламент и на Съвета относно услугите на вътрешния пазар

(нотифицирано под номер C(2009) 7806)

(текст от значение за ЕИП)

(2009/767/ЕО)

Член 1

Използване и приемане на електронни подписи

1. Когато е оправдано, въз основа на подходящ анализ на съответните рискове и в съответствие с член 5, параграфи 1 и 3 от Директива 2006/123/ЕО, държавите-членки могат да изискат от доставчика на услуги да използва при осъществяването на определени процедури и формалности чрез единичните звена за контакт съгласно член 8 от Директива 2006/123/ЕО усъвършенствани електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи, както е определено и регулирано с Директива 1999/93/ЕО.

2. Държавите-членки следва да приемат всеки усъвършенстван електронен подпис на базата на квалифицирано удостоверение със или без използването на механизъм (устройство) за създаване на защитени електронни подписи за осъществяването на процедурите и формалностите, посочени в параграф 1, като това не засяга правото на държавите-членки да ограничат приеманите усъвършенствани електронни подписи до такива на базата на квалифицирано удостоверение с използването на механизъм (устройство) за създаване на защитени електронни подписи, когато това е в съответствие с оценката на риска, посочена в параграф 1.

3. Държавите-членки не поставят при приемането на усъвършенствани електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи условия, създаващи пречки за ползването от доставчиците на услуги на процедури с електронни средства чрез единичните звена за контакт.

4. Параграф 2 не възпира държавите-членки да приемат електронни подписи, различни от усъвършенстваните електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи.

Член 2

Създаване, поддържане и публикуване на доверителни списъци

1. Всяка държава-членка създава, поддържа и публикува в съответствие с определените в приложението технически спецификации „доверителен списък“, съдържащ минималната изисквана информация по отношение на намиращите се под неин надзор и притежаващи нейна акредитация доставчици на удостоверителни услуги, издаващи квалифицирани удостоверения за потребители.

▼M1

2. Държавите-членки създават и публикуват доверителен списък както в четима от човек форма, така и в машинно четима форма в съответствие с определените в приложението технически спецификации.

▼M1

2а. Държавите-членки подписват по електронен път машинно четимата форма на своя доверителен списък и публикуват поне четимата от човек форма на доверителния списък по сигурен канал, за да гарантират нейната автентичност и цялост.

▼M1

3. Държавите-членки съобщават на Комисията следната информация:

▼M1

4. Комисията предоставя на всички държави-членки чрез сигурен канал към уебсървър с удостоверена автентичност съобщената от държавите-членки информация, посочена в параграф 3, както в четима от човек форма, така и в подписана машинно четима форма.

▼C1

Член 3

Прилагане

Настоящото решение се прилага от 28 декември 2009 г.

Член 4

Адресати

Адресати на настоящото решение са държавите-членки.

ПРИЛОЖЕНИЕ

ТЕХНИЧЕСКИ СПЕЦИФИКАЦИИ ЗА ОБЩ ОБРАЗЕЦ НА „ДОВЕРИТЕЛЕН СПИСЪК НА ДОСТАВЧИЦИ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ ПОД НАДЗОР/АКРЕДИТАЦИЯ“

ПРЕДГОВОР

1. Обща информация

С общия образец на „Доверителен списък на доставчици на удостоверителни услуги с акредитация и под надзор“ се цели създаването на общ формат за предоставяне на информация от държавите-членки за състоянието на надзора/акредитацията на намиращите се под техен надзор/акредитация по отношение на съвместимостта със съответните разпоредби на Директива 1999/93/ЕО доставчици на удостоверителни услуги ( 3 ) (ДУУ). Това включва предоставянето на историческа информация за състоянието на поднадзорните/акредитираните удостоверителни услуги.

Задължителната информация в доверителния списък (ДС) трябва да включва минималната необходима информация за поднадзорните/акредитираните ДУУ, издаващи квалифицирани удостоверения (КУ) ( 4 ) в съответствие с разпоредбите на Директива 1999/93/ЕО (член 3, параграф 3, член 3, параграф 2 и член 7, параграф 1, буква а), в това число информация за КУ, поддържащи електронен подпис, и дали подписът е създаден с помощта на механизъм (устройство) за създаване на защитени електронни подписи (SSCD) ( 5 ).

Допълнителна информация за други поднадзорни/акредитирани ДУУ, които не издават КУ, но предлагат услуги, свързани с електронния подпис (например ДУУ, предлагащи услуги за времеви печати (Time Stamping Services) и издаващи времеви маркери (Time Stamp Tokens); ДУУ, издаващи неквалифицирани удостоверения и т.н.) може да бъде включена на доброволна основа в доверителния списък на национално ниво.

Тази информация е предназначена преди всичко да подкрепи валидирането на квалифицирани електронни подписи (КЕП) ( 6 ) и усъвършенствани електронни подписи (УЕП) ( 7 ) ( 8 ) с помощта на квалифицирано удостоверение.

Предложеният общ образец е съгласуван с приложение на базата на спецификациите TS 102 231 ( 9 ) на ETSI, които разглеждат създаването, публикуването, разполагането, достъпа, идентифицирането и удостоверяването на такъв вид списъци.

2. Насоки за редактиране на данни в ДС

2.1. ДС, насочен към удостоверителни услуги под надзор/акредитация

Доверителният списък на една държава-членка се определя като „Списък на състоянието на надзора и акредитациите на удостоверителните услуги, предлагани от доставчици на удостоверителни услуги под надзор на/акредитирани от посочената държава-членка относно съвместимостта им със съответните разпоредби на Директива 1999/93/ЕО“.

Такъв доверителен списък трябва да обхваща:

Съгласно определенията и разпоредбите, дадени в Директива 1999/93/ЕО, по-конкретно по отношение на съответните ДУУ, техните системи за надзор/доброволна акредитация, могат да бъдат разграничени два вида ДУУ, а именно ДУУ, които издават КУ на потребители (ДУУКУ), и ДУУ, които не издават КУ на потребители, но предлагат „други (допълнителни) услуги, свързани с електронните подписи“:

Доверителният списък на държавата-членка трябва да предлага минималната необходима информация за поднадзорните/акредитираните ДУУ, издаващи квалифицирани удостоверения за потребители в съответствие с разпоредбите на Директива 1999/93/ЕО (член 3, параграф 3, член 3, параграф 2 и член 7, параграф 1, буква а), информация за КУ, поддържащи електронен подпис, и дали подписът е създаден с помощта на механизъм (устройство) за създаване на защитени електронни подписи.

Допълнителна информация за други поднадзорни/акредитирани услуги на ДУУ, които не издават КУ на потребители (например ДУУ, предлагащи услуги за времеви печати (Time Stamping Services) и издаващи времеви маркери (Time Stamp Tokens), ДУУ, издаващи неквалифицирани удостоверения и т.н.) може да бъде включена на доброволна основа в доверителния списък на национално ниво.

Предназначението на доверителния списък е:

Всяка държава-членка трябва да създаде и да поддържа един единствен списък, указващ състоянията на надзор/акредитация на удостоверителните услуги на ДУУ под надзора/акредитацията на държавата-членка.

Фактът, че услугата към момента е под надзор или акредитирана, е елемент на нейното актуално състояние. Освен това състоянието на надзор или акредитация може да бъде „текущо“ („ongoing“), „в процес на преустановяване“ („in cessation“), „преустановено“ („ceased“) и дори „отменено“ („revoked“). В рамките на своето съществуване една удостоверителна услуга може да преминава от режим на надзор в режим на акредитация и обратно ( 10 ).

Фигура 1 показва очакваните преходи на дадена удостоверителна услуга между възможните състояния на акредитация/надзор:

►(7) C2

►(7) C2

►(7) C2

►(7) C2

►(7) C2

►(7) C2

►(7) C2

Една удостоверителна услуга, издаваща КУ, трябва задължително да бъде под надзор (ако е установена в държава-членка) и може да бъде доброволно акредитирана. Стойността на състоянието на такава услуга, когато е включена в доверителния списък, може да бъде коя да е от посочените по-горе „актуални стойности на състоянието“. Трябва обаче да се отбележи, че стойностите „преустановена акредитация“ и „отменена акредитация“ трябва да бъдат само „преходни състояния“ при услуги на ДУУКУ, установени в държава-членка, тъй като такива услуги трябва да са поднадзорни по подразбиране (дори когато вече не са акредитирани).

Изисква се държави-членки, които създават или са създали дефинирани в национален мащаб „признати схеми за одобрение“, използвани на национална основа за надзор на съвместимостта на услугите на ДУУ, които не издават КУ, с разпоредбите на Директива 1999/93/ЕО и с евентуални национални разпоредби относно предлагането на удостоверителни услуги (по смисъла на член 2, параграф 11 от директивата), да категоризират такива „схеми за одобрение“ в една от следните две категории:

По същия начин, удостоверителна услуга, която не издава КУ, може да бъде под надзор или доброволно акредитирана. Стойността на състоянието на такава услуга, когато е включена в доверителния списък, може да бъде коя да е от посочените по-горе „актуални стойности на състоянието“ (вж. фигура 1).

Доверителният списък трябва да съдържа информация за прилаганите схеми за надзор/акредитация, по-конкретно:

Последните два пакета от информация са от ключово значение за оценяването от доверяващите се страни на качеството и нивото на сигурност на такива системи за надзор/акредитация, приложени на национално ниво към ДУУ, които не издават КУ. Когато в ДС се предлага информация за състоянието на надзора/акредитациите по отношение на ДУУ, които не издават КУ, гореспоменатите пакети от информация се предлагат на ниво ДС, като се използват „URI за информация за схемата (Scheme information URI)“ (клауза 5.3.7 — информация, предоставяна от държавите-членки), „Тип/общност/правила на схемата (Scheme type/community/rules)“ (клауза 5.3.9, като се използват общи за всички държави-членки формулировки и незадължителна, предоставяна от държавата-членка, специфична информация) и „Политика/правен коментар на ССДУ (TSL policy/legal notice)“ (клауза 5.3.11 — обща за всички държави-членки формулировка, позоваваща се на Директива 1999/93/ЕО, и възможност за всяка държава-членка да добави специфични национални формулировки или позовавания). Допълнителна, „квалифицираща“ информация на нивото на националните системи за надзор/акредитация на ДУУ, които не издават КУ, може да бъде предложена на нивото на услугата, ако е уместно и необходимо (например за да се различават отделните нива на качество/сигурност), като се използва разширението „additionalServiceInformation“ (клауза 5.8.2) като част от „Service information extension“ (клауза 5.5.9). Допълнителна информация за съответните технически спецификации се предлага в подробните спецификации в глава I.

Въпреки възможността надзорът и акредитацията в дадена държава-членка да се осъществяват от различни органи, се очаква да се използва едно-единствено вписване за дадена удостоверителна услуга (идентифицирана чрез своята „Service digital identity“ (цифрова идентификация на услугата) съгласно ETSI TS 102 231 ( 11 ) и нейното състояние на надзор/акредитация да се актуализира съответно. Значението на посочените по-горе състояния е разяснено в съответната клауза 5.5.4 на подробните технически спецификации в глава I.

2.2. Вписвания в ДС с цел улесняване на валидирането на КЕП и УЕПКУ

Най-критичната част от създаването на ДС е установяването на задължителната част на ДС, а именно на „Списъка на услугите“ на всеки ДУУ, издаващ КУ, с цел да се отрази коректно състоянието на издаване на всяка такава услуга за издаване на КУ и да се гарантира, че предоставената във всяко вписване информация е достатъчна за валидирането на КЕП и УЕПКУ (когато се комбинира със съдържанието на потребителското КУ, издадено от ДУУ в рамките на удостоверителната услуга, посочена в даденото вписване).

В този смисъл, тъй като не съществува наистина оперативно съвместим и общоприет профил за КУ, изискваната информация може да бъде различна от „Service digital identity“ на даден (базов) УО, по-специално информация относно състоянието на КУ на издаденото удостоверение, както и информация дали поддържаните подписи са били създадени с SSCD. Органът на държавата-членка, натоварен със създаването, актуализирането и поддръжката на ДС (т.е. операторът на схемата съгласно ETSI TS 102 231) трябва следователно да вземе предвид настоящия профил и съдържанието на удостоверението за всяко КУ, издадено от ДУУКУ, който е включен в ДС.

В идеалния случай всяко издадено КУ следва да съдържа определената от ETSI декларация QcCompliance ( 12 ), когато е обявено като КУ, и да съдържа определената от ETSI декларация QcSSCD, когато се твърди, че то се поддържа от SSCD при генерирането на електронни подписи и/или всяко издадено удостоверение включва един от обектните идентификатори (OIDs) на политиката за сертифициране QCP/QCP+, определени в ETSI TS 101 456 ( 13 ). Използването на разнородни стандарти от страна на ДУУ, издаващи КУ, голямата свобода на интерпретация, която тези стандарти позволяват, както и липсата на осведоменост относно наличието и приоритета на някои технически спецификации или стандарти са довели до разлики в действителното съдържание на издаваните понастоящем КУ (напр. относно използването или не на определените от ETSI декларации) и съответно не позволяват на получателя просто да разчита на удостоверението на подписания (и свързаната с него верига от удостоверения) при извършването на оценка (най-малкото на машинна такава) дали удостоверението, поддържащо електронен подпис е обявено за КУ и дали то е свързано с SSCD, чрез което е бил създаден електронният подпис.

Допълването на полетата „Service type identifier“ („Sti“), „Service name“ („Sn“) и „Service digital identity“ („Sdi“) ( 14 ) с информация, предоставена в полето „Service information extensions“ („Sie“), дава възможност чрез предложения общ образец на ДС да се определи напълно специфичният тип на едно квалифицирано удостоверение, издадено от удостоверяваща услуга на включен в списъка ДУУ, издаващ КУ, и да се предостави информация дали то се поддържа от SSCD или не (когато такава информация липсва в издаденото КУ). С това вписване, разбира се, е свързана специфична информация в полето „Service current status“ („Scs“). Това е показано на фигура 2 по-долу.

Включването на услуга в списъка, за която се предлага само информацията „Sdi“ на (базовия) УО ще означава, че е гарантирано (от ДУУ, издаващ КУ, но и от надзорния/акредитиращия орган, отговарящ за надзора/акредитацията на този ДУУ), че всяко потребителско удостоверение, издадено от този (базов) УО, съдържа достатъчно дефинирана от ETSI и обработваема машинно информация, за да може да бъде оценено дали то е КУ и дали се поддържа от SSCD. Когато например последното твърдение не е вярно (т.е. липсва стандартизирана от ETSI и обработваема машинно информация в КУ дали то се поддържа от SSCD), то въз основа само на информацията „Sdi“ на (базовия) УО ще може единствено да се предположи, че КУ, издадени от тази йерархия на (базови) УО, не се поддържат от SSCD. За да се обозначат тези КУ като поддържани от SSCD, „Sie“ следва да указва този факт (като това ще означава също, че коректността на информацията се гарантира от ДУУ, издаващ КУ и намиращ се под надзора/акредитацията на надзорен или акредитиращ орган съответно).

►(1) C2

Настоящите технически спецификации на общ образец за ДС позволяват използването на комбинация от пет основни елемента на информацията за вписаната услуга:

2.3. Насоки за редактиране и използване на вписвания на услуги от ДУУКУ

Основните насоки за редактиране са:

Основен принцип по подразбиране е, че при вписаните в доверителния списък ДУУ трябва да има едно вписване за всяка услуга и за всяко отделно удостоверение от тип X.509v3 за удостоверителни услуги от тип УО/КУ (т.е. удостоверителен орган, издаващ (пряко) КУ). В някои внимателно определени ситуации и грижливо контролирани условия надзорният орган/акредитиращият орган на държава-членка може да реши да използва X.509v3 удостоверения на базов УО или такъв от по-високо ниво (например УО, който не издава непосредствено потребителски удостоверения, но сертифицира йерархични вериги от УО до нивото на УО, издаващи потребителски удостоверения) като информация в полето „Sdi“ на отделен елемент от списъка на услугите на вписан ДУУ. Последствията (предимства и недостатъци) от използването на X.509v3 базови УО или УО от по-високо ниво като стойности в полето „Sdi“ на услуги от ДС трябва да бъдат добре премислени от държавите-членки. Освен това, когато се прилага това изключение от основния принцип, държавите-членки трябва да осигурят необходимата документация, даваща възможност за конструиране и проверка на удостоверителната верига.

За онагледяване на основните правила за редактиране служи следният пример: в контекста на ДУУКУ, които използват базов УО, използван от множество УО за издаване на КУ, но чиито КУ съдържат само декларацията QcCompliance без информация относно поддръжката от SSCD, указването на „Sdi“ на базовия УО ще означава единствено (съгласно правилата, обяснени по-горе), че всяко КУ, издадено от йерархичната верига на този базов УО, НЕ се поддържа от SSCD. Препоръчва се настоятелно използването на декларацията QcSSCD в издаваните в бъдеще удостоверения, ако тези КУ в действителност се поддържат от SSCD. Междувременно (до изтичането на срока на валидност на последното УО, което не съдържа тази информация) в ССДУ следва да се използва полето „Sie“ и свързаното разширение „Qualifications“, напр. филтриране на удостоверения чрез специфични дефинирани от ДУУКУ OID, които евентуално се използват от ДУУКУ за разграничаване на различните видове КУ (поддържани от SSCD или не), и съдържащи изрична „информация за поддръжката от SSCD“ с оглед на удостоверенията, филтрирани въз основа на „квалификатори“.

Основните насоки за използване на приложения на електронния подпис, услуги или продукти, ползващи ССДУ реализация на доверителния списък в съответствие с настоящите технически спецификации, са следните:

Стойност „CA/QC“ (УО/КУ) в полето „Sti“ (по подобен начин това важи за стойност „CA/QC“ (УО/КУ), квалифицирана допълнително като базова (RootCA/QC) чрез полето „Sie“ (additionalServiceInformation extension)

2.4. Услуги, които поддържат услуги от типа „УО/КУ“, но не са обозначени като „УО/КУ“ в „Sdi“

Случаите, в които CR списъци (CRL — Certificate Revocation List) и OCSP отговори (OCSP — Online Certificate Status Protocol) са подписани с ключове, различни от тези на УО, издаващ КУ („УО/КУ“), следва също да бъдат обхванати. Това може да стане чрез включване на тези услуги като такива в ССДУ реализацията на ДС (т.е. с „Service type identifier“, квалифициран допълнително чрез разширението „additionalServiceInformation“, деклариращо дадена услуга за OCSP или CRL като част от предоставянето на КУ, напр. чрез тип на услугата „OCSP/QC“ или „CRL/QC“ съответно), тъй като тези услуги могат да бъдат считани за част от поднадзорните/акредитираните „квалифицирани“ услуги, свързани с предлагането на удостоверителните услуги с КУ. Разбира се, издаващите OCSP отговори или CR списъци, чиито удостоверения са подписани от УО в йерархичната верига на вписана услуга от тип УО/КУ, следва да се приемат за „валидни“ и съответстващи на състоянието на вписана услуга от тип УО/КУ.

Подобна разпоредба може да се приложи към удостоверителните услуги, издаващи неквалифицирани удостоверения (услуги от тип „CA/PKC“), използващи типовете по подразбиране за OCSP и CRL услуги, съгласно ETSI TS 102 231.

Следва да се отбележи, че ССДУ реализацията на ДС ТРЯБВА да включва услуги за оттегляне на удостоверения, ако подобна информация не е включена в полето AIA на потребителските удостоверения или не е подписана от УО, който е измежду включените в списъка.

2.5. Създаване на оперативно съвместим профил на КУ

По принцип целта трябва да бъде възможно най-значително опростяване (намаляване) на броя на вписаните услуги (различни „Sdi“). За сметка на това обаче следва да се идентифицират коректно услугите, които са свързани с издаването на КУ и предоставянето на надеждна информация дали тези КУ се поддържат от SSCD, ако тази информация липсва в издаденото КУ.

В идеалния случай употребата на полето „Sie“ и на разширението „Qualification“ следва да бъде (строго) ограничена до специалните случаи, които се решават чрез нея, тъй като КУ следва да съдържат достатъчно информация относно декларираното квалифицирано състояние и декларираното наличие/липса на поддръжка от SSCD.

Доколкото е възможно държавите-членки следва да налагат приемането и употребата на съвместими профили на КУ.

3. Структура на общия образец за доверителния списък

Структурата на предложения общ образец за доверителния списък на държава-членка ще съдържа следните категории информация:

В контекста на ДУУ, издаващи УО, еднозначната идентификация на поднадзорна/акредитирана удостоверителна услуга, подлежаща на включване в списъка, трябва да вземе предвид случаите, при които липсва достатъчно информация в квалифицираното удостоверение относно неговото „квалифицирано“ състояние, евентуалната му поддръжка от SSCD, и особено да реши проблема, произтичащ от факта, че повечето (търговски) ДУУ използват един единствен издателски квалифициран УО за издаването на множество различни типове потребителски удостоверения — както квалифицирани, така и неквалифицирани.

Броят на вписванията в списъка за един признат ДУУ може да бъде намален, ако съществуват една или повече УО услуги на по-високо ниво, напр. в контекста на търговската йерархична верига на УО, свързваща един базов УО с издаващи УО. Дори и в тези случаи обаче трябва да бъде спазен принципът за осигуряване на еднозначна връзка между удостоверителната услуга на ДУУКУ и набора от удостоверения, които трябва да се идентифицират като КУ.

1. Информация за доверителния списък и неговата схема на издаване

В тази категория ще бъде поместена следната информация:

2. Еднозначна информация за всеки ДУУ, признат в съответствие със схемата

Този пакет от информации ще включва най-малко следното:

3. За всеки включен в списъка ДУУ, поредица от полета, съдържащи информация за еднозначно идентифициране на удостоверителна услуга, предлагана от ДУУ и попадаща под надзор/акредитация по смисъла на Директива 1999/93/ЕО

Този пакет от информации ще включва най-малко следното за всяка удостоверителна услуга, предлагана от включен в списъка ДУУ:

4. За всяка включена в списъка услуга, идентификация на актуалното състояние на услугата и историята на състоянието

Този пакет от информации ще включва най-малко следното:

4. Определения и съкращения

За целите на настоящия документ се прилагат следните определения и съкращения:

ГЛАВА I

ПОДРОБНИ СПЕЦИФИКАЦИИ ЗА ОБЩИЯ ОБРАЗЕЦ НА „ДОВЕРИТЕЛЕН СПИСЪК НА ДОСТАВЧИЦИ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ ПОД НАДЗОР/АКРЕДИТАЦИЯ“

В следващата част от документа ключовите думи „ТРЯБВА“, „НЕ ТРЯБВА/ТРЯБВА ДА НЕ“, „ЗАДЪЛЖИТЕЛЕН“, „СЛЕДВА“, „НЕ СЛЕДВА“, „БИ ТРЯБВАЛО“, „НЕ БИ ТРЯБВАЛО“, „ПРЕПОРЪЧИТЕЛЕН“, „МОЖЕ“ и „НЕЗАДЪЛЖИТЕЛЕН“ следва да се интерпретират в съответствие с термините на английски, описани в RFC 2119 ( 15 ).

►M1 Настоящите спецификации се основават на спецификациите и изискванията, определени в ETSI TS 102 231 v.3.1.2. Когато в настоящите спецификации липсва конкретно изискване, ТРЯБВА изцяло да се прилагат изискванията на ETSI TS 102 231 v.3.1.2. ◄ Когато в настоящите спецификации съществуват конкретни изисквания, те СЛЕДВА да заместят съответните изисквания на ETSI TS 102 231, като се допълват от форматните спецификации на ETSI TS 102 231. В случай на противоречия между настоящите спецификации и спецификациите от ETSI TS 102 231, настоящите спецификации СЛЕДВА да са меродавни.

Езикова поддръжка СЛЕДВА да се реализира и предлага най-малко за английски (EN) и евентуално за един или повече национални езици в допълнение.

Индикацията на времето СЛЕДВА да се съгласува с клауза 5.1.4 от ETSI TS 102 231.

Използването на унифицирани идентификатори на ресурси (URI) СЛЕДВА да се съгласува с клауза 5.1.5 от ETSI TS 102 231.

Информация за схемата на издаване на доверителен списък

Tag (таг)

Това поле е ЗАДЪЛЖИТЕЛНО и СЛЕДВА да се съгласува с клауза 5.2.1 от ETSI TS 102 231.

▼M1 —————

▼C1

Scheme Information (информация за схемата)

Това поле е ЗАДЪЛЖИТЕЛНО и стойността му СЛЕДВА да е числото „3“ (като цяло число).

▼M1

Това поле е ЗАДЪЛЖИТЕЛНО. То ТРЯБВА да указва поредния номер на TSL. Като започва от „1“ за първото издание на TSL, стойността на това цяло число ТРЯБВА да се увеличава за всяко следващо издание на TSL. Стойността НЕ ТРЯБВА да започва отново от „1“, когато по-горната стойност на „TSL version identifier“ е увеличена.

▼C1

▼M1

Това поле е ЗАДЪЛЖИТЕЛНО и указва типа на TSL. То ТРЯБВА да съдържа стойността http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (Generic).

▼C1

Забележка: За да отговарят на клауза 5.3.3 от ETSI TS 102 231 и да указват специфичния тип на ССДУ, като същевременно се съобразяват с правилата за създаване на реализации на доверителни списъци ( 16 ) на държавите-членки на базата на ССДУ, установени от настоящите спецификации, и да позволят на парсера (parser = синтактичен анализатор) да определи в какъв формат трябва да очаква следващите полета ( 17 ), тъй като тези полета имат специфично (или алтернативно) значение в зависимост от типа на ССДУ (в настоящия случай това е доверителен списък на една държава-членка), горният URI СЛЕДВА да се регистрира и описва като:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic

▼C1

Описание : ССДУ реализацията на списък на състоянието на надзора и акредитациите на удостоверителните услуги, предлагани от доставчици на удостоверителни услуги, намиращи се под пряк надзор/акредитация (доброволно или задължително) на посочената държава-членка, която притежава тази реализация, относно съвместимостта им със съответните разпоредби на Директива 1999/93/ЕО.

Това поле е ЗАДЪЛЖИТЕЛНО. То СЛЕДВА да указва името на органа на държавата-членка, отговарящ за създаването, издаването и поддръжката на националния доверителен списък. То СЛЕДВА да указва официалното име, под което работи упълномощеното юридическо лице или упълномощената организация (например държавни административни агенции), която се свързва с този орган. То ТРЯБВА да е името, използвано при формалната юридическа регистрация или оправомощаването, към което следва да се насочва всякакъв вид формална комуникация. То СЛЕДВА да представлява последователност от многоезични символни низове и СЛЕДВА да се реализира задължително на английски (EN) и евентуално на един или повече национални езици.

Забележка: Една държава МОЖЕ да има различни надзорни и акредитиращи органи и дори допълнителни органи за сродни оперативни дейности. ►M1 Всяка държава-членка определя оператора на схемата (Scheme operator) на TSL реализацията на своя доверителен списък. ◄ Очаква се надзорният орган, акредитиращият орган и операторът на схемата (когато са отделни органи) да имат свои собствени отговорности и задължения.

Всяка ситуация, в която различни органи отговарят за надзор, акредитиране или оперативни аспекти, СЛЕДВА да се отразява и обозначава надлежно като такава в информацията за схемата като част от ДС, в това число специфичната информация за схемата, указана в „Scheme information URI“ (клауза 5.3.7).

▼M1

Посоченият оператор на схемата (Scheme operator, клауза 5.3.4) е организацията, която подписва TSL.

▼C1

Това поле е ЗАДЪЛЖИТЕЛНО. То СЛЕДВА да указва адресите на юридическото лице или упълномощената организация, посочени в полето „Scheme operator name“ (клауза 5.3.4), за пощенски и електронни комуникации. То СЛЕДВА да включва както „PostalAddress“ (т.е. улица, селище, [щат или провинция], [пощенски код] и двубуквен код на държавата по ISO 3166-1) съгласно клауза 5.3.5.1, така и „ElectronicAddress“ (т.е. електронна поща и/или уебсайт) съгласно клауза 5.3.5.2.

Това поле е ЗАДЪЛЖИТЕЛНО и указва името, под което действа схемата. То СЛЕДВА да бъде последователност от многоезични символни низове (реализирани задължително на английски (EN) и евентуално на един или повече национални езици), дефинирана както следва:

„Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws“;

Името на схемата е необходимо, за да се идентифицира еднозначното схемата, посочена чрез „Scheme information URI“, а също и за да се гарантира, в случай че операторът на схемата поддържа повече от една схема, че всяка от тези схеми е получила различно име.

Държавите-членки и операторите на схеми СЛЕДВА да гарантират, че когато държава-членка или оператор на схема поддържат повече от една схема, всяка от тях получава различно име.

Това поле е ЗАДЪЛЖИТЕЛНО и СЛЕДВА да посочва идентификатори (URI), чрез които потребителите (доверяващите се страни) могат да получат специфична за схемата информация (като английската езикова версия се предоставя задължително, а евентуално може да съществуват и други национални езикови версии). То СЛЕДВА да бъде последователност от многоезични указатели (реализирани задължително на английски (EN) и евентуално на един или повече национални езици). Указаните URI ТРЯБВА да предлагат адрес за достъп до информация, даваща „подходяща информация за схемата“.

Тази „подходяща информация за схемата“ СЛЕДВА да включва най-малко:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.“

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

„The present list is the TSL implementation of [name of the relevant Member State] „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Допълнителна специфична за държавата-членка информация за схемата МОЖЕ да бъде предоставена на доброволна основа. Тя СЛЕДВА да включва:

Това поле е ЗАДЪЛЖИТЕЛНО и СЛЕДВА да съдържа идентификатора на документа, описващ подхода за определяне на състоянието. СЛЕДВА да се използва следният специфичен идентификатор (URI), както е постановено и описано по-долу:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Описание : Състоянието на изброените услуги се определя от (или от името на) оператор на схемата по подходяща система за съответната държава-членка, която позволява „надзора“ (и когато е уместно, „доброволната акредитация“) на доставчици на удостоверителни услуги, установени на нейна територия (или на територията на трета държава в случай на „доброволна акредитация“) и издаващи квалифицирани удостоверения на потребителите в съответствие с член 3, параграф 3 (съответно член 3, параграф 2 или член 7, параграф 1, буква а) от Директива 1999/93/ЕО, и позволява, когато е уместно, „надзора“/„доброволната акредитация“ на доставчици на удостоверителни услуги, които не издават квалифицирани удостоверения, в съответствие с определени и изградени на национално ниво „признати схеми за одобрение“, прилагани на национална основа за надзор на съвместимостта на услугите на ДУУ, които не издават КУ, с разпоредбите на Директива 1999/93/ЕО и евентуално разширени от национални разпоредби по отношение на предлагането на такива услуги.

Това поле е ЗАДЪЛЖИТЕЛНО и СЛЕДВА да съдържа най-малко следните URI:

— Общ за доверителните списъци на всички държави-членки идентификатор, насочващ към описание, което СЛЕДВА да се прилага за всички ДС:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— чрез което се декларира участието на схемата на държава-членка (с помощта на „TSL type“ (клауза 5.3.3) и „Scheme name“ (клауза 5.3.6) в схема от схеми (т.е. ССДУ, съдържащ препратки към всички държави-членки, издаващи и поддържащи ДС под формата на ССДУ);

— където потребителите могат да направят справка за политиката/правилата, според които СЛЕДВА да се оценяват включените в списъка услуги и от които може да бъде установен типът на ССДУ (виж клауза 5.3.3);

— където потребителите могат да намерят описание как да използват и интерпретират съдържанието на ССДУ реализацията на доверителния списък. Тези правила за употреба СЛЕДВА да бъдат общи за доверителните списъци на всички държави-членки независимо от типа на изброените услуги или на системите за надзор/акредитация.

— Описателен текст:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a „voluntary accreditation“ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme“ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification“ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification“ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/EC are as follows:

A „CA/QC“„Service type identifier“ („Sti“) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC“ through the use of „Service information extension“ („Sie“) additionalServiceInformation extension)

— indicates that from the „Service digital identifier“ („Sdi“) identified CA (similarly within the CA hierarchy starting from the „Sdi“ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie“„Qualification“ information is present or if an end-entity certificate that is claimed to be a QC is not „further identified“ through a related „Sie“ entry, then the „machine-processable“ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF„Sie“„Qualification“ information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this „Sie“„Qualification“ entry, which is constructed on the principle of a sequence of „filters“ further identifying a set of certificates, must be considered according to the associated „qualifiers“ providing some additional information regarding „SSCD support“ and/or „Legal person as subject“ (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific „Key usage“ pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of „qualifiers“ used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — „QCWithSSCD“ qualifier value meaning „QC supported by an SSCD“, or — „QCNoSSCD“ qualifier value meaning „QC not supported by an SSCD“, or — „QCSSCDStatusAsInCert“ qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the „Sdi“-„Sie“ provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — „QCForLegalPerson“ qualifier value meaning „Certificate issued to a Legal Person“

The general interpretation rule for any other „Sti“ type entry is that the listed service named according to the „Sn“ field value and uniquely identified by the „Sdi“ field value has a current supervision/accreditation status according to the „Scs“ field value as from the date indicated in the „Current status starting date and time“. Specific interpretation rules for any additional information with regard to a listed service (e.g. „Service information extensions“ field) may be found, when applicable, in the Member State specific URI as part of the present „Scheme type/community/rules“ field.

Please refer to the Technical specifications for a Common Template for the „Trusted List of supervised/accredited Certification Service Providers“ in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.“