2009D0767 — BG — 01.02.2014 — 003.001

Този документ е средство за документиране и не обвързва институциите

Изменен с

поправен от

▼B

▼C1

РЕШЕНИЕ НА КОМИСИЯТА

от 16 октомври 2009 година

за определяне на мерки, улесняващи прилагането на процедури с помощта на електронни средства чрез „единични звена за контакт“ в съответствие с Директива 2006/123/ЕО на Европейския парламент и на Съвета относно услугите на вътрешния пазар

(нотифицирано под номер C(2009) 7806)

(текст от значение за ЕИП)

(2009/767/ЕО)

Член 1

Използване и приемане на електронни подписи

1. Когато е оправдано, въз основа на подходящ анализ на съответните рискове и в съответствие с член 5, параграфи 1 и 3 от Директива 2006/123/ЕО, държавите-членки могат да изискат от доставчика на услуги да използва при осъществяването на определени процедури и формалности чрез единичните звена за контакт съгласно член 8 от Директива 2006/123/ЕО усъвършенствани електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи, както е определено и регулирано с Директива 1999/93/ЕО.

2. Държавите-членки следва да приемат всеки усъвършенстван електронен подпис на базата на квалифицирано удостоверение със или без използването на механизъм (устройство) за създаване на защитени електронни подписи за осъществяването на процедурите и формалностите, посочени в параграф 1, като това не засяга правото на държавите-членки да ограничат приеманите усъвършенствани електронни подписи до такива на базата на квалифицирано удостоверение с използването на механизъм (устройство) за създаване на защитени електронни подписи, когато това е в съответствие с оценката на риска, посочена в параграф 1.

3. Държавите-членки не поставят при приемането на усъвършенствани електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи условия, създаващи пречки за ползването от доставчиците на услуги на процедури с електронни средства чрез единичните звена за контакт.

4. Параграф 2 не възпира държавите-членки да приемат електронни подписи, различни от усъвършенстваните електронни подписи на базата на квалифицирани удостоверения със или без използването на механизъм (устройство) за създаване на защитени електронни подписи.

Член 2

Създаване, поддържане и публикуване на доверителни списъци

▼M3

1. Всяка държава членка създава, поддържа и публикува в съответствие с определените в приложението технически спецификации доверителен списък, съдържащ минималната изисквана информация по отношение на намиращите се под неин надзор и притежаващи нейна акредитация доставчици на удостоверителни услуги, издаващи квалифицирани удостоверения за потребители.

2. Държавите членки създават и публикуват доверителен списък в машинно обработваема форма в съответствие с определените в приложението технически спецификации. Ако държава членка реши да публикува своя доверителен списък в четима от човек форма, тази форма на доверителния списък съответства на спецификациите в приложението.

2а. Държавите членки подписват по електронен път машинно обработваемата форма на своя доверителен списък, за да гарантират нейната автентичност и цялост. Ако държава членка публикува своя доверителен списък в четима от човек форма, тя гарантира, че тази форма на доверителния списък съдържа същите данни, каквито съдържа машинно обработваемата форма, и я подписва по електронен път със същото удостоверение, което се използва при машинно обработваемата форма.

▼M3

2б. Държавите членки гарантират, че машинно обработваемата форма на техните доверителни списъци е достъпна в мястото си на публикуване по всяко време без прекъсване, освен за целите на поддръжката.

▼M3

3. Държавите членки съобщават на Комисията следната информация:

▼M3

3а. Ако държава членка публикува доверителния списък в четима от човек форма, информацията по параграф 3 се съобщава и по отношение на четимата от човек форма.

▼M1

4. Комисията предоставя на всички държави-членки чрез сигурен канал към уебсървър с удостоверена автентичност съобщената от държавите-членки информация, посочена в параграф 3, както в четима от човек форма, така и в подписана машинно четима форма.

▼C1

Член 3

Прилагане

Настоящото решение се прилага от 28 декември 2009 г.

Член 4

Адресати

Адресати на настоящото решение са държавите-членки.

▼M3

ПРИЛОЖЕНИЕ

ТЕХНИЧЕСКИ СПЕЦИФИКАЦИИ ЗА ОБЩ ОБРАЗЕЦ НА ДОВЕРИТЕЛЕН СПИСЪК НА ПОДНАДЗОРНИ/АКРЕДИТИРАНИ ДОСТАВЧИЦИ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ

ОБЩИ ИЗИСКВАНИЯ

1. Въведение

С общия образец на доверителен списък на поднадзорни/акредитирани доставчици на удостоверителни услуги се цели създаването на общ формат, в който държавите членки да предоставят информация за състоянието на надзора/акредитацията на удостоверителните услуги, предлагани от доставчици на удостоверителни услуги ( 3 ) (ДУУ), намиращи се под техен надзор/акредитация по отношение на съответствието с разпоредбите на Директива 1999/93/ЕО. Това включва предоставянето на информация за състоянието на надзора/акредитацията на поднадзорните/акредитираните удостоверителни услуги през минали периоди.

Тази информация е предназначена преди всичко да подпомогне валидирането на квалифицирани електронни подписи (КЕП) и усъвършенствани електронни подписи (УЕП) ( 4 ), поддържани от квалифицирано удостоверение (КУ) ( 5 ) ( 6 ).

Задължителната информация в доверителния списък трябва да включва минималната необходима информация за поднадзорните/акредитираните ДУУ, издаващи квалифицирани удостоверения (КУ) ( 7 ) в съответствие с разпоредбите на Директива 1999/93/ЕО (член 3, параграф 2, член 3, параграф 3 и член 7, параграф 1, буква а), в това число — когато това не е част от КУ — информация за КУ, поддържащи електронен подпис, както и дали подписът е или не е създаден с помощта на устройство за създаване на защитени електронни подписи (Secure Signature Creation Device — SSCD) ( 8 ).

Допълнителна информация за други ДУУ, които не издават КУ, но предлагат услуги, свързани с електронни подписи (напр. ДУУ, предлагащи услуги за времеви печати (Time Stamping Services) и издаващи времеви маркери (Time Stamp Tokens); ДУУ, издаващи неквалифицирани удостоверения и т.н.), може да бъде включена на доброволна основа в доверителния списък на национално ниво, при условие че те са акредитирани/поднадзорни подобно на ДУУ, издаващи КУ, или са одобрени съгласно различна национална схема за одобрение. Възможно е в някои държави членки националните схеми за одобрение да се различават по отношение на приложимите изисквания и/или отговарящата организация от схемите за надзор или доброволна акредитация, които се прилагат за ДУУ, издаващи КУ. В настоящите спецификации понятията „акредитирани“ и/или „поднадзорни“ обхващат също така националните схеми за одобрение, като държавите членки ще предоставят в доверителните си списъци допълнителна информация относно характера на националните схеми, в това число пояснение за евентуалните разлики спрямо схемите за надзор/акредитация, които се прилагат за ДУУ, издаващи КУ.

Общият образец се основава върху техническата спецификация TS 119 612 v1.1.1 ( 9 ) на ETSI (наричана по-долу „ETSI TS 119 612“), в която се разглеждат създаването, публикуването, мястото на публикуване, достъпът, удостоверяването и интегритетът на такива списъци.

2. Структура на общия образец за доверителен списък

Общият образец за доверителен списък на държава членка е структуриран съгласно ETSI TS 119 612 по следните категории информация:

В контекста на ДУУ, издаващи КУ, структурата на доверителния списък, и по-специално елементът с информация за услугата (съгласно точка 4 по-горе), дава възможност допълнителната информация в разширената информация за услугата да компенсира ситуациите, при които в квалифицираното удостоверение липсва достатъчно (машинно обработваема) информация относно неговото квалифицирано състояние, евентуалната му поддръжка от SSCD, и особено да реши проблема, произтичащ от факта, че повечето (търговски) ДУУ използват един единствен издаващ удостоверяващ орган (УО) за издаването на няколко типа потребителски удостоверения — както квалифицирани, така и неквалифицирани.

В контекста на услугите на УО за генериране на удостоверение броят на вписванията в списъка на услуги за ДУУ може да бъде намален, ако съществуват една или повече услуги на УО на по-високо ниво в рамките на PKI на ДУУ (напр. в контекста на йерархичната верига на УО, свързваща един базов УО с издаващи УО), като в списъка се впишат услугите на УО от по-високо ниво, а не услугите на УО, издаващи потребителски удостоверения (напр. като се впишат само услугите на базовия УО за ДУУ). Въпреки това в тези случаи информацията за състоянието се прилага за цялата йерархия на услугите на УО, спадащи под вписаната в списъка услуга, като трябва да бъде спазен и гарантиран принципът за осигуряване на еднозначна връзка между удостоверителната услуга на ДУУКУ и набора от удостоверения, които трябва да се идентифицират като КУ.

2.1. Описание на информацията във всяка категория

1. Таг за доверителен списък

2. Информация за доверителния списък и неговата схема на издаване

В тази категория се включва следната информация:

3. Еднозначна информация за идентифициране на всеки ДУУ, който е поднадзорен/акредитиран съгласно схемата

Този пакет от информации включва най-малко следното:

4. За всеки включен в списъка ДУУ — поредица от полета, съдържащи информация за еднозначно идентифициране на удостоверителна услуга, предлагана от ДУУ и попадаща под надзор/акредитация по смисъла на Директива 1999/93/ЕО

Този пакет от информации включва най-малко следното за всяка удостоверителна услуга, предлагана от включен в списъка ДУУ:

5. За всяка включена в списъка услуга — история на състоянието

6. Компютърно генериран подпис за целите на удостоверяването за всички полета на ДС, с изключение на самата стойност на подписа

3. Насоки за редактиране на данни в доверителния списък

3.1. Единен списък с информация за състоянието на поднадзорните/акредитираните удостоверителни услуги и техните доставчици

Доверителният списък на дадена държава членка означава „Списък на състоянието на надзор/акредитация на удостоверителните услуги, предлагани от доставчици на удостоверителни услуги под надзор на/акредитирани от посочената държава членка по отношение на съответствието им с разпоредбите на Директива 1999/93/ЕО“.

Този доверителен списък е единен инструмент, който съответната държава членка използва, за да предоставя информация за състоянието на надзор/акредитация на удостоверителни услуги и техните доставчици:

Съгласно определенията и разпоредбите на Директива 1999/93/ЕО, по-конкретно по отношение на съответните ДУУ и техните системи за надзор/доброволна акредитация, могат да бъдат разграничени два вида ДУУ, а именно ДУУ, които издават КУ на потребители (ДУУКУ), и ДУУ, които не издават КУ на потребители, но предлагат „други (спомагателни) услуги, свързани с електронните подписи“:

Всяка държава членка трябва да създаде и да поддържа един-единствен доверителен списък, указващ състоянията на надзор/акредитация на удостоверителните услуги на ДУУ под неин надзор/акредитация. Доверителният списък включва като минимум доставчиците на удостоверителни услуги, които издават квалифицирани удостоверения. Доверителният списък може да указва също и състоянието на други удостоверителни услуги под надзор/акредитация в рамките на определена схема за одобрение на национално равнище.

3.2. Единен набор от стойности за състоянието на надзор/акредитация

В доверителния списък фактът, че услугата към момента е „под надзор“ или „акредитирана“, се определя от стойността на нейното актуално състояние. Освен това състоянието на надзор или акредитация може да бъде положително („under supervision“ — „под надзор“; „accredited“ — „акредитирана“; „supervision in cessation“ — „надзор в процес на преустановяване“), преустановено („supervision ceased“ — „преустановен надзор“; „accreditation ceased“ — преустановена акредитация“) или отменено („supervision revoked“ — „отменен надзор“; „accreditation revoked“ — „отменена акредитация“), като се обозначава със съответната стойност. В рамките на своето съществуване една удостоверителна услуга може да преминава от режим на надзор в режим на акредитация и обратно ( 10 ).

Графика 1 показва очакваните промени на възможните състояния на надзор/акредитация на дадена удостоверителна услуга:

Графика 1

Очаквани промени в състоянието на надзор/акредитация на услуга, предлагана от ДУУ

Когато е установена в държава членка, удостоверителната услуга, издаваща КУ, трябва да бъде под надзор (от страна на държавата членка, в която е установена) и може да бъде доброволно акредитирана. Стойността за състоянието на такава услуга, когато е включена в доверителния списък, трябва да бъде обозначена с една от горепосочените „стойности за актуалното състояние“ в съответствие с актуалното ѝ състояние и, ако е приложимо, да се променя съгласно горепосочените промени в състоянието. „Accreditation ceased“ („преустановена акредитация“) и „аccreditation revoked“ („отменена акредитация“) обаче трябва да бъдат стойности за „преходно състояние“, когато съответната услуга на ДУУКУ е включена в доверителния списък на държава членка, в която е установена, тъй като такива услуги трябва да са поднадзорни по подразбиране (дори когато не са акредитирани или вече не са акредитирани); когато съответната услуга е включена в списък (акредитирана) в държава членка, различна от държавата, в която е установена, тези стойности могат да бъдат окончателни.

Държавите членки, които създават или са създали определени в национален мащаб „признати схеми за одобрение“, използвани на национална основа за надзор по отношение на съответствието на услугите на ДУУ, които не издават КУ, с разпоредбите на Директива 1999/93/ЕО и с евентуални национални разпоредби относно предлагането на удостоверителни услуги (по смисъла на член 2, параграф 11 от Директива 1999/93/ЕО), трябва да категоризират такива схеми за одобрение в една от следните две категории:

По същия начин удостоверителна услуга, която не издава КУ, може да бъде поднадзорна или доброволно акредитирана. Стойността за състоянието на такава услуга, когато е включена в доверителния списък, трябва да бъде обозначена с една от горепосочените стойности за състоянието като „стойност за актуалното състояние“ (вж. графика 1) в съответствие с актуалното ѝ състояние и, ако е приложимо, да се променя съгласно горепосочените преходи в състоянието.

Доверителният списък трябва да съдържа информация за базовите схеми за надзор/акредитация, по-конкретно:

Последните два пакета от информация са от ключово значение, за да могат доверяващите се страни да оценят качеството и нивото на сигурност на такива системи за надзор/акредитация, прилагани на национално ниво към ДУУ, които не издават КУ. Когато в доверителния списък се предоставя информация за състоянието на надзор/акредитация по отношение на услугите на ДУУ, които не издават КУ, гореспоменатите пакети от информация се предоставят на ниво доверителен списък, като се използват „URI за информация за схемата (Scheme information URI)“ (клауза 5.3.7 — информация, предоставяна от държавите членки), „Тип/общност/правила на схемата (Scheme type/community/rules)“ (клауза 5.3.9, като се използват общи за всички държави членки формулировки и незадължителна, предоставяна от държавата членка, специфична информация) и „Политика/правен коментар на ССДУ (TSL policy/legal notice)“ (клауза 5.3.11 — обща за всички държави членки формулировка, позоваваща се на Директива 1999/93/ЕО, и възможност за всяка държава членка да добави специфични национални формулировки или позовавания).

Допълнителна информация за „квалификацията“ на нивото на националните системи за надзор/акредитация на ДУУ, които не издават КУ, може да се предоставя на нивото на услугата, ако е уместно и необходимо (напр. за да се различават отделните нива на качество/сигурност), като се използва разширението „additionalServiceInformation“ („допълнителна информация за услугата“ (клауза 5.5.9.4) като част от „Service information extension“ („разширена информация за услугата) (клауза 5.5.9). Допълнителна информация за съответните технически спецификации се предоставя в подробните спецификации в глава I.

Въпреки възможността надзорът и акредитацията на удостоверителни услуги в дадена държава членка да се осъществяват от различни органи, очаква се за дадена удостоверителна услуга да се използва само едно вписване и нейното състояние на надзор/акредитация да се актуализира съответно.

3.3. Вписвания в доверителния списък с цел улесняване на валидирането на КЕП и УЕПКУ

Най-критичната част от създаването на доверителния списък е установяването на задължителната му част, а именно на „Списъка на услугите“ на всеки ДУУ, издаващ КУ, с цел да се отрази коректно състоянието на всяка такава услуга за издаване на КУ и да се гарантира, че предоставената във всяко вписване информация е достатъчна за валидирането на КЕП и УЕПКУ (когато се комбинира със съдържанието на потребителското КУ, издадено от ДУУ в рамките на удостоверителната услуга, посочена в даденото вписване).

Изискваната информация може да включва и информация, различна от тази в „Service digital identity“ („цифрова идентификация на услугата“) на даден (базов) УО, по-специално информация относно състоянието на КУ на удостоверенията, издадени чрез услугата за УО, и информация за това дали поддържаните подписи са или не са създадени чрез SSCD. Органът на държавата членка, натоварен със създаването, актуализирането и поддръжката на доверителния списък, трябва следователно да вземе предвид актуалния профил и съдържанието на удостоверението за всяко КУ, издадено от ДУУКУ, който е включен в доверителния списък.

В идеалния случай всяко издадено КУ следва да съдържа определената от ETSI декларация QcCompliance ( 11 ), когато е обявено като КУ, и да съдържа определената от ETSI декларация QcSSCD, когато се твърди, че то се поддържа от SSCD при генерирането на електронни подписи и/или всяко издадено КУ включва един от обектните идентификатори (OID) на политиката за сертифициране QCP/QCP+, определени в ETSI EN 319 411-2 ( 12 ). Използването на различни стандарти от страна на ДУУ, издаващи КУ, голямата свобода на интерпретация, която тези стандарти позволяват, както и липсата на осведоменост относно наличието и приоритета на някои технически спецификации или стандарти са довели до разлики в действителното съдържание на издаваните понастоящем КУ (напр. относно използването или не на определените от ETSI декларации) и съответно не позволяват на получателя просто да разчита на удостоверението на подписващата страна (и свързаната с него верига от удостоверения) при извършването на оценка (най-малкото на машинна такава) дали удостоверението, поддържащо електронен подпис, е обявено за КУ и дали то е или не е свързано със SSCD, чрез което е бил създаден електронният подпис.

При вписване на услуга в доверителния списък попълването на полетата „Service type identifier“ („Sti“ — „Идентификатор на типа на услугата“), „Service name“ („Sn“ — „Име на услугата“) и „Service digital identity“ („Sdi“ — „Цифрова идентификация на услугата“) с информация, предоставена в полето „Service information extensions“ („Sie“ — „Разширена информация за услугата“), дава възможност да се определи напълно специфичният тип квалифицирано удостоверение, издадено от удостоверяваща услуга на включен в списъка ДУУ, издаващ КУ, и да се предостави информация дали то се поддържа от SSCD или не (когато такава информация липсва в издаденото КУ). С това вписване е свързана специфична информация в полето „Service current status“ („Scs“ — „Актуално състояние на услугата“). Това е показано на графика 2 по-долу.

Включването в списъка на услуга, за която се предоставя само „Sdi“ на (базовия) УО ще означава, че е гарантирано (от ДУУ, издаващ КУ, но и от надзорния/акредитиращия орган, отговарящ за надзора/акредитацията на този ДУУ), че всяко потребителско удостоверение, издадено в рамките на йерархията на този (базов) УО, съдържа достатъчно определена от ETSI и обработваема машинно информация, за да може да бъде преценено дали то е или не е КУ и дали се поддържа от SSCD. Когато например последното твърдение не е вярно (т.е. в КУ липсва стандартизирана от ETSI и машинно обработваема информация дали то се поддържа от SSCD), то въз основа само на „Sdi“ на (базовия) УО ще може единствено да се предположи, че КУ, издадени от тази йерархична верига на (базов) УО, не се поддържат от SSCD. За да се обозначи, че такива КУ трябва да се считат за поддържани от SSCD, следва да се използва полето „Sie“ (това означава също, че коректността на информацията се гарантира от ДУУ, издаващ КУ и намиращ се под надзора/акредитацията съответно на надзорен или акредитиращ орган).

Графика 2

Вписване на услуга за услуга на ДУУ, който издава КУ и е включен в доверителния списък

Основни принципи – правила за редактиране – вписвания за ДУУКУ (включени в списъка услуги)

Настоящите технически спецификации на общ образец за доверителен списък позволяват във вписването за услугата да се използва комбинация от пет основни елемента на информацията:

3.4. Насоки за редактиране и използване на вписвания на услуги, предлагани от ДУУКУ

Основните насоки за редактиране са:

Основен принцип по подразбиране е, че при вписаните в доверителния списък ДУУ трябва да има едно вписване за услуга за всеки публичен ключ за удостоверителна услуга от типа УО/КУ, т.е. удостоверяващ орган, издаващ (пряко) КУ. При някои изключителни обстоятелства и грижливо контролирани условия надзорният/акредитиращият орган на държавата членка може да реши да използва като „Sdi“ за едно вписване в списъка с услуги от включен в списъка ДУУ публичния ключ на базов УО или УО от по-високо ниво в рамките на PKI на ДУУ (напр. в контекста на йерархична верига на УО на ДУУ, свързваща един базов УО с няколко издаващи УО), вместо да вписва всички подчинени услуги на издаващи УО (т.е. включване на удостоверяващ орган, който не издава пряко потребителски КУ, но сертифицира йерархични вериги от УО до нивото на УО, издаващи потребителски КУ). Последствията (предимства и недостатъци) от използването на публичния ключ на такъв базов УО или УО от по-високо ниво като стойност в „Sdi“ при вписване на услуги в доверителен списък трябва да бъдат добре премислени, когато се прилагат от държавите членки. Освен това, когато се прилага това разрешено изключение от основния принцип, държавите членки трябва да осигурят необходимата документация, даваща възможност за конструиране и проверка на удостоверителната верига. Например в контекста на ДУУКУ, използващи един базов УО, в чиято йерархична верига различни УО издават квалифицирани и неквалифицирани удостоверения, но чиито КУ съдържат само декларацията QcCompliance без информация относно поддръжката от SSCD, вписването на „Sdi“ само на базовия УО ще означава (съгласно правилата, обяснени по-горе), че никое КУ, издадено от йерархичната верига на този базов УО, не се поддържа от SSCD. Ако са налице КУ, които в действителност се поддържат от SSCD, но удостоверенията не съдържат машинно обработваема декларация, указваща такава поддръжка, настоятелно се препоръчва в издаваните в бъдеще квалифицирани удостоверения да се използва декларацията QcSSCD. Междувременно (до изтичане на срока на валидност на последното УО, което не съдържа тази информация) в доверителния списък следва да се използва полето „Sie“ и свързаното разширение „Qualifications Extension“, напр. филтриране на информация за идентифициране на набор(и) от удостоверения чрез специфични определени от ДУУКУ OID, които евентуално се използват от ДУУКУ за разграничаване на различните видове КУ (поддържани от SSCD или не), и съдържащи изрична „информация за поддръжката от SSCD“ с оглед на набора (наборите) от удостоверения, идентифицирани (филтрирани) въз основа на „квалификатори“.

Основните насоки за използване на приложения за електронни подписи, услуги или продукти, ползващи доверителния списък в съответствие с настоящите технически спецификации, са следните:

Стойност „CA/QC“ („УО/КУ“) в полето „Sti“ (по подобен начин това важи за стойност „CA/QC“ („УО/КУ“), квалифицирана допълнително като базова (RootCA/QC) чрез полето „Sie“ (additionalServiceInformation Еxtension)

3.5. Услуги, които поддържат услуги от типа „УО/КУ“, но в „Sdi“ не са обозначени като „УО/КУ“

Услугите по проверка на валидността на удостоверенията, които са свързани с КУ и за които информацията за проверката на валидността на удостоверенията (напр. CRL списъци и OCSP отговори) се подписва от субект, чийто частен ключ не е сертифициран съгласно удостоверителна верига, водеща до включен в списъка УО, издаващ КУ („CA/QC“ — „УО/КУ), се включват в доверителния списък, като тези услуги по проверка на валидността на удостоверенията се вписват като такива в ДС (т.е. чрез тип на услугата съответно „OCSP/QC“ или „CRL/QC“), тъй като тези услуги могат да се считат за част от поднадзорните/акредитираните „квалифицирани“ услуги, свързани с предлагането на удостоверителни услуги с КУ. Разбира се, издаващите OCSP отговори или CR списъци, чиито удостоверения са подписани от УО в йерархичната верига на вписана в списъка услуга от тип УО/КУ, следва да се приемат за „валидни“ и съответстващи на стойността на състоянието на вписана в списъка услуга от тип УО/КУ.

Подобна разпоредба може да се приложи към удостоверителните услуги, издаващи неквалифицирани удостоверения (услуги от тип „CA/PKC“).

Доверителният списък включва услуги по проверка на валидността на удостоверенията, когато съответната информация за местоположението на такива услуги липсва в потребителските удостоверения, за които се прилагат услугите по проверка на валидността на удостоверенията.

4. Определения и съкращения

За целите на настоящия документ се прилагат следните определения и съкращения:

В следващите глави от документа ключовите думи „ТРЯБВА“, „НЕ ТРЯБВА/ТРЯБВА ДА НЕ“, „ЗАДЪЛЖИТЕЛЕН“, „СЛЕДВА“, „НЕ СЛЕДВА“, „БИ ТРЯБВАЛО“, „НЕ БИ ТРЯБВАЛО“, „ПРЕПОРЪЧИТЕЛЕН“, „МОЖЕ“ и „НЕЗАДЪЛЖИТЕЛЕН“ следва да се интерпретират в съответствие с термините на английски, описани в RFC 2119 ( 13 ).

ГЛАВА I

ПОДРОБНИ СПЕЦИФИКАЦИИ ЗА ОБЩИЯ ОБРАЗЕЦ ЗА ДОВЕРИТЕЛЕН СПИСЪК НА ПОДНАДЗОРНИТЕ/АКРЕДИТИРАНИТЕ ДОСТАВЧИЦИ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ

Настоящите спецификации се основават на спецификациите и изискванията, определени в ETSI TS 119 612 v1.1.1 (наричани по-долу „ETSI TS 119 612“).

Когато в настоящите спецификации липсва конкретно изискване, ТРЯБВА изцяло да се прилагат изискванията на клаузи 5 и 6 от ETSI TS 119 612. Когато в настоящите спецификации съществуват конкретни изисквания, те ТРЯБВА да заместят съответните изисквания на ETSI TS 119 612. В случай на противоречия между настоящите спецификации и спецификациите от ETSI TS 119 612, ТРЯБВА да са меродавни настоящите спецификации.

Scheme operator name (име на оператора на схемата) (клауза 5.3.4)

Това поле Е ЗАДЪЛЖИТЕЛНО и ТРЯБВА да съответства на спецификациите в клауза 5.3.4 от TS 119 612.

Дадена държава МОЖЕ да има различни надзорни и акредитиращи органи, и дори допълнителни органи за сродни оперативни дейности. Всяка държава членка определя оператора на схемата на своя доверителен списък. Очаква се надзорният орган, акредитиращият орган и операторът на схемата (когато са отделни органи) да имат свои собствени отговорности и задължения.

Всяка ситуация, в която различни органи отговарят за надзор, акредитиране или оперативни аспекти, ТРЯБВА да се отразява и обозначава надлежно като такава в информацията за схемата като част от доверителния списък, в това число специфичната информация за схемата, указана в „Scheme information URI“ (клауза 5.3.7).

Scheme name (име на схемата) (клауза 5.3.6)

Това поле Е ЗАДЪЛЖИТЕЛНО и ТРЯБВА да съответства на спецификациите в клауза 5.3.6 от TS 119 612, като за схемата ТРЯБВА да се използва следното име:

„EN_name_value“ = „списък на състоянието на надзор/акредитация на удостоверителните услуги, предлагани от доставчици на удостоверителни услуги, които са под надзор/акредитация на оператора на схемата на съответната държава членка по отношение на съответствието им с разпоредбите на Директива 1999/93/ЕО на Европейския парламент и на Съвета от 13 декември 1999 г. относно правната рамка на Общността за електронните подписи“.

Scheme information URI (URI за информация за схемата) (клауза 5.3.7)

Това поле Е ЗАДЪЛЖИТЕЛНО и ТРЯБВА да съответства на спецификациите в клауза 5.3.7 от TS 119 612, като за „подходящата информация за схемата“ ТРЯБВА да включва като минимум:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.“

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/ЕС, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/ЕС, in particular those laid down in Article 3(3), Article 8(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/ЕС (Article 3(2) and (3) and Article 7(1)(a)), including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/ЕС;

„The present list is the „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/ЕС of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Допълнителна специфична за държавата членка информация за схемата МОЖЕ да се предоставя на доброволна основа и да включва:

Scheme type/community/rules (Тип/общност/правила на схемата) (клауза 5.3.9)

Това поле Е ЗАДЪЛЖИТЕЛНО, то ТРЯБВА да съответства на спецификациите в клауза 5.3.9 от TS 119 612 и ТРЯБВА да включва най-малко два URI:

— Общ за доверителните списъци на всички държави членки URI, насочващ към описателен текст, който ТРЯБВА да се прилага за всички доверителни списъци:

— URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

— Описателен текст:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/ЕС of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/ЕС (Article 3(2) and (3) and Article 7(1)(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/ЕС, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/ЕС, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a „voluntary accreditation“ system (as defined in and in compliance with Directive 1999/93/ЕС) and/or under a nationally defined „recognised approval scheme“ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/ЕС and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/ЕС). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification“ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification“ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A „CA/QC“„Service type identifier“ („Sti“) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC“ through the use of „Service information extension“ („Sie“) additionalServiceInformation Extension)

— indicates that from the „Service digital identifier“ („Sdi“) identified CA (similarly within the CA hierarchy starting from the „Sdi“ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412-5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411-2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie“„Qualifications Extension“ information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related „Sie“„Qualifications Extension“ information, then the „machine-processable“ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.