2009D0767 — SV — 01.07.2013 — 002.001

Detta dokument är endast avsett som dokumentationshjälpmedel och institutionerna ansvarar inte för innehållet

Ändrad genom:

Rättad genom:

▼B

▼C1

KOMMISSIONENS BESLUT

av den 16 oktober 2009

om åtgärder som underlättar användningen av förfaranden på elektronisk väg genom gemensamma kontaktpunkter i enlighet med Europaparlamentets och rådets direktiv 2006/123/EG om tjänster på den inre marknaden

[delgivet med nr K(2009) 7806]

(Text av betydelse för EES)

(2009/767/EG)

Artikel 1

Användning och godkännande av elektroniska signaturer

1. Om det är motiverat på grundval av en ändamålsenlig bedömning av berörda risker och i enlighet med artikel 5.1 och 5.3 i direktiv 2006/123/EG, får medlemsstaterna kräva att tjänsteleverantören för fullgörandet av vissa förfaranden och formaliteter genom de gemensamma kontaktpunkterna i enlighet med artikel 8 i direktiv 2006/123/EG ska använda avancerade elektroniska signaturer baserade på ett kvalificerat certifikat, med eller utan en säker anordning för skapande av signaturer, enligt vad som fastställs och regleras genom direktiv 1999/93/EG.

2. Medlemsstaterna ska godkänna alla avancerade elektroniska signaturer som är baserade på ett kvalificerat certifikat, med eller utan en säker anordning för skapande av signaturer, för att fullgöra de förfaranden och formaliteter som avses i punkt 1, utan att detta påverkar medlemsstaternas möjlighet att begränsa detta godkännande till avancerade elektroniska signaturer som är baserade på ett kvalificerat certifikat och som har skapats med hjälp av en säker anordning för skapande av signaturer, om detta sker i enlighet med den riskbedömning som avses i punkt 1.

3. För att godkänna avancerade elektroniska signaturer baserade på ett kvalificerat certifikat, med eller utan en säker anordning för skapande av signaturer, får medlemsstaterna inte ställa krav som skapar hinder för tjänsteleverantörernas användning av elektroniska förfaranden via de gemensamma kontaktpunkterna.

4. Punkt 2 får inte hindra medlemsstaterna från att godkänna andra elektroniska signaturer än avancerade elektroniska signaturer baserade på ett kvalificerat certifikat, med eller utan en säker anordning för skapande av signaturer.

Artikel 2

Inrättande, underhåll och offentliggörande av tillförlitliga förteckningar

1. Varje medlemsstat ska i enlighet med de tekniska specifikationerna i bilagan inrätta, underhålla och offentliggöra en ”tillförlitlig förteckning” med minimiuppgifter om de tillhandahållare av certifieringstjänster som utfärdar kvalificerade certifikat till allmänheten och som medlemsstaten övervakar/ackrediterat.

▼M1

2. Medlemsstaterna ska inrätta och offentliggöra den tillförlitliga förteckningen i både människo- och maskinläsbart format i enlighet med specifikationerna i bilagan.

▼M1

2a. Medlemsstaterna ska elektroniskt signera den tillförlitliga förteckningen i maskinläsbart format och ska åtminstone offentliggöra den tillförlitliga förteckningen i människoläsbart format genom en säker kanal för att säkerställa dess autenticitet och integritet.

▼M1

3. Medlemsstaterna ska lämna följande information till kommissionen:

▼M1

4. Kommissionen ska via en säker kanal till en godkänd webbserver tillhandahålla samtliga medlemsstater de uppgifter som avses i punkt 3, enligt anmälan från medlemsstaterna, både i människoläsbart och i ett signerat maskinläsbart format.

▼C1

Artikel 3

Tillämpning

Detta beslut ska tillämpas från och med den 28 december 2009.

Artikel 4

Adressater

Detta beslut riktar sig till medlemsstaterna.

BILAGA

TEKNISKA SPECIFIKATIONER FÖR EN GEMENSAM MALL FÖR DEN TILLFÖRLITLIGA FÖRTECKNINGEN ÖVER ÖVERVAKADE/ACKREDITERADE TILLHANDAHÅLLARE AV CERTIFIERINGSTJÄNSTER

INLEDNING

1. Allmänt

Syftet med den gemensamma mallen för medlemsstaternas tillförlitliga förteckningar över övervakade/ackrediterade tillhandahållare av certifieringstjänster är att införa en gemensam metod för hur varje medlemsstat tillhandahåller information om certifieringstjänster från tillhandahållare av certifieringstjänster (nedan kallade CSP) ( 3 ) som de övervakar/ackrediterar med avseende på efterlevnaden av de relevanta bestämmelserna i direktiv 1999/93/EG. Detta omfattar tillhandahållande av historisk information om de övervakade/ackrediterade certifieringstjänsternas övervaknings-/ackrediteringsstatus.

De obligatoriska uppgifterna i den tillförlitliga förteckningen måste minst omfatta uppgifter om övervakade/ackrediterade CSP som utfärdar kvalificerade certifikat (nedan kallade QC) ( 4 ) i enlighet med bestämmelserna i direktiv 1999/93/EG (artikel 3.3, 3.2 och 7.1 a), inklusive uppgifter om det QC som stöder en elektronisk signatur och om huruvida signaturen har skapats av en säker anordning för skapande av signaturer (nedan kallad SSCD) ( 5 ).

Ytterligare information om andra CSP som inte utfärdar QC utan tillhandahåller tjänster som har anknytning till elektroniska signaturer (till exempel CSP som erbjuder tidsmärkningstjänster och som utfärdar igenkänningstecken för tidsmärkning, CSP som utfärdar icke-kvalificerade certifikat osv.) får ingå i den tillförlitliga förteckningen på nationell nivå och på frivillig basis.

Syftet med denna information är främst att underlätta valideringen av kvalificerade elektroniska signaturer (nedan kallade QES) och avancerade elektroniska signaturer (nedan kallade AdES) ( 6 ) som omfattas av ett kvalificerat certifikat ( 7 ) ( 8 ).

Den föreslagna gemensamma mallen är förenlig med en tillämpning som bygger på specifikationerna från Etsi TS 102231 ( 9 ), som används för att hantera inrättande, offentliggörande, lokalisering, åtkomst till, autentisering och förtroende för sådana förteckningar.

2. Riktlinjer för att redigera uppgifter i den tillförlitliga förteckningen

2.1 En tillförlitlig förteckning som är inriktad på övervakade/ackrediterade certifieringstjänster

Med en medlemsstats tillförlitliga förteckning avses förteckningen över övervaknings-/ackrediteringsstatus för tillhandahållare av certifieringstjänster som övervakas/ackrediteras av den angivna medlemsstaten med avseende på efterlevnaden av de relevanta bestämmelserna i direktiv 1999/93/EG.

En sådan tillförlitlig förteckning måste omfatta

När man ser på definitionerna och bestämmelserna i direktiv 1999/93/EG, särskilt när det gäller de aktuella CSP och deras övervaknings-/ackrediteringssystem går det att urskilja två grupper av CSP, nämligen sådana som utfärdar QC till allmänheten (CSPQC) och sådana som inte utfärdar QC till allmänheten utan erbjuder andra tjänster som stöder elektroniska signaturer.

En medlemsstats tillförlitliga förteckning måste innehålla minimiuppgifter om en övervakad/ackrediterad CSP som utfärdar kvalificerade certifikat till allmänheten i enlighet med bestämmelserna i direktiv 1999/93/EG (artikel 3.3, 3.2 och 7.1 a), uppgifter om det QC som stöder den elektroniska signaturen och om huruvida signaturen skapas genom en säker anordning för skapande av signaturer eller ej.

Ytterligare information om andra övervakade/ackrediterade tjänster från CSP som inte utfärdar QC till allmänheten (till exempel CSP som erbjuder tidsmärkningstjänster och som utfärdar igenkänningstecken för tidsmärken, CSP som utfärdar icke-kvalificerade certifikat osv.) får ingå i den tillförlitliga förteckningen på nationell nivå på frivillig basis.

Syftet med den tillförlitliga förteckningen är att

En enda tillförlitlig förteckning ska inrättas och underhållas per medlemsstat för att ange övervaknings- och/eller ackrediteringsstatus för de certifieringstjänster från de CSP som övervakas/ackrediteras av medlemsstaten.

Det faktum att en tjänst för ögonblicket antingen övervakas och/eller är ackrediterad ska anges i dess aktuella status. Dessutom kan en övervakning eller ackreditering ha statusen ”pågår”, ”har avbrutits”, ”har upphört” eller ”har återkallats”. Samma certifieringstjänst kan med tiden gå från övervakningsstatus till ackrediteringsstatus och vice versa ( 10 ).

I figur 1 beskrivs det förväntade flödet för en enda certifieringstjänst mellan möjliga övervaknings-/ackrediteringsstatusar:

En certifieringstjänst som utfärdar QC måste övervakas (om den är etablerad i en medlemsstat) och får ackrediteras frivilligt. En sådan tjänst som är upptagen i en tillförlitlig förteckning kan ha vilket som helst av de ovan angivna statusvärdena som ”aktuellt statusvärde”. Det bör emellertid noteras att ”Ackrediteringen har upphört” och ”Ackrediteringen återkallats” båda måste vara övergångsvärden endast när det gäller CSPQC-tjänster som är etablerade i en medlemsstat, eftersom dessa tjänster alltid måste övervakas (också om de inte, eller inte längre, är ackrediterade).

Medlemsstater som inrättar eller har inrättat nationella erkända system för godkännande som tillämpas på nationell basis för att övervaka att tjänster från CSP som inte utfärdar QC uppfyller bestämmelserna i direktiv 1999/93/EG och eventuella nationella bestämmelser om tillhandahållande av certifieringstjänster (i den mening som avses i artikel 2.11 i direktivet) ska kategorisera dessa system för godkännande enligt följande två kategorier:

En certifieringstjänst som inte utfärdar QC kan alltså övervakas/ackrediteras frivilligt. Statusvärdet för en sådan tjänst i en tillförlitlig förteckning kan ha vilket som helst av de ovan angivna statusvärdena som ”aktuellt statusvärde” (se figur 1).

Den tillförlitliga förteckningen måste innehålla uppgifter om de underliggande övervaknings-/ackrediteringssystemen och särskilt uppgifter om följande:

De sista två uppsättningarna av uppgifter är av kritisk betydelse för att beroende parter ska kunna bedöma kvaliteten och säkerhetsnivån på övervaknings-/ackrediteringssystem som tillämpas på nationell nivå för CSP som inte utfärdar QC. När uppgifter om övervaknings-/ackrediteringsstatus tillhandahålls i den tillförlitliga förteckningen med avseende på tjänster från CSP som inte utfärdar QC ska de ovannämnda uppsättningarna av uppgifter tillhandahållas på tillförlitlig förteckningsnivå genom användning av en URI för systeminformation (klausul 5.3.7 – information som tillhandahålls av medlemsstaterna), information om typ/gemenskap/bestämmelser för systemet (klausul 5.3.9 – med en text som är gemensam för alla medlemsstater och valfri specifik information som tillhandahålls av en medlemsstat) samt policy/rättsligt meddelande om förteckningen över betrodda tjänster (klausul 5.3.11 – en text som är gemensam för alla medlemsstater med en hänvisning till direktiv 1999/93/EG, tillsammans med en möjlighet för varje medlemsstat att lägga till medlemsstatsspecifika texter/hänvisningar). Ytterligare kvalificeringsuppgifter som definieras i de nationella övervaknings-/ackrediteringssystemen för CSP som inte utfärdar QC får i förekommande fall och om så krävs tillhandahållas på tjänstenivå (till exempel för att skilja mellan flera kvalitets- eller säkerhetsnivåer) genom användning av tillägget ”additionalServiceInformation” (klausul 5.8.2) som en del av tillägget för tjänsteinformation (klausul 5.5.9). Ytterligare information om motsvarande tekniska specifikationer finns i de detaljerade specifikationerna i kapitel I.

Trots att separata organ i en medlemsstat kan ansvara för övervakning och ackreditering av certifieringstjänster i den medlemsstaten förväntas att endast en registerpost används för en enda certifieringstjänst (identifierad genom tjänstens digitala identitet i enlighet med Etsi TS 102231 ( 11 ) och att dess övervaknings-/ackrediteringsstatus uppdateras i enlighet med detta. Innebörden av de ovan återgivna statusarna beskrivs i klausul 5.5.4 i de detaljerade specifikationerna i kapitel I.

2.2. Registerposter i den tillförlitliga förteckningen för att underlätta validering av QES och AdESQC

Den mest kritiska delen av inrättandet av den tillförlitliga förteckningen är att upprätta den obligatoriska delen av den tillförlitliga förteckningen, det vill säga förteckningen över tjänster per CSP som utfärdar QC för att korrekt avspegla den exakta utfärdandesituationen för varje sådan tjänst som utfärdar QC och se till att den information som tillhandahålls i varje registerpost är tillräcklig för att underlätta valideringen av QES och AdESQC (i kombination med innehållet i det slutliga QC som CSP utfärdar inom ramen för den certifieringstjänst som finns upptagen in denna registerpost).

I den mån det saknas en verklig driftskompatibel och gränsöverskridande profil för QC kan den information som krävs omfatta annan information än tjänstens digitala identitet för en enda rotcertifikatutfärdare, särskilt uppgifter som bekräftar att det utfärdade certifikatet är kvalificerat och som anger huruvida de signaturer som stöds skapas med hjälp av en SSCD. Det organ i en medlemsstat som har utsetts att inrätta, redigera och underhålla den tillförlitliga förteckningen (det vill säga systemets operatör i enlighet med Etsi TS 102231) måste därför ta hänsyn till den aktuella profilen och certifikatsinnehållet i varje utfärdat QC per CSPQC som omfattas av den tillförlitliga förteckningen.

Helst bör varje utfärdat QC omfatta Etsis QcCompliance ( 12 )-deklaration när det hävdas att det är fråga om ett QC och bör omfatta Etsis QcSSCD-deklaration när det hävdas att certifikatet stöds av en SSCD för att generera elektroniska signaturer och/eller att varje utfärdat QC omfattar en av de objektidentifierare (nedan kallad OID) för certifikatspolicyn för QCP/QCP + som fastställs i Etsi TS 101456 ( 13 ). CSP som utfärdar QC använder olika standarder som referenser, dessa standarder tolkas på många olika sätt och det saknas medvetenhet om att vissa normativa tekniska specifikationer eller standarder har företräde, vilket har lett till skillnader i det faktiska innehållet i aktuella utfärdade QC (till exempel huruvida Etsi-definierade ”QcStatements” används) vilket hindrar de mottagande parterna från att helt enkelt lita på undertecknarens certifikat (och tillhörande kedja/sökväg) för att åtminstone i maskinläsbar form kunna bedöma huruvida det certifikat som stöder en elektronisk signatur påstås vara ett QC och huruvida det är associerat till en SSCD som har använts för att skapa den elektroniska signaturen.

Genom fälten för identifiering av tjänstetyp (nedan kallad Sti), tjänstens namn (nedan kallad Sn) och tjänstens digitala identitet (nedan kallad Sdi) ( 14 ) fylls i med den information som lämnas i fältet för informationstillägg för tjänsten (nedan kallade Sie) innebär den föreslagna gemensamma mallen för tillförlitliga förteckningar att det blir möjligt att fullständigt ange en viss typ av kvalificerat certifikat som har utfärdats av en förtecknad certifieringstjänst från en CSP som utfärdar QC och upplysa om huruvida detta stöds av en SSCD eller ej (när denna information saknas i det utfärdade QC). En särskild upplysning om tjänstens nuvarande status (nedan kallad Scs) är förstås associerad till denna registerpost. Detta illustreras i figur 2 nedan.

Att registrera en tjänst i förteckningen genom att endast ange Sdi för en rotcertifikatutfärdare skulle innebära att man garanterar (av den CSP som utfärdar QC, men även av det övervaknings-/ackrediteringsorgan som ansvarar för övervakningen/ackrediteringen av den CSP som utfärdar QC) att eventuella slutanvändarcertifikat som utfärdats inom ramen för denna rotcertifikatutfärdare (hierarki) innehåller tillräckligt mycket Etsi-definierad och maskinläsbar information för att avgöra huruvida detta är ett QC eller ej och huruvida det stöds av en SSCD. Om det senare påståendet t.ex. inte är sant (det finns t.ex. ingen Etsi-standardiserad maskinläsbar angivelse i QC om huruvida det stöds av en SSCD), måste det förutsättas att enbart angivelsen Sdi för denna rotcertifikatutfärdare innebär att QC som utfärdas inom ramen för denna rotcertifikatutfärdarhierarki inte stöds av någon SSCD. För att dessa QC ska anses stödjas av en SSCD bör fältet Sie användas för att ange detta faktum (detta innebär också att detta garanteras av den CSP som utfärdar QC och övervakas/ackrediteras av övervaknings- eller ackrediteringsorganet).

Dessa tekniska specifikationer för den gemensamma mallen för den tillförlitliga förteckningen gör det möjligt att använda en kombination av fem huvuddelar av uppgifter i tjänsteregistreringen:

2.3. Riktlinjer för redigering och användning om registrerade CSPQC-tjänster

De allmänna riktlinjerna för redigering är följande:

Som en allmän standardprincip måste det för en CSP som är upptagen i den tillförlitliga förteckningen finnas en registrerad tjänst per enkelt X.509v3-certifikat för en certifieringstjänst av CA/QC-typ, dvs. en certifikatutfärdare som (direkt) utfärdar QC. Under vissa noggrant övervägda omständigheter och noggrant utformade villkor, får en medlemsstats övervaknings- eller ackrediteringsorgan besluta att använda X.509v3-certifikatet för en rotcertifikatutfärdare eller överordnad certifikatutfärdare (dvs. en certifikatutfärdare som inte direkt utfärdar slutliga QC utan som certifierar en hierarki av CA ner till en CA som utfärdar QC till slutanvändare) som Sdi för en enda registerpost i förteckningen över tjänster från en CSP som är upptagen i förteckningen. Konsekvenserna (fördelar och nackdelar) med att använda X.509v3 rotcertifikatutfärdare eller överordnad certifikatutfärdare som Sdi-värden för registrering av tjänster i den tillförlitliga förteckningen måste noggrant övervägas och godkännas av medlemsstaterna. När medlemsstaten utnyttjar detta tillåtna undantag från standardprincipen, måste den dessutom tillhandahålla den nödvändiga dokumentationen för att underlätta uppbyggnad av sökvägar och verifiering.

Detta exempel kan användas som illustration av de allmänna riktlinjerna för redigering: Om det är fråga om en CSPQC som använder en rotcertifikatutfärdare under vilken flera CA utfärdar QC och icke-QC, men för vilken QC endast innehåller QcCompliance-deklarationen och saknar angivelse av huruvida den stöds av en SSCD, skulle en registrering av en rotcertifikatutfärdare Sdi enligt de bestämmelser som förklaras ovan endast innebära att QC som utfärdas under denna rotcertifikatutfärdarhierarki INTE stöds av en SSCD. Om dessa QC faktiskt stöds av en SSCD rekommenderas dock starkt att QcSSCD-deklarationen används i de QC som utfärdas i framtiden. Under tiden (tills det sista QC som inte innehåller denna information har löpt ut), bör man i statusförteckningen över betrodda tjänster (nedan kallad TSL) använda sig av Sie-fältet och tillhörande kvalificeringstillägg, t.ex. genom att filtrera certifikat genom särskilda CSPQC-definierade OID:er som CSPQC eventuellt använder för att skilja mellan olika typer av QC (där vissa stöds av en SSCD och andra inte) och som omfattar explicit information om SSCD-stöd – med avseende på de certifikat som filtreras genom användning av kvalificerare.

De allmänna riktlinjerna för användning av tillämpningar för elektroniska signaturer, tjänster eller produkter som bygger på en TSL-tillämpning av en tillförlitlig förteckning i enlighet med dessa tekniska specifikationer, är följande:

En registrering av CA/QC Sti (och även en CA/QC-registrering som kvalificeras som en RootCA/QC genom tillägget Sie additionalServiceInformation) innebär följande:

2.4. Tjänster som stöder CA/QC-tjänster men som inte ingår i CA/QC Sdi

De fall då CRL:er och OCSP-svar signeras med andra nycklar än dem som kommer från en CA/QC bör också omfattas. Det kan man göra genom att föra upp dessa tjänster som sådana i TSL-tillämpningen av den tillförlitliga förteckningen (dvs. med en identifiering av tjänstetyp som ytterligare kvalificeras med ett tillägg om ”additionalServiceInformation” som avspeglar antingen en OCSP eller en CRL-tjänst som del av utfärdandet av QC, t.ex. med en tjänstetyp OCSP/QC respektive CRL/QC) eftersom dessa tjänster kan anses vara en del av de övervakade/ackrediterade kvalificerade tjänsterna med anknytning till tillhandahållandet av QC-certifieringstjänster. OCSP-respondrar eller CRL-utfärdare vars certifikat signeras av CA inom hierarkin för en CA/QC-tjänst som är upptagen i förteckningen ska betraktas som giltiga och förenliga med statusvärdet för CA/QC-tjänsten i förteckningen.

En liknande bestämmelse kan tillämpas för certifieringstjänster som utfärdar icke-kvalificerade certifikat (av typen CA/PKC-tjänst) som använder Etsi TS 102231 OCSP- och CRL-standardtjänstetyper.

Observera att TSL-tillämpningen av den tillförlitliga förteckningen MÅSTE omfatta återkallningstjänster när den relaterade informationen inte finns i de slutliga certifikatens AIA-fält eller när de inte har signerats av en CA som är upptagen i förteckningen.

2.5. Utveckling mot driftskompatibel QC-profil

Rent generellt måste man så långt som möjligt förenkla (minska) antalet poster med registrerade tjänster (olika Sdi:er). Detta måste emellertid balanseras med en korrekt identifiering av de tjänster som har anknytning till utfärdande av QC och tillhandahållande av tillförlitlig information om huruvida dessa QC stöds av en SSCD eller ej, när denna information saknas i det utfärdade QC.

Helst bör användningen av Sie-fältet och kvalificeringstillägget vara (strängt) begränsad till de specifika fall som behöver lösas på det sättet, eftersom QC bör innehålla tillräckligt med information i fråga om den påstådda kvalificerade statusen och det påstådda stödet eller ej från en SSCD.

Medlemsstaterna bör i så stor utsträckning som möjligt se till att driftskompatibla QC-profiler införs och används.

3. Struktur för den gemensamma mallen för den tillförlitliga förteckningen

Den föreslagna gemensamma mallen för medlemsstaternas tillförlitliga förteckningar kommer att struktureras enligt följande informationskategorier:

När det gäller en CSP som utfärdar QC måste en otvetydig identifiering av en övervakad/ackrediterad certifieringstjänst som ska tas upp i förteckningen ta hänsyn till de situationer då det inte finns tillräckligt med information tillgänglig i QC om dess status som ”kvalificerat”, dess eventuella stöd från en SSCD och särskilt för att hantera det ytterligare faktum att de flesta (kommersiella) CSP använder en enda utfärdande kvalificerad CA för att utfärda flera typer av slutanvändarcertifikat, såväl kvalificerade som icke-kvalificerade.

Antalet poster i förteckningen per erkänd CSP kan minskas om det finns en eller flera överordnade CA-tjänster, t.ex. inom ramen för en kommersiell hierarki av CA från en rotcertifikatutfärdare ned till utfärdande CA. Men också i dessa fall måste principen om att säkerställa en otvetydig koppling mellan en certifieringstjänst från en CSPQC och uppsättningen av certifikat som ska identifieras som QC upprätthållas och garanteras.

1. Information om den tillförlitliga förteckningen och dess system för utfärdande

Följande uppgifter kommer att ingå i denna kategori:

2. Otvetydig identifieringsinformation om varje CSP som erkänns genom systemet

Här ska minst följande uppgifter ingå:

3. För varje CSP som är upptagen i förteckningen, en sekvens av fält som innehåller otvetydig identifieringsinformation om en certifieringstjänst som tillhandahållaren erbjuder och som övervakas/ackrediteras inom ramen för direktiv 1999/93/EG

Dessa uppgifter ska minst omfatta följande för varje certifieringstjänst från en CSP som är upptagen i förteckningen:

4. För varje certifieringstjänst som är upptagen i förteckningen, identifiering av tjänstens aktuella status och dess statushistorik

Här ska minst följande uppgifter ingå:

4. Definitioner och förkortningar

I detta dokument används följande förkortningar och akronymer:

KAPITEL I

DETALJERADE SPECIFIKATIONER FÖR DEN GEMENSAMMA MALLEN FÖR DEN ”TILLFÖRLITLIGA FÖRTECKNINGEN ÖVER ÖVERVAKADE/ACKREDITERADE TILLHANDAHÅLLARE AV CERTIFIERINGSTJÄNSTER”

I följande del av detta dokument ska nyckelorden ”MÅSTE”, ”FÅR INTE”, ”OBLIGATORISK”, ”SKA”, ”SKA INTE”, ”BÖR”, ”BÖR INTE”, ”REKOMMENDERAD”, ”FÅR” och ”FRIVILLIG” tolkas enligt beskrivningen i RFC 2119 ( 15 ).

►M1 Dessa specifikationer bygger på specifikationerna och kraven enligt Etsi TS 102231 v.3.1.2. När inget särskilt krav anges i dessa specifikationer SKA kraven i Etsi TS 102231 v.3.1.2 tillämpas i sin helhet. ◄ När särskilda krav anges i dessa specifikationer SKA de ha företräde framför motsvarande krav i Etsi TS 102231 samtidigt som de kompletteras genom formatspecifikationerna i Etsi TS 102231. Vid avvikelser mellan dessa specifikationer och specifikationerna i Etsi TS 102231, SKA de här specifikationerna vara normativa.

Språkstöd SKA genomföras och erbjudas minst på engelska (EN) och eventuellt även på ett eller flera nationella språk.

Datum- och tidsangivelser SKA göras i enlighet med klausul 5.1.4 i Etsi TS 102231.

URI:er SKA användas i enlighet med klausul 5.1.5 i Etsi TS 102231.

Information om systemet för att utfärda den tillförlitliga förteckningen

Tag

Detta fält är OBLIGATORISKT och SKA följa klausul 5.2.1 i Etsi TS 102231.

▼M1 —————

▼C1

Scheme Information

Detta fält är OBLIGATORISKT och SKA vara inställt på ”3” (heltal).

▼M1

Detta fält är OBLIGATORISKT. Det SKA innehålla sekvensnumret för TSL:en. Med början från ”1” vid den första utgåvan av TSL SKA detta heltal höjas vid varje efterföljande utgåva av TSL. Det FÅR INTE återställas till ”1” när värdet i fält ”TSL version identifier” ovan höjs.

▼C1

▼M1

Detta fält är OBLIGATORISKT och anger typen av TSL. Det SKA vara inställt på http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (generiskt).

▼C1

Anm.: För att vara förenlig med klausul 5.3.3 i Etsi TS 102231 och ange den specifika typen av TSL och samtidigt hänvisa till förekomsten av dessa specifikationer, som styr inrättandet av TSL-tillämpningen av medlemsstaternas tillförlitliga förteckningar, ( 16 ) samt göra det möjligt för en parser att avgöra vilken av form av eventuellt efterföljande fält ( 17 ) som kan förväntas, där dessa fält har specifika (eller alternativa) betydelser beroende på vilken typ av TSL som representeras (i detta fall en tillförlitlig förteckning från en medlemsstat), SKA den ovannämnda specifika URI:n registreras och beskrivas enligt följande:

▼M1

URI : (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic

▼C1

Beskrivning : En TSL-tillämpning av en förteckning över övervaknings/ackrediteringsstatus för tillhandahållare av certifieringstjänster som övervakas/ackrediteras av den angivna medlemsstat som har ansvar för TSL-tillämpningen för att uppfylla de relevanta bestämmelserna i Europaparlamentets och rådets direktiv 1999/93/EG genom en process med direkt tillsyn (frivillig eller lagstadgad).

Detta fält är OBLIGATORISKT. Det SKA innehålla namnet på det organ i medlemsstaten som ansvarar för att inrätta, offentliggöra och underhålla den nationella tillförlitliga förteckningen. Det SKA innehålla det formella namnet på den rättsliga enhet eller förordnade enhet (t.ex. på statliga administrativa organ) som är associerade med detta organ. Det MÅSTE vara det namn som används i den formella rättsliga registreringen eller auktorisationen och som ska användas vid all formell kommunikation. Det SKA vara en sekvens med flerspråkiga teckensträngar och SKA implementeras med engelska (EN) som obligatoriskt språk och eventuellt med ett eller flera nationella språk.

Anm.: Ett land FÅR ha separata övervaknings- och ackrediteringsorgan och får även ha ytterligare organ för eventuella driftsrelaterade verksamheter. ►M1 Det är upp till varje medlemsstat att utse systemoperatören för TSL-tillämpningen av medlemsstatens tillförlitliga förteckning. ◄ Det förväntas av övervakningsorganet, ackrediteringsorganet och systemets operatör (när de förefaller vara separata organ), vart och ett ska ha sina egna ansvarsområden och skyldigheter.

Alla situationer där flera organ har ansvar för övervakning, ackreditering eller drift SKA konsekvent avspeglas och identifieras som sådana i den systeminformation som ska ingå i den tillförlitliga förteckningen, inklusive den systemspecifika information som anges i fältet ”Scheme information URI” (klausul 5.3.7).

▼M1

Den namngivna systemoperatören (klausul 5.3.4) är den enhet som ska signera TSL.

▼C1

Detta fält är OBLIGATORISKT. De SKA innehålla både post- och e-postadressen till den rättsliga enhet eller utsedda organisation som anges i fältet ”Scheme operator name” (klausul 5.3.4). Det SKA innehålla både ”PostalAddress” (dvs. gatuadress, ort, [stat eller provins], [postnummer] och ISO 3166–1 alfa 2-landkod) i enlighet med klausul 5.3.5.1 och ”ElectronicAddress” (dvs. e-postadress och/eller webbplatsens URI) i enlighet med klausul 5.3.5.2.

Detta fält är OBLIGATORISKT och ska innehålla systemets namn. Det SKA vara en sekvens med flerspråkiga teckensträngar (med engelska (EN) som obligatoriskt språk och eventuellt med ett eller flera nationella språk) i enlighet med följande:

Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws.

Systemets namn krävs för att ge en unik identitet för det system som avses med ”Scheme information URI” och även för att se till att alla system som hanteras av en operatör får ett särskilt namn.

Medlemsstater och systemoperatörer SKA se till att om en medlemsstat eller en systemoperatör driver mer än ett system, ska vart och ett av dessa system få ett särskilt namn.

Detta fält är OBLIGATORISKT och SKA innehålla den eller de URI:er där användare (beroende parter) kan få systemspecifik information (med engelska som obligatoriskt språk och eventuellt med ett eller flera nationella språk). Det SKA vara en sekvens med flerspråkiga tecken (med engelska (EN) som obligatoriskt språk och eventuellt med ett eller flera nationella språk). Den eller de angivna URI:erna MÅSTE tillhandahålla en sökväg till information som beskriver ”ändamålsenlig information om systemet”.

▼C2

Den ”ändamålsenliga informationen om systemet” SKA minst innehålla följande:

— Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

— The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

— The Trusted List of a Member State provides a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

— listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC; facilitating the validation of electronic signatures supported by those listed supervised/accredited certification services from the listed CSPs.

— The present list is the TSL implementation of [name of the relevant Member State] ‘Trusted List of supervised/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

▼C1

Ytterligare medlemsstatsspecifik information om systemet FÅR lämnas på frivillig basis. Den informationen SKA omfatta följande:

Detta fält är OBLIGATORISKT och ska innehålla identifikationen för metoden för att fastställa status. Följande specifika URI SKA användas:

URI : http://uri.etsi.org/TrstSvc/eSigDir-1999–93-EC-TrustedList/StatusDetn/appropriate

Beskrivning : Tjänster i förteckningen får sin status fastställd av eller på uppdrag av systemets operatör enligt ett lämpligt system för en angiven medlemsstat som gör det möjligt att övervaka (och, i förekommande fall, frivilligt ackreditera) tillhandahållare av certifieringstjänster som är etablerade i den medlemsstatens territorium (eller är etablerad i ett tredjeland, om det är fråga om frivillig ackreditering) och som utfärdar kvalificerade certifikat till allmänheten i enlighet med artikel 3.3 (respektive artikel 3.2 eller 7.1 a) i Europaparlamentets och rådets direktiv 1999/93/EG, och som, i förekommande fall, tillåter övervakning/frivillig ackreditering av tillhandahållare av certifieringstjänster som inte utfärdar kvalificerade certifikat, i enlighet med ett eller flera nationellt utformade och inrättade erkända godkännandesystem som tillämpas på nationell basis för att kontrollera att tjänster från CSP som inte utfärdar QC är förenliga med bestämmelserna i direktiv 1999/93/EG och som eventuellt utvidgas med nationella bestämmelser om tillhandahållandet av sådana certifieringstjänster.

Detta fält är OBLIGATORISKT och SKA minst innehålla följande registrerade URI:er:

— En URI som är gemensam för alla medlemsstaters tillförlitliga förteckningar och som länkar till en beskrivande text SKA tillämpas på samtliga tillförlitliga förteckningar:

— http://uri.etsi.org/TrstSvc/eSigDir-1999–93-EC-TrustedList/schemerules/common

— som innebär att medlemsstaternas system (identifierat genom ”TSL type” (klausul 5.3.3) och ”Scheme name” (klausul 5.3.6)) ingår i ett övergripande system (dvs. en TSL med länkar till alla medlemsstater som offentliggör och underhåller en tillförlitlig förteckning i form av en TSL),

— där användare kan få fram bestämmelser/regler som de tjänster som är upptagna i förteckningen SKA bedömas mot och som gör det möjligt att avgöra vilken typ av TSL (se klausul 5.3.3) det är fråga om,

— där användare kan få en beskrivning av hur innehållet i TSL-tillämpningen av den tillförlitliga förteckningen ska användas och tolkas. Dessa regler för användningen SKA vara gemensamma för alla medlemsstaters tillförlitliga förteckningar, oberoende av vilken typ av tjänster som förtecknas och vilka övervaknings-/ackrediteringssystem som används.

▼C2

— Beskrivande text:

Each Member State must create a ‘Trusted List of supervised/accredited Certification Service Providers’ providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present TSL implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s TSL implementation of their Trusted List, compiled by the European Commission.

The Trusted List of a Member State must provide a minimum of information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Art. 3.3, 3.2 and Art. 7.1(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable ‘supervision’ system (respectively ‘voluntary accreditation’ system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Art. 3.3, Art. 8.1, Art. 11 (respectively, Art. 2.13, Art. 3.2, Art 7.1(a), Art. 8.1, Art. 11)

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List and the present TSL implementation at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a ‘voluntary accreditation’ system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined ‘recognised approval scheme’ implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Art. 2.11 of the Directive). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific ‘qualification’ on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a ‘qualification’ is likely to be limited solely to the national level.

The general user guidelines for electronic signature applications, services or products relying on a TSL implementation of a Trusted List according to the Annex of Commission Decision 2009/767/EC are as follows:

A ‘CA/QC’‘Service type identifier’ (‘Sti’) entry (similarly a CA/QC entry further qualified as being a ‘RootCA/QC’ through the use of ‘Service information extension’ (‘Sie’) additionalServiceInformation extension)

— indicates that from the ‘Service digital identifier’ (‘Sdi’) identified CA (similarly within the CA hierarchy starting from the ‘Sdi’ identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate ETSI TS 101 862 defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI TS 101 456 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body) — Note: if no ‘Sie’‘Qualification’ information is present or if an end-entity certificate that is claimed to be a QC is not ‘further identified’ through a related ‘Sie’ entry, then the ‘machine-processable’ information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcC, QcSSCD) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

— and IF‘Sie’‘Qualification’ information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this ‘Sie’‘Qualification’ entry, which is constructed on the principle of a sequence of ‘filters’ further identifying a set of certificates, must be considered according to the associated ‘qualifiers’ providing some additional information regarding ‘SSCD support’ and/or ‘Legal person as subject’ (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific ‘Key usage’ pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of ‘qualifiers’ used to compensate for the lack of information in the corresponding QC content, and that are used respectively: — — to indicate the nature of the SSCD support: — — ‘QCWithSSCD’ qualifier value meaning ‘QC supported by an SSCD’, or — ‘QCNoSSCD’ qualifier value meaning ‘QC not supported by an SSCD’, or — ‘QCSSCDStatusAsInCert’ qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the ‘Sdi’-‘Sie’ provided information in this CA/QC entry; — AND/OR — to indicate issuance to Legal Person: — — ‘QCForLegalPerson’ qualifier value meaning ‘Certificate issued to a Legal Person’

The general interpretation rule for any other ‘Sti’ type entry is that the listed service named according to the ‘Sn’ field value and uniquely identified by the ‘Sdi’ field value has a current supervision/accreditation status according to the ‘Scs’ field value as from the date indicated in the ‘Current status starting date and time’. Specific interpretation rules for any additional information with regard to a listed service (e.g. ‘Service information extensions’ field) may be found, when applicable, in the Member State specific URI as part of the present ‘Scheme type/community/rules’ field.

Please refer to the Technical specifications for a Common Template for the ‘Trusted List of supervised/accredited Certification Service Providers’ in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the TSL implementation of the Member States’ Trusted Lists.

▼C1