2009D0767 — LT — 01.07.2013 — 002.001

Šis dokumentas yra skirtas tik informacijai, ir institucijos nėra teisiškai atsakingos už jo turinį

iš dalies keičiamas:

pataisytas:

▼B

▼C1

KOMISIJOS SPRENDIMAS

2009 m. spalio 16 d.

kuriuo pagal Europos Parlamento ir Tarybos direktyvą 2006/123/EB dėl paslaugų vidaus rinkoje nustatomos priemonės procedūroms, atliekamoms naudojantis elektroninėmis priemonėmis ir kontaktinių centrų paslaugomis, palengvinti

(pranešta dokumentu Nr. C(2009) 7806)

(Tekstas svarbus EEE)

(2009/767/EB)

1 straipsnis

Elektroninių parašų naudojimas ir pripažinimas

1. Jeigu tai pagrįsta remiantis tinkamu susijusios rizikos vertinimu ir laikantis Direktyvos 2006/123/EB 5 straipsnio 1 ir 3 dalių, valstybės narės, norėdamos pagal Direktyvos 2006/123/EB 8 straipsnį atlikti tam tikras procedūras ir formalumus naudodamosi kontaktinių centrų paslaugomis, gali reikalauti, kad paslaugų teikėjas naudotų saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą arba jos nenaudojant, kaip nustatyta ir reglamentuojama Direktyvoje 1999/93/EB.

2. Valstybės narės pripažįsta visus saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą arba jos nenaudojant, naudojamus atliekant pirmoje dalyje nurodytas procedūras ir formalumus, išsaugodamos galimybę pripažinti tik saugius elektroninius parašus, pagrįstus kvalifikuotu sertifikatu ir sukurtus naudojant saugią parašo formavimo įrangą, jei tai pagrįsta pirmoje dalyje nurodytu rizikos vertinimu.

3. Valstybės narės nepripažįsta saugių elektroninių parašų, pagrįstų kvalifikuotu sertifikatu ir sukurtų naudojant saugią parašo formavimo įrangą arba jos nenaudojant, laikydamosi reikalavimų, kuriais paslaugų teikėjams neleidžiama atlikti procedūrų elektroninėmis priemonėmis, naudojantis kontaktinių centrų paslaugomis.

4. 2 dalimi valstybėms narėms nedraudžiama pripažinti elektroninių parašų, jei tai nėra saugūs elektroniniai parašai, pagrįsti kvalifikuotu sertifikatu ir sukurti naudojant saugią parašo formavimo įrangą arba jos nenaudojant.

2 straipsnis

Patikimų sąrašų sudarymas, tvarkymas ir skelbimas

1. Kiekviena valstybė narė pagal priede pateiktas technines specifikacijas sudaro, tvarko ir skelbia patikimą sąrašą, kuriame pateikiama būtina informacija apie tos valstybės narės prižiūrimus ir (arba) akredituotus sertifikavimo paslaugų teikėjus, visuomenei išduodančius kvalifikuotus sertifikatus.

▼M1

2. Valstybės narės pagal priede nustatytas technines specifikacijas sudaro ir paskelbia ir žmonėms suprantamos, ir techninėmis priemonėmis apdorojamos formos patikimą sąrašą.

▼M1

2a. Kad būtų užtikrintas patikimo sąrašo autentiškumas ir vientisumas, valstybės narės elektroniniu būdu pasirašo techninėmis priemonėmis apdorojamą savo patikimo sąrašo versiją ir saugiu kanalu paskelbia bent žmonėms suprantamos formos patikimą sąrašą.

▼M1

3. Valstybės narės Komisijai pateikia tokią informaciją:

▼M1

4. Komisija saugiu prieigos prie patvirtinto žiniatinklio serverio kanalu visoms valstybėms narėms pateikia 3 dalyje nurodytą valstybių narių perduotą informaciją ir žmonėms suprantama, ir pasirašyta techninėmis priemonėmis apdorojama forma.

▼C1

3 straipsnis

Taikymas

Šis sprendimas taikomas nuo 2009 m. gruodžio 28 d.

4 straipsnis

Adresatai

Šis sprendimas skirtas valstybėms narėms.

PRIEDAS

PATIKIMO PRIŽIŪRIMŲ IR (ARBA) AKREDITUOTŲ SERTIFIKAVIMO PASLAUGŲ TEIKĖJŲ SĄRAŠO BENDROSIOS FORMOS TECHNINĖS SPECIFIKACIJOS

ĮVADAS

1. Bendrosios nuostatos

Valstybių narių patikimo prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų teikėjų sąrašo bendrosios formos paskirtis – nustatyti bendrą būdą, kuriuo kiekviena valstybė narė teiktų informaciją apie sertifikavimo paslaugų teikėjų ( 3 ) (SPT), jos prižiūrimų ir (arba) akredituotų siekiant užtikrinti atitinkamų Direktyvos 1999/93/EB nuostatų laikymąsi, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusą. Be kitos informacijos taip pat teikiama istorinė informacija apie prižiūrimų ir (arba) akredituotų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusą.

Į privalomą patikimo sąrašo (PS) informaciją turi būti įtraukta būtiniausia informacija apie prižiūrimus ir (arba) akredituotus SPT, išduodančius kvalifikuotus sertifikatus (KS) ( 4 ) pagal Direktyvos 1999/93/EB nuostatas (3 straipsnio 3 dalį, 3 straipsnio 2 dalį ir 7 straipsnio 1 dalies a punktą), įskaitant informaciją apie KS, kuriuo patvirtinamas elektroninis parašas, ir apie tai, ar parašas kuriamas naudojant saugią parašo formavimo įrangą (SPFĮ) ( 5 ).

Be to, nacionaliniu lygmeniu sudaromame patikimame sąraše savanoriškai gali būti teikiama papildoma informacija apie kitus prižiūrimus ir (arba) akredituotus SPT, neišduodančius KS, tačiau teikiančius paslaugas, susijusias su elektroniniais parašais (pvz., apie SPT, teikiančius laiko fiksavimo paslaugas ir išduodančius laiko fiksavimo žymas; apie SPT, išduodančius nekvalifikuotus sertifikatus, ir t. t.).

Ši informacija pirmiausia skirta padėti įsitikinti kvalifikuotų elektroninių parašų (KEP) ir saugių elektroninių parašų (SEP) ( 6 ), patvirtinamų kvalifikuotu sertifikatu, tikrumu ( 7 ), ( 8 ).

Siūloma bendroji forma atitinka įgyvendinimo nuostatas, pagrįstas ETSI TS 102 231 nustatytomis specifikacijomis ( 9 ), taikomomis sudarant ir skelbiant tokius sąrašus, nurodant jų vietą, suteikiant galimybę jais naudotis, nustatant jų tikrumą ir patikimumą.

2. PS įrašų redagavimo gairės

2.1. PS, skirtas prižiūrimoms ir (arba) akredituotoms sertifikavimo paslaugoms

Valstybės narės patikimas sąrašas apibrėžiamas kaip Sertifikavimo paslaugų teikėjų, kuriuos, siekdama užtikrinti atitinkamų Direktyvos 1999/93/EB nuostatų laikymąsi, prižiūri ir (arba) yra akreditavusi nurodyta valstybė narė, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statuso sąrašas.

Į tokį patikimą sąrašą turi būti įtraukti:

Svarstant Direktyvoje 1999/93/EB nustatytas apibrėžtis ir nuostatas, pirmiausia susijusias su atitinkamais SPT ir jų priežiūros ir (arba) savanoriškos akreditacijos sistemomis, galima išskirti dvi SPT grupes: SPT, kurie visuomenei išduoda KS (SPTKS), ir SPT, kurie KS visuomenei neišduoda, tačiau teikia „kitas (papildomas) paslaugas, susijusias su elektroniniais parašais“.

Valstybės narės patikimame sąraše turi būti pateikta būtiniausia informacija apie prižiūrimus ir (arba) akredituotus SPT, visuomenei išduodančius kvalifikuotus sertifikatus (KS) pagal Direktyvos 1999/93/EB nuostatas (3 straipsnio 3 dalį, 3 straipsnio 2 dalį ir 7 straipsnio 1 dalies a punktą), informacija apie KS, kuriuo patvirtinamas elektroninis parašas, ir apie tai, ar parašas kuriamas naudojant saugią parašo formavimo įrangą.

Nacionaliniu lygmeniu sudaromame patikimame sąraše savanoriškai gali būti teikiama papildoma informacija apie kitas prižiūrimas ir (arba) akredituotas paslaugas, kurias teikia SPT, visuomenei neišduodantys KS (pvz., SPT, teikiantys laiko fiksavimo paslaugas ir išduodantys laiko fiksavimo žymas; SPT, išduodantys nekvalifikuotus sertifikatus, ir t. t.).

Patikimo sąrašo paskirtis:

Kiekvienoje valstybėje narėje turi būti sudaromas ir tvarkomas vienas bendras PS, kuriame nurodomas valstybės narės prižiūrimų ir (arba) akredituotų SPT teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statusas.

Tai, kad paslauga yra prižiūrima arba akredituota, yra vienas iš dabartinio statuso aspektų. Be to, priežiūra arba akreditacija gali būti galiojanti, baigiama, pasibaigusi ar netgi panaikinta. Kol yra teikiama, ta pati sertifikavimo paslauga iš prižiūrimos gali tapti akredituota ir atvirkščiai ( 10 ).

Toliau pateiktame 1 paveiksle parodyta galima tos pačios sertifikavimo paslaugos priežiūros ir (arba) akreditacijos statuso kaita:

pav.

Sertifikavimo paslauga, kurią teikiant išduodamas KS, turi būti prižiūrima (jei jos teikėjas įsisteigęs valstybėje narėje) ir gali būti savanoriškai akredituota. Tokios į patikimą sąrašą įtrauktos paslaugos statuso reikšmė – dabartinė statuso reikšmė – gali būti bet kuri iš pirmiau nurodytų statuso reikšmių. Tačiau reikia paminėti, kad statuso reikšmės „Akreditacija pasibaigusi“ ir „Akreditacija panaikinta“ kaip pereinamojo statuso reikšmės turi būti naudojamos tik tuo atveju, jei tai SPTKS paslaugos, kurių teikėjas įsisteigęs valstybėje narėje, nes paprastai reikalaujama, kad tokios paslaugos būtų prižiūrimos (net jeigu jos nėra akredituotos arba jeigu jų akreditacija yra pasibaigusi).

Reikalaujama, kad valstybės narės, nustačiusios arba nustatančios nacionaliniu mastu pripažintą (-as) patvirtinimo schemą (-as), įgyvendinamą (-as) nacionaliniu lygmeniu ir skirtą (-as) prižiūrėti, kad KS neišduodančių SPT teikiamos paslaugos atitiktų Direktyvos 1999/93/EB nuostatas ir galimas nacionalines nuostatas, susijusias su sertifikavimo paslaugų teikimu (atsižvelgiant į šios direktyvos 2 straipsnio 11 punktą), priskirtų šią (šias) patvirtinimo schemą (-as) kuriai nors iš šių dviejų kategorijų:

Taigi sertifikavimo paslauga, kurią teikiant neišduodami KS, gali būti prižiūrima arba savanoriškai akredituota. Tokios į patikimą sąrašą įtrauktos paslaugos statuso reikšmė – dabartinė statuso reikšmė – gali būti bet kuri iš pirmiau nurodytų statuso reikšmių (žr. 1 paveikslą).

Patikimame sąraše turi būti pateikta informacija apie pamatinę (-es) priežiūros ir (arba) akreditacijos schemą (-as), pirmiausia:

Paskutinieji du informacijos rinkiniai yra ypač svarbūs, kad susijusios šalys galėtų įvertinti tokių priežiūros ir (arba) akreditacijos sistemų, nacionaliniu lygmeniu taikomų KS neišduodantiems SPT, kokybę ir saugumą. Kai patikimame sąraše teikiama informacija apie KS neišduodančių SPT teikiamų paslaugų priežiūros ir (arba) akreditacijos statusą, minėtieji informacijos rinkiniai PS lygmeniu teikiami naudojant „Schemos informacijos UII“ (5.3.7 punktas – informaciją teikia valstybės narės), „Schemos tipas, naudotojai ir (arba) taisyklės“ (5.3.9 punktas – naudojamas visoms valstybėms narėms bendras tekstas ir valstybės narės teikiama neprivaloma specifinė informacija) ir „PUPSS politika ir (arba) teisinė informacija“ (5.3.11 punktas – visoms valstybėms narėms bendras tekstas, susietas su Direktyva 1999/93/EB; be to, kiekviena valstybė narė gali pateikti papildomą jai svarbų tekstą ir (arba) nuorodų). Papildoma su kvalifikacija susijusi informacija, nustatyta pagal nacionalines priežiūros ir (arba) akreditacijos sistemas, taikomas KS neišduodantiems SPT, apie kiekvieną paslaugą gali būti teikiama, kai reikia ir reikalaujama (pvz., norint išskirti keletą kokybės ir (arba) saugumo lygmenų), naudojant plėtinį „Papildoma informacija apie paslaugą“ (angl. additionalServiceInformation) (5.8.2 punktas), kuris yra „Informacijos apie paslaugą plėtinys“ (angl. Service information extension) dalis (5.5.9 punktas). Daugiau informacijos apie atitinkamas technines specifikacijas pateikta I skyriuje pateiktose išsamiose specifikacijose.

Nors valstybėje narėje už sertifikavimo paslaugų priežiūrą ir akreditaciją gali būti atsakingos kelios tos valstybės narės institucijos, reikalaujama, kad vienai sertifikavimo paslaugai būtų naudojamas tik vienas įrašas (identifikuojamas pagal „Paslaugos skaitmeninį identifikatorių“ (angl. Service digital identity), nustatytą ETSI TS 102 231 ( 11 ) ir kad tos paslaugos priežiūros ir (arba) akreditacijos statusas būtų atitinkamai atnaujinamas. Pirmiau nurodytos statuso reikšmės yra aprašytos tam skirtame I skyriuje pateiktų išsamių techninių specifikacijų 5.5.4 punkte.

2.2. PS įrašai, skirti padėti įsitikinti KEP ir SEPKS tikrumu

Svarbiausias PS kūrimo etapas – privalomos PS dalies, t. y. kiekvieno KS išduodančio SPT teikiamų paslaugų sąrašo, sudarymas siekiant teisingai nurodyti tikslų kiekvienos tokios sertifikavimo paslaugos, kurią teikiant išduodamas KS, teikimo statusą, ir užtikrinti, kad kiekviename įraše pateiktos informacijos pakaktų padėti įsitikinti KEP ir SEPKS tikrumu (kartu remiantis galutinio subjekto KS, kurį, teikdamas šiame įraše nurodytą sertifikavimo paslaugą, išdavė SPT, turiniu).

Kadangi nėra išties suderinto tarptvalstybinio KS aprašo, gali būti, kad į reikiamą informaciją bus įtraukta ne bendros (pagrindinės) SI „Paslaugos skaitmeninio identifikatoriaus“ informacija, o kita informacija, pirmiausia informacija apie išduoto sertifikato KS statusą ir tai, ar patvirtinami parašai kuriami naudojant SPFĮ. Todėl valstybės narės įstaiga, kuriai pavesta sudaryti, redaguoti ir tvarkyti PS (t. y. schemos operatorius, kaip nustatyta ETSI TS 102 231), turi atsižvelgti į kiekvieno kiekvienam į PS įtrauktam SPTKS išduoto KS galiojantį aprašą ir sertifikato turinį.

Būtų geriausia, kad, kai tvirtinama, kad tai yra KS, į kiekvieną išduodamą KS būtų įrašomas ETSI nustatytas KS atitikties (angl. QcCompliance) ( 12 ) patvirtinimas, o kai tvirtinama, kad elektroniniams parašams (angl. eSignatures), kurie patvirtinami KS, kurti naudojama SPFĮ, – ETSI nustatytas KS SPFĮ (angl. QcSSCD) patvirtinimas, ir (arba) kad į kiekvieną išduodamą KS būtų įrašomas vienas iš KSP/KSP+ (angl. QCP/QCP+) sertifikatų politikos objektų identifikatorių (angl. Object Identifiers, OID), nustatytų ETSI TS 101 456 ( 13 ). KS išduodantys SPT rėmėsi skirtingais standartais, šie standartai buvo įvairiai interpretuojami ir trūko žinių apie kai kurių norminių techninių specifikacijų arba standartų buvimą ir taikymo pirmenybę, todėl faktinis šiuo metu išduodamų KS turinys (pvz., tai, ar naudojami ETSI nustatyti KS patvirtinimai) nevienodas ir sertifikatus gaunančios šalys negali pasikliauti tik pasirašančio asmens sertifikatu (ir susijusia grandine ar keliu), norėdamos bent techninėmis priemonėmis įvertinti, ar sertifikatas, kuriuo patvirtinamas elektroninis parašas, yra teikiamas kaip KS, ir ar jis susijęs su SPFĮ, kurią naudojant buvo sukurtas elektroninis parašas.

Į laukus „Paslaugos rūšies identifikatorius“ (angl. Service type identifier, „Sti“), „Paslaugos pavadinimas“ (angl. Service name, „Sn“) ir „Paslaugos skaitmeninis identifikatorius“ (angl. Service digital identity, „Sdi“) ( 14 ) įrašius informaciją, pateiktą lauke „Informacijos apie paslaugą plėtiniai“ (angl. Service information extensions, „Sie“), galima pagal siūlomą bendrąją PS formą išsamiai apibrėžti konkretų kvalifikuoto sertifikato, kurį išdavė į sąrašą įtrauktas KS išduodantis SPT, tipą ir pateikti informacijos apie tai, ar jis patvirtinamas naudojant SPFĮ (jei tokia informacija išduotame KS nepateikta). Be abejo, su šiuo įrašu susiejama konkreti dabartinio paslaugos statuso (angl. Service current status, „Scs“) informacija. Tai parodyta toliau pateiktame 2 paveiksle.

Paslaugos įtraukimas į sąrašą nurodant tik (pagrindinės) SI „Sdi“ reikštų, kad užtikrinama (užtikrina ne tik KS išduodantis SPT, bet ir priežiūros ir (arba) akreditacijos įstaiga, atsakinga už šio SPT priežiūrą ir (arba) akreditaciją), jog visuose galutinio subjekto sertifikatuose, išduotuose prižiūrint šiai (pagrindinei) SI (pagal tam tikrą hierarchiją), pateikiama pakankamai ETSI nustatytos ir techninėmis priemonėmis apdorojamos informacijos, kad būtų galima įvertinti, ar tai KS ir ar jis patvirtinamas naudojant SPFĮ. Pvz., jeigu pastarasis teiginys neteisingas (pvz., kvalifikuotame sertifikate nepateikta ETSI standartizuotos, techninėmis priemonėmis apdorojamos informacijos apie tai, ar šis KS patvirtinamas naudojant SPFĮ), sąraše nurodžius tik tos (pagrindinės) SI „Sdi“, galima daryti tik išvadą, kad KS, išduodami pagal šią (pagrindinės) SI hierarchiją, netvirtinami naudojant SPFĮ. Kad būtų galima teigti, jog šie KS patvirtinami naudojant SPFĮ, tai turėtų būti nurodyta naudojant „Sie“ (tai kartu rodo, jog tai užtikrina KS išduodantis SPT, prižiūrimas ir (arba) akredituotas priežiūros arba akreditacijos įstaigos).

pvz.

Pagal šias PS bendrosios formos technines specifikacijas paslaugos įraše galima naudoti penkių pagrindinių informacijos dalių derinį:

2.3. SPTKS paslaugų įrašų redagavimo ir naudojimo gairės

Toliau pateikiamos bendrosios redagavimo gairės.

Paprastai taikomas numatytasis principas, kad į patikimą sąrašą įtraukiant SPT, vienam X.509v3 sertifikatui, išduodamam SI/KS tipo sertifikavimo paslaugai, t. y. sertifikavimo institucijos, (tiesiogiai) išduodančios KS, teikiamai paslaugai, turi būti pateikiamas vienas paslaugos įrašas. Tam tikromis tiksliai numatytomis aplinkybėmis ir rūpestingai kontroliuojamomis sąlygomis valstybės narės priežiūros arba akreditacijos įstaiga gali nuspręsti naudoti pagrindinės arba aukštesniojo lygmens SI (t. y. sertifikavimo institucijos, tiesiogiai neišduodančios galutiniams subjektams skirtų KS, bet patvirtinančios SI hierarchiją nuo viršaus iki SI, išduodančių KS galutiniams subjektams) X.509v3 sertifikatą kaip į sąrašą įtrauktų SPT teikiamų paslaugų sąraše esančio vienintelio įrašo „Sdi“. Valstybės narės turi išsamiai apsvarstyti ir patvirtinti šių pagrindinės arba aukštesniojo lygmens SI X.509v3 sertifikatų naudojimo PS paslaugų įrašų „Sdi“ vertėms pateikti padarinius (pranašumus ir trūkumus). Be to, valstybė narė, taikydama šią leidžiamą numatytojo principo išimtį, privalo pateikti reikiamus dokumentus, padedančius nustatyti sertifikavimo kelią ir tikrinimo būdą.

Bendrosioms redagavimo gairėms paaiškinti galima pateikti tokį pavyzdį: jei SPTKS naudojasi paslaugomis, teikiamomis vienos pagrindinės SI, kurios vadovaujamos kelios SI išduoda kvalifikuotus ir nekvalifikuotus sertifikatus, o jai išduodamuose kvalifikuotuose sertifikatuose pateikiamas tik KS atitikties patvirtinimas, tačiau nenurodoma, ar KS patvirtinami naudojant SPFĮ, pagal pirmiau išaiškintas taisykles tik pagrindinės SI „Sdi“ pateikimas reikštų, kad visi pagal šios pagrindinės SI hierarchiją išduoti KS NETVIRTINAMI naudojant SPFĮ. Jie šie KS iš tiesų patvirtinami naudojant SPFĮ, primygtinai rekomenduojama kvalifikuotuose sertifikatuose, kuries bus išduodami ateityje, naudoti KS SPFĮ patvirtinimą. Kol kas (kol baigsis paskutinio KS, kuriame ši informacija neteikiama, galiojimas), patikimumo užtikrinimo paslaugų statuso sąraše turėtų būti naudojamas laukas „Sie“ ir susijęs plėtinys „Kvalifikacijos“ (angl. Qualifications), pavyzdžiui, sertifikatai turėtų būti filtruojami naudojant specialius SPTKS nustatytus OID, kuriuos SPTKS galbūt naudoja įvairių tipų KS atskirti, (kai kurie iš jų patvirtinami naudojant SPFĮ, o kai kurie – ne) ir, naudojant plėtinį „Kvalifikatoriai“, pateikiama su tais filtravimo būdu atrinktais sertifikatais susijusi tiksli informacija apie SPFĮ naudojimą.

Toliau pateikiamos bendrosios elektroninio parašo taikymo priemonių, paslaugų arba produktų, pagrįstų patikimo sąrašo rengimu PUPSS forma pagal šias technines specifikacijas, naudojimo gairės.

SI/KS įrašas „Sti“ (ir panašus SI/KS įrašas, toliau vadinamas „pagrindinės SI/KS“ (angl. RootCA/QC), daromas naudojant „Sie“ plėtinį „Papildoma informacija apie paslaugą“ (angl. additionalServiceInformation):

2.4. Paslaugos, padedančios teikti SI/KS paslaugas, tačiau nesusijusios su SI/KS lauku „Sdi“

Taip pat reikėtų įtraukti atvejus, kai panaikinamų sertifikatų sąrašų (angl. Certificate Revocation Lists, CRL) ir interneto sertifikatų statuso protokolo (angl. Online Certificate Status Protocol, OCSP) atsakai pasirašomi naudojant raktus, gautus ne iš KS išduodančios SI (SI/KS). Tai galima padaryti šias paslaugas įtraukiant į patikimą sąrašą, rengiamą PUPSS forma (t. y. naudojant paslaugos rūšies identifikatorių, papildomai apibūdintą naudojant plėtinį „Papildoma informacija apie paslaugą“, kuriame nurodoma, kad OCSP arba CRL paslauga teikiama išduodant KS, pvz., atitinkamai nurodant paslaugos tipą OCSP/KS arba CRL/KS), nes galima tarti, kad šios paslaugos yra prižiūrimų ir (arba) akredituotų paslaugų, susijusių su KS sertifikavimo paslaugų teikimu, dalis. Be abejo, OCSP atsakovai arba CRL teikėjai, kurių sertifikatus pasirašo SI, priklausiančios tam tikrai į sąrašą įtrauktos SI/KS paslaugos hierarchijai, turi būti pripažinti teisėtais ir atitinkančiais SI/KS paslaugos, kuri yra įtraukta į sąrašą, statuso reikšmę.

Panaši nuostata gali būti taikoma sertifikavimo paslaugoms, kurias teikiant išduodami nekvalifikuoti sertifikatai (teikiant SI/VRS (angl. CA/PKC) rūšies paslaugas), naudojant numatytąsias ETSI TS 102 231 OCSP ir CRL paslaugų rūšis.

Atminkite, kad į patikimą sąrašą, rengiamą PUPSS forma, TURI būti įtrauktos atšaukimo paslaugos, taikomos, kai galutinių sertifikatų lauke AIA nepateikta reikiama informacija arba kai nėra į sąrašą įtrauktos SI parašo.

2.5. Perėjimas prie sąveikaus KS aprašo

Iš esmės reikia pamėginti kuo labiau sumažinti paslaugų įrašų (skirtingų „Sdi“) skaičių. Kita vertus, būtina užtikrinti tikslų tų paslaugų, kurios yra susijusios su KS išdavimu ir patikimos informacijos apie tai, ar KS patvirtinami naudojant SPFĮ, teikimu, kai šios informacijos išduotame KS nėra, identifikavimą.

Būtų geriausia, kad laukas „Sie“ ir plėtinys „Kvalifikacija“ (griežtai) būtų naudojami tik tais specifiniais atvejais, kuriais reikia taikyti šį sprendimą, nes kvalifikuotame sertifikate turėtų būti pateikiama pakankamai informacijos apie deklaruotą kvalifikaciją ir deklaruotą SPFĮ naudojimą.

Valstybės narės turėtų kaip galima geriau užtikrinti, kad būtų priimti ir naudojami sąveikūs KS aprašai.

3. Patikimo sąrašo bendrosios formos struktūra

Siūloma valstybės narės patikimo sąrašo bendroji forma bus suskirstyta į šias informacijos kategorijas:

Jei tai KS išduodantys SPT, aiškiai identifikuojant prižiūrimą ir (arba) akredituotą sertifikavimo paslaugą, kuri bus įtraukta į sąrašą, būtina apsvarstyti atvejus, kai kvalifikuotame sertifikate pateikiama nepakankamai informacijos apie jo kvalifikaciją ir galimybę jį patvirtinti naudojant SPFĮ, o pirmiausia reikia išspręsti klausimą, susijusį su tuo, kad daugelis (komercinių) SPT galutiniams subjektams skirtiems įvairių rūšių kvalifikuotiems ir nekvalifikuotiems sertifikatams parengti naudojasi vienos kvalifikuotos sertifikatus išduodančios SI paslaugomis.

Sąraše teikiamų įrašų, skirtų kiekvienam pripažintam SPT, skaičių galima sumažinti tada, kai yra viena ar keletas aukštesniųjų SI tarnybų, pvz., priklausančių komercinei SI hierarchijai nuo pagrindinės SI iki sertifikatus išduodančių SI. Tačiau net ir tokiais atvejais būtina taikyti ir palaikyti principą, kad būtų užtikrintas aiškus SPTKS sertifikavimo paslaugos ryšys su sertifikatų, identifikuotinų kaip KS, rinkiniu.

1. Informacija apie patikimą sąrašą ir jo rengimo schemą

Šioje kategorijoje pateikiama tokia informacija:

2. Aiški identifikavimo informacija apie kiekvieną pagal schemą pripažįstamą SPT

Šiame informacijos rinkinyje pateikiama bent ši informacija:

3. Kiekvienam į sąrašą įtrauktam SPT skirta laukų, kuriuose aiškiai identifikuojama SPT teikiama pagal Direktyvą 1999/93/EB prižiūrima ir (arba) akredituota sertifikavimo paslauga, seka

Šiame informacijos rinkinyje apie kiekvieną į sąrašą įtraukto SPT teikiamą sertifikavimo paslaugą pateikiama bent ši informacija:

4. Kiekvienos į sąrašą įtrauktos sertifikavimo paslaugos dabartinio statuso identifikavimo informacija ir šio statuso istorija

Šiame informacijos rinkinyje pateikiama bent ši informacija:

4. Apibrėžtys ir santrumpos

Šiame dokumente taikomos šios apibrėžtys ir akronimai:

I SKYRIUS

PATIKIMO PRIŽIŪRIMŲ IR (ARBA) AKREDITUOTŲ SERTIFIKAVIMO PASLAUGŲ TEIKĖJŲ SĄRAŠO BENDROSIOS FORMOS IŠSAMIOS SPECIFIKACIJOS

Šioje dokumento dalyje raktiniai žodžiai „PRIVALO“, „NEPRIVALO“, „PRIVALOMAS“, „TURI“, „NETURI“, „TURĖTŲ“, „NETURĖTŲ“, „REKOMENDUOJAMA“, „GALI“ ir „NEPRIVALOMAS“ turi būti suprantami taip, kaip aprašyta RFC 2119 ( 15 ).

►M1 Šios specifikacijos pagrįstos specifikacijomis ir reikalavimais, nustatytais ETSI TS 102 231 v.3.1.2. Jei šiose specifikacijose konkretus reikalavimas nenurodytas, TURI būti taikomi visi ETSI TS 102 231 v.3.1.2 nustatyti reikalavimai. ◄ Jei šiose specifikacijose pateikiami konkretūs reikalavimai, jiems TURI būti teikiama pirmenybė prieš atitinkamus ETSI TS 102 231 nustatytus reikalavimus ir jie turi būti papildomi formato specifikacijomis, nustatytomis ETSI TS 102 231. Jei šios specifikacijos prieštarauja ETSI TS 102 231 specifikacijoms, kaip norminės TURI būti taikomos šios specifikacijos.

TURI būti įdiegta galimybė pasirinkti kalbą – bent anglų (EN) ir galbūt dar vieną arba daugiau nacionalinių kalbų.

Data ir laikas TURI būti nurodomi pagal ETSI TS 102 231 5.1.4 punktą.

Unikalieji išteklių identifikatoriai (UII) TURI būti nurodomi pagal ETSI TS 102 231 5.1.5 punktą.

Informacija apie patikimo sąrašo rengimo schemą

Tag

Šis laukas PRIVALOMAS; jis TURI atitikti ETSI TS 102 231 5.2.1 punktą.

▼M1 —————

▼C1

Scheme Information

Šis laukas PRIVALOMAS; jame TURI būti įrašyta „3“ (sveikasis skaičius).

▼M1

Šis laukas PRIVALOMAS. Jame TURI būti nurodytas PUPSS eilės numeris. Pirmosios PUPSS versijos eilės numeris yra „1“, po to ši sveikuoju skaičiumi išreikšta reikšmė TURI būti padidinama kiekvieną kartą, kai išleidžiama nauja PUPSS versija. Padidinus minėto „TSL version identifier“ reikšmę, šis numeris NETURI vėl tapti „1“.

▼C1

▼M1

Šis laukas PRIVALOMAS; jame nurodomas PUPSS tipas. Šio lauko reikšmė TURI būti http://uri.etsi.org/TrstSvc/eSigDir-1999–93-EC-TrustedList/TSLType/generic (Generic).

▼C1

Pastaba: siekiant laikytis ETSI TS 102 231 5.3.3 punkto ir nurodyti konkretų PUPSS tipą, remiantis šiomis specifikacijomis, kuriomis nustatyta valstybėse narėse PUPSS forma rengiamo patikimo sąrašo ( 16 ) rengimo tvarka ir leidžiama taikyti tam tikrą analizės priemonę, skirtą nustatyti, kuri toliau nurodytų laukų ( 17 ) forma veikiausiai bus taikoma, jei, atsižvelgiant į teikiamo PUPSS tipą (šiuo atveju tai valstybės narės patikimas sąrašas), nustatyta kokia nors konkreti (arba alternatyvi) šių laukų reikšmė, minėtas konkretus UII TURI būti užregistruotas ir aprašytas, kaip nurodyta toliau:

▼M1

UII:URI: (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999–93-EC-TrustedList/TSLType/generic

▼C1

Aprašas.PUPSS forma rengiamas sertifikavimo paslaugų teikėjų, kuriuos, siekdama užtikrinti, kad būtų laikomasi atitinkamų 1999 m. gruodžio 13 d. Europos Parlamento ir Tarybos direktyvos 1999/93/EB dėl Bendrijos elektroninių parašų reguliavimo sistemos nuostatų, tiesioginės (savanoriškos arba teisės aktais nustatytos) priežiūros tvarka prižiūri ir (arba) yra akreditavusi nurodyta valstybė narė, tvarkanti PUPSS forma rengiamą sąrašą, teikiamų sertifikavimo paslaugų priežiūros ir (arba) akreditacijos statuso sąrašas.

Šis laukas PRIVALOMAS. Jame TURI būti nurodytas valstybės narės įstaigos, atsakingos už nacionalinio patikimo sąrašo sudarymą, skelbimą ir tvarkymą, pavadinimas. Jame TURI būti nurodytas oficialus pavadinimas, kurį naudodamas susijęs juridinis asmuo arba įgaliotasis asmuo (pvz., Vyriausybės administracinė agentūra), susijęs su šia įstaiga, vykdo veiklą. Tai PRIVALO būti pavadinimas, naudojamas oficialiame teisiniame registre arba įgaliojime ir siunčiant oficialius pranešimus. Šis pavadinimas TURI būti sudarytas iš įvairiakalbių ženklų eilučių sekos ir turi būti užrašytas anglų (EN) kalba, kaip privaloma, ir galbūt viena arba daugiau nacionalinių kalbų.

Pastaba. Šalyje GALI būti atskiros priežiūros ir akreditacijos įstaigos ir netgi papildomos įstaigos, vykdančios įvairią susijusią einamąją veiklą. Kiekviena valstybė narė pati paskiria PUPSS forma rengiamo valstybės narės patikimo sąrašo schemos operatorių. ►M1 Kiekviena valstybė narė pati paskiria PUPSS forma rengiamo valstybės narės patikimo sąrašo „Scheme Operator“ (schemos operatorių). ◄

Patikimo sąrašo dalyje, kurioje pateikiama informacija apie schemą, taip pat teikiant specifinę schemos informaciją, kuri nurodoma naudojant schemos informacijos UII, TURI būti nuosekliai išdėstytos ir nurodytos visos aplinkybės, kuriomis už priežiūrą, akreditaciją arba veiklos aspektus atsakingos atskiros įstaigos (5.3.7 punktas).

▼M1

PUPSS pasirašo nurodytas „Scheme Operator“ (schemos operatorius) (5.3.4 punktas).

▼C1

Šis laukas PRIVALOMAS. Jame TURI būti nurodytas juridinio asmens arba įgaliotosios organizacijos, nurodytos lauke „Scheme operator name“ (5.3.4 punktas), pašto ir elektroninio pašto adresas. Šiame lauke TURI būti nurodytas „PostalAddress“ (t. y. namo numeris, gatvė, vietovė, [sritis arba rajonas], [pašto kodas] ir ISO 3166–1 dviejų raidžių šalies kodas), kaip nurodyta 5.3.5.1 punkte, ir „ElectronicAddress“ (t. y. e. paštas ir (arba) interneto svetainės UII), kaip nurodyta 5.3.5.2 punkte.

Šis laukas PRIVALOMAS; jame nurodomas schemos pavadinimas. Šis pavadinimas TURI būti sudarytas iš įvairiakalbių ženklų eilučių sekos (privaloma kalba – anglų (EN), taip pat gali būti naudojama viena arba daugiau nacionalinių kalbų), sudaromos taip:

Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws.

Reikalaujama, kad lauke „Scheme information URI“ nurodyta schema turėtų unikalų pavadinimą ir būtų užtikrinta, kad tuo atveju, jei schemos operatorius valdo daugiau kaip vieną schemą, kiekvienai iš jų būtų duotas skirtingas pavadinimas.

Valstybės narės ir schemų operatoriai TURI užtikrinti, kad tuo atveju, jei valstybė narė arba schemos operatorius valdo daugiau kaip vieną schemą, kiekvienai iš jų būtų duotas skirtingas pavadinimas.

Šis laukas PRIVALOMAS; jame TURI būti nurodytas (-i) UII, pagal kurį (-iuos) naudotojai (susijusios šalys) gali gauti specifinės informacijos apie schemą (privaloma kalba – anglų (EN), taip pat gali būti naudojama viena arba daugiau nacionalinių kalbų). Šis laukas TURI būti sudarytas iš įvairiakalbių nuorodų sekos (privaloma kalba – anglų (EN), taip pat gali būti naudojama viena arba daugiau nacionalinių kalbų). Nurodytu (-ais) UII PRIVALO būti pateikta nuoroda į informaciją, kuria apibūdinama tinkama schemos informacija.

Į tinkamą schemos informaciją TURI būti įtraukta bent ši informacija:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, ir t. t.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11).

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

The present list is the TSL implementation of [name of the relevant Member State] „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Be to, savanoriškai GALI būti teikiama papildoma specifinė valstybės narės informacija apie schemą. Teikiant šią informacija, TURI būti nurodoma:

Šis laukas PRIVALOMAS; jame TURI būti nurodytas statuso nustatymo metodo identifikatorius. TURI būti naudojamas toliau nurodytas specialus UII, užregistruotas ir aprašytas, kaip nurodyta toliau:

UII:http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Aprašas.Į sąrašą įtrauktų paslaugų statusą nustato schemos operatorius arba šis statusas nustatomas jo vardu, taikant atitinkamą nurodytos valstybės narės sistemą, leidžiančią užtikrinti sertifikavimo paslaugų teikėjų, įsisteigusių jos teritorijoje (arba, jei tai savanoriška akreditacija, – trečiojoje šalyje) ir visuomenei pagal Direktyvos 1999/93/EB 3 straipsnio 3 dalį (arba atitinkamai pagal 3 straipsnio 2 dalį arba 7 straipsnio 1 dalies a punktą) išduodančių kvalifikuotus sertifikatus, priežiūrą (ir, jei reikia, savanorišką akreditaciją) ir, jei reikia, leidžiančią užtikrinti sertifikavimo paslaugų teikėjų, neišduodančių kvalifikuotų sertifikatų, priežiūrą ir (arba) savanorišką akreditaciją pagal nacionaliniu mastu nustatytą (-as) ir įdiegtą (-ą) pripažintą (-as) patvirtinimo schemą (-as), nacionaliniu mastu taikomą (-as) siekiant užtikrinti, kad būtų prižiūrima, ar KS neišduodančių SPT teikiamos paslaugos atitinka nuostatas, išdėstytas Direktyvoje 1999/93/EB ir galbūt papildytas nacionalinėmis nuostatomis dėl tokių sertifikavimo paslaugų teikimo.

Šis laukas PRIVALOMAS; jame TURI būti pateikti bent šie registruoti UII:

— visų valstybių narių patikimiems sąrašams bendras UII kaip nuoroda į aiškinamąjį tekstą, kuris TURI būti taikomas visiems PS:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— šiame tekste nurodomas valstybės narės schemos (nurodytos naudojant laukus „TSL type“ (5.3.3 punktas) ir „Scheme name“ (5.3.6 punktas)) priklausymas schemų schemai (t. y. PUPSS, kuriame pateikiamas nuorodų į visas valstybes nares, skelbiančias ir tvarkančias PUPSS forma rengiamą PS, sąrašas),

— jame naudotojai gali rasti politiką ir (arba) taisykles, pagal kurias TURI būti vertinamos į sąrašą įtrauktos paslaugos ir pagal kurias galima nustatyti PUPSS tipą (žr. 5.3.3 punktą),

— jame naudotojai gali rasti aprašą, kaip naudoti ir aiškinti PUPSS forma rengiamo patikimo sąrašo turinį. Šios naudojimo taisyklės TURI būti bendros visų valstybių narių patikimiems sąrašams, nepaisant to, kokios rūšies paslauga įtraukiama į sąrašą ir kokia (-ios) priežiūros ir (arba) akreditacijos sistema (-os) taikoma (-os).

— Aprašas:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers“ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable „supervision“ system (respectively „voluntary accreditation“ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art.2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, ir t. t.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a „voluntary accreditation“ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme“ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification“ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification“ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/EC are as follows:

A „CA/QC“„Service type identifier“ („Sti“) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC“ through the use of „Service information extension“ („Sie“) additionalServiceInformation extension)

— indicates that from the „Service digital identifier“ („Sdi“) identified CA (similarly within the CA hierarchy starting from the „Sdi“ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie“„Qualification“ information is present or if an end-entity certificate that is claimed to be a QC is not „further identified“ through a related „Sie“ entry, then the „machine-processable“ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF„Sie“„Qualification“ information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this „Sie“„Qualification“ entry, which is constructed on the principle of a sequence of „filters“ further identifying a set of certificates, must be considered according to the associated „qualifiers“ providing some additional information regarding „SSCD support“ and/or „Legal person as subject“ (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific „Key usage“ pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, ir t. t.). Those qualifiers are part of the following set of „qualifiers“ used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — „QCWithSSCD“ qualifier value meaning „QC supported by an SSCD“, or — „QCNoSSCD“ qualifier value meaning „QC not supported by an SSCD“, or — „QCSSCDStatusAsInCert“ qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the „Sdi“-„Sie“ provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — „QCForLegalPerson“ qualifier value meaning „Certificate issued to a Legal Person“

The general interpretation rule for any other „Sti“ type entry is that the listed service named according to the „Sn“ field value and uniquely identified by the „Sdi“ field value has a current supervision/accreditation status according to the „Scs“ field value as from the date indicated in the „Current status starting date and time“. Specific interpretation rules for any additional information with regard to a listed service (e.g. „Service information extensions“ field) may be found, when applicable, in the Member State specific URI as part of the present „Scheme type/community/rules“ field.

Please refer to the Technical specifications for a Common Template for the „Trusted List of supervised/accredited Certification Service Providers“ in the Annex of Commission Decision [reference to the actual Decision] for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.“