2009D0767 — LT — 01.02.2014 — 003.001

Šis dokumentas yra skirtas tik informacijai, ir institucijos nėra teisiškai atsakingos už jo turinį

iš dalies keičiamas:

pataisytas:

▼B

▼C1

KOMISIJOS SPRENDIMAS

2009 m. spalio 16 d.

kuriuo pagal Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje nustatomos priemonės procedūroms, atliekamoms naudojantis elektroninėmis priemonėmis ir kontaktinių centrų paslaugomis, palengvinti

(pranešta dokumentu Nr. C(2009) 7806)

(Tekstas svarbus EEE)

(2009/767/EB)

1 straipsnis

Elektroninių parašų naudojimas ir pripažinimas

1. Jeigu tai pagrįsta remiantis tinkamu susijusios rizikos vertinimu ir laikantis Direktyvos 2006/123/EB 5 straipsnio 1 ir 3 dalių, valstybės narės, norėdamos pagal Direktyvos 2006/123/EB 8 straipsnį atlikti tam tikras procedūras ir formalumus naudodamosi kontaktinių centrų paslaugomis, gali reikalauti, kad paslaugų teikėjas naudotų saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą arba jos nenaudojant, kaip nustatyta ir reglamentuojama Direktyvoje 1999/93/EB.

2. Valstybės narės pripažįsta visus saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą arba jos nenaudojant, naudojamus atliekant pirmoje dalyje nurodytas procedūras ir formalumus, išsaugodamos galimybę pripažinti tik saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą, jei tai pagrįsta pirmoje dalyje nurodytu rizikos vertinimu.

3. Valstybės narės nepripažįsta saugių elektroninių parašų, pagrįstų kvalifikuotu sertifikatu ir sukurtų naudojant saugią parašo formavimo įrangą arba jos nenaudojant, laikydamosi reikalavimų, kuriais paslaugų teikėjams neleidžiama atlikti procedūrų elektroninėmis priemonėmis, naudojantis kontaktinių centrų paslaugomis.

4. 2 dalimi valstybėms narėms nedraudžiama pripažinti elektroninių parašų, jei tai nėra saugūs elektroniniai parašai, pagrįsti kvalifikuotu sertifikatu ir sukurti naudojant saugią parašo formavimo įrangą arba jos nenaudojant.

2 straipsnis

Patikimų sąrašų sudarymas, tvarkymas ir skelbimas

▼M3

1. Kiekviena valstybė narė pagal priede nustatytas technines specifikacijas sudaro, tvarko ir skelbia patikimą sąrašą, kuriame pateikia bent jau informaciją apie tos valstybės narės prižiūrimus ir (arba) akredituotus sertifikavimo paslaugų teikėjus, visuomenei išduodančius kvalifikuotus sertifikatus.

2. Valstybės narės pagal priede nustatytas technines specifikacijas sudaro ir paskelbia techninėmis priemonėmis apdorojamos formos patikimą sąrašą. Jei valstybė narė nusprendžia skelbti savo patikimą sąrašą žmonėms suprantama forma, ši patikimo sąrašo forma turi atitikti priede nustatytas specifikacijas.

2a. Valstybės narės elektroniniu būdu pasirašo techninėmis priemonėmis apdorojamos formos patikimą sąrašą, kad užtikrintų jo autentiškumą ir vientisumą. Jei valstybė narė skelbia žmonėms suprantamos formos patikimą sąrašą, ji užtikrina, kad šios formos patikimame sąraše būtų pateikti tie patys duomenys kaip ir techninėmis priemonėmis apdorojamos formos patikimame sąraše ir pasirašo ją elektroniniu būdu, naudodamos tą patį sertifikatą, kaip ir pasirašydamos techninėmis priemonėmis nuskaitomos formos patikimą sąrašą.

▼M3

2b. Valstybės narės užtikrina, kad techninėmis priemonėmis apdorojamos formos patikimas sąrašas būtų visada prieinamas jo skelbimo vietoje, be jokių pertraukų, išskyrus eksploatacijos tikslais.

▼M3

3. Valstybės narės Komisijai pateikia tokią informaciją:

▼M3

3a. Jei valstybė narė skelbia žmonėms suprantamos formos patikimą sąrašą, 3 dalyje nurodyta informacija taip pat pateikiama žmonėms suprantama forma.

▼M1

4. Komisija saugiu prieigos prie patvirtinto žiniatinklio serverio kanalu visoms valstybėms narėms pateikia 3 dalyje nurodytą valstybių narių perduotą informaciją ir žmonėms suprantama, ir pasirašyta techninėmis priemonėmis apdorojama forma.

▼C1

3 straipsnis

Taikymas

Šis sprendimas taikomas nuo 2009 m. gruodžio 28 d.

4 straipsnis

Adresatai

Šis sprendimas skirtas valstybėms narėms.

▼M3

PRIEDAS

PATIKIMO PRIŽIŪRIMŲ IR (ARBA) AKREDITUOTŲ SERTIFIKAVIMO PASLAUGŲ TEIKĖJŲ SĄRAŠO BENDROSIOS FORMOS TECHNINĖS SPECIFIKACIJOS

BENDRIEJI REIKALAVIMAI

1. Įvadas

Valstybių narių patikimo prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų teikėjų sąrašo bendrosios formos paskirtis – nustatyti bendrą būdą, kuriuo kiekviena valstybė narė teiktų informaciją apie sertifikavimo paslaugų teikėjų ( 3 ) (SPT), jos prižiūrimų ir (arba) akredituotų siekiant užtikrinti atitinkamų Direktyvos 1999/93/EB nuostatų laikymąsi, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusą. Be kitos informacijos, taip pat teikiama istorinė informacija apie prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusą.

Ši informacija pirmiausia skirta padėti įsitikinti kvalifikuotų elektroninių parašų (KEP) ir saugių elektroninių parašų (SEP) ( 4 ), patvirtinamų kvalifikuotu sertifikatu, tikrumu ( 5 ) ( 6 ).

Į privalomą patikimo sąrašo informaciją turi būti įtraukta bent informacija apie prižiūrimus ir (arba) akredituotus sertifikavimo paslaugų teikėjus, išduodančius kvalifikuotus sertifikatus (KS) ( 7 ) pagal Direktyvos 1999/93/EB nuostatas (3 straipsnio 2 ir 3 dalis bei 7 straipsnio 1 dalies a punktą), įskaitant, jei tai nėra įtraukta į kvalifikuotus sertifikatus, informaciją apie kvalifikuotus sertifikatus, kuriais patvirtinamas elektroninis parašas, ir apie tai, ar tas parašas kuriamas naudojant saugią parašo formavimo įrangą (SPFĮ) ( 8 ).

Nacionaliniu lygmeniu sudaromame patikimame sąraše savanoriškai gali būti teikiama papildoma informacija apie kitus sertifikavimo paslaugų teikėjus, neišduodančius kvalifikuotų sertifikatų, tačiau teikiančius su elektroniniais parašais susijusias paslaugas (pvz., apie SPT, teikiantį laiko fiksavimo paslaugas ir išduodantį laiko fiksavimo žymas, apie SPT, išduodantį nekvalifikuotus sertifikatus, ir t. t.), jeigu jie akredituoti ir (arba) prižiūrimi panašiai kaip kvalifikuotus sertifikatus išduodantys sertifikavimo paslaugų teikėjai arba patvirtinti pagal kitokią nacionalinę patvirtinimo schemą. Kai kuriose valstybėse narėse nacionalinės patvirtinimo schemos taikomų reikalavimų ir (arba) atsakingos organizacijos požiūriu gali skirtis nuo priežiūros ar savanoriškos akreditacijos schemų, taikomų kvalifikuotus sertifikatus išduodantiems sertifikavimo paslaugų teikėjams. Sąvokos „akredituoti“ ir (arba) „prižiūrimi“ šiose specifikacijose taip pat apima nacionalines patvirtinimo schemas, tačiau valstybės narės savo patikimame sąraše teiks papildomą informaciją apie bet kokių nacionalinių schemų pobūdį, įskaitant galimų skirtumų nuo kvalifikuotus sertifikatus išduodantiems sertifikavimo paslaugų teikėjams taikomų akreditacijos ir (arba) priežiūros schemų paaiškinimą.

Bendroji forma pagrįsta ETSI TS 119612 v1.1.1 ( 9 ) (toliau – ETSI TS 119612), taikomomis sudarant ir skelbiant tokius sąrašus, nurodant jų vietą, suteikiant galimybę jais naudotis, nustatant jų tikrumą ir vientisumą.

2. Patikimo sąrašo bendrosios formos struktūra

Valstybės narės patikimo sąrašo bendroji forma pagal ETSI TS 119612 suskirstyta į šias informacijos kategorijas:

Jei tai kvalifikuotus sertifikatus išduodantis SPT, patikimo sąrašo ir visų pirma informacijos apie paslaugą (-as) dalies (nurodytos 4 punkte) struktūra yra tokia, kad tais atvejais, kai kvalifikuotame sertifikate pateikiama nepakankamai (techninėmis priemonėmis apdorojamos) informacijos apie jo kvalifikacijos statusą, apie galimybę jį patvirtinti naudojant SPFĮ ir visų pirma kai reikia papildomai atsižvelgti į tai, kad dauguma (komercinių) sertifikavimo paslaugų teikėjų galutiniams subjektams skirtiems įvairių rūšių kvalifikuotiems ir nekvalifikuotiems sertifikatams parengti naudojasi vienos sertifikatus išduodančios sertifikavimo institucijos (SI) paslaugomis, informacijos apie paslaugą plėtiniuose būtų galima pateikti reikiamą papildomą informaciją.

Kiek tai susiję su sertifikatų rengimo (SI) paslaugomis, kiekvienam SPT skirtų sąraše teikiamų įrašų apie paslaugas skaičių galima sumažinti, jeigu to SPT viešojo rakto infrastruktūroje (angl. PKI) yra viena ar kelios aukštesnio lygmens SI tarnybos (pvz., kai yra sertifikavimo institucijų hierarchija nuo pagrindinės SI iki kelių sertifikatus išduodančių sertifikavimo institucijų), ir į sąrašą įtraukti tokias aukštesnio lygmens SI tarnybas, o ne SI tarnybas, išduodančias galutiniams subjektams skirtus sertifikatus (pvz., įtraukti į sąrašą tik pagrindinę SPT SI). Tačiau tais atvejais informacija apie statusą taikoma visai SI tarnybų hierarchijai, žemesnei nei įtraukta į sąrašą tarnyba, ir būtina taikyti ir palaikyti principą, pagal kurį užtikrinamas aiškus SPTKS sertifikavimo paslaugos ryšys su sertifikatų, identifikuotinų kaip kvalifikuoti sertifikatai, rinkiniu.

2.1. Kiekvienos kategorijos informacijos aprašas

1. Patikimo sąrašo žyma

2. Informacija apie patikimą sąrašą ir jo rengimo schemą

Šioje kategorijoje pateikiama tokia informacija:

3. Aiški identifikavimo informacija apie kiekvieną pagal schemą prižiūrimą ir (arba) akredituotą SPT

Šiame informacijos rinkinyje pateikiama bent ši informacija:

4. Kiekvienam į sąrašą įtrauktam SPT skirta laukų, kuriuose aiškiai identifikuojama SPT teikiama pagal Direktyvą 1999/93/EB prižiūrima ir (arba) akredituota sertifikavimo paslauga, seka

Šiame informacijos rinkinyje apie kiekvieną į sąrašą įtraukto SPT teikiamą sertifikavimo paslaugą pateikiama bent ši informacija:

5. Kiekvienos į sąrašą įtrauktos sertifikavimo paslaugos statuso istorija

6. Parašas, kurio reikšmei nustatyti siekiant autentiškumo įtraukiami visi patikimo sąrašo laukai, išskyrus pačią parašo reikšmę

3. Patikimo sąrašo įrašų redagavimo gairės

3.1. Prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų ir jų teikėjų statuso informacija bendrame sąraše

Valstybės narės patikimas sąrašas – tai „sertifikavimo paslaugų teikėjų, kuriuos, siekdama užtikrinti atitinkamų Direktyvos 1999/93/EB nuostatų laikymąsi, prižiūri ir (arba) yra akreditavusi nurodyta valstybė narė, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statuso sąrašas“.

Toks patikimas sąrašas yra bendra priemonė, kurią atitinkama valstybė narė turi naudoti informacijai apie sertifikavimo paslaugų ir jų teikėjų priežiūros ir (arba) akreditacijos statusą teikti:

Svarstant Direktyvoje 1999/93/EB nustatytas apibrėžtis ir nuostatas, visų pirma susijusias su atitinkamais sertifikavimo paslaugų teikėjais ir jų priežiūros ir (arba) savanoriškos akreditacijos sistemomis, galima išskirti dvi sertifikavimo paslaugų teikėjų grupes: sertifikavimo paslaugų teikėjus, kurie visuomenei išduoda kvalifikuotus sertifikatus (SPTQC), ir sertifikavimo paslaugų teikėjus, kurie kvalifikuotų sertifikatų visuomenei neišduoda, tačiau teikia „kitas (papildomas) paslaugas, susijusias su elektroniniais parašais“:

Kiekvienoje valstybėje narėje turi būti sudaromas ir tvarkomas vienas bendras patikimas sąrašas, kuriame nurodomas tos valstybės narės prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų teikėjų teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusas. Į patikimą sąrašą įtraukiami bent kvalifikuotus sertifikatus išduodantys sertifikavimo paslaugų teikėjai. Patikimame sąraše taip pat gali būti nurodomas kitų sertifikavimo paslaugų, kurios yra prižiūrimos arba akredituotos pagal nacionaliniu lygmeniu apibrėžtą patvirtinimo schemą, statusas.

3.2. Bendras priežiūros ir (arba) akreditacijos statuso reikšmių rinkinys

Patikimame sąraše tai, kad paslauga šiuo metu yra prižiūrima arba akredituota, parodo jos dabartinio statuso reikšmė. Be to, priežiūra arba akreditacija gali būti galiojanti (prižiūrima („under supervision“), akredituota („accredited“), priežiūra baigiama („supervision in cessation“)), pasibaigusi (priežiūra pasibaigusi („supervision ceased“), akreditacija pasibaigusi („accreditation ceased“) arba netgi panaikinta (priežiūra panaikinta („supervision revoked“), akreditacija panaikinta („accreditation revoked“)) ir turi būti nustatyta atitinkama statuso reikšmė. Kol yra teikiama, ta pati sertifikavimo paslauga iš prižiūrimos gali tapti akredituota ir atvirkščiai ( 10 ).

1 paveiksle parodyta galima tos pačios sertifikavimo paslaugos priežiūros ir (arba) akreditacijos statuso kaita:

1 paveikslas

Galima SPT paslaugos priežiūros ir (arba) akreditacijos statuso kaita

Sertifikavimo paslauga, kurią teikiant išduodami kvalifikuoti sertifikatai ir kurios teikėjas įsisteigęs valstybėje narėje, turi būti prižiūrima (valstybės narės, kurioje tas teikėjas įsisteigęs) ir gali būti savanoriškai akredituota. Tokios paslaugos, jeigu ji įtraukta į patikimą sąrašą, statuso reikšmė – dabartinė statuso reikšmė – turi būti viena iš nurodytų statuso reikšmių, atitinkanti jos faktinį statusą, ir, jeigu reikia, turi kisti pagal nurodytą statuso kaitos seką. Tačiau dvi reikšmės – „Akreditacija pasibaigusi“(„Accreditation ceased“) ir „Akreditacija panaikinta“ („Accreditation revoked“) – turi abi būti naudojamos kaip pereinamojo statuso reikšmės, jeigu atitinkama SPTKS paslauga įtraukta į valstybės narės, kurioje įsisteigęs jos teikėjas, patikimą sąrašą, nes paprastai reikalaujama, kad tokia paslauga būtų prižiūrima (net jei ji nėra akredituota arba jeigu jos akreditacija yra pasibaigusi); kai atitinkama paslauga įtraukta į sąrašą (akredituota) kitoje valstybėje narėje nei ta, kurioje įsisteigęs jos teikėjas, šios reikšmės gali būti galutinės.

Valstybės narės, nustačiusios arba nustatančios nacionaliniu mastu pripažintą (-as) patvirtinimo schemą (-as), įgyvendinamą (-as) nacionaliniu lygmeniu ir skirtą (-as) prižiūrėti, kad kvalifikuotų sertifikatų neišduodančių sertifikavimo paslaugų teikėjų teikiamos paslaugos atitiktų Direktyvos 1999/93/EB nuostatas ir galimas nacionalines nuostatas, susijusias su sertifikavimo paslaugų teikimu (atsižvelgiant į Direktyvos 1999/93/EB 2 straipsnio 11 dalį), tokią (-ias) patvirtinimo schemą (-as) turi priskirti kuriai nors iš šių dviejų kategorijų:

Taigi sertifikavimo paslauga, kurią teikiant neišduodami kvalifikuoti sertifikatai, gali būti prižiūrima arba savanoriškai akredituota. Tokios paslaugos, jeigu ji įtraukta į patikimą sąrašą, statuso reikšmė – dabartinė statuso reikšmė – turi būti viena iš nurodytų statuso reikšmių (žr. 1 paveikslą), atitinkanti jos faktinį statusą, ir, jeigu reikia, turi būti keičiama pagal apibūdintą statuso kaitos seką.

Patikimame sąraše turi būti pateikta informacija apie pamatinę (-es) priežiūros ir (arba) akreditacijos schemą (-as), visų pirma:

Paskutiniai du informacijos rinkiniai yra ypač svarbūs, kad susijusios šalys galėtų įvertinti tokių priežiūros ir (arba) akreditacijos sistemų, nacionaliniu lygmeniu taikomų kvalifikuotų sertifikatų neišduodantiems sertifikavimo paslaugų teikėjams, kokybę ir saugumą. Kai patikimame sąraše teikiama informacija apie kvalifikuotų sertifikatų neišduodančių sertifikavimo paslaugų teikėjų teikiamų paslaugų priežiūros ir (arba) akreditacijos statusą, minėtieji informacijos rinkiniai patikimo sąrašo lygmeniu teikiami naudojant laukus „Scheme information URI“ („Schemos informacijos UII“, 5.3.7 punktas, informaciją teikia valstybės narės), „Scheme type/community/rules“ („Schemos tipas, naudotojai ir (arba) taisyklės“, 5.3.9 punktas, naudojamas visoms valstybėms narėms bendras tekstas ir valstybės narės teikiama neprivaloma specifinė informacija) ir „TSL policy/legal notice“ („PUPSS politika ir (arba) teisinė informacija“, 5.3.11 punktas, visoms valstybėms narėms bendras tekstas, susietas su Direktyva 1999/93/EB; be to, kiekviena valstybė narė gali pateikti papildomą jai svarbų tekstą ir (arba) nuorodų).

Kai reikia ir reikalaujama, naudojant plėtinį „additionalServiceInformation“ („Papildoma informacija apie paslaugą“, 5.5.9.4 punktas), kuris yra lauko „Service information extensions“ („Informacijos apie paslaugą plėtiniai“) dalis (5.5.9 punktas), gali būti teikiama papildoma su kvalifikacija susijusi informacija, nustatyta pagal nacionalines priežiūros ir (arba) akreditacijos sistemas, taikomas kvalifikuotų sertifikatų neišduodantiems sertifikavimo paslaugų teikėjams, apie kiekvieną paslaugą (pvz., norint išskirti keletą kokybės ir (arba) saugumo lygmenų). Daugiau informacijos apie atitinkamas technines specifikacijas yra I skyriuje pateiktose išsamiose specifikacijose.

Nors valstybėje narėje už sertifikavimo paslaugų priežiūrą ir akreditaciją gali būti atsakingos kelios tos valstybės narės institucijos, reikalaujama, kad vienai sertifikavimo paslaugai būtų naudojamas tik vienas įrašas ir kad tos paslaugos priežiūros ir (arba) akreditacijos statusas būtų atitinkamai atnaujinamas.

3.3. Patikimo sąrašo įrašai, skirti padėti įsitikinti KES ir SEPKS tikrumu

Svarbiausias patikimo sąrašo kūrimo etapas – privalomos patikimo sąrašo dalies, t. y. kiekvieno kvalifikuotus sertifikatus išduodančio SPT teikiamų paslaugų sąrašo, sudarymas siekiant teisingai nurodyti tikslią kiekvienos sertifikavimo paslaugos, kurią teikiant išduodami kvalifikuoti sertifikatai, padėtį ir užtikrinti, kad kiekviename įraše pateiktos informacijos pakaktų padėti įsitikinti KEP ir SEPKS tikrumu (kartu remiantis galutinio subjekto KS, kurį, teikdamas šiame įraše nurodytą sertifikavimo paslaugą, išdavė SPT, turiniu).

Gali būti, kad į reikiamą informaciją bus įtraukta ne bendros (pagrindinės) SI „Paslaugos skaitmeninis identifikatorius“ informacija, o kita informacija, visų pirma informacija apie tokios SI tarnybos išduotų sertifikatų KS statusą ir tai, ar patvirtinami parašai kuriami naudojant SPFĮ. Todėl valstybės narės įstaiga, kuriai pavesta sudaryti patikimą sąrašą, jį redaguoti ir tvarkyti, turi atsižvelgti į kiekvieno kiekvienam į patikimą sąrašą įtrauktam SPTKS išduoto KS galiojantį aprašą ir sertifikato turinį.

Būtų geriausia, kad kai tvirtinama, jog tai yra KS, į kiekvieną išduodamą KS būtų įrašomas ETSI nustatytas KS atitikties (angl. QcCompliance) ( 11 ) patvirtinimas, o kai tvirtinama, kad elektroniniams parašams (angl. eSignatures), kurie patvirtinami KS, kurti naudojama SPFĮ, – ETSI nustatytas KS SPFĮ (angl. QcSSCD) patvirtinimas, ir (arba) kad į kiekvieną išduodamą KS būtų įrašomas vienas iš KSP/KSP+ (angl. QCP/QCP+) sertifikatų politikos objektų identifikatorių (angl. Object Identifiers, OID), nustatytų ETSI EN 319 411–2 ( 12 ). KS išduodantys SPT rėmėsi skirtingais standartais, tie standartai buvo įvairiai aiškinami ir trūko žinių apie kai kurių norminių techninių specifikacijų arba standartų buvimą ir taikymo pirmenybę, todėl faktinis šiuo metu išduodamų kvalifikuotų sertifikatų turinys (pvz., tai, ar naudojami ETSI nustatyti KS patvirtinimai (angl. QcStatements) nevienodas ir sertifikatus gaunančios šalys negali pasikliauti tik pasirašančio asmens sertifikatu (ir susijusia grandine ar keliu), norėdamos bent techninėmis priemonėmis įvertinti, ar sertifikatas, kuriuo patvirtinamas elektroninis parašas, yra teikiamas kaip KS ir ar jis susijęs su SPFĮ, kurią naudojant buvo sukurtas tas elektroninis parašas.

Į patikimo sąrašo paslaugos įrašo laukus „Service type identifier“ („Paslaugos rūšies identifikatorius“, angl. „Sti“), „Service name“ („Paslaugos pavadinimas“, angl. „Sn“) ir „Service digital identity“ („Paslaugos skaitmeninis identifikatorius“, angl. „Sdi“) įrašius informaciją, pateiktą lauke „Service information extensions“ („Informacijos apie paslaugą plėtiniai“, angl. „Sie“), galima išsamiai apibrėžti konkretų kvalifikuoto sertifikato, kurį išdavė į sąrašą įtrauktas kvalifikuotus sertifikatus išduodantis SPT, tipą, ir pateikti informacijos apie tai, ar jis patvirtinamas naudojant SPFĮ (jei tokia informacija išduotame KS nepateikta). Su šiuo įrašu susiejama konkreti lauko „Service current status“ („Dabartinis paslaugos statusas“, angl. „Scs“) informacija. Tai parodyta 2 paveiksle.

Paslaugos įtraukimas į sąrašą nurodant tik (pagrindinės) SI „Sdi“ reikštų, jog užtikrinama (užtikrina ne tik kvalifikuotus sertifikatus išduodantis SPT, bet ir priežiūros ir (arba) akreditacijos įstaiga, atsakinga už šio SPT priežiūrą ir (arba) akreditaciją), kad visuose galutinio subjekto sertifikatuose, išduotuose prižiūrint šiai (pagrindinei) SI (pagal tam tikrą hierarchiją), pateikiama pakankamai ETSI nustatytos ir techninėmis priemonėmis apdorojamos informacijos, kad būtų galima įvertinti, ar tai KS ir ar jis patvirtintas naudojant SPFĮ. Jeigu, pvz., pastarasis teiginys neteisingas (pvz., kvalifikuotame sertifikate nepateikta ETSI standartizuotos, techninėmis priemonėmis apdorojamos informacijos apie tai, ar šis KS patvirtinamas naudojant SPFĮ), sąraše nurodžius tik tos (pagrindinės) SI „Sdi“, galima daryti tik išvadą, kad kvalifikuoti sertifikatai, išduodami pagal šią (pagrindinės) SI hierarchiją, netvirtinami naudojant SPFĮ. Siekiant nurodyti, kad tie kvalifikuoti sertifikatai turi būti laikomi patvirtintais naudojant SPFĮ, turėtų būti naudojamas „Sie“ laukas (tai kartu rodo, jog šią informaciją garantuoja kvalifikuotus sertifikatus išduodantis SPT ir ją prižiūri ir (arba) yra akreditavusi atitinkamai priežiūros arba akreditacijos įstaiga).

2 paveikslas

Į sąrašą įtraukto SPT teikiamos paslaugos, kurią teikiant išduodami kvalifikuoti sertifikatai, įrašas patikimame sąraše

Bendrieji principai. Redagavimo taisyklės. SPTKS įrašai (į sąrašą įtrauktos paslaugos)

Pagal šias patikimo sąrašo bendrosios formos technines specifikacijas paslaugos įraše galima naudoti penkių pagrindinių informacijos dalių derinį:

3.4. SPTKS paslaugų įrašų redagavimo ir naudojimo gairės

Bendrosios redagavimo gairės yra tokios:

Paprastai taikomas numatytasis principas, kad į patikimą sąrašą įtraukiant SPT, vienam viešajam raktui, išduodamam SI/KS tipo sertifikavimo paslaugai, t. y. sertifikavimo institucijos, (tiesiogiai) išduodančios kvalifikuotus sertifikatus, teikiamai paslaugai, turi būti pateikiamas vienas paslaugos įrašas. Tam tikromis išimtinėmis aplinkybėmis ir rūpestingai kontroliuojamomis sąlygomis valstybės narės priežiūros arba akreditacijos įstaiga gali nuspręsti kaip šio į sąrašą įtraukto SPT teikiamų paslaugų sąraše esančio vienintelio įrašo „Sdi“ naudoti to SPT viešojo rakto infrastruktūroje esančios pagrindinės arba aukštesnio lygmens SI (pvz., kai yra SPT sertifikavimo institucijų hierarchija nuo pagrindinės SI iki kelių sertifikatus išduodančių sertifikavimo institucijų) viešąjį raktą, užuot išvardijus visas pavaldžias sertifikatus išduodančias SI tarnybas (t. y. įtraukti į sąrašą sertifikavimo instituciją, kuri galutiniams subjektams skirtų kvalifikuotų sertifikatų tiesiogiai neišduoda, bet patvirtina sertifikavimo institucijų hierarchiją nuo viršaus iki sertifikavimo institucijų, išduodančių kvalifikuotus sertifikatus galutiniams subjektams). Valstybės narės turi atidžiai apsvarstyti tokio pagrindinės arba aukštesnio lygmens SI viešojo rakto naudojimo patikimo sąrašo paslaugos įrašo „Sdi“ vertei pateikti padarinius (pranašumus ir trūkumus), jei taiko tokį metodą. Be to, valstybė narė, taikydama šią leidžiamą numatytojo principo išimtį, privalo pateikti reikiamus dokumentus, padedančius nustatyti sertifikavimo kelią ir tikrinimo būdą. Pavyzdžiui, jeigu SPTKS naudojasi paslaugomis, teikiamomis vienos pagrindinės SI, kurios vadovaujamos kelios sertifikavimo institucijos išduoda kvalifikuotus ir nekvalifikuotus sertifikatus, o jam išduodamuose kvalifikuotuose sertifikatuose pateikiamas tik KS atitikties patvirtinimas, tačiau nenurodoma, ar KS patvirtinamas naudojant SPFĮ, pagal pirmiau išaiškintas taisykles tik pagrindinės SI „Sdi“ pateikimas reikštų, kad nė vienas iš vadovaujant šiai pagrindinei SI išduodamų kvalifikuotų sertifikatų nėra patvirtinamas naudojant SPFĮ. Jeigu yra kvalifikuotų sertifikatų, kurie iš tiesų patvirtinami naudojant SPFĮ, tačiau į šiuos sertifikatus neįtrauktas joks techninėmis priemonėmis apdorojamas patvirtinimas, kad šie sertifikatai yra patvirtinami naudojant SPFĮ, primygtinai rekomenduojama kvalifikuotuose sertifikatuose, kurie bus išduodami ateityje, naudoti KS SPFĮ patvirtinimą. Kol kas (kol baigsis paskutinio KS, kuriame ši informacija neteikiama, galiojimas) patikimame sąraše turėtų būti naudojamas laukas „Sie“ ir susijęs plėtinys „Qualifications“ („Kvalifikacijos“), pavyzdžiui, teikti informaciją apie tai, kaip atrinkti sertifikatų rinkinį (-ius) naudojant specialius SPTKS nustatytus OID, kuriuos tas SPTKS galbūt naudoja įvairių tipų kvalifikuotiems sertifikatams atskirti (kai kurie iš jų patvirtinami naudojant SPFĮ, o kai kurie – ne) ir, naudojant plėtinį „Qualifiers“ („Kvalifikatoriai“), teikti su tuo (tais) nustatytu (-ais) (filtravimo būdu atrinktu (-ais) sertifikatų rinkiniu (-iais) susijusią tikslią informaciją apie SPFĮ naudojimą.

Bendrosios elektroninio parašo taikymo priemonių, paslaugų arba produktų, pagrįstų šias technines specifikacijas atitinkančiu patikimu sąrašu, naudojimo gairės yra tokios:

SI/KS įrašas „Sti“ (ir panašus SI/KS įrašas, toliau vadinamas „pagrindinės SI/KS“ (angl. RootCA/QC), daromas naudojant „Sie“ plėtinį „additionalServiceInformation“ („Papildoma informacija apie paslaugą“):

3.5. Paslaugos, padedančios teikti SI/KS paslaugas, tačiau nesusijusios su SI/KS lauku „Sdi“

Su kvalifikuotais sertifikatais susijusios sertifikato galiojimo statuso nustatymo paslaugos, kurias teikiant pateikiamą sertifikato galiojimo statuso informaciją (pvz., panaikinamų sertifikatų sąrašų (angl. Certificate Revocation Lists, CRL) ir interneto sertifikatų statuso protokolo (angl. Online Certificate Status Protocol, OCSP) atsakus) pasirašo subjektas, kurio privatusis raktas nėra sertifikuotas pagal sertifikavimo kelią, kuriuo galima nustatyti į sąrašą įtrauktą kvalifikuotus sertifikatus išduodančią SI (SI/KS), į patikimą sąrašą įtraukiamos, šiame patikimame sąraše jas nurodant kaip sertifikato galiojimo statuso nustatymo paslaugas (t. y. nurodant paslaugos tipą atitinkamai OCSP/KS arba CRL/KS), nes galima tarti, kad šios paslaugos yra prižiūrimų ir (arba) akredituotų kvalifikuotų paslaugų, susijusių su KS sertifikavimo paslaugų teikimu, dalis. Be abejo, OCSP atsakovai arba CRL teikėjai, kurių sertifikatus pasirašo sertifikavimo institucijos, priklausančios tam tikrai į sąrašą įtrauktos SI/KS paslaugos hierarchijai, turi būti pripažinti teisėtais ir atitinkančiais SI/KS paslaugos, kuri yra įtraukta į sąrašą, statuso reikšmę.

Panaši nuostata gali būti taikoma sertifikavimo paslaugoms, kurias teikiant išduodami nekvalifikuoti sertifikatai (teikiant SI/VRS (angl. CA/PKC) rūšies paslaugas).

Sertifikato galiojimo statuso nustatymo paslaugos patikimame sąraše nurodomos, jeigu susijusi informacija apie tokių paslaugų teikimo vietą galutinių subjektų sertifikatuose, kuriems šios sertifikato galiojimo statuso nustatymo paslaugos yra taikomos, nenurodyta.

4. Apibrėžtys ir santrumpos

Šiame dokumente vartojamos šios apibrėžtys ir akronimai:

Šiuose skyriuose raktiniai žodžiai „PRIVALO“, „NEPRIVALO“, „PRIVALOMAS“, „TURI“, „NETURI“, „TURĖTŲ“, „NETURĖTŲ“, „REKOMENDUOJAMA“, „GALI“ ir „:NEPRIVALOMAS“ turi būti suprantami taip, kaip aprašyta RFC 2119 ( 13 ).

I SKYRIUS

PATIKIMO PRIŽIŪRIMŲ IR (ARBA) AKREDITUOTŲ SERTIFIKAVIMO PASLAUGŲ TEIKĖJŲ SĄRAŠO BENDROSIOS FORMOS IŠSAMIOS SPECIFIKACIJOS

Šios specifikacijos pagrįstos specifikacijomis ir reikalavimais, nustatytais ETSI TS 119612 v1.1.1 (toliau – ETSI TS 119612).

Jeigu šiose specifikacijose konkretus reikalavimas nenurodytas, TURI būti taikomi visi ETSI TS 119 612 5 ir 6 punktuose nustatyti reikalavimai. Jeigu šiose specifikacijose pateikiami konkretūs reikalavimai, jiems TURI būti teikiama pirmenybė prieš atitinkamus ETSI TS 119612 nustatytus reikalavimus. Jeigu šios specifikacijos prieštarauja ETSI TS 119612 specifikacijoms, kaip norminės TURI būti taikomos šios specifikacijos.

Schemos operatoriaus pavadinimas (5.3.4 punktas)

Šis laukas TURI būti teikiamas ir TURI atitikti TS 119 612 5.3.4 punkte nustatytas specifikacijas.

Šalyje GALI būti atskiros priežiūros ir akreditacijos įstaigos ir netgi papildomos įstaigos, vykdančios įvairią susijusią einamąją veiklą. Kiekviena valstybė narė pati paskiria valstybės narės patikimo sąrašo schemos operatorių. Numatyta, kad priežiūros įstaigai, akreditacijos įstaigai ir schemos operatoriui (jei tai atskiros įstaigos) nustatomos atskiros pareigos ir atsakomybė.

Patikimo sąrašo dalyje, kurioje pateikiama informacija apie schemą, taip pat teikiant specifinę schemos informaciją, kuri nurodoma naudojant schemos informacijos UII, TURI būti nuosekliai išdėstytos ir nurodytos visos aplinkybės, kuriomis už priežiūrą, akreditaciją arba veiklos aspektus atsakingos atskiros įstaigos (5.3.7 punktas).

Schemos pavadinimas (5.3.6 punktas)

Šis laukas TURI būti teikiamas ir TURI atitikti TS 119 612 5.3.6 punkte nustatytas specifikacijas, kai schemai pavadinti TURI būti naudojamas toks pavadinimas:

EN_name_value = sertifikavimo paslaugų teikėjų, kuriuos, siekdama užtikrinti atitinkamų 1999 m. gruodžio 13 d. Europos Parlamento ir Tarybos direktyvos 1999/93/EB dėl Bendrijos elektroninių parašų reguliavimo sistemos nuostatų laikymąsi, prižiūri ir (arba) yra akreditavusi nurodyta schemos operatoriaus valstybė narė, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statuso sąrašas.

Schemos informacijos UII (5.3.7 punktas)

Šis laukas TURI būti teikiamas ir TURI atitikti TS 119 612 5.3.7 punkte nustatytas specifikacijas, kai į tinkamą schemos informaciją TURI būti įtraukta bent ši informacija:

Savanoriškai GALI būti teikiama papildoma specifinė valstybės narės informacija apie schemą, kaip antai:

Schemos tipas, naudotojai ir (arba) taisyklės (5.3.9 punktas)

Šis laukas TURI būti teikiamas ir TURI atitikti TS 119 612 5.3.9 punkte nustatytas specifikacijas ir jame TURI būti pateikti bent du UII:

Valstybės narės, remdamosi minėtu specifiniu valstybės narės UII, GALI nustatyti ir naudoti papildomus UII (t. y. UII, nustatomus remiantis šiuo specifiniu hierarchiniu UII).

PUPSS politika ir (arba) teisinė informacija 5.3.11 punktas

Šis laukas TURI būti teikiamas ir TURI atitikti TS 119 612 5.3.11 punkte nustatytas specifikacijas, kai informacija apie politiką ir (arba) teisinė informacija apie teisinį schemos statusą arba teisinius reikalavimus, kuriuos schema turi atitikti atsižvelgiant į jurisdikciją, pagal kurią taikoma ši schema, ir (arba) visus apribojimus ir sąlygas, pagal kuriuos patikimas sąrašas yra tvarkomas ir skelbiamas, TURI būti įvairiakalbių ženklų eilutė (paprastojo teksto), sudaryta iš dviejų dalių:

1) Pirmosios – privalomosios – dalies, kuri yra bendra visų valstybių narių patikimiems sąrašams (privaloma kalba – Jungtinės Karalystės anglų kalba, taip pat gali būti vartojama viena arba daugiau valstybinių kalbų) ir kurioje nurodoma, kad taikomas teisinis pagrindas yra Direktyva 1999/93/EB ir valstybės narės, nurodytos lauke „Schemos teritorija“ („Scheme Territory“), teisės aktų nuostatos, kuriomis įgyvendinama ši direktyva.

Bendras tekstas anglų kalba:

The applicable legal framework for the present TSL implementation of the Trusted List of supervised/accredited Certification Service Providers for [name of the relevant Member State] is Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and its implementation in [name of the relevant Member State] laws.

Tekstas valstybės narės valstybine (-ėmis) kalba (-omis): [oficialus (-ūs) minėto teksto anglų kalba vertimas (-ai)].