2009D0767 — HU — 01.02.2014 — 003.001

Ez a dokumentum kizárólag tájékoztató jellegű, az intézmények semmiféle felelősséget nem vállalnak a tartalmáért

Módosította:

Helyesbítette:

▼B

▼C1

A BIZOTTSÁG HATÁROZATA

(2009. október 16.)

az eljárásoknak a belső piaci szolgáltatásokról szóló 2006/123/EK európai parlamenti és tanácsi irányelv szerinti egyablakos ügyintézési pontokon keresztül elektronikus eszközökkel történő teljesítését lehetővé tevő rendelkezések meghatározásáról

(az értesítés a C(2009) 7806. számú dokumentummal történt)

(EGT-vonatkozású szöveg)

(2009/767/EK)

1. cikk

Az elektronikus aláírások használata és elfogadása

(1) Ha az a kockázatok megfelelő értékelése alapján indokolt, illetve a 2006/123/EK irányelv 5. cikke (1) és (3) bekezdésének megfelelően a tagállamok egyes eljárásoknak és alaki követelményeknek a 2006/123/EK irányelv 8. cikke szerinti egyablakos ügyintézési helyeken keresztül történő teljesítése érdekében megkövetelhetik, hogy a szolgáltató minősített tanúsítványon alapuló – biztonságos aláírás-létrehozó eszközzel vagy anélkül létrehozott –, fokozott biztonságú, az 1999/93/EK irányelvben meghatározott elektronikus aláírást használjon, amely aláírásra ez utóbbi irányelvet kell alkalmazni.

(2) A tagállamoknak az (1) bekezdésben említett eljárások és alaki követelmények teljesítéséhez a minősített tanúsítványon alapuló és biztonságos aláírás-létrehozó eszközzel vagy anélkül létrehozott valamennyi, fokozott biztonságú elektronikus aláírást el kell fogadniuk, a tagállamok számára nyitva álló azon lehetőség sérelme nélkül, hogy az elfogadást a minősített tanúsítványon alapuló és biztonságos aláírás-létrehozó eszközzel létrehozott, fokozott biztonságú elektronikus aláírásra korlátozzák, ha az (1) bekezdésben említett kockázatértékeléssel ez összhangban áll.

(3) A tagállamok a minősített tanúsítványon alapuló, biztonságos aláírás-létrehozó eszközzel vagy anélkül létrehozott, fokozott biztonságú elektronikus aláírás elfogadását nem köthetik olyan feltételekhez, amelyek akadályt jelentenek az eljárásoknak a szolgáltatók által elektronikus úton, az egyablakos ügyintézési helyeken keresztül történő teljesítése előtt.

(4) A (2) bekezdés ellenére a tagállamok a minősített tanúsítványon alapuló és biztonságos aláírás-létrehozó eszközzel vagy anélkül létrehozott, fokozott biztonságú elektronikus aláírástól eltérő elektronikus aláírást is elfogadhatnak.

2. cikk

A megbízható szolgáltatók listájának létrehozása, vezetése és közzététele

▼M3

(1) A tagállamok – a mellékletben meghatározott technikai leírásnak megfelelően – létrehozzák, vezetik és közzéteszik a megbízható szolgáltatók listáját, amely minimumkövetelményként tartalmazza a tagállam által felügyelt/akkreditált, a nyilvánosság számára minősített tanúsítványokat kiállító hitelesítésszolgáltatókra vonatkozó adatokat.

(2) A tagállamok a mellékletben meghatározott leírásnak megfelelően létrehozzák és közzéteszik a megbízható szolgáltatók listája géppel feldolgozható formáját. Amennyiben valamely tagállam úgy dönt, hogy a megbízható szolgáltatókat tartalmazó listáját emberi szemmel olvasható formában is közzéteszi, a megbízható szolgáltatók listája ezen formájának meg kell felelnie a mellékletben meghatározott leírás követelményeinek.

(2a) A megbízható szolgáltatók listájának eredetisége és integritása biztosítása érdekében a lista géppel feldolgozható formáját a tagállamok elektronikus aláírással látják el. Amennyiben valamely tagállam a megbízható szolgáltatók listájának emberi szemmel olvasható formáját is közzéteszi, gondoskodik arról, hogy a megbízható szolgáltatók listája ezen formája ugyanazokat az adatokat tartalmazza, mint a géppel feldolgozható forma, és azt a tagállam elektronikus aláírással látja el, amelyhez ugyanazt a tanúsítványt alkalmazza, mint a géppel olvasható formánál.

▼M3

(2b) A tagállamok gondoskodnak arról, hogy a megbízható szolgáltatók listája géppel feldolgozható formája a közzététele helyén – a karbantartási célok kivételével – bármely időpontban folyamatosan hozzáférhető legyen.

▼M3

(3) A tagállamok bejelentik a Bizottságnak a következő adatokat:

▼M3

(3a) Amennyiben valamely tagállam közzéteszi a megbízható szolgáltatók listájának emberi szemmel olvasható formáját, a (3) bekezdésben említett adatokat az emberi szemmel olvasható formára vonatkozóan is be kell jelenteni.

▼M1

(4) A Bizottság a tagállamok által bejelentett, a (3) bekezdésben említett adatokat emberi szemmel olvasható és aláírt, valamint géppel feldolgozható formátumban is valamennyi tagállam rendelkezésére bocsátja hitelesített webszerverre mutató biztonságos csatornán keresztül.

▼C1

3. cikk

Alkalmazás

Ezt a határozatot 2009. december 28-tól kell alkalmazni.

4. cikk

Címzettek

Ennek a határozatnak a tagállamok a címzettjei.

▼M3

MELLÉKLET

A „FELÜGYELT/AKKREDITÁLT MEGBÍZHATÓ HITELESÍTÉSSZOLGÁLTATÓK LISTÁJA” EGYSÉGES SABLONJÁNAK TECHNIKAI LEÍRÁSA

ÁLTALÁNOS KÖVETELMÉNYEK

1. Bevezetés

A „Felügyelt/akkreditált megbízható hitelesítésszolgáltatók listájának” tagállamok részére szóló egységes sablonja azzal a céllal készült, hogy egységes módszert állapítson meg az egyes tagállamok számára az általuk az 1999/93/EK irányelv vonatkozó rendelkezéseinek való megfelelés tekintetében felügyelt/akkreditált hitelesítésszolgáltatóktól ( 3 ) származó hitelesítési szolgáltatások felügyeleti/akkreditációs státusára vonatkozó adatok megadására. Ebbe a körbe beletartoznak a felügyelt/akkreditált hitelesítési szolgáltatások felügyeleti/akkreditációs státusának előzményeire vonatkozó adatok is.

Ezen adatoknak az elsődleges célja a minősített elektronikus aláírások (QES) és a minősített tanúsítvánnyal ellátott ( 4 ) fokozott biztonságú elektronikus aláírások (AdES) ( 5 ) ( 6 ) érvényessége ellenőrzésének támogatása.

A megbízható szolgáltatók listájában szereplő kötelező információk között minimumkövetelményként a minősített tanúsítványokat ( 7 ) kiállító, az 1999/93/EK irányelv rendelkezéseiben (a 3. cikk (2) bekezdése, a 3. cikk (3) bekezdése és a 7. cikk (1) bekezdésének a) pontja) foglaltak szerint felügyelt/akkreditált hitelesítésszolgáltatókra vonatkozó adatoknak kell szerepelniük, ideértve az elektronikus aláírások alapját képező minősített tanúsítványok adatait is, ha ez nem része a minősített tanúsítványnak, és azt is, hogy az aláírás biztonságos aláírás-létrehozó eszközzel (SSCD) ( 8 ) készült-e.

A megbízható szolgáltatók nemzeti listájába önkéntes alapon minősített tanúsítványok kiállításával nem foglalkozó, de elektronikus aláíráshoz kapcsolódó szolgáltatásokat nyújtó (pl. időbélyegző szolgáltatást nyújtó és időbélyeget kiadó hitelesítésszolgáltató, fokozott biztonságú tanúsítványokat kiállító hitelesítésszolgáltató stb.), további hitelesítésszolgáltatók is felvehetők, amennyiben a minősített tanúsítványokat kiállító hitelesítésszolgáltatókhoz hasonló módon akkreditálják/felügyelik vagy más nemzeti jóváhagyási rendszer szerint jóváhagyják ezeket. Egyes tagállamokban a nemzeti jóváhagyási rendszerek az alkalmazandó követelmények és/vagy a felelős szervezet tekintetében különbözhetnek a minősített tanúsítványokat kiállító hitelesítésszolgáltatókra alkalmazott felügyeleti vagy önkéntes akkreditálási rendszerektől. Ezen leírásban az „akkreditált” és/vagy „felügyelt” kifejezések magukban foglalják a nemzeti jóváhagyási rendszereket is, de a nemzeti jóváhagyási rendszerekkel kapcsolatban a megbízható szolgáltatók nemzeti listájában a tagállamok további információkat fognak közölni, többek között a minősített tanúsítványokat kiállító hitelesítésszolgáltatókra alkalmazott akkreditálási/felügyeleti rendszerekhez viszonyított esetleges eltérésekre vonatkozóan is.

Az egységes sablon az ETSI TS 119 612 v.1.1.1. (a továbbiakban: ETSI TS 119 612) szabványra ( 9 ) épül, amely az ilyen listák létrehozását, közzétételét, fellelhetőségét, a listákhoz való hozzáférést, a listák hitelesítését és integritását szabályozza.

2. A megbízható szolgáltatók listája egységes sablonjának felépítése

A megbízható szolgáltatók listája tagállamok részére szóló egységes sablonja az ETSI TS 119 612 szabvány szerint épül fel, és az alábbi adatkategóriákat tartalmazza:

A minősített tanúsítványt kiállító hitelesítésszolgáltatókkal összefüggésben, a megbízható szolgáltatók listájának szerkezete és különösen a szolgáltatásokra vonatkozó (a fenti 4. pont szerinti) adatelem lehetővé teszi azt, hogy a szolgáltatásokra vonatkozó információk bővítése révén kompenzálják azokat a hiányosságokat, amikor magában a minősített tanúsítványban nincs elegendő (géppel feldolgozható) adat a „minősített” (qualified) státusról, a tanúsítvány biztonságos aláírás-létrehozó eszközzel való támogatottságáról, továbbá hogy kezeljék különösen azt a tényt, hogy a (kereskedelmi) hitelesítésszolgáltatók többsége egyetlen minősített tanúsítványkiadót vesz igénybe, amely többféle – minősített és fokozott biztonságú – végfelhasználói tanúsítványt is kiállít.

A tanúsítványkiadó szolgáltatások tekintetében az adott hitelesítésszolgáltatóhoz kapcsolódó, a listán szereplő szolgáltatási bejegyzések száma csökkenthető, amennyiben a hitelesítésszolgáltató nyilvános kulcsú infrastruktúráján (PKI) belül egy vagy több felső szintű tanúsítványkiadó szolgáltatás szerepel (például a tanúsítványkiadó szolgáltatások hierarchiájában a gyökértanúsítványtól kiindulva több tanúsítványkiadó van). Ekkor ezeket a felső szintű tanúsítványkiadó szolgáltatásokat kell feltüntetni, nem pedig a végfelhasználói tanúsítványok kiadását (azaz kizárólag a hitelesítésszolgáltató gyökértanúsítványát kell feltüntetni.) Ezekben az esetekben azonban a státusra vonatkozó adat a listában szereplő szolgáltatás alatt lévő tanúsítványkiadó szolgáltatások teljes hierarchiájára vonatkozik, és fent kell tartani azt az elvet, illetve biztosítani kell annak az elvnek az érvényesülését, amelynek értelmében a minősített tanúsítványt kiállító hitelesítésszolgáltató hitelesítési szolgáltatása és a minősített tanúsítványokként azonosítandó tanúsítványok közötti egyértelmű kapcsolatot biztosítani kell.

2.1. Az egyes adatkategóriák leírása

1. Megbízható szolgáltatók listája címke

2. A megbízható szolgáltatók listájára és annak kiállítási rendszerére vonatkozó adatok

A következő adatok tartoznak ebbe a kategóriába:

3. A rendszer által felügyelt/akkreditált hitelesítésszolgáltatókra vonatkozó egyértelmű azonosítást lehetővé tevő adatok

Ez az adatkategória legalább az alábbiakat tartalmazza:

4. A listán szereplő minden egyes hitelesítésszolgáltató tekintetében egy mezősorozat a hitelesítésszolgáltató által nyújtott és az 1999/93/EK irányelvvel összefüggésben felügyelt/akkreditált hitelesítési szolgáltatások egyértelmű azonosítását lehetővé tévő adatok számára

Ez az adatkategória a listán szereplő hitelesítésszolgáltató minden egyes hitelesítési szolgáltatása tekintetében legalább a következő adatokat tartalmazza:

5. A listán szereplő minden egyes hitelesítési szolgáltatásra vonatkozóan a szolgáltatás státusának előzményeire vonatkozó információk

6. Az aláírásérték kivételével a megbízható szolgáltatók listájának összes mezőjére vonatkozóan kiszámított aláírás

3. A megbízható szolgáltatók listájában található bejegyzések szerkesztésének szabályai

3.1. A felügyelt/akkreditált hitelesítési szolgáltatások és a szolgáltatók státusára vonatkozó információk egységes listája

A tagállam megbízható szolgáltatóinak listája a következőképpen határozható meg: „A tagállam által az 1999/93/EK irányelv vonatkozó rendelkezéseinek betartása tekintetében felügyelt/akkreditált hitelesítésszolgáltatók hitelesítési szolgáltatásainak felügyeleti/akkreditációs státusának listája”.

A megbízható szolgáltatók ezen listája az adott tagállam által a hitelesítési szolgáltatások felügyeleti/akkreditációs státusával és a szolgáltatókkal kapcsolatos adatok közlésére alkalmazandó egységes eszköz:

Az 1999/93/EK irányelvben – különösen az érintett hitelesítésszolgáltatók és felügyeleti/önkéntes akkreditációs rendszereik vonatkozásában – megállapított fogalommeghatározásokat és rendelkezéseket vizsgálva kétféle hitelesítésszolgáltatót különböztethetünk meg, nevezetesen a nyilvánosságnak minősített tanúsítványt kiállító hitelesítésszolgáltatókat, és a nyilvánosságnak minősített tanúsítvány kiállításával nem foglalkozó olyan hitelesítésszolgáltatókat, amelyek „egyéb, elektronikus aláírásokhoz kapcsolódó (kiegészítő) szolgáltatásokat nyújtanak”:

A megbízható szolgáltatókról tagállamonként egy-egy listát kell létrehozni és vezetni, az adott tagállam által felügyelt/akkreditált hitelesítésszolgáltatók hitelesítési szolgáltatásai felügyeleti és/vagy akkreditációs státusának feltüntetése érdekében. A megbízható szolgáltatók listájának legalább a minősített tanúsítványokat kiállító hitelesítésszolgáltatókat tartalmaznia kell. A megbízható szolgáltatók listáján további, nemzeti szinten meghatározott jóváhagyási rendszer szerint felügyelt vagy akkreditált hitelesítési szolgáltatások státusa is szerepelhet.

3.2. Egyetlen felügyeleti/akkreditációs státus-értéksorozat

A megbízható szolgáltatók listáján azt a tényt, hogy valamely szolgáltatás „felügyelet alatt áll” vagy „akkreditált”, az aktuális státusának értéke jelzi. Továbbá a felügyeleti vagy akkreditációs státus pozitív („felügyelet alatt”, „akkreditált”, „felügyelet megszüntetés alatt”), megszűnt („felügyelet megszűnt”, „akkreditáció megszűnt”) vagy akár visszavont („felügyelet visszavonva”, „akkreditáció visszavonva”) is lehet, a megfelelő értékre állítva. Valamely hitelesítési szolgáltatás élettartama alatt felügyeleti státusról akkreditációs státusra is áttérhet és viszont ( 10 ).

Az alábbi 1. ábra egyetlen hitelesítési szolgáltatás lehetséges felügyeleti/akkreditációs státusok közötti várható váltását ábrázolja:

1. ábra

Egy adott hitelesítési szolgáltatás felügyeleti/akkreditációs státuszának lehetséges változásai

A valamely tagállamban székhellyel rendelkező, minősített tanúsítványokat kiállító hitelesítésszolgáltató (a székhelye szerinti tagállam által biztosított) felügyelet alá tartozik és önkéntes alapon akkreditálható. Amennyiben a megbízható szolgáltatók listáján szerepel, az ilyen szolgáltatás „aktuális státusértéke” a fenti státusértékek valamelyike az aktuális státusának megfelelően, és adott esetben azt a fenti státusváltásoknak megfelelően meg kell változatni. Azonban az „akkreditáció megszűnt” és az „akkreditáció visszavonva” státusoknak „átmeneti státusértékeknek” kell lenniük, amennyiben a minősített tanúsítványokat kiállító érintett hitelesítésszolgáltató szerepel annak a tagállamnak a megbízható szolgáltatókat tartalmazó listáján, amelyben letelepedett, mivel ezek a szolgáltatások alapértelmezés szerint felügyelet alá tartoznak (akkor is ha nincsenek vagy már nincsenek akkreditálva); amennyiben az érintett szolgáltatás a letelepedés helye szerinti tagállamtól eltérő tagállam listáján szerepel (ott van akkreditálva), ezek az értékek végleges értékek is lehetnek.

Azoknak a tagállamoknak, amelyek a minősített tanúsítvány kiállításával nem foglalkozó hitelesítésszolgáltatók szolgáltatásainak az 1999/93/EK irányelvben megállapított rendelkezések és (az irányelv 2. cikke (11) bekezdésének értelmében vett) hitelesítési szolgáltatások nyújtása tekintetében érvényesülő nemzeti rendelkezések betartásának felügyeletére az adott országban meghatározott és nemzeti alapon végrehajtott „elismert jóváhagyási rendszert” hoztak vagy hoznak létre, az ilyen jóváhagyási rendszereket az alábbi két kategória egyikébe kell besorolniuk:

Ennek megfelelően a minősített tanúsítvány kiállításával nem foglalkozó hitelesítésszolgáltató állhat felügyelet alatt és lehet önkéntesen akkreditált. Amennyiben a megbízható szolgáltatók listáján szerepel, az ilyen szolgáltatás „aktuális státusértéke” a fenti státusértékek valamelyike az aktuális státusának megfelelően (lásd az 1. ábrát), és azt adott esetben a fenti státusváltásoknak megfelelően meg kell változatni.

A megbízható szolgáltatók listájának tartalmaznia kell az alkalmazott felügyeleti/akkreditációs rendszerekre vonatkozó adatokat, különösen az alábbiakat:

Az utolsó két információ kulcsfontosságú a listát használók számára a nemzeti szinten a minősített tanúsítvány kiállításával nem foglalkozó hitelesítésszolgáltatókra alkalmazott felügyeleti/akkreditációs rendszerek minőségének és biztonsági szintjének értékeléséhez. Amennyiben a megbízható szolgáltatók listája tartalmazza a minősített tanúsítvány kiállításával nem foglalkozó hitelesítésszolgáltatókra vonatkozó felügyeleti/akkreditációs státusadatokat, a korábban említett információkat a megbízható szolgáltatók listája szintjén kell megadni, „a rendszer adatainak URI-ja” (Scheme information URI) (5.3.7. pont – a tagállamok által megadott információk), a „rendszertípus/közösség/szabályok” (Scheme type/community/rules) (5.3.9. pont – a valamennyi tagállam esetében azonos szöveggel, és a tagállam által megadott, nem kötelező adatok révén) és a „megbízhatósági állapotlista szabályzata/jogi nyilatkozat” (TSL policy/legal notice) (5.3.11. pont – a valamennyi tagállam esetében azonos, az 1999/93/EK irányelvre utaló szöveg, azzal, hogy minden tagállam feltüntetheti a tagállamra jellemző egyedi szöveget/hivatkozásokat) mezők használatával.

Adott esetben a minősített tanúsítvány kiállításával nem foglalkozó hitelesítésszolgáltatókra vonatkozó nemzeti felügyeleti/akkreditációs rendszerek szintjén meghatározott, további, „minősítésre” vonatkozó adatokat szükség esetén (pl. több minőségi/biztonsági szint megkülönböztetése érdekében) szolgáltatási szinten lehet megadni a „szolgáltatásadat-bővítmény” (Service information extensions) (5.5.9. pont) részét képező „további szolgáltatásadat” (additionalServiceInformation Extension) (5.5.9.4. pont) használatán keresztül. A vonatkozó technikai leírásra vonatkozó további információk az I. fejezetben található részletes leírásban találhatók.

Jóllehet a tagállamban a tagállam hitelesítési szolgáltatásainak felügyelete és akkreditációja más-más szervek feladata is lehet, elvárás, hogy egy hitelesítési szolgáltatást a listába csak egyszer vigyenek fel, és felügyeleti/akkreditációs státusát ennek megfelelően frissítsék.

3.3. A megbízható szolgáltatók listájában a minősített elektronikus aláírások és a minősített tanúsítvánnyal ellátott fokozott biztonságú elektronikus aláírások érvényességének ellenőrzését elősegítő bejegyzések

A megbízható szolgáltatók listája létrehozásának legkritikusabb része a lista kötelező részének kialakítása, nevezetesen „a szolgáltatások listája” (List of services) mező létrehozása a minősített tanúsítványt kiállító hitelesítésszolgáltatónként annak érdekében, hogy a lista minden kiállított minősített tanúsítvány esetében megfelelően mutassa a minősített tanúsítványt kiállító hitelesítésszolgáltató pontos státusát, valamint hogy biztosítsa, hogy az egyes bejegyzésekben feltüntetett adatok elegendőek legyenek a minősített elektronikus aláírás és a minősített tanúsítvánnyal ellátott fokozott biztonságú elektronikus aláírás érvényességének ellenőrzéséhez (ha azt a hitelesítésszolgáltató a bejegyzésben szereplő hitelesítési szolgáltatás keretében a végfelhasználói minősített tanúsítvány tartalmával kombinálja).

A szükséges információk körébe az egyedüli legfelső szintű tanúsítványkiadó digitális szolgáltatásazonosítóján túlmenően más adatok is beletartozhatnak, így különösen az ilyen tanúsítványkiadó által kiállított tanúsítványok minősített státusát jelölő információk, továbbá az, hogy a támogatott aláírásokat biztonságos aláírás-létrehozó eszközzel hozták-e létre. A tagállamban a megbízható szolgáltatók listájának létrehozásával, szerkesztésével és vezetésével megbízott szervezetnek ezért a megbízható szolgáltatók listáján szereplő egyes minősített tanúsítványt kiállító hitelesítésszolgáltatók esetében minden egyes kiállított minősített tanúsítvány aktuális profilját és a tanúsítvány tartalmát is figyelembe kell vennie.

Ideális esetben minden egyes kiállított minősített tanúsítványnak – amennyiben azt minősített tanúsítványként tüntetik fel – tartalmaznia kell az ETSI által meghatározott, a minősített tanúsítvány megfelelőségére vonatkozó nyilatkozatot (QcCompliance) ( 11 ), valamint – ha azt elektronikus aláírások készítésére szolgáló, biztonságos aláírás-létrehozó eszközzel készültként tüntetik fel – tartalmaznia kell az ETSI által meghatározott biztonságos aláírás-létrehozó eszközön alapuló minősített tanúsítványra vonatkozó nyilatkozatot, és/vagy azt, hogy minden egyes kiállított minősített tanúsítvány tartalmazza az ETSI EN 319 411-2 szabványban ( 12 ) meghatározott QCP/QCP + hitelesítési rend objektumazonosítókat (OID). A jelenleg kiállított minősített tanúsítványok tartalmi eltérései miatt (pl. az ETSI által a minősített tanúsítványra vonatkozóan meghatározott nyilatkozatok eshetőleges használata) – amelynek oka a minősített tanúsítványt kiállító hitelesítésszolgáltatók részéről különböző szabványok hivatkozásként való használata, e szabványok egyedi értelmezésének jelentős elterjedtsége, illetve a kötelező technikai leírás vagy szabványok létezése ismeretének hiánya – a fogadó oldal nem hagyatkozhat pusztán az aláíró tanúsítványára (és a társult tanúsítványláncra/elérési útra) annak – legalább géppel olvasható formában történő – megállapításakor, hogy az elektronikus aláírás alapját képező tanúsítvány minősített tanúsítvány-e, és azt az elektronikus aláírás készítéséhez használt biztonságos aláírás-létrehozó eszközzel társították-e az aláíráshoz.

A megbízható szolgáltatók listáján a szolgáltatásbejegyzés „szolgáltatástípus-azonosító” (Service type identifier, Sti), a „szolgáltatás neve” (Service name, Sn) és a „szolgáltatás digitális azonosítója” (Service digital identity, Sdi) mezőinek a „szolgáltatásadat-bővítmény” (Service information extensions, Sie) mező adataival való kitöltése lehetővé teszi a listán szereplő, minősített tanúsítványt kiállító hitelesítésszolgáltató hitelesítési szolgáltatása által kiállított minősített tanúsítvány konkrét típusának teljes körű meghatározását, továbbá azt, hogy adatokat tudjon szolgáltatni arról, hogy a tanúsítvány biztonságos aláírás-létrehozó eszközön alapul-e (amennyiben ez az adat a kiállított minősített tanúsítványban nem szerepel). Ehhez a bejegyzéshez külön „szolgáltatás aktuális státusa” (Service current status, Scs) adat is társul. Ez az alábbi 2. ábrán látható.

Valamely szolgáltatásnak a listán csak a legfelső szintű tanúsítványkiadó digitális azonosítójával (Sdi) való feltüntetése annyit jelent, hogy (a minősített tanúsítványt kiállító hitelesítésszolgáltató, de a hitelesítésszolgáltató felügyeletét ellátó felügyeleti/akkreditáló szerv által is) biztosított az, hogy az (ezen hierarchiában) legfelső szintű tanúsítványkiadó alatti szolgáltató által kiállított végfelhasználói tanúsítvány elegendő, az ETSI által meghatározott és géppel feldolgozható adatot tartalmaz annak értékeléséhez, hogy a tanúsítvány minősített tanúsítvány-e, és az biztonságos aláírás-létrehozó eszköz által támogatott-e. Abban az esetben például, ha ez utóbbi állítás nem igaz (pl. a minősített tanúsítványban nem szerepel ETSI szabványnak megfelelő, géppel feldolgozható jelölés arra vonatkozóan, hogy a tanúsítvány biztonságos aláírás-létrehozó eszközön alapul), és az adott legfelső szintű tanúsítványkiadónak mindössze a digitális azonosítója (Sdi) szerepel a listában, csak az feltételezhető, hogy hierarchiában a legfelső szintű tanúsítványkiadó alatti szolgáltató által kiállított minősített tanúsítványok biztonságos aláírás-létrehozó eszköz által nem támogatottak. Annak jelzése érdekében, hogy ezek a minősített tanúsítványok biztonságos aláírás-létrehozó eszköz által támogatottnak tekintendők, a „szolgáltatásadat-bővítmény” (Sie) mezőt kell használni (ez azt is jelzi, hogy ezért az információért a minősített tanúsítványt kiállító hitelesítésszolgáltató garanciát vállal és az információt a felügyeleti vagy akkreditáló szerv felügyeli/akkreditálja).

2. ábra

A megbízható szolgáltatók listáján szereplő, minősített tanúsítványokat kiállító hitelesítésszolgáltató szolgáltatásbejegyzése

Általános elvek – Szerkesztési szabályok – Minősített tanúsítványt kiállító hitelesítésszolgáltatók bejegyzései (listán szereplő szolgáltatások)

A megbízható szolgáltatók listája egységes sablonjának e technikai leírása lehetővé teszi a szolgáltatásbejegyzésben szereplő információ öt fő részének kombinálását:

3.4. Szerkesztési és használati iránymutatás a minősített tanúsítványt kiállító hitelesítésszolgáltatók szolgáltatásbejegyzéseihez

Az általános szerkesztési szabályok a következők:

Általános alapértelmezett elvként a megbízható szolgáltatók listájára felvett hitelesítésszolgáltatók esetében minden egyes nyilvános kulcshoz egy szolgáltatásbejegyzésnek kell tartoznia a CA/QC típusú hitelesítési szolgáltatás esetén, azaz a minősített tanúsítványt (közvetlenül) kiállító hitelesítésszolgáltató esetében. Bizonyos kivételes körülmények esetében és gondosan irányított feltételek mellett a tagállami felügyeleti/akkreditáló szerv dönthet úgy, hogy a listán szereplő hitelesítésszolgáltató szolgáltatáslistájának valamely egyszeri bejegyzésének „szolgáltatás digitális azonosítójaként” (Sdi) a legfelső vagy felső szintű tanúsítványkiadónak a hitelesítésszolgáltató nyilvános kulcsú infrastruktúrájához tartozó nyilvános kulcsát használja (például a hitelesítésszolgáltatónak a legfelső szintű tanúsítványkiadótól a többi tanúsítványkiadóig terjedő hierarchiával összefüggésében) az összes alárendelt tanúsítványkiadó szolgáltatásának felsorolása helyett (azaz a végfelhasználói tanúsítványok közvetlen kiállításával nem foglalkozó, de a tanúsítványkiadók hierarchiáját a végfelhasználóknak minősített tanúsítványt kiállító tanúsítványkiadókkal bezárólag hitelesítő szolgáltatót szerepelteti a listán). Alkalmazása esetén a tagállamoknak körültekintően mérlegelniük kell a legfelső vagy felső szintű tanúsítványkiadó nyilvános kulcsának a megbízható szolgáltatók listáján a „szolgáltatás digitális azonosítójaként” (Sdi) történő használata következményeit (előnyeit és hátrányait). Emellett, az alapértelmezett elvtől való ezen engedélyezett kivétel alkalmazásakor a tagállamnak át kell adnia a hitelesítési útvonal felépítését és ellenőrzését lehetővé tevő szükséges dokumentációt. Azon minősített tanúsítványt kiállító hitelesítésszolgáltatók esetében például, amelyek olyan egyetlen legfelső szintű tanúsítványkiadót használnak, amely alatt több tanúsítványkiadó állít ki minősített és fokozott biztonságú tanúsítványokat, de amelynek esetében a minősített tanúsítványokban csak a minősített tanúsítvány megfelelőségére vonatkozó nyilatkozat szerepel, és az nem tünteti fel, hogy a tanúsítvány biztonságos aláírás-létrehozó eszköz által támogatott-e, a legfelső szintű tanúsítványkiadó „szolgáltatás digitális azonosítójának” (Sdi) listán való feltüntetése csak annyit jelent – a fent kifejtett szabályok értelmében –, hogy az ebben a legfelső szintű tanúsítványkiadó alatti hierarchiában kiállított tanúsítványok egyike sem támogatott biztonságos aláírás-létrehozó eszköz által. Ha vannak olyan minősített tanúsítványok, amelyek ténylegesen biztonságos aláírás-létrehozó eszköz által támogatottak, de géppel feldolgozható nyilatkozat nem jelzi, hogy a tanúsítványoknak ez a támogatottság is része lenne, a jövőben kiállított minősített tanúsítványokra nézve nyomatékosan ajánlott a biztonságos aláírás-létrehozó eszközön alapuló minősített tanúsítványra vonatkozó nyilatkozat igénybevétele. Ezzel egyidejűleg (az ezen információt nem tartalmazó utolsó minősített tanúsítvány lejártáig) a megbízható szolgáltatók listáján igénybe kell venni a „szolgáltatásadat-bővítmény” és a hozzá kapcsolódó „minősítésbővítmény” (Qualifications Extension) mezőt például szűrési adatokat adva meg a minősített tanúsítványokat kiállító hitelesítésszolgáltató által meghatározott azon objektumazonosítókon keresztül, amelyeket a minősített tanúsítványokat kiállító hitelesítésszolgáltató potenciálisan a különböző típusú minősített tanúsítványok megkülönbözetésére használ (amelyek egy része biztonságos aláírás-létrehozó eszköz által támogatott, egy másik része pedig nem támogatott) és a „minősítők” használatán keresztül kifejezetten „biztonságos aláírás-létrehozó eszköz által támogatott” információt társítva a (kiszűrt) tanúsítványcsoport(ok)hoz.

Az ezen technikai leírásnak megfelelő megbízható szolgáltatók listáján alapuló elektronikus aláírási alkalmazások, szolgáltatások vagy termékek esetében a következő általános használati iránymutatások érvényesülnek:

A „CA/QC”„Sti” bejegyzés (valamint a „Sie” additionalServiceInformation [szolgáltatás további adatai] bővítménnyel „RootCA/QC”-ként [gyökértanúsítvány-kiállítási szolgáltatásként] tovább minősített CA/QC bejegyzés)

3.5. A minősített tanúsítványokat kiállító tanúsítványkiadó (CA/QC) szolgáltatásait támogató, de a CA/QC digitális azonosítójának (Sdi) részét nem képező szolgáltatások

A minősített tanúsítványok és azon tanúsítványok érvényességi státusával kapcsolatos szolgáltatásokat, amelyekre vonatkozóan az érvényességi státusra vonatkozó adatot (pl. tanúsítvány-visszavonási listák és valós idejű tanúsítvány-lekérdezésekre adott válaszok) olyan szervezet írja alá, amelynek titkos kulcsa nincs minősített tanúsítványokat kiállító, a listán szereplő tanúsítványkiadó által hitelesítve, a megbízható szolgáltatók listáján a tanúsítvány érvényességi státusával kapcsolatos szolgáltatások felsorolása útján kell a listán szerepeltetni (azaz minősített tanúsítványokhoz kapcsolódó „valós idejű tanúsítvány-lekérdezések” [OCSP/QC] vagy „tanúsítvány-visszavonási listák” [CRL/QC] szolgáltatástípus bejegyzéssel), hiszen ezek a szolgáltatások a minősített tanúsítványokhoz kapcsolódó hitelesítési szolgáltatások részét képező felügyelt/akkreditált „minősített” szolgáltatásoknak tekinthetők. Természetesen úgy kell tekinteni, hogy azok a valós idejű tanúsítványlekérdezés-válaszadó egységek vagy tanúsítványvisszavonásilista-kiadók, amelyek tanúsítványait a minősített tanúsítványkiállítási szolgáltatások hierarchiájába bejegyzett tanúsítványkiadók írják alá, „érvényes” (valid) státusszal rendelkeznek és megfelelnek a listán szereplő minősített tanúsítványkiállítási szolgáltatás státusértékének.

Hasonló rendelkezés vonatkozhat a („CA/PKC” szolgáltatástípusú) fokozott biztonságú tanúsítványokat kiállító hitelesítési szolgáltatásokra.

A megbízható szolgáltatók listáján szerepeltetni kell a tanúsítványok érvényességi státusával kapcsolatos szolgáltatásokat, amennyiben a tanúsítvány érvényességi státusával kapcsolatos szolgáltatás által érintett végfelhasználói tanúsítványokban nem szerepel az ezen szolgáltatások elérhetőségével kapcsolatos információ.

4. Fogalommeghatározások és rövidítések

Ebben a dokumentumban a következő fogalommeghatározásokat és betűszavakat használjuk:

A dokumentum következő fejezeteiben a KÖTELEZŐ, a TILOS, a SZÜKSÉGES, a KELL, a TILOS/TILTOTT, a JAVASOLT, a NEM JAVASOLT, az AJÁNLOTT, a LEHET és az OPCIONÁLIS értelmezésére az RFC 2119-ben leírtak irányadók ( 13 ).

I. FEJEZET

RÉSZLETES LEÍRÁS A „FELÜGYELT/AKKREDITÁLT MEGBÍZHATÓ HITELESÍTÉSSZOLGÁLTATÓK LISTÁJÁNAK” EGYSÉGES SABLONJÁHOZ

Ez a leírás az ETSI TS 119 612 v1.1.1. szabványban (a továbbiakban: ETSI TS 119 612 szabvány) szereplő leíráson és követelményeken alapul.

Amennyiben a leírás különleges követelményt nem tartalmaz, teljes mértékben az ETSI TS 119 612 szabvány 5. és 6. pontját KELL alkalmazni. Amennyiben a leírás különleges követelményeket tartalmaz, ezeknek elsőbbséget KELL élvezniük az ETSI TS 119 612 szabvány vonatkozó követelményeivel szemben. A leírás és az ETSI TS 119 612 szabvány leírása közötti eltérés esetén e leírást KELL irányadónak tekinteni.

Scheme operator name (Rendszerüzemeltető neve) (5.3.4. pont)

Ennek a mezőnek szerepelnie KELL és meg KELL felelnie az ETSI TS 119 612 szabvány 5.3.4. pontjában meghatározott követelményeknek.

Az országoknak bármely kapcsolódó operatív tevékenység vonatkozásában elkülönült felügyeleti és akkreditációs szervei is LEHETNEK. Az egyes tagállamok feladata a megbízható szolgáltatók tagállami listája rendszerüzemeltetőjének kijelölése. Elvárás, hogy a felügyeleti szervnek, az akkreditáló szervnek és a rendszerüzemeltetőnek is saját feladat- és felelősségi köre legyen (amennyiben ezek külön szervek).

Minden olyan helyzetet, amelyben a felügyeleti, akkreditációs vagy üzemeltetési vonatkozásokért több szerv felel, egységesen ilyenként KELL megjelölni, a rendszeradatok között a megbízható szolgáltatók listájának részeként, ideértve a „Scheme information URI” (a rendszer adatainak URI-ja) (5.3.7. pont) mezőben megjelölt rendszerspecifikus adatok között történő megjelölést is.

Scheme name (Rendszer neve) (5.3.6. pont)

Ennek a mezőnek szerepelnie KELL és meg KELL felelnie az ETSI TS 119 612 szabvány 5.3.6. pontjában meghatározott követelményeknek, és a rendszerre az alábbi nevet KELL alkalmazni:

„EN_name_value” = „A rendszerüzemeltető tagállam által az elektronikus aláírásra vonatkozó közösségi keretfeltételekről szóló, 1999. december 13-i 1999/93/EK európai parlamenti és tanácsi irányelvben megállapított vonatkozó rendelkezéseknek való megfelelés tekintetében felügyelt/akkreditált hitelesítésszolgáltatók hitelesítési szolgáltatásainak felügyeleti/akkreditációs státuslistája”.

Scheme information URI (A rendszer adatainak URI-ja) (5.3.7. pont)

Ennek a mezőnek szerepelnie KELL és meg KELL felelnie az ETSI TS 119 612 szabvány 5.3.7. pontjában meghatározott követelményeknek, és az „appropriate information about the scheme” (a rendszerre vonatkozó megfelelő adatok) mezőnek legalább a következőket KELL tartalmaznia:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.”

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8.(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

„The present list is the „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

A rendszerre vonatkozó további tagállamspecifikus adatokat önkéntes alapon LEHET megadni. Ilyen adat lehet például:

Scheme type/community/rules (rendszetípus, közösség, szabályok) (5.3.9. pont)

Ennek a mezőnek szerepelnie KELL és meg KELL felelnie az ETSI TS 119 612 szabvány 5.3.9. pontjában meghatározott követelményeknek, és legalább két URI-t KELL tartalmaznia:

— A megbízható szolgáltatók valamennyi tagállami listája tekintetében azonos URI, amely olyan leíró szövegre mutat, amelynek a megbízható szolgáltatók összes listájára KELL vonatkoznia, az alábbiak szerint:

— URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

— Leíró szöveg:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a ‘voluntary accreditation’ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/EC). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification” is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A „CA/QC”„Service type identifier” („Sti”) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC” through the use of „Service information extension” („Sie”) additionalServiceInformation Extension)

— indicates that from the „Service digital identifier” („Sdi”) identified CA (similarly within the CA hierarchy starting from the „Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412-5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411-2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie”„Qualifications Extension” information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related „Sie”„Qualifications Extension” information, then the „machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.