2009D0767 — EL — 01.07.2013 — 002.001

Το έγγραφο αυτό συνιστά βοήθημα τεκμηρίωσης και δεν δεσμεύει τα κοινοτικά όργανα

Τροποποιείται από:

Διορθώνεται από:

▼B

▼C1

ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ

της 16ης Οκτωβρίου 2009

σχετικά τη θέσπιση μέτρων που διευκολύνουν τη χρήση διαδικασιών με ηλεκτρονικά μέσα μέσω των «ενιαίων κέντρων εξυπηρέτησης» βάσει της οδηγίας 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με τις υπηρεσίες στην εσωτερική αγορά

[κοινοποιηθείσα υπό τον αριθμό Ε(2009) 7806]

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(2009/767/ΕΚ)

Άρθρο 1

Χρήση και αποδοχή ηλεκτρονικών υπογραφών

1. Αν αιτιολογείται βάσει κατάλληλης εκτίμησης επικινδυνότητας και σύμφωνα με το άρθρο 5 παράγραφοι 1 και 3 της οδηγίας 2006/123/ΕΚ, τα κράτη μέλη μπορούν να απαιτούν, για τη διεκπεραίωση ορισμένων διαδικασιών και διατυπώσεων μέσω των ενιαίων κέντρων εξυπηρέτησης, δυνάμει του άρθρου 8 της οδηγίας 2006/123/ΕΚ, να χρησιμοποιεί ο πάροχος της υπηρεσίας προηγμένες ηλεκτρονικές υπογραφές βάσει αναγνωρισμένου πιστοποιητικού, με ή χωρίς ασφαλή διάταξη δημιουργίας υπογραφών, όπως ορίζεται και προβλέπεται στην οδηγία 1999/93/ΕΚ.

2. Τα κράτη μέλη υποχρεούνται να αποδέχονται οποιεσδήποτε προηγμένες ηλεκτρονικές υπογραφές βάσει αναγνωρισμένου πιστοποιητικού, με ή χωρίς ασφαλή διάταξη δημιουργίας υπογραφών, για τη διεκπεραίωση των διαδικασιών και των διατυπώσεων που αναφέρονται στην παράγραφο 1, υπό την επιφύλαξη της δυνατότητας των κρατών μελών να περιορίζουν αυτή την αποδοχή σε προηγμένες ηλεκτρονικές υπογραφές βάσει αναγνωρισμένου πιστοποιητικού, που δημιουργήθηκαν μέσω ασφαλούς διάταξης δημιουργίας υπογραφών, αν αυτό συμφωνεί με την εκτίμηση επικινδυνότητας που αναφέρεται στην παράγραφο 1.

3. Τα κράτη μέλη δεν εξαρτούν την αποδοχή προηγμένων ηλεκτρονικών υπογραφών βάσει αναγνωρισμένου πιστοποιητικού, με ή χωρίς ασφαλή διάταξη δημιουργίας υπογραφών, από απαιτήσεις που θέτουν εμπόδια στους παρόχους υπηρεσιών όσον αφορά τη χρήση διαδικασιών με ηλεκτρονικά μέσα μέσω των ενιαίων κέντρων εξυπηρέτησης.

4. Η παράγραφος 2 δεν εμποδίζει τα κράτη μέλη να αποδέχονται άλλες ηλεκτρονικές υπογραφές εκτός από τις προηγμένες ηλεκτρονικές υπογραφές βάσει αναγνωρισμένου πιστοποιητικού, με ή χωρίς τη χρήση ασφαλούς διάταξης δημιουργίας υπογραφών.

Άρθρο 2

Κατάρτιση, τήρηση και δημοσίευση καταλόγων εμπίστευσης

1. Κάθε κράτος μέλος καταρτίζει, τηρεί και δημοσιεύει, σύμφωνα με τις τεχνικές προδιαγραφές που ορίζονται στο παράρτημα, «κατάλογο εμπίστευσης», ο οποίος περιέχει τις ελάχιστες πληροφορίες που αφορούν τους παρόχους υπηρεσιών πιστοποίησης, οι οποίοι εκδίδουν αναγνωρισμένα πιστοποιητικά για το κοινό, και οι οποίοι εποπτεύονται/διαπιστεύονται από το εκάστοτε κράτος μέλος.

▼M1

2. Τα κράτη μέλη καταρτίζουν και δημοσιεύσουν τόσο μια αναγνώσιμη από άνθρωπο όσο και μια μηχανικά επεξεργάσιμη μορφή του καταλόγου εμπίστευσης, σύμφωνα με τις προδιαγραφές που ορίζονται στο παράρτημα.

▼M1

2α. Τα κράτη μέλη υπογράφουν ηλεκτρονικά τη μηχανικά επεξεργάσιμη μορφή των καταλόγων εμπίστευσής τους και δημοσιεύουν, ως ελάχιστη προϋπόθεση, μια αναγνώσιμη από άνθρωπο μορφή του καταλόγου εμπίστευσης μέσω ασφαλούς διόδου προκειμένου να διασφαλίζεται η αυθεντικότητα και η ακεραιότητά του.

▼M1

3. Τα κράτη μέλη κοινοποιούν στην Επιτροπή τις ακόλουθες πληροφορίες:

▼M1

4. Η Επιτροπή θέτει στη διάθεση όλων των κρατών μελών, μέσω ασφαλούς διαύλου σε έναν επικυρωμένο εξυπηρετητή διαδικτύου, τις πληροφορίες που αναφέρονται στην παράγραφο 3, όπως κοινοποιήθηκαν από τα κράτη μέλη, τόσο σε αναγνώσιμη από άνθρωπο μορφή όσο και σε μηχανικά επεξεργάσιμη υπογεγραμμένη μορφή.

▼C1

Άρθρο 3

Έναρξη ισχύος

Η παρούσα απόφαση εφαρμόζεται από τις 28 Δεκεμβρίου 2009.

Άρθρο 4

Αποδέκτες

Η απόφαση απευθύνεται στα κράτη μέλη.

ΠΑΡΑΡΤΗΜΑ

ΤΕΧΝΙΚΕΣ ΠΡΟΔΙΑΓΡΑΦΕΣ ΕΝΟΣ ΚΟΙΝΟΥ ΣΧΕΔΙΟΤΥΠΟΥ ΓΙΑ ΤΟΝ «ΚΑΤΑΛΟΓΟ ΕΜΠΙΣΤΕΥΣΗΣ ΕΠΟΠΤΕΥΟΜΕΝΩΝ/ΔΙΑΠΙΣΤΕΥΜΕΝΩΝ ΠΑΡΟΧΩΝ ΥΠΗΡΕΣΙΩΝ ΠΙΣΤΟΠΟΙΗΣΗΣ»

ΕΙΣΑΓΩΓΗ

1. Γενικές παρατηρήσεις

Σκοπός του κοινού σχεδιοτύπου «Κατάλογος εμπίστευσης εποπτευόμενων/διαπιστευμένων παρόχων υπηρεσιών πιστοποίησης» των κρατών μελών είναι η θέσπιση ενός ενιαίου τρόπου για την παροχή πληροφοριών από έκαστο κράτος μέλος όσον αφορά την κατάσταση εποπτείας/διαπίστευσης των υπηρεσιών πιστοποίησης από τους παρόχους υπηρεσιών πιστοποίησης ( 3 ) (Certification Service Providers — CSP), οι οποίοι εποπτεύονται/διαπιστεύονται από τα κράτη μέλη, με στόχο τη συμμόρφωση με τις σχετικές διατάξεις της οδηγίας 1999/93/ΕΚ. Σε αυτόν συμπεριλαμβάνεται η παροχή πληροφοριών για το ιστορικό της κατάστασης εποπτείας/διαπίστευσης των εποπτευόμενων/διαπιστευμένων υπηρεσιών πιστοποίησης.

Στις υποχρεωτικές πληροφορίες του καταλόγου εμπίστευσης (Trusted List-TL) πρέπει να συμπεριλαμβάνονται κάποιες ελάχιστες πληροφορίες για τους εποπτευόμενους/διαπιστευμένους CSP που εκδίδουν αναγνωρισμένα πιστοποιητικά (Qualified Certificate-QC) ( 4 ) σύμφωνα με τις διατάξεις που ορίζονται στην οδηγία 1999/93/ΕΚ [άρθρο 3 παράγραφοι 3 και 2, και άρθρο 7 παράγραφος 1 στοιχείο α), συμπεριλαμβανομένων πληροφοριών σχετικά με τα QC που υποστηρίζουν μια ηλεκτρονική υπογραφή και σχετικά με το αν η υπογραφή δημιουργείται ή όχι μέσω μιας ασφαλούς διάταξης δημιουργίας υπογραφής (Secure Signature Creation Device – SSCD] ( 5 ).

Ο κατάλογος εμπίστευσης μπορεί να συμπεριλαμβάνει εθελοντικά και σε εθνική βάση επιπλέον πληροφορίες σχετικά με άλλους εποπτευόμενους/διαπιστευμένους CSP που δεν εκδίδουν QC, αλλά που παρέχουν υπηρεσίες σχετικά με τις ηλεκτρονικές υπογραφές (π.χ. CSP που παρέχουν υπηρεσίες χρονοσφράγισης και που εκδίδουν αδειοδοτικά χρονοσφράγισης, CSP που εκδίδουν μη αναγνωρισμένα πιστοποιητικά κ.λπ.).

Αυτές οι πληροφορίες αποσκοπούν κυρίως στην υποστήριξη της επικύρωσης των αναγνωρισμένων ηλεκτρονικών υπογραφών (Qualified Electronic Signature - QES) και των προηγμένων ηλεκτρονικών υπογραφών (Advanced Electronic Signature - AdES) ( 6 ) τις οποίες υποστηρίζει ένα αναγνωρισμένο πιστοποιητικό ( 7 ) ( 8 ).

Το προτεινόμενο κοινό σχεδιότυπο είναι σύμμορφο με την εφαρμογή του βάσει των προδιαγραφών του ETSI TS 102 231 ( 9 ) οι οποίες χρησιμοποιούνται όσον αφορά την κατάρτιση, τη δημοσίευση, τον τόπο, την πρόσβαση, την επαλήθευση ταυτότητας και την εμπιστοσύνη σε τέτοιου είδους καταλόγους.

2. Οδηγίες για την επεξεργασία καταχωρίσεων του TL

2.1. Ένας TL που επικεντρώνεται στις εποπτευόμενες/διαπιστευμένες υπηρεσίες πιστοποίησης

Ο κατάλογος εμπίστευσης ενός κράτους μέλους ορίζεται ως ο «Κατάλογος κατάστασης εποπτείας/διαπίστευσης των υπηρεσιών πιστοποίησης από παρόχους υπηρεσιών πιστοποίησης οι οποίοι εποπτεύονται/διαπιστεύονται από το εκάστοτε κράτος μέλος ως προς τη συμμόρφωση με τις σχετικές διατάξεις της οδηγίας 1999/93/ΕΚ».

Ένας τέτοιος κατάλογος εμπίστευσης πρέπει να καλύπτει:

Αν εξεταστούν οι ορισμοί και οι διατάξεις που ορίζονται στην οδηγία 1999/93/ΕΚ, ειδικά όσον αφορά τους συναφείς CSP και τα συστήματα εποπτείας/εθελοντικής διαπίστευσής τους, μπορεί να γίνει διάκριση σε δύο ομάδες CSP, δηλαδή τους CSP που εκδίδουν QC για το κοινό (CSPQC), και τους CSP που δεν εκδίδουν QC για το κοινό, αλλά που παρέχουν «λοιπές (βοηθητικές) υπηρεσίες συναφείς με τις ηλεκτρονικές υπογραφές»

Ο κατάλογος εμπίστευσης ενός κράτους μέλους πρέπει να παρέχει κάποιες ελάχιστες πληροφορίες για τους εποπτευόμενους/διαπιστευμένους CSP που εκδίδουν αναγνωρισμένα πιστοποιητικά στο κοινό σύμφωνα με τις διατάξεις που ορίζονται στην οδηγία 1999/93/ΕΚ [άρθρο 3 παράγραφοι 3 και 2 και άρθρο 7 παράγραφος 1 στοιχείο α)], πληροφορίες σχετικά με τα QC που υποστηρίζουν την ηλεκτρονική υπογραφή και σχετικά με το αν η υπογραφή δημιουργείται ή όχι μέσω μιας ασφαλούς διάταξης δημιουργίας υπογραφής.

Ο κατάλογος εμπίστευσης μπορεί να συμπεριλαμβάνει σε εθνικό επίπεδο και εθελοντικά επιπλέον πληροφορίες σχετικά με άλλους εποπτευόμενους/διαπιστευμένους CSP που δεν εκδίδουν QC (π.χ. CSP που παρέχουν υπηρεσίες χρονοσφράγισης και που εκδίδουν αδειοδοτικά χρονοσφράγισης, CSP που εκδίδουν μη αναγνωρισμένα πιστοποιητικά κ.λπ.).

Ο κατάλογος εμπίστευσης αποσκοπεί στα εξής:

Πρέπει να καταρτιστεί και να τηρείται μόνο ένας ενιαίος TL ανά κράτος μέλος, για να υποδεικνύει την κατάσταση εποπτείας ή/και διαπίστευσης των υπηρεσιών πιστοποίησης από τους CSP που εποπτεύονται/διαπιστεύονται από το κράτος μέλος.

Το γεγονός ότι η υπηρεσία αυτή τη στιγμή υπόκειται είτε σε εποπτεία είτε σε διαπίστευση αποτελεί μέρος της τρέχουσας κατάστασής της. Επιπλέον, μια κατάσταση εποπτείας ή διαπίστευσης μπορεί να είναι «σε εξέλιξη», «υπό αναστολή», «σε αναστολή» ή ακόμη και «σε ανάκληση». Για όλη τη διάρκεια της ζωής της, η ίδια υπηρεσία πιστοποίησης μπορεί να μεταβεί από κατάσταση εποπτείας σε κατάσταση διαπίστευσης και αντίστροφα ( 10 ).

Το διάγραμμα 1 παρακάτω περιγράφει την αναμενόμενη ροή, για μια ενιαία υπηρεσία πιστοποίησης, ανάμεσα σε πιθανές καταστάσεις εποπτείας/διαπίστευσης:

Μια υπηρεσία πιστοποίησης που εκδίδει QC πρέπει να εποπτεύεται (αν είναι εγκατεστημένη σε ένα κράτος μέλος) και μπορεί να διαπιστευτεί εθελοντικά. Η κατάσταση μιας τέτοιας υπηρεσίας όταν συγκαταλέγεται σε έναν κατάλογο εμπίστευσης μπορεί να λάβει μια οποιαδήποτε από τις παραπάνω καταστάσεις ως «τιμή τρέχουσας κατάστασης». Ωστόσο, πρέπει να επισημανθεί ότι οι καταστάσεις «Αναστολή διαπίστευσης» και «Ανάκληση διαπίστευσης» πρέπει να είναι και οι δύο «μεταβατικές καταστάσεις» μόνο σε περίπτωση υπηρεσιών CSPQC που είναι εγκατεστημένες σε ένα κράτος μέλος, καθώς οι εν λόγω υπηρεσίες πρέπει να εποπτεύονται εξ ορισμού (ακόμη κι όταν δεν είναι πλέον διαπιστευμένες).

Είναι απαραίτητο τα κράτη μέλη που θεσπίζουν ή που έχουν θεσπίσει «αναγνωρισμένο σχήμα/αναγνωρισμένα σχήματα έγκρισης» σε εθνικό επίπεδο, τα οποία τίθενται σε εφαρμογή σε εθνική βάση για την εποπτεία της συμμόρφωσης υπηρεσιών από CSP που δεν εκδίδουν QC με τις διατάξεις που ορίζονται στην οδηγία 1999/93/ΕΚ, και ενδεχομένως με τις εθνικές διατάξεις σχετικά με την παροχή υπηρεσιών πιστοποίησης (υπό την έννοια του άρθρου 2 σημείο 11 της οδηγίας) να κατατάξουν το εν λόγω σχήμα/τα εν λόγω σχήματα στις παρακάτω δυο κατηγορίες:

Έτσι, μια υπηρεσία πιστοποίησης που δεν εκδίδει αναγνωρισμένα πιστοποιητικά μπορεί να εποπτεύεται ή να διαπιστεύεται εθελοντικά. Η κατάσταση μιας τέτοιας υπηρεσίας όταν συγκαταλέγεται σε έναν κατάλογο εμπίστευσης μπορεί να βρίσκεται σε μια οποιαδήποτε από τις παραπάνω καταστάσεις ως «τρέχουσα κατάσταση» (βλέπε διάγραμμα 1).

Ο κατάλογος εμπίστευσης πρέπει να περιλαμβάνει πληροφορίες σχετικά με το υπάρχον σχήμα/τα υπάρχοντα σχήματα εποπτείας/διαπίστευσης και ειδικά:

Τα δυο τελευταία σύνολα πληροφοριών είναι κρίσιμης σημασίας για τα μέρη που βασίζονται σε αυτά, προκειμένου να αξιολογούν την ποιότητα και το επίπεδο ασφαλείας των εν λόγω συστημάτων εποπτείας/διαπίστευσης που ισχύουν σε εθνικό επίπεδο για τους CSP που δεν εκδίδουν QC. Όταν οι πληροφορίες για την κατάσταση εποπτείας/διαπίστευσης παρέχονται μέσω του TL όσον αφορά τις υπηρεσίες των CSP που δεν εκδίδουν QC, τα προαναφερθέντα σύνολα πληροφοριών πρέπει να παρέχονται σε επίπεδο TL μέσω της χρήσης του «URI σχήματος πληροφοριών» (διάταξη 5.3.7 – πληροφορίες που παρέχουν τα κράτη μέλη), «Τύπος σχήματος/κοινότητα/κανόνες» (διάταξη 5.3.9 – μέσω της χρήσης ενός κειμένου κοινού για όλα τα κράτη μέλη, και προαιρετικών ειδικών πληροφοριών που παρέχει ένα κράτος μέλος) και του «Πολιτική/νομική σημείωση TSL» (διάταξη 5.3.11 – κείμενο κοινό για όλα τα κράτη μέλη, το οποίο αναφέρεται στην οδηγία 1999/93/ΕΚ, μαζί με τη δυνατότητα κάθε κράτους μέλους να προσθέτει κείμενα/παραπομπές που να αφορούν ειδικά το εκάστοτε κράτος μέλος). Επιπλέον πληροφορίες «αναγνώρισης», οι οποίες ορίζονται στο επίπεδο των εθνικών συστημάτων εποπτείας/διαπίστευσης για τους CSP που δεν εκδίδουν QC μπορούν να παρέχονται όταν υπάρχουν και απαιτούνται (π.χ. για να γίνει διάκριση μεταξύ πολλών επιπέδων ποιότητας/ασφάλειας) μέσω της χρήσης της επέκτασης «additionalServiceInformation» (διάταξη 5.8.2) ως μέρος του πεδίου «Service information extension» (επέκταση πληροφοριών υπηρεσιών) (διάταξη 5.5.9). Περαιτέρω πληροφορίες σχετικά με τις αντίστοιχες τεχνικές προδιαγραφές παρέχονται στις αναλυτικές προδιαγραφές στο κεφάλαιο Ι.

Παρότι ενδέχεται χωριστοί φορείς ενός κράτους μέλους να είναι αρμόδιοι για την εποπτεία και τη διαπίστευση των υπηρεσιών πιστοποίησης στο εν λόγω κράτος μέλος, αναμένεται να χρησιμοποιείται μόνο μία καταχώριση για μια ενιαία υπηρεσία πιστοποίησης [η οποία ορίζεται μέσω της «Ψηφιακής ταυτότητας υπηρεσίας» της σύμφωνα με το ETSI TS 102 231 ( 11 )] και να επικαιροποιείται αναλόγως η κατάσταση εποπτείας/διαπίστευσής της. Η σημασία των προαναφερθεισών καταστάσεων περιγράφεται στη σχετική διάταξη 5.5.4 των αναλυτικών τεχνικών προδιαγραφών στο κεφάλαιο I.

2.2. Καταχωρίσεις TL με στόχο τη διευκόλυνση της επικύρωσης QES και AdESQC

Το πιο κρίσιμο μέρος της δημιουργίας του TL είναι η κατάρτιση του υποχρεωτικού μέρους του TL, δηλαδή του «Καταλόγου υπηρεσιών» ανά CSP που εκδίδει QC, προκειμένου να παρουσιαστεί σωστά η ακριβής κατάσταση έκδοσης καθεμιάς από τις υπηρεσίες πιστοποίησης με έκδοση QC και να διασφαλίζεται ότι οι πληροφορίες που παρέχονται μέσω κάθε καταχώρισης επαρκούν για τη διευκόλυνση της επικύρωσης των QES και των AdESQC (σε συνδυασμό με το περιεχόμενο του QC για την οντότητα-τελικό αποδέκτη το οποίο εκδίδεται από τον CSP σύμφωνα με την υπηρεσία πιστοποίησης που αναγράφεται στην εν λόγω καταχώριση).

Εφόσον δεν υπάρχει πραγματικά διαλειτουργικό και διασυνοριακό προφίλ για το QC, στις απαραίτητες πληροφορίες ενδέχεται να συμπεριλαμβάνονται κι άλλες πληροφορίες εκτός από την «Ψηφιακή ταυτότητα υπηρεσίας» μιας ενιαίας αρχής πιστοποίησης βάσης (Root) CA, ειδικά πληροφορίες που ορίζουν την κατάσταση QC του εκδιδόμενου πιστοποιητικού και πληροφορίες για το αν οι υποστηριζόμενες υπογραφές δημιουργούνται από μια SSCD ή όχι. Ο φορέας ενός κράτους μέλους ο οποίος είναι υπεύθυνος για την κατάρτιση, την επεξεργασία και την τήρηση του TL (δηλαδή ο υπεύθυνος διαχείρισης του σχήματος σύμφωνα με το ETSI TS 102 231) πρέπει, επομένως, να λαμβάνει υπόψη το τρέχον προφίλ και το περιεχόμενο του πιστοποιητικού για κάθε εκδιδόμενο QC, ανά CSPQC που συμπεριλαμβάνεται στον TL.

Θεωρητικά, κάθε εκδιδόμενο QC πρέπει να συμπεριλαμβάνει τη δήλωση QcCompliance, η οποία ορίζεται από το ETSI ( 12 ) όταν υποστηρίζεται ότι είναι QC και πρέπει να συμπεριλαμβάνει τη δήλωση QcSSCD, η οποία ορίζεται από το ETSI, όταν υποστηρίζεται ότι υποστηρίζεται από μια SSCD για τη δημιουργία ηλεκτρονικών υπογραφών ή/και ότι κάθε εκδιδόμενο QC συμπεριλαμβάνει ένα από τα QCP/QCP+, τα αναγνωριστικά αντικειμένου πολιτικής πιστοποιητικού (OID), τα οποία ορίζονται στις τεχνικές προδιαγραφές του ETSI, TS 101 456 ( 13 ). Το γεγονός ότι οι CSP που εκδίδουν QC χρησιμοποιούν διαφορετικά πρότυπα ως αναφορές, το μεγάλο εύρος για την ερμηνεία των εν λόγω προτύπων, καθώς και η μη επίγνωση της ύπαρξης και του προηγούμενου κάποιων κανονιστικών τεχνικών προδιαγραφών ή προτύπων, οδήγησε σε διαφορές στο πραγματικό περιεχόμενο των QC που εκδίδονται τώρα (π.χ. η χρήση ή η μη χρήση των εν λόγω δηλώσεων QcStatements που ορίζονται στο ETSI) και κατά συνέπεια αποτρέπουν τον αποδέκτη να βασίζεται απλά στο πιστοποιητικό του υπογράφοντος (και στη συνδεδεμένη αλυσίδα/διαδρομή) για να αξιολογήσει, τουλάχιστον με τρόπο ανάγνωσης από μηχανή, αν το πιστοποιητικό που υποστηρίζει ηλεκτρονική υπογραφή υποστηρίζεται ότι αποτελεί QC και αν συνδέεται με μια ασφαλή διάταξη δημιουργίας υπογραφής μέσω της οποίας δημιουργήθηκε η ηλεκτρονική υπογραφή.

Η συμπλήρωση των πεδίων «Αναγνωριστικό τύπου υπηρεσίας» (Service type identifier - «Sti»), «Ονομασία υπηρεσίας» (Service name - «Sn») και «Ψηφιακή ταυτότητα υπηρεσίας» (Service digital identity - «Sdi») ( 14 ) με τις πληροφορίες που παρέχονται από το πεδίο «Επεκτάσεις πληροφοριών υπηρεσίας» (Service information extensions - «Sie») επιτρέπει στο προτεινόμενο κοινό σχεδιότυπο TL να καθορίσει πλήρως έναν συγκεκριμένο τύπο αναγνωρισμένου πιστοποιητικού που εκδίδεται από μια καταγεγραμμένη υπηρεσία πιστοποίησης CSP που εκδίδει QC για την παροχή πληροφοριών σχετικά με το αν υποστηρίζεται ή όχι από μια ασφαλή διάταξη δημιουργίας υπογραφής (όταν οι πληροφορίες αυτές απουσιάζουν από το εκδιδόμενο QC). Πληροφορίες για μια συγκεκριμένη «Τρέχουσα κατάσταση υπηρεσίας» (Service current status - «Scs») ασφαλώς σχετίζονται με αυτή την καταχώριση. Αυτό παρουσιάζεται στο διάγραμμα 2 παρακάτω.

Η καταγραφή μιας υπηρεσίας απλά παρέχοντας το «Sdi» μιας αρχής πιστοποίησης βάσης (Root) CA σημαίνει ότι εξασφαλίζεται (από τον CSP που εκδίδει QC αλλά και από τον φορέα εποπτείας/διαπίστευσης, που είναι υπεύθυνος για την εποπτεία/διαπίστευση του εν λόγω CSP) ότι οποιοδήποτε πιστοποιητικό για οντότητες-τελικούς αποδέκτες, το οποίο εκδίδεται βάσει της εν λόγω αρχής πιστοποίησης βάσης (Root) CA (ιεραρχία) περιέχει αρκετές πληροφορίες οριζόμενες από το ETSI και με δυνατότητα επεξεργασίας με μηχανικά μέσα για να αξιολογηθεί αν πρόκειται για QC ή όχι και αν υποστηρίζεται από SSCD. Σε περίπτωση, για παράδειγμα, που αυτή η τελευταία πρόταση δεν είναι αληθής (π.χ. αν δεν υπάρχουν στο QC ενδείξεις τυποποιημένες βάσει του ETSI και με δυνατότητα επεξεργασίας με μηχανικά μέσα σχετικά με το αν υποστηρίζεται από SSCD), τότε καταγράφοντας μόνο το «Sdi» της εν λόγω αρχής πιστοποίησης βάσης (Root) CA, το μόνο συμπέρασμα που μπορεί να εξαχθεί είναι ότι τα QC που εκδόθηκαν σύμφωνα με την εν λόγω ιεραρχία αρχής πιστοποίησης βάσης (Root) CA δεν υποστηρίζονται από καμία SSCD. Προκειμένου να θεωρηθεί ότι τα εν λόγω QC υποστηρίζονται από SSCD, πρέπει να χρησιμοποιηθεί το «Sie» για να δηλώσει αυτό το γεγονός (αυτό υποδεικνύει επίσης ότι παρέχει σχετικές εγγυήσεις ο CSP που εκδίδει QC και που εποπτεύεται/διαπιστεύεται από τον φορέα εποπτείας/διαπίστευσης αντίστοιχα).

Οι τρέχουσες τεχνικές προδιαγραφές του κοινού σχεδιοτύπου του TL επιτρέπουν τη χρήση ενός συνδυασμού πέντε κυρίων μερών πληροφοριών στην καταχώριση της υπηρεσίας:

2.3. Κατευθυντήριες γραμμές επεξεργασίας και χρήσης για τις καταχωρίσεις υπηρεσιών CSPQC

Οι γενικές κατευθυντήριες γραμμές επεξεργασίας είναι οι εξής:

Ως γενική εξ ορισμού αρχή, για έναν CSP ο οποίος είναι καταγεγραμμένος στον κατάλογο εμπίστευσης πρέπει να υπάρχει μία καταχώριση υπηρεσίας για κάθε πιστοποιητικό X.509v3 ανά υπηρεσία πιστοποίησης τύπου CA/QC, δηλαδή ανά αρχή πιστοποίησης που εκδίδει QC (άμεσα). Σε κάποιες προσεκτικά προβλεπόμενες περιπτώσεις και υπό προσεκτικά ρυθμιζόμενες συνθήκες, ο φορέας εποπτείας/διαπίστευσης ενός κράτους μέλους μπορεί να αποφασίσει να χρησιμοποιήσει το πιστοποιητικό X.509v3 μιας αρχής πιστοποίησης βάσης ή ανώτερου επιπέδου (δηλαδή μιας αρχής πιστοποίησης η οποία δεν εκδίδει άμεσα QC για οντότητες-τελικούς αποδέκτες, αλλά η οποία πιστοποιεί μια ιεραρχία αρχών πιστοποίησης μέχρι εκείνες τις αρχές που εκδίδουν QC για οντότητες-τελικούς αποδέκτες) ως το «Sdi» μιας ενιαίας καταχώρισης στον κατάλογο υπηρεσιών ενός καταγεγραμμένου CSP. Οι συνέπειες (υπέρ και κατά) της χρήσης του εν λόγω X.509v3 Αρχής Πιστοποίησης Βάσης ή Αρχής Πιστοποίησης Ανώτερης Βαθμίδας ως τιμών «Sdi» για τις καταχωρίσεις των υπηρεσιών του TL πρέπει να ληφθούν σοβαρά υπόψη και η ευθύνη να αναληφθεί από τα κράτη μέλη. Επιπλέον, χρησιμοποιώντας αυτή την επιτρεπόμενη εξαίρεση από την εξ ορισμού αρχή, το κράτος μέλος πρέπει να παράσχει την τεκμηρίωση που απαιτείται για να διευκολύνει τη δημιουργία και την επαλήθευση της διαδρομής πιστοποίησης.

Προκειμένου να παρουσιαστούν οι γενικές κατευθυντήριες γραμμές επεξεργασίας, μπορούν να δοθούν τα παρακάτω παραδείγματα: Στο πλαίσιο ενός CSPQC ο οποίος χρησιμοποιεί μια αρχή πιστοποίησης βάσης, στο πλαίσιο της οποίας πολλές αρχές πιστοποίησης εκδίδουν τόσο αναγνωρισμένα όσο και μη αναγνωρισμένα πιστοποιητικά, αλλά τα QC που εκδίδονται περιέχουν μόνο τη δήλωση συμμόρφωσης QcCompliance και καμία ένδειξη για το αν υποστηρίζονται από SSCD, η καταγραφή του «Sdi» της αρχής πιστοποίησης βάσης σημαίνει μόνο, βάσει των κανόνων που εξηγήθηκαν παραπάνω, ότι οποιοδήποτε QC που εκδίδεται υπό την εν λόγω ιεραρχία αρχής πιστοποίησης βάσης ΔΕΝ υποστηρίζεται από κάποια SSCD. Αν τα εν λόγω QC πράγματι υποστηρίζονται από SSCD, συνιστάται ιδιαίτερα να χρησιμοποιηθεί η δήλωση QcSSCD στα QC που θα εκδίδονται μελλοντικά. Εν τω μεταξύ (μέχρι τη λήξη του τελευταίου QC που δεν περιέχει αυτές τις πληροφορίες), στον TSL μπορεί να χρησιμοποιηθεί το πεδίο «Sie» και η συσχετισμένη επέκταση «Προσδιορισμοί», π.χ. φιλτράροντας τα πιστοποιητικά μέσω ειδικού/ειδικών OID που καθορίζονται από τον CSPQC, τα οποία χρησιμοποιούνται ενδεχομένως από τον CSPQC για να κάνει διάκριση ανάμεσα στους διάφορους τύπους QC (κάποια από τα οποία υποστηρίζονται από SSCD, ενώ κάποια άλλα όχι) και τα οποία περιέχουν ρητές «πληροφορίες υποστήριξης SSCD» όσον αφορά τα πιστοποιητικά που φιλτράρονται μέσω της χρήσης «Προσδιοριστών».

Οι γενικές κατευθυντήριες γραμμές χρήσης για τις εφαρμογές, τις υπηρεσίες ή τα προϊόντα που αφορούν τις ηλεκτρονικές υπογραφές, και που βασίζονται στην εφαρμογή TSL ενός καταλόγου εμπίστευσης, σύμφωνα με τις παρούσες τεχνικές προδιαγραφές έχουν ως εξής:

Μια καταχώριση «CA/QC»«Sti» (παρομοίως μια καταχώριση CA/QC που αναγνωρίζεται περαιτέρω ότι αποτελεί «RootCA/QC» μέσω της χρήσης της επέκτασης «Sie» additionalServiceInformation)

2.4. Υπηρεσίες που υποστηρίζουν υπηρεσίες «CA/QC» αλλά που δεν αποτελούν μέρος των «CA/QC»«Sdi»

Πρέπει επίσης να καλύπτονται οι περιπτώσεις κατά τις οποίες οι CRL και οι αποκρίσεις OCSP υπογράφονται από κλειδιά που δεν προέρχονται από μια αρχή πιστοποίησης που εκδίδει QC («CA/QC»). Αυτό μπορεί να καλυφθεί καταγράφοντας τις υπηρεσίες αυτές ως τέτοιες κατά την εφαρμογή TSL του TL (δηλαδή με ένα «Αναγνωριστικό τύπου υπηρεσίας» επιπλέον αναγνωρισμένο με μια επέκταση «additionalServiceInformation», η οποία παρουσιάζει μια υπηρεσία OCSP ή CRL ως μέρος της παροχής QC, π.χ. με τύπο υπηρεσίας «OCSP/QC» ή «CRL/QC» αντίστοιχα), εφόσον οι εν λόγω υπηρεσίες μπορούν να θεωρηθούν μέρος των εποπτευόμενων/διαπιστευμένων «αναγνωρισμένων» υπηρεσιών που έχουν σχέση με την παροχή υπηρεσιών πιστοποίησης QC. Ασφαλώς, οι αποκριτές OCSP ή οι εκδότες CRL, των οποίων τα πιστοποιητικά είναι υπογεγραμμένα από τις αρχές πιστοποίησης στην ιεραρχία μιας καταγεγραμμένης υπηρεσίας CA/QC πρέπει να θεωρούνται «έγκυρα» και σύμφωνα με την τιμή κατάστασης της καταγεγραμμένης υπηρεσίας CA/QC.

Παρόμοια διάταξη μπορεί να ισχύει και για υπηρεσίες πιστοποίησης που εκδίδουν μη αναγνωρισμένα πιστοποιητικά (τύπου υπηρεσίας «CA/PKC»), χρησιμοποιώντας εξ ορισμού τους τύπους υπηρεσιών OCSP και CRL βάσει των τεχνικών προδιαγραφών του ETSI, TS 102 231.

Επισημαίνεται ότι η εφαρμογή TSL του TL ΠΡΕΠΕΙ να συμπεριλαμβάνει υπηρεσίες ανάκλησης όταν οι σχετικές πληροφορίες δεν υπάρχουν στο πεδίο AIA των τελικών πιστοποιητικών ή όταν δεν φέρει την υπογραφή μιας αρχής πιστοποίησης από τις καταγεγραμμένες.

2.5. Μετάβαση προς διαλειτουργικό προφίλ QC

Κατά γενικό κανόνα, πρέπει να γίνει προσπάθεια για την απλούστευση (τη μείωση) όσο το δυνατόν περισσότερο του αριθμού των καταχωρίσεων υπηρεσιών (διαφορετικών «Sdi»). Αυτό ωστόσο πρέπει να εξισορροπηθεί με τη σωστή αναγνώριση των υπηρεσιών που σχετίζονται με την έκδοση QC και με την παροχή των εμπιστευμένων πληροφοριών σχετικά με το αν τα εν λόγω QC υποστηρίζονται από SSCD όταν οι πληροφορίες αυτές απουσιάζουν από το εκδοθέν QC.

Θεωρητικά, η χρήση του πεδίου «Sie» και της επέκτασης «Qualification» (Αναγνώριση) πρέπει να περιορίζεται (αυστηρά) σε εκείνες τις συγκεκριμένες περιπτώσεις που επιλύονται με αυτό τον τρόπο, καθώς τα QC πρέπει να περιλαμβάνουν επαρκείς πληροφορίες όσον αφορά την υποστηριζόμενη κατάσταση αναγνώρισης και την υποστηριζόμενη υποστήριξη ή μη από μια SSCD.

Τα κράτη μέλη πρέπει, στο μέτρο του δυνατού, να ενισχύσουν την υιοθέτηση και τη χρήση διαλειτουργικών προφίλ QC.

3. Δομή του κοινού σχεδιοτύπου για τον κατάλογο εμπίστευσης

Το προτεινόμενο κοινό σχεδιότυπο για έναν κατάλογο εμπίστευσης των κρατών μελών θα είναι δομημένο σύμφωνα με τις παρακάτω κατηγορίες πληροφοριών:

Στο πλαίσιο ενός CSP που εκδίδει QC, η αδιαμφισβήτητη ταυτοποίηση μιας εποπτευόμενης/διαπιστευμένης υπηρεσίας πιστοποίησης προς καταγραφή πρέπει να λαμβάνει υπόψη τις καταστάσεις εκείνες κατά τις οποίες δεν είναι διαθέσιμες αρκετές πληροφορίες στο αναγνωρισμένο πιστοποιητικό σχετικά με την «αναγνωρισμένη» κατάστασή του, την ενδεχόμενη υποστήριξή του από μια SSCD και ειδικά προκειμένου να αντιμετωπιστεί το επιπλέον γεγονός ότι οι περισσότεροι από τους (εμπορικούς) CSP χρησιμοποιούν μια ενιαία αναγνωρισμένη εκδίδουσα αρχή πιστοποίησης για την έκδοση πολλών τύπων πιστοποιητικών για οντότητες-τελικούς αποδέκτες, αναγνωρισμένων και μη.

Ο αριθμός καταχωρίσεων στον κατάλογο ανά αναγνωρισμένο CSP μπορεί να μειωθεί σε περιπτώσεις όπου υπάρχουν μια ή περισσότερες υπηρεσίες αρχής πιστοποίησης ανώτερης βαθμίδας, π.χ. στο πλαίσιο μιας εμπορικής ιεραρχίας αρχών πιστοποίησης από μια αρχή πιστοποίησης βάσης μέχρι εκδίδουσες αρχές πιστοποίησης. Ωστόσο, ακόμη και σε αυτές τις περιπτώσεις, πρέπει να διατηρηθεί και να διασφαλιστεί η αρχή διασφάλισης του αδιαμφισβήτητου δεσμού μεταξύ μιας υπηρεσίας πιστοποίησης CSPQC και του συνόλου πιστοποιητικών που πρέπει να αναγνωριστούν ως QC.

1. Πληροφορίες σχετικά με τον κατάλογο εμπίστευσης και το σχήμα έκδοσής του.

Οι παρακάτω πληροφορίες θα αποτελούν μέρος αυτής της κατηγορίας:

2. Σαφείς πληροφορίες ταυτοποίησης για κάθε CSP που αναγνωρίζεται από το σχήμα

Αυτό το σύνολο πληροφοριών θα συμπεριλαμβάνει τουλάχιστον τα εξής:

3. Για κάθε καταγεγραμμένο CSP, μια σειρά πεδίων με σαφείς πληροφορίες ταυτότητας μιας υπηρεσίας πιστοποίησης που παρέχει ο CSP και που εποπτεύεται/διαπιστεύεται στο πλαίσιο της οδηγίας 1999/93/ΕΚ

Αυτό το σύνολο πληροφοριών θα συμπεριλαμβάνει τουλάχιστον τα παρακάτω για κάθε υπηρεσία πιστοποίησης από έναν καταγεγραμμένο CSP:

4. Για έκαστη καταγεγραμμένη υπηρεσία πιστοποίησης, η αναγνώριση της τρέχουσας κατάστασης της υπηρεσίας και του ιστορικού της εν λόγω κατάστασης

Αυτό το σύνολο πληροφοριών θα συμπεριλαμβάνει τουλάχιστον τα εξής:

4. Ορισμοί και συντμήσεις

Για τους σκοπούς του παρόντος εγγράφου, ισχύουν οι παρακάτω ορισμοί και ακρώνυμα:

ΚΕΦΑΛΑΙΟ I

ΑΝΑΛΥΤΙΚΕΣ ΠΡΟΔΙΑΓΡΑΦΕΣ ΕΝΟΣ ΚΟΙΝΟΥ ΣΧΕΔΙΟΤΥΠΟΥ ΓΙΑ ΤΟΝ «ΚΑΤΑΛΟΓΟ ΕΜΠΙΣΤΕΥΣΗΣ ΕΠΟΠΤΕ ΥΟΜΕΝΩΝ/ΔΙΑΠΙΣΤΕΥΜΕΝΩΝ ΠΑΡΟΧΩΝ ΥΠΗΡΕΣΙΩΝ ΠΙΣΤΟΠΟΙΗΣΗΣ»

Στο παρακάτω μέρος του εγγράφου, οι λέξεις-κλειδιά «ΠΡΕΠΕΙ ΝΑ», «ΔΕΝ ΠΡΕΠΕΙ ΝΑ», «ΑΠΑΙΤΕΙΤΑΙ», «ΘΑ ΠΡΕΠΕΙ ΝΑ», «ΔΕΝ ΘΑ ΠΡΕΠΕΙ ΝΑ», «ΠΡΟΤΕΙΝΕΤΑΙ ΝΑ», «ΔΕΝ ΠΡΟΤΕΙΝΕΤΑΙ ΝΑ», «ΣΥΝΙΣΤΑΤΑΙ ΝΑ», «ΔΥΝΑΤΑΙ ΝΑ» και «ΠΡΟΑΙΡΕΤΙΚΑ» πρέπει να ερμηνεύονται όπως περιγράφεται στο RFC (αίτηση για σχολιασμό) 2119 ( 15 ).

►M1 Οι παρούσες προδιαγραφές βασίζονται στις προδιαγραφές και τις απαιτήσεις που δηλώνονται στο ETSI TS 102 231 v.3.1.2. Όταν δεν δηλώνεται συγκεκριμένη απαίτηση στις παρούσες προδιαγραφές, ισχύουν εξ ολοκλήρου οι απαιτήσεις του ETSI TS 102 231 v.3.1.2. ◄ Όταν δηλώνονται συγκεκριμένες απαιτήσεις στις παρούσες προδιαγραφές, ΘΑ ΠΡΕΠΕΙ ΝΑ υπερισχύουν των αντίστοιχων απαιτήσεων του ETSI TS 102 231, ενώ θα συμπληρώνονται από τις προδιαγραφές μορφής που ορίζονται στο ETSI TS 102 231. Σε περίπτωση αποκλίσεων μεταξύ των εν λόγω προδιαγραφών από το ETSI TS 102 231, οι παρούσες προδιαγραφές ΘΑ ΠΡΕΠΕΙ ΝΑ έχουν κανονιστική ισχύ.

ΘΑ ΠΡΕΠΕΙ ΝΑ εφαρμόζεται γλωσσική υποστήριξη και να παρέχεται τουλάχιστον στα αγγλικά (EN) και ενδεχομένως επιπρόσθετα στις γλώσσες μιας ή περισσότερων άλλων χωρών.

Η ένδειξη ημερομηνίας-ώρας ΘΑ ΠΡΕΠΕΙ ΝΑ συμμορφώνεται με τη διάταξη 5.1.4 του ETSI TS 102 231.

Η χρήση URI ΘΑ ΠΡΕΠΕΙ ΝΑ συμμορφώνεται με τη διάταξη 5.1.5 του ETSI TS 102 231.

Πληροφορίες σχετικά με το σχήμα έκδοσης του καταλόγου εμπίστευσης

Tag

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ και ΘΑ ΠΡΕΠΕΙ ΝΑ συμμορφώνεται με τη διάταξη 5.2.1 του ETSI TS 102 231.

▼M1 —————

▼C1

Scheme Information

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ και ΘΑ ΠΡΕΠΕΙ ΝΑ οριστεί στο «3» (ακέραιος αριθμός).

▼M1

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ. ΚΑΘΟΡΙΖΕΙ τον αριθμό ακολουθίας του TSL. Ξεκινώντας από το «1» στην πρώτη έκδοση του TSL, αυτή η ακέραιη τιμή ΑΥΞΑΝΕΤΑΙ κατά 1 σε κάθε μετέπειτα έκδοση του TSL. ΔΕΝ ανακυκλώνεται σε «1» όταν εφαρμοστεί το προαναφερθέν πεδίο «TSL version identifier» (αναγνωριστικό έκδοσης TSL).

▼C1

▼M1

Αυτό το πεδίο ΑΠΑΙΤΕΙΤΑΙ για να καθοριστεί ο τύπος του TSL. ΟΡΙΖΕΤΑΙ σε http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (Generic).

▼C1

Σημείωση: Προκειμένου να υπάρξει συμμόρφωση με το ETSI TS 102 231, τη διάταξη 5.3.3, και να υποδειχθεί ο συγκεκριμένος τύπος TSL, κάνοντας αναφορά στην ύπαρξη των εκάστοτε προδιαγραφών που διέπουν την καθιέρωση της εφαρμογής του TSL του καταλόγου εμπίστευσης των κρατών μελών ( 16 ) και επιτρέποντας σε έναν κατατμητή να καθορίσει ποια μορφή οποιωνδήποτε από τα παρακάτω πεδία ( 17 ) είναι αναμενόμενη, σε περιπτώσεις κατά τις οποίες τα εν λόγω πεδία έχουν καθορισμένες (ή εναλλακτικές) έννοιες, ανάλογα με τον τύπο TSL στον οποίο αντιστοιχούν (στην προκειμένη περίπτωση, σε έναν κατάλογο εμπίστευσης ενός κράτους μέλους), το παραπάνω ειδικό URI ΘΑ ΠΡΕΠΕΙ ΝΑ καταγραφεί και να περιγραφεί ως εξής:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic

▼C1

Περιγραφή : Μια εφαρμογή TSL ενός καταλόγου κατάστασης εποπτείας/διαπίστευσης των υπηρεσιών πιστοποίησης από τους παρόχους υπηρεσιών πιστοποίησης, οι οποίοι εποπτεύονται/διαπιστεύονται από το εκάστοτε κράτος μέλος που είναι υπεύθυνο για την εφαρμογή του TSL σχετικά με τη συμμόρφωσή τους με τις σχετικές διατάξεις της οδηγίας 1999/93/ΕΚ για ηλεκτρονικές υπογραφές, μέσω μιας διαδικασίας άμεσου ελέγχου (εθελοντικού ή ρυθμιστικού).

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ. ΘΑ ΠΡΕΠΕΙ ΝΑ καθορίζει την επωνυμία του φορέα του κράτους μέλους που είναι υπεύθυνος για την κατάρτιση, τη δημοσίευση και την τήρηση του εθνικού καταλόγου εμπίστευσης. ΘΑ ΠΡΕΠΕΙ ΝΑ καθορίζει την επίσημη επωνυμία υπό την οποία λειτουργεί το συσχετιζόμενο νομικό πρόσωπο ή το εντεταλμένο νομικό πρόσωπο (π.χ., για κυβερνητικές διοικητικές υπηρεσίες) που συσχετίζεται με τον εν λόγω φορέα. ΠΡΕΠΕΙ ΝΑ είναι η επωνυμία που χρησιμοποιείται στις επίσημες εγγραφές σε μητρώα ή στην άδεια και εκείνη προς την οποία πρέπει να απευθύνεται κάθε επίσημη επικοινωνία. ΘΑ ΠΡΕΠΕΙ ΝΑ αποτελεί σειρά πολύγλωσσων στοιχειοσειρών και ΘΑ ΠΡΕΠΕΙ ΝΑ εφαρμοστεί με την αγγλική (EN) ως υποχρεωτική γλώσσα και με ενδεχομένως μια ή περισσότερες εθνικές γλώσσες.

Σημείωση: Μια χώρα ΔΥΝΑΤΑΙ ΝΑ διαθέτει χωριστούς φορείς εποπτείας και διαπίστευσης και ακόμη και συμπληρωματικούς φορείς για τυχόν επιχειρησιακές δραστηριότητες. ►M1 Απόκειται σε έκαστο κράτος μέλος να ορίσει τον Scheme operator για την εφαρμογή TSL του TL του κράτους μέλους. ◄ Αναμένεται ο φορέας εποπτείας, ο φορέας διαπίστευσης και ο υπεύθυνος σχήματος (όταν εμφανίζονται ως χωριστοί φορείς) να αναλάβουν έκαστος τις δικές του αρμοδιότητες και ευθύνες.

Οποιαδήποτε κατάσταση στην οποία πολλοί φορείς είναι υπεύθυνοι για την εποπτεία, τη διαπίστευση ή τις επιχειρησιακές πτυχές ΘΑ ΠΡΕΠΕΙ ΝΑ αντικατοπτρίζεται με συνέπεια και να αναγνωρίζεται ως τέτοια στις πληροφορίες σχήματος στο πλαίσιο του TL, συμπεριλαμβανομένων των πληροφοριών που αφορούν ειδικά το σχήμα, οι οποίες ορίζονται στο πεδίο «Scheme information URI» (URI πληροφοριών σχήματος) (διάταξη 5.3.7).

▼M1

Ο κατονομαζόμενος Scheme Operator (διάταξη 5.3.4) είναι ο φορέας που θα υπογράφει το TSL.

▼C1

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ. ΘΑ ΠΡΕΠΕΙ ΝΑ καθορίζει τη διεύθυνση του νομικού προσώπου ή του εντεταλμένου οργανισμού που ορίζεται στο πεδίο «Scheme operator name» (διάταξη 5.3.4) τόσο για τις ταχυδρομικές όσο και για τις ηλεκτρονικές επικοινωνίες. ΘΑ ΠΡΕΠΕΙ ΝΑ συμπεριλαμβάνει την «PostalAddress» (δηλαδή οδό, τόπο, [πολιτεία ή επαρχία], [ταχυδρομικό κωδικό] και τον κωδικό χώρας ISO 3166-1 alpha-2), σύμφωνα με τη διάταξη 5.3.5.1 και την «ElectronicAddress» (δηλαδή διεύθυνση ηλεκτρονικού ταχυδρομείου ή/και URI διαδικτυακού τόπου), σύμφωνα με τη διάταξη 5.3.5.2.

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ, καθώς καθορίζει την ονομασία υπό την οποία λειτουργεί το σχήμα. ΘΑ ΠΡΕΠΕΙ ΝΑ αποτελεί αλληλουχία πολύγλωσσων στοιχειοσειρών (με υποχρεωτική γλώσσα την EN και με ενδεχομένως μια ή περισσότερες εθνικές γλώσσες) και ορίζεται όπως παρακάτω:

«Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws,»

Η ονομασία του σχήματος είναι απαραίτητη για τη μονοσήμαντη ταυτοποίηση, βάσει της ονομασίας, του σχήματος που παρουσιάζεται στο «Scheme information URI», καθώς και για να διασφαλίσει ότι σε περίπτωση που ένας υπεύθυνος σχήματος λειτουργεί σε περισσότερα από ένα σχήματα, υπάρχει μια χωριστή ονομασία που δίνεται σε καθέναν εξ αυτών.

Τα κράτη μέλη και οι υπεύθυνοι σχήματος ΘΑ ΠΡΕΠΕΙ ΝΑ βεβαιωθούν ότι όταν ένα κράτος μέλος ή ένας υπεύθυνος σχήματος διαχειρίζεται περισσότερα από ένα σχήματα, σε καθένα εξ αυτών δίνεται χωριστή ονομασία.

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ και ΘΑ ΠΡΕΠΕΙ ΝΑ καθορίζει το/τα URI από όπου οι χρήστες (τα εξαρτώμενα μέρη) μπορούν να λάβουν πληροφορίες για το σχήμα (με την EN ως υποχρεωτική γλώσσα και με ενδεχομένως μια ή περισσότερες εθνικές γλώσσες). Αυτό ΘΑ ΠΡΕΠΕΙ ΝΑ αποτελεί σειρά πολύγλωσσων δεικτών (με υποχρεωτική γλώσσα την EN και με ενδεχομένως μια ή περισσότερες εθνικές γλώσσες). Το/τα εκάστοτε URI ΠΡΕΠΕΙ ΝΑ παρέχουν μια διαδρομή προς πληροφορίες, οι οποίες αντιστοιχούν στην περιγραφή «κατάλληλες πληροφορίες για το σχήμα».

Οι «κατάλληλες πληροφορίες για το σχήμα» ΘΑ ΠΡΕΠΕΙ ΝΑ συμπεριλαμβάνουν τουλάχιστον:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

The present list is the TSL implementation of [name of the relevant Member State] ‘Trusted List of supervised/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Επιπλέον ειδικές πληροφορίες ανά κράτος μέλος για το σχήμα ΔΥΝΑΤΑΙ ΝΑ παρέχονται εθελοντικά. Σε αυτές ΘΑ ΠΡΕΠΕΙ ΝΑ συμπεριλαμβάνονται:

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ και ΘΑ ΠΡΕΠΕΙ ΝΑ καθορίζει το αναγνωριστικό της προσέγγισης καθορισμού κατάστασης. Το παρακάτω ειδικό URI ΘΑ ΠΡΕΠΕΙ ΝΑ χρησιμοποιηθεί όπως καταγράφεται και περιγράφεται παρακάτω:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Περιγραφή : Η κατάσταση των καταγεγραμμένων υπηρεσιών καθορίζεται από ή εκ μέρους του υπεύθυνου σχήματος στο πλαίσιο ενός κατάλληλου συστήματος για κάθε κράτος μέλος που προβλέπει «εποπτεία» (και, όταν ισχύει, «εθελοντική διαπίστευση») των παρόχων υπηρεσιών πιστοποίησης οι οποίοι είναι εγκατεστημένοι στην επικράτειά του (ή είναι εγκατεστημένοι σε μια τρίτη χώρα στην περίπτωση της «εθελοντικής διαπίστευσης») και εκδίδουν αναγνωρισμένα πιστοποιητικά για το κοινό, σύμφωνα με το άρθρο 3 παράγραφος 3 [αντίστοιχα, το άρθρο 3 παράγραφος 2 ή το άρθρο 7 παράγραφος 1 στοιχείο α)] της οδηγίας 1999/93/ΕΚ και, όταν ισχύει, που προβλέπει την «εποπτεία»/«εθελοντική διαπίστευση» των παρόχων υπηρεσιών διαπίστευσης, οι οποίοι δεν εκδίδουν αναγνωρισμένα πιστοποιητικά, σύμφωνα με ένα καθορισμένο και καθιερωμένο σε εθνικό επίπεδο «αναγνωρισμένο σχήμα/αναγνωρισμένα σχήματα έγκρισης», το οποίο εφαρμόζεται σε εθνική βάση για την εποπτεία της συμμόρφωσης των υπηρεσιών από CSP που δεν εκδίδουν QC με τις διατάξεις που ορίζει η οδηγία 1999/93/ΕΚ και που ενδεχομένως επεκτείνονται με εθνικές διατάξεις όσον αφορά την παροχή των εν λόγω υπηρεσιών πιστοποίησης.

Το πεδίο αυτό ΑΠΑΙΤΕΙΤΑΙ και ΘΑ ΠΡΕΠΕΙ ΝΑ περιέχει τουλάχιστον τα παρακάτω καταγεγραμμένα URI:

— Ένα URI κοινό για τους καταλόγους εμπίστευσης όλων των κρατών μελών, το οποίο οδηγεί σε ένα περιγραφικό κείμενο το οποίο ΘΑ ΠΡΕΠΕΙ ΝΑ ισχύει για όλους τους TL:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— Μέσω του οποίου δηλώνεται συμμετοχή του σχήματος του κράτους μέλους (το οποίο αναγνωρίζεται μέσω του «TSL type» (διάταξη 5.3.3) και του «Scheme name» (διάταξη 5.3.6) σε ένα σχήμα σχημάτων (δηλαδή μια καταγραφή TSL οδηγεί σε όλα τα κράτη μέλη που δημοσιεύουν και διατηρούν TL υπό τη μορφή TSL)

— Όπου οι χρήστες μπορούν να λάβουν πολιτική/κανόνες βάσει των οποίων ΘΑ ΠΡΕΠΕΙ ΝΑ αξιολογούνται οι υπηρεσίες που συμπεριλαμβάνονται στον κατάλογο και από το οποίο θα μπορεί να καθοριστεί ο τύπος του TSL (βλέπε διάταξη 5.3.3)

— Όπου οι χρήστες μπορούν να λάβουν μια περιγραφή σχετικά με το πώς να χρησιμοποιούν και να ερμηνεύουν το περιεχόμενο της εφαρμογής TSL του καταλόγου εμπίστευσης. Οι εν λόγω κανόνες χρήσης ΘΑ ΠΡΕΠΕΙ ΝΑ είναι κοινοί για τους έμπιστους καταλόγους όλων των κρατών μελών, ανεξάρτητα από τον τύπο της καταγεγραμμένης υπηρεσίας και ανεξάρτητα από το σύστημα/συστήματα εποπτείας/διαπίστευσης.

— Περιγραφικό κείμενο:

▼C2

Each Member State must create a ‘Trusted List of supervised/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a ‘voluntary accreditation’ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined ‘recognised approval scheme’ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific ‘qualification’ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a ‘qualification’ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A ‘CA/QC’‘Service type identifier’ (‘Sti’) entry (similarly a CA/QC entry further qualified as being a ‘RootCA/QC’ through the use of ‘Service information extension’ (‘Sie’) additionalServiceInformation extension)

— indicates that from the ‘Service digital identifier’ (‘Sdi’) identified CA (similarly within the CA hierarchy starting from the ‘Sdi’ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no ‘Sie’ ‘Qualification’ information is present or if an end-entity certificate that is claimed to be a QC is not ‘further identified’ through a related ‘Sie’ entry, then the ‘machine-processable’ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF‘Sie’‘Qualification’å information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this ‘Sie’ ‘Qualification’ entry, which is constructed on the principle of a sequence of ‘filters’ further identifying a set of certificates, must be considered according to the associated ‘qualifiers’ providing some additional information regarding ‘SSCD support’ and/or ‘Legal person as subject’ (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific ‘Key usage’ pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of ‘qualifiers’ used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — ‘QCWithSSCD’ qualifier value meaning ‘QC supported by an SSCD’, or — ‘QCNoSSCD’ qualifier value meaning ‘QC not supported by an SSCD’, or — ‘QCSSCDStatusAsInCert’ qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the ‘Sdi’-‘Sie’ provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — ‘QCForLegalPerson’ qualifier value meaning ‘Certificate issued to a Legal Person’ — The general interpretation rule for any other ‘Sti’ type entry is that the listed service named according to the ‘Sn’ field value and uniquely identified by the ‘Sdi’ field value has a current supervision/accreditation status according to the ‘Scs’ field value as from the date indicated in the ‘Current status starting date and time’. Specific interpretation rules for any additional information with regard to a listed service (e.g. ‘Service information extensions’ field) may be found, when applicable, in the Member State specific URI as part of the present ‘Scheme type/community/rules’ field. — Please refer to the Technical specifications for a Common Template for the ‘Trusted List of supervised/accredited Certification Service Providers’ in the Annex of Commission Decision [reference to the actual Decision] for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.

▼C1