2009D0767 — CS — 01.02.2014 — 003.001

Tento dokument je třeba brát jako dokumentační nástroj a instituce nenesou jakoukoli odpovědnost za jeho obsah

Ve znění:

Opraveno:

▼B

▼C1

ROZHODNUTÍ KOMISE

ze dne 16. října 2009,

kterým se stanovují opatření pro usnadnění užití postupů s využitím elektronických prostředků prostřednictvím „jednotných kontaktních míst“ podle směrnice Evropského parlamentu a Rady 2006/123/ES o službách na vnitřním trhu

(oznámeno pod číslem K(2009) 7806)

(Text s významem pro EHP)

(2009/767/ES)

Článek 1

Použití a přijímání elektronických podpisů

1. Je-li to opodstatněné na základě příslušného posouzení zahrnutých rizik a v souladu s čl. 5 odst. 1 a 3 směrnice 2006/123/ES, mohou členské státy pro splnění některých postupů a formalit prostřednictvím jednotných kontaktních míst podle článku 8 směrnice 2006/123/ES požadovat, aby poskytovatel služby používal zaručené elektronické podpisy založené na kvalifikovaném osvědčení, ať již s prostředkem pro bezpečné vytváření podpisu nebo bez něj, jak stanoví a upravuje směrnice 1999/93/ES.

2. Členské státy přijmou pro splnění postupů a formalit uvedených v odstavci 1 jakýkoli zaručený elektronický podpis založený na kvalifikovaném osvědčení, ať již s prostředkem pro bezpečné vytváření podpisu nebo bez něj, aniž je tím dotčena možnost, aby členské státy omezily toto přijímání na zaručený elektronický podpis založený na kvalifikovaném osvědčení a vytvořený prostředkem pro bezpečné vytváření podpisu, pokud je toto v souladu s posouzením rizik uvedeným v odstavci 1.

3. Členské státy nepodmíní přijetí zaručeného elektronického podpisu založeného na kvalifikovaném osvědčení, ať již s prostředkem pro bezpečné vytváření podpisu nebo bez něj, splněním požadavků, které by pro poskytovatele služby představovaly překážky užití postupů s využitím elektronických prostředků prostřednictvím jednotných kontaktních míst.

4. Odstavec 2 nebrání členským státům v přijímání jiných elektronických podpisů, než jsou zaručené elektronické podpisy založené na kvalifikovaném osvědčení, ať již s prostředkem pro bezpečné vytváření podpisu nebo bez něj.

Článek 2

Zřízení, údržba a zveřejnění důvěryhodných seznamů

▼M3

1. Každý členský stát v souladu s technickými specifikacemi stanovenými v příloze zřizuje, udržuje a zveřejňuje „důvěryhodný seznam“, jenž obsahuje přinejmenším informace související s ověřovateli, kteří vydávají kvalifikovaná osvědčení pro veřejnost a nad nimiž vykonává dohled nebo jež akreditoval.

2. Členské státy zřídí a zveřejní důvěryhodný seznam ve strojově zpracovatelné podobě, a to v souladu se specifikacemi stanovenými v příloze. Pokud se členský stát rozhodne zveřejnit důvěryhodný seznam v podobě čitelné okem, musí být uvedená podoba důvěryhodného seznamu v souladu se specifikacemi stanovenými v příloze.

2a. členské státy elektronicky strojově zpracovatelnou podobu svého důvěryhodného seznamu podepíší tak, aby byla zajištěna jeho pravost a neporušenost. Pokud členský stát vydává podobu důvěryhodného seznamu čitelnou okem, zajistí, aby tato podoba důvěryhodného seznamu obsahovala stejné údaje jako strojově zpracovatelná podoba, a podepíše ji elektronicky se stejným osvědčením, jaké se používá pro strojově čitelnou podobu.

▼M3

2b. Členské státy zajistí, aby strojově zpracovatelná podoba jejich důvěryhodného seznamu byla na svém místě zveřejnění dostupná kdykoli a bez přerušení, s výjimkou účelů údržby.

▼M3

3. Členské státy oznámí Komisi tyto informace:

▼M3

3a. Pokud členský stát vydává podobu důvěryhodného seznamu čitelnou okem, informace uvedené v odstavci 3 musí být oznámeny také pro podobu čitelnou okem.

▼M1

4. Komise zpřístupní všem členským státům prostřednictvím bezpečného kanálu na ověřený webový server informace uvedené v odstavci 3, jak byly oznámeny členskými státy, v okem čitelné i podepsané strojově zpracovatelné podobě.

▼C1

Článek 3

Použití

Toto rozhodnutí se použije od 28. prosince 2009.

Článek 4

Určení

Toto rozhodnutí se použije od 28. prosince 2009.

▼M3

PŘÍLOHA

TECHNICKÉ SPECIFIKACE PRO SPOLEČNOU ŠABLONU DŮVĚRYHODNÉHO SEZNAMU OVĚŘOVATELŮ, NAD NIMIŽ JE VYKONÁVÁN DOHLED NEBO KTEŘÍ JSOU AKREDITOVÁNI

OBECNÉ POŽADAVKY

1. Úvod

Cílem společné šablony Důvěryhodného seznamu ověřovatelů, nad nimiž je vykonáván dohled nebo kteří jsou akreditováni pro členské státy je zavést jednotný způsob poskytování informací ze strany jednotlivých členských států ohledně stavu dohledu/akreditace osvědčovacích služeb poskytovaných ověřovateli (Certification Service Providers) ( 3 ) (dále jen „CSP“), nad nimiž vykonávají dohled nebo kteří jsou jimi akreditováni v souladu s příslušnými ustanoveními směrnice 1999/93/ES. Patří sem poskytování historických informací o stavu dohledu/akreditace osvědčovacích služeb.

Účelem těchto informací je především podpora validace kvalifikovaných elektronických podpisů (Qualified Electronic Signatures, dále jen „QES“) a zaručených elektronických podpisů (Advanced Electronic Signatures, dále jen „AdES“) ( 4 ) podporovaných kvalifikovaným osvědčením ( 5 ) ( 6 ).

Povinné informace v důvěryhodném seznamu musí obsahovat přinejmenším informace o ověřovatelích, nad nimiž je vykonáván dohled nebo kteří jsou akreditováni a kteří vydávají kvalifikovaná osvědčení (Qualified Certificates, dále jen „QC“) ( 7 ) v souladu s ustanoveními směrnice 1999/93/ES (čl. 3 odst. 2 a 3, čl. 7 odst. 1 písm. a)), včetně, pokud tyto nejsou součástí QC, informací o kvalifikovaných osvědčeních podporujících elektronický podpis a o tom, zda je podpis vytvořen prostředkem pro bezpečné vytváření podpisu (Secure Signature Creation Device, dále jen „SSCD“) ( 8 ), či nikoli.

Dodatečné informace o dalších ověřovatelích, kteří nevydávají kvalifikovaná osvědčení, ale poskytují služby související s elektronickými podpisy (např. ověřovatelé poskytující služby časových razítek a vydávající tokeny časových razítek, ověřovatelé vydávající nekvalifikovaná osvědčení atd.), mohou být do důvěryhodného seznamu zařazeny dobrovolně na vnitrostátní úrovni, pokud je nad nimi vykonáván dohled nebo pokud jsou akreditováni podobně jako ověřovatelé, kteří vydávají kvalifikovaná osvědčení nebo jsou schváleni podle odlišného vnitrostátního schvalovacího režimu. Vnitrostátní schvalovací systémy se mohou v některých členských státech odlišovat od systémů dohledu nebo dobrovolných akreditačních systémů použitelných pro ověřovatele vydávající QC, pokud jde o použitelné požadavky nebo odpovědnou organizaci. Pojmy „akreditovaní“ nebo „podléhající dohledu“ v těchto specifikacích se také týkají vnitrostátních schvalovacích systémů, ale další informace o povaze jakýchkoli vnitrostátních systémů poskytnou členské státy ve svém důvěryhodném seznamu, včetně objasnění možných rozdílů oproti systémům akreditace/dohledu použitelným na ověřovatele vydávající QC.

Společná šablona vychází z normy ETSI TS 119 612 v1.1.1 ( 9 ) (dále jen „ETSI TS 119 612“), jež se zabývá zřizováním, zveřejňováním, umísťováním, ověřováním a celistvostí těchto seznamů a přístupem k nim.

2. Uspořádání společné šablony důvěryhodného seznamu

Společná šablona důvěryhodného seznamu členského státu je uspořádána podle ETSI TS 119 612 do těchto kategorií informací:

Pokud jde o ověřovatele vydávajícího kvalifikovaná osvědčení, uspořádání důvěryhodného seznamu, a zejména součást s informacemi o službě (podle bodu 4 výše) umožňují, aby doplňkové informace v rozšířených informacích o službě kompenzovaly situace, kdy jsou v rámci kvalifikovaného osvědčení k dispozici nedostatečné (strojově zpracovatelné) informace o jeho „kvalifikovaném“ stavu, jeho případné podpoře prostředkem pro bezpečné vytváření podpisu, a zejména s cílem řešit také skutečnost, že většina (komerčních) ověřovatelů používá jedinou vydávající certifikační autoritu (Certification Authority, dále jen „CA“) pro vydávání několika typů osvědčení pro koncové subjekty, a to kvalifikovaných i nekvalifikovaných.

V kontextu služeb vytvoření osvědčení (CA) může být počet zápisů služby na seznamu u ověřovatele snížen, jestliže jedna nebo několik vyšších služeb CA existuje v rámci PKI ověřovatele (například v rámci hierarchie CA od kořenové CA k několika CA vydávajícím osvědčení), uvedením těchto vyšších služeb CA, a nikoli služeb CA vydávajících osvědčení pro koncové subjekty (např. zařazení pouze kořenové CA pro ověřovatele). Avšak v těchto případech se informace o stavu vztahují na celou hierarchii služeb CA pod službou uvedenou na seznamu a musí být zachována a dodržena zásada zajištění jednoznačného spojení mezi osvědčovací službou CSPQC a souborem osvědčení, která mají být určena jako kvalifikovaná osvědčení.

2.1 Popis informací v každé kategorii

1. Tag důvěryhodného seznamu

2. Informace o důvěryhodném seznamu a systému jeho vydávání

Součástí této kategorie jsou tyto informace:

3. Jednoznačné informace pro identifikaci o každém ověřovateli, nad nímž je vykonáván dohled nebo který je akreditován podle systému

Tento soubor informací zahrnuje přinejmenším:

4. U každého ověřovatele na seznamu sekvence polí s jednoznačnou identifikací osvědčovací služby poskytované ověřovatelem, nad níž je vykonáván dohled nebo která je akreditována z hlediska směrnice 1999/93/ES

Tento soubor informací zahrnuje u každé osvědčovací služby ověřovatele na seznamu přinejmenším:

5. U každé osvědčovací služby na seznamu historické informace o jejím stavu

6. Podpis vytvořený počítačem pro účely ověřování pravosti přes všechna pole důvěryhodného seznamu kromě samotného podpisu

3. Pokyny pro úpravy zápisů v důvěryhodných seznamech

3.1 Informace o stavu osvědčovacích služeb, nad nimiž je vykonáván dohled nebo které jsou akreditovány, a jejich poskytovatelů v jediném seznamu

Důvěryhodným seznamem členského státu se rozumí „seznam stavu dohledu nebo akreditace osvědčovacích služeb ověřovatelů, nad nimiž vykonává příslušný členský stát dohled nebo kteří jsou příslušným členským státem akreditováni, pokud jde o soulad s příslušnými ustanoveními směrnice 1999/93/ES“.

Takový důvěryhodný seznam je jednotný nástroj, který používá příslušný členský stát, aby poskytl informace o stavu dohledu nebo akreditace osvědčovacích služeb a jejich poskytovatelů:

Z hlediska definic a ustanovení stanovených směrnicí 1999/93/ES, zejména s ohledem na příslušné ověřovatele a jejich systémy dohledu nebo dobrovolné akreditace, lze rozlišit dva druhy ověřovatelů, a to ověřovatele, kteří vydávají kvalifikovaná osvědčení pro veřejnost (CSPQC), a ověřovatele, kteří nevydávají kvalifikovaná osvědčení pro veřejnost, ale poskytují „jiné (pomocné) služby související s elektronickými podpisy“.

Pro každý členský stát může být zřízen a udržován pouze jediný důvěryhodný seznam, v němž bude uveden stav dohledu nebo akreditace těch osvědčovacích služeb těch ověřovatelů, nad nimiž vykonává členský stát dohled nebo které akreditoval. Důvěryhodný seznam musí obsahovat alespoň ověřovatele vydávající kvalifikovaná osvědčení. Důvěryhodný seznam může rovněž uvádět stav jiných ověřovacích služeb, nad nimiž je vykonáván dohled nebo které jsou akreditovány podle vnitrostátně stanoveného schvalovacího systému.

3.2 Jednotný soubor hodnot stavu dohledu/akreditace

Na důvěryhodném seznamu je skutečnost, že služba je v současné době buď „podrobena dohledu“ nebo „akreditována“, dána hodnotou jejího současného stavu. Kromě toho může být stav dohledu nebo akreditace pozitivní („pod dohledem“, „akreditována“, „dohled nad ukončovanou službou“), ukončený („dohled ukončen“, „akreditace ukončena“), či dokonce odvolaný („dohled odvolán“, „akreditace odvolána“) a nastaví se na odpovídající hodnotu. V průběhu svého trvání může tatáž osvědčovací služba změnit stav dohledu na stav akreditace a naopak ( 10 ).

Obrázek 1 níže popisuje předpokládaný pohyb jedné osvědčovací služby mezi možnými stavy dohledu/akreditace:

Obrázek 1

Předpokládaný průběh stavu dohledu/akreditace u jediné služby CSP

Pokud je usazena v členském státě, musí být nad osvědčovací službou vydávající kvalifikovaná osvědčení vykonáván dohled (členským státem, v němž je usazena) a může být dobrovolně akreditována. Stav takové služby uvedené v důvěryhodném seznamu musí mít jednu z výše zobrazených hodnot stavu jako „aktuální hodnotu stavu“ v souladu se svým skutečným stavem a musí se případně změnit podle vývoje stavu zobrazeného výše. „Akreditace ukončena“ i „akreditace odvolána“ však musí být hodnotou „přechodný stav“, pokud je odpovídající služba CSPQC uvedena v důvěryhodném seznamu členského státu usazení, neboť nad takovou službou je vykonáván dohled standardně (i když není nebo již není akreditována); pokud je odpovídající služba vedena na seznamu (akreditována) v jiném členském státě, než ve kterém je usazena, mohou být tyto hodnoty hodnotami konečnými.

Členské státy, které zřizují nebo již zřídily „uznané systémy schválení“ definované a prováděné na vnitrostátní úrovni pro dohled nad souladem služeb ověřovatelů nevydávajících kvalifikovaná osvědčení v souladu s ustanoveními směrnice 1999/93/ES a s případnými vnitrostátními ustanoveními souvisejícími s poskytováním osvědčovacích služeb (ve smyslu čl. 2 odst. 11 směrnice 1999/93/ES) musí tyto systémy schválení rozdělit do těchto dvou kategorií:

V souladu s tím může být osvědčovací služba nevydávající kvalifikovaná osvědčení pod dohledem nebo může být dobrovolně akreditována. Stav takové služby uvedené v důvěryhodném seznamu musí mít jednu z výše zobrazených hodnot stav jako svou „aktuální hodnotu stavu“ (viz obrázek 1) v souladu se svým skutečným stavem a musí se případně změnit podle vývoje stavu zobrazeného výše.

Důvěryhodný seznam musí obsahovat informace o souvisejících systémech dohledu/akreditace, a to zejména:

Dva poslední soubory informací jsou zásadně důležité pro to, aby mohly strany spoléhající se na osvědčení posoudit úroveň kvality a bezpečnosti systémů dohledu/akreditace použitých na vnitrostátní úrovni na ověřovatele nevydávající kvalifikovaná osvědčení. Když se v důvěryhodném seznamu uvádějí informace ohledně stavu dohledu/akreditace u služeb ověřovatelů nevydávajících kvalifikovaná osvědčení, uvedou se výše uvedené soubory informací na úrovni důvěryhodného seznamu prostřednictvím „Scheme information URI“ („URI – informace o systému“, bod 5.3.7 – informace poskytované členským státem), „Scheme type/community/rules“ („Typ/společenství/pravidla systému“, bod 5.3.9 – prostřednictvím textu společného pro všechny členské státy a volitelných informací poskytovaných členským státem) a „TSL policy/legal notice“ („Politika/právní upozornění TSL“, bod 5.3.11 – text společný pro všechny členské státy odkazující na směrnici 1999/93/ES, společně s možností, aby členský stát doplnil svůj specifický text/odkazy).

Další informace o „kvalifikaci“ definované na úrovni vnitrostátních systémů dohledu/akreditace pro ověřovatele nevydávající kvalifikovaná osvědčení lze v příslušných případech poskytnout na úrovni služby (např. pro odlišení různých úrovní kvality/bezpečnosti) prostřednictvím použití rozšíření „additionalServiceInformation“ („další informace o službě“, bod 5.5.9.4) jako součásti „Service information extension“ („Rozšíření informací o službě“, bod 5.5.9). Další informace o příslušných technických specifikacích jsou uvedeny v podrobných specifikacích v kapitole I.

Přestože v členském státě mohou být za dohled nad osvědčovacími službami a za jejich akreditaci odpovědné různé subjekty tohoto členského státu, předpokládá se, že pro jednu osvědčovací službu musí existovat pouze jediný zápis a že musí být stav jejího dohledu/akreditace odpovídajícím způsobem aktualizován.

3.3 Zápisy v důvěryhodném seznamu, jejichž cílem je usnadnit validaci kvalifikovaných elektronických podpisů a zaručených elektronických podpisů podporovaných kvalifikovaným osvědčením

Nejdůležitější částí vytvoření důvěryhodného seznamu je zřízení jeho povinné části, jmenovitě „Seznamu služeb“ („List of services“) podle ověřovatelů vydávajících kvalifikovaná osvědčení tak, aby správně odrážel přesnou situaci každé osvědčovací služby vydávající kvalifikovaná osvědčení a aby se zajistilo, že jsou informace poskytované v každém zápisu dostatečné pro usnadnění validace QES a AdESQC (ve spojení s obsahem kvalifikovaného osvědčení koncového subjektu vydaného ověřovatelem v rámci osvědčovací služby uvedené v tomto zápisu).

Požadované informace by mohly obsahovat jiné informace než „digitální identitu služby“ jediné (kořenové) CA, zejména informace pro identifikaci kvalifikovaného stavu osvědčení vydaných takovou službou CA a informace o tom, zda jsou, či nejsou vytvořeny podpisy podporované prostředkem pro bezpečné vytváření podpisu. Subjekt, který je v členském státě pověřen zřízením, úpravou a údržbou důvěryhodného seznamu, musí tedy zohlednit aktuální profil a obsah osvědčení v každém vydaném kvalifikovaném osvědčení u služby CSPQC, kteří jsou uvedeni v důvěryhodném seznamu.

V ideálním případě by každé vydané kvalifikované osvědčení mělo obsahovat prohlášení o shodě kvalifikovaného osvědčení (QcCompliance) ( 11 ) definované ETSI, pokud se tvrdí, že jde o kvalifikované osvědčení, a mělo by obsahovat prohlášení QcSSCD, pokud se tvrdí, že je podporováno SSCD pro vytváření elektronických podpisů nebo že každé vydané kvalifikované osvědčení obsahuje QCP/QCP + identifikátory předmětu (OID) politiky osvědčení definované v ETSI EN 319 411-2 ( 12 ). Používání různých norem ze strany ověřovatelů, široký výklad těchto norem a také nedostatečná informovanost o existenci a přednosti normativních technických specifikací nebo norem vede k odlišnostem ve skutečném obsahu aktuálně vydávaných kvalifikovaných osvědčení (např. využití, či nevyužití prohlášení o kvalifikovaných osvědčeních definovaných ETSI), a v důsledku toho brání přijímajícím stranám, aby se jednoduše spoléhaly na osvědčení podepisující osoby (a související řetězec/cestu) při posuzování, alespoň ve strojově čitelné podobě, toho, zda se o osvědčení podporujícím elektronický podpis tvrdí, že je kvalifikovaným osvědčením, a zda je či není spojené s prostředkem pro bezpečné vytváření podpisu, jímž byl elektronický podpis vytvořen.

Vyplnění polí „Identifikátor typu služby“ („Service type identifier“, „Sti“), „Název služby“ („Service name“, „Sn“) a „Digitální identita služby“ („Service digital identity“, „Sdi“) u zápisu služby v důvěryhodném seznamu informacemi uvedenými v poli „Rozšíření informací o službě“ („Service information extensions“, „Sie“) umožňuje plně stanovit zvláštní typ kvalifikovaného osvědčení vydaného ověřovatelem ze seznamu vydávajícím kvalifikovaná osvědčení a poskytuje informace o tom, zda je, či není podporováno prostředkem pro bezpečné vytváření podpisu (jestliže tato informace ve vydaném kvalifikovaném osvědčení chybí). S tímto zápisem je spjata určitá informace o „Aktuálním stavu služby“ („Service current status“, „Scs“). Toto je znázorněno na obrázku 2 níže.

Zanesení služby do seznamu tím, že se poskytne pouze „Sdi“ (kořenové) certifikační autority, by znamenalo, že je zajištěno (ověřovatelem vydávajícím kvalifikovaná osvědčení, ale také dozorovým/akreditačním subjektem odpovědným za dohled nad tímto ověřovatelem nebo za jeho akreditaci), aby osvědčení jakéhokoli koncového subjektu vydané v rámci této (hierarchie) (kořenové) certifikační autority obsahovalo dostatečné množství ETSI definovaných a strojově zpracovatelných informací pro posouzení toho, zda jde o kvalifikované osvědčení a zda je, nebo není podporováno prostředkem pro bezpečné vytváření podpisu. Například v případě, kdy tvrzení o podpoře prostředkem pro bezpečné vytváření podpisu není pravdivé (např. v kvalifikovaném osvědčení není uveden strojově zpracovatelný údaj podle normy ETSI o tom, zda je podporováno prostředkem pro bezpečné vytváření podpisu), pak lze ze zápisu na seznam pouze pro „Sdi“ dané (kořenové) certifikační autority vyvodit pouze to, že kvalifikovaná osvědčení vydaná v rámci hierarchie této (kořenové) certifikační autority nejsou podporována žádným prostředkem pro bezpečné vytváření podpisu. Aby se uvedlo, že taková kvalifikovaná osvědčení musí být považována za podporovaná prostředkem pro bezpečné vytváření podpisu, mělo by se použít pole „Sie“ (to rovněž znamená, že tyto informace jsou zaručeny ověřovateli vydávajícími kvalifikovaná osvědčení, nad nimiž dozorový subjekt vykonává dohled nebo kteří jsou akreditováni akreditačním subjektem).

Obrázek 2

Zápis o službě u služby ověřovatele vydávajícího kvalifikovaná osvědčení a zapsaného na důvěryhodném seznamu

Obecné zásady – Pravidla pro úpravu – zápisy CSPQC (služby na seznamu)

Tyto technické specifikace pro společnou šablonu důvěryhodných seznamů umožňují zkombinovat v zápisu o službě pět hlavních částí informací:

3.4 Pokyny k úpravě a použití zápisů o službách CSPQC

Obecné pokyny k úpravě znějí takto:

Obecnou standardní zásadou je, že pro ověřovatele uvedeného na důvěryhodném seznamu musí být pro typ osvědčovací služby CA/QC uveden jeden zápis o službě na jeden veřejný klíč, tj. na certifikační autoritu (přímo) vydávající kvalifikovaná osvědčení. Za určitých výjimečných okolností a v pečlivě řízených podmínkách může kontrolní subjekt/akreditační orgán členského státu rozhodnout, že se jako „Sdi“ použije jediný zápis v seznamu služeb od tohoto ověřovatele na seznamu, veřejný klíč kořenové CA nebo CA vyšší úrovně v rámci PKI ověřovatele (např. v rámci hierarchie ověřovatelových CA od kořenové CA k několika vydávajícím CA) namísto uvádění všech podřízených vydávajících služeb CA (tj. zařazení na seznam certifikační autority nevydávající kvalifikovaná osvědčení přímo pro koncové subjekty, ale osvědčující hierarchii CA k CA vydávajícím kvalifikovaná osvědčení pro koncové subjekty). Důsledky (výhody a nevýhody) použití takového veřejného klíče kořenové CA nebo vyšší CA jako hodnoty „Sdi“ v zápisech o službách v důvěryhodném seznamu musí členské státy při provádění pečlivě zvážit. Navíc musí členské státy při použití této povolené výjimky ze standardní zásady poskytnout dokumentaci potřebnou pro usnadnění zřízení a ověření cesty osvědčení. Například v kontextu CSPQC využívajícího jednu kořenovou CA, v rámci níž různé CA vydávají kvalifikovaná i nekvalifikovaná osvědčení, ale u nějž kvalifikovaná osvědčení obsahují pouze prohlášení o souladu kvalifikovaného osvědčení a žádný údaj o tom, zda je podporován prostředkem pro bezpečné vytváření podpisu, by uvedení „Sdi“ kořenové CA při uplatnění pravidel vysvětlených výše znamenalo pouze to, že žádné z kvalifikovaných osvědčení vydané v rámci této hierarchie kořenové CA není podporováno prostředkem pro bezpečné vytváření podpisu. Pokud existují kvalifikovaná osvědčení, která jsou skutečně podporována prostředkem pro bezpečné vytváření podpisu, avšak bez strojově zpracovatelného prohlášení o této podpoře obsažené v osvědčení, důrazně se doporučuje využít prohlášení QcSSCD v kvalifikovaných osvědčeních vydávaných v budoucnosti. Prozatím (dokud nebude ukončena platnost posledního kvalifikovaného osvědčení, které neobsahuje tyto informace) by měl věrohodný seznam využívat pole „Sie“ a přidružené rozšíření „Qualifications Extension“, např. poskytovat filtrování informací s cílem identifikovat soubor či soubory osvědčení prostřednictvím specifických OID definovaných CSPQC, které mohou CSPQC využívat k rozlišení různých typů kvalifikovaných osvědčení (některých podporovaných prostředkem pro bezpečné vytváření podpisu a některých nikoli), a přidružit výslovné „Informace o podpoře prostředkem pro bezpečné vytváření podpisu“ („SSCD support information“) k těmto identifikovaným (filtrovaným) osvědčením za použití „Kvalifikátorů“ („Qualifiers“).

Obecné pokyny k použití aplikací, služeb nebo produktů elektronického podpisu, které jsou založeny na důvěryhodném seznamu odpovídajícímu těmto technickým specifikacím, znějí takto:

Zápis „CA/QC“ v „Sti“ (obdobně jako zápis CA/QC, který je dále použitím rozšíření „Sie“ additionalServiceInformation kvalifikován jako „RootCA/QC“),

3.5 Služby podporující služby „CA/QC“, které nejsou součástí „Sdi“„CA/QC“

Služby ověřování platnosti stavu osvědčení související s kvalifikovanými osvědčeními, u nichž jsou informace o platnosti stavu osvědčení (např. CRL a odpovědi OCSP) podepsány subjektem, jehož soukromý klíč není osvědčen v rámci osvědčovacího postupu vedoucího k CA zařazené na seznam, jež vydává kvalifikovaná osvědčení („CA/QC“), se zařadí do důvěryhodného seznamu uvedením těchto služeb ověřování platnosti stavu osvědčení jako takových v důvěryhodném seznamu (tj. s typem služby „OCSP/QC“ nebo „CRL/QC“), neboť tyto služby mohou být považovány za součást „kvalifikovaných“ služeb, nad nimiž je vykonáván dohled nebo které jsou akreditovány v souvislosti s poskytováním osvědčovacích služeb QC. Odpovídající subjekty protokolu OCSP nebo vydavatelé CRL, jejichž osvědčení jsou podepsána CA v rámci hierarchie služeb CA/QC uvedených na seznamu, se samozřejmě mají považovat za „platné“ a v souladu s hodnotou stavu služby CA/QC uvedené na seznamu.

Obdobná ustanovení se mohou vztahovat na osvědčovací služby vydávající nekvalifikovaná osvědčení (typ služby „CA/PKC“).

Důvěryhodný seznam musí obsahovat služby ověřování stavu platnosti osvědčení, pokud související informace o umístění takových služeb nejsou obsaženy v osvědčeních pro koncové subjekty, na něž se vztahují služby ověřování stavu platnosti osvědčení.

4. Definice a zkratky

Pro účely tohoto dokumentu se použijí tyto definice a zkratky:

V následujících kapitolách se výrazy „MUSÍ“, „NESMÍ“, „JE POVINNÉ“, „MĚL BY“, „NEMĚL BY“, „DOPORUČENÝ“, „MŮŽE“ a „VOLITELNÝ“ mají vykládat v souladu s RFC 2119 ( 13 ).

KAPITOLA I

PODROBNÉ SPECIFIKACE PRO SPOLEČNOU ŠABLONU „DŮVĚRYHODNÉHO SEZNAMU OVĚŘOVATELŮ, NAD KTERÝMI JE VYKONÁVÁN DOHLED NEBO KTEŘÍ JSOU AKREDITOVÁNI“

Tyto specifikace se zakládají na specifikacích a požadavcích uvedených v ETSI TS 119 612 v1.1.1 (dále jen „ETSI TS 119 612“).

Není-li v těchto specifikacích uveden žádný specifický požadavek, MUSÍ se plně uplatnit požadavky bodů 5 a 6 ETSI TS 119 612. V případech, kdy jsou v těchto specifikacích uvedeny zvláštní požadavky, MUSÍ mít přednost před odpovídajícími požadavky ETSI TS 119 612. V případě nesrovnalostí mezi těmito specifikacemi a specifikacemi ETSI TS 119 612 jsou normativní tyto specifikace.

Scheme operator name (bod 5.3.4)

Toto pole JE POVINNÉ a MUSÍ být v souladu se specifikacemi bodu 5.3.4 TS 119 612.

Země MŮŽE mít odlišné subjekty pro dohled a pro akreditaci, a dokonce i další subjekty pro jakékoli související provozní činnosti. Je na každém členském státě, aby určil provozovatele systému důvěryhodného seznamu členského státu. Očekává se, že dozorový subjekt, akreditační subjekt a provozovatel systému (pokud jde o samostatné subjekty) budou mít každý své vlastní povinnosti a závazky.

Jestliže za dohled, akreditaci nebo provozní hlediska odpovídají různé subjekty, MUSÍ to být jasně vyjádřeno a uvedeno v informacích o systému jako součást důvěryhodného seznamu, včetně informací specifických pro systém uvedených v „Scheme information URI“ (bod 5.3.7).

Scheme name (bod 5.3.6)

Toto pole JE POVINNÉ a MUSÍ být v souladu se specifikacemi bodu 5.3.6 TS 119 612, kde se pro systém MUSÍ použít tento název:

„EN_název_hodnota“ = „seznam stavu dohledu/akreditace osvědčovacích služeb ověřovatelů, nad nimiž je vykonáván dohled nebo kteří jsou akreditováni odkazovaným členským státem provozovatele systému z hlediska souladu s příslušnými ustanoveními směrnice Evropského parlamentu a Rady 1999/93/ES ze dne 13. prosince 1999 o zásadách Společenství pro elektronické podpisy“.

Scheme information URI (bod 5.3.7)

Toto pole JE POVINNÉ a MUSÍ být v souladu se specifikacemi bodu 5.3.7 TS 119 612, kde „vhodné informace o systému“ MUSÍ zahrnovat přinejmenším:

Členské státy MOHOU dále o systémech dobrovolně poskytnout dodatečné specifické informace, například:

Scheme type/community/rules (bod 5.3.9)

Toto pole JE POVINNÉ být aktuální a MUSÍ být v souladu se specifikacemi bodu 5.3.9 TS 119 612 a MUSÍ zahrnovat nejméně dva URI:

Členské státy MOHOU na základě výše uvedeného URI specifického pro jednotlivé členské státy definovat a používat další URI (tj. URI definované na základě tohoto hierarchického specifického URI).

TSL policy/legal notice (bod 5.3.11)

Toto pole JE POVINNÉ a MUSÍ být v souladu se specifikacemi z bodu 5.3.11 TS 119 612, kde oznámení/právní upozornění o právním postavení systému nebo o zákonných požadavcích, které musí systém splňovat v rámci jurisdikce, v níž je usazen, nebo o jakýchkoli omezeních a podmínkách, za nichž je důvěryhodný seznam udržován nebo zveřejňován, MUSÍ být vícejazyčný řetězec znaků (prostý text) složený ze dvou částí:

1. V první, povinné části společné pro všechny důvěryhodné seznamy členských států (s povinným jazykem britskou angličtinou a volitelně s jedním či více národními jazyky) se uvádí, že platným právním rámcem je směrnice 1999/93/ES a její příslušné prováděcí právní předpisy členských států uvedených v poli „Scheme territory“.

Anglické znění společného textu:

The applicable legal framework for the present TSL implementation of the Trusted List of supervised/accredited Certification Service Providers for [name of the relevant Member State] is Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and its implementation in [name of the relevant Member State] laws.

Text v národním jazyce/jazycích členského státu: [úřední překlad(y) výše uvedeného anglického textu:

Platným právním rámcem pro toto provedení důvěryhodného seznamu ověřovatelů, nad nimiž je vykonáván dohled nebo kteří jsou akreditováni, v podobě TSL pro Českou republiku je směrnice Evropského parlamentu a Rady 1999/93/ES ze dne 13. prosince 1999 o zásadách Společenství pro elektronické podpisy a její provedení v právních předpisech České republiky].