ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ

της 25ης Φεβρουαρίου 2011

περί καθιέρωσης ελάχιστων απαιτήσεων για τη διασυνοριακή επεξεργασία εγγράφων τα οποία έχουν υπογραφεί ηλεκτρονικά από αρμόδιες αρχές, σύμφωνα με την οδηγία 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με τις υπηρεσίες στην εσωτερική αγορά

[κοινοποιηθείσα υπό τον αριθμό Ε(2011) 1081]

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(2011/130/ΕΕ)

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη την οδηγία 2006/123/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Δεκεμβρίου 2006, σχετικά με τις υπηρεσίες στην εσωτερική αγορά (1), και ιδίως το άρθρο 8 παράγραφος 3,

Εκτιμώντας τα ακόλουθα:

ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:

Άρθρο 1

Μορφότυπος αναφοράς για ηλεκτρονικές υπογραφές

1. Τα κράτη μέλη δημιουργούν τα αναγκαία τεχνικά μέσα που τους επιτρέπουν να επεξεργάζονται ηλεκτρονικώς υπογεγραμμένα έγγραφα, τα οποία υποβάλλουν πάροχοι υπηρεσιών στο πλαίσιο διεκπεραίωσης διαδικασιών και διατυπώσεων μέσω των ενιαίων κέντρων εξυπηρέτησης, όπως προβλέπεται στο άρθρο 8 της οδηγίας 2006/123/ΕΚ, και τα οποία έχουν υπογραφεί από αρμόδιες αρχές άλλων κρατών μελών με προηγμένη ηλεκτρονική υπογραφή XML ή CMS ή PDF σε μορφότυπο BES ή EPES, σύμφωνα με τις τεχνικές προδιαγραφές του παραρτήματος.

2. Τα κράτη μέλη, των οποίων αρμόδιες αρχές υπογράφουν τα έγγραφα τα αναφερόμενα στην παράγραφο 1 με χρήση μορφότυπων ηλεκτρονικών υπογραφών άλλων από τους αναφερόμενους στην ίδια παράγραφο, γνωστοποιούν στην Επιτροπή υφιστάμενες δυνατότητες επικύρωσης που επιτρέπουν σε άλλα κράτη μέλη να επικυρώνουν τις ηλεκτρονικές υπογραφές τις οποίες λαμβάνουν επιγραμμικά, δωρεάν και με τρόπο κατανοητό για μη φυσικούς ομιλητές, εκτός αν η ζητούμενη πληροφορία περιλαμβάνεται ήδη στο έγγραφο, στην ηλεκτρονική υπογραφή ή στον φορέα ηλεκτρονικού εγγράφου. Η Επιτροπή θέτει αυτές τις πληροφορίες στη διάθεση όλων των κρατών μελών.

Άρθρο 2

Αίτηση

Η παρούσα απόφαση αρχίζει να ισχύει από την 1η Αυγούστου 2011.

Άρθρο 3

Αποδέκτες

Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.

(1) ΕΕ L 376 της 27.12.2006, σ. 36.

(2) ΕΕ L 274 της 20.10.2009, σ. 36.

ΠΑΡΑΡΤΗΜΑ

Προδιαγραφές προηγμένης ηλεκτρονικής υπογραφής Xml, Cms ή Pdf, που προβλέπεται να υποστηρίζεται τεχνικά από το κράτος μέλος αποδέκτη

Στο μέρος του εγγράφου που ακολουθεί, οι λέξεις-κλειδιά «ΠΡΕΠΕΙ», «ΔΕΝ ΠΡΕΠΕΙ», «ΑΠΑΙΤΕΙΤΑΙ», «ΘΑ ΠΡΕΠΕΙ», «ΔΕΝ ΘΑ ΠΡΕΠΕΙ», «ΠΡΟΤΕΙΝΕΤΑΙ», «ΔΕΝ ΠΡΟΤΕΙΝΕΤΑΙ», «ΣΥΝΙΣΤΑΤΑΙ», «ΔΥΝΑΤΑΙ» και «ΠΡΟΑΙΡΕΤΙΚΑ» πρέπει να ερμηνεύονται όπως περιγράφεται στο RFC (Αίτημα για σχολιασμό) 2119 (1).

ΤΜΗΜΑ 1- XAdES-BES/EPES:

Η υπογραφή είναι σύμφωνη με τις προδιαγραφές υπογραφής W3C XML (2).

Η υπογραφή ΠΡΕΠΕΙ να είναι τουλάχιστον υπογραφή μορφής XAdES-BES (ή -EPES), όπως αναφέρεται στις προδιαγραφές του τεχνικού προτύπου ETSI TS 101 903 XadES (3) και να τηρεί το σύνολο των ακόλουθων επιπρόσθετων προδιαγραφών:

H μέθοδος ds:Η CanonicalizationMethod, η οποία εξειδικεύει τον αλγόριθμο κανονικοποίησης που εφαρμόζεται στο στοιχείο SignedInfo πριν από την εκτέλεση των υπολογισμών υπογραφής, προσδιορίζει μόνον έναν από τους ακόλουθους αλγόριθμους: Κανονική XML 1.0 (χωρίς παρατηρήσεις) : http://www.w3.org/TR/2001/REC-xml-c14n-20010315 Κανονική XML 1.1 (χωρίς παρατηρήσεις) : http://www.w3.org/2006/12/xml-c14n11 Αποκλειστικά κανονικοποίηση XML 1.0 (χωρίς παρατηρήσεις) : http://www.w3.org/2001/10/xml-exc-c14n#

Άλλοι αλγόριθμοι ή εκδόσεις «Με παρατηρήσεις» των προαναφερόμενων αλγορίθμων ΔΕΝ ΠΡΟΤΕΙΝΕΤΑΙ να χρησιμοποιούνται για τη δημιουργία υπογραφής αλλά ΠΡΟΤΕΙΝΕΤΑΙ να υποστηρίζονται όσον αφορά την παραμένουσα διαλειτουργικότητα για την επαλήθευση της υπογραφής.

Ο MD5 (RFC 1321) ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται ως αλγόριθμος σύνοψης. Οι υπογράφοντες παραπέμπονται στην ισχύουσα εθνική νομοθεσία και, για την εφαρμογή των κατευθυντηρίων γραμμών, στο τεχνικό πρότυπο ETSI TS 102 176 (4) και, για περαιτέρω συστάσεις σχετικά με αλγορίθμους και παραμέτρους επιλέξιμα για ηλεκτρονικές υπογραφές, στην έκθεση ECRYPT2 D.SpA.x (5).

Η χρήση μετασχηματισμών περιορίζεται στις περιπτώσεις που παρατίθενται κατωτέρω:

Μετασχηματισμοί κανονικοποίησης: βλέπε συναφείς προδιαγραφές ανωτέρω

Κωδικοποίηση Base64 (http://www.w3.org/2000/09/xmldsig#base64)

Φιλτράρισμα: XPath (http://www.w3.org/TR/1999/REC-xpath-19991116): για λόγους συμβατότητας και συμμόρφωσης προς XMLDSig XPath Filter 2.0 (http://www.w3.org/2002/06/xmldsig-filter2):: ως διάδοχο του Xpath λόγω θεμάτων απόδοσης

Μετασχηματισμός εμφακελωμένης υπογραφής: (http://www.w3.org/2000/09/xmldsig#enveloped-signature)

Μετασχηματισμός XSLT (φύλλο τεχνοτροπίας)

Το στοιχείο ds:KeyInfo ΠΡΕΠΕΙ να περιλαμβάνει το ψηφιακό πιστοποιητικό X.509 v3 του υπογράφοντα (δηλαδή την τιμή του και όχι μόνο στοιχεία παραπομπής σε αυτό).

Το υπογραφόμενο γνώρισμα υπογραφής «SigningCertificate» ΠΡΕΠΕΙ να περιέχει τη συνοπτική τιμή (CertDigest) και ο IssuerSerial του πιστοποιητικού του υπογράφοντα που είναι αποθηκευμένα στο ds:KeyInfo ενώ ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται στο «SigningCertificate» το προαιρετικό URI.

Το υπογραφόμενο χαρακτηριστικό υπογραφής SigningTime υπάρχει και περιέχει την UTC εκφραζόμενη ως xsd:dateTime (http://www.w3.org/TR/xmlschema-2/#dateTime).

Το στοιχείο DataObjectFormat ΠΡΕΠΕΙ να υπάρχει και περιέχει υποστοιχείο MimeType.

Σε περίπτωση που οι υπογραφές οι χρησιμοποιούμενες από κράτη μέλη βασίζονται σε αναγνωρισμένο πιστοποιητικό, τα αντικείμενα PKI (αλυσίδες πιστοποιητικών, δεδομένα ανάκλησης, χρονοσφραγίδες) τα οποία περιέχονται στις υπογραφές είναι επαληθεύσιμα με χρήση του καταλόγου εμπίστευσης του κράτους μέλους που εποπτεύει ή εκδίδει τη δαπίστευση για τον CSP ο οποίος έχει εκδώσει το πιστοποιητικό του υπογράφοντα, σύμφωνα με την απόφαση 2009/767/ΕΚ της Επιτροπής.

Στον πίνακα 1 συνοψίζονται οι προδιαγραφές με τις οποίες πρέπει να συμμορφώνεται η υπογραφή XAdES-BES/EPES προκειμένου να υποστηρίζεται τεχνικώς από το κράτος μέλος αποδέκτη.

Πίνακας 1

ΤΜΗΜΑ 2 – CAdES-BES/EPES:

Η υπογραφή είναι σύμφωνη με τις προδιαγραφές για το συντακτικό κρυπτογραφικών μηνυμάτων (CMS) των υπογραφών (6).

Η υπογραφή χρησιμοποιεί τα γνωρίσματα υπογραφής CAdES-BES (ή -EPES) όπως προσδιορίζονται στις προδιαγραφές CAdES του τεχνικού προτύπου ETSI TS 101 733 (7) και ικανοποιεί τις επιπρόσθετες προδιαγραφές του πίνακα 2 που ακολουθεί.

Όλα τα γνωρίσματα των CAdES που περιλαμβάνονται στον υπολογισμό κατακερματισμού του αρχείου για χρονοσφραγίδα (ETSI TS 101 733 V1.8.1 παράρτημα K) ΠΡΕΠΕΙ να κωδικεύονται κατά DER και κάθε άλλο γνώρισμα μπορεί να κωδικεύεται κατά BER, για την απλούστευση της επεξεργασίας CΑdES σε μία φάση.

Ο MD5 (RFC 1321) ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται ως αλγόριθμος σύνοψης. Οι υπογράφοντες παραπέμπονται στην ισχύουσα εθνική νομοθεσία και, για την εφαρμογή των κατευθυντηρίων γραμμών, στο τεχνικό πρότυπο ETSI TS 102 176 (8) και, για περαιτέρω συστάσεις σχετικά με αλγορίθμους και παραμέτρους επιλέξιμα για ηλεκτρονικές υπογραφές, στην έκθεση ECRYPT2 D.SpA.x (9).

Τα υπογραφόμενα γνωρίσματα ΠΡΕΠΕΙ να περιλαμβάνουν παραπομπή στο ψηφιακό πιστοποιητικό (RFC 5035) X.509 v3 του υπογράφοντα, και το πεδίο SignedData.certificates ΠΡΕΠΕΙ να περιλαμβάνει την τιμή του·

Το υπογραφόμενο γνώρισμα SigningTime ΠΡΕΠΕΙ να υπάρχει και ΠΡΕΠΕΙ να περιέχει την UTC όπως εκφράζεται στη διεύθυνση http://tools.ietf.org/html/rfc5652#section-11.3·

Το υπογραφόμενο γνώρισμα ContentType ΠΡΕΠΕΙ να υπάρχει και περιέχει δεδομένα αναγνώρισης (id-data) (http://tools.ietf.org/html/rfc5652#section-4) όπου ο τύπος περιεχομένου των δεδομένων παραπέμπει σε αυθαίρετες αλυσίδες οκτάδων, όπως κείμενο UTF-8 ή περιέκτης ZIP με υποστοιχείο MimeType·

Σε περίπτωση που οι υπογραφές οι χρησιμοποιούμενες από κράτη μέλη βασίζονται σε αναγνωρισμένο πιστοποιητικό, τα αντικείμενα PKI (αλυσίδες πιστοποιητικών, δεδομένα ανάκλησης, χρονοσφραγίδες) τα οποία περιέχονται στις υπογραφές είναι επαληθεύσιμα με χρήση του καταλόγου εμπίστευσης του κράτους μέλους που εποπτεύει ή εκδίδει τη δαπίστευση για τον CSP ο οποίος έχει εκδώσει το πιστοποιητικό του υπογράφοντα, σύμφωνα με την απόφαση 2009/767/ΕΚ της Επιτροπής.

Πίνακας 2

ΤΜΗΜΑ 3 – PAdES-ΜΈΡΟΣ 3 (BES/EPES):

Η υπογραφή ΠΡΕΠΕΙ να χρησιμοποιεί επέκταση υπογραφής CAdES-BES (ή -EPES) όπως ορίζεται στις προδιαγραφές ΡΑdES-Μέρος 3 του τεχνικού προτύπου ETSI TS 102 778 (10) και να ικανοποιεί τις ακόλουθες επιπρόσθετες προδιαγραφές:

Ο MD5 (RFC 1321) ΔΕΝ ΠΡΕΠΕΙ να χρησιμοποιείται ως αλγόριθμος σύνοψης. Οι υπογράφοντες παραπέμπονται στην ισχύουσα εθνική νομοθεσία και, για την εφαρμογή των κατευθυντηρίων γραμμών, στο τεχνικό πρότυπο ETSI TS 102 176 (11) και, για περαιτέρω συστάσεις σχετικά με αλγορίθμους και παραμέτρους επιλέξιμα για ηλεκτρονικές υπογραφές, στην έκθεση ECRYPT2 D.SpA.x (12).

Τα υπογραφόμενα γνωρίσματα ΠΡΕΠΕΙ να περιλαμβάνουν παραπομπή στο ψηφιακό πιστοποιητικό (RFC 5035) X.509 v3 του υπογράφοντα, και το πεδίο SignedData.certificates ΠΡΕΠΕΙ να περιλαμβάνει την τιμή του·

Ο χρόνος υπογραφής αναφέρεται με την τιμή της καταχώρισης Μ στο λεξικό της υπογραφής·

Σε περίπτωση που οι υπογραφές οι χρησιμοποιούμενες από κράτη μέλη βασίζονται σε αναγνωρισμένο πιστοποιητικό, τα αντικείμενα PKI (αλυσίδες πιστοποιητικών, δεδομένα ανάκλησης, χρονοσφραγίδες) τα οποία περιέχονται στις υπογραφές είναι επαληθεύσιμα με χρήση του καταλόγου εμπίστευσης του κράτους μέλους που εποπτεύει ή εκδίδει τη δαπίστευση για τον CSP ο οποίος έχει εκδώσει το πιστοποιητικό του υπογράφοντα, σύμφωνα με την απόφαση 2009/767/ΕΚ της Επιτροπής.

(1) IETF RFC 2119: «Key words for use in RFCs to indicate Requirements Levels» (Λέξεις κλειδιά προς χρήση σε RFC ως ένδειξη επιπέδων των απαιτήσεων).

(2) W3C, XML Signature Syntax and Processing (Σύνταξη και επεξεργασία υπογραφής) (Έκδοση 1.1), http://www.w3.org/TR/xmldsig-core1/

W3C, XML Signature Syntax and Processing (Σύνταξη και επεξεργασία υπογραφής) (Δεύτερη έκδοση), http://www.w3.org/TR/xmldsig-core/

W3C, XML Signature Best Practices (Βέλτιστες πρακτικές για υπογραφές), http://www.w3.org/TR/xmldsig-bestpractices/.

(3) ETSI TS 101 903 v1.4.1: XML Advanced Electronic Signatures (Προηγμένες ηλεκτρονικές υπογραφές) (XAdES).

(4) ETSI TS 102 176: Electronic Signatures and Infrastructures (Ηλεκτρονικές υπογραφές και υποδομές) (ESI)· Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms; Part 2: «Secure channel protocols and algorithms for signature creation devices» (Αλγόριθμοι και παράμετροι για ασφαλείς ηλεκτρονικές υπογραφές· μέρος 1: Συναρτήσεις κατακερματισμού και ασύμμετροι αλγόριθμοι· μέρος 2: «Ασφαλή πρωτόκολλα διαύλου και αλγόριθμοι για διατάξεις δημιουργίας υπογραφών»).

(5) Η πλέον πρόσφατη έκδοση είναι η D.SpA.13 ECRYPT2 Yearly Report on Algorithms and Key sizes (Ετήσια έκθεση σχετικά με αλγορίθμους και θεμελιώδη μεγέθη) (2009-2010), από 30 Μαρτίου 2010 (http://www.ecrypt.eu.org/documents/D.SpA.13.pdf).

(6) Cryptographic Message Syntax (Συντακτικό κρυπτογραφικών μηνυμάτων) (CMS) ΙΕΤF, RFC 5652, http://tools.ietf.org/html/rfc5652.

IETF, RFC 5035, Enhanced Security Services (Υπηρεσίες ενισχυμένης ασφάλειας) (ESS) Update (Επικαιροποίηση): Adding CertID Algorithm Agility (Προσθήκη ευελιξίας με τον αλγόριθμο CertID), http://tools.ietf.org/html/rfc5035.

IETF, RFC 3161, Διαδίκτυο X.509 Public Key Infrastructure Time-Stamp Protocol [Διαδικτυακό πρωτόκολλο Χ 509 χρονοσφραγίδας (TSP), για υποδομή δημόσιου κλειδιού] http://tools.ietf.org/html/rfc3161.

(7) ETSI TS 101 733 v.1.8.1: Advanced Electronic Signatures CMS (CAdES).

(8) ETSI TS 102 176: Electronic Signatures and Infrastructures (Ηλεκτρονικές υπογραφές και υποδομές) (ESI)· Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms; Part 2: «Secure channel protocols and algorithms for signature creation devices» (Αλγόριθμοι και παράμετροι για ασφαλείς ηλεκτρονικές υπογραφές· μέρος 1: Συναρτήσεις κατακερματισμού και ασύμμετροι αλγόριθμοι· μέρος 2: «Ασφαλή πρωτόκολλα διαύλου και αλγόριθμοι για διατάξεις δημιουργίας υπογραφών»).

(9) Η πλέον πρόσφατη έκδοση είναι η D.SpA.13 ECRYPT2 Yearly Report on Algorithms and Key sizes (Ετήσια έκθεση σχετικά με αλγορίθμους και θεμελιώδη μεγέθη) (2009-2010), από 30 Μαρτίου 2010 (http://www.ecrypt.eu.org/documents/D.SpA.13.pdf).

(10) ETSI TS 102 778-3 v1.2.1: Advanced Electronic Signatures (Προηγμένες ηλεκτρονικές υπογραφές) (ΡΑdES) PDF, PAdES Enhanced (Ενισχυμένη) – PAdES-Basic Electronic Signatures (Βασικές ηλεκτρονικές υπογραφές) και PAdES-Explicit Policy Electronic Signatures Profiles (Έμφανή χαρακτηριστικά πολιτικής για ηλεκτρονικές υπογραφές).

(11) ETSI TS 102 176: Electronic Signatures and Infrastructures (Ηλεκτρονικές υπογραφές και υποδομές) (ESI)· Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms; Part 2: «Secure channel protocols and algorithms for signature creation devices» (Αλγόριθμοι και παράμετροι για ασφαλείς ηλεκτρονικές υπογραφές· μέρος 1: Συναρτήσεις κατακερματισμού και ασύμμετροι αλγόριθμοι· μέρος 2: «Ασφαλή πρωτόκολλα διαύλου και αλγόριθμοι για διατάξεις δημιουργίας υπογραφών»).

(12) Η πλέον πρόσφατη έκδοση είναι η D.SpA.13 ECRYPT2 Yearly Report on Algorithms and Key sizes (Ετήσια έκθεση σχετικά με αλγορίθμους και θεμελιώδη μεγέθη) (2009-2010), από 30 Μαρτίου 2010 (http://www.ecrypt.eu.org/documents/D.SpA.13.pdf).