2009D0767 — RO — 01.12.2010 — 001.002

Acest document reprezintă un instrument de documentare, iar instituţiile nu îşi asumă responsabilitatea pentru conţinutul său.

Astfel cum a fost modificat prin:

rectificat prin

▼B

▼C1

DECIZIA COMISIEI

din 16 octombrie 2009

de stabilire a unor măsuri de facilitare a utilizării procedurilor prin mijloace electronice prin intermediul „ghișeelor unice” în temeiul Directivei 2006/123/CE a Parlamentului European și a Consiliului privind serviciile în cadrul pieței interne

[notificată cu numărul C(2009) 7806]

(Text cu relevanță pentru SEE)

(2009/767/CE)

Articolul 1

Utilizarea și acceptarea semnăturilor electronice

(1) Dacă se justifică pe baza unei evaluări adecvate a riscurilor implicate și în conformitate cu articolul 5 alineatele (1) și (3) din Directiva 2006/123/CE, statele membre pot solicita, pentru îndeplinirea anumitor proceduri și formalități prin intermediul ghișeelor unice prevăzute la articolul 8 din Directiva 2006/123/CE, utilizarea de către prestatorul de servicii a unor semnături electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii, în conformitate cu definițiile și dispozițiile Directivei 1999/93/CE.

(2) Statele membre acceptă toate semnăturile electronice avansate bazate pe certificate calificate, cu sau fără un dispozitiv securizat de creare a semnăturii, pentru îndeplinirea procedurilor și formalităților menționate la alineatul (1), fără a aduce atingere posibilității statelor membre de a limita această acceptare la semnăturile electronice avansate bazate pe un certificat calificat și create printr-un dispozitiv securizat de creare a semnăturii, dacă o astfel de măsură este în conformitate cu evaluarea riscurilor menționată la alineatul (1).

(3) Statele membre nu impun pentru acceptarea semnăturilor electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii, condiția respectării unor cerințe care creează obstacole în calea utilizării de către prestatorii de servicii a procedurilor prin mijloace electronice prin intermediul ghișeelor unice.

(4) Dispozițiile de la alineatul (2) nu împiedică statele membre să accepte semnături electronice, altele decât semnăturile electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii.

Articolul 2

Crearea, păstrarea și publicarea listelor sigure

(1) Fiecare stat membru creează, menține și publică, în conformitate cu specificațiile tehnice prevăzute în anexă, o „listă sigură” care conține un minimum de informații referitoare la prestatorii de servicii de certificare care eliberează certificate calificate publicului, pe care statele membre îi supraveghează/acreditează.

▼M1

(2) Statele membre creează și publică atât o formă lizibilă pentru om, cât și o formă care poate fi procesată de calculator a listei sigure, în conformitate cu specificațiile prevăzute în anexă.

▼M1

(2a) Statele membre semnează electronic forma care poate fi procesată de calculator a listelor sigure respective și publică, cel puțin, forma lizibilă pentru om a listei sigure, printr-un mijloc securizat, pentru asigurarea autenticității și integrității acesteia.

▼M1

(3) Statele membre notifică următoarele informații Comisiei:

▼M1

(4) Comisia pune la dispoziția statelor membre, printr-un canal securizat către un server web autentificat, informațiile menționate la alineatul (3), astfel cum sunt notificate de statele membre, atât în formă lizibilă pentru om, cât și într-o formă semnată, care poate fi procesată de calculator.

▼C1

Articolul 3

Aplicare

Prezenta decizie se aplică de la 28 decembrie 2009.

Articolul 4

Destinatari

Prezenta decizie se adresează statelor membre.

ANEXĂ

SPECIFICAȚII TEHNICE PENTRU MODELUL COMUN AL „LISTEI SIGURE A PRESTATORILOR DE SERVICII DE CERTIFICARE SUPRAVEGHEAȚI/ACREDITAȚI”

PREFAȚĂ

1. Aspecte generale

Scopul modelului comun al „Listei sigure a prestatorilor de servicii de certificare supravegheați/acreditați” întocmită de statele membre este de a institui o modalitate comună prin care fiecare stat membru oferă informații despre statutul supravegherii/acreditării serviciilor de certificare furnizate de prestatorii de servicii de certificare ( 3 ) (CSP) care sunt supravegheați/acreditați de către statele membre în vederea conformității cu dispozițiile relevante din Directiva 1999/93/CE. Aceasta include furnizarea de informații istorice cu privire la statutul supravegherii/acreditării serviciilor de certificare supravegheate/acreditate.

Informațiile obligatorii din Lista sigură (TL) trebuie să cuprindă un număr minim de informații privind CSP supravegheați/acreditați care eliberează certificate calificate (QC) ( 4 ) în conformitate cu dispozițiile Directivei 1999/93/CE [articolul 3 alineatele (2) și (3) și articolul 7 alineatul (1) litera (a)], inclusiv informațiile despre QC care stau la baza unei semnături electronice și despre eventuala utilizare a unui dispozitiv securizat de creare a semnăturii (SSCD) ( 5 ) pentru crearea semnăturii electronice.

Informațiile suplimentare privind alți CSP supravegheați/acreditați care nu eliberează QC, dar prestează servicii referitoare la semnăturile electronice (de exemplu, CSP care prestează servicii de marcare temporală și care eliberează jetoane de marcare temporală, CSP care eliberează certificate necalificate etc.) pot fi incluse pe lista sigură la nivel național în mod voluntar.

Aceste informații au ca scop principal susținerea validării semnăturilor electronice calificate (QES) și a semnăturilor electronice avansate (AdES) ( 6 ) bazate pe un certificat calificat ( 7 ) ( 8 ).

Modelul comun propus este compatibil cu o punere în aplicare pe baza specificațiilor din ETSI TS 102 231 ( 9 ) care sunt utilizate pentru a gestiona crearea, publicarea, localizarea, accesarea, autentificarea și fiabilitatea acestui tip de liste.

2. Linii directoare privind editarea intrărilor din TL

2.1. O listă sigură care include în special servicii de certificare supravegheate/acreditate

Lista sigură a unui stat membru este definită ca „Lista privind statutul supravegherii/acreditării serviciilor de certificare furnizate de prestatorii de servicii de certificare care sunt supravegheați/acreditați de către statul membru în cauză în vederea conformității cu dispozițiile relevante ale Directivei 1999/93/CE”.

O astfel de listă sigură trebuie să includă:

În ceea ce privește definițiile și dispozițiile Directivei 1999/93/CE, în special cele referitoare la CSP relevanți și la sistemele lor de supraveghere/acreditare voluntară, se pot distinge două categorii de CSP, respectiv CSP care eliberează QC pentru public (CSPQC) și CSP care nu eliberează QC pentru public, însă prestează „alte servicii (auxiliare) referitoare la semnăturile electronice”:

Lista sigură a unui stat membru trebuie să furnizeze un minimum de informații privind CSP supravegheați/acreditați care eliberează certificate calificate pentru public în conformitate cu dispozițiile Directivei 1999/93/CE [articolul 3 alineatele (2) și (3) și articolul 7 alineatul (1) litera (a)], informații privind QC care atestă semnătura electronică, precum și dacă o semnătură este sau nu creată printr-un dispozitiv securizat de creare a semnăturii.

Informațiile suplimentare cu privire la alte servicii supravegheate/acreditate furnizate de CSP care nu eliberează QC pentru public (de exemplu CSP care prestează servicii de marcare temporală și eliberează jetoane de marcare temporală, CSP care eliberează certificate necalificate etc.) pot fi incluse pe lista sigură la nivel național în mod voluntar.

Lista sigură are următoarele scopuri:

În fiecare stat membru trebuie creată și menținută o singură TL pentru a indica statutul supravegherii și/sau acreditării acelor servicii de certificare furnizate de acei CSP certificați/acreditați de către statul membru.

Faptul că un serviciu este la momentul actual fie supravegheat, fie acreditat face parte din statutul actual al serviciului respectiv. În plus, statutul de supraveghere sau de acreditare poate fi „în curs”, „în curs de a fi suspendat”, „suspendat” sau chiar „revocat”. Pe parcursul existenței sale, același serviciu de certificare poate trece de la statutul de supraveghere la cel de acreditare și invers ( 10 ).

Următoarea figură 1 descrie fluxul preconizat, pentru un serviciu de certificare, între eventualele stadii de supraveghere/acreditare:

Un serviciu de certificare care eliberează QC trebuie supravegheat (dacă este stabilit într-un stat membru) și poate fi acreditat voluntar. Atunci când este inclus pe lista sigură, statutul unui serviciu poate avea ca „valoare a statutului curent” oricare dintre valorile de statut prezentate mai sus. Cu toate acestea, trebuie să se rețină că atât „acreditare suspendată”, cât și „acreditare revocată” trebuie să fie valori ale „statutului de tranzit” doar în cazul serviciilor CSPQC stabiliți într-un stat membru, întrucât aceste servicii trebuie să fie implicit supravegheate (chiar și atunci când nu sunt sau când nu mai sunt acreditate).

Statele membre care instituie sau au instituit „un program (programe) recunoscut(e) de aprobare” definit(e) și pus(e) în aplicare la nivel național în vederea supravegherii conformității serviciilor furnizate de CSP care nu eliberează QC cu dispozițiile Directivei 1999/93/CE și cu eventualele dispoziții naționale privind prestarea de servicii de certificare [în sensul articolului 2 punctul 11 din directivă] trebuie să clasifice programul (programele) de aprobare în următoarele două categorii:

În consecință, un serviciu de certificare care nu eliberează QC poate fi supravegheat sau acreditat voluntar. Atunci când este introdus pe o listă sigură, statutul acestui serviciu poate avea ca „valoare a statutului curent” oricare dintre valorile de statut prezentate anterior (a se vedea figura 1).

Lista sigură trebuie să conțină informații cu privire la programul (programele) de bază de supraveghere/acreditare, în special:

Ultimele două seturi de informații au o importanță esențială pentru ca părțile care se bazează pe certificat să poată evalua nivelul de calitate și siguranță al acestor sisteme de supraveghere/acreditare aplicate la nivel național acelor CSP care nu eliberează QC. Atunci când în TL sunt furnizate informații privind statutul supravegherii/acreditării serviciilor furnizate de un CSP care nu eliberează QC, seturile de informații menționate anterior vor fi furnizate în TL utilizând „Scheme information URI” (dispoziția 5.3.7– informații furnizate de statele membre), „Scheme type/community/rules” (dispoziția 5.3.9 – prin utilizarea unui text comun pentru toate statele membre și informații specifice opționale furnizate de un stat membru) și „TSL policy/legal notice” (dispoziția 5.3.11 – un text comun pentru toate statele membre care face referire la Directiva 1999/93/CE, fiecare stat membru având posibilitatea de a adăuga texte/referințe care îi sunt specifice). Informațiile suplimentare privind „calificarea” definite la nivelul sistemelor naționale de supraveghere/acreditare pentru CSP care nu eliberează QC pot fi furnizate la nivelul fiecărui serviciu dacă este cazul și dacă este necesar (de exemplu, pentru a distinge între mai multe niveluri de calitate/siguranță) prin utilizarea extensiei „additionalServiceInformation” (dispoziția 5.8.2) ca parte din „Service information extension” (dispoziția 5.5.9). Informațiile suplimentare privind specificațiile tehnice corespunzătoare sunt cuprinse în specificațiile detaliate din capitolul I.

În ciuda faptului că responsabilitatea pentru supravegherea și acreditarea serviciilor de certificare dintr-un stat membru poate fi deținută de organisme separate ale statului membru în cauză, se preconizează că o singură intrare va fi utilizată pentru un anumit serviciu de certificare (identificat prin „Service digital identity”, în conformitate cu ETSI TS 102 231 ( 11 ) și că statutul acreditării/supravegherii aferent acestuia va fi actualizat în mod corespunzător. Înțelesul stadiilor prezentate mai sus este descris în dispoziția 5.5.4 din specificațiile tehnice detaliate cuprinse în capitolul I.

2.2. Intrări în TL pentru facilitarea validării QES și AdESQC

Cel mai critic aspect în crearea unei TL este elaborarea părții obligatorii a acesteia, anume a „Listei de servicii” pentru fiecare CSP care eliberează QC, pentru a reflecta corect situația exactă, în ceea ce privește eliberările, a fiecărui serviciu de eliberare a QC de acest tip și pentru a garanta că informațiile furnizate la fiecare intrare sunt suficiente pentru a facilita validarea QES și a AdESQC (atunci când sunt combinate cu conținutul QC pentru o entitate finală furnizat de CSP în baza serviciului de certificare introdus pe listă la această intrare).

În măsura în care nu există un profil cu adevărat interoperabil și transfrontalier pentru QC, informațiile necesare pot include alte date în afara „Service digital identity” a unei singure (Root) CA (Autoritate de certificare de bază), în special informații care permit identificarea statutului QC al certificatului eliberat și acele informații privind utilizarea eventuală a unui SSCD pentru crearea semnăturilor atestate. Organismul dintr-un stat membru desemnat să creeze, să editeze și să mențină TL (adică operatorul programului în conformitate cu ETSI TS 102 231) trebuie, prin urmare, să ia în considerare profilul curent și conținutul certificatului în cazul fiecărui QC eliberat, pentru fiecare CSPQC inclus în TL.

În mod ideal, fiecare QC eliberat ar trebui să cuprindă declarația de QcCompliance ( 12 ) definită de ETSI, dacă se afirmă că este un QC, și declarația QcSSCD definită de ETSI, dacă se afirmă că se bazează pe un SSCD pentru a crea semnături electronice, și/sau că fiecare QC eliberat include unul dintre identificatorii de obiecte (OID) ai politicii de certificare QCP/QCP + definiți în ETSI TS 101 456 ( 13 ). Utilizarea de către CSP care eliberează QC a unor standarde diferite drept referință, diferențele de interpretare a standardelor respective, precum și lipsa cunoștințelor legate de existența și prioritatea anumitor specificații tehnice sau standarde normative au avut drept rezultat diferențele apărute în conținutul real al QC eliberate în prezent (de exemplu, utilizarea sau nu a acelor QcStatements definite de ETSI), ceea ce împiedică destinatarii să se bazeze pur și simplu pe certificatul semnatarului (și pe lanțul/traseul asociat) atunci când trebuie să evalueze, cel puțin într-o formă care poate fi citită de calculatoare, dacă se afirmă sau nu că certificatul care atestă o semnătură electronică este un QC și dacă acesta este sau nu asociat cu un SSCD prin care a fost creată semnătura electronică.

Completarea câmpurilor „Service type identifier” („Sti”), „Service name” („Sn”) și „Service digital identity” („Sdi”) ( 14 ) cu informațiile furnizate în câmpul „Service information” („Sie”) permite modelului comun propus pentru TL să determine în mod integral un anumit tip de certificat calificat eliberat de un serviciu de certificare al unui CSP introdus pe listă care eliberează QC și să determine dacă acesta se bazează pe un SSCD sau nu (dacă aceste informații nu sunt incluse în QC eliberat). O informație specifică despre un „Service current status” („Scs”) este, desigur, asociată acestei intrări. Figura 2 de mai jos ilustrează acest aspect.

Introducerea pe listă a unui serviciu doar prin furnizarea „Sdi” a unei (Root) CA ar presupune că se garantează (de către CSP care eliberează QC, dar și de către organismul de supraveghere/acreditare responsabil pentru supravegherea/acreditarea respectivului CSP) că orice certificat pentru o entitate finală eliberat în cadrul acestei (ierarhii) (Root) CA conține suficiente informații definite de ETSI și care pot fi procesate de calculator pentru a evalua dacă certificatul este sau nu un QC și dacă se bazează pe un SSCD. În cazul în care, de exemplu, ultima afirmație nu este adevărată (de exemplu, în QC nu există indicații standardizate conform ETSI și având o formă care poate fi procesată de calculator pentru a determina dacă certificatul se bazează sau nu pe un SSCD), prin introducerea pe listă doar a „Sdi” a acelei (Root) CA, se poate presupune doar că QC eliberate în cadrul acestei ierarhii a (Root) CA nu se bazează pe niciun SSCD. Pentru a putea considera acele QC ca bazându-se pe un SSCD, ar trebui să se utilizeze „Sie” pentru a indica acest aspect (ceea ce indică, de asemenea, că este garantat de CSP care eliberează QC și supravegheat/acreditat de organismul de supraveghere sau de acreditare).

Specificațiile tehnice actuale pentru modelul comun de TL permit utilizarea unei combinații de cinci categorii principale de informații în intrarea privind un serviciu:

2.3. Linii directoare privind editarea și utilizarea intrărilor privind serviciile CSPQC

Liniile directoare generale privind editarea sunt:

Ca un principiu general implicit, pentru un CSP inclus pe lista sigură trebuie să existe o singură intrare privind serviciul pentru fiecare certificat X.509v3 pentru un serviciu de certificare de tip CA/QC, însemnând o autoritate de certificare care eliberează (direct) QC. În anumite circumstanțe atent definite și în anumite condiții atent coordonate, un organism de supraveghere sau de acreditare dintr-un stat membru poate decide să utilizeze certificatul X.509v3 al unei Root CA sau Upper level CA (autoritate de certificare superioară) (adică o autoritate de certificare care nu eliberează direct QC pentru entitățile finale, dar certifică o ierarhie de autorități de certificare în sens descendent până la autoritățile de certificare care eliberează QC către entitățile finale) ca „Sdi” pentru o singură intrare din lista de servicii furnizate de un CSP inclus pe listă. Consecințele (avantajele și dezavantajele) utilizării acestui certificat X.509v3 al Root CA sau Upper CA ca valori „Sdi” ale intrărilor privind serviciile din TL trebuie să fie analizate cu atenție și aprobate de statele membre. În plus, dacă utilizează această excepție autorizată de la principiul implicit, statul membru trebuie să prezinte documentația necesară pentru a facilita crearea și verificarea căii de certificare.

Pentru a ilustra liniile directoare generale privind editarea, se poate oferi următorul exemplu: în cazul unui CSPQC care folosește o Root CA în cadrul căreia mai multe autorități de certificare eliberează certificate calificate și certificate necalificate, însă pentru care QC conțin doar declarația de QcCompliance fără a indica dacă se bazează sau nu pe un SSCD, introducerea pe listă a „Sdi” pentru Root CA ar presupune doar că, în temeiul regulilor explicate anterior, orice QC eliberat în cadrul acestei ierarhii Root CA NU se bazează pe un SSCD. Dacă acele QC se bazează de fapt pe un SSCD, se recomandă cu insistență utilizarea declarației QcSSCD în QC eliberate pe viitor. Între timp (până la expirarea ultimului QC care nu conține această informație), TSL trebuie să utilizeze câmpul „Sie” și extensia asociată „Qualifications”, de exemplu filtrarea certificatelor prin intermediul unui/unor OID specific(e) definit(e) de CSPQC utilizate eventual de CSPQC pentru a distinge între diferite tipuri de QC (unele pe bază de SSCD, altele nu) care includ „SSCD suport information” explicite cu privire la acele certificate filtrate prin intermediul „Calificativelor”.

Liniile directoare generale privind utilizarea aplicațiilor, serviciilor sau produselor legate de semnături electronice bazate pe implementarea TSL a unei TL în conformitate cu prezentele specificații tehnice sunt următoarele:

O intrare „Sti”„CA/QC” (în mod similar o intrare a CA/QC calificată ulterior ca fiind o „RootAC/QC” prin utilizarea extensiei additionalServiceInformation „Sie”)

2.4. Servicii pe care se bazează serviciile „CA/QC”, dar care nu sunt incluse în „Sdi” al „CA/QC”

Trebuie să fie, de asemenea, incluse cazurile în care CRL (listele certificatelor revocate) și răspunsurile OCSP (Online Certificate Status Protocol – protocol online privind statutul certificatelor) sunt semnate cu chei diferite de cele ale unei CA care eliberează QC („CA/QC”). Aceasta se poate realiza prin introducerea pe listă a acelor servicii ca atare în implementarea TSL a TL (respectiv cu un „Service type identifier” calificat ulterior printr-o „AdditionalServiceInformation” care indică faptul că un serviciu OCSP sau CRL este parte componentă a furnizării de QC, de exemplu printr-un tip de serviciu precum „OCSP/QC”, respectiv „CRL/QC”), întrucât aceste servicii pot fi considerate ca parte componentă a serviciilor „calificate” supravegheate/acreditate asociate prestării serviciilor de certificare a QC. În mod evident, respondenții OCSP sau emitenții CRL ale căror certificate sunt semnate de autorități de certificare în cadrul ierarhiei unui serviciu CA/QC introdus pe listă vor fi considerați drept „valabili” și în conformitate cu valoarea statutului serviciului CA/QC de pe listă.

O prevedere asemănătoare se poate aplica serviciilor de certificare care eliberează certificate necalificate (de tip „CA/PKC” – autoritate de certificare care folosește criptografia cu chei publice) folosind tipurile implicite de servicii OCSP și CRL definite de ETSI TS 102 231.

Trebuie reținut faptul că implementarea TSL a unei TL TREBUIE să includă servicii de revocare dacă informațiile aferente nu sunt prezente în câmpul AIA al certificatelor finale sau dacă certificatul nu este semnat de o CA inclusă pe listă.

2.5. Evoluția către un profil QC interoperabil

În general, trebuie să se încerce o simplificare (reducere) pe cât posibil a numărului de intrări de servicii („Sdi” diferite). Această acțiune trebuie compensată,însă, prin identificarea corectă a acelor servicii legate de eliberarea de QC și cu furnizarea informațiilor de încredere cu privire la suportul SSCD al unui QC, dacă aceste informații nu apar în QC eliberat.

În mod ideal, utilizarea câmpului „Sie” și a extensiei „Qualification” trebuie limitată (strict) la acele cazuri specifice care trebuie soluționate în acest mod, întrucât QC trebuie să conțină informații suficiente cu privire la afirmațiile privind statutul de certificat calificat și suportul SSCD sau inexistența acestuia.

Statele membre ar trebui să impună, pe cât posibil, adoptarea și utilizarea profilurilor QC interoperabile.

3. Structura modelului comun pentru lista sigură

Modelul comun propus pentru lista sigură a unui stat membru va fi structurat pe următoarele categorii de informații:

În contextul unui CSP care eliberează QC, identificarea neechivocă a unui serviciu de certificare supravegheat/acreditat care urmează să fie introdus pe listă trebuie să ia în considerare acele situații în care nu sunt disponibile suficiente informații în certificatul calificat cu privire la statutul de „certificat calificat” și la eventualul suport SSCD și în special să abordeze un alt aspect, respectiv faptul că majoritatea CSP (din domeniul comercial) apelează la o singură CA calificată emitentă pentru a emite diferite tipuri de certificate, atât calificate, cât și necalificate, pentru entitățile finale.

Numărul de intrări din listă pentru fiecare CSP recunoscut ar putea fi redus dacă există unul sau mai multe servicii ale Upper CA, de exemplu în contextul unei ierarhii comerciale de autorități de certificare de la o Root CA în sens descendent la autoritățile de certificare emitente. Cu toate acestea, chiar și în aceste cazuri, trebuie să se păstreze și să se asigure respectarea principiului de garantare a unei legături neechivoce între un serviciu de certificare al unui CSPQC și setul de certificate care urmează să fie identificate ca QC.

1. Informații privind lista sigură și sistemul de publicare a acesteia

Această categorie va cuprinde, printre altele, următoarele informații:

2. Informații de identificare neechivoce cu privire la fiecare CSP recunoscut de program

Acest set de informații va cuprinde cel puțin următoarele:

3. Pentru fiecare CSP inclus pe listă, o secvență de câmpuri cuprinzând informații neechivoce de identificare privind un serviciu de certificare furnizat de CSP și supravegheat/acreditat în cadrul Directivei 1999/93/CE

Acest set de informații va include pentru fiecare serviciu de certificare furnizat de un CSP de pe listă cel puțin următoarele detalii:

4. Pentru fiecare serviciu de certificare inclus pe listă, identificarea statutului curent al serviciului și istoricul statutului său

Acest set de informații va cuprinde cel puțin următoarele:

4. Definiții și abrevieri

În sensul prezentului document, se utilizează următoarele definiții și abrevieri:

CAPITOLUL I

SPECIFICAȚII DETALIATE PRIVIND MODELUL COMUN PENTRU „LISTA SIGURĂ A PRESTATORILOR DE SERVICII DE CERTIFICARE SUPRAVEGHEAȚI/ACREDITAȚI”

În următoarea secțiune a documentului cuvintele cheie „TREBUIE” (din engleză MUST), „NU TREBUIE” (din engleză MUST NOT), „OBLIGATORIU” (din engleză REQUIRED), „ESTE/NU ESTE” și timpul prezent în general (din engleză SHALL/SHALL NOT), „AR TREBUI” (din engleză SHOULD), „NU AR TREBUI” (din engleză SHOULD NOT), „SE RECOMANDĂ” (din engleză RECOMMENDED), „ESTE POSIBIL” sau „POATE” (din engleză (MAY) și „OPȚIONAL” (din engleză OPTIONAL) și variantele lor gramaticale trebuie interpretate în sensul echivalentelor lor din limba engleză, în conformitate cu RFC 2119 ( 15 ).

►M1 Prezentele specificații se bazează pe specificațiile și cerințele prevăzute în ETSI TS 102 231 v.3.1.2. Atunci când în prezentele specificații nu există cerințe specifice, SE APLICĂ în întregime cerințele din ETSI TS 102 231 v.3.1.2. ◄ Dacă în cuprinsul prezentelor specificații se menționează cerințe specifice, acestea PREVALEAZĂ asupra cerințelor corespunzătoare din ETSI TS 102 231 și vor fi completate de specificațiile privind formatul din ETSI TS 102 231. În cazul în care apar discrepanțe între prezentele specificații și specificațiile cuprinse în ETSI TS 102 231, prezentele specificații SUNT cele cu caracter normativ.

Suportul lingvistic ESTE implementat și oferit cel puțin în limba engleză (EN) și eventual în una sau mai multe limbi naționale.

Indicarea datei și a orei RESPECTĂ dispoziția 5.1.4 din ETSI TS 102 231.

Utilizarea URI RESPECTĂ dispoziția 5.1.5 din ETSI TS 102 231.

Informații privind sistemul de publicare a listei sigure

Tag

Câmpul este OBLIGATORIU și RESPECTĂ dispoziția 5.2.1 din ETSI TS 102 231.

▼M1 —————

▼C1

Scheme information

Acest câmp este OBLIGATORIU și SE SETEAZĂ la „3” (număr întreg).

▼M1

Acest câmp este OBLIGATORIU. Acesta SPECIFICĂ numărul secvențial al TSL. Începând de la „1”, la prima publicare a TSL, valoarea acestui număr întreg CREȘTE la fiecare publicare ulterioară a TSL. Valoarea NU ESTE readusă la „1” atunci când crește „TSL version identifier” de mai sus.

▼C1

▼M1

Acest câmp este OBLIGATORIU pentru a specifica tipul TSL. Acesta ESTE setat la http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (Generic).

▼C1

Notă: Pentru a respecta ETSI TS 102 231, dispoziția 5.3.3, și pentru a indica tipul specific al TSL făcând referire la existența prezentelor specificații care reglementează organizarea implementării TSL a listelor sigure a statelor membre ( 16 ) și permițând unui program de analiză să determine ce formă a oricăruia dintre câmpurile următoare ( 17 ) este preconizată, în cazul în care acele câmpuri au sensuri specifice (sau alternative) în funcție de tipul de TSL reprezentat (în acest caz, o listă sigură a unui stat membru), URI specific sus-menționat SE ÎNREGISTREAZĂ și SE DESCRIE după cum urmează:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic.

▼C1

Descriere : O implementare TSL a unei liste cuprinzând statutul supravegherii/acreditării aferent serviciilor de certificare furnizate de prestatorii de servicii de certificare care sunt supravegheați/acreditați de statul membru de referință care este proprietarul implementării TSL, în vederea conformității cu dispozițiile relevante din Directiva 1999/93/CE, prin intermediul unui proces de monitorizare directă (fie voluntară sau normativă).

Acest câmp este OBLIGATORIU. Câmpul SPECIFICĂ denumirea organismului statului membru responsabil pentru crearea, publicarea și menținerea listei sigure naționale. Acesta SPECIFICĂ denumirea oficială sub care operează entitatea juridică sau autorizată prin mandat (de exemplu pentru agențiile administrative guvernamentale) asociată acestui organism. Denumirea TREBUIE să fie cea utilizată în actele oficiale de înregistrare sau de autorizare, căreia trebuie să i se adreseze toate comunicările oficiale. Denumirea ESTE alcătuită dintr-o secvență de șiruri de caractere multilingve și ESTE implementată în limba engleză (EN) ca limbă obligatorie și eventual în una sau mai multe limbi naționale.

Notă: O țară POATE avea organisme de supraveghere și acreditare separate și chiar și organisme suplimentare pentru diferite activități operaționale aferente. ►M1 Statele membre sunt cele care desemnează Scheme operator pentru implementarea TSL a TL a statului membru. ◄ Se preconizează că organismul de supraveghere, organismul de acreditare și operatorul programului (atunci când este vorba de organisme separate) vor avea responsabilități și obligații proprii.

Orice situație în care mai multe organisme poartă răspunderea pentru supraveghere, acreditare sau alte aspecte operaționale ESTE REFLECTATĂ cu exactitate și IDENTIFICATĂ ca atare în informațiile privind programul care fac parte din TL, inclusiv în informațiile specifice de program indicate de „Scheme information URI” (dispoziția 5.3.7).

▼M1

Scheme Operator desemnat (dispoziția 5.3.4) este entitatea care va semna TSL.

▼C1

Acest câmp este OBLIGATORIU. Câmpul SPECIFICĂ adresa entității juridice sau a organizației autorizate prin mandat identificate în câmpul „Scheme operator name” (dispoziția 5.3.4) pentru comunicații prin poștă, precum și pentru cele electronice. Acesta INCLUDE atât „PostalAddress” (respectiv strada, localitatea, [statul sau provincia], [codul poștal] și codul țării ISO 3166-1 alpha-2) în conformitate cu dispoziția 5.3.5.1, cât și „ElectronicAddress” (respectiv adresa e-mail și/sau URI al site-ului web) în conformitate cu dispoziția 5.3.5.2.

Acest câmp este OBLIGATORIU și specifică denumirea programului. Denumirea CONSTĂ într-o secvență de șiruri de caractere multilingve (în EN ca limbă obligatorie și eventual în una sau mai multe limbi naționale) definite după cum urmează:

Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws.

Denumirea programului trebuie să identifice în mod unic, prin nume, programul la care face referire „Scheme information URI” și să garanteze că, în cazul în care un operator de program gestionează mai multe programe, fiecăruia dintre acestea i se atribuie o denumire diferită.

Statele membre și operatorii de program SE VOR ASIGURA că, în cazul în care un stat membru sau un operator de program gestionează mai multe programe, fiecăruia dintre acestea i se atribuie o denumire diferită.

Acest câmp este OBLIGATORIU și SPECIFICĂ URI (unul sau mai mulți) unde utilizatorii (părțile care se bazează pe certificat) pot obține informații specifice programului (în EN ca limbă obligatorie și eventual în una sau mai multe limbi naționale). Acest câmp CONSTĂ într-o secvență de indicatori multilingvi (în EN ca limbă obligatorie și eventual în una sau mai multe limbi naționale). URI de referință (unul sau mai mulți) TREBUIE să furnizeze o cale către „informațiile corespunzătoare despre program”.

„Informațiile corespunzătoare despre program” INCLUD cel puțin:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable „supervision” system (respectively „voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art. 7.1(a), Art. 8.1, Art. 11).

The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)], including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

The present list is the TSL implementation of [name of the relevant Member State] „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Informațiile suplimentare specifice statului membru cu privire la program POT fi furnizate în mod voluntar. Acestea INCLUD:

Acest câmp este OBLIGATORIU și SPECIFICĂ identificatorul metodei de determinare a statutului. SE FOLOSEȘTE următorul URI specific, înregistrat și descris după cum urmează:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/StatusDetn/appropriate

Descriere : Statutul serviciilor este determinat de operatorului programului sau în numele acestuia în baza unui sistem adecvat pentru un stat membru de referință care permite „supravegherea” (și „acreditarea voluntară”, dacă este cazul) a prestatorilor de servicii de certificare care sunt stabiliți pe teritoriul statului în cauză (sau care sunt stabiliți într-o țară terță în cazul „acreditării voluntare”) și eliberează certificate calificate pentru public în conformitate cu articolul 3 alineatul (3) [respectiv articolul 3 alineatul (2) sau articolul 7 alineatul (1) litera (a)] din Directiva 1999/93/CE și care, dacă este cazul, permite „supravegherea”/„acreditarea voluntară” a prestatorilor de servicii de certificare care nu eliberează certificate calificate, în conformitate cu „un program (mai multe programe) recunoscut (recunoscute)” definit (definite) și stabilit (stabilite), precum și pus (puse) în aplicare la nivel național în vederea supravegherii respectării de către serviciile furnizate de CSP care nu eliberează QC a dispozițiilor din Directiva 1999/93/CE și completate eventual cu dispozițiile naționale referitoare la prestarea acestor servicii de certificare.

Acest câmp este OBLIGATORIU și CONȚINE cel puțin următorii URI înregistrați:

— Un URI comun tuturor listelor sigure ale statelor membre care indică un text descriptiv care SE APLICĂ tuturor TL:

— http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/schemerules/common

— care informează cu privire la participarea programului statului membru [identificat prin „TSL type” (dispoziția 5.3.3) și „Scheme name” (dispoziția 5.3.6)] într-o schemă a tuturor programelor (adică o TSL care indică spre toate statelor membre care publică și mențin o TL sub forma unei TSL);

— unde utilizatorii pot obține politica/regulile CARE SE APLICĂ la evaluarea serviciilor incluse pe listă și prin care se poate determina tipul TSL (a se vedea dispoziția 5.3.3);

— unde utilizatorii pot obține o descriere a modului de utilizare și interpretare a conținutului implementării TSL a listei sigure. Aceste reguli privind utilizarea SUNT comune tuturor listelor sigure ale statelor membre indiferent de tipul serviciului de pe listă și de sistemul (sistemele) de supraveghere/acreditare.

— Textul descriptiv:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)], including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable „supervision” system (respectively „voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art. 7.1(a), Art. 8.1, Art. 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a „voluntary accreditation” system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification” is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/EC are as follows:

A „CA/QC”„Service type identifier” („Sti”) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC” through the use of „Service information extension” („Sie”) additionalServiceInformation extension)

— indicates that from the „Service digital identifier” („Sdi”) identified CA (similarly within the CA hierarchy starting from the „Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie”„Qualification” information is present or if an end-entity certificate that is claimed to be a QC is not „further identified” through a related „Sie” entry, then the „machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF„Sie”„Qualification” information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this „Sie”„Qualification” entry, which is constructed on the principle of a sequence of „filters” further identifying a set of certificates, must be considered according to the associated „qualifiers” providing some additional information regarding „SSCD support” and/or „Legal person as subject” (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific „Key usage” pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of „qualifiers” used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — „QCWithSSCD” qualifier value meaning „QC supported by an SSCD”, or — „QCNoSSCD” qualifier value meaning „QC not supported by an SSCD”, or — „QCSSCDStatusAsInCert” qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the „Sdi”-„Sie” provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — „QCForLegalPerson” qualifier value meaning „Certificate issued to a Legal Person”

The general interpretation rule for any other „Sti” type entry is that the listed service named according to the „Sn” field value and uniquely identified by the „Sdi” field value has a current supervision/accreditation status according to the „Scs” field value as from the date indicated in the „Current status starting date and time”. Specific interpretation rules for any additional information with regard to a listed service (e.g. „Service information extensions” field) may be found, when applicable, in the Member State specific URI as part of the present „Scheme type/community/rules” field.

Please refer to the Technical specifications for a Common Template for the „Trusted List of supervised/accredited Certification Service Providers” in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.