Voorstel voor een richtlijn van het Europees Parlement en van de Raad betreffende een gemeenschappelijk kader voor elektronische handtekeningen (98/C 325/04) (Voor de EER relevante tekst) COM(1998) 297 def. - 98/0191(COD)

(Door de Commissie ingediend op 16 juni 1998)

HET EUROPEES PARLEMENT EN DE RAAD VAN DE EUROPESE UNIE,

Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, inzonderheid op artikel 57, lid 2, artikel 66 en op artikel 100 A,

Gezien het voorstel van de Commissie,

Gezien het advies van het Economisch en Sociaal Comité,

Gezien het advies van het Comité van de Regio's,

Volgens de procedure van artikel 189 B van het Verdrag,

(1) Overwegende dat de Commissie op 16 april 1997 bij het Europees Parlement, de Raad, het Economisch en Sociaal Comité en het Comité van de Regio's een mededeling over een Europees initiatief inzake elektronische handel (1) heeft ingediend;

(2) Overwegende dat de Commissie op 8 oktober 1997 bij het Europees Parlement, de Raad, het Economisch en Sociaal Comité en het Comité van de Regio's een mededeling "zorgen voor veiligheid van en vertrouwen in elektronische communicatie - naar een Europees kader voor digitale handtekeningen en encryptie" (2) heeft ingediend;

(3) Overwegende dat op 1 december 1997 de Raad de Commissie heeft opgeroepen zo spoedig mogelijk een voorstel voor een richtlijn van het Europees Parlement en de Raad betreffende digitale handtekeningen in te dienen;

(4) Overwegende dat voor elektronische communicatie en handel elektronische handtekeningen en daarmee verwante, de authentificatie ervan mogelijk makende diensten, vereist zijn; dat uiteenlopende regels voor de wettelijke erkenning van elektronische handtekeningen en voor de accreditatie van certificatiedienstverleners in de lidstaten tot grote belemmeringen voor het gebruik van elektronische communicatie en elektronische handel kunnen leiden, en daarmee de ontwikkeling van de interne markt kunnen belemmeren; dat uiteenlopende activiteiten in de lidstaten erop wijzen dat er aan harmonisatie op het niveau van de Gemeenschap behoefte bestaat;

(5) Overwegende dat de interoperabiliteit van elektronische handtekeningsproducten moet worden bevorderd; dat, in overeenstemming met artikel 7 A van het Verdrag, de interne markt een gebied is waarin het vrije verkeer van goederen dient te worden gewaarborgd; dat dient te worden voldaan aan essentiële eisen die voor door certificatiedienstverleners gebruikte elektronische handtekeningsproducten specifiek zijn, zodanig dat het vrije verkeer in de interne markt kan worden gewaarborgd en het vertrouwen in elektronische handtekeningen kan worden opgebouwd;

(6) Overwegende dat de snelle technologische ontwikkelingen en het wereldomspannende karakter van het internet een aanpak vergen die openstaat voor de verschillende technologieën en diensten die elektronische authentificatie kunnen bieden; dat thans evenwel digitale handtekeningen die op cryptografie met openbare sleutel zijn gebaseerd, de meest erkende vorm van elektronische handtekeningen zijn;

(7) Overwegende dat de interne markt het certificatiedienstverleners mogelijk maakt grensoverschrijdende activiteiten te ontwikkelen om hun concurrentiepositie te verbeteren en bijgevolg de consument en het bedrijfsleven nieuwe mogelijkheden te bieden voor het over de grenzen heen op veilige wijze elektronisch uitwisselen van gegevens en het drijven van handel; dat het, om een de gehele Gemeenschap bestrijkende certificatiedienstenverlening over open netwerken te bevorderen, certificatiedienstverleners in het algemeen dient te worden toegestaan hun diensten zonder voorafgaande machtiging aan te bieden; dat er geen onmiddellijke behoefte bestaat om door harmonisering van gerechtvaardigde en evenredige nationale beperkingen op de verstrekking van deze diensten het vrije verkeer van certificatiediensten te garanderen;

(8) Overwegende dat vrijwillige accreditatieregelingen die beogen het niveau van de dienstverleningen te verbeteren, certificatiedienstverleners voor het verder ontwikkelen van hun diensten naar de niveaus van vertrouwen, veiligheid en kwaliteit die door de zich ontwikkelende markt worden verlangd, het geëigende kader kunnen bieden; dat dergelijke regelingen de ontwikkeling van een "beste praktijk" bij de certificatiedienstverleners dienen te bevorderen; dat het certificatiedienstverleners vrij dient te staan zich bij dergelijke accreditatieregelingen aan te sluiten en daarvan gebruik te maken; dat de lidstaten de certificatiedienstverleners niet mogen verbieden buiten dergelijke accreditatieregelingen te werken; dat ervoor dient te worden zorg gedragen dat accreditatieregelingen aan de concurrentie voor certificatiediensten geen afbreuk doen; dat het van belang is tussen de behoeften van de consument en die van het bedrijfsleven een evenwicht te vinden;

(9) Overwegende dat deze richtlijn derhalve gericht dient te zijn op het bijdragen tot het gebruik en de wettelijke erkenning van elektronische handtekeningen in de Gemeenschap; dat er geen behoefte bestaat aan een regelgevend kader voor elektronische handtekeningen die uitsluitend in gesloten systemen worden gebruikt; dat de vrijheid van partijen om onderling voorwaarden voor de aanvaarding van elektronisch ondertekende gegevens overeen te komen dient te worden geëerbiedigd in de mate die door het nationale recht wordt toegestaan; dat deze richtlijn niet bedoeld is nationale regels te harmoniseren met betrekking tot het overeenkomstenrecht, in het bijzonder betreffende het aangaan en uitvoeren van overeenkomsten, of andere niet-contractuele formaliteiten waarbij handtekeningen vereist zijn; dat derhalve de bepalingen betreffende de rechtsgevolgen van elektronische handtekeningen geen afbreuk dienen te doen aan de nationaalrechtelijke vormvereisten voor het sluiten van overeenkomsten of met betrekking tot de regels inzake de bepaling van de plaats van sluiting van een overeenkomst;

(10) Overwegende dat om bij te dragen tot de algemene aanvaarding van elektronische handtekeningen, aan die handtekening geen rechtsgeldigheid mag worden ontzegd louter op grond van het feit dat de vorm ervan elektronisch is, niet op een gekwalificeerd certificaat of op een door een geaccrediteerde certificatiedienstverlener afgegeven certificaat berust, of de dienstverlener die het ermee samenhangende certificaat heeft afgegeven, uit een andere lidstaat is; dat elektronische handtekeningen, die met een vertrouwenswaardige certificatiedienstverlener die voldoet aan de essentiële eisen, zijn verbonden, dezelfde rechtskracht dienen te hebben als met de hand geschreven handtekeningen; dat ervoor dient te worden zorg gedragen dat in alle lidstaten elektronische handtekeningen als bewijsmiddel in rechtszaken kunnen worden gebruikt; dat de wettelijke erkenning van elektronische handtekeningen op objectieve criteria dient te worden gebaseerd en niet mag worden verbonden aan de machtiging van de betrokken dienstverlener; dat geharmoniseerde regels betreffende de rechtskracht van elektronische handtekeningen voor de gehele Gemeenschap een samenhangend juridisch kader zullen garanderen;

(11) Overwegende dat certificatie dienstverleners die aan het publiek certificatiediensten aanbieden, aan de nationale bepalingen met betrekking tot aansprakelijkheid zijn onderworpen; dat verschillen in de omvang en de inhoud van dergelijke aansprakelijkheidsregels tot rechtsonzekerheid kunnen leiden, met name met betrekking tot derden die van hun diensten gebruikmaken; dat een dergelijke onzekerheid aan de ontwikkeling van de grensoverschrijdende handel afbreuk zal doen en het goed functioneren van de interne markt zal belemmeren; dat geharmoniseerde aansprakelijkheidsregels, zowel voor certificatiedienstverleners als voor de consument, in rechtszekerheid en voorspelbaarheid voorzien; dat dergelijke regels tot algemene aanvaarding en juridische erkenning van elektronische handtekeningen in de Gemeenschap zouden bijdragen en derhalve gunstige gevolgen voor het functioneren van de interne markt zouden hebben;

(12) Overwegende dat voor de ontwikkeling van de internationale elektronische handel grensoverschrijdende mechanismen vereist zijn, waarbij derde landen zijn betrokken; dat deze mechanismen door het zakenleven dienen te worden ontwikkeld; dat het, teneinde interoperabiliteit op wereldniveau te waarborgen, nuttig kan zijn met derde landen overeenkomsten inzake multilaterale regels voor wederzijdse erkenning van certificatiediensten te sluiten;

(13) Overwegende dat de lidstaten, om elektronische communicatie en elektronische handel te bevorderen door voor gebruikersvertrouwen zorg te dragen, de certificatiedienstverleners ertoe dienen te verplichten de wetgeving met betrekking tot gegevensbescherming en bescherming van de individuele levenssfeer te eerbiedigen en op aanvraag van de ondertekenaar bij certificatiediensten ook in pseudoniemen te voorzien; dat in het nationale recht dient te worden bepaald of en onder welke voorwaarden de gegevens die de identiteit van het datasubject prijsgeven, voor onderzoek naar strafbare feiten dienen te worden doorgegeven; dat certificatiedienstverleners de gebruikers vooraf over hun voorwaarden, in het bijzonder over het exacte gebruik van hun certificaten en over hun aansprakelijkheidsbeperkingen dienen in te lichten, en wel in schriftelijke vorm, in begrijpelijke taal en onder gebruikmaking van een duurzaam communicatiemedium;

(14) Overwegende dat het voor de toepassing van deze richtlijn wenselijk is dat de Commissie wordt bijgestaan door een comité van raadgevende aard;

(15) Overwegende dat in overeenstemming met de beginselen van subsidiariteit en evenredigheid die in artikel 3 B van het Verdrag zijn vervat, de doelstelling van het tot stand brengen van een geharmoniseerd juridisch kader voor de levering van elektronische handtekeningen en daarmee verband houdende diensten niet in voldoende mate door de lidstaten en derhalve beter door de Gemeenschap kan worden verwezenlijkt; dat deze richtlijn beperkt blijft tot de minimumeisen die nodig zijn om deze doelstelling te verwezenlijken,

HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD:

Artikel 1

Toepassingsgebied

Deze richtlijn bestrijkt de wettelijke erkenning van elektronische handtekeningen.

Zij bestrijkt geen andere aspecten in verband met de totstandkoming of geldigheid van overeenkomsten of verband houdend met andere, niet-contractuele formaliteiten waarbij handtekeningen vereist zijn.

Zij biedt voor bepaalde certificatiediensten die het publiek worden aangeboden, een wettelijk kader teneinde het goed functioneren van de interne markt op het gebied van elektronische handtekeningen te waarborgen.

Artikel 2

Definities

Voor de doeleinden van deze richtlijn wordt verstaan onder:

1. "elektronische handtekening", een handtekening in digitale vorm die uit gegevens bestaat, of aan die gegevens is vastgehecht of logisch daarmee is geassocieerd, welke door een ondertekenaar wordt gebruikt om van diens goedkeuring van die gegevens blijk te geven, en aan de volgende eisen beantwoordt:

a) op unieke wijze met de ondertekenaar verbonden zijn;

b) identificatie van de ondertekenaar mogelijk maken;

c) tot stand komen met gebruikmaking van middelen die de ondertekenaar onder zijn uitsluitende controle kan houden en

d) verbonden zijn met de gegevens waarop zij betrekking heeft, zodanig dat elke volgende wijziging van de gegevens tot uiting komt;

2. "ondertekenaar", een persoon die een elektronische handtekening aanmaakt;

3. "middel voor het aanmaken van handtekeningen", unieke gegevens, zoals codes of cryptografische privésleutels, of een door de ondertekenaar bij het aanmaken van een elektronische handtekening gebruikt, op unieke wijze geconfigureerd fysiek apparaat;

4. "middel voor het verifiëren van een handtekening", unieke gegevens, zoals codes of cryptografische privésleutels, of een bij het verifiëren van een elektronische handtekening gebruikt, op unieke wijze geconfigureerd fysiek apparaat;

5. "gekwalificeerd certificaat", een digitale verklaring die een middel voor handtekeningverifiëring met een bepaalde persoon verbindt, diens identiteit bevestigt en aan de in bijlage I vervatte eisen voldoet;

6. "certificatiedienstverlener", persoon of entiteit die certificaten uitgeeft of het publiek andere diensten in verband met elektronische handtekeningen verleent;

7. "product voor elektronische handtekeningen", voor het gebruik door een certificatiedienstverlener ten behoeve van de verlening van diensten op het gebied van elektronische handtekeningen bestemde apparatuur of programmatuur of relevante componenten daarvan.

Artikel 3

Markttoegang

1. De lidstaten mogen de verlening van certificatiediensten niet aan een voorafgaande machtiging onderwerpen.

2. Onverminderd het bepaalde in lid 1, mogen de lidstaten vrijwillige accreditatieregelingen invoeren of behouden die op verbetering van het certificatiedienstverleningsniveau zijn gericht. Alle voorwaarden betreffende dergelijke regelingen moeten objectief, transparant, evenredig en niet discriminerend zijn. De lidstaten mogen om redenen die onder het toepassingsgebied van deze richtlijn zijn begrepen, niet het aantal certificatiedienstverleners beperken.

3. De Commissie kan, overeenkomstig de procedure in artikel 9, referentienummers van algemeen erkende geharmoniseerde normen voor producten voor elektronische handtekeningen vaststellen en in het Publicatieblad van de Europese Gemeenschappen bekendmaken. De lidstaten dienen uit te gaan van de overeenstemming met de in bijlage II, punt e), vervatte eisen wanneer een product voor elektronische handtekeningen aan dergelijke geharmoniseerde normen voldoet.

4. De lidstaten mogen voor het gebruik van elektronische handtekeningen in de openbare sector aanvullende eisen stellen. Deze eisen moeten objectief, transparant, evenredig en niet discriminerend zijn en mogen slechts op de specifieke kenmerken van de betrokken toepassing betrekking hebben.

Artikel 4

Beginselen betreffende de interne markt

1. Elke lidstaat past de nationale bepalingen die zij krachtens deze richtlijn vaststelt, toe op de op haar grondgebied gevestigde certificatiedienstverleners en op de diensten die zij verlenen. De lidstaten mogen op de gebieden die onder het toepassingsgebied van deze richtlijn zijn begrepen, de levering van certificatiediensten die uit een andere lidstaat afkomstig zijn, niet beperken.

2. De lidstaten waarborgen het vrije verkeer in de interne markt van de producten voor elektronische handtekeningen die aan deze richtlijn beantwoorden.

Artikel 5

Rechtsgevolgen

1. De lidstaten dragen ervoor zorg dat een elektronische handtekening louter op grond van het feit dat de handtekening in elektronische vorm is of niet op een gekwalificeerd certificaat dan wel niet op een door een geaccrediteerd certificatiedienstverlener afgegeven certificaat is gebaseerd, geen rechtsgevolgen, rechtsgeldigheid of afdwingbaarheid mag worden ontzegd.

2. De lidstaten dragen ervoor zorg dat de elektronische handtekeningen, gebaseerd op een gekwalificeerd certificaat dat door een aan de in bijlage II genoemde eisen beantwoordende certificatiedienstverlener is afgegeven, worden erkend als te beantwoorden aan, enerzijds, de wettelijke eisen van een met de hand geschreven handtekening en, anderzijds, in gerechtelijke procedures op dezelfde wijze als met de hand geschreven handtekeningen als bewijsmiddel worden toegelaten.

Artikel 6

Aansprakelijkheid

1. De lidstaten dragen ervoor zorg dat een gekwalificeerd certificaat afgevende certificatiedienstverlener aansprakelijk is jegens elke persoon die in redelijkheid op dit certificaat vertrouwt, voor wat betreft:

a) de juistheid, op de datum van afgifte, van alle gegevens op het gekwalificeerde certificaat, tenzij de certificatiedienstverlener op het certificaat zelf anders heeft verklaard;

b) de overeenstemming, bij de afgifte van het gekwalificeerde certificaat, met alle vereisten van deze richtlijn;

c) de garantie dat de in het gekwalificeerd certificaat vermelde persoon, op het tijdstip van de certificaatafgifte houder was van het middel voor het aanmaken van de handtekening, dat met het in het certificaat gegeven of geïdentificeerde middel voor handtekeningverifiëring overeenstemt;

d) de garantie, in gevallen waarin het middel voor het aanmaken van de handtekening en dat voor de handtekeningverifiëring door de certificatiedienstverlener worden gegenereerd, dat deze twee middelen samen complementair functioneren.

2. De lidstaten dragen ervoor zorg dat een certificatiedienstverlener niet voor fouten in de gegevens op het gekwalificeerde certificaat aansprakelijk is, voorzover dat certificaat is geleverd door de persoon aan wie het is afgegeven, wanneer de certificatiedienstverlener kan aantonen dat hij alle in redelijkheid mogelijke maatregelen heeft getroffen om die gegevens te verifiëren.

3. De lidstaten dragen ervoor zorg dat een certificatiedienstverlener op het gekwalificeerd certificaat grenzen aan het gebruik van dat certificaat kan aanbrengen. De certificatiedienstverlener is niet aansprakelijk voor schade die voortvloeit uit een buiten die grenzen liggend gebruik van een gekwalificeerd certificaat waarop die grenzen inzake het gebruik ervan zijn aangebracht.

4. De lidstaten dragen ervoor zorg dat de certificatiedienstverleners in het gekwalificeerd certificaat een grens mogen stellen aan de waarde van de transacties waarvoor het certificaat geldig is. De certificatiedienstverlener is niet aansprakelijk voor schade die die waardegrens overschrijdt.

5. De leden 1 tot en met 4 gelden onverminderd Richtlijn 93/13/EEG van de Raad (3).

Artikel 7

Internationale aspecten

1. De lidstaten dragen ervoor zorg dat certificaten die door een in een derde land gevestigde certificatiedienstverlener zijn afgegeven, als juridisch gelijkwaardig aan certificaten die door een in de Gemeenschap gevestigde certificatiedienstverlener zijn afgegeven, worden erkend, wanneer:

a) de certificatiedienstverlener aan de in deze richtlijn vervatte vereisten voldoet en in het kader van een door een lidstaat ingestelde vrijwillige accreditatieregeling is geaccrediteerd of

b) een in de Gemeenschap gevestigde certificatiedienstverlener, die aan de eisen in bijlage II voldoet, het certificaat in dezelfde mate als de eigen certificaten garandeert of

c) het certificaat of de certificatiedienstverlener in het kader van een bi- of multilaterale overeenkomst tussen de Gemeenschap en derde landen of internationale organisaties is erkend.

2. Teneinde grensoverschrijdende certificatiediensten met derde landen te bevorderen en ter bevordering van de wettelijke erkenning van uit derde landen afkomstige elektronische handtekeningen zal de Commissie, zonodig, voorstellen doen om de daadwerkelijke tenuitvoerlegging van normen en internationale overeenkomsten die op certifcatiediensten van toepassing zijn, te bereiken. Met name kan zij bij de Raad voorstellen indienen voor passende onderhandelingsmandaten voor bilaterale en multilaterale overeenkomsten met derde landen en internationale organisaties. De Raad besluit met een gekwalificeerde meerderheid.

Artikel 8

Gegevensbescherming

1. De lidstaten dragen ervoor zorg dat de certificatiedienstverleners en de nationale instanties die voor accreditatie of toezicht verantwoordelijk zijn, aan de eisen van de Richtlijn van het Europees Parlement en de Raad 95/46/EG (4) en 97/66/EG (5) voldoen.

2. De lidstaten dragen ervoor zorg dat een certificatiedienstverlener persoonlijke gegevens slechts rechtstreeks van het datasubject kan verkrijgen en bovendien slechts in de mate die voor de afgifte van het certificaat is vereist. De gegevens mogen niet zonder toestemming van het datasubject voor andere doeleinden worden verzameld of verwerkt.

3. De lidstaten dragen ervoor zorg dat, op aanvraag van de ondertekenaar, de certificatiedienstverlener op het certificaat een pseudoniem in plaats van de werkelijke naam van de ondertekenaar vermeldt.

4. De lidstaten dragen ervoor zorg dat, in het geval van personen die pseudoniemen gebruiken, de certificatiedienstverlener de gegevens betreffende de identiteit van deze personen desgevraagd, met instemming van deze laatsten, aan overheidsinstanties bekendmaken. Wanneer in overeenstemming met het nationaal recht de overdracht van gegevens waarmee de identiteit van het datasubject bekend wordt gemaakt, noodzakelijk is ten behoeve van het onderzoek naar strafbare feiten met betrekking tot het gebruik van elekronische handtekeningen onder een pseudoniem, wordt die overdracht vastgelegd en wordt het datasubject zo spoedig mogelijk na de voltooiing van het onderzoek over de overdracht van op hem betrekking hebbende gegevens ingelicht.

Artikel 9

Comité

De Commissie wordt bijgestaan door een comité van raadgevende aard, het "Comité voor elektronische handtekeningen" geheten, hierna "het comité" genoemd, bestaande uit vertegenwoordigers van de lidstaten en voorgezeten door de vertegenwoordiger van de Commissie.

De vertegenwoordiger van de Commissie legt het comité een ontwerp voor van de te nemen maatregelen. Het comité brengt binnen een termijn die de voorzitter kan vaststellen naar gelang van de urgentie van de materie advies uit over dit ontwerp, zo nodig door middel van een stemming.

Het advies wordt in de notulen opgenomen; voorts heeft iedere lidstaat het recht te verzoeken dat zijn standpunt in de notulen wordt opgenomen.

De Commissie houdt zoveel mogelijk rekening met het door het comité uitgebrachte advies. Zij brengt het comité op de hoogte van de wijze waarop zij rekening heeft gehouden met zijn advies.

Artikel 10

Raadpleging

Het comité wordt zo nodig geraadpleegd over de in bijlage II vervatte eisen voor certificatiedienstverleners en over algemeen erkende normen voor producten voor elektronische handtekeningen overeenkomstig artikel 3, lid 3.

Artikel 11

Kennisgeving

1. De lidstaten verstrekten de Commissie de volgende gegevens:

a) gegevens over vrijwillige nationale accreditatieregelingen, met inbegrip van eventuele aanvullende eisen overeenkomstig artikel 3, lid 4;

b) naam en adres van de nationale lichamen die voor accreditatie en toezicht verantwoordelijk zijn en

c) naam en adres van geaccrediteerde nationale certificatiedienstverleners.

2. De overeenkomstig lid 1 te verstrekken gegevens en de wijzigingen daarvan worden door de lidstaten zo spoedig mogelijk gemeld.

Artikel 12

Heronderzoek

1. De Commissie beoordeelt de werking van deze richtlijn en brengt uiterlijk op 31 december 2002 daarover bij het Europees Parlement en bij de Raad verslag uit.

2. Bij de beoordeling wordt onder andere ingegaan op de vraag of, rekening houdende met de technologische en juridische ontwikkelingen, het werkingsgebied van de richtlijn dient te worden gewijzigd. Het verslag dient met name, op basis van de opgedane ervaringen, een beoordeling te bevatten van harmonisatie-aspecten. Het verslag gaat, voorzover van toepassing, van aanvullende voorstellen voor wetgeving vergezeld.

Artikel 13

Tenuitvoerlegging

1. De lidstaten stellen uiterlijk op 31 december 2000 de wettelijke en bestuursrechtelijke bepalingen vast die nodig zijn om aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onverwijld in kennis.

Wanneer de lidstaten de in de eerste alinea bedoelde bepalingen aannemen, wordt in die bepalingen naar de onderhavige richtlijn verwezen of wordt hiernaar verwezen bij de officiële bekendmaking van die bepalingen. De regels voor deze verwijzing worden vastgesteld door de lidstaten.

2. De lidstaten delen de Commissie onverwijld alle bepalingen van intern recht mede die zij op het onder deze richtlijn vallende gebied en op aanverwante gebieden vaststellen, alsmede een concordantietabel voor de bepalingen van deze richtlijn en de vastgestelde bepalingen van nationaal recht.

Artikel 14

Inwerkingtreding

Deze richtlijn treedt in werking op de twintigste dag volgende op die van haar bekendmaking in het Publicatieblad van de Europese Gemeenschappen.

Artikel 15

Adressaten

Deze richtlijn is gericht tot de lidstaten.

(1) COM(97) 157 def.

(2) COM(97) 503 def.

(3) PB L 95 van 21.4.1993, blz. 29.

(4) PB L 281 van 23.11.1995, blz. 31.

(5) PB L 24 van 30.1.1998, blz. 1.

BIJLAGE I

EISEN VOOR GEKWALIFICEERDE CERTIFICATEN

Gekwalificeerde certificaten bevatten:

a) een identificatie van de afgevende certificatie dienstverlener;

b) de onmiskenbare naam van de houder of een onmiskenbaar pseudoniem, dat als zodanig wordt geïdentificeerd;

c) een specifiek attribuut van de houder, zoals het adres, de bevoegdheid om namens een onderneming op te treden, de kredietwaardigheid, BTW- of andere fiscale nummers, het bestaan van betalingsgaranties of van specifieke vergunningen of machtigingen;

d) een middel voor het verifiëren van de handtekening dat overeenstemt met dat voor het aanmaken van de handtekening dat onder controle van de houder staat;

e) begin en einde van de geldigheidsduur van het certificaat;

f) de unieke identificatiecode van het certificaat;

g) de elektronische handtekening van de afgevende certificatiedienstverlener;

h) voorzover van toepassing, beperkingen betreffende het toepassingsgebied van het certificaat en

i) voorzover van toepassing, beperkingen van de aansprakelijkheid van de certificatiedienstverlener inzake de waarde van de transacties waarvoor het certificaat geldig is.

BIJLAGE II

EISEN VOOR CERTIFICATIEDIENSTVERLENERS

Certificatiedienstverleners moeten:

a) aantonen dat zij de betrouwbaarheid bezitten die voor het aanbieden van certificatiediensten vereist is;

b) een prompt reagerende en veilige herroepingsdienst bieden;

c) met daartoe geschikte middelen de identiteit en hoedanigheid van de persoon aan wie een gekwalificeerd certificaat wordt afgegeven, verifiëren;

d) personeel hebben dat over de deskundige kennis, ervaring en kwalificaties beschikt die voor de aangeboden diensten nodig zijn en met name over competentie op het gebied van beheer en technologie inzake elektronische handtekeningen en over bekendheid met goede beveiligingsprocedures beschikt; het personeel moet ook de nodige administratieve en beheerprocedures en -processen kunnen uitvoeren die adequaat zijn en die met erkende normen overeenkomen;

e) gebruikmaken van betrouwbare systemen en van producten voor elektronische handtekeningen die bescherming bieden tegen ongeautoriseerde wijziging van de producten die zou inhouden dat zij kunnen worden gebruikt voor het uitvoeren van andere functies dan die waarvoor zij werden ontworpen, zij moeten ook gebruikmaken van producten voor elektronische handtekeningen die de technische en cryptografische veiligheid garanderen van de door de producten ondersteunde certificatieprocessen;

f) maatregelen nemen tegen het vervalsen van certificaten en, wanneer de certificatiedienstverlener cryptografische privésleutels voor handtekeningen aanmaakt, gedurende het proces waarbij deze sleutels worden aangemaakt, de vertrouwelijkheid kunnen garanderen;

g) beschikken over voldoende financiële middelen om in overeenstemming met de bepalingen van deze richtlijn te kunnen functioneren, met name om in geval van schade, bijvoorbeeld door middel van een geëigende verzekering, de aansprakelijkheid te kunnen garanderen;

h) gedurende een gepaste periode alle relevante informatie met betrekking tot een gekwalificeerd certificaat vastleggen, met name om ten behoeve van gerechtelijke procedures de certificatie te kunnen bewijzen. Dit vastleggen mag elektronisch gebeuren;

i) afzien van het opslaan of copiëren van privésleutels voor cryptografische handtekeningen van de personen aan wie de certificatiedienstverlener sleutelbeheerdiensten heeft aangeboden, tenzij die persoon daar uitdrukkelijk om vraagt;

j) de consumenten, alvorens zij een contract aangaan, schriftelijk, in begrijpelijke taal en onder gebruikmaking van een duurzaam communicatiemedium, over de exacte voorwaarden voor het gebruik van het certificaat inlichten, met inbegrip van eventuele beperkingen van de aansprakelijkheid, het bestaan van een vrijwillige accreditatie en de procedures voor klachtenbehandeling en geschillenbeslechting.