2009D0767 — HR — 01.02.2014 — 003.002

▼B

ODLUKA KOMISIJE

od 16. listopada 2009.

o utvrđivanju mjera kojima se olakšava uporaba postupaka elektroničkim putem preko „jedinstvenih kontaktnih točaka” u skladu s Direktivom 2006/123/EZ Europskog parlamenta i Vijeća o uslugama na unutarnjem tržištu

(priopćena pod brojem dokumenta C(2009) 7806)

(Tekst značajan za EGP)

(2009/767/EZ)

Članak 1.

Uporaba i prihvaćanje elektroničkih potpisa

1. Ako je to opravdano na temelju odgovarajuće procjene uključenog rizika i u skladu s člankom 5. stavcima 1. i 3. Direktive 2006/123/EZ, države članice mogu zahtijevati da pružatelj usluga, za obavljanje određenih postupaka i formalnosti preko jedinstvenih kontaktnih točaka, u skladu s člankom 8. Direktive 2006/123/EZ, koristi napredne elektroničke potpise koji se temelje na kvalificiranom certifikatu, sa sredstvom za izradu zaštićenog potpisa ili bez tog sredstva, kako je određeno i uređeno Direktivom 1999/93/EZ.

2. Države članice prihvaćaju svaki napredni elektronički potpis koji se temelji na kvalificiranom certifikatu, sa sredstvom za izradu zaštićenog potpisa ili bez tog sredstva, za obavljanje postupaka i formalnosti iz stavka 1., ne dovodeći u pitanje mogućnost da države članice ograniče to prihvaćanje na napredne elektroničke potpise, koji se temelje na kvalificiranom certifikatu i izrađeni su pomoću sredstva za izradu zaštićenog potpisa, ako je to u skladu s procjenom rizika iz stavka 1.

3. Države članice ne uvjetuju prihvaćanje naprednih elektroničkih potpisa, koji se temelje na kvalificiranom certifikatu, sa sredstvom za izradu zaštićenog potpisa ili bez tog sredstva, zahtjevima koji sprečavaju pružatelje usluga da upotrebljavaju postupke elektroničkim putem preko jedinstvenih kontaktnih točaka.

4. Stavak 2. ne sprečava države članice da prihvaćaju elektroničke potpise različite od naprednih elektroničkih potpisa, koji se temelje na kvalificiranom certifikatu, sa sredstvom za izradu zaštićenog potpisa ili bez tog sredstva.

Članak 2.

Uspostava, održavanje i objava pouzdanih popisa

▼M3

1. Svaka država članica izrađuje, održava i objavljuje „pouzdani popis” u skladu s tehničkim specifikacijama utvrđenima u Prilogu, koji barem sadržava informacije o pružateljima usluga certificiranja koji izdaju kvalificirane certifikate za javnost koje ona nadzire/akreditira.

2. Države članice izrađuju i objavljuju pouzdani popis u obliku prilagođenom strojnoj obradi u skladu sa specifikacijama utvrđenima u Prilogu. Ako država članica odluči objaviti pouzdani popis u ljudima čitljivom obliku, on mora biti u skladu sa specifikacijama utvrđenima u Prilogu.

2.a. Države članice elektronički potpisuju svoj pouzdani popis u obliku prilagođenom strojnoj obradi kako bi se osigurala njegova vjerodostojnost i cjelovitost. Ako država članica objavljuje pouzdani popis u ljudima čitljivom obliku, ona će se pobrinuti da taj popis sadržava barem iste podatke kao popis u obliku prilagođenom strojnoj obradi te ga elektronički potpisuje koristeći isti certifikat kao za popis u strojno čitljivom obliku.

▼M3

2.b. Države članice osiguravaju da pouzdani popis u obliku prilagođenom strojnoj obradi bude stalno dostupan na lokaciji objave, bez prekida, osim za potrebe održavanja.

▼M3

3. Države članice Komisiji dostavljaju sljedeće informacije:

▼M3

3.a. Ako država članica objavi pouzdani popis u ljudima čitljivom obliku, informacije iz stavka 3. dostavljaju se i za popis u ljudima čitljivom obliku.

▼M1

4. Komisija, putem sigurnog kanala do provjerenog internetskog poslužitelja, svim državama članicama stavlja na raspolaganje informacije iz stavka 3., koje su dostavile države članice, i to u ljudima čitljivom obliku i u obliku prilagođenom strojnoj obradi.

▼B

Članak 3.

Primjena

Ova se Odluka primjenjuje od 28. prosinca 2009.

Članak 4.

Adresati

Ova je Odluka upućena državama članicama.

▼M3

PRILOG

TEHNIČKE SPECIFIKACIJE ZA ZAJEDNIČKI OBRAZAC „POUZDANOG POPISA NADZIRANIH/AKREDITIRANIH PRUŽATELJA USLUGA CERTIFICIRANJA”

OPĆI ZAHTJEVI

1. Uvod

Svrha je zajedničkog obrasca „pouzdanog popisa nadziranih/akreditiranih pružatelja usluga certificiranja” država članica utvrditi zajednički način na koji države članice pružaju podatke o statusu nadzora/akreditacije usluga certificiranja koje pružaju pružatelji usluga certificiranja ( 3 ) koje one nadziru/akreditiraju u svrhu sukladnosti s relevantnim odredbama Direktive 1999/93/EZ. To uključuje pružanje povijesnih podataka o statusu nadzora/akreditacije usluga certificiranja koje se nadziru/akreditiraju.

Ti su podaci ponajprije predviđeni kao podrška potvrđivanju kvalificiranih elektroničkih potpisa i naprednih elektroničkih potpisa ( 4 ) potkrijepljenih kvalificiranim certifikatom ( 5 ), ( 6 ).

Obvezni podaci u pouzdanom popisu kao minimum moraju sadržavati podatke o nadziranim/akreditiranim pružateljima usluga certificiranja koji izdaju kvalificirane certifikate ( 7 ) u skladu s odredbama utvrđenima u Direktivi 1999/93/EZ (članak 3. stavak 2. i članak 3. stavak 3. te članak 7. stavak 1. točka (a)), uključujući, kad to nije dio kvalificiranih certifikata, podatke o kvalificiranim certifikatima kojima je potkrijepljen elektronički potpis te je li potpis izrađen sigurnim sredstvom za izradu elektroničkog potpisa ( 8 ).

Dodatni podaci o drugim pružateljima usluga certificiranja koji ne izdaju kvalificirane certifikate nego pružaju usluge koje se odnose na elektroničke potpise (npr. pružatelj usluga certificiranja koji pruža usluge vremenskog označivanja i izdaje tokene vremenskih oznaka, pružatelj usluga certificiranja koji izdaje nekvalificirane certifikate itd.) mogu se uključiti u pouzdani popis na nacionalnoj razini na dobrovoljnoj osnovi, pod uvjetom da se akreditiraju/nadziru slično kao i pružatelji usluga certificiranja koji izdaju kvalificirane certifikate ili da su odobreni prema nekom drugom nacionalnom programu odobrenja. Nacionalni programi odobrenja u nekim se državama članicama mogu razlikovati od programa nadzora ili dobrovoljne akreditacije primijenjenih na pružatelje usluga certificiranja koji izdaju kvalificirane certifikate u pogledu primjenjivih zahtjeva i/ili nadležne organizacije. Izrazi „akreditiran” i/ili „nadziran” u ovim specifikacijama obuhvaćaju i nacionalne programe odobrenja, a države članice u svojim pouzdanim popisima pružaju dodatne podatke o prirodi svakog nacionalnog programa, uključujući objašnjenja u pogledu mogućih razlika u odnosu na programe akreditacije/nadzora primijenjene na pružatelje usluga certificiranja koji izdaju kvalificirane certifikate.

Zajednički obrazac oslanja se na ETSI TS 119 612 v1.1.1. ( 9 ) (dalje u tekstu: ETSI TS 119 612) koji se bavi izradom, objavljivanjem, lokacijom, pristupom, utvrđivanjem autentičnosti i cjelovitošću takvih popisa.

2. Struktura zajedničkog obrasca pouzdanog popisa

Zajednički obrazac pouzdanog popisa države članice prema ETSI TS 119 612 sadržava sljedeće kategorije podataka:

U kontekstu pružatelja usluga certificiranja koji izdaju kvalificirane certifikate, strukturom pouzdanog popisa, a posebice dijelom s podacima o uslugama (kao u gore navedenoj točki 4.), omogućuje se dopuna ekstenzije podataka o uslugama kako bi se time, u slučajevima u kojima u kvalificiranom certifikatu nisu dostatni (strojno obradivi) podaci o njegovu „kvalificiranom” statusu, kompenzirala moguća podrška sigurnog sredstva za izradu elektroničkog potpisa, a posebno suočilo s dodatnom činjenicom da većina (komercijalnih) pružatelja usluga certificiranja koristi jedno certifikacijsko tijelo za izdavanje nekoliko različitih vrsta certifikata za krajnje korisnike, kako kvalificiranih tako i nekvalificiranih.

U kontekstu usluga (certifikacijskog tijela) generiranja certifikata, broj unosa usluga na popisu pružatelja usluga certificiranja može se smanjiti kad unutar infrastrukture javnog ključa (PKI) pružatelja usluge certificiranja postoji jedna ili nekoliko usluga certifikacijskih tijela više razine (npr. u kontekstu hijerarhije certifikacijskog tijela od izvornog certifikacijskog tijela do certifikacijskih tijela koja izdaju certifikate), tako da se na popis uvrste usluge certifikacijskih tijela više razine, a ne usluge certifikacijskih tijela koja izdaju certifikate za krajnje korisnike (npr. navodeći na popisu samo izvorno certifikacijsko tijelo pružatelja usluga certificiranja). Međutim, u tim se slučajevima podatak o statusu primjenjuje na cijelu hijerarhiju usluga certifikacijskih tijela koja se nalazi ispod usluge uvrštene na popis te se mora očuvati i omogućiti načelo omogućavanja jasne veze između usluge certificiranja pružatelja usluge certificiranja koji izdaje kvalificirane certifikate i skupine certifikata namijenjenih da budu prepoznati kao kvalificirani certifikati.

2.1. Opis podataka u svakoj kategoriji

1. Oznaka pouzdanog popisa

2. Podaci o pouzdanom popisu i programu njegova izdavanja

Ovom kategorijom obuhvaćeni su sljedeći podaci:

3. Jasna identifikacija podataka o svim pružateljima usluga certificiranja koji se nadziru/akreditiraju na temelju programa

Ovom skupinom podataka obuhvaćeno je barem sljedeće:

4. Za svakog pružatelja usluga certificiranja uvrštenog na popis, niz polja koji obuhvaća jasnu identifikaciju usluge certificiranja koju pruža pružatelj usluga certificiranja i koja se nadzire/akreditira u kontekstu Direktive 1999/93/EZ

Tom skupinom podataka obuhvaćeno je barem sljedeće za svaku uslugu certificiranja pružatelja usluga certificiranja uvrštenog na popis:

5. Za svaku uslugu certificiranja navedenu na popisu, povijesne podatke o njezinu statusu.

6. Potpis koji se u svrhu utvrđivanja autentičnosti izračunava od svih polja pouzdanog popisa, izuzev same vrijednosti potpisa.

3. Smjernice za uređivanje unosa na pouzdanom popisu

3.1. Podaci o statusu nadziranih/akreditiranih usluga certificiranja i njihovih pružatelja na jednom popisu

Pouzdani popis države članice znači „Popis statusa nadzora/akreditacije usluga certificiranja pružatelja usluga certificiranja koje nadzire/akreditira referentna država članica radi udovoljavanja odgovarajućim odredbama Direktive 1999/93/EZ”.

Takav pouzdani popis jedini je instrument koji relevantna država članica rabi za pružanje podataka o statusu nadzora/akreditacije usluga certificiranja i njihovih pružatelja:

Pri razmatranju definicija i odredaba utvrđenih Direktivom 1999/93/EZ, posebice u pogledu relevantnih pružatelja usluga certificiranja i njihovih sustava nadzora/dragovoljne akreditacije, razlikujemo dvije skupine pružatelja usluga certificiranja: pružatelje usluga certificiranja koji izdaju kvalificirane certifikate za javnost i pružatelje usluga certificiranja koji ne izdaju kvalificirane certifikate za javnost nego pružaju „druge (pomoćne) usluge povezane s elektroničkim potpisima”:

Svaka država članica mora uspostaviti i održavati samo jedan pouzdani popis za naznačavanje statusa nadzora i/ili akreditacije usluga certificiranja koje pružaju pružatelji usluga certificiranja koje nadzire/akreditira država članica. U pouzdani potpis uključeni su barem oni pružatelji usluga certificiranja koji izdaju kvalificirane certifikate. U pouzdanom popisu može biti naznačen i status drugih usluga certificiranja koje se nadziru ili akreditiraju prema nacionalno utvrđenom programu odobrenja.

3.2. Pojedinačna skupina vrijednosti statusa nadzora/akreditacije

Činjenica da se usluga trenutačno „nadzire” ili „akreditira” na prikazana je na pouzdanom popisu kao vrijednost njezina trenutačnog statusa. Usto, status nadzora ili akreditacije može biti pozitivan („pod nadzorom”, „akreditirana”, „nadzor obustavljen”), prekinut („nadzor prekinut”, „akreditacija prekinuta”) ili čak opozvan („nadzor opozvan”, „akreditacija opozvana”) i postavljen na odgovarajuću vrijednost. Tijekom svog životnog vijeka, ista usluga certificiranja može prelaziti iz statusa nadzora u status akreditacije i obrnuto ( 10 ).

Slika 1. opisuje očekivani tijek usluge certificiranja između mogućih statusa nadzora/akreditacije:

Slika 1.

Očekivani tijek statusa nadzora/akreditacije jedne usluge pružatelja usluga certificiranja

Pružatelj usluge certificiranja koji izdaje kvalificirane certifikate s poslovnim nastanom u državi članici mora biti nadziran (od strane države članice u kojoj ima poslovni nastan) i može biti dragovoljno akreditiran. Vrijednost statusa takve usluge, kad je uvrštena na pouzdani popis, mora imati jednu od gore prikazanih vrijednosti kao „trenutačnu vrijednost statusa”, u skladu sa svojim stvarnim statusom, i mora se mijenjati, kad je primjenjivo, prema gore prikazanom tijeku statusa. Međutim, obje vrijednosti „akreditacija istekla ” i „akreditacija opozvana” moraju biti vrijednosti „prijelaznog statusa” kad se odgovarajuća usluga pružatelja usluga certificiranja koji izdaje kvalificirane certifikate nalazi na pouzdanom popisu države članice u kojoj pružatelj ima poslovni nastan, jer se takva usluga prema zadanim postavkama mora nadzirati (čak i ako nije akreditiran ili ako više nije akreditiran); kad je odgovarajuća usluga uvrštena na popis (akreditirana) u državi članici u kojoj pružatelj nema poslovni nastan, te vrijednosti mogu biti konačne vrijednosti.

Države članice koje utvrđuju ili su utvrdile nacionalno utvrđen „priznat program/priznate programe odobrenja” proveden/provedene na nacionalnoj osnovi za nadzor sukladnosti usluga pružatelja usluga certificiranja koji ne izdaju kvalificirane certifikate s odredbama utvrđenima Direktivom 1999/93/EZ i mogućim nacionalnim odredbama o pružanju usluga certificiranja (u smislu članka 2. stavka 11. Direktive 1999/93/EZ), takav program/takve programe odobrenja moraju svrstati u sljedeće dvije kategorije:

U skladu s tim, pružatelj usluga certificiranja koji ne izdaje kvalificirane certifikate može biti nadziran ili dragovoljno akreditiran. Vrijednost statusa takve usluge uvrštene na pouzdani popis mora imati jednu od gore prikazanih vrijednosti statusa kao svoju „trenutačnu vrijednost statusa” (vidi sliku 1.), u skladu sa svojim stvarnim statusom i mora se razvijati, kad je primjenjivo, prema gore prikazanom tijeku statusa.

Pouzdani popis mora sadržavati podatke o temeljnom programu/ temeljnim programima nadzora/akreditacije, a posebice:

Posljednje su dvije skupine podataka relevantnim stranama od ključne važnosti za ocjenjivanje razine kakvoće i sigurnosti sustava nadzora/akreditacije koji se na nacionalnoj razini primjenjuju na pružatelje usluga certificiranja koji ne izdaju kvalificirane certifikate. Kad se na pouzdanom popisu nalazi podatak o statusu nadzora/akreditacije u pogledu usluga pružatelja usluga certificiranja koji ne izdaju kvalificirane certifikate, gore spomenute skupine podataka na razini pouzdanog popisa nude se korištenjem polja „Podaci o programu URI” (točka 5.3.7. – podatke daju države članice), polja „Vrsta programa/zajednica/pravila” (točka 5.3.9. – korištenjem teksta zajedničkog svim državama članicama te neobveznih specifičnih podataka koje pruža svaka država članica) i polja „Opća pravila/pravne obavijesti” (točka 5.3.11. – tekst zajednički svim državama članicama iz Direktive 1999/93/EZ, uz mogućnost svake države članice da doda specifičan tekst/upute za državu članicu).

Dodatni podaci povezani s „kvalifikacijom” utvrđeni na razini nacionalnih sustava nadzora/akreditacije za pružatelje usluga certificiranja koji ne izdaju kvalificirane certifikate, mogu se pružiti na razini usluge kad je to primjenjivo i kad se to zahtijeva (npr. za razlikovanje različitih razina kakvoće/sigurnosnih razina) korištenjem polja „Ekstenzija dodatnih podataka o usluzi” (additionalServiceInformation Extension) (točka 5.5.9.4.) kao dio polja „Ekstenzije podataka o usluzi” (točka 5.5.9.). Daljnji podaci povezani s odgovarajućim tehničkim specifikacijaama potanko su izneseni u tehničkim specifikacijama u Poglavlju I.

Unatoč tome što za nadzor i akreditacija usluga certificiranja u državi članici mogu biti zadužena zasebna tijela, očekuje se da se za jednu uslugu certificiranja mora koristiti samo jedan unos i da status nadzora/akreditacije te usluge mora biti ažuriran sukladno tome.

3.3. Podaci na pouzdanom popisu namijenjeni olakšavanju potvrđivanja kvalificiranog elektroničkog potpisa i naprednog elektroničkog potpisa potkrijepljenog kvalificiranim certifikatom

Najvažniji je dio izrade pouzdanog popisa utvrđivanje obveznog dijela pouzdanog popisa, odnosno „Popisa usluga” pružatelja usluga certificiranja koji izdaje kvalificirane certifikate, kako bi se ispravno prikazala točna situacija svake usluge certificiranja kojom se izdaju kvalificirani certifikati te kako bi se omogućilo da su podaci navedeni u svakom unosu dostatni da omoguće potvrđivanje kvalificiranog elektroničkog potpisa i naprednog elektroničkog potpisa potkrijepljenog kvalificiranim certifikatom (kad su združeni sa sadržajem kvalificiranog certifikata za krajnje korisnike koji izdaje pružatelj usluga certificiranja prema usluzi certificiranja navedenoj na popisu pod tim unosom).

Potrebni podaci mogu sadržavati i druge podatke osim „Digitalnog identiteta usluge” jednog (izvornog) certifikacijskog tijela, a posebice podatke kojima se utvrđuje status kvalificiranih certifikata koje izdaje takvo certifikacijsko tijelo, kao i podatak o tome jesu li potpisi potkrijepljeni kvalificiranim certifikatima izrađeni sigurnim sredstvom za izradu potpisa. Tijelo koje je država članica imenovala za izradu, uređivanje i održavanje pouzdanog popisa mora zato uzeti u obzir trenutačni profil i sadržaj certifikata u svakom izdanom kvalificiranom certifikatu prema usluzi pružatelja usluga certificiranja koji izdaje kvalificirane certifikate obuhvaćenoj pouzdanim popisom.

U najboljem slučaju, svaki izdani kvalificirani certifikat trebao bi sadržavati izjavu o sukladnosti kvalificiranog certifikata (QcCompliance) ( 11 ) koju je utvrdio ETSI kad se tvrdi da je certifikat kvalificiran i izjavu o sigurnom sredstvu za izradu potpisa za kvalificirane certifikate (QcSSCD) koju je utvrdio ETSI kad se tvrdi da je pri generiranju elektroničkih potpisa podržan sigurnim sredstvom za izradu potpisa, i/ili da svaki izdani kvalificirani certifikat sadržava Opća pravila kvalificiranog certifikata (QCP), odnosno Opća pravila kvalificiranog certifikata (QCP)+ identifikatore objekta općih pravila certifikata (QCP/QCP+ certificate policy Object Identifiers (OIDs)) utvrđene normom ETSI EN 319 411-2 ( 12 ). Primjena drugih normi kao smjernica od strane pružatelja usluga certificiranja koji izdaju kvalificirane certifikate, široka tumačenja tih normi, kao i neupoznatost s postojanjem i prioritetom pojedinih normativnih tehničkih specifikacija ili normi, za posljedicu ima razlike u stvarnom sadržaju trenutačno izdanih kvalificiranih certifikata (npr. uporaba odnosno neuporaba Izjava o kvalificiranim certifikatima koje je utvrdio ETSI) pa zato sprečavaju stranke koje primaju certifikate da se jednostavno oslone na potpisnikov certifikat (i s njim povezan certifikacijski lanac/stazu) za ocjenjivanje, barem na strojno čitljiv način, je li certifikat kojim je potkrijepljen elektronički potpis kvalificirani certifikat ili ne te je li povezan sa sigurnim sredstvom za izradu potpisa kojim je elektronički potpis izrađen.

Popunjavanje polja „Identifikator vrste usluge” („Sti”), „Naziv usluge” („Sn”) i „Digitalni identitet usluge” („Sdi”) u unosu o usluzi na pouzdanom popisu s podacima iz polja „Ekstenzije podataka o usluzi” („Sie”) omogućuje potpuno određivanje specifične vrste kvalificiranog certifikata izdanog od strane pružatelja usluga certificiranja koji izdaje kvalificirane certifikate i pruža podatak je li certifikat podržan sigurnim sredstvom za izradu potpisa (kad izdani kvalificirani certifikat ne sadržava taj podatak). S tim poljem povezani su specifični podaci iz polja „Trenutačni status usluge” („Scs”). To je prikazano na slici 2. u nastavku.

Unošenje usluge na popis pružanjem samo „Digitalnog identiteta usluge” („Sdi”) (izvornog) certifikacijskog tijela, značilo bi da je omogućeno (od strane pružatelja usluga certificiranja koji izdaju kvalificirane certifikate, ali i od strane tijela za nadzor/akreditaciju zaduženog za nadzor/akreditaciju tog pružatelja usluga certificiranja) da bilo koji certifikat za krajnje korisnike izdan pod tim (izvornim) certifikacijskim tijelom (hijerarhija) sadržava dovoljno strojno obradivih podataka koje je utvrdio ETSI da u kvalificiranom certifikatu nema strojno obradive naznake utvrđene u okviru ETSI normi o tome je li certifikat podržan sigurnim sredstvom za izradu potpisa), a uvrštavanjem na popis samo „Digitalnog identiteta usluge” („Sdi”) tog (izvornog) certifikacijskog tijela može se pretpostaviti samo da kvalificirani certifikati izdani pod hijerarhijom tog (izvornog) certifikacijskog tijela nisu podržani ni jednim sigurnim sredstvom za izradu potpisa. Kako bi se naznačilo da se ti kvalificirani certifikati moraju smatrati podržanima sigurnim sredstvom za izradu potpisa, treba koristiti polje „Ekstenzije podataka o usluzi” („Sie”) (što ujedno označava da za taj podatak jamči pružatelj usluga certificiranja koji izdaje kvalificirane certifikate kojeg nadzire/akreditira nadzorno tijelo odnosno tijelo za akreditaciju).

Slika 2.

Unos o usluzi za uvrštenog pružatelja usluga certificiranja koji izdaje kvalificirane certifikate na pouzdanom popisu

Opća načela – Pravila uređivanja – unosi za CSPQC (usluge uvrštene na popis)

Ove tehničke specifikacije za zajednički obrazac pouzdanog popisa omogućuju uporabu kombinacije pet osnovnih dijelova podataka u unosu o usluzi:

3.4. Smjernice za uređivanje i uporabu unosa o usluzi pružatelja usluga certificiranja koji izdaju kvalificirane certifikate

Opće smjernice za uređivanje su:

Prema općem zadanom načelu, za svakog pružatelja usluga certificiranja koji se nalazi na pouzdanom popisu dopušten je jedan unos usluge po jednom javnom ključu za uslugu certifikacije koju pruža certifikacijsko tijelo koje izdaje kvalificirane certifikate, odnosno po certifikacijskom tijelu (izravno) koje izdaje kvalificirane certifikate. U nekim izvanrednim okolnostima i pomno upravljanim uvjetima, nadzorno tijelo/tijelo za akreditaciju države članice kao „Digitalni identitet usluge” („Sdi”) jednog unosa s popisa usluga tog pružatelja usluga certificiranja navedenog na popisu, može odlučiti koristiti javni ključ izvornog certifikacijskog tijela ili certifikacijskog tijela više razine unutar infrastrukture javnog ključa (PKI) pružatelja usluga certificiranja (primjerice, u kontekstu hijerarhije certifikacijskih tijela pružatelja usluga certificiranja, od početnog certifikacijskog tijela do certifikacijskih tijela koja izdaju certifikate) umjesto da navodi sva certifikacijska tijela niže razine koja izdaju certifikate (primjerice, navodeći certifikacijsko tijelo koje ne izdaje kvalificirane certifikate za krajnje korisnike izravno nego certificira hijerarhiju certifikacijskih tijela do certifikacijskih tijela koja izdaju kvalificirane certifikate krajnjim korisnicima). Države članice pri provedbi moraju pomno razmotriti posljedice (prednosti i nedostatke) korištenja takvog jednog javnog ključa izvornog certifikacijskog tijela ili javnog ključa certifikacijskog tijela više razine kao vrijednosti „Digitalnog identiteta usluge” („Sdi”) kada uvrštavaju usluge na pouzdani potpis. Štoviše, u slučaju primjene te odobrene iznimke zadanog načela, država članica mora pružiti nužnu dokumentaciju kako bi olakšala izgradnju certifikacijske staze i potvrdu valjanosti. Na primjer, u kontekstu pružatelja usluga certificiranja koji izdaju kvalificirane certifikate, korištenje jednog izvornog certifikacijskog tijela pod kojim se nalazi nekoliko certifikacijskih tijela koja izdaju kvalificirane certifikate i certifikacijskih tijela koja ne izdaju kvalificirane certifikate, ali za koje kvalificirani certifikati sadrže samo Izjavu o sukladnosti kvalificiranog certifikata i ne naznačuju je li certifikat podržan sigurnim sredstvom za izradu potpisa, navođenje „Digitalnog identiteta usluge” („Sdi”) izvornog certifikacijskog tijela, prema gore objašnjenim pravilima, značilo bi samo da sigurno sredstvo za izradu potpisa ne podržava ni jedan kvalificirani certifikat koji je izdan pod tim izvornim certifikacijskim tijelom. Postoje li kvalificirani certifikati koje sigurno sredstvo za izradu potpisa doista podržava, a nema strojno obradivih prikaza koji bi naznačili da oni sadrže takvu podršku, svesrdno se preporučuje da se uz buduće izdane kvalificirane certifikate koristi Izjava o sigurnom sredstvu za izradu potpisa za kvalificirane certifikate. U međuvremenu (dok ne isteke posljednji kvalificirani certifikat koji ne sadržava taj podatak), u pouzdanom popisu treba koristiti polje „Ekstenzija podataka o usluzi” („Sie”) i pripadajuće polje „Ekstenzija kvalifikacija”, primjerice pružajući podatke za filtriranje identifikacijskih skupova certifikata korištenjem specifičnih identifikatora objekata utvrđenih od strane pružatelja usluga certificiranja koji izdaju kvalificirane certifikate, a koje pružatelji usluga certificiranja koji izdaju kvalificirane certifikate mogu koristiti za razlikovanje različitih vrsta kvalificiranih certifikata (neki podržani sigurnim sredstvom za izradu potpisa, a neki ne) te za povezivanje jasnog „podatka povezanog s podrškom sigurnog sredstva za izradu potpisa” s tim utvrđenim (filtriranim) skupovima certifikata korištenjem „Kvalifikatora”.

Opće smjernice za korištenje za aplikacije, usluge ili proizvode s elektroničkim potpisima koji se oslanjaju na pouzdani popis i udovoljavaju ovim tehničkim specifikacijama:

Unos „Certifikacijsko tijelo koje izdaje kvalificirane certifikate”„Identifikator vrste usluge” („CA/QC”„Sti”) (odnosno unos „Certifikacijsko tijelo koje izdaje kvalificirane certifikate” koji se korištenjem polja „Ekstenzija dodatnih podataka o usluzi” („Sie” additionalServiceInformation Extension) dalje kvalificira kao izvorno certifikacijsko tijelo koje izdaje kvalificirane certifikate)

3.5. Usluge koje podržavaju usluge certifikacijskog tijela koje izdaje kvalificirane certifikate, ali nisu dio „Digitalnog identiteta usluge” certifikacijskog tijela koje izdaje kvalificirane certifikate

Usluge statusa valjanosti certifikata koje se odnose na kvalificirane certifikate za koje podatak o statusu valjanosti certifikata (npr. odgovori CRL (Popisi opozvanih certifikata) i odgovori OCSP (Protokola za status certifikata)) potpisuje subjekt čiji privatni ključ nije certificiran prema certifikacijskoj stazi koja vodi do certifikacijskog tijela koje izdaje kvalificirane certifikate navedenog na popisu, uključuju uvrštavaju se na pouzdani popis navođenjem tih usluga statusa valjanosti certifikata kao takvih na pouzdani popis (odnosno s vrstom usluge „OCSP/QC”, odnosno „CRL/QC”), s obzirom na to da se te usluge mogu smatrati dijelom nadziranih/akreditiranih „kvalificiranih” usluga koje se odnose na pružanje usluga certificiranja kvalificiranih certifikata. Dakako, odgovori OCSP ili izdavatelji CRL certifikata čije certifikate potpisuju certifikacijska tijela prema hijerarhiji navedenih usluga certifikacijskih tijela koja izdaju kvalificirane certifikate, smatrat će se „valjanima” i u skladu s vrijednošću statusa navedene usluge certifikacijskog tijela koje izdaje kvalificirane certifikate.

Slična se odredba može primijeniti na usluge certificiranja koje izdaju nekvalificirane certifikate (vrste usluge „CA/PKC”).

U pouzdani popis uključene se usluge statusa valjanosti certifikata kad certifikati za krajnje korisnike na koje se usluge statusa valjanosti certifikata odnose ne sadrže pripadajući podatak o lokaciji za takve usluge.

4. Definicije i kratice

Za potrebe ovog dokumenta primjenjuju se sljedeće definicije i kratice:

U sljedećim poglavljima ključne riječi istaknute velikim tiskanim slovima „MORA”, „NE SMIJE”, „ZAHTIJEVA SE”, „TREBAO BI”, „NE BI TREBAO”, „PREPORUČUJE SE”, „MOŽE” i „NEOBVEZAN” tumače se kako je opisano u RFC 2119 ( 13 ).

POGLAVLJE I.

DETALJNE SPECIFIKACIJE ZA ZAJEDNIČKI OBRAZAC „POUZDANOG POPISA NADZIRANIH/AKREDITIRANIH PRUŽATELJA USLUGA CERTIFICIRANJA”

Ove specifikacije oslanjaju se na specifikacije i zahtjeve utvrđene normom ETSI TS 119 612 v1.1.1 (dalje u tekstu ETSI TS 119 612).

Kad ne postoje specifični zahtjevi utvrđeni ovim specifikacijama, PRIMJENJUJU SE u potpunosti zahtjevi utvrđeni normom ETSI TS 119 612 točkama 5. i 6. Kad postoje specifični zahtjevi utvrđeni ovim specifikacijama, oni IMAJU PREDNOST nad odgovarajućim zahtjevima iz norme ETSI TS 119 612. U slučaju neslaganja između ovih specifikacija i specifikacija iz norme ETSI TS 119 612, ove specifikacije VRIJEDE kao normativne.

Ime upravitelja sustava (točka 5.3.4.)

Polje je PRISUTNO i UDOVOLJAVA specifikacijama iz norme TS 119 612 točke 5.3.4.

Država MOŽE imati zasebno nadzorno tijelo i zasebno tijelo za akreditaciju, čak i zasebna dodatna tijela za sve operativne aktivnosti. Svaka država članica sama određuje upravitelja sustava za svoj pouzdani popis. Očekuje se da nadzorno tijelo, tijelo za akreditaciju i upravitelj sustava (u slučaju kad su zasebna tijela) imaju vlastite obveze i odgovornosti.

Svaka situacija u kojoj je nekoliko tijela odgovorno za nadzor, akreditaciju ili operativne aspekte dosljedno se odražava i identificira kao takva u podacima o programu koji su dio pouzdanog popisa, uključujući podatke specifične za program iz polja „Podaci o programu URI” (točka 5.3.7.).

Ime programa (točka 5.3.6.)

Polje je PRISUTNO i UDOVOLJAVA specifikacijama iz norme TS 119 612 točke 5.3.6., gdje se za program koristi sljedeće ime:

„EN_name_value” = „Popis statusa nadzora/akreditacije certificiranih usluga pružatelja usluga certificiranja koje nadzire/akreditira referentna država članica upravitelja sustava radi udovoljavanja relevantnim odredbama utvrđenima Direktivom 1999/93/EZ Europskog parlamenta i Vijeća od 13. prosinca 1999. o okviru Zajednice za elektroničke potpise”.

Podaci o programu URI (točka 5.3.7.)

Polje je PRISUTNO i UDOVOLJAVA specifikacijama iz norme TS 119 612 točke 5.3.7., gdje „Odgovarajući podaci o programu” SADRŽE barem:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.”

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‚supervision’ system (respectively ‚voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8.(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

„The present list is the ‚Trusted List of Supervisor/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Dodatni specifični podaci o programu države članicu MOGU biti ponuđeni na dragovoljnoj osnovi, primjerice:

Vrsta programa/zajednica/pravila (točka 5.3.9.)

Polje je PRISUTNO i UDOVOLJAVA specifikacijama iz norme TS 119 612 točke 5.3.9. te SADRŽAVA barem dva URI-ja:

— URI zajednički svim pouzdanim popisima država članica koji upućuje na opisni tekst koji SE PRIMJENJUJE na svim pouzdanim popisima, i to:

— URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

— Opisni tekst:

Each Member State must create a ‚Trusted List of supervised/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable ‚supervision’ system (respectively ‚voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a ‚voluntary accreditation’ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined ‚recognised approval scheme’ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/EC). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific ‚qualification’ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a ‚qualification’ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A ‚CA/QC’‚Service type identifier’ (‚Sti’) entry (similarly a CA/QC entry further qualified as being a ‚RootCA/QC’ through the use of ‚Service information extension’ (‚Sie’) additionalServiceInformation Extension)

— indicates that from the ‚Service digital identifier’ (‚Sdi’) identified CA (similarly within the CA hierarchy starting from the ‚Sdi’ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412-5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411-2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no ‚Sie’‚Qualifications Extension’ information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related ‚Sie’‚Qualifications Extension’ information, then the ‚machine-processable’ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.