2009D0767 — RO — 01.02.2014 — 003.001

Acest document reprezintă un instrument de documentare, iar instituţiile nu îşi asumă responsabilitatea pentru conţinutul său.

Astfel cum a fost modificat prin:

rectificat prin

▼B

▼C1

DECIZIA COMISIEI

din 16 octombrie 2009

de stabilire a unor măsuri de facilitare a utilizării procedurilor prin mijloace electronice prin intermediul „ghișeelor unice” în temeiul Directivei 2006/123/CE a Parlamentului European și a Consiliului privind serviciile în cadrul pieței interne

[notificată cu numărul C(2009) 7806]

(Text cu relevanță pentru SEE)

(2009/767/CE)

Articolul 1

Utilizarea și acceptarea semnăturilor electronice

(1) Dacă se justifică pe baza unei evaluări adecvate a riscurilor implicate și în conformitate cu articolul 5 alineatele (1) și (3) din Directiva 2006/123/CE, statele membre pot solicita, pentru îndeplinirea anumitor proceduri și formalități prin intermediul ghișeelor unice prevăzute la articolul 8 din Directiva 2006/123/CE, utilizarea de către prestatorul de servicii a unor semnături electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii, în conformitate cu definițiile și dispozițiile Directivei 1999/93/CE.

(2) Statele membre acceptă toate semnăturile electronice avansate bazate pe certificate calificate, cu sau fără un dispozitiv securizat de creare a semnăturii, pentru îndeplinirea procedurilor și formalităților menționate la alineatul (1), fără a aduce atingere posibilității statelor membre de a limita această acceptare la semnăturile electronice avansate bazate pe un certificat calificat și create printr-un dispozitiv securizat de creare a semnăturii, dacă o astfel de măsură este în conformitate cu evaluarea riscurilor menționată la alineatul (1).

(3) Statele membre nu impun pentru acceptarea semnăturilor electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii, condiția respectării unor cerințe care creează obstacole în calea utilizării de către prestatorii de servicii a procedurilor prin mijloace electronice prin intermediul ghișeelor unice.

(4) Dispozițiile de la alineatul (2) nu împiedică statele membre să accepte semnături electronice, altele decât semnăturile electronice avansate bazate pe un certificat calificat, cu sau fără un dispozitiv securizat de creare a semnăturii.

Articolul 2

Crearea, păstrarea și publicarea listelor sigure

▼M3

(1) Fiecare stat membru creează, menține și publică, în conformitate cu specificațiile tehnice prevăzute în anexă, o „listă sigură” care conține un minimum de informații referitoare la prestatorii de servicii de certificare care eliberează certificate calificate publicului, pe care statele membre îi supraveghează/acreditează.

(2) Statele membre creează și publică o versiune care poate fi prelucrată de calculator a listei sigure în conformitate cu specificațiile prevăzute în anexă. În cazul în care un stat membru decide să publice o versiune lizibilă pentru om a listei sale sigure, versiunea respectivă a listei sigure trebuie să fie în conformitate cu specificațiile din anexă.

(2a) Statele membre semnează electronic versiunea care poate fi prelucrată de calculator a listei lor sigure pentru a asigura autenticitatea și integritatea acesteia. În cazul în care un stat membru publică o versiune lizibilă pentru om a listei sigure, acesta trebuie să se asigure că versiunea respectivă a listei sigure conține aceleași date ca și versiunea care poate fi prelucrată de calculator și o semnează electronic cu același certificat utilizat pentru versiunea care poate fi prelucrată de calculator.

▼M3

(2b) Statele membre se asigură că versiunea care poate fi prelucrată de calculator a listei lor sigure este accesibilă la locul de publicare a acesteia în orice moment, fără întrerupere, cu excepția întreruperilor în scopuri de întreținere.

▼M3

(3) Statele membre transmit Comisiei următoarele informații:

▼M3

(3a) În cazul în care un stat membru publică o versiune lizibilă pentru om a listei sigure, informațiile menționate la alineatul (3) se comunică, de asemenea, în ceea ce privește versiunea lizibilă pentru om.

▼M1

(4) Comisia pune la dispoziția statelor membre, printr-un canal securizat către un server web autentificat, informațiile menționate la alineatul (3), astfel cum sunt notificate de statele membre, atât în formă lizibilă pentru om, cât și într-o formă semnată, care poate fi procesată de calculator.

▼C1

Articolul 3

Aplicare

Prezenta decizie se aplică de la 28 decembrie 2009.

Articolul 4

Destinatari

Prezenta decizie se adresează statelor membre.

▼M3

ANEXĂ

SPECIFICAȚII TEHNICE PENTRU UN MODEL COMUN AL „LISTEI SIGURE A PRESTATORILOR DE SERVICII DE CERTIFICARE SUPRAVEGHEAȚI/ACREDITAȚI”

CERINȚE GENERALE

1. Introducere

Scopul modelului comun al „Listei sigure a prestatorilor de servicii de certificare supravegheați/acreditați” întocmită de statele membre este de a institui o modalitate comună prin care fiecare stat membru oferă informații despre statutul supravegherii/acreditării serviciilor de certificare furnizate de prestatorii de servicii de certificare ( 3 ) (CSP) care sunt supravegheați/acreditați de către statele membre în vederea conformității cu dispozițiile relevante ale Directivei 1999/93/CE. Aceasta include furnizarea de informații istorice cu privire la statutul supravegherii/acreditării serviciilor de certificare supravegheate/acreditate.

Astfel de informații au ca scop principal susținerea validării semnăturilor electronice calificate (QES) și a semnăturilor electronice avansate (AdES) ( 4 ) bazate pe un certificat calificat ( 5 ) ( 6 ).

Informațiile obligatorii din lista sigură (TL) trebuie să cuprindă, cel puțin, informații privind CSP supravegheați/acreditați care eliberează certificate calificate (QC) ( 7 ) în conformitate cu dispozițiile Directivei 1999/93/CE [articolul 3 alineatele (2) și (3) și articolul 7 alineatul (1) litera (a)], inclusiv, în cazul în care acestea nu fac parte din QC, informații despre QC care stau la baza unei semnături electronice și despre eventuala utilizare a unui dispozitiv securizat de creare a semnăturii (SSCD) pentru crearea semnăturii electronice ( 8 ).

Informații suplimentare privind alți CSP care nu eliberează QC, dar prestează servicii legate de semnăturile electronice (de exemplu, CSP care furnizează servicii de marcare temporală și eliberează jetoane de marcare temporală, CSP care eliberează certificate necalificate etc.) pot fi incluse în lista sigură la nivel național în mod voluntar, cu condiția ca aceștia să fie acreditați/supravegheați într-un mod similar cu CSP care eliberează QC sau să fie aprobați în cadrul unui sistem diferit de omologare la nivel național. În unele state membre, sistemele naționale de omologare pot diferi de sistemele de supraveghere sau de acreditare voluntară aplicabile pentru CSP care eliberează QC în ceea ce privește cerințele aplicabile și/sau organizația responsabilă. Termenii „acreditat” și/sau „supravegheat” din prezentele specificații acoperă, de asemenea, sistemele naționale de omologare, iar statele membre vor furniza informații suplimentare cu privire la natura oricăror sisteme naționale în lista lor sigură, inclusiv clarificări cu privire la posibilele diferențe față de sistemele de acreditare/supraveghere aplicate la CSP care eliberează QC.

Modelul comun se bazează pe ETSI TS 119 612 v1.1.1 ( 9 ) (denumit în continuare ETSI TS 119 612), care se referă la crearea, publicarea, localizarea, accesul, autentificarea și integritatea unor astfel de liste.

2. Structura modelului comun pentru lista sigură

Modelul comun pentru lista sigură a unui stat membru este structurat conform ETSI TS 119 612 în următoarele categorii de informații:

În contextul unui CSP care eliberează QC, structura listei sigure, în special, componenta de informații privind serviciul (în conformitate cu punctul 4 de mai sus), permite prezentarea de informații complementare în extensii de informații privind serviciul pentru a compensa situațiile în care în certificatul calificat nu sunt disponibile suficiente informații (care pot fi prelucrate de calculator) cu privire la statutul său „calificat”, eventualul suport din partea unui SSCD și mai ales pentru a aborda faptul suplimentar că majoritatea CSP-urilor (din domeniul comercial) apelează la o singură autoritate de certificare (CA) emitentă pentru a emite diferite tipuri de certificate, atât calificate, cât și necalificate, pentru entitățile finale.

În contextul serviciilor de generare de certificate (CA), numărul de intrări de servicii în lista pentru un CSP poate fi redus în cazul în care în infrastructura cu cheie publică (Public Key Infrastructure – PKI) a CSP există unul sau mai multe servicii CA superioare (de exemplu, în contextul unei ierarhii de CA-uri dintr-o autoritate de certificare de bază (Root CA) în sens descendent până la mai multe CA emitente) prin includerea în listă a unor astfel de servicii CA superioare și nu a serviciilor CA care eliberează certificate pentru entitățile finale (de exemplu, menționând în listă doar Root CA a CSP). Cu toate acestea, în astfel de cazuri, informațiile despre statut se aplică întregii ierarhii de servicii CA de sub serviciul inclus în listă, fiind necesar să se mențină și să se asigure respectarea principiului de garantare a unei legături neechivoce între un serviciu de certificare al unui CSPQC și setul de certificate care urmează să fie identificate ca QC.

2.1. Descrierea informațiilor din fiecare categorie

1. Eticheta listei sigure

2. Informații privind lista sigură și sistemul de publicare a acesteia

Această categorie va cuprinde, printre altele, următoarele informații:

3. Informații de identificare neechivoce cu privire la fiecare CSP supravegheat/acreditat în cadrul programului

Acest set va cuprinde cel puțin următoarele informații:

4. Pentru fiecare CSP inclus pe listă, o secvență de câmpuri cuprinzând informații neechivoce de identificare privind un serviciu de certificare furnizat de CSP și supravegheat/acreditat în cadrul Directivei 1999/93/CE

Acest set de informații include pentru fiecare serviciu de certificare furnizat de un CSP de pe listă cel puțin următoarele detalii:

5. Pentru fiecare serviciu de certificare inclus în listă, informațiile istorice cu privire la statutul acestuia

6. O semnătură computerizată pentru autentificare pe toate câmpurile aferente TL, cu excepția valorii semnăturii

3. Orientări privind editarea intrărilor în Lista sigură

3.1. Informații privind statutul serviciilor de certificare supravegheate/acreditate și furnizorii acestora, într-o listă unică

Lista sigură a unui stat membru este definită drept „Lista privind statutul supravegherii/acreditării serviciilor de certificare furnizate de prestatorii de servicii de certificare care sunt supravegheați/acreditați de către statul membru în cauză în vederea conformității cu dispozițiile relevante ale Directivei 1999/93/CE”.

O astfel de listă sigură este instrumentul unic care trebuie să fie utilizat de către statul membru în cauză pentru a furniza informații cu privire la statutul de supraveghere/acreditare a serviciilor de certificare și la furnizorii acestora:

În ceea ce privește definițiile și dispozițiile prevăzute în Directiva 1999/93/CE, în special cele referitoare la CSP relevanți și la sistemele lor de supraveghere/acreditare voluntară, se pot distinge două categorii de CSP, și anume CSP care eliberează QC pentru public (CSPQC) și CSP care nu eliberează QC pentru public, însă prestează „alte servicii (auxiliare) referitoare la semnăturile electronice”:

În fiecare stat membru trebuie creată și menținută o singură listă sigură pentru a indica statutul supravegherii și/sau acreditării serviciilor de certificare furnizate de CSP certificați/acreditați de către statul membru. Lista sigură trebuie să includă cel puțin CSP care eliberează QC. Lista sigură poate indica, de asemenea, statutul altor servicii de certificare supravegheate sau acreditate în cadrul unui program de aprobare definit la nivel național.

3.2. Un set unic de valori pentru statutul supravegherii/acreditării

În lista sigură, faptul că un serviciu este la un moment „supravegheat” sau „acreditat” este dat de valoarea statutului său actual. În plus, statutul de supraveghere sau de acreditare poate fi pozitiv („sub supraveghere”, „acreditat”, „supraveghere în curs de suspendare”), suspendat („supraveghere suspendată”, „acreditare suspendată”), sau chiar revocat („supraveghere revocată”, „acreditare revocată”) și poate fi stabilit la valoarea corespunzătoare. Pe parcursul existenței sale, același serviciu de certificare poate trece de la statutul de supraveghere la cel de acreditare și invers ( 10 ).

Figura 1 de mai jos descrie fluxul preconizat, pentru un singur serviciu de certificare, între posibile statute de supraveghere/acreditare:

Figura 1

Flux prevăzut al statutului de supraveghere/acreditare al unui serviciu furnizat de CSP

Atunci când este stabilit într-un stat membru, un serviciu de certificare care eliberează QC trebuie supravegheat (de către statul membru în care este stabilit) și poate fi acreditat voluntar. Valoarea statutului unui astfel de serviciu atunci când figurează pe o listă sigură trebuie să fie una dintre valorile statutului descrise mai sus ca „valoare a statutului curent”, în conformitate cu statutul său curent și trebuie să se schimbe, atunci când este cazul, în funcție de fluxul statutului descris mai sus. Cu toate acestea, atât „acreditarea suspendată”, cât și „acreditarea revocată” trebuie să fie valori de „statute de tranzit” atunci când serviciul CSPQC corespunzător este inclus pe lista sigură a statului membru în care este stabilit, întrucât un astfel de serviciu trebuie să fie supravegheat în mod implicit (inclusiv atunci când nu este sau nu mai este acreditat); în cazul în care serviciul respectiv este inclus pe listă (acreditat) într-un alt stat membru decât cel în care este stabilit, valorile respective pot fi valori finale.

Statele membre care instituie sau au instituit „un program (programe) recunoscut(e) de aprobare” definit(e) și pus(e) în aplicare la nivel național în vederea supravegherii conformității serviciilor furnizate de CSP care nu eliberează QC cu dispozițiile Directivei 1999/93/CE și cu eventualele dispoziții naționale privind prestarea de servicii de certificare [în sensul articolului 2 alineatul (11) din Directiva 1999/93/CE] trebuie să clasifice programul (programele) de aprobare în următoarele două categorii:

În consecință, un serviciu de certificare care nu eliberează QC poate fi supravegheat sau acreditat voluntar. Atunci când este introdus pe o listă sigură, valoarea statutului unui astfel de serviciu trebuie să fie una dintre valorile statutului descrise mai sus ca „valoare a statutului curent” (a se vedea figura 1), în conformitate cu statutul curent al acestuia și trebuie să evolueze, atunci când este cazul, în conformitate cu fluxul statutului descris mai sus.

Lista sigură trebuie să conțină informații cu privire la programul (programele) de bază de supraveghere/acreditare, în special:

Ultimele două seturi de informații au o importanță esențială pentru ca părțile care se bazează pe certificat să poată evalua nivelul de calitate și siguranță al sistemelor de supraveghere/acreditare aplicate la nivel național pentru CSP care nu eliberează QC. Atunci când în lista sigură sunt furnizate informații privind statutul supravegherii/acreditării serviciilor furnizate de CSP care nu eliberează QC, seturile de informații menționate anterior vor fi furnizate în lista sigură utilizând „Scheme information URI” (dispoziția 5.3.7 – informații furnizate de statele membre), „Scheme type/community/rules” (dispoziția 5.3.9 – prin utilizarea unui text comun pentru toate statele membre și informații specifice opționale furnizate de un stat membru) și „TSL policy/legal notice” (dispoziția 5.3.11 – un text comun pentru toate statele membre care face trimitere la Directiva 1999/93/CE, fiecare stat membru având posibilitatea de a adăuga texte/referințe care îi sunt specifice).

Informațiile suplimentare privind „calificarea” definite la nivelul sistemelor naționale de supraveghere/acreditare pentru CSP care nu eliberează QC pot fi furnizate la nivelul fiecărui serviciu dacă este cazul și dacă este necesar (de exemplu, pentru a distinge între mai multe niveluri de calitate/siguranță) prin utilizarea extensiei „additionalServiceInformation” (dispoziția 5.5.9.4) ca parte din extensia „Service information” (dispoziția 5.5.9). Informațiile suplimentare privind specificațiile tehnice corespunzătoare sunt cuprinse în specificațiile detaliate din capitolul I.

Cu toate că responsabilitatea pentru supravegherea și acreditarea serviciilor de certificare dintr-un stat membru poate fi deținută de organisme separate ale statului membru în cauză, se preconizează că o singură intrare va fi utilizată pentru un serviciu de certificare unic și că statutul de supraveghere/acreditare aferent acestuia va fi actualizat în mod corespunzător.

3.3. Intrări în lista sigură pentru facilitarea validării QES și AdESQC

Cel mai critic aspect în crearea unei liste sigure este stabilirea părții obligatorii a acesteia, și anume „Lista de servicii” pentru fiecare CSP care eliberează QC, cu scopul de a reflecta corect situația exactă a fiecărui serviciu de eliberare a QC și pentru a garanta că informațiile furnizate la fiecare intrare sunt suficiente pentru a facilita validarea QES și a AdESQC (atunci când sunt combinate cu conținutul QC pentru o entitate finală furnizat de CSP în baza serviciului de certificare introdus pe listă la această intrare).

Informațiile necesare pot include alte informații în afară de identitatea digitală a serviciului („Service digital identity”) a unei autorități de certificare de bază [(Root) CA] unice, în special informații care permit identificarea statutului QC al certificatelor emise de un astfel de serviciu CA și informații privind utilizarea eventuală a unui SSCD pentru crearea semnăturilor atestate. Organismul dintr-un stat membru desemnat să creeze, să editeze și să mențină lista sigură trebuie, prin urmare, să ia în considerare profilul curent și conținutul certificatului în cazul fiecărui QC eliberat, pentru fiecare serviciu CSPQC inclus în lista sigură.

În mod ideal, fiecare QC eliberat ar trebui să cuprindă declarația de QcCompliance ( 11 ) definită de ETSI dacă se afirmă că este un QC și declarația QcSSCD definită de ETSI dacă se afirmă că acesta se bazează pe un SSCD pentru a crea semnături electronice și/sau că fiecare QC eliberat include unul dintre identificatorii de obiecte (OID) ai politicii de certificare QCP/QCP + definiți în ETSI EN 319 411-2 ( 12 ). Utilizarea de către CSP care eliberează QC a unor standarde diferite drept referință, diferențele de interpretare a standardelor respective, precum și lipsa cunoștințelor legate de existența și prioritatea anumitor specificații tehnice sau standarde normative au avut drept rezultat diferențe apărute în conținutul real al QC eliberate în prezent (de exemplu, utilizarea sau nu a QcStatements definite de ETSI), ceea ce împiedică destinatarii să se bazeze pur și simplu pe certificatul semnatarului (și pe lanțul/traseul asociat) atunci când trebuie să evalueze, cel puțin într-o formă care poate fi citită de calculator, dacă se afirmă sau nu că certificatul care atestă o semnătură electronică este un QC și dacă acesta este sau nu asociat cu un SSCD prin care a fost creată semnătura electronică.

Completarea câmpurilor privind serviciul „Service type identifier” („Sti”), „Service name” („Sn”) și „Service digital identity” („Sdi”) din lista sigură cu informațiile furnizate în câmpul „Service information extensions” („Sie”) permite determinarea în mod integral a unui anumit tip de certificat calificat eliberat de un serviciu de certificare al unui CSP introdus pe listă care eliberează QC și furnizează informații privind eventualitate ca acesta să se bazeze pe un SSCD (dacă informațiile nu sunt incluse în QC eliberat). O informație specifică despre un „Service current status” („Scs”) este asociată acestei intrări. Figura 2 de mai jos ilustrează acest aspect.

Introducerea pe listă a unui serviciu doar prin furnizarea „Sdi” a unei (Root) CA ar presupune că se garantează (de către CSP care eliberează QC, dar și de către organismul de supraveghere/acreditare responsabil pentru supravegherea/acreditarea respectivului CSP) că oricare certificat pentru o entitate finală eliberat în cadrul respectivei (ierarhii) (Root) CA conține suficiente informații definite de ETSI care pot fi prelucrate de calculator pentru a evalua dacă certificatul este sau nu un QC și dacă se bazează sau nu pe un SSCD. În cazul în care, de exemplu, ultima afirmație nu este adevărată (de exemplu, în QC nu există indicații standardizate conform ETSI având o formă care poate fi prelucrată de calculator pentru a determina dacă certificatul se bazează sau nu pe un SSCD), prin introducerea pe listă doar a „Sdi” a (Root) CA se poate presupune doar că QC eliberate în cadrul respectivei ierarhii a (Root) CA nu se bazează pe niciun SSCD. Pentru a indica că acele QC trebuie să fie considerate ca bazându-se pe un SSCD, ar trebui să se utilizeze câmpul „Sie” (ceea ce indică, de asemenea, că informațiile sunt garantate de CSP care eliberează QC și supravegheate/acreditate de organismul de supraveghere sau de acreditare).

Figura 2

Intrare în lista sigură privind un serviciu de pe listă al unui CSP care eliberează QC

Principii generale – Reguli de editare – intrări CSPQC (servicii de pe listă)

Specificațiile tehnice actuale pentru prezentul modelul comun de listă sigură permit utilizarea unei combinații de cinci categorii principale de informații în intrarea privind un serviciu:

3.4. Orientări referitoare la editarea și utilizarea intrărilor privind serviciile CSPQC

Orientări generale privind editarea

Ca un principiu general implicit, pentru un CSP inclus pe lista sigură trebuie să existe o singură intrare privind serviciul pentru fiecare cheie publică pentru un serviciu de certificare de tip CA/QC, și anume pentru o autoritate de certificare care eliberează (direct) QC. În anumite circumstanțe excepționale și în anumite condiții atent coordonate, organismul de supraveghere sau de acreditare al statului membru poate decide să utilizeze ca „Sdi” a unei singure intrări din lista de servicii din CSP inclus pe listă, cheia publică a unei Root CA (autoritate de certificare de bază) sau Upper level CA (autoritate de certificare superioară) în cadrul PKI CSP (de exemplu, în contextul unei ierarhii a CSP de AC de la oRoot CA în sens descendent până la mai multe CA emitente) în loc să includă pe listă toate serviciile CA subordonate emitente (și anume, o autoritate de certificare care nu eliberează direct QC pentru entitățile finale, dar certifică o ierarhie de autorități de certificare în sens descendent până la autoritățile de certificare ce eliberează QC către entitățile finale). Consecințele (avantajele și dezavantajele) utilizării unei astfel de chei publice Root CA sau Upper CA ca valoare „Sdi” într-o intrare de serviciu din lista sigură trebuie să fie analizate cu atenție atunci când este pusă în aplicare de către statele membre. În plus, dacă utilizează această excepție autorizată de la principiul implicit, statul membru trebuie să prezinte documentația necesară pentru a facilita crearea și verificarea căii de certificare. De exemplu, în cazul unui CSPQC care folosește o Root CA în cadrul căreia mai multe CA eliberează certificate calificate și certificate necalificate, însă pentru care QC conțin doar declarația de QcCompliance fără a indica dacă se bazează sau nu pe un SSCD, introducerea pe listă a „Sdi” pentru Root CA ar presupune doar că, în temeiul regulilor explicate anterior, niciun QC eliberat în cadrul respectivei ierarhii Root CA nu se bazează pe un SSCD. Dacă există QC care se bazează de fapt pe un SSCD, dar în certificate nu este inclusă nicio declarație care poate fi prelucrată de calculator care să indice un astfel de suport, ar fi recomandat să se facă uz pe viitor de declarația QcSSCD în QC eliberate. Între timp (până la expirarea ultimului QC care nu conține această informație), lista sigură trebuie să utilizeze câmpul „Sie” și extensia asociată „Qualifications Extension”, de exemplu furnizând informații pentru filtrare pentru a identifica set(uri) de certificate prin utilizarea unui/unor OID specific(e) definit(e) de CSPQC utilizate eventual de CSPQC pentru a distinge între diferite tipuri de QC (unele pe bază de SSCD, altele nu) care asociază „SSCD support information” explicite cu privire la setul(urile) de certificate filtrate identificate prin intermediul „calificativelor (Qualifiers)”.

Orientările generale privind utilizarea aplicațiilor, a serviciilor sau a produselor legate de semnături electronice bazate pe o listă sigură în conformitate cu prezentele specificații tehnice sunt următoarele:

O intrare „Sti”„CA/QC” (în mod similar o intrare a CA/QC calificată ulterior ca fiind o „RootCA/QC” prin utilizarea extensiei additionalServiceInformation„Sie”):

3.5. Servicii pe care se bazează serviciile „CA/QC”, dar care nu sunt incluse în „Sdi” al „CA/QC”

Serviciile privind statutul de valabilitate a certificatului legate de QC și pentru care informațiile privind statutul de valabilitate a certificatului (de exemplu, CRL-uri și răspunsurile OCSP) sunt semnate de către o entitate a cărei cheie privată nu este autorizată în cadrul unei căi de certificare ce duce la o CA inclusă pe listă care eliberează QC („CA/QC”) vor fi incluse în lista sigură prin enumerarea serviciilor privind statutul de valabilitate a certificatului ca atare în TL (și anume, cu un tip de serviciu „OCSP/QC” sau „CRL/QC”) deoarece astfel de servicii pot fi considerate ca făcând parte din serviciile supravegheate/acreditate „calificate” legate de furnizarea de servicii de certificare QC. În mod evident, respondenții OCSP sau emitenții CRL ale căror certificate sunt semnate de autorități de certificare în cadrul ierarhiei unui serviciu CA/QC introdus pe listă vor fi considerați drept „valabili” și în conformitate cu valoarea statutului serviciului CA/QC de pe listă.

O dispoziție asemănătoare se poate aplica serviciilor de certificare ce eliberează certificate necalificate (de tip serviciu „CA/PKC”).

Lista sigură trebuie să includă serviciile privind starea de valabilitate a certificatului în cazul în care certificatele pentru entități finale cărora li se aplică serviciile privind starea de valabilitate a certificatului nu conțin informații legate de locație pentru astfel de servicii.

4. Definiții și abrevieri

În sensul prezentului document, se utilizează următoarele definiții și abrevieri:

În următoarele capitole, cuvintele cheie „TREBUIE” (din engleză MUST), „NU TREBUIE” (din engleză MUST NOT), „OBLIGATORIU” (din engleză REQUIRED), „TREBUIE/NU TREBUIE” (din engleză SHALL/SHALL NOT), „AR TREBUI” (din engleză SHOULD), „NU AR TREBUI” (din engleză SHOULD NOT), „SE RECOMANDĂ” (din engleză RECOMMENDED), „ESTE POSIBIL” sau „POATE” (din engleză (MAY) și „OPȚIONAL” (din engleză OPTIONAL) și variantele lor gramaticale trebuie interpretate în sensul echivalentelor lor din limba engleză, în conformitate cu RFC 2119 ( 13 ).

CAPITOLUL I

SPECIFICAȚII DETALIATE PRIVIND MODELUL COMUN PENTRU „LISTA SIGURĂ A PRESTATORILOR DE SERVICII DE CERTIFICARE SUPRAVEGHEAȚI/ACREDITAȚI”

Prezentele specificații se bazează pe specificațiile și cerințele prevăzute în ETSI TS 119 612 v1.1.1 (denumite în continuare ETSI TS 119 612).

Atunci când în prezentele specificații nu există cerințe specifice, TREBUIE SĂ SE APLICE în întregime cerințele din ETSI TS 119 612 dispozițiile 5 și 6. Dacă în cuprinsul prezentelor specificații se menționează cerințe specifice, acestea TREBUIE SĂ PREVALEZE asupra cerințelor corespunzătoare din ETSI TS 119 612. În cazul în care apar discrepanțe între prezentele specificații și specificațiile cuprinse în ETSI TS 119 612, prezentele specificații TREBUIE SĂ FIE specificațiile cu caracter normativ.

Scheme operator name (dispoziția 5.3.4)

Acest câmp TREBUIE SĂ FIE PREZENT și SĂ RESPECTE specificațiile din TS 119 612 dispoziția 5.3.4.

O țară POATE avea organisme de supraveghere și acreditare separate și chiar organisme suplimentare pentru diferite activități operaționale aferente. Fiecare stat membru este responsabil cu desemnarea operatorului programului listei sigure a statului membru. Se preconizează că organismul de supraveghere, organismul de acreditare și operatorul programului (atunci când este vorba despre organisme separate) vor avea responsabilități și obligații proprii.

Orice situație în care mai multe organisme poartă răspunderea pentru supraveghere, acreditare sau alte aspecte operaționale TREBUIE SĂ FIE reflectată cu exactitate și identificată ca atare în informațiile privind programul care fac parte din lista sigură, inclusiv în informațiile specifice de program indicate de „Scheme information URI” (dispoziția 5.3.7).

Scheme name (dispoziția 5.3.6)

Acest câmp TREBUIE să fie prezent și să respecte specificațiile din TS 119 612 dispoziția 5.3.6, unde pentru program TREBUIE să se folosească următorul nume:

„EN_name_value” = „Lista statutului privind supravegherea/acreditarea serviciilor de certificare oferite de furnizori de servicii de certificare, care sunt supravegheați/acreditați de statul membru de referință operator al programului în vederea respectării dispozițiilor relevante prevăzute în Directiva 1999/93/CE a Parlamentului European și a Consiliului din 13 decembrie 1999 privind un cadru comunitar pentru semnăturile electronice”.

Scheme information URI (dispoziția 5.3.7)

Acest câmp TREBUIE SĂ FIE prezent și să respecte specificațiile din TS 119 612 dispoziția 5.3.7, unde „informațiile corespunzătoare despre program” TREBUIE să includă cel puțin:

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.”;

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8.(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)], including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

„The present list is the „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

Informații suplimentare specifice statului membru cu privire la program POT fi furnizate în mod voluntar, de exemplu:

Scheme type/community/rules (dispoziția 5.3.9)

Acest câmp TREBUIE să fie prezent și să respecte specificațiile din TS 119 612 dispoziția 5.3.9 și TREBUIE să includă cel puțin doi URI:

— un URI comun tuturor listelor sigure ale statelor membre care indică un text descriptiv care TREBUIE să se aplice tuturor listelor sigure, după cum urmează:

— URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

— Text descriptiv:

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)], including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a ‘voluntary accreditation’ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/EC). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification” is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A „CA/QC”„Service type identifier” („Sti”) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC” through the use of „Service information extension” („Sie”) additionalServiceInformation Extension):

— indicates that from the „Service digital identifier” („Sdi”) identified CA (similarly within the CA hierarchy starting from the „Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412-5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411-2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no „Sie”„Qualifications Extension” information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related „Sie”„Qualifications Extension” information, then the „machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs;