2009D0767 — PL — 01.07.2013 — 002.001

Dokument ten służy wyłącznie do celów dokumentacyjnych i instytucje nie ponoszą żadnej odpowiedzialności za jego zawartość

zmienione przez:

sprostowane przez:

▼B

▼C1

DECYZJA KOMISJI

z dnia 16 października 2009 r.

ustanawiająca środki ułatwiające korzystanie z procedur realizowanych drogą elektroniczną poprzez „pojedyncze punkty kontaktowe” zgodnie z dyrektywą 2006/123/WE Parlamentu Europejskiego i Rady dotyczącą usług na rynku wewnętrznym

(notyfikowana jako dokument nr C(2009) 7806)

(Tekst mający znaczenie dla EOG)

(2009/767/WE)

Artykuł 1

Stosowanie i akceptacja podpisów elektronicznych

1. Jeżeli jest to uzasadnione na podstawie odpowiedniej oceny ryzyka i zgodne z art. 5 ust. 1 i 3 dyrektywy 2006/123/WE, państwa członkowskie mogą wymagać od usługodawcy, w celu dopełnienia pewnych procedur i formalności poprzez pojedyncze punkty kontaktowe zgodnie z art. 8 dyrektywy 2006/123/WE, zastosowania zaawansowanego podpisu elektronicznego opartego na kwalifikowanym certyfikacie i składanego za pomocą bezpiecznego urządzenia służącego do składania podpisów lub bez takiego urządzenia, jak zostało to zdefiniowane i uregulowane w dyrektywie 1999/93/WE.

2. Państwa członkowskie akceptują każdy zaawansowany podpis elektroniczny oparty na kwalifikowanym certyfikacie i składany za pomocą bezpiecznego urządzenia służącego do składania podpisów lub bez takiego urządzenia stosowany przy dopełnianiu procedur i formalności, o których mowa w ust. 1, bez uszczerbku dla przysługującej państwom członkowskim możliwości ograniczenia tej akceptacji do zaawansowanych podpisów elektronicznych opartych na kwalifikowanym certyfikacie i składanych za pomocą bezpiecznego urządzenia służącego do składania podpisów, jeżeli jest to zgodne z oceną ryzyka, o której mowa w ust. 1.

3. Państwa członkowskie nie uzależniają akceptacji zaawansowanych podpisów elektronicznych opartych na kwalifikowanym certyfikacie i składanych za pomocą bezpiecznego urządzenia służącego do składania podpisów lub bez takiego urządzenie, od spełnienia wymogów, które stwarzają przeszkody w korzystaniu przez usługodawców z procedur realizowanych drogą elektroniczną poprzez pojedyncze punkty kontaktowe.

4. Ust. 2 nie uniemożliwia państwom członkowskim akceptowania podpisów elektronicznych niebędących zaawansowanymi podpisami elektronicznymi opartymi na kwalifikowanym certyfikacie składanymi za pomocą bezpiecznego urządzenia służącego do składania podpisów lub bez takiego urządzenia.

Artykuł 2

Tworzenie, prowadzenie i publikowanie zaufanych list

1. Każde państwo członkowskie tworzy, prowadzi i publikuje, zgodnie ze specyfikacją techniczną określoną w załączniku, „zaufaną listę” zawierającą minimum informacji dotyczących nadzorowanych/akredytowanych przez to państwo członkowskie podmiotów świadczących usługi certyfikacyjne i powszechnie wystawiających kwalifikowane certyfikaty.

▼M1

2. Państwa członkowskie tworzą i publikują zaufaną listę zarówno w postaci czytelnej dla człowieka, jak i w wersji przetwarzalnej maszynowo, zgodnie ze specyfikacją określoną w załączniku.

▼M1

2a. Państwa członkowskie podpisują elektronicznie swoją zaufaną listę w wersji przetwarzalnej maszynowo i, jako minimum, publikują za pomocą bezpiecznego kanału zaufaną listę w postaci czytelnej dla człowieka w celu zapewnienia jej autentyczności oraz integralności.

▼M1

3. Państwa członkowskie przekazują Komisji informacje o:

▼M1

4. Komisja udostępnia wszystkim państwom członkowskim przez bezpieczny kanał do uwierzytelnionego serwera internetowego przekazane przez państwa członkowskie informacje, o których mowa w ust. 3, zarówno w postaci czytelnej dla człowieka, jak i w podpisanej postaci przetwarzalnej maszynowo.

▼C1

Artykuł 3

Stosowanie

Niniejszą decyzję stosuje się od dnia 28 grudnia 2009 r.

Artykuł 4

Adresaci

Niniejsza decyzja skierowana jest do państw członkowskich.

ZAŁĄCZNIK

SPECYFIKACJA TECHNICZNA DOTYCZĄCA WSPÓLNEGO WZORU „ZAUFANEJ LISTY NADZOROWANYCH/AKREDYTOWANYCH PODMIOTÓW ŚWIADCZĄCYCH USŁUGI CERTYFIKACYJNE”

PRZEDMOWA

1. Kontekst ogólny

Wspólny dla państw członkowskich wzór „Zaufanej listy nadzorowanych/akredytowanych podmiotów świadczących usługi certyfikacyjne” ma na celu stworzenie wspólnego sposobu udostępniania przez każde państwo członkowskie informacji dotyczących statusu nadzoru/akredytacji usług certyfikacyjnych świadczonych przez podmioty świadczące usługi certyfikacyjne (ang. Certification Sernice Providers, CSP) ( 3 ), które są przez nie nadzorowane/akredytowane pod względem zgodności z odpowiednimi przepisami dyrektywy 1999/93/WE. Obejmuje to także przepisy dotyczące informacji historycznych o statusie nadzoru/akredytacji nadzorowanych/akredytowanych usług certyfikacyjnych.

Obowiązkowe informacje na zaufanej liście (ang. Trusted List, TL) muszą zawierać minimum informacji o nadzorowanych/akredytowanych podmiotach świadczących usługi certyfikacyjne wystawiających certyfikaty kwalifikowane (ang. Qualified Certificates, QC) ( 4 ) zgodnie z przepisami dyrektywy 1999/93/WE (art. 3 ust. 3, art. 3 ust. 2 i art. 7 ust. 1 lit. a)), w tym informacje dotyczące certyfikatu kwalifikowanego, na którym opiera się podpis elektroniczny i dotyczące tego, czy podpis jest składany za pomocą bezpiecznego urządzenia służącego do składania podpisu (ang. Secure Signature Creation Device, SSCD) czy bez niego ( 5 ).

Dodatkowe informacje dotyczące innych nadzorowanych/akredytowanych CSP niewystawiających QC, ale świadczących usługi związane z podpisami elektronicznymi (np. CSP świadczące usługi związane ze znakowaniem czasem i wydawaniem tokenów znacznika czasu, CSP wystawiające certyfikaty niekwalifikowane itp.) można dobrowolnie umieścić na zaufanej liście na szczeblu krajowym.

Przedmiotowe informacje służą głównie wspomaganiu weryfikacji kwalifikowanych podpisów elektronicznych (ang. Qualified Electronic Signatures, QES) i zaawansowanych podpisów elektronicznych (ang. Advanced Electronic Signatures, AdES) ( 6 ) opierających się na certyfikacie kwalifikowanym ( 7 ) ( 8 ).

Zaproponowany wspólny wzór jest zgodny z wdrażaniem opartym na specyfikacji określonej w ETSI TS 102 231 ( 9 ), którą wykorzystuje się w odniesieniu do tworzenia, publikowania, umiejscowienia, dostępu, ustalenia autentyczności i zaufania do tego rodzaju wykazów.

2. Wytyczne dotyczące edycji wpisów na zaufanej liście

2.1. Zaufana lista dotycząca nadzorowanych/akredytowanych usług certyfikacyjnych

Zaufaną listę państwa członkowskiego określa się jako „wykaz statusu nadzoru/akredytacji usług certyfikacyjnych świadczonych przez podmioty świadczące usługi certyfikacyjne nadzorowane/akredytowane przez przedmiotowe państwo członkowskie pod względem zgodności z odnośnymi przepisami dyrektywy 1999/93/WE”.

Taka zaufana lista musi obejmować:

Uwzględniając definicje i przepisy określone w dyrektywie 1999/93/WE, w szczególności dotyczące odpowiednich CSP i ich systemów nadzoru/dobrowolnej akredytacji, można wyróżnić dwie grupy CSP: CSP powszechnie wystawiające QC i CSP niewystawiające powszechnie QC, ale świadczące „inne (dodatkowe) usługi związane z podpisami elektronicznymi”:

Zaufana lista państwa członkowskiego musi zawierać minimum informacji o nadzorowanych/akredytowanych CSP powszechnie wystawiających QC zgodnie z przepisami dyrektywy 1999/93/WE (art. 3 ust. 3, art. 3 ust. 2 i art. 7 ust. 1 lit. a), informacje dotyczące QC, na którym opiera się podpis elektroniczny i określające, czy podpis jest składany za pomocą bezpiecznego urządzenia służącego do składania podpisu czy bez niego.

Dodatkowe informacje dotyczące innych nadzorowanych/akredytowanych usług świadczonych przez CSP niewystawiające powszechnie QC (np. CSP świadczące usługi związane ze znakowaniem czasem i wydawaniem tokenów znacznika czasu, CSP wystawiające certyfikaty niekwalifikowane itp.) można dobrowolnie umieścić na zaufanej liście na szczeblu krajowym.

Zaufana lista służy:

Dla każdego państwa członkowskiego należy utworzyć i prowadzić jedną TL wskazującą status nadzoru lub akredytacji usług certyfikacyjnych świadczonych przez te CSP, które są nadzorowane/akredytowane przez to państwo członkowskie.

Fakt, że usługa podlega aktualnie nadzorowi lub akredytacji stanowi część jej bieżącego statusu. Ponadto status nadzoru lub akredytacji można oznaczyć jako „dostępny”, „w fazie wstrzymania”, „wstrzymany” lub nawet „wycofany”. Przez cały okres świadczenia usługi certyfikacyjnej jej status może się zmieniać z nadzoru na akredytację i odwrotnie ( 10 ).

Poniższy schemat 1 przedstawia przewidywaną zmianę możliwych statusów nadzoru/akredytacji w odniesieniu do pojedynczej usługi certyfikacyjnej:

Podmiot certyfikacyjny wystawiający QC musi podlegać nadzorowi (jeżeli ma siedzibę w państwie członkowskim) i może być objęty dobrowolna akredytacją. Gdy podmiot jest wymieniony na zaufanej liście wartość jego statusu może przyjmować dowolną wskazaną powyżej wartość statusu określaną jako „bieżącaa wartość statusu”. Należy jednak zauważyć, że „akredytacja wstrzymana” i „akredytacja wycofana” muszą stanowić wartości „statusu przejściowego” tylko w odniesieniu do usług CSPQC, które mają siedzibę lub miejsce zamieszkania w państwie członkowskim, ponieważ takie usługi podlegają nadzorowi w sposób domyślny (nawet, jeżeli nie mają akredytacji lub jeżeli akredytacja wygasła).

Wymaga się, aby państwa członkowskie, które tworzą lub już utworzyły określony w prawie krajowym „przyjęty (przyjęte) system (systemy) zatwierdzania” wdrożony (wdrożone) na szczeblu krajowym w celu nadzorowania zgodności usług świadczonych przez CSP niewystawiające QC z przepisami dyrektywy 1999/93/WE oraz z ewentualnymi przepisami krajowymi dotyczącymi świadczenia usług certyfikacyjnych (w rozumieniu art. 2 ust. 11 dyrektywy), zaklasyfikowały taki system (takie systemy) zatwierdzania do jednej z dwóch wskazanych poniżej kategorii:

Zatem podmiot certyfikacyjny niewydający QC może podlegać nadzorowi lub być objęty dobrowolną akredytacją. Gdy taki podmiot jest wymieniony na zaufanej liście, wartość jego statusu może przyjmować dowolną wskazaną powyżej wartość statusu określaną jako „aktualna wartość statusu” (zob. schemat 1).

Zaufana lista musi zawierać informacje dotyczące podstawowego systemu (systemów) nadzoru/akredytacji, w szczególności:

Dwa ostatnie zbiory informacji mają istotne znaczenie dla stron, które się na nich opierają przy dokonywaniu oceny poziomu jakości i bezpieczeństwa takich systemów nadzoru/akredytacji mających zastosowanie na szczeblu krajowym w odniesieniu do CSP niewystawiających QS. Jeżeli TL zawiera informacje dotyczące statusu nadzoru/akredytacji w odniesieniu do usług świadczonych przez CSP niewystawiające QC, wymienione wcześniej zbiory informacji są udostępniane na TL z użyciem „Scheme information URI” (klauzula 5.3.7 – informacje udostępniane przez państwa członkowskie), „Scheme type/community/rules” (klauzula 5.3.9 – z użyciem tekstu wspólnego dla wszystkich państw członkowskich i fakultatywnych szczególnych informacji udostępnianych przez państwa członkowskie) i „TSL policy/legal notice” (klauzula 5.3.11 – tekst wspólny dla wszystkich państw członkowskich odnoszący się do dyrektywy 1999/93/WE oraz możliwość dodania przez każde państwo członkowskie swojego własnego tekstu/odniesień). Dodatkowe informacje dotyczące „kwalifikacji” określone na szczeblu krajowych systemów nadzoru/akredytacji w odniesieniu do CSP niewystawiających QC mogą być w stosownych przypadkach i w razie potrzeby udostępniane na poziomie usług (np. aby umożliwić rozróżnienie kilku poziomów jakości/bezpieczeństwa) z użyciem rozszerzenia „additionalServiceInformation” (klauzula 5.8.2) jako części „Service information extension” (klauzula 5.5.9). Dodatkowe informacje dotyczące stosownych specyfikacji technicznych znajdują się wśród specyfikacji szczegółowych w rozdziale I.

Mimo że nadzorem i akredytacją usług certyfikacyjnych w państwie członkowskim mogą kierować oddzielne organy państwa członkowskiego, oczekuje się, że jednej usłudze certyfikacyjnej będzie odpowiadał tylko jeden wpis (identyfikowany na podstawie „Service digital identity”, tak jak w ETSI TS 102 231 ( 11 ) i że status nadzoru/akredytacji tej usługi będzie odpowiednio aktualizowany. Znaczenie statusów wskazanych powyżej jest opisane w powiązanej klauzuli 5.5.4 szczegółowych specyfikacji technicznych w rozdz. I.

2.2. Wpisy na TL mające na celu ułatwienie weryfikacji QES i AdESQC

Najważniejszym etapem tworzenia TL jest przygotowanie części obowiązkowej TL, a mianowicie „Listy usług” w podziale na CSP wystawiające QC, co ma na celu poprawne odzwierciedlenie rzeczywistej sytuacji każdego podmiotu wystawiającego QC związanej z wystawianiem certyfikatów i dopilnowanie, aby informacje udostępnione w każdym wpisie były wystarczające do ułatwienia weryfikacji QES i AdESQC (w przypadku połączenia z treścią certyfikatu wierzchołka ścieżki wydanego przez CSP w ramach usługi certyfikacyjnej wymienionej w danym wpisie).

Dopóki nie istnieje w pełni interoperacyjny i transgraniczny profil QC, wymagane informacje mogą zawierać inne informacje niż „Service digital identity” pojedynczego (głównego) urzędu certyfikacji (ang. Certification Authority, CA), w szczególności informacje określające status QC wydanego certyfikatu oraz czy podpisy opierające się na certyfikatach są składane za pomocą SSCD. Dlatego też organ wyznaczony w państwie członkowskim do utworzenia, redagowania i prowadzenia TL (tzn. operator systemu określony w ETSI TS 102231) musi uwzględnić aktualny profil i treść każdego wystawionego QC w odniesieniu do CSPQC wymienionych na TL.

Najlepiej byłoby, gdyby każdy wystawiony QC zawierał określone przez ETSI poświadczenie zgodności certyfikatu kwalifikowanego (ang. QcCompliance statement) ( 12 ), jeżeli twierdzi się, że jest to QC, oraz określone przez ETSI poświadczenie o obsłudze certyfikatu kwalifikowanego za pomocą bezpiecznego urządzenia służącego do składania podpisu (ang. QcSSCD statement), jeżeli twierdzi się, że składanie podpisów elektronicznych odbywa się za pomocą SSCD lub jeżeli twierdzi się, że każdy wystawiony QC zawiera jeden z identyfikatorów obiektów (OID) polityk certyfikatów QCP/QCP + określonych w ETSI TS 101 456 ( 13 ). Stosowanie przez CSP wystawiające QC różnych norm jako odniesień, szeroka interpretacja tych norm oraz brak wiedzy na temat istnienia i nadrzędności pewnych normatywnych specyfikacji technicznych lub norm doprowadziło do różnic w rzeczywistej treści aktualnie wystawianych QC (np. stosowanie lub nie stosowanie poświadczeń certyfikatu kwalifikowanego określonych przez ETSI) i w rezultacie nie pozwala stronom otrzymującym po prostu polegać na certyfikacie podpisującego (i na towarzyszącym łańcuchu/towarzyszącej ścieżce) przy ocenie, przynajmniej w drodze odczytu maszynowego, czy certyfikat, na którym opiera się podpis elektroniczny, jest QC, czy nie, oraz czy jest powiązany z SSCD, przy pomocy którego złożono podpis, czy nie.

Uzupełnienie pól „Service type identifier” („Sti”), „Service name” („Sn”) i „Service digital identity” („Sdi”) ( 14 ) informacjami podanymi w polu „Service information extensions” („Sie”) umożliwia pełne określenie w zaproponowanym wspólnym wzorze TL szczególnego rodzaju certyfikatu kwalifikowanego wystawionego przez CSP wymieniony w liście i wystawiający QC oraz poinformowanie, czy dany certyfikat kwalifikowany został wystawiony za pomocą SSCD, czy nie (jeżeli wystawiony QC nie zawiera takiej informacji). Z wpisem tym oczywiście powiązana jest szczególna informacja dotycząca „Service current status” („Scs”). Przedstawia to zamieszczony poniżej schemat 2.

Umieszczenie na liście usługi z podaniem tylko „Sdi” (głównego) CA oznaczałoby, że dopilnowano (z udziałem CSP wystawiającego QC oraz organu ds. nadzoru/akredytacji kierującego nadzorem/akredytacją danego CSP), aby każdy certyfikat wierzchołka ścieżki wystawiony w ramach takiej hierarchii przez (główny) CA zawierał wystarczającą ilość informacji określonych przez ETSI i nadających się do przetworzenia maszynowego, aby można było ocenić, czy jest to QC czy nie, oraz czy został wystawiony za pomocą SSCD, czy nie. Przykładowo w przypadku gdy drugie z tych twierdzeń jest fałszywe (np. na QC nie ma znormalizowanego przez ETSI oznaczenia nadającego się do przetwarzania maszynowego świadczącego o tym, że ten certyfikat został wystawiony za pomocą SSCD), wówczas poprzez podanie w liście tylko „Sdi” (głównego) CA można tylko przyjąć, że QC wystawione zgodnie z hierarchią tego (głównego) CA nie zostały wystawione za pomocą SSCD. W celu uznania tych QC za wystawione za pomocą SSCD stosuje się „Sie” („Sie” wskazuje także, że fakt wystawienia za pomocą danego urządzenia jest gwarantowany przez CSP wystawiający QC oraz nadzorowany/akredytowany odpowiednio przez organ ds. nadzoru lub akredytacji).

Niniejsza specyfikacja techniczna wspólnego wzoru TL dopuszcza stosowanie we wpisie usługi kombinacji pięciu głównych części informacji:

2.3. Wytyczne dotyczące edycji i użycia wpisów usług CSPQC

Ogólne wytyczne dotyczące edycji:

Zgodnie z ogólną zasadą domyślności w odniesieniu do CSP wymienionego na zaufanej liście musi istnieć jeden wpis usługi dla pojedynczego certyfikatu X.509v3 dotyczącego usługi certyfikacyjnej typu CA/QC tzn. urzędu certyfikacji (bezpośrednio) wystawiającego certyfikaty kwalifikowane. W niektórych starannie przewidzianych okolicznościach i starannie zarządzanych warunkach organ ds. nadzoru/organ ds. akredytacji państwa członkowskiego może zadecydować o wykorzystaniu certyfikatu X.509v3 głównego urzędu certyfikacji lub urzędu certyfikacji wyższego szczebla (tzn. urzędu certyfikacji niewystawiającego bezpośrednio certyfikatów kwalifikowanych wierzchołka ścieżki, ale certyfikujących hierarchię urzędów certyfikacji, łącznie z urzędami certyfikacji wystawiającymi certyfikaty kwalifikowane wierzchołka ścieżki) jako „Sdi” pojedynczego wpisu na wykazie usług świadczonych przez CSP wymienione na liście. Konsekwencje (wady i zalety) stosowania certyfikatu X.509v3 głównego urzędu certyfikacji lub urzędu certyfikacji wyższego szczebla jako wartości „Sdi” wpisów usług w TL muszą być dokładnie rozważone i zatwierdzone przez państwa członkowskie. Ponadto jeżeli państwo członkowskie stosuje dopuszczalne wyjątki od zasady domyślnej, musi ono przedstawić niezbędne dokumenty ułatwiające tworzenie i weryfikację ścieżki certyfikatu.

W celu zobrazowania ogólnych wytycznych dotyczących edycji można posłużyć się następującym przykładem: W odniesieniu do CSPQC z wykorzystaniem jednego głównego urzędu certyfikacji, w powiązaniu z którym kilka urzędów certyfikacji wystawia QC i non-OC (certyfikaty niekwalifikowane), ale w odniesieniu do których QC zawierają tylko poświadczenie QcCompliance i nie zawierają oznaczenia, czy zostały one wystawione za pomocą SSCD, wymienienie na wykazie tylko „Sdi” urzędu certyfikacji zgodnie z zasadami wyjaśnionymi powyżej oznaczałoby, że żaden QC wystawiony w ramach hierarchii głównego urzędu certyfikacji NIE jest obsługiwany za pomocą SSCD. Jeżeli te QC są obsługiwane za pomocą SSCD, zdecydowanie zaleca się stosowanie poświadczenia QcSSCD w odniesieniu do QC wystawianych w przyszłości. W międzyczasie (do czasu wygaśnięcia ostatniego QC nie zawierającego takich informacji) TSL powinna wykorzystywać pole „Sie” i towarzyszące rozszerzenie „kwalifikacje” np. filtrując certyfikaty z użyciem szczególnego (szczególnych) OID określonych przez CSPQC, stosowanego (stosowanych) potencjalnie przez CSPQC do rozróżnienia różnych rodzajów QC (jedne obsługiwane za pomocą SSCD, a inne nie) i zawierającego (zawierających) wyraźne „informacje pomocnicze na temat SSCD” w odniesieniu do przedmiotowych certyfikatów filtrowanych z użyciem „kwalifikatorów”.

Ogólne wytyczne dotyczące stosowania aplikacji podpisu elektronicznego, usług lub produktów opierających się na wdrożeniu TSL zaufanej listy zgodnie z aktualnymi specyfikacjami technicznymi są następujące:

Wpis „Sti” dotyczący CA/QC (podobnie jak wpis dotyczący CA/QC zakwalifikowanego dodatkowo jako „główny CA/QC” (ang. RootCA/QC) poprzez zastosowanie rozszerzenia „Sie” additionalServiceInformation)

2.4. Usługi obsługujące usługi CA/QC, ale niestanowiące części „Sdi” CA/QC

Należy także uwzględnić przypadki, w których CRL i OCSP zostały podpisane z użyciem kluczy nienależących do CA wystawiającego QC. Można je uwzględnić wymieniając te usługi jako takie w TSL wdrażającej TL (tzn. z „Service type identifier” dodatkowo zakwalifikowanym przez rozszerzenie „additionalServiceInformation” odzwierciedlające OCSP lub usługę CRL jako część wystawiania QC, np. z rodzajem usługi odpowiednio „OCSP/QC” lub „CRL/QC”), ponieważ te usługi można uznać za część „kwalifikowanych” usług nadzoru/akredytacji związanych ze świadczeniem usług certyfikacyjnych polegających na wystawianiu certyfikatów kwalifikowanych. Niewątpliwie certyfikaty podmiotów udzielających odpowiedzi na OCSP i certyfikaty wydawców CRL, które zostały podpisane przez urzędy certyfikacji w ramach hierarchii usług CA/QC wymienionego na liście, uznaje się za „ważne” i zgodne z wartością statusu wymienionych na liście usług CA/QC.

Podobne przepisy można zastosować wobec usług certyfikacyjnych wystawiających certyfikaty niekwalifikowane (o rodzaju usługi „CA/PKC”) stosujących domyślne rodzaje usług OCSP i CRL określone w ETSI TS 102 231.

Należy zwrócić uwagę, że TSL implementująca TL MUSI obejmować usługi wycofania, jeżeli w polu dostępu do informacji urzędu (AIA) ostatecznych certyfikatów nie umieszczono odpowiednich informacji, lub jeżeli nie uzyskano podpisu urzędu certyfikacji wpisanego na listę urzędów certyfikacji.

2.5. W kierunku interoperacyjnego profilu QC

Co do zasady, należy dążyć do uproszczenia (ograniczenia) w miarę możliwości liczby wpisów usług (różnych „Sdi”). Należy to jednak zrównoważyć poprawną identyfikacją usług związanych z wystawianiem QC i udostępnianiem wiarygodnych informacji dotyczących tego, czy przedmiotowe QC są obsługiwane za pomocą SSCD, jeżeli informacji tych brakuje w wystawionym QC.

Idealnym rozwiązaniem byłoby (ścisłe) ograniczenie stosowania pola „Sie” i rozszerzenia „kwalifikacji” do szczególnych przypadków rozstrzyganych w ten sposób, ponieważ QC powinny zawierać wystarczające informacje związane ze zgłoszonym statusem kwalifikowanym i zgłaszaną obsługą lub brakiem obsługi przez SSCD.

W miarę możliwości państwa członkowskie powinny wspierać przyjęcie i stosowanie interoperacyjnych profili QC.

3. Struktura wspólnego wzoru zaufanej listy

Struktura proponowanego wspólnego wzoru zaufanej listy państwa członkowskiego będzie podzielona na następujące kategorie informacji:

W odniesieniu do CSP wystawiającego QC, jednoznaczna identyfikacja nadzorowanej/akredytowanej usługi certyfikacyjnej, która ma zostać zamieszczona na liście, musi uwzględniać sytuacje, w których certyfikat kwalifikowany nie zawiera wystarczających informacji dotyczących „kwalifikowanego” statusu certyfikatu, fakt ewentualnej obsługi certyfikatu za pomocą SSCD oraz w szczególności fakt, że większość (komercyjnych) CSP wykorzystuje jeden wystawiający kwalifikowany urząd certyfikacji do wystawiania kilku rodzajów zarówno kwalifikowanych, jak i niekwalifikowanych certyfikatów wierzchołka ścieżki.

Liczbę wpisów dokonywanych na liście przez każdy uznany CSP można ograniczyć, jeżeli istnieje jedna lub większa liczba usług CA wyższego szczebla, np. w odniesieniu do komercyjnej hierarchii CA od głównego CA do CA wystawiających certyfikat. Nawet w tych przypadkach należy jednak utrzymać i zapewnić realizację zasady gwarantującej jednoznaczne połączenie między usługą certyfikacyjną CSPQC a zbiorem certyfikatów, które mają być zidentyfikowane jako QC.

1. Informacje dotyczące zaufanej listy i systemu jej wydawania

Częścią tej kategorii będą następujące informacje:

2. Jednoznaczne informacje identyfikacyjne dotyczące każdego CSP uznanego przez system

Ten zbiór obejmie co najmniej następujące informacje:

3. W odniesieniu do każdego wymienionego na liście CSP sekwencja pól zawierających jednoznaczną identyfikację usługi certyfikacyjnej świadczonej przez CSP i nadzorowanej/akredytowanej w zakresie dyrektywy 1999/93/WE

Ten zbiór informacji obejmie co najmniej następujące dane w odniesieniu do każdej usługi certyfikacyjnej świadczonej przez CSP wymieniony na liście:

4. W odniesieniu do każdej usługi certyfikacyjnej wymienionej na liście identyfikacja bieżącego statusu usługi i historia tego statusu

Ten zbiór obejmie co najmniej następujące informacje:

4. Definicje i skróty

Do celów niniejszego dokumentu stosuje się następujące definicje i akronimy:

ROZDZIAŁ I

SZCZEGÓŁOWA SPECYFIKACJA DOTYCZĄCA WSPÓLNEGO WZORU „ZAUFANEJ LISTY NADZOROWANYCH/AKREDYTOWANYCH PODMIOTÓW ŚWIADCZĄCYCH USŁUGI CERTYFIKACYJNE”

W niniejszej części dokumentu słowa kluczowe MUSI (MUST, SHALL), NIE MOŻNA (MUST NOT, SHALL NOT), WYMAGANY (REQUIRED), POWINIEN (SHOULD), NIE POWINIEN (SHOULD NOT), ZALECANY (RECOMMENDED), MOŻE (MAY) i FAKULTATYWNY (OPTIONAL) należy interpretować zgodnie z RFC 2119 ( 15 ).

►M1 Niniejsza specyfikacja opiera się na specyfikacji i wymogach określonych w ETSI TS 102 231 v.3.1.2. W przypadku braku szczególnego wymogu w niniejszej specyfikacji zastosowanie MUSZĄ mieć w całości wymogi określone w ETSI TS 102 231 v.3.1.2. ◄ Jeżeli niniejsza specyfikacja zawiera szczególne wymogi, wówczas MUSZĄ być one nadrzędne w stosunku do odpowiednich wymogów określonych w ETSI TS 102231, a jednocześnie uzupełniane specyfikacją formatu określoną w ETSI TS 102231. W przypadku rozbieżności między niniejszą specyfikacją i specyfikacją określoną w ETSI TS 102231 normatywna MUSI być niniejsza specyfikacja.

Obsługa języków MUSI być wdrożona i zapewniona co najmniej dla języka angielskiego (EN) i ewentualnie dodatkowo dla jednego lub w większej liczby języków krajowych.

Oznaczenie data-czas MUSI być zgodne z klauzulą 5.1.4 ETSI TS 102231.

Stosowanie URI MUSI być zgodne z klauzulą 5.1.5 ETSI TS 102231.

Informacje dotyczące systemu wydawania zaufanej listy

Tag

Pole to jest WYMAGANE i MUSI być zgodne z klauzulą 5.2.1 ETSI TS 102231.

▼M1 —————

▼C1

Scheme Information

To pole jest WYMAGANE i MUSI być ustalone na poziomie „3” (liczba całkowita).

▼M1

To pole jest WYMAGANE. MUSI ono określać numer sekwencji TSL. Zaczynająca się od cyfry „1” przy pierwszym dopuszczeniu TSL wartość tej liczby całkowitej MUSI być powiększana przy każdej kolejnej wersji TSL. NIE MOŻNA jej ponownie zmniejszać do „1” w przypadku podwyższenia wartości powyższego „TSL version identifier.”

▼C1

▼M1

To pole jest WYMAGANE, aby określić rodzaj TSL. Musi być ustawione jako http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (Generic).

▼C1

Uwaga: Aby spełnić wymagania klauzuli 5.3.3 ETSI TS 102231 i, aby wskazać szczególny rodzaj TSL w nawiązaniu do istnienia niniejszych specyfikacji regulujących wdrożenie TSL państw członkowskich ( 16 ) oraz umożliwienia analizatorowi składniowemu na określenie, jakiej formy następujących pól ( 17 ) należy się spodziewać, jeśli zgodnie z reprezentowanym TSL (w tym przypadku oficjalną TSL państwa członkowskiego) pola te mają konkretne (lub alternatywne) znaczenia, wskazany powyżej konkretny URI MUSI być rejestrowany i określany w sposób następujący:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic

▼C1

Opis : Wdrożenie TSL listy statusu nadzoru/akredytacji usług certyfikacyjnych świadczonych przez podmioty świadczące usługi certyfikacyjne nadzorowane/akredytowane przez właściwe państwo członkowskie wdrażające TSL pod względem zgodności z odpowiednimi przepisami dyrektywy 1999/93/WE Parlamentu Europejskiego i Rady z dnia 13 grudnia 1999 r. w sprawie wspólnotowych ram w zakresie podpisów elektronicznych, w drodze bezpośredniego nadzoru (dobrowolnego lub regulacyjnego).

Pole to jest WYMAGANE. MUSI ono określać nazwę organu państwa członkowskiego kierującego tworzeniem, publikowaniem i prowadzeniem krajowej zaufanej listy. MUSI określać oficjalną nazwę, pod którą działa stowarzyszona osoba prawna lub upoważniony podmiot (np. w przypadku rządowych organów administracyjnych) stowarzyszony z tym organem. MUSI to być nazwa wykorzystana przy oficjalnej rejestracji lub autoryzacji i pod którą powinny być kierowane wszystkie oficjalne powiadomienia. MUSI się ona składać z sekwencji wielojęzycznych ciągów znaków i MUSI być wdrażana w języku angielskim (EN), jako w języku obowiązkowym, i ewentualnie w jednym lub w większej liczbie języków krajowych.

Uwaga: Kraj MOŻE mieć odrębne organy ds. nadzoru i akredytacji, a nawet dodatkowe organy zajmujące się wszelkimi powiązanymi działaniami operacyjnymi. ►M1 Wyznaczenie Scheme operator wdrożenia TSL zaufanej listy w państwie członkowskim jest sprawą tego państwa. ◄ Oczekuje się, że na organie ds. nadzoru, organie ds. akredytacji i operatorze systemu (jeżeli są odrębnymi organami) będą spoczywały określone dla każdego z nich obowiązki i odpowiedzialność cywilna.

Każda sytuacja, w której kilka organów jest odpowiedzialnych za nadzór, akredytację lub aspekty operacyjne MUSI być konsekwentnie odzwierciedlona i identyfikowana jako taka w informacjach dotyczących systemu stanowiących część TL, w tym także w określonych informacjach dotyczących systemu wskazanych w „Scheme information URI” (klauzula 5.3.7).

▼M1

Określony Scheme Operator (klauzula 5.3.4) jest podmiotem, który podpisze TSL.

▼C1

Pole to jest WYMAGANE. MUSI w nim być określony adres osoby prawnej lub upoważnionej organizacji określonej w polu „Scheme operator name” (klauzula 5.3.4) używany do przesyłania korespondencji pocztą i do łączności elektronicznej. MUSI ono zawierać zarówno „PostalAddress” (tj. ulica, miejscowość, [stan lub prowincja], [kod pocztowy] i kod kraju zgodny z ISO 3166-1 alpha-2) zgodny z klauzulą 5.3.5.1 oraz „ElectronicAddress” (tj. e-mail: lub URI strony internetowej) zgodnie z klauzulą 5.3.5.2.

To pole jest WYMAGANE, aby określić nazwę, pod jaką system funkcjonuje. Nazwa ta MUSI składać się z sekwencji wielojęzycznych ciągów znaków (w języku angielskim (EN), jako w języku obowiązkowym i ewentualnie w jednym lub w większej liczbie języków krajowych) definiowanych w następujący sposób:

Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws,

Nazwa systemu jest wymagana w celu niepowtarzalnego identyfikowania na jej podstawie systemu określonego przez „Scheme information URI” oraz w celu zapewnienia nadania odróżniającej się nazwy każdemu systemowi, jeżeli operatorowi systemu podlega więcej systemów niż jeden.

Państwa członkowskie i operatorzy systemu MUSZĄ upewnić się, czy każdemu systemowi nadana jest odróżniająca się nazwa, jeżeli państwu członkowskiemu lub operatorowi systemu podlega więcej systemów niż jeden.

Pole to jest WYMAGANE i MUSI określać URI, gdzie użytkownicy (strony opierające się na danych informacjach) mogą uzyskać informacje dotyczące systemu (w języku angielskim (EN) jako w języku obowiązkowym i ewentualnie w jednym lub w większej liczbie języków krajowych). MUSI to być sekwencja wielojęzycznych wskaźników (w języku angielskim (EN) jako w języku obowiązkowym i ewentualnie w jednym lub w większej liczbie języków krajowych). Przedmiotowy (przedmiotowe) URI MUSI zapewnić ścieżkę dostępu do informacji zawierających „odpowiednie informacje dotyczące systemu”.

„Appropriate information about the scheme” MUSZĄ obejmować co najmniej:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.”,

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable »supervision« system (respectively »voluntary accreditation« system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art. 7.1(a), Art. 8.1, Art. 11).

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

„The present list is the TSL implementation of [name of the relevant Member State] »Trusted List of supervised/accredited Certification Service Providers« providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Dodatkowe określone informacje państwa członkowskiego dotyczące systemu MOŻNA podawać dobrowolnie. MUSZĄ one obejmować:

Pole to jest WYMAGANE i MUSI określać identyfikator podejścia dotyczącego określania statusu. MUSI być stosowany następujący określony URI zarejestrowany i opisany w następujący sposób:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Opis : Wymienione usługi mają status określony przez operatora systemu lub w jego imieniu zgodnie z odpowiednim systemem przedmiotowego państwa członkowskiego umożliwiającym „nadzór” (w stosownych przypadkach „dobrowolną akredytację”) podmiotów świadczących usługi certyfikacyjne mających siedzibę lub miejsce zamieszkania na terytorium przedmiotowego państwa członkowskiego (lub w przypadku „dobrowolnej akredytacji” mających siedzibę lub miejsce zamieszkania w kraju trzecim) i powszechnie wystawiających certyfikaty kwalifikowane zgodnie z art. 3 ust. 3 (odpowiednio art. 3 ust. 2 lub art. 7 ust. 1 lit. a)) dyrektywy 1999/93/WE i w stosownych przypadkach umożliwiającym „nadzór”/„dobrowolną akredytację” podmiotów świadczących usługi certyfikacyjne niewystawiających certyfikatów kwalifikowanych zgodnie ze zdefiniowanym i ustanowionym „przyjętym (przyjętymi) systemem (systemami) zatwierdzania” wdrożonym (wdrożonymi) na szczeblu krajowym w celu nadzorowania zgodności usług świadczonych przez CSP niewystawiające QC z przepisami dyrektywy 1999/93/WE oraz ewentualnie z przepisami krajowymi dotyczącymi świadczenia tych usług certyfikacyjnych.

Pole to jest WYMAGANE i MUSI zawierać co najmniej następujące zarejestrowane URI:

— URI wspólny dla TL wszystkich państw członkowskich wskazujący tekst opisowy, który MUSI mieć zastosowanie do wszystkich TL:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— oznaczający udział systemu państwa członkowskiego (identyfikowany na podstawie „TSL type” (klauzula 5.3.3) i „Scheme name” (klauzula 5.3.6)) w systemie systemów (tzn. TSL zawierającej listę odsyłaczy do wszystkich państw członkowskich publikujących i prowadzących TL w postaci TSL),

— w przypadku którego użytkownicy mogą mieć dostęp do polityki/zasad, na podstawie których usługi zawarte na liście są oceniane i na podstawie których można określić rodzaj TSL (zob. klauzulę 5.3.3),

— w przypadku którego użytkownicy mogą mieć dostęp do opisu sposobu korzystania i interpretowania treści wdrożenia TL za pomocą TSL. Te zwyczajowe zasady MUSZĄ być wspólne w odniesieniu do wszystkich zaufanych list państw członkowskich niezależnie od rodzaju usługi wymienionej na liście i niezależnie od systemu (systemów) nadzoru/akredytacji.

— Tekst opisowy:

Each Member State must create a »Trusted List of supervised/accredited Certification Service Providers« providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable »supervision« system (respectively »voluntary accreditation« system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art. 7.1(a), Art. 8.1, Art. 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a »voluntary accreditation« system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined »recognised approval scheme« implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific »qualification« on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a »qualification« is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/WE are as follows:

A »CA/QC«»Service type identifier« (»Sti«) entry (similarly a CA/QC entry further qualified as being a »RootCA/QC« through the use of »Service information extension« (»Sie«) additionalServiceInformation extension)

— indicates that from the »Service digital identifier« (»Sdi«) identified CA (similarly within the CA hierarchy starting from the »Sdi« identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no »Sie«»Qualification« information is present or if an end-entity certificate that is claimed to be a QC is not »further identified« through a related »Sie« entry, then the »machine-processable« information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF »Sie«»Qualification« information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this »Sie«»Qualification« entry, which is constructed on the principle of a sequence of »filters« further identifying a set of certificates, must be considered according to the associated »qualifiers« providing some additional information regarding »SSCD support« and/or »Legal person as subject« (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific »Key usage« pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of »qualifiers« used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — »QCWithSSCD« qualifier value meaning »QC supported by an SSCD«, or — »QCNoSSCD« qualifier value meaning »QC not supported by an SSCD«, or — »QCSSCDStatusAsInCert« qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the »Sdi«-»Sie« provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — »QCForLegalPerson« qualifier value meaning »Certificate issued to a Legal Person«.

The general interpretation rule for any other »Sti« type entry is that the listed service named according to the »Sn« field value and uniquely identified by the »Sdi« field value has a current supervision/accreditation status according to the »Scs« field value as from the date indicated in the »Current status starting date and time«. Specific interpretation rules for any additional information with regard to a listed service (e.g. »Service information extensions« field) may be found, when applicable, in the Member State specific URI as part of the present »Scheme type/community/rules« field.

Please refer to the Technical specifications for a Common Template for the »Trusted List of supervised/accredited Certification Service Providers« in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists”.