2009D0767 — SL — 01.02.2014 — 003.001

Ta dokument je mišljen zgolj kot dokumentacijsko orodje in institucije za njegovo vsebino ne prevzemajo nobene odgovornosti

►B ▼C1 ODLOČBA KOMISIJE z dne 16. oktobra 2009 o vzpostavitvi ukrepov za pospeševanje uporabe postopkov po elektronski poti s pomočjo „enotnih kontaktnih točk“ po Direktivi 2006/123/ES Evropskega parlamenta in Sveta o storitvah na notranjem trgu (notificirano pod dokumentarno številko C(2009) 7806) (Besedilo velja za EGP) (2009/767/ES) ▼B (UL L 274, 20.10.2009, p.36)

spremenjena z:





popravljena z:









▼B

▼C1

ODLOČBA KOMISIJE

z dne 16. oktobra 2009

o vzpostavitvi ukrepov za pospeševanje uporabe postopkov po elektronski poti s pomočjo „enotnih kontaktnih točk“ po Direktivi 2006/123/ES Evropskega parlamenta in Sveta o storitvah na notranjem trgu

(notificirano pod dokumentarno številko C(2009) 7806)

(Besedilo velja za EGP)

(2009/767/ES)







KOMISIJA EVROPSKIH SKUPNOSTI JE – ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti, ob upoštevanju Direktive 2006/123/ES Evropskega parlamenta in Sveta z dne 12. decembra 2006 o storitvah na notranjem trgu ( 1 ) in zlasti člena 8(3) Direktive, ob upoštevanju naslednjega: (1) Obveznosti upravne poenostavitve, ki jih državam članicam nalaga poglavje II Direktive 2006/123/ES, zlasti člena 5 in 8 tega poglavja, vključujejo obveznost poenostavitve postopkov in formalnosti, ki veljajo za začetek opravljanja in opravljanje storitvene dejavnosti, in obveznost zagotovitve, da lahko te postopke in formalnosti ponudniki storitev opravijo enostavno na daljavo in po elektronski poti s pomočjo „enotnih kontaktnih točk“. (2) Zaključek postopkov in formalnosti s pomočjo „enotnih kontaktnih točk“ mora biti mogoč čezmejno med državami članicami, kot to določa člen 8 Direktive 2006/123/ES. (3) Za izpolnjevanje obveznosti poenostavitve postopkov in formalnosti ter za pospeševanje čezmejne uporabe „enotnih kontaktnih točk“ morajo postopki po elektronski poti temeljiti na enostavnih rešitvah, vključno z uporabo elektronskih podpisov. V primerih, ko se po ustrezni oceni tveganja konkretnih postopkov in formalnosti šteje, da je potrebna visoka raven varnosti ali enakovrednost z lastnoročnim podpisom, se lahko od ponudnikov storitev za določene postopke in formalnosti zahtevajo napredni elektronski podpisi, ki temeljijo na kvalificiranem potrdilu, z napravo za varno tvorjenje podpisa ali brez nje. (4) Okvir Skupnosti za elektronski podpis je bil vzpostavljen z Direktivo Evropskega parlamenta in Sveta 1999/93/ES z dne 13. decembra 1999 o okviru Skupnosti za elektronski podpis ( 2 ). Da se pospeši učinkovita čezmejna uporaba naprednih elektronskih podpisov, ki temeljijo na kvalificiranem potrdilu, je treba povečati zaupanje v te elektronske podpise, ne glede na državo članico, v kateri ima podpisnik ali overitelj, ki izda kvalificirano potrdilo, sedež. To je mogoče doseči tako, da so informacije, potrebne za preverjanje elektronskih podpisov, lažje dosegljive v zanesljivi obliki, zlasti informacije v zvezi z overitelji, ki so nadzorovani/akreditirani v državi članici, in v zvezi s storitvami, ki jih nudijo. (5) Treba je zagotoviti, da države članice s pomočjo skupnega modela omogočijo javni dostop do teh informacij, da se pospeši njihova uporaba in zagotovi ustrezna raven podrobnosti, ki prejemnikom omogoča potrjevanje elektronskega podpisa – ob upoštevanju naslednjega: SPREJELA NASLEDNJO ODLOČBO:







Člen 1

Uporaba in sprejem elektronskih podpisov

1. Če je to upravičeno na podlagi ustrezne ocene povezanega tveganja in je v skladu s členom 5(1) in (3) Direktive 2006/123/ES, lahko države članice zahtevajo, da ponudnik storitev za dokončanje določenih postopkov in formalnosti s pomočjo enotnih kontaktnih točk po členu 8 Direktive 2006/123/ES uporabi napredne elektronske podpise, ki temeljijo na kvalificiranem potrdilu, z napravo za varno tvorjenje podpisa ali brez nje, kot je to določeno in urejeno z Direktivo 1999/93/ES.

2. Države članice sprejmejo vsak napredni elektronski podpis, ki temelji na kvalificiranem potrdilu, z napravo za varno tvorjenje podpisa ali brez nje, za dokončanje postopkov in formalnosti iz odstavka 1, brez poseganja v možnost držav članic, da omejijo ta sprejem na napredne elektronske podpise, ki temeljijo na kvalificiranem potrdilu in so oblikovani z napravo za varno tvorjenje podpisa, če je to v skladu z oceno tveganja iz odstavka 1.

3. Države članice sprejem naprednih elektronskih podpisov, ki temeljijo na kvalificiranem potrdilu, z napravo za varno tvorjenje podpisa ali brez nje, ne pogojujejo z zahtevami, ki ovirajo takšno uporabo postopkov s strani ponudnikov storitev po elektronski poti s pomočjo enotnih kontaktnih točk.

4. Odstavek 2 državam članicam ne preprečuje sprejema elektronskih podpisov, ki niso napredni elektronski podpisi, ki temeljijo na kvalificiranem potrdilu, z napravo za varno tvorjenje podpisa ali brez nje.

Člen 2

Vzpostavitev, vzdrževanje in objava zanesljivih seznamov

▼M3

1. Vsaka država članica v skladu s tehničnimi specifikacijami iz Priloge vzpostavi, vzdržuje in objavi „zanesljivi seznam“ ki vsebuje najmanj informacije v zvezi z overitelji, ki izdajajo kvalificirana potrdila javnosti in so nadzorovani/akreditirani s strani države.

2. Države članice v skladu s specifikacijami iz Priloge vzpostavijo in objavijo zanesljivi seznam v obliki, primerni za strojno obdelavo. Če se država članica odloči, da objavi zanesljivi seznam v berljivi obliki, mora biti navedena oblika v skladu s specifikacijami iz Priloge.

2a. Države članice elektronsko podpišejo zanesljivi seznam v obliki, primerni za strojno obdelavo, da se zagotovi njegova avtentičnost in celovitost. Če država članica objavi zanesljivi seznam v berljivi obliki, zagotovi, da ta oblika zanesljivega seznama vsebuje iste podatke kot oblika, primerna za strojno obdelavo, ter jo podpiše elektronsko z istim potrdilom, ki se uporablja za obliko, primerno za strojno obdelavo.

▼M3

2b. Države članice zagotovijo, da je zanesljivi seznam v obliki, primerni za strojno obdelavo, kadar koli, brez prekinitev, razen ko se opravlja vzdrževanje, dostopen na lokaciji, kjer je objavljen.

▼M3

3. Države članice Komisiji sporočijo naslednje informacije:

(a) organe, odgovorne za vzpostavitev, vzdrževanje in objavo zanesljivega seznama v obliki, primerni za strojno obdelavo;

(b) lokacije, kjer je zanesljivi seznam objavljen v obliki, primerni za strojno obdelavo;

(c) dve ali več potrdil javnih ključev upravljavcev shem z izmeničnimi obdobji veljavnosti vsaj tri mesece, ki ustrezajo zasebnim ključem, ki se lahko uporabijo za elektronsko podpisovanje zanesljivega seznama v obliki, primerni za strojno obdelavo;

(d) vse spremembe informacij v točkah (a), (b) in (c).

▼M3

3a. Če država članica objavi zanesljivi seznam v berljivi obliki, se informacije iz odstavka 3 sporočijo tudi za berljivo obliko.

▼M1

4. Komisija prek varnega kanala do overjenega spletnega strežnika vsem državam članicam zagotovi dostop do informacij iz odstavka 3, ki so jih predložile države članice, tako v berljivi obliki kot tudi obliki, primerni za strojno obdelavo.

▼C1

Člen 3

Začetek veljavnosti

Ta odločba začne veljati 28. decembra 2009.

Člen 4

Naslovniki

Ta odločba je naslovljena na države članice.

▼M3









PRILOGA

TEHNIČNE SPECIFIKACIJE ZA SKUPNI MODEL ZA „ZANESLJIVI SEZNAM NADZOROVANIH/AKREDITIRANIH OVERITELJEV“

SPLOŠNA PRIPOROČILA

1. Uvod

Namen skupnega modela za „Zanesljivi seznam nadzorovanih/akreditiranih overiteljev“ držav članic je vzpostaviti skupen način, na katerega vsaka država članica zagotovi informacije o statusu nadzora/akreditacije storitev overjanja s strani overiteljev ( 3 ), ki jih država članica nadzoruje/akreditira zaradi skladnosti z zadevnimi določbami Direktive 1999/93/ES. To vključuje zagotavljanje preteklih informacij o statusu nadzora/akreditacije nadzorovanih/akreditiranih storitev overjanja.

Te informacije so namenjene predvsem podpori potrjevanja kvalificiranih elektronskih podpisov (QES) in naprednih elektronskih podpisov (AdES) ( 4 ), ki temeljijo na kvalificiranem potrdilu ( 5 ) ( 6 ).

Obvezne informacije na zanesljivem seznamu morajo zajemati najmanj informacije o nadzorovanih/akreditiranih overiteljih (CSP), ki izdajajo kvalificirana potrdila (QC) ( 7 ) v skladu z določbami iz Direktive 1999/93/ES (člen 3(2) in (3) ter člen 7(1)(a)), vključno, kadar te niso del kvalificiranega potrdila, z informacijami o kvalificiranih potrdilih, ki podpirajo elektronski podpis, in o tem, ali je podpis oblikovan z napravo za varno tvorjenje podpisa (SSCD) ( 8 ).

V zanesljivi seznam je na nacionalni ravni mogoče prostovoljno vključiti dodatne informacije o drugih nadzorovanih/akreditiranih CSP, ki ne izdajajo kvalificiranih potrdil, ampak zagotavljajo storitve, povezane z elektronskimi podpisi (npr. CSP, ki zagotavljajo storitve časovnega žigosanja in izdajajo žetone časovnega žiga, CSP, ki izdajajo nekvalificirana potrdila, itd.), pod pogojem, da so akreditirani/nadzorovani na isti način kot CSP, ki izdajajo kvalificirana potrdila, ali so odobreni v skladu z drugačno nacionalno shemo potrjevanja. Nacionalne sheme potrjevanja se lahko v nekaterih državah članicah razlikujejo od sistema nadzora in shem prostovoljne akreditacije, ki se uporabljajo za CSP, ki izdajajo QC, v zvezi z veljavnimi zahtevami in/ali pristojno organizacijo. Izraza „akreditiran“ in/ali „nadzorovan“ v teh specifikacijah zajemata tudi nacionalne sheme potrjevanja, vendar bodo države članice vnesle dodatne informacije o naravi vsake take nacionalne sheme v svoje zanesljive sezname, ki bodo dodale tudi pojasnitev o morebitnih razlikah s shemami nadzora/akreditacije, ki se uporabljajo za CSP, ki izdajajo QC.

Skupni model temelji na specifikacijah ETSI TS 119 612 v1.1.1 ( 9 ) (v nadaljnjem besedilu: ETSI TS 119 612), ki obravnavajo vzpostavitev, objavo, lokacijo, dostop, avtentifikacijo in zaupanje v take sezname.

2. Struktura skupnega modela za zanesljivi seznam

Skupni model za zanesljivi seznam države članice temelji na specifikacijah ETSI TS 119 612 za naslednje kategorije informacij:

1. oznaka zanesljivega seznama, ki olajša identifikacijo zanesljivega seznama med elektronskim iskanjem;

2. informacije o zanesljivem seznamu in shemi izdajanja;

3. niz polj z jasnimi identifikacijskimi informacijami o vsakem nadzorovanem/akreditiranem CSP v shemi (ta niz je neobvezen, tj. če se ne uporablja, se seznam šteje za praznega, kar pomeni, da CSP v povezani državi članici niso nadzorovani ali akreditirani v okviru zanesljivega seznama);

4. za vsakega CSP na seznamu se zagotovijo podatki o njegovih posebnih varnih storitvah in trenutni status, s katerim je vpisan v zanesljivi seznam, v obliki niza polj, ki jasno identificirajo nadzorovane/akreditirane storitve overjanja s strani CSP in njihov trenutni status (ta niz mora imeti najmanj en vnos);

5. za vsako nadzorovano/akreditirano storitev overjanja na seznamu pa po potrebi pretekle informacije o statusu;

6. podpis, ki se uporablja na zanesljivem seznamu.

V zvezi s CSP, ki izdaja QC, mora struktura zanesljivega seznama, zlasti informacije o storitvah (kakor je navedeno v točki 4 zgoraj), omogočiti, da dodatne informacije v polju „Service information extentions“ pokrijejo primere, ko v kvalificiranem potrdilu ni na voljo dovolj informacij o „kvalificiranem“ statusu v obliki, primerni za strojno obdelavo, morebitni podpori SSCD in zlasti za obravnavo dodatnega dejstva, da večina (komercialnih) CSP uporablja enega kvalificiranega overitelja potrdila (CA) za izdajo več vrst potrdil končnim subjektom, tako kvalificiranih kot nekvalificiranih.

V zvezi z izdajo potrdil s strani CA je število vnosov storitev na seznamu za overitelje (CSP) mogoče zmanjšati, kadar obstaja ena ali več storitev višjih CA znotraj overiteljeve infrastrukture javnega ključa (PKI) (npr. v hierarhiji CA od korenskih CA do številnih CA, ki izdajajo QC), pri čemer so navedene storitve takih višjih CA in ne storitve CA, ki izdajajo več vrst potrdil končnim subjektom (tj. našteti so le korenski CA za CSP). V navedenih primerih se informacije o statusu uporabljajo za celo hierarhijo storitev CA pod navedenimi storitvami, ohraniti in zagotoviti pa je treba jasno povezavo med storitvijo overjanja CSP, ki izdajajo QC, in nizom potrdil, namenjenih opredelitvi kot QC.

2.1 Opis informacij v vsaki kategoriji

1. Oznaka zanesljivega seznama

2. Informacije o zanesljivem seznamu in shemi izdajanja

V to kategorijo spadajo naslednje informacije:

— identifikator različice formata zanesljivega seznama,

— zaporedna številka (številka izdaje) zanesljivega seznama,

— informacije o vrsti zanesljivega seznama (npr. za opredelitev dejstva, da ta zanesljivi seznam zagotavlja informacije o statusu nadzora/akreditacije storitev overjanja s strani CSP, ki jih zadevna država članica nadzoruje/akreditira za skladnost z določbami iz Direktive 1999/93/ES),

— informacije o upravljavcu sheme (imetniku) zanesljivega seznama (npr. ime, naslov, kontaktni podatki itd. za organ države članice, ki je pristojen za pripravo, varno objavo in vzdrževanje zanesljivega seznama),

— informacije o osnovnih shemah nadzora/akreditacije, s katero je zanesljivi seznam povezan, vključno z, vendar ne omejen na: — — državo, v kateri se uporablja, — informacije o lokaciji ali sklic nanjo, kjer je mogoče najti informacije o shemi (model sheme, pravila, merila, veljavna skupnost, vrsta itd.), — obdobje hrambe (preteklih) informacij,

— obvestilo o politiki in/ali pravnem obvestilu, obveznosti, odgovornosti zanesljivega seznama,

— datum in čas izdaje zanesljivega seznama,

— naslednja načrtovana posodobitev zanesljivega seznama.

3. Jasne informacije o identifikaciji glede vsakega CSP, nadzorovanega/akreditiranega s to shemo

Ta niz informacij vsebuje vsaj naslednje:

— ime organizacije CSP, kot se uporablja v uradnih sodnih registrih (to lahko vključuje UID organizacije CSP po praksah držav članic),

— naslov in kontaktne podatke CSP,

— dodatne informacije o CSP, vključene neposredno ali s sklicem na lokacijo, s katere je te dodatne informacije mogoče prenesti.

4. Za vsakega navedenega CSP niz polj z jasno identifikacijo storitve overjanja, ki jo zagotavlja CSP in je nadzorovana/akreditirana v okviru Direktive 1999/93/ES

Ta sklop informacij vključuje za vsako storitev overjanja navedenega CSP najmanj naslednje:

— Service type identifier: identifikator vrste storitve overjanja (npr. identifikator, ki navaja, da je nadzorovana/akreditirana storitev overjanja s strani overitelja (CSP) overitelj potrdila (CA), ki izdaja QC),

— Service (trade) name: (trgovsko) ime te storitve overjanja,

— Service digital identity (digitalna identiteta storitve): jasen edinstven identifikator storitve overjanja,

— Service current status: identifikator trenutnega statusa storitve overjanja,

— datum in čas začetka trenutnega statusa,

— Service information extension (razširitve informacij o storitvah), kadar je to primerno: dodatne informacije o storitvi overjanja (npr. neposredno vključene ali vključene s sklicem na lokacijo, s katere je informacije mogoče prenesti): informacije o opredelitvi storitve, ki jo zagotavlja upravljavec sheme, informacije o dostopu v zvezi s storitvijo, informacije o dostopu v zvezi s storitvijo, ki jo zagotavlja CSP, in razširitve informacij o storitvah. Npr. za storitve CA/QC, neobvezen niz terk informacij, pri čemer vsaka terka zagotavlja: — — merila, ki se uporabljajo za nadaljnjo opredelitev (filtriranje) sklopa rezultatov storitve v okviru opredeljene varne storitve, za katero se zahtevajo/zagotovijo dodatne informacije v zvezi z navedbo podpore SSCD in/ali izdajo pravni osebi, ter — povezane „kvalifikatorje“, ki zagotavljajo informacije o tem, ali sklop rezultatov storitve opredeljuje potrdila, ki se štejejo kot kvalificirana, in/ali so opredeljena kvalificirana potrdila iz te storitve podprta s SSCD, in/ali informacije o tem, ali se takšni QC izdajajo pravnim osebam (načeloma se izdajajo fizičnim osebam).

5. Za vsako navedeno storitev overjanja, pretekle informacije o njenem statusu

6. Podpis, sestavljen za namene avtentifikacije vseh polj zanesljivega seznama, razen sama vrednost podpisa

3. Smernice za urejanje vnosov v zanesljivem seznamu

3.1 Informacije o statusu nadzorovanih/akreditiranih storitev overjanja in overiteljih na enem seznamu

Zanesljivi seznam države članice je opredeljen kot „seznam statusov nadzora/akreditacije storitev overjanja s strani overiteljev, ki jih zadevna država članica nadzoruje/akreditira za skladnost z zadevnimi določbami Direktive 1999/93/ES“.

Države članice morajo ta zanesljivi seznam uporabljati kot enoten instrument, da zagotovijo informacije o statusu nadzora/akreditacije storitev overjanja in o overiteljih:

— vse overitelje, kot so opredeljeni v členu 2(11) Direktive 1999/93/ES, tj. „subjekt, fizična ali pravna oseba, ki izdaja potrdila ali opravlja druge storitve v zvezi z elektronskim podpisom“,

— ki so nadzorovani/akreditirani za skladnost z zadevnimi določbami iz Direktive 1999/93/ES.

Pri obravnavi opredelitev in določb iz Direktive 1999/93/ES, zlasti v zvezi z zadevnimi overitelji (CSP) in njihovimi sistemi nadzora/prostovoljne akreditacije, je mogoče razlikovati med dvema skupinama overiteljev, in sicer overitelji, ki izdajajo kvalificirana potrdila javnosti (CSPQC), in overitelji, ki ne izdajajo kvalificiranih potrdil javnosti, temveč zagotavljajo „druge (pomožne) storitve, povezane z elektronskimi podpisi“:

— CSP, ki izdajajo QC: — — Nadzorovati jih mora tista država članica, v kateri imajo sedež (če imajo sedež v državi članici EU), in so lahko akreditirani tudi za skladnost z določbami iz Direktive 1999/93/ES, vključno z zahtevami iz Priloge I (zahteve za kvalificirana potrdila) in zahtevami Priloge II (zahteve za CSP, ki izdajajo QC). CSP, ki izdajajo QC in so akreditirani v državi članici, morajo še vedno spadati v ustrezen sistem nadzora te države članice, razen če nimajo sedeža v tej državi članici. — Veljavni sistem „nadzora“ (oziroma sistem „prostovoljne akreditacije“) je opredeljen in mora izpolnjevati ustrezne zahteve Direktive 1999/93/ES, zlasti zahteve v členu 3(3), členu 8(1) in členu 11 ter uvodni izjavi 13 (oziroma členu 2(13), členu 3(2), členu 7(1)(a), členu 8(1) in členu 11 ter uvodnih izjavah 4, 11, 12 in 13).

— CPS, ki ne izdajajo QS: — — Lahko spadajo v sistem „prostovoljne akreditacije“ (kot je opredeljen v Direktivi 1999/93/ES in skladno s to direktivo) in/ali v nacionalno opredeljeno „priznano shemo potrjevanja“, ki se izvaja na nacionalni ravni za nadzor skladnosti z določbami iz navedene direktive in po možnosti z nacionalnimi določbami v zvezi z zagotavljanjem storitev overjanja (v smislu člena 2(11) Direktive 1999/93/ES). — Nekateri fizični ali binarni (logični) objekti, ustvarjeni ali izdani kot posledica zagotavljanja storitev overjanja, so lahko upravičeni do posebne „kvalifikacije“ na podlagi njihove skladnosti z določbami in zahtevami na nacionalni ravni, vendar je pomen takšne „kvalifikacije“ verjetno omejen izključno na nacionalno raven.

Vsaka država članica mora vzpostaviti in vzdrževati enoten zanesljivi seznam, ki navaja status nadzora in/ali akreditacije tistih storitev overjanja s strani overiteljev, ki jih država članica nadzoruje/akreditira. Zanesljivi seznam mora vključevati vsaj overitelje, ki izdajajo kvalificirana potrdila. Navaja lahko tudi status drugih storitev overjanja, ki so nadzorovane ali akreditirane po nacionalno opredeljeni shemi potrjevanja.

3.2 Enotna zbirka vrednosti statusa nadzora/akreditacije

Dejstvo, da je storitev trenutno „nadzorovana“ ali „akreditirana“, je podano s trenutnim statusom v zanesljivem seznamu. Poleg tega je lahko „nadzorovan“ ali „akreditiran“ status pozitiven („pod nazorom“, „akreditiran“, „nadzor se ukinja“), ukinjen („nadzor ukinjen“, „akreditacija ukinjena“) ali celo preklican („nadzor preklican“, „akreditacija preklicana“) ter se lahko nastavi na ustrezno vrednost. V času obstoja storitve overjanja se lahko njen status spremeni iz statusa nadzora v status akreditacije in obratno ( 10 ).

Spodnja slika 1 opisuje pričakovani tok za eno storitev overjanja med možnima statusoma nadzora/akreditacije:

Slika 1

Pričakovani tok za eno storitev overjanja med statusoma nadzora/akreditacije

Kadar ima overitelj, ki izdaja kvalificirana potrdila, sedež v državi članici, mora biti nadzorovan (s strani države članice, v kateri ima sedež) in je lahko prostovoljno akreditiran. Vrednost statusa takšne storitve, ki je navedena v zanesljivem seznamu, je lahko katera koli od zgoraj prikazanih „vrednosti trenutnega statusa“ v skladu z dejanskim statusom in jo je treba po potrebi spremeniti v skladu z zgoraj navedenim tokom statusa. Vendar se morata statusa „akreditacija ukinjena“ in „akreditacija preklicana“ obravnavati kot vrednosti „prehodnega statusa“, kadar je ustrezni CSPQC, naveden v zanesljivem seznamu države članice, v kateri ima sedež, saj morajo biti te storitve nadzorovane že same po sebi (tudi če niso oziroma niso več akreditirane); kadar je ustrezni overitelj naveden (akreditiran) v drugi državi članici in ne v državi članici, v kateri ima sedež, se te vrednosti lahko štejejo za končne vrednosti.

Zahteva se, da države članice, ki vzpostavljajo ali so vzpostavile nacionalne opredeljene „priznane sheme potrjevanja“, uvedene na nacionalni ravni za nadzor skladnosti storitev overiteljev, ki ne izdajajo kvalificiranih potrdil, z določbami iz Direktive 1999/93/ES in z morebitnimi nacionalnimi določbami v zvezi z zagotavljanjem storitev overjanja (v smislu člena 2(11) Direktive 1999/93/ES), razvrstijo takšne sheme potrjevanja v naslednji kategoriji:

— „prostovoljna akreditacija“, kot je opredeljena in urejena v Direktivi 1999/93/ES (člen 2(13), člen 3(2), člen 7(1)(a), člen 8(1), člen 11 ter uvodne izjave 4, 11, 12 in 13),

— „nadzor“, kot ga zahteva Direktiva 1999/93/ES ter se izvaja z nacionalnimi določbami in zahtevami v skladu z nacionalno zakonodajo.

Overitelj, ki ne izdaja kvalificiranih potrdil, je lahko nadzorovan ali prostovoljno akreditiran. Vrednost statusa takšne storitve, ki je navedena v zanesljivem seznamu, je lahko katera koli od zgoraj prikazanih „vrednosti trenutnega statusa“ (glej sliko 1) v skladu z dejanskim statusom in jo je treba po potrebi prilagoditi v skladu z zgoraj navedenim tokom statusa.

Zanesljivi seznam mora vsebovati informacije o osnovni shemi nadzora/akreditacije, zlasti:

— informacije o sistemu nadzora, ki velja za katerega koli CSPQC,

— informacije, kadar je to primerno, o nacionalni „shemi prostovoljne akreditacije“, ki velja za kateri koli CSPQC,

— informacije, kadar je to primerno, o sistemu nadzora, ki velja za katerega koli CSP, ki ne izdaja QC,

— informacije, kadar je to primerno, o nacionalni „shemi prostovoljne akreditacije“, ki velja za katerega koli CSP, ki ne izdaja QC.

Zadnja dva niza informacij sta izjemno pomembna za to, da stranke ocenijo raven kakovosti in varnosti takšnih sistemov nadzora/akreditacije, ki na nacionalni ravni veljajo za CSP, ki ne izdajajo QC. Če je v zanesljivem seznamu podana informacija o statusu nadzora/akreditacije v zvezi s storitvami overiteljev, ki ne izdajajo kvalificiranih potrdil, se zgoraj navedeni nizi informacij vključijo v zanesljivi seznam s pomočjo „Scheme information URI“ (klavzula 5.3.7 – informacije, ki jih zagotovijo države članice), „Scheme type/community/rules“ (klavzula 5.3.9 – s pomočjo besedila, ki je enako za vse države članice, in neobveznih posebnih informacij, ki jih zagotovi država članica) in „TSL policy/legal notice“ (klavzula 5.3.11 – besedilo, ki je enako za vse države članice s sklicevanjem na Direktivo 1999/93/ES, skupaj z možnostjo za vsako državo članico, da doda besedilo/sklice, specifične za državo članico).

Dodatne informacije o „kvalifikaciji“, opredeljene na ravni nacionalnih sistemov nadzora/akreditacije za CSP, ki ne izdajajo QC, se lahko zagotovijo na ravni storitve, če je to primerno in potrebno (npr. za razlikovanje med več ravnmi kakovosti/varnosti), s pomočjo razširitve „additionalServiceInformation“ (klavzula 5.5.9.4) kot dela „Service information extension“ (klavzula 5.5.9). Dodatne informacije o ustreznih tehničnih specifikacijah so navedene v podrobnih specifikacijah v poglavju I.

Čeprav so lahko za nadzor in akreditacijo storitev overjanja pristojni različni organi države članice, se pričakuje, da bo za posamezno storitev overjanja uporabljen samo en vnos in da bo njen status nadzora/akreditacije posodobljen v skladu s tem.

3.3 Vnosi v zanesljivi seznam, ki so namenjeni olajšanju potrjevanja QES in AdESQC

Najpomembnejši del priprave zanesljivega seznama je vzpostavitev obveznega dela zanesljivega seznama, in sicer „seznama storitev“ po CSP, ki izdajajo QC, da se pravilno odrazi natančno stanje storitve overjanja vsakega CSP, ki izdaja QC, in da se zagotovi, da so informacije, posredovane pri vsakem vnosu, zadostne za olajšanje potrjevanja QES in AdESQC (ko so združene z vsebino kvalificiranega potrdila končnega subjekta, ki ga izda overitelj po storitvi overjanja, navedeni v tem vnosu).

Zahtevane informacije lahko poleg informacij o digitalni identiteti storitve („Sdi“) posameznega (korenskega) CA vključujejo tudi druge informacije, zlasti informacije, ki opredeljujejo status QC izdanih potrdil, ki jih je izdal overitelj potrdila (CA), in informacije o tem, ali so bili podprti podpisi tvorjeni s SSCD. Organ v državi članici, ki je imenovan za vzpostavitev, urejanje in vzdrževanje zanesljivega seznama, mora zato upoštevati trenutni profil in vsebino potrdila v vsakem izdanem kvalificiranem potrdilu, po overiteljih, ki izdajajo kvalificirana potrdila (CSPQC), vključenih v zanesljivi seznam.

Najbolje bi bilo, da bi vsako izdano kvalificirano potrdilo vsebovalo s strani ETSI opredeljeno izjavo QcCompliance ( 11 ), kadar naj bi šlo za QC, in da bi vključevalo s strani ETSI opredeljeno izjavo QcSSCD, kadar naj bi bilo podprto s SSCD za ustvarjanje e-podpisov, in/ali da bi vsako izdano kvalificirano potrdilo vključevalo eno od identifikacijskih oznak (OID) politike potrdila QCP/QCP+, opredeljeno v ETSI EN 319 411-2 ( 12 ). Ker so overitelji, ki izdajajo kvalificirana potrdila, za sklice uporabljali različne standarde, ker so bili ti standardi zelo različno tolmačeni ter ker ni bilo zadostne ozaveščenosti o obstoju in prednostnih razvrstitev nekaterih normativnih tehničnih specifikacij ali standardov, je prišlo do razlik v dejanski vsebini trenutno izdanih QC (npr. uporaba oziroma neuporaba s strani ETSI opredeljenih izjav QC), kar pa posledično strankam prejemnicam preprečuje, da bi se zanesle na potrdilo podpisnika (in povezano verigo/pot) za oceno, vsaj v strojno berljivi obliki, ali je potrdilo, ki podpira e-podpis, kvalificirano potrdilo in ali je povezano s SSCD, s katero je bil e-podpis ustvarjen.

Vnašanje informacij, navedenih v polju za vnos storitev v zanesljivem seznamu „Service information extensions“ („Sie“), v polja „Service type identifier“ („Sti“), „Service name“ („Sn“) in „Service digital identity“ („Sdi“) omogoča, da se v celoti določi posebna vrsta kvalificiranega potrdila, ki ga je izdal na seznamu naveden overitelj, ki izdaja kvalificirana potrdila, in da zagotovi informacije o tem, ali je to potrdilo podprto s SSCD (če tega podatka ni v izdanem QC). S tem vnosom je seveda povezana posebna informacija o trenutnem stanju storitve („Service current status“ ali „Scs“). To je prikazano na spodnji sliki 2.

Navedba storitve zgolj z navedbo „Sdi“ (korenskega) CA bi pomenila, da je zagotovljeno (s strani overitelja, ki izdaja kvalificirana potrdila, in tudi s strani organa nadzora/akreditacije, ki je odgovoren za nadzor/akreditacijo tega overitelja), da vsako potrdilo končnega subjekta, izdano po tem (korenskem) CA (hierarhija), vsebuje dovolj opredeljenih informacij ETSI v obliki, primerni za strojno obdelavo, da se oceni, ali gre za kvalificirano potrdilo in ali ga podpira SSCD. Če ta trditev ne drži (npr. kvalificirano potrdilo ne vsebuje standardizirane navedbe ETSI v obliki, primerni za strojno obdelavo, o tem, ali je podprto s SSCD), je mogoče zgolj z navedbo „Sdi“ tega (korenskega) CA domnevati samo, da kvalificirana potrdila, izdana po tej (korenski) CA hierarhiji, niso podprta s SSCD. Da se kvalificirana potrdila štejejo za podprta s SSCD, je treba za navedbo tega dejstva uporabiti „Sie“ (to tudi pomeni, da to potrjuje overitelj, ki izdaja kvalificirana potrdila in ga nadzoruje/akreditira organ nadzora oziroma akreditacije).

Slika 2

Vnos storitve za CSP, navedenega na zanesljivem seznamu, ki izdaja QC

Splošna načela – Pravila za urejanje vnosov – Vnosi CSPQC (navedene storitve)

Veljavne tehnične specifikacije za skupni model zanesljivega seznama omogočajo uporabo kombinacije petih glavnih delov informacij v vnosu storitve:

— identifikator vrste storitve („Service type identifier“ ali „Sti“), npr. opredeljuje CA, ki izdaja QC („CA/QC“),

— ime storitve („Service name“ ali „Sn“),

— informacija o digitalni identiteti storitve („Service digital identity“ ali „Sdi“) opredeljuje navedeno storitev, npr. javni ključ (najmanj) za CA, ki izdaja QC,

— za storitve CA/QC, izbirna razširitev informacij o storitvah („Service information extension“ ali „Sie“), ki omogoča vključitev številnih posebnih, s storitvijo povezanih, informacij v zvezi s preklicem statusa preteklih potrdil, dodatnih značilnosti kvalificiranega potrdila, prevzema enega overitelja nad drugim in drugih dodatnih informacij o storitvi. Na primer, dodatne značilnosti kvalificiranega potrdila so predstavljene kot niz ene ali več terk, pri čemer vsaka terka zagotavlja: — — v skladu z opredeljeno storitvijo overjanja „Sdi“ merila za nadaljnjo opredelitev (filtriranje), za katero se zahtevajo/zagotovijo dodatne informacije v zvezi z navedbo „kvalificiranega“ statusa, podpore SSCD in/ali izdajo pravni osebi, ter — povezane informacije („kvalifikatorji“) o tem, ali je ta niz kvalificiranih potrdil treba šteti za „kvalificiran“, so podprte s SSCD ali ne, oziroma ali so te povezane informacije del standardiziranega QC v obliki, primerni za strojno obdelavo, in/ali informacije v zvezi z dejstvom, da se takšna QC izdajo pravnim osebam (načeloma se šteje, da se izdajo samo fizičnim osebam),

— informacije o „trenutnem statusu“ za ta vnos storitve, ki zagotavljajo informacije: — — o tem, ali gre za nadzorovano ali akreditirano storitev, in — o samem statusu nadzora/akreditacije.

3.4 Smernice za urejanje in uporabo vnosov storitev CSPQC

Splošne smernice za urejanje so:

1. Če je zagotovljeno (jamstvo, ki ga zagotovi CSPQC in nadzoruje/akreditira nadzorni organ (SB)/akreditacijski organ (AB)), da za navedeno storitev, opredeljeno s „Sdi“, vsako QC, podprto s SSCD, vsebuje s strani ETSI opredeljeno izjavo QcCompliance in izjavo QcSSCD in/ali identifikacijsko oznako (OID) QCP+, potem zadostuje uporaba ustreznega „Sdi“, polje „Sie“ pa se lahko uporabi kot možna izbira in ni nujno, da vsebuje informacije o podpori SSCD.

2. Če je zagotovljeno (jamstvo, ki ga zagotovi CSPQC in nadzoruje/akreditira SB/AB), da za navedeno storitev, opredeljeno s „Sdi“, vsako QC, ki ni podprto s SSCD, vsebuje izjavo QcCompliance in/ali QCP OID in ne vsebuje izjave QcSSCD ali QCP + OID, potem zadostuje uporaba ustreznega „Sdi“, polje „Sie“ pa se lahko uporabi kot možna izbira in ni nujno, da vsebuje informacije o podpori SSCD (kar pomeni, da ni podprto s SSCD).

3. Če je zagotovljeno (jamstvo, ki ga zagotovi CSPQC in nadzoruje/akreditira SB/AB), da za navedeno storitev, opredeljeno s „Sdi“, vsako QC vsebuje izjavo QcCompliance in da se nekatera QC štejejo kot podprta s SSCD (npr. to se lahko razlikuje glede na različne OID politike potrdila, specifične za CSP, ali druge informacije, specifične za CSP, neposredno ali posredno, z možnostjo strojne obdelave ali ne), vendar NE VSEBUJE niti izjave QcSSCD niti ETSI QCP(+) OID, potem uporaba ustreznega „Sdi“ ne zadostuje IN se v polje „Sie“ vnesejo izrecne informacije o podpori SSCD, skupaj z morebitno razširitvijo informacij, da se opredeli zajeti niz potrdil. To zelo verjetno zahteva vključitev različnih „vrednosti informacij o podpori SSCD“ za isti „Sdi“, če se uporablja polje „Sie“.

4. Če je zagotovljeno (jamstvo, ki ga zagotovi CSPQC in nadzoruje/akreditira SB/AB), da za navedeno storitev, opredeljeno s „Sdi“, QC ne vsebuje izjave QcCompliance, QCP OID, izjave QcSSCD ali QCP + OID, vendar je zagotovljeno, da se nekatera izmed teh potrdil končnih subjektov, izdana po tem „Sdi“, štejejo za QC in/ali kot podprta s SSCD (npr. to se lahko razlikuje glede na različne OID politike potrdila, specifične za CSPQC ali druge informacije v QC, specifične za CSPQC, neposredno ali posredno, z možnostjo strojne obdelave ali ne), potem uporaba ustreznega „Sdi“ ne zadostuje IN je treba uporabiti polje „Sie“ za vključitev izrecnih informacij o podpori SSCD. To zelo verjetno zahteva vključitev različnih „vrednosti informacij o podpori SSCD“ za isti „Sdi“, če se uporablja polje „Sie“.

Načeloma mora za CSP, navedenega na zanesljivem seznamu, obstajati en vnos storitve za posamezen javni ključ za storitev overjanja CA/QC, tj. za overitelja potrdila (CA), ki (neposredno) izdaja QC. V nekaterih izjemnih okoliščinah in skrbno nadzorovanih pogojih se lahko nadzorni organ/akreditacijski organ države članice odloči, da bo kot „Sdi“ posameznega vnosa na seznam storitev navedenega CSP uporabil javni ključ korenske ali višje ravni CA znotraj overiteljeve PKI (tj. v okviru overiteljeve hierarhije CA od korenskega CA do številnih CA, ki izdajajo QC), namesto da bi navedel vse podrejene CA (tj. overitelja potrdila, ki ne izdaja neposredno QC končnim subjektom, temveč potrjuje hierarhijo CA vse do CA, ki izdajajo QC končnim subjektom). Posledice (prednosti in slabosti) uporabe takšnega javnega ključa korenskega CA ali višjega CA kot vrednosti „Sdi“ vnosov storitev na zanesljivi seznam morajo države članice pri izvajanju skrbno preučiti. Poleg tega morajo države članice pri uporabi te dovoljene izjeme od splošnega načela zagotoviti potrebno dokumentacijo za pospešitev vzpostavitve in potrditve verige overjanja. Na primer, v okviru CSPQC, ki uporablja en korenski CA, po katerem več CA izdaja kvalificirana in nekvalificirana potrdila, vendar za katerega QC vsebujejo le izjavo QcCompliance in ne navajajo, ali so QC podprti s SSCD, bi po zgoraj pojasnjenih pravilih zgolj navedba „Sdi“ korenskega CA pomenila, da QC, izdan po tej korenski hierarhiji CA, ni podprt s SSCD. Če obstajajo QC, ki so dejansko podprti s SSCD, vendar nimajo izjave (v obliki, primerni za strojno obdelavo) o tem, ali je takšna podpora vključena v potrdila, je zelo priporočljivo, da se v QC, ki se izdajo v prihodnosti, uporabi izjava QcSSCD. Medtem (dokler ne poteče veljavnost zadnjega QC, ki ne vsebuje te informacije) pa je treba v zanesljivem seznamu uporabljati polje „Sie“ in povezane „razširitve kvalifikacij“, in sicer, da se zagotovi filtriranje informacij za opredelitev nizov potrdil s pomočjo posebnih OID, ki jih opredeli CSPQC in jih morebiti uporablja za razlikovanje med različnimi vrstami QC (nekateri so podprti s SSCD, drugi pa ne), in vključno z izrecnimi „informacijami o podpori SSCD“ v zvezi s temi filtriranimi nizi potrdil s pomočjo „kvalifikatorjev“.

Splošne smernice za uporabo aplikacij, storitev ali proizvodov za elektronsko podpisovanje, ki temeljijo na zanesljivem seznamu v skladu s temi tehničnimi specifikacijami, so naslednje:

Vnos „CA/QC“„Sti“ (podobno vnos CA/QC, ki je nadalje opredeljen kot „korenski CA/QC“ z uporabo „Sie“ razširitve additionalServiceInformation)

— pomeni, da so s strani „Sdi“ opredeljenega CA (podobno v hierarhiji CA, začenši s korenskim CA, opredeljenim s „Sdi“) vsa izdana potrdila končnim subjektom kvalificirana potrdila, pod pogojem, da je to navedeno v potrdilu z uporabo ustreznih izjav QcStatement v obliki, primerni za strojno obdelavo (tj. QcCompliance), in/ali s strani ETSI opredeljenih QCP(+) OID (in to zagotavlja nadzorni/akreditacijski organ, glej zgornje „splošne smernice za urejanje“). — Opomba: Če ni navedene informacije „Sie“„razširitev kvalifikacije“ ali če potrdilo končnega subjekta, ki naj bi bilo QC, ni nadalje opredeljeno s povezanim vnosom „Sie“„razširitev kvalifikacije“, se točnost informacij v QC v obliki, primerni za strojno obdelavo, nadzoruje/akreditira. To pomeni, da je uporaba (ali neuporaba) ustreznih izjav QcStatement (tj. QcCompliance, QcSSCD) in/ali s strani ETSI opredeljenih QCP(+) OID zagotovo v skladu s podatki, ki jih navaja CSPQC.

— in ČE je informacija „Sie“„razširitev kvalifikacije“ navedena, je treba poleg zgornjega pravila za razlago upoštevati tista potrdila, ki so opredeljena s pomočjo tega vnosa „Sie“„razširitev kvalifikacije“, ki je sestavljen po načelu niza filtrov, ki nadalje opredeljujejo sklop potrdil, v skladu s povezanimi kvalifikatorji, ki zagotavljajo dodatne informacije o kvalificiranem statusu, „podpori SSCD“ in/ali „pravni osebi kot subjektu“ (npr. tista potrdila, ki vsebujejo posebno OID v razširitvi politike potrdila in/ali ki imajo poseben vzorec „uporabe ključa“ in/ali so filtrirana s pomočjo posebne vrednosti, ki se pojavi v določenem polju ali razširitvi potrdila, itd.). Ti kvalifikatorji so del naslednjega niza „kvalifikatorjev“, ki se uporabljajo za zapolnitev vrzeli v informacijah ustrezne vsebine QC, in se uporabljajo: — — za navedbo podpore SSCD: „QCStatement“ pomeni opredeljene certifikate, ki so kvalificirani, — IN/ALI — za navedbo vrste podpore SSCD: — — vrednost kvalifikatorja „QCWithSSCD“ pomeni „QC, podprt s SSCD“, ali — vrednost kvalifikatorja „QCNoSSCD“ pomeni „QC, ki ni podprt s SSCD“, ali — vrednost kvalifikatorja „QCSSCDStatusAsInCert“ pomeni zagotovitev, da vsak QC z informacijami o „Sdi“-„Sie“ v tem vnosu CA/QC vsebuje informacije o podpori SSCD, — IN/ALI — za navedbo izdaje pravni osebi: — — vrednost kvalifikatorja „QCForLegalPerson“ pomeni „potrdilo, izdano pravni osebi“.

3.5 Storitve, ki podpirajo storitve „CA/QC“, vendar niso del „CA/QC“„Sdi“

Storitve v zvezi s statusom veljavnosti potrdil, ki so povezane s QC in za katere informacije o statusu veljavnosti potrdil (tj. odzivi CRL in OCSP) podpiše subjekt, katerega zasebni ključ ni overjen po verigi overjanja, ki vodi do navedenih CA, ki izdajajo QC („CA/QC“), se vključi v zanesljivi seznam tako, da se v zanesljivem seznamu navedejo storitve v zvezi s statusom veljavnosti potrdil kot take (tj. z indikatorjem vrste storitve „OCSP/QC“ oziroma „CRL/QC“), saj se šteje, da so te storitve lahko del nadzorovanih/akreditiranih „kvalificiranih“ storitev, povezanih z zagotavljanjem storitev overjanja QC. Seveda je treba odzivnike OCSP ali izdajatelje CRL, katerih potrdila podpišejo CA po hierarhiji navedene storitve CA/QC, obravnavati kot „veljavne“ in skladne z vrednostjo statusa navedene storitve CA/QC.

Podobna določba se lahko uporabi za storitve overjanja za izdajanje nekvalificiranih potrdil (vrsta storitve „CA/PKC“).

Zanesljivi seznam vključuje storitve v zvezi s statusom veljavnosti potrdil, kadar v potrdilih končnega subjekta, na katere se nanaša storitev v zvezi s statusom veljavnosti potrdil, ni zadevne informacije o lokaciji za takšno storitev.

4. Opredelitve in kratice

Za namene tega dokumenta se uporabljajo naslednje opredelitve in kratice:







Pojem Kratica Opredelitev Overitelj CSP Kot je opredeljen v členu 2(11) Direktive 1999/93/ES Overitelj potrdila CA 1. Overitelj, ki ustvari in dodeli potrdila javnega ključa, ali 2. tehnična storitev ustvarjanja potrdil, ki jo uporablja overitelj, ki ustvari in dodeli potrdila javnega ključa. OPOMBA: Glej klavzulo 4 EN 319 411-2 (1) za dodatno razlago koncepta overitelj potrdila. Overitelj potrdila, ki izdaja kvalificirana potrdila CA/QC CA, ki izpolnjuje zahteve iz Priloge II k Direktivi 1999/93/ES in izdaja kvalificirana potrdila, ki izpolnjujejo zahteve iz Priloge I k Direktivi 1999/93/ES. Potrdilo Potrdilo Kot je opredeljeno v členu 2(9) Direktive 1999/93/ES. Kvalificirano potrdilo QC Kot je opredeljeno v členu 2(10) Direktive 1999/93/ES. Podpisnik Podpisnik Kot je opredeljen v členu 2(3) Direktive 1999/93/ES. Nadzor Nadzor Nanaša se na nadzor, določen v členu 3(3) Direktive 1999/93/ES. Direktiva 1999/93/ES od držav članic zahteva, da zagotovijo ustrezen sistem, ki omogoča nadzor overiteljev, ki imajo sedež na njihovem ozemlju in izdajajo kvalificirana potrdila javnosti, s katerim zagotavljajo nadzor skladnosti z določbami iz navedene direktive. Prostovoljna akreditacija Akreditacija Kot je opredeljena v členu 2(13) Direktive 1999/93/ES. Zanesljivi seznam TL Označuje seznam, ki navaja status nadzora/akreditacije storitev overjanja s strani overiteljev (CSP), ki jih zadevna država članica nadzira/akreditira zaradi skladnosti z določbami iz Direktive 1999/93/ES. Seznam statusa varnih storitev TSL Oblika podpisanega seznama, ki se uporablja kot podlaga za predstavitev informacij o statusu varnih storitev v skladu s specifikacijami iz ETSI TS 119 612. Varna storitev Storitev, ki poveča zaupanje v elektronske transakcije (običajno, vendar ne nujno, s pomočjo kriptografskih tehnik ali ki vključuje zaupno vsebino) (ETSI TS 119 612). OPOMBA: Ta pojem se uporablja v širšem smislu kot storitev overjanja, ki izdaja potrdila ali zagotavlja druge storitve v zvezi z elektronskimi podpisi. Ponudnik varnih storitev TSP Organ, ki izvaja eno ali več varnih (elektronskih) storitev (ta izraz se uporablja v širšem smislu kot CSP). Žeton zaupanja varnih storitev TrST Fizični ali binarni (logični) objekt, ustvarjen ali izdan kot rezultat uporabe varne storitve. Primeri binarnih TrST so potrdila, seznami preklica potrdil (CRL), žetoni časovnega žiga (TST) in odzivi protokola za sprotno preverjanje statusa (OCSP). Kvalificiran elektronski podpis QES AdES, podprt s QC in ustvarjen z napravo za varno tvorjenje podpisa (SSCD), kot je opredeljen v členu 2 Direktive 1999/93/ES. Napreden elektronski podpis AdES Kot je opredeljen v členu 2(2) Direktive 1999/93/ES. Napredni elektronski podpis, podprt s kvalificiranim potrdilom AdESQC Pomeni elektronski podpis, ki izpolnjuje zahteve AdES in je podprt s QC, kot je opredeljen v členu 2 Direktive 1999/93/ES. Naprava za varno tvorjenje podpisa SSCD Kot je opredeljena v členu 2(6) Direktive 1999/93/ES. (1) EN 319 411-2: Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Del 2: Policy requirements for certification authorities issuing qualified certificates.

V naslednjih poglavjih se ključne besede „MORA“„NE SME“, „ZAHTEVA“, „PRIPOROČA“, „LAHKO“, in „NEOBVEZNO“ tolmačijo, kot je navedeno v RFC 2119 ( 13 ).

POGLAVJE I

PODROBNE SPECIFIKACIJE ZA SKUPNI MODEL ZA „ZANESLJIVI SEZNAM NADZOROVANIH/AKREDITIRANIH OVERITELJEV“

Te specifikacije temeljijo na specifikacijah in priporočilih iz ETSI TS 119 612 v1.1.1 (v nadaljnjem besedilu: ETSI TS 119 612).

Če v teh specifikacijah ni navedeno nobeno posebno priporočilo, v celoti VELJAJO priporočila iz klavzul 5 in 6 ETSI TS 119 612. Če so v teh specifikacijah navedena posebna priporočila, NADOMESTIJO ustrezna priporočila iz ETSI TS 119 612. V primeru odstopanj med temi specifikacijami in specifikacijami iz ETSI TS 119 612, VELJAJO te specifikacije.

Scheme operator name (klavzula 5.3.4)

To polje MORA BITI vključeno in v skladu s specifikacijami iz klavzule 5.3.4 ETSI TS 119 612.

Država ima LAHKO ločene nadzorne in akreditacijske organe in celo dodatne organe za katere koli operativne dejavnosti. Vsaka država članica imenuje upravljavca sheme, ki upravlja zanesljivi seznam države članice. Pričakuje se, da bodo nadzorni organ, akreditacijski organ in upravljavec sheme (če so ti organi ločeni) imeli vsak svoje odgovornosti in obveznosti.

Vsako stanje, ko je več organov odgovornih za nadzor, akreditacijo ali delovanje, SE kot tako dosledno odraža in identificira v informacijah o shemi kot delu zanesljivega seznama, vključno z informacijami, specifičnimi za shemo, navedenimi v „Scheme information URI“ (klavzula 5.3.7).

Scheme name (klavzula 5.3.6)

To polje MORA BITI vključeno in v skladu s specifikacijami iz klavzule 5.3.6 ETSI TS 119 612, v kateri se uporablja naslednje ime sheme:

„EN_name_value“ = „Seznam statusov nadzora/akreditacije storitev overjanja s strani overiteljev, ki jih nadzoruje/akreditira upravljavec sheme zadevne države članice zaradi skladnosti z zadevnimi določbami Direktive Evropskega parlamenta in Sveta 1999/93/ES z dne 13. decembra 1999 o okviru Skupnosti za elektronski podpis“.

Scheme information URI (klavzula 5.3.7)

To polje MORA BITI vključeno in v skladu s specifikacijami iz klavzule 5.3.7 ETSI TS 119 612, v kateri „ustrezne informacije o shemi“ ZAJEMAJO najmanj:

— uvodne informacije, ki so skupne vsem državam članicam, v zvezi z obsegom in okvirom zanesljivega seznama ter z osnovnimi shemami nadzora/akreditacije. Skupno besedilo je spodnje besedilo, v katerem se niz črk „[ime zadevne države članice]“ NADOMESTI z imenom zadevne države članice: — „Ta seznam je ‚Zanesljivi seznam nadzorovanih/akreditiranih overiteljev‘, ki zagotavlja informacije o statusu nadzora/akreditiranja storitev overjanja s strani overiteljev (CSP), ki jih nadzira/akreditira [ime zadevne države članice] zaradi skladnosti z zadevnimi določbami Direktive Evropskega parlamenta in Sveta 1999/93/ES z dne 13. decembra 1999 o okviru Skupnosti za elektronski podpis. Zanesljivi seznam mora: — navajati in zagotoviti zanesljive informacije o statusu nadzora/akreditiranja storitev overjanja s strani overiteljev (CSP), ki jih nadzira/akreditira [ime zadevne države članice] za skladnost z zadevnimi določbami Direktive 1999/93/ES, — omogočati varno potrjevanje elektronskih podpisov, ki jih podpirajo navedene nadzorovane/akreditirane storitve overjanja s strani navedenih CSP. Zanesljivi seznam države članice zagotavlja najmanj informacije o nadzorovanih/akreditiranih CSP, ki izdajajo QC v skladu z določbami iz Direktive 1999/93/ES (člen 3(2) in (3), člen 7(1)(a)), vključno, kadar te niso del QC, informacije o QC, ki podpirajo elektronski podpis, in o tem, ali je podpis ustvarjen z napravo za varno tvorjenje podpisa. Na tem mestu navedene CSP, ki izdajajo QC, nadzira [ime zadevne države članice], poleg tega so lahko akreditirani v skladu z določbami iz Direktive 1999/93/ES, vključno s skladnostjo z zahtevami iz Priloge I (zahteve za QC) in zahtevami iz Priloge II (zahteve za CSP, ki izdajajo QC). Veljavni sistem ‚nadzora‘ (oziroma sistem ‚prostovoljne akreditacije‘) je opredeljen in mora izpolnjevati ustrezne zahteve Direktive 1999/93/ES, zlasti zahteve iz člena 3(3), člena 8(1) in člena 11 (oziroma člena 2(13), člena 3(2), člena 7(1)(a), člena 8(1) in člena 11). Prostovoljno se na nacionalni ravni v zanesljivi seznam vključijo dodatne informacije o drugih nadzorovanih/akreditiranih overiteljih, ki ne izdajajo kvalificiranih potrdil, vendar zagotavljajo storitve, povezane z elektronskimi podpisi (npr. o overiteljih, ki zagotavljajo storitve časovnega žigosanja in izdajajo žetone časovnega žiga, o overiteljih, ki izdajajo nekvalificirana potrdila itd.).“,

— posebne informacije o osnovnih shemah nadzora/akreditacije, zlasti ( 14 ): — — informacije o sistemu nadzora, ki velja za kateri koli CSPQC, — informacije, kadar je to primerno, o nacionalni shemi prostovoljne akreditacije, ki velja za kateri koli CSPQC, — informacije, kadar je to primerno, o sistemu nadzora, ki velja za kateri koli CSP, ki ne izdaja QC, — informacije, kadar je to primerno, o nacionalni shemi prostovoljne akreditacije, ki velja za kateri koli CSP, ki ne izdaja QC. — Te posebne informacije za vsako zgoraj navedeno osnovno shemo vključujejo najmanj: — — splošni opis, — informacije o postopku, ki ga uporablja organ nadzora/akreditacije za nadzor/akreditacijo overiteljev, in overiteljih, ki se nadzorujejo/akreditirajo, — informacije o merilih, po katerih se nadzorujejo/akreditirajo CSP,

— posebne informacije, kadar je to primerno, o posebnih „kvalifikacijah“ nekaterih fizičnih ali binarnih (logičnih) objektov, ustvarjenih ali izdanih kot posledica zagotavljanja storitev overjanja, ki so lahko upravičeni do posebne „kvalifikacije“ na podlagi njihove skladnosti z določbami in zahtevami na nacionalni ravni, vključno s pomenom takšne „kvalifikacije“ ter povezanimi nacionalnimi določbami in zahtevami.

Prostovoljno je MOGOČE dodati dodatne specifične informacije države članice o shemi, kot na primer:

— informacije o merilih in pravilih, ki se uporabljajo za izbiro nadzornikov/revizorjev in za opredelitev, kako so CSP nadzorovani (kontrolirani) /akreditirani (revidirani),

— druge kontaktne in splošne informacije, ki veljajo za delovanje sheme.

Scheme type/community/rules (klavzula 5.3.9)

To polje MORA BITI vključeno in v skladu s specifikacijami iz klavzule 5.3.9 ETSI TS 119 612 ter VSEBOVATI vsaj dva URI:

— URI, ki je skupen vsem zanesljivim seznamom držav članic, s kazalcem na opisno besedilo, ki VELJA za vse zanesljive sezname: — URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon — Opisno besedilo: — Vsaka država članica mora sestaviti ‚Zanesljivi seznam nadzorovanih/akreditiranih overiteljev‘, ki zagotavlja informacije o statusu nadzora/akreditiranja storitev overjanja s strani overiteljev (CSP), ki jih nadzoruje/akreditira zadevna država članica zaradi skladnosti z zadevnimi določbami Direktive Evropskega parlamenta in Sveta 1999/93/ES z dne 13. decembra 1999 o okviru Skupnosti za elektronski podpis. Izvajanje takih zanesljivih seznamov je treba navesti v seznamu povezav (kazalcev) na vsak zanesljivi seznam države članice, ki ga sestavi Evropska komisija. Zanesljivi seznam države članice mora zagotoviti najmanj informacije nadzorovanih/akreditiranih CSP, ki izdajajo QC v skladu z določbami iz Direktive 1999/93/ES (člen 3(2) in (3) ter člen 7(1)(a)), vključno z informacijami na QC, ki podpirajo elektronski podpis, in o tem, ali je podpis ustvarjen z napravo za varno tvorjenje podpisa. CSP, ki izdajajo QC, mora nadzorovati tista država članica, v kateri imajo sedež (če imajo sedež v državi članici EU), in so lahko akreditirani tudi za skladnost z določbami iz Direktive 1999/93/ES, vključno z zahtevami Priloge I (zahteve za QC) in zahtevami Priloge II (zahteve za CSP, ki izdajajo QC). CSP, ki izdajajo QC in so akreditirani v državi članici, morajo še vedno spadati v ustrezen sistem nadzora te države članice, razen če nimajo sedeža v tej državi članici. Veljavni sistem ‚nadzora‘ (oziroma sistem ‚prostovoljne akreditacije‘) je opredeljen in mora izpolnjevati ustrezne zahteve Direktive 1999/93/ES, zlasti zahteve iz člena 3(3), člena 8(1) in člena 11 (oziroma člena 2(13), člena 3(2), člena 7(1)(a), člena 8(1) in člena 11). Prostovoljno je na nacionalni ravni v zanesljivi seznam mogoče vključiti dodatne informacije o drugih nadzorovanih/akreditiranih overiteljih, ki ne izdajajo kvalificiranih potrdil, vendar zagotavljajo storitve, povezane z elektronskimi podpisi (npr. o overiteljih, ki zagotavljajo storitve časovnega žigosanja in izdajajo žetone časovnega žiga, o overiteljih, ki izdajajo nekvalificirana potrdila itd.). CSP, ki ne izdajajo QC, vendar zagotavljajo pomožne storitve, lahko spadajo v ‚sistem prostovoljne akreditacije‘ (kot je opredeljen v Direktivi 1999/93/ES in skladno z njo) in/ali v nacionalno opredeljeno ‚priznano shemo potrjevanja‘, ki se izvaja na nacionalni ravni za nadzor skladnosti z določbami iz Direktive 1999/93/ES in po možnosti z nacionalnimi določbami v zvezi z zagotavljanjem storitev overjanja (v smislu člena 2(11) Direktive 1999/93/ES). Nekateri fizični ali binarni (logični) objekti, ustvarjeni ali izdani kot posledica zagotavljanja storitev overjanja, so lahko upravičeni do posebne ‚kvalifikacije‘ na podlagi njihove skladnosti z določbami in zahtevami na nacionalni ravni, vendar je pomen takšne ‚kvalifikacije‘ verjetno omejen izključno na nacionalno raven. Splošne smernice za uporabo aplikacij, storitev ali proizvodov za elektronsko podpisovanje, ki temeljijo na zanesljivem seznamu v skladu s Prilogo Sklepa Komisije [sklic na ta sklep], so naslednje: Vnos ‚CA/QC‘‚Sti‘ (podobno vnos CA/QC, ki je nadalje opredeljen kot ‚korenski CA/QC‘ s pomočjo ‚Sie‘ razširitve additionalServiceInformation) — pomeni, da so s strani ‚Sdi‘ opredeljenega CA (podobno v hierarhiji CA, začenši s korenskim CA, opredeljenim s ‚Sdi‘) s strani ustreznega CSP (glej polja z informacijami o povezanih ponudnikih varnostnih storitev (TSP)) vsa izdana potrdila končnim subjektom kvalificirana potrdila, pod pogojem, da je to navedeno v potrdilu s strani EN 319 412-5 opredeljenih ustreznih izjav QcStatement (tj. QcCompliance, QcSSCD, itd.) in/ali s strani EN 319 411-2 opredeljenih QCP(+) OID (in zajamčeno z overiteljem izdajateljem in zagotovljeno z nadzornim/akreditacijskim organom države članice). — Opomba: Če navedene informacije ‚Sie‘‚razširitev kvalifikacije‘ ni ali če potrdilo končnega subjekta, ki naj bi bilo QC, ni nadalje opredeljeno s povezanim vnosom ‚Sie‘‚razširitev kvalifikacije‘, se točnost informacij v QC v obliki, primerni za strojno obdelavo, nadzoruje/akreditira. To pomeni, da je uporaba (ali neuporaba) s strani ETSI opredeljenih ustreznih izjav QcStatement (tj. QcCompliance, QcSSCD, itd.) in/ali s strani ETSI opredeljenih QCP(+) OID zagotovo v skladu s podatki, ki jih navaja CSP, ki izdaja QC. — in ČE je informacija ‚Sie‘‚razširitev kvalifikacije‘ navedena, je treba poleg zgornjega pravila za razlago upoštevati tista potrdila, ki so opredeljena s pomočjo te informacije ‚Sie‘‚razširitev kvalifikacije‘, ki je sestavljena po načelu niza filtrov, ki nadalje opredeljujejo sklop potrdil v skladu s povezanimi kvalifikatorji, ki zagotavljajo dodatne informacije o kvalificiranem statusu, ‚podpori SSCD‘ in/ali ‚pravni osebi kot subjektu‘ (npr. tista potrdila, ki vsebujejo posebno OID v razširitvi politike potrdila in/ali ki imajo poseben vzorec ‚uporabe ključa‘ in/ali so filtrirana s pomočjo posebne vrednosti, ki se pojavi v določenem polju ali razširitvi, itd.). Ti kvalifikatorji so del naslednjega niza ‚kvalifikatorjev‘, ki se uporabljajo za zapolnitev vrzeli v informacijah ustrezne vsebine QC, in se uporabljajo: — — za navedbo kvalificiranega statusa: ‚QCStatement‘ pomeni opredeljene certifikate, ki so kvalificirani, — IN/ALI — za navedbo narave podpore SSCD: — — vrednost kvalifikatorja ‚QCWithSSCD‘ pomeni ‚QC, podprt s SSCD‘ ali — vrednost kvalifikatorja ‚QCNoSSCD‘ pomeni ‚QC, ki ni podprt s SSCD‘ ali — vrednost kvalifikatorja ‚QCSSCDStatusAsInCert‘ pomeni zagotovitev, da vsako kvalificirano potrdilo z informacijami o ‚Sdi‘-‚Sie‘ v tem vnosu CA/QC vsebuje informacije o podpori SSCD, — IN/ALI — za navedbo izdaje pravni osebi: — — vrednost kvalifikatorja ‚QCForLegalPerson‘ pomeni ‚potrdilo, izdano pravni osebi‘. — Splošno pravilo za razlago za katero koli drugo vrsto vnosa ‚Sti‘ je, da ima storitev, navedena v skladu z vrednostjo polja ‚Sn‘ in nedvoumno opredeljena z vrednostjo polja ‚Sdi‘, trenuten status nadzora/akreditacije v skladu z vrednostjo polja ‚Scs‘ od datuma, navedenega v polju ‚Current status starting date and time‘. Posebna pravila za razlago za kakršne koli dodatne informacije v zvezi z navedeno storitvijo (npr. polje ‚Service information extensions‘) so navedena po potrebi v posebnem URI države članice kot del tega polja ‚Scheme type/community/rules‘. — Glej tehnične specifikacije za skupni model za ‚Zanesljivi seznam nadzorovanih/akreditiranih overiteljev‘ v Prilogi Odločbe Komisije 2009/767/ES za podrobnejše informacije o poljih, opisu in pomenu zanesljivih seznamov držav članic.“,

— URI, ki je specifičen za vsak zanesljiv seznam države članice, s kazalcem na opisno besedilo, ki VELJA za zanesljivi seznam te države članice: — http://uri.etsi.org/TrstSvc/TrustedList/schemerules/CC, kjer je CC = oznaka države ISO 3166-1 ( 15 ) alpha-2, uporabljena v polju „Scheme territory“ (klavzula 5.3.10) — — kjer lahko uporabniki pridobijo specifično politiko/pravila za zadevno državo članico, v skladu s katerimi se storitve, vključene v seznam, OCENIJO v skladu z ustreznim sistemom nadzora in shemami prostovoljne akreditacije države članice, — kjer lahko uporabniki pridobijo opis, specifičen za navedeno državo članico, o tem, kako uporabiti in tolmačiti vsebino zanesljivega seznama v zvezi s storitvami overjanja, ki niso povezane z izdajanjem QC. Ta opis je mogoče uporabiti za navedbo morebitne razčlenjenosti v nacionalnih sistemih nadzora/akreditacije, povezanih s CSP, ki ne izdajajo QC, in za način, kako se v ta namen uporabita „Scheme service definition URI“ (klavzula 5.5.6) in polje „Service information extension“ (klavzula 5.5.9).

Države članice LAHKO opredelijo dodatne URI iz zgoraj navedenega URI, specifičnega za državo članico (tj. URI, opredeljene na podlagi tega hierarhičnega URI).

TSL policy/legal notice (klavzula 5.3.11)

To polje MORA biti vključeno in v skladu s specifikacijami iz klavzule 5.3.11 TS 119 612, glede na katere JE obvestilo o politiki sheme / pravno obvestilo v zvezi s pravnim statusom sheme ali pravnimi zahtevami, ki jih shema izpolnjuje za pristojnost, v kateri je shema vzpostavljena, in/ali katere kole omejitve ali pogoji, po katerih se zanesljivi seznam vzdržuje in objavlja, večjezični niz črk (golo besedilo), ki je sestavljen iz dveh delov:

1. Prvi del je obvezen in skupen vsem zanesljivim seznamom držav članic (v britanski angleščini kot obveznem jeziku in po možnosti enem ali več nacionalnih jezikih), ki navaja, da je veljavni pravni okvir Direktiva 1999/93/ES in njeno ustrezno izvajanje v zakonodajah zadevnih držav članic, navedenih v polju „Scheme Territory“. Angleška različica skupnega besedila: „The applicable legal framework for the present TSL implementation of the Trusted List of supervised/accredited Certification Service Providers for [name of the relevant Member State] is Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and its implementation in [name of the relevant Member State] laws.“ Besedilo v nacionalnih jezikih države članice [uradni prevod za slovenski jezik]: „Veljavni pravni okvir za izvajanje tega seznama statusa varnih storitev iz zanesljivega seznama nadzorovanih/akreditiranih overiteljev za [ime zadevne države članice] je Direktiva Evropskega parlamenta in Sveta 1999/93/ES z dne 13. decembra 1999 o okviru Skupnosti za elektronski podpis in njeno izvajanje v zakonodaji [ime zadevne države članice].“

2. Drugi del je neobvezen, specifičen za vsak zanesljivi seznam (v britanski angleščini kot obveznem jeziku in po možnosti enem ali več nacionalnih jezikih), ki navaja sklice na specifične veljavne nacionalne pravne okvire (npr. zlasti če se nanašajo na nacionalne sheme nadzora/akreditacije za CSP, ki ne izdajajo QC).

POGLAVJE II

NEPREKINJENA VELJAVNOST ZANESLJIVIH SEZNAMOV

Potrdila, ki jih je treba priglasiti Komisiji v skladu s členom 3(c) tega sklepa SE IZDAJO tako, da:

— so med njihovimi datumi veljavnosti vsaj trije meseci,

— so ustvarjeni na novih parih ključev, saj se predhodno uporabljeni pari ključev ne smejo ponovno potrditi.

V primeru, da je kompromitiran ali deaktiviran EDEN od zasebnih ključev, ki ustreza javnemu ključu, ki se lahko uporabi za potrditev podpisa iz zanesljivega seznama, in ki je bil priglašen Komisiji in objavljen v Komisijinih osnovnih seznamih kazalcev, države članice:

— takoj ponovno izdajo nov zanesljivi seznam, podpisan z nekompromitiranim zasebnim ključem, če je bil objavljeni zanesljivi seznam podpisan s kompromitiranim ali deaktiviranim zasebnim ključem,

— takoj priglasijo Komisiji nov seznam potrdil javnih ključev, ki ustrezajo zasebnim ključem, ki bi se lahko uporabljali za podpisovanje zanesljivega seznama.

V primeru, da so kompromitirani ali deaktivirani VSI zasebnih ključi, ki ustrezajo javnim ključem, ki se lahko uporabijo za potrditev podpisa iz zanesljivega seznama, in ki so bili priglašeni Komisiji in objavljeni v Komisijinih osnovnih seznamih kazalcev, države članice:

— ustvarijo nove pare ključev, ki se lahko uporabljajo za podpis zanesljivega seznama in njihovih ustreznih potrdil javnih ključev,

— takoj ponovno izdajo nov zanesljivi seznam, podpisan z enim od navedenih novih zasebnih ključev, čigar ustrezna potrdila javnih ključev je treba priglasiti,

— takoj priglasijo Komisiji nov seznam potrdil javnih ključev, ki ustrezajo zasebnim ključem, ki se lahko uporabljajo za podpisovanje zanesljivega seznama.

POGLAVJE III

SPECIFIKACIJE ZA BERLJIVO OBLIKO IZVAJANJA ZANESLJIVEGA SEZNAMA

Če je berljiva oblika zanesljivega seznama pripravljena in objavljena, MORA biti v obliki dokumenta Portable Document Format (PDF), v skladu z ISO 32000 ( 16 ), ki mora biti formatiran v skladu s profilom PDF/A (ISO 19005 ( 17 )).

Vsebina berljive oblike zanesljivega seznama, formatirane v skladu z PDF/A, MORA biti v skladu z naslednjimi zahtevami:

— struktura berljive oblike MORA odražati logični model, opisan v TS 119 612,

— vsako vsebovano polje MORA biti prikazano in navajati: — — ime polja (npr. „Service type identifier“), — vrednost polja (npr. „CA/QC“), — pomen (opis) vrednosti polja, kadar je to primerno (npr. „CA, ki izdaja potrdila javnih ključev“), — več različic naravnih jezikov, kakor so določeni v zanesljivem seznamu, kadar je to primerno,

— naslednja polja in ustrezne vrednosti digitalnih potrdil v polju „Service digital identity“ MORAJO biti prikazani najmanj v berljivi obliki: — — različica — serijska številka — algoritem za podpis — izdajatelj — veljavno od — veljavno do — predmet — javni ključ — politika, pod katero je bilo izdano potrdilo — identifikator imetnikovega ključa — distribucijske točke registra preklicanih potrdil — identifikator izdajateljevega ključa — uporaba ključa — osnovne omejitve — algoritem za razpoznavni odtis — razpoznavni odtis,

— berljiva oblika MORA biti enostavna za tiskanje,

— berljivo obliko MORA podpisati upravljavec sheme v skladu z osnovnim profilom za napreden elektronski podpis PAdES ( 18 ).