2009D0767 — SK — 01.02.2014 — 003.001

Tento dokument slúži čisto na potrebu dokumentácie a inštitúcie nenesú nijakú zodpovednosť za jeho obsah

Zmenené a doplnené:

Opravené a doplnené:

▼B

▼C1

ROZHODNUTIE KOMISIE

zo 16. októbra 2009,

ktorým sa ustanovujú opatrenia na uľahčenie postupov elektronickými spôsobmi prostredníctvom „miest jednotného kontaktu“ podľa smernice Európskeho parlamentu a Rady 2006/123/ES o službách na vnútornom trhu

[oznámené pod číslom K(2009) 7806]

(Text s významom pre EHP)

(2009/767/ES)

Článok 1

Využívanie a akceptovanie elektronických podpisov

1. Členské štáty môžu od poskytovateľa služieb pri spĺňaní určitých postupov a formálnych náležitostí prostredníctvom „miest jednotného kontaktu“ podľa článku 8 smernice 2006/123/ES vyžadovať používanie zdokonaleného elektronického podpisu založeného na kvalifikovanom certifikáte, s bezpečným zariadením na vytvorenie podpisu alebo bez neho, vymedzeného v smernici 1999/93/ES, ak sa jeho využívanie na základe primeraného posúdenia obsiahnutých rizík preukáže ako opodstatnené a v súlade s článkom 5 ods. 1 a ods. 3 smernice 2006/123/ES.

2. Členské štáty na účely splnenia postupov a formálnych náležitostí uvedených v odseku 1 akceptujú všetky zdokonalené elektronické podpisy založené na kvalifikovanom certifikáte, s bezpečným zariadením na vytvorenie podpisu alebo bez neho, pričom nie je dotknutá ich možnosť obmedziť toto akceptovanie na zdokonalené elektronické podpisy založené na kvalifikovanom certifikáte vytvorené bezpečným zariadením na vytvorenie podpisu, ak to je v súlade s posúdením rizík uvedeným v odseku 1.

3. Členské štáty nepodmieňujú akceptovanie zdokonalených elektronických podpisov založených na kvalifikovanom certifikáte, s bezpečným zariadením na vytvorenie podpisu alebo bez neho, požiadavkami, ktoré by bránili poskytovateľom služieb využívať postupy pomocou elektronických prostriedkov prostredníctvom „miest jednotného kontaktu“.

4. Odsek 2 nepredstavuje pre členské štáty prekážku akceptovať aj elektronické podpisy iné ako zdokonalené elektronické podpisy založené na kvalifikovanom certifikáte, s bezpečným zariadením na vytvorenie podpisu alebo bez neho.

Článok 2

Zostavenie, vedenie a uverejňovanie zoznamov dôveryhodných informácií

▼M3

1. Každý členský štát v súlade s technickými špecifikáciami uvedenými v prílohe zostaví, vedie a uverejňuje „zoznam dôveryhodných informácií“ obsahujúci minimálne informácie o poskytovateľoch certifikačných služieb, ktorí vydávajú kvalifikované certifikáty verejnosti a ktorí sú pod dohľadom určitého členského štátu alebo sú v ňom akreditovaní.

2. Členské štáty v súlade so špecifikáciami uvedenými v prílohe zostavia a uverejnia zoznam dôveryhodných informácií v strojovo spracovateľnej podobe. Ak sa členský štát rozhodne uverejniť zoznam dôveryhodných informácií v podobe čitateľnej ľudským okom, táto podoba musí byť v súlade so špecifikáciami stanovenými v prílohe.

2a. Členské štáty elektronicky podpíšu strojovo spracovateľnú podobu svojho zoznamu dôveryhodných informácií, aby sa zaistila jeho autentickosť a celistvosť. Ak členský štát uverejní zoznam dôveryhodných informácií v podobe čitateľnej ľudským okom, zaistí, aby táto forma zoznamu dôveryhodných informácií obsahovala rovnaké údaje ako strojovo spracovateľná podoba a elektronicky ju podpíše s rovnakým certifikátom, aký sa použil na strojovo spracovateľnú podobu.

▼M3

2b. Členské štáty zaistia, aby strojovo spracovateľná podoba zoznamu dôveryhodných informácií bola prístupná v lokalite, kde bola uverejnená, a to vždy a bez prerušenia s výnimkou prípadov údržby.

▼M3

3. Členské štáty oznamujú Komisii tieto informácie:

▼M3

3a. Ak členský štát uverejní zoznam dôveryhodných informácií v podobe čitateľnej ľudským okom, informácie uvedené v odseku 3 sa oznámia aj v prípade podoby čitateľnej ľudským okom.

▼M1

4. Komisia sprístupní všetkým členským štátom informácie uvedené v odseku 3, ktoré oznámili členské štáty, prostredníctvom bezpečného kanála na overenom webovom serveri v podobe čitateľnej ľudským okom, ako aj v podpísanej strojovo spracovateľnej podobe.

▼C1

Článok 3

Uplatňovanie

Toto rozhodnutie sa uplatňuje od 28. decembra 2009.

Článok 4

Adresáti

Toto rozhodnutie je určené členským štátom.

▼M3

PRÍLOHA

TECHNICKÉ ŠPECIFIKÁCIE SPOLOČNÉHO VZORU „ZOZNAMU DÔVERYHODNÝCH INFORMÁCIÍ O POSKYTOVATEĽOCH CERTIFIKAČNÝCH SLUŽIEB, KTORÍ PODLIEHAJÚ DOHĽADU/SÚ AKREDITOVANÍ“

VŠEOBECNÉ POŽIADAVKY

1. Úvod

Účelom spoločného vzoru „Zoznamu dôveryhodných informácií o poskytovateľoch certifikačných služieb, ktorí podliehajú dohľadu/sú akreditovaní“ pre členské štáty je určiť spoločný spôsob, akým každý členský štát podáva informácie o štatúte dohľadu nad certifikačnými službami/akreditácie certifikačných služieb poskytovaných poskytovateľmi certifikačných služieb ( 3 ) (Certification Service Providers, ďalej len „CSP“), ktorí podliehajú ich dohľadu/sú nimi akreditovaní, pokiaľ ide o súlad s príslušnými ustanoveniami smernice 1999/93/ES. Súčasťou postupovaných informácií sú aj historické informácie o štatúte dohľadu nad certifikačnými službami/štatúte akreditácie certifikačných služieb.

Účelom poskytnutia týchto informácií je v prvom rade podpora overenia kvalifikovaných elektronických podpisov (Qualified Electronic Signatures, ďalej len „QES“) a zdokonalených elektronických podpisov (Advanced Electronic Signatures, ďalej len „AdES“) ( 4 ) podporovaných kvalifikovaným certifikátom ( 5 ) ( 6 ).

Povinné informácie v zozname dôveryhodných informácií o poskytovateľoch musia zahŕňať minimálne informácie o CSP, ktorí podliehajú dohľadu/sú akreditovaní a ktorí vydávajú kvalifikované certifikáty (Qualified Certificates, ďalej len „QC“) ( 7 ) v súlade s ustanoveniami smernice 1999/93/ES [článok 3 ods. 2 a 3 a článok 7 ods. 1 písm. a)], ak to nie je súčasťou QC vrátane informácií o QC, ktoré podporujú elektronický podpis, a o tom, či je podpis vytvorený bezpečným zariadením na vytvorenie podpisu SSCD (Secure Signature Creation Device, ďalej len „SSCD“) ( 8 ).

Dodatočné informácie o iných CSP, ktorí však nevydávajú QC, ale poskytujú služby súvisiace s elektronickým podpisom (napríklad CSP, ktorí poskytujú služby časových pečiatok a vydávajú tokeny časových pečiatok, CSP vydávajúci nekvalifikované certifikáty atď.) sa môžu dobrovoľne zahrnúť do zoznamu dôveryhodných informácií o poskytovateľoch na vnútroštátnej úrovni za predpokladu, že sú akreditovaní/podliehajú dohľadu podobným spôsobom, ako CSP, ktorí vydávajú QC, alebo sa môžu schváliť na základe odlišnej vnútroštátnej schémy schvaľovania. Vnútroštátna schéma schvaľovania sa môže v niektorých štátoch odlišovať od dohľadu alebo dobrovoľných akreditačných schém uplatniteľných na CSP, ktoré vydávajú QC vzhľadom na uplatniteľné požiadavky a/alebo zodpovednú organizáciu. Pojmy „akreditovaní“ a/alebo „podliehajúci dohľadu“ v súčasných špecifikáciách takisto zahŕňajú vnútroštátne schémy schvaľovania, ale dodatočné informácie o povahe akýchkoľvek vnútroštátnych schém poskytnú členské štáty vo svojom zozname dôveryhodných informácií o poskytovateľoch vrátane objasnenia možných rozdielov oproti schémam akreditácie/dohľadu uplatňovaným na CSP, ktorí vydávajú QC.

Spoločný vzor vychádza z normy ETSI TS 119 612 v1.1.1 ( 9 ) (ďalej sa uvádza ako „ETSI TS 119 612“), v ktorej sa stanovuje vytvorenie, uverejnenie, lokalita, prístup, autentickosť a celistvosť takýchto zoznamov.

2. Štruktúra spoločného vzoru zoznamu dôveryhodných informácií o poskytovateľoch

Spoločný vzor zoznamu dôveryhodných informácií o poskytovateľoch členských štátov sa podľa ETSI TS 119 612 skladá z týchto kategórií informácií:

V súvislosti s CSP vydávajúcimi QC štruktúra zoznamu dôveryhodných informácií o poskytovateľoch, a najmä zložka služobných informácií (podľa bodu 4) umožňuje kompenzáciu doplňujúcich informácií v rozšíreniach služobných informácií v tých situáciách, keď v kvalifikovanom certifikáte nie sú dostatočné informácie o jeho „kvalifikovanom“ štatúte, jeho možnej podpore zo strany SSCD a predovšetkým informácie na riešenie dodatočnej skutočnosti, že väčšina (komerčných) CSP používa jedinú vydávajúcu certifikačnú autoritu (Certification Authority, ďalej len „CA“) na vydávanie viacerých typov certifikátov konečného subjektu, a to tak kvalifikovaných, ako aj nekvalifikovaných.

V kontexte služieb vydávania certifikátov (CA) sa počet údajov o službách v zozname CSP môže znížiť, ak jedna alebo niekoľko služieb CA vyššej úrovne existuje v rámci PKI CSP (napríklad v rámci hierarchie CA od koreňovej CA smerom dolu k niekoľkým vydávajúcim CA) uvedením takýchto služieb CA vyššej úrovne, a nie služieb CA vydávajúcich certifikáty konečného subjektu (napríklad uvedením iba koreňovej CA CSP). V týchto prípadoch sa však informácia o stave uplatňuje na celú hierarchiu služieb CA v rámci služby na zozname a musí sa dodržiavať a zabezpečovať zásada zabezpečenia jednoznačného prepojenia medzi certifikačnou službou CSPQC a súborom certifikátov, ktoré sa majú identifikovať ako QC.

2.1. Opis informácií v každej kategórii

1. Tag zoznamu dôveryhodných informácií o poskytovateľoch

2. Informácie o zozname dôveryhodných informácií o poskytovateľoch a schéme jeho vydávania

Súčasťou tejto kategórie sú tieto informácie:

3. Jednoznačné informácie na identifikáciu každého CSP podliehajúceho dohľadu/akreditovaného v schéme

Tento súbor informácií obsahuje minimálne:

4. Za každý CSP na zozname sekvencia polí s jednoznačnými informáciami na identifikáciu certifikačnej služby poskytovanej CSP, ktorá podlieha dohľadu/je akreditovaná v súvislosti so smernicou 1999/93/ES

Tento súbor informácií obsahuje minimálne tieto údaje za každú certifikačnú službu poskytovanú CSP na zozname:

5. Za každú certifikačnú službu na zozname historické informácie o jej štatúte.

6. Podpis vytvorený na autentifikačné účely cez všetky polia TL s výnimkou hodnoty samotného podpisu.

3. Usmernenia na úpravu údajov v zozname dôveryhodných informácií o poskytovateľoch

3.1. Informácie o štatúte certifikačných služieb, ktoré podliehajú dohľadu/sú akreditované, a o ich poskytovateľoch v jednom zozname

Zoznam dôveryhodných informácií o poskytovateľoch členského štátu predstavuje „Zoznam štatútov dohľadu nad certifikačnými službami/akreditácie certifikačných služieb poskytovateľov certifikačných služieb, ktorí podliehajú dohľadu uvedeného členského štátu alebo sú v ňom akreditovaní vzhľadom na dodržiavanie príslušných ustanovení smernice 1999/93/ES“.

Tento zoznam dôveryhodných informácií o poskytovateľoch je jediný nástroj, ktorý má používať príslušný členský štát na poskytovanie informácií o štatúte dohľadu nad certifikačnými službami/akreditácie certifikačných služieb a ich poskytovateľov:

Na základe vymedzení pojmov a ustanovení v smernici 1999/93/ES, predovšetkým vzhľadom na príslušných CSP a systémy dohľadu nad nimi/systémy dobrovoľnej akreditácie, sa dajú rozlíšiť dva druhy CSP, konkrétne CSP, ktorí vydávajú QC pre verejnosť (CSPQC), a CSP, ktorí nevydávajú QC pre verejnosť, ale poskytujú „iné (doplnkové) služby súvisiace s elektronickými podpismi“:

V každom členskom štáte sa musí zostaviť a viesť jeden zoznam dôveryhodných informácií o poskytovateľoch s údajmi o štatúte dohľadu nad certifikačnými službami a/alebo štatúte akreditácie tých certifikačných služieb, ktoré poskytujú tí CSP, ktorí sú pod dohľadom daného členského štátu/sú v ňom akreditovaní. Zoznam dôveryhodných informácií o poskytovateľoch zahŕňa aspoň tých CSP, ktorí vydávajú QC. V zozname dôveryhodných informácií o poskytovateľoch sa môže takisto uvádzať štatút iných certifikačných služieb podliehajúcich dohľadu alebo akreditovaných v rámci vnútroštátne vymedzenej schémy schvaľovania.

3.2. Jeden súbor hodnôt štatútu dohľadu/akreditácie

V zozname dôveryhodných informácií o poskytovateľoch je skutočnosť, že služba práve „podlieha dohľadu“ alebo je „akreditovaná“, daná hodnotou jej aktuálneho štatútu. Okrem toho štatút dohľadu alebo akreditácie môže byť kladný („pod dohľadom“, „akreditovaný“, „dohľad nad službou sa ukončuje“), ukončený („dohľad ukončený“, „akreditácia ukončená“) alebo aj zrušený („dohľad zrušený“, „akreditácia zrušená“) a stanovený na zodpovedajúcu hodnotu. Tá istá certifikačná služba môže počas svojho fungovania postúpiť od štatútu pod dohľadom na štatút akreditácie a naopak ( 10 ).

Na obrázku 1 je opísaný očakávaný vývoj jednej certifikačnej služby medzi možnými štatútmi dohľadu/akreditácie:

Obrázok 1

Očakávaný vývoj štatútu dohl'adu/akreditácie v prípade jednej služby CSP

V prípade usadenia v členskom štáte musí certifikačná služba vydávajúca QC podliehať dohľadu (členského štátu, v ktorom je usadená) a môže byť dobrovoľne akreditovaná. Hodnota štatútu takejto služby na zozname dôveryhodných informácií o poskytovateľoch musí mať jednu z uvedených hodnôt štatútu ako „hodnotu aktuálneho štatútu“ v súlade s jej aktuálnym štatútom a musí sa podľa potreby zmeniť podľa opísaného vývoja štatútu. Aj „akreditácia ukončená“ aj „akreditácia zrušená“ však musia byť hodnotami „prechodného štatútu“, keď je zodpovedajúca služba CSPQC uvedená na zozname dôveryhodných informácií o poskytovateľoch členského štátu, v ktorom je usadená, pretože takáto služba musí podliehať dohľadu štandardne (aj vtedy, keď už nie je alebo nikdy nebola akreditovaná); keď je zodpovedajúca služba uvedená na zozname (akreditovaná) v inom členskom štáte, ako je ten, v ktorom je usadená, tieto hodnoty môžu byť konečné.

Členské štáty, ktoré zriaďujú alebo zriadili vnútroštátne vymedzenú „uznanú schému (-y) schvaľovania CSP“ realizovanú(-é) na vnútroštátnom základe na účely dohľadu nad súladom služieb, ktoré poskytujú CSP nevydávajúci QC, s ustanoveniami smernice 1999/93/ES a prípadne s vnútroštátnymi ustanoveniami týkajúcimi sa poskytovania certifikačných služieb (v zmysle článku 2 ods. 11 uvedenej smernice), musia zatriediť takéto schémy schvaľovania do týchto dvoch kategórií:

Podľa tohto zatriedenia môže byť certifikačná služba, ktorá nevydáva QC, buď pod dohľadom alebo dobrovoľne akreditovaná. Hodnota štatútu takejto služby na zozname dôveryhodných informácií o poskytovateľoch musí mať jednu z uvedených hodnôt štatútu ako „hodnotu aktuálneho štatútu“ (pozri obrázok 1) v súlade s jej aktuálnym štatútom a musí sa podľa potreby zmeniť podľa opísaného vývoja štatútu.

Zoznam dôveryhodných informácií o poskytovateľoch musí obsahovať informácie o základných schémach dohľadu/akreditácie, predovšetkým:

Posledné dva súbory informácií sú mimoriadne dôležité pre spoliehajúce sa strany na posúdenie kvality a stupňa bezpečnosti týchto systémov dohľadu/akreditácie, ktoré sa vzťahujú na vnútroštátnej úrovni na CSP nevydávajúcich QC. Keď sa na zozname dôveryhodných informácií o poskytovateľoch uvádzajú informácie o štatúte dohľadu/akreditácie pri službách poskytovaných CSP nevydávajúcimi QS, uvedené súbory informácií sa na úrovni zoznamu dôveryhodných informácií o poskytovateľoch uvedú pomocou „Scheme information URI“ (odsek 5.3.7 – informácie poskytované členskými štátmi), „Scheme type/community/rules“ (odsek 5.3.9 – prostredníctvom textu spoločného pre všetky členské štáty a dobrovoľných konkrétnych informácií poskytovaných členským štátom) a „TSL policy/legal notice“ (odsek 5.3.11 – text spoločný pre všetky členské štáty odvolávajúci sa na smernicu 1999/93/ES, spolu s možnosťou doplniť texty/referencie špecifické pre daný členský štát).

Dodatočné informácie o „kvalifikácii“ vymedzené na úrovni vnútroštátneho systému dohľadu/akreditácie pre CSP nevydávajúcich QC sa môžu poskytnúť na úrovni služby, ak sú potrebné a vyžiadané (napríklad na rozlíšenie medzi viacerými úrovňami kvality/bezpečnosti), prostredníctvom použitia rozšírenia „additionalServiceInformation Extension“ (odsek 5.5.9.4) ako súčasť „Service information extensions“ (odsek 5.5.9). Ďalšie informácie o zodpovedajúcich technických špecifikáciách sa uvádzajú v podrobných špecifikáciách v kapitole I.

Napriek tomu, že za dohľad nad certifikačnými službami a ich akreditáciu môžu byť v jednom členskom štáte zodpovedné rôzne orgány tohto členského štátu, očakáva sa, že jedna certifikačná služba bude mať len jeden záznam a že štatút dohľadu nad ním/štatút jeho akreditácie sa musí zodpovedajúcim spôsobom aktualizovať.

3.3. Záznamy v zozname dôveryhodných informácií o poskytovateľoch s cieľom uľahčiť validáciu QES a AdESQC

Rozhodujúcou časťou zostavovania zoznamu dôveryhodných informácií o poskytovateľoch je vytvorenie povinnej časti zoznamu dôveryhodných informácií o poskytovateľoch, teda „zoznamu služieb“ podľa CSP vydávajúcich QC s cieľom správne vystihnúť presnú situáciu každej takejto služby vydávajúcej QC a zabezpečiť, aby informácie poskytnuté v každom zázname boli dostatočné na umožnenie overenia QES a AdESQC (keď sa skombinujú s obsahom QC konečného subjektu, ktorý vydal CSP v rámci certifikačnej služby uvedenej v tomto zázname).

Požadované informácie by mohli zahŕňať iné informácie než „digitálna identita služby“ jednej (koreňovej) CA, najmä informácie identifikujúce štatút QC certifikátov vydaných takouto službou CA, a údaje o tom, či sú podporované podpisy vytvorené pomocou SSCD. Orgán v členskom štáte, ktorý je zodpovedný za zostavenie, úpravu a vedenie zoznamu dôveryhodných informácií o poskytovateľoch musí preto zohľadniť aktuálny profil a obsah certifikátu v každom vydanom QC, za každý CSPQC uvedený v zozname dôveryhodných informácií o poskytovateľoch.

V ideálnom prípade by každý vydaný QC mal obsahovať vyhlásenie QcCompliance ( 11 ) statement (vyhlásenie o zhode QC) vymedzené na základe ETSI, keď sa vyhlasuje, že ide o QC, a mal by obsahovať vyhlásenie QcSSCD vymedzené na základe ETSI, keď sa vyhlasuje, že je podporovaný SSCD na vytváranie elektronických podpisov a/alebo že každý vydaný QC obsahuje jeden z identifikátorov predmetu certifikačnej politiky QCP/QCP + Object Identifiers (OIDs) vymedzených v ETSI EN 319 411-2 ( 12 ). Skutočnosť, že CSP vydávajúci QC využívajú ako referenciu rozličné normy, široká škála výkladu týchto noriem, ako aj nedostatočná informovanosť o existencii a prednosti určitých normatívnych technických špecifikácií alebo noriem majú za následok rozdiely v obsahu v súčasnosti vydávaných QC (napríklad používanie alebo nepoužívanie QcStatements vymedzených podľa ETSI), v dôsledku čoho sa prijímajúca strana nemôže jednoducho spoľahnúť na certifikát signatára (a súvisiaci certifikačný reťazec/proces) pri posudzovaní, aspoň strojom čitateľným spôsobom, či sa certifikát podporujúci elektronický podpis vyhlasuje za QC, alebo nie, a či súvisí s SSCD, pomocou ktorého sa elektronický podpis vytvoril.

Doplnenie informácií uvedených v poliach „Service type identifier“ („Sti“), „Service name“ („Sn“) a „Service digital identity“ („Sdi“) záznamu o službe v zozname dôveryhodných informácií o poskytovateľoch o informácie poskytnuté v poli „Service information extensions“ („Sie“) umožňuje jasne určiť konkrétny typ kvalifikovaného certifikátu vydaného certifikačnou službou CSP vydávajúcou QC uvedenou na zozname a poskytnúť informácie o tom, či je podporovaný SSCD alebo nie (v prípade, že táto informácia chýba vo vydanom QC). S týmto záznamom súvisí konkrétna informácia „Service current status“ („Scs“ – aktuálny štatút služby), ako je znázornené na obrázku 2.

Zapísanie služby iba prostredníctvom údaja „Sdi“ (koreňovej) CA by znamenalo, že je zaručené (zo strany CSP vydávajúceho QC ale takisto zo strany orgánu dohľadu/akreditačného orgánu zodpovedného za dohľad nad týmto CSP/jeho akreditáciu), že certifikát konečného subjektu vydaný v rámci tejto (koreňovej) CA (hierarchie) obsahuje informácie vymedzené v ETSI a strojovo spracovateľné, ktoré sú dostatočné na posúdenie toho, či ide o QC a či je podporovaný SSCD alebo nie. V opačnom prípade, napríklad (teda že v QC nie je strojovo spracovateľný údaj podľa noriem v ETSI o tom, či je QC podporovaný SSCD), potom sa na základe údaja „Sdi“ predmetnej (koreňovej) CA dá usúdiť len to, že vydaný QC podľa tejto (koreňovej) hierarchie CA nie je podporovaný žiadnym SSCD. S cieľom uviesť, že tieto QC sa musia považovať za QC podporované SSCD, by sa malo použiť pole „Sie“ (ktorým sa takisto uvádza, že tieto informácie zaručuje CSP vydávajúci QC a podliehajúci dohľadu zo strany orgánu dohľadu alebo akreditačného orgánu alebo akreditovaný takýmto orgánom).

Obrázok 2

Záznam o službe týkajúci sa služby CSP vydávajúceho QC a uvedeného na zozname dôveryhodných informácií o poskytovateľoch

Všeobecné zásady – Pravidlá úpravy – záznamy CSPQC (služby na zozname)

Tieto technické špecifikácie spoločného vzoru zoznamu dôveryhodných informácií o poskytovateľoch umožňujú využiť kombináciu piatich hlavných častí informácie v zázname o službe:

3.4. Usmernenia o úprave a využívaní údajov o službe CSPQC

Všeobecné usmernenia o úprave údajov:

Všeobecnou automatickou zásadou je, že pri každom CSP na zozname dôveryhodných informácií o poskytovateľoch musí byť za každý verejný kľúč pre certifikačnú službu CA/QC, teda certifikačnú autoritu (priamo) vydávajúcu QC, jeden záznam o službe. Za určitých výnimočných okolností a pozorne riadených a schválených podmienkach sa orgán dohľadu/akreditačný orgán členského štátu môže rozhodnúť použiť verejný kľúč koreňovej CA alebo CA vyššieho stupňa v rámci PKI CSP (napríklad v kontexte hierarchie CSP CA od koreňovej CA až po niekoľko vydávajúcich CA) namiesto uvedenia v zozname všetkých podriadených vydávajúcich služieb CA (t. j. v zozname sa uvádza certifikačná autorita, ktorá nevydáva priamo QC konečného subjektu, ale ktorá certifikuje hierarchiu CA až po CA, ktoré priamo vydávajú QC konečného subjektu) ako „Sdi“ jedného záznamu v zozname služieb CSP na zozname dôveryhodných informácií o poskytovateľoch. Dôsledky (výhody a nevýhody) použitia verejného kľúča koreňovej CA alebo CA vyššej úrovne ako hodnoty „Sdi“ údajov o službách v zozname dôveryhodných informácií o poskytovateľoch musia členské štáty dôkladne zvážiť a schváliť pri implementácii. Okrem toho, ak sa členské štáty rozhodnú využiť túto povolenú výnimku z automatickej zásady, musia poskytnúť potrebnú dokumentáciu, aby sa uľahčilo vytváranie certifikačného procesu a overovanie. Na ilustráciu v prípade CSPQC, ktorý využíva jednu koreňovú CA, ktorej podlieha niekoľko CA vydávajúcich QC a iné certifikáty ako QC, pričom jeho QC obsahujú len vyhlásenie QcCompliance statement, ale žiadny údaj o tom, či sú podporované SSCD, by uvedenie „Sdi“ koreňovej CA znamenalo len, že podľa pravidiel vysvetlených v predchádzajúcej časti ani jeden QC vydaný v tejto hierarchii koreňovej CA nie je podporovaný SSCD. Ak sú QC, ktoré sú v skutočnosti podporované SSCD, ale v certifikátoch nemajú strojovo spracovateľný záznam označujúci takúto podporu, dôrazne sa odporúča v QC vydaných v budúcnosti využiť vyhlásenie QcSSCD. Medzičasom (kým neuplynie platnosť posledného QC bez tejto informácie) by sa v zozname dôveryhodných informácií o poskytovateľoch malo využiť pole „Sie“ a súvisiace rozšírenie „Qualifications“, napríklad vytriediť informácie na identifikáciu súboru(-ov) certifikátov použitím konkrétnych OID vymedzených CSPQC, ktoré CSPQC môžu potenciálne využívať na rozlišovanie medzi rozličnými typmi QC (niektoré podporované SSCD a niektoré nie) a združovanie jednoznačných „informácií na podporu SSCD“ s informáciami identifikovanými (vytriedenými) súborom(-mi) certifikátov pomocou „kvalifikátorov“.

Usmernenia o všeobecnom využívaní aplikácií, služieb alebo produktov elektronických podpisov, ktoré sú založené na zozname dôveryhodných informácií o poskytovateľoch podľa týchto technických špecifikácií, sú takéto:

Záznam „CA/QC“„Sti“ (a podobne aj záznam CA/QC bližšie určený ako „koreňová CA/QC“ pomocou rozšírenia „Sie“ additionalServiceInformation)

3.5. Služby podporujúce „CA/QC“, ktoré ale nie sú súčasťou „CA/QC“„Sdi“

Služby súvisiace so štatútom platnosti certifikátov týkajúce sa QC a v prípade ktorých informáciu súvisiacu so štatútom platnosti certifikátov (napríklad reakcie CRL a OCSP) podpisuje subjekt, ktorého súkromný kľúč nie je certifikovaný v rámci procesu certifikácie, ktorý vedie k CA uvedenému v zozname, ktorá vydáva QC („CA/QC“), sú zahrnuté do zoznamu dôveryhodných informácií o poskytovateľoch uvedením týchto služieb súvisiacich so štatútom platnosti certifikátov ako takých v zozname dôveryhodných informácií o poskytovateľoch (t. j. s typom služby „OCSP/QC“ alebo „CRL/QC“), pretože tieto služby sa môžu považovať za súčasť „kvalifikovaných“ služieb, ktoré podliehajú dohľadu/sú akreditované vo vzťahu k poskytovaniu certifikačných služieb QC. Samozrejme, odpovedajúce subjekty OCSP alebo vydavatelia CRL, ktorých certifikáty podpísali CA v rámci hierarchie služby CA/QC na zozname, sa považujú za „platné“ a v súlade s hodnotou štatútu služby CA/QC na zozname.

Podobné ustanovenie sa môže uplatňovať na certifikačné služby vydávajúce nekvalifikované certifikáty (typu služby „CA/PKC“).

Zoznam dôveryhodných informácií o poskytovateľoch zahŕňa služby súvisiace so štatútom platnosti certifikátov, keď pre takéto služby príslušná informácia o lokalite nie je uvedená v certifikátoch konečného subjektu, na ktoré sa vzťahujú služby súvisiace so štatútom platnosti certifikátov.

4. Vymedzenie pojmov a skratky

Na účely tohto dokumentu sa uplatňujú nasledujúce vymedzenia pojmov a akronymy:

V tejto časti dokumentu sa kľúčové slová „MUSÍ“, „NESMIE“, „POVINNÉ“, „MALO BY“, „NEMALO BY“, „ODPORÚČA SA“, „MÔŽE“, a „VOLITEĽNÉ“ a OZNAMOVACÍ SPÔSOB a PRÍTOMNÝ ČAS pri slovesách veľkými písmenami, ktoré sú obsiahnuté v tomto dokumente, majú vykladať v súlade s opisom uvedeným v RFC2119 ( 13 ).

KAPITOLA I

PODROBNÉ ŠPECIFIKÁCIE SPOLOČNÉHO VZORU „ZOZNAMU DÔVERYHODNÝCH INFORMÁCIÍ O POSKYTOVATEĽOCH CERTIFIKAČNÝCH SLUŽIEB, KTORÍ PODLIEHAJÚ DOHĽADU/SÚ AKREDITOVANÍ“

Tieto špecifikácie sú založené na špecifikáciách a požiadavkách uvedených v ETSI TS 119 612 v1.1.1 (ďalej len „ETSI TS 119 612“).

Ak sa v týchto špecifikáciách neuvádza žiadna osobitná požiadavka, UPLATŇUJÚ SA požiadavky v ETSI TS 119 612 odseky 5 a 6 v celom rozsahu. Ak sa v týchto špecifikáciách uvádzajú osobitné požiadavky, PREVLÁDAJÚ nad zodpovedajúcimi požiadavkami ETSI TS 119 612. V prípade rozdielov medzi týmito špecifikáciami a špecifikáciami v ETSI TS 119 612 SÚ normatívnymi špecifikáciami tieto špecifikácie.

Scheme operator name (odsek 5.3.4)

Toto pole JE prítomné a JE V SÚLADE so špecifikáciami odseku 5.3.4. normy TS 119 612.

Krajiny MÔŽU mať oddelené orgány dohľadu a akreditačné orgány, ako aj dodatočné orgány zodpovedné za akékoľvek operatívne súvisiace činnosti. Určenie prevádzkovateľa schémy (Scheme operator) zoznamu dôveryhodných informácií o poskytovateľoch členských štátov spadá do kompetencie členských štátov. Vychádza sa z predpokladu, že orgán dohľadu, akreditačný orgán a prevádzkovateľ schémy (v prípade, že ide o rozličné orgány) budú všetky mať svoje vlastné úlohy a oblasti, za ktoré budú zodpovedné.

Všetky situácie, keď za dohľad, akreditáciu alebo operačné aspekty sú zodpovedné viaceré orgány, SA neprestajne ZVAŽUJÚ a ako také SA IDENTIFIKUJÚ v informácii o schéme ako súčasti zoznamu dôveryhodných informácií o poskytovateľoch vrátane informácií špecifických pre danú schému uvedených pomocou „Scheme information URI“ (odsek 5.3.7).

Scheme name (odsek 5.3.6)

Toto pole JE prítomné a JE V SÚLADE so špecifikáciami odseku 5.3.6. normy TS 119 612, v ktorom sa pre schému POUŽÍVA tento názov:

„EN_name_value“ = „Zoznam štatútov dohľadu nad certifikačnými službami/štatútov akreditácie certifikačných služieb poskytovateľov certifikačných služieb, ktorí podliehajú dohľadu prevádzkovateľa referenčnej schémy dotknutého členského štátu/ktorých prevádzkovateľ referenčnej schémy dotknutého členského štátu akreditoval vzhľadom na dodržiavanie príslušných ustanovení smernice Európskeho parlamentu a Rady 1999/93/ES z 13. decembra 1999 o rámci Spoločenstva pre elektronické podpisy“.

Scheme information URI (odsek 5.3.7)

Toto pole JE prítomné a JE V SÚLADE so špecifikáciami odseku 5.3.7. normy TS 119 612, v ktorom „príslušné informácie o schéme“ ZAHŔŇAJÚ minimálne:

Dodatočne sa MÔŽU na dobrovoľnom základe poskytnúť špecifické informácie členských štátov o schéme, a to:

Scheme type/community/rules (odsek 5.3.9)

Toto pole JE prítomné a JE V SÚLADE so špecifikáciami odseku 5.3.9. normy TS 119 612, pričom zahŕňa aspoň dva URI:

Členské štáty MÔŽU vymedziť a používať dodatočné URI k uvedenému URI špecifickému pre daný členský štát (t. j. URI vymedzené na základe tohto hierarchického špecifického URI).

TSL policy/legal notice (odsek 5.3.11)

Toto pole JE prítomné a JE V SÚLADE so špecifikáciami odseku 5.3.11 normy TS 119 612, keď politické/právne upozornenie týkajúce sa právneho štatútu schémy alebo právnych požiadaviek, ktoré schéma spĺňa, na území, pod ktorého právomoc spadá, a/alebo obmedzenia a podmienky, za ktorých sa zoznam dôveryhodných informácií o poskytovateľoch vedie a uverejňuje, JE viacjazyčný reťazec znakov (vo formáte „plain text“) pozostávajúci z dvoch častí:

1. Prvej, povinnej časti, spoločnej pre zoznamy dôveryhodných informácií o poskytovateľoch všetkých členských štátov (v angličtine UK ako povinnom jazyku a prípadne v jednom alebo viacerých štátnych jazykoch), v ktorom sa uvádza, že platným právnym rámcom je smernica 1999/93/ES a jej zodpovedajúca implementácia v právnych predpisoch členských štátoch sa uvedie v poli „Scheme Territory“.

Anglická verzia spoločného znenia:

The applicable legal framework for the present TSL implementation of the Trusted List of supervised/accredited Certification Service Providers for [name of the relevant Member State] is Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and its implementation in [name of the relevant Member State] laws.

Znenie v národnom jazyku (národných jazykoch) členského štátu: [úradný preklad (preklady) uvedeného anglického znenia].