תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות)

{{ח:התחלה}}
{{ח:כותרת|תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות), התשס״ב–2001}}

{{ח:פתיח-התחלה}}
{{ח:תיבה|ק״ת תשס״ב, 2|תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות)|https://olaw.org.il/takanot/takanot-6126.pdf}}; {{ח:תיבה|תש״ע, 1362|תיקון|https://olaw.org.il/takanot/takanot-6907.pdf}}.
{{ח:סוגר}}
{{ח:מפריד}}

{{ח:מבוא}}
בתוקף סמכותי לפי {{ח:חיצוני|חוק חתימה אלקטרונית#סעיף 19|סעיפים 19(א)(1)}} {{ח:חיצוני|חוק חתימה אלקטרונית#סעיף 24|ו־24(א)(9) עד (11)}} {{ח:חיצוני|חוק חתימה אלקטרונית|לחוק חתימה אלקטרונית, התשס״א–2001}} (להלן – החוק), ובאישור הועדה לעניני מחקר ופיתוח מדעי וטכנולוגי של הכנסת לפי {{ח:חיצוני|חוק חתימה אלקטרונית#סעיף 24|סעיף 24(ב)(2) {{ח:הערה|לחוק}}}}, אני מתקין תקנות אלה:
{{ח:סוגר}}
{{ח:מפריד}}

{{ח:קטע2||תוכן עניינים}}

{{ח:פנימי|פרק א|פרק א׳: פרשנות}}

{{ח:פנימי|פרק ב|פרק ב׳: מערכות חומרה ותוכנה מהימנות}}

{{ח:פנימי|פרק ג|פרק ג׳: חתימה אלקטרונית מאובטחת}}

{{ח:פנימי|פרק ד|פרק ד׳: בדיקת בקשות להנפקת תעודה אלקטרונית}}

{{ח:פנימי|פרק ה|פרק ה׳: פרטים בתעודה אלקטרונית ושונות}}

{{ח:פנימי|תוספת|תוספת}}

{{ח:קטע2|פרק א|פרק א׳: פרשנות}}

{{ח:סעיף|1|הגדרות|תיקון: תש״ע}}
{{ח:ת}} בתקנות אלה –
{{ח:ת|סוג=הגדרה}} ”מבקש“ – כהגדרתו {{ח:חיצוני|חוק חתימה אלקטרונית#סעיף 18|בסעיף 18(א) לחוק}};
{{ח:ת|סוג=הגדרה}} ”מידע מן המרשם“ – פרטים שהתקבלו לפי דרישת הרשם, ממרשם האוכלוסין במשרד הפנים (להלן – מרשם האוכלוסין), כולם או חלקם, מבין אלה: מספר זהות, שם משפחה ושם משפחה קודם, אם שונה, שם פרטי, שם האב, שם האם, שנת לידה, תאריך הנפקת תעודה אחרון, סיבת הנפקת התעודה, מען נוכחי, אם ישנם – סטטוס פטירה ותאריך פטירה;
{{ח:ת|סוג=הגדרה}} ”מסמך נהלים“ – הוראות נוהל שלפיהן פועל הגורם המאשר, הערוכות על פי {{ח:חיצוני|https://tools.ietf.org/html/rfc2527|מסמך RFC 2527 של הארגון הבין־לאומי IETF}} (להלן – מסמך RFC) צוות המשימה להנדסת האינטרנט, ואשר הוגשו לאישור הרשם;
{{ח:ת|סוג=הגדרה}} ”מערכת“ – מערכת החומרה והתוכנה של הגורם המאשר המשמשת לפעילותו כגורם מאשר;
{{ח:ת|סוג=הגדרה}} ”RSA‏“, ”DSA“ ו־”Elliptic Curve DSA“ – אלגוריתמים להפקת חתימה אלקטרונית מאובטחת, שהכיר בהם אחד הגופים המפורטים בתוספת;
{{ח:ת|סוג=הגדרה}} ”FIPS“ – סדרת תקנים של המכון הלאומי לתקנים וטכנולוגיה של ארצות הברית של אמריקה, לאבטחת מידע במערכות מחשב;
{{ח:ת|סוג=הגדרה}} ”Common Criteria EAL“ – מדרג של רמות אבטחת מידע, אשר אומץ בידי ארגון התקינה הבין־לאומי, בתקן ISO 15408;
{{ח:ת|סוג=הגדרה}} ”תושב“ – כמשמעותו {{ח:חיצוני|חוק מרשם האוכלוסין|בחוק מרשם האוכלוסין, התשכ״ה–1965}}, לרבות אזרח ישראלי שאינו תושב כאמור, הרשום במרשם האוכלוסין;
{{ח:ת|סוג=הגדרה}} ”תושב חוץ“ – מי שאינו תושב;
{{ח:ת|סוג=הגדרה}} ”ת״י“ – תקן ישראלי כמשמעותו {{ח:חיצוני|חוק התקנים|בחוק התקנים, התשי״ג–1953}} (להלן – חוק התקנים);
{{ח:ת|סוג=הגדרה}} ”תקן מקובל“ – תקן אבטחת מידע של אחד הגופים המפורטים {{ח:פנימי|תוספת|בתוספת}};
{{ח:ת|סוג=הגדרה}} ”תקן ISO/IEC 9594-8“ – {{ח:חיצוני|https://www.itu.int/rec/T-REC-X.509/en|תקן של מכון התקנים הבין־לאומי}}, אשר פורסם גם {{ח:חיצוני|https://tools.ietf.org/html/rfc4158|כתקן X509v.3 של הארגון הבין־לאומי IETF}}, צוות המשימה להנדסת אינטרנט.

{{ח:קטע2|פרק ב|פרק ב׳: מערכות חומרה ותוכנה מהימנות}}

{{ח:סעיף|2|תקן}}
{{ח:ת}} גורם מאשר יקבל מאת מכון התקנים או מאת מי שאושר לענין זה לפי {{ח:חיצוני|חוק התקנים#סעיף 12|סעיף 12 לחוק התקנים}}, קודם לתחילת פעילותו לפי {{ח:חיצוני|חוק חתימה אלקטרונית|החוק}}, תעודת בדיקה בדבר התאמה לת״י 7799, חלקים 1 ו־2, ויעמוד בתקן במשך כל זמן פעילותו.

{{ח:סעיף|3|זמינות}}
{{ח:ת}} גורם מאשר ידאג להבטיח כי במערכות הדרושות לבדיקת מאגרי תעודות בטלות ועדכונן, תתקיים בכל עת רמת זמינות גבוהה, להנחת דעתו של הרשם.

{{ח:סעיף|4|אמצעי החתימה של הגורם המאשר}}
{{ח:ת}} גורם מאשר ישתמש באמצעי חתימה שמתקיימים בו לפחות כל אלה:
{{ח:תת|(1)}} הוא מבוסס על מפתח RSA או DSA באורך 2,048 סיביות לפחות או Elliptic curve DSA באורך 160 סיביות לפחות;
{{ח:תת|(2)}} הוא מוגן באמצעי שמתקיימות בו לפחות דרישות האבטחה של FIPS 140-2 רמה 2;
{{ח:תת|(3)}} הוא מגובה באמצעים מוגנים ומאובטחים, להנחת דעתו של הרשם; הגיבוי יישמר בנפרד;
{{ח:תת|(4)}} דרישות נוספות שהעמיד הרשם לשם קיום אבטחה ברמה סבירה מפני חדירה, שיבוש או שימוש לרעה.

{{ח:סעיף|5|אבטחת מרכיבי המערכת ואמצעי התקשורת}}
{{ח:תת|(א)}} מרכיבי המערכת המשמשים לזיהוי המבקש, להנפקת תעודה אלקטרונית ולביטולה (להלן – פעולות חיוניות) יעמדו ברמת ביטחון של תקן common criteria EAL4 או לפי תקן מקובל אחר, המבטיח רמת אבטחה מקבילה, להנחת דעתו של הרשם.
{{ח:תת|(ב)}} אמצעי התקשורת המשמשים לפעולות החיוניות של הגורם המאשר, יעמדו בדרישות אבטחה גבוהות, להנחת דעתו של הרשם.

{{ח:סעיף|6|אבטחה פיזית}}
{{ח:ת}} גורם מאשר יבטיח כי חלקי המערכת החיוניים לפעילותו כגורם מאשר (להלן – החלקים החיוניים) יישמרו במקום מוגן, המונע חדירה וכניסה בלא הרשאה, והתואם את אופי פעילותו של גורם מאשר, להנחת דעתו של הרשם.

{{ח:סעיף|7|בקרת גישה והפרדת תפקידים}}
{{ח:תת|(א)}} גורם מאשר יבטיח כי ביצוע הפעולות החיוניות לא יהא בשליטתו של אדם אחד בלבד.
{{ח:תת|(ב)}} גורם מאשר יבטיח את מידור הגישה לחלקים החיוניים, כך שלאותו אדם לא תהא גישה לכל החלקים החיוניים.
{{ח:תת|(ג)}} גורם מאשר ינהיג אמצעי זיהוי שיבטיחו זיהוי ותיעוד גישתו של כל אדם למערכת.
{{ח:תת|(ד)}} הרשם רשאי לפטור גורם מאשר מהחובות לפי תקנות משנה (א) ו־(ב), מטעמים שיירשמו, ורשאי הוא לקבוע להן חובות חלופיות.

{{ח:קטע2|פרק ג|פרק ג׳: חתימה אלקטרונית מאובטחת}}

{{ח:סעיף|8|חזקה לענין חתימה אלקטרונית מאובטחת}}
{{ח:ת}} חתימה אלקטרונית שמתקיים בה אחד מאלה, חזקה שהיא חתימה אלקטרונית מאובטחת:
{{ח:תת|(1)}} לגבי אמצעי לאימות חתימה שמחזיק בידיו המבקש, ואמצעי החתימה שאותו הוא מזהה, מתקיימות לפחות הדרישות כמפורט להלן:
{{ח:תתת|(א)}} החתימה מופקת באמצעות מפתח המבוסס על תקן מקובל, העושה שימוש באחד מאלה:
{{ח:תתתת|(1)}} מפתח RSA או DSA באורך 1,024 סיביות לפחות;
{{ח:תתתת|(2)}} מפתח elliptic curve DSA באורך 160 סיביות לפחות;
{{ח:תתת|(ב)}} להפעלת אמצעי החתימה, או לגישה אליו, נדרש שימוש באמצעים פיזיים או הצפנתיים (קריפטולוגיים) ייחודיים, העומדים ברמת אבטחה של תקן FIPS 140-2 רמה 1, ברמת ביטחון של תקן common criteria EAL2 לפחות;
{{ח:תתת|(ג)}} היתה הפעלת אמצעי החתימה כרוכה בשימוש בסיסמה, תעמוד הסיסמה בדרישות אבטחה ברמה הגבוהה לפי ת״י 1495 חלק 3, או בדרישות חלופיות שקבע הרשם, אם נוכח כי ניתן לפטור מהדרישה האמורה;
{{ח:תת|(2)}} היא חתימה אלקטרונית שאישר הרשם, לפי הוראות {{ח:פנימי|סעיף 9|תקנה 9}}.

{{ח:סעיף|9|אישור לענין חתימה אלקטרונית מאובטחת}}
{{ח:תת|(א)}} מי שמעוניין בכך, רשאי לפנות, בכתב, לרשם לשם קביעה –
{{ח:תתת|(1)}} אם טכנולוגיה מסוימת עומדת בדרישות שנקבעו {{ח:פנימי|סעיף 8|בתקנה 8(1)}}; פניה כאמור תכלול מסמכים המתארים את הטכנולוגיה, לרבות תעודת התאמה לתקן מקובל, אם ישנה, וחוות דעת של מומחה אבטחת מידע בדבר אמינותה של הטכנולוגיה; הרשם רשאי לדרוש כל מידע אחר הדרוש לו כדי לבחון אם מדובר בטכנולוגיה העומדת בדרישות {{ח:פנימי|סעיף 8|תקנה 8(1)}} וכדי לאשרה;
{{ח:תתת|(2)}} כי טכנולוגיה מסוימת מפיקה חתימה אלקטרונית שחזקה שהיא חתימה אלקטרונית מאובטחת, אף שאין מתקיימות בה הוראות {{ח:פנימי|סעיף 8|תקנה 8(1)}}; פניה כאמור תכלול מסמכים כאמור בפסקה (1).
{{ח:תת|(ב)}} אישר הרשם, לפי תקנת משנה (א), כי חזקה שחתימה אלקטרונית מסוימת היא חתימה אלקטרונית מאובטחת, יפרסם ברשומות את דבר אישורה של הטכנולוגיה שלגביה אישר כאמור; נוסף על כך, ינהל הרשם רשימה מעודכנת של טכנולוגיות שקיבלו את אישורו באתר אינטרנט המשמש לכך.

{{ח:קטע2|פרק ד|פרק ד׳: בדיקת בקשות להנפקת תעודה אלקטרונית}}

{{ח:סעיף|10|זיהוי המבקש|תיקון: תש״ע}}
{{ח:ת}} לא ינפיק גורם מאשר תעודה אלקטרונית אלא לאחר שאימת את זהות המבקש כמפורט להלן:
{{ח:תת|(1)}} הגורם המאשר, או נציגו או שליח מטעמו שאישר הרשם ובתנאים שקבע באישור, זיהה פנים אל פנים את המבקש, ואם היה המבקש תאגיד – את מורשה החתימה מטעם התאגיד;
{{ח:תת|(2)}} הגורם המאשר יבדוק את פרטי הזיהוי של המבקש:
{{ח:תתת|(א)}} ביחיד שהוא תושב ישראל – על פי תעודת זהות וכן מידע מן המרשם, וכן אחד מן המסמכים המזהים האלה, ובלבד שהם בתוקף:
{{ח:תתתת|(1)}} דרכון ישראלי;
{{ח:תתתת|(2)}} רישיון נהיגה ישראלי הנושא תמונה של המבקש;
{{ח:תתתת|(3)}} מסמך מזהה שמונפק על ידי המדינה לעובד המדינה, למי שממלא תפקיד או נושא משרה מטעמה או במוסד ממוסדות המדינה, או למי שממלא תפקיד על פי דין, לצורך ביצוע עבודתו או תפקידו כאמור, ובלבד שהמסמך נושא תמונה של המבקש ואת מספר הזהות שלו; לעניין זה, ”עובד המדינה“ – לרבות חייל, שוטר וסוהר;
{{ח:תתתת|(4)}} לעניין מי שאין בידיו מסמך מזהה לפי פסקאות משנה (1) עד (3) והגיש תצהיר על כך, אחד מאלה:
{{ח:תתתתת|(א)}} תעודת מעבר, כהגדרתה {{ח:חיצוני|חוק הדרכונים|בחוק הדרכונים, התשי״ב–1952}}, הנושאת תמונה של המבקש;
{{ח:תתתתת|(ב)}} מסמך מזהה מסוג אחר שהרשם אישר לעניין זה, מטעמים שיירשמו ובלבד שהמסמך נושא תמונה של המבקש ואת מספר הזהות שלו; הודעה על אישור שנתן הרשם לסוגי מסמכים מזהים כאמור תפורסם ברשומות ובאתר האינטרנט של הרשם;
{{ח:תתתתת|(ג)}} אישור של עורך דין על זהותו של המבקש ועל כך שהוא מכיר את המבקש אישית וכי הוא מודע לכך שאישורו נועד לתמוך בבקשה להנפקת תעודה אלקטרונית לפי {{ח:חיצוני|חוק חתימה אלקטרונית|החוק}}, בצירוף תמונתו של המבקש החתומה בידי עורך הדין, בהתאם לנוסח שיורה הרשם;
{{ח:תתת|(ב)}} ביחיד שהוא תושב חוץ – על פי דרכון חוץ או תעודת מסע או תעודת זהות, וכן על פי מסמך זיהוי נוסף הנושא תמונה של המבקש ופרטים מזהים שלו ושל מי שהנפיק את המסמך הנוסף;
{{ח:תתת|(ג)}} בתאגיד הרשום בישראל – על פי תעודת הרישום, אישור של עורך דין על קיומו של התאגיד, שמו ומספרו הרשום, או במקום אישור של עורך דין כאמור – על פי אימות במרשמים המתאימים, וכן על פי העתק מאושר של החלטת האורגן המוסמך בתאגיד בדבר מורשה החתימה מטעם התאגיד, או אישור של עורך דין על מורשה החתימה כאמור;
{{ח:תתת|(ד)}} בתאגיד שאינו רשום בישראל – על פי העתק מאושר ממסמך המעיד על רישומו, אישור של עורך דין על קיומו של התאגיד, שמו ומספרו הרשום, או במקום אישור של עורך דין כאמור – על פי אימות במרשמים המתאימים, וכן על פי העתק מאושר של החלטת האורגן המוסמך בתאגיד בדבר מורשה החתימה מטעם התאגיד או אישור של עורך דין על מורשה החתימה כאמור;
{{ח:תתת|(ה)}} במוסד ציבורי – על פי הצהרת המבקש, לאחר שהגורם המאשר נוכח, על פי מסמך, כי מורשה החתימה מוסמך לפעול בשם המוסד הציבורי; לענין פסקה זו, ”מוסד ציבורי“ – משרדי ממשלה, רשויות מקומיות, וכן רשויות, תאגידים או מוסדות אחרים שהוקמו בישראל לפי חיקוק;
{{ח:תת|(3)}} לענין פסקאות משנה (ג) עד (ה) שבפסקה (2) – יזהה הגורם המאשר את מורשה החתימה לפי הוראות פסקאות משנה (א) או (ב) שבאותה פסקה, לפי הענין;
{{ח:תת|(4)}} לענין פסקאות משנה (ד) ו־(ה) שבפסקה (2), ”העתק מאושר“ – העתק מתאים למקור המאומת בידי אחד מאלה:
{{ח:תתת|(א)}} הרשות שהנפיקה את מסמך המקור;
{{ח:תתת|(ב)}} עורך דין בעל רישיון לעריכת דין בישראל;
{{ח:תתת|(ג)}} נציג דיפלומטי או קונסולרי ישראלי בחוץ לארץ.

{{ח:סעיף|11|שמירת מסמכי הזיהוי}}
{{ח:ת}} גורם מאשר יקבל לידיו וישמור ברשותו או ברשות נציגו או שליחו כאמור {{ח:פנימי|סעיף 10|בתקנה 10(1)}}, העתק של כל אחד ממסמכי הזיהוי שהוגשו לפי {{ח:פנימי|סעיף 10|תקנה 10}}, למשך 15 שנים לפחות מיום שפג תוקפה של התעודה האלקטרונית שהנפיק, ואולם אם חודשה התעודה לפי {{ח:פנימי|סעיף 12|תקנה 12}}, ישמור את המסמכים למשך 15 שנים מיום שפג תוקפה של התעודה האחרונה שהנפיק לאותו מבקש.

{{ח:סעיף|12|זיהוי לצורך הנפקת תעודה אלקטרונית חדשה}}
{{ח:ת}} בהנפקת תעודה אלקטרונית חדשה, על סמך תעודה אלקטרונית שטרם פג תוקפה, יכול גורם מאשר לנקוט הליכי זיהוי שונים מאלה האמורים {{ח:פנימי|סעיף 10|בתקנה 10}}, ובלבד שהרשם אישר הליכים כאמור.

{{ח:סעיף|13|הנפקת תעודה אלקטרונית}}
{{ח:תת|(א)}} גורם מאשר ינפיק תעודה אלקטרונית למבקש רק לאחר שבדק כי המבקש מחזיק בידיו אמצעי חתימה להפקת חתימה אלקטרונית מאובטחת, וכי באמצעי החתימה ובאמצעי לאימות חתימה המזהה את אמצעי החתימה האמור מתקיימות הוראות {{ח:פנימי|סעיף 8|תקנה 8}}.
{{ח:תת|(ב)}} לענין קיום הוראות {{ח:פנימי|סעיף 8|תקנה 8(1)(ב) ו־(ג)}}, רשאי הגורם המאשר להסתפק בהצהרה מטעם המבקש, בדבר אמצעי החתימה שבו הוא משתמש, אופן הפעלתו והגישה אליו.
{{ח:תת|(ג)}} תעודה אלקטרונית תהיה בהתאם לתקן ISO/IEC 9594-8.

{{ח:קטע2|פרק ה|פרק ה׳: פרטים בתעודה אלקטרונית ושונות}}

{{ח:סעיף|14|פרטים בתעודה אלקטרונית}}
{{ח:תת|(א)}} היה המבקש יחיד אשר זוהה שלא לפי תעודת זהות, תכלול התעודה האלקטרונית שתונפק לו את מספר הזיהוי שעל פיו זוהה, לפי {{ח:פנימי|סעיף 10|תקנה 10}}, ואם היה המבקש תושב חוץ – גם את מקום הנפקת המסמך המזהה.
{{ח:תת|(ב)}} היה המבקש תאגיד, תכלול התעודה האלקטרונית שתונפק לו את שם התאגיד ומספרו הרשום, שמו ותוארו של מורשה החתימה מטעם המבקש, ואת מספר הזיהוי שעל פיו זוהה, ואם היה תאגיד שאינו רשום בישראל – גם את מקום הרישום.
{{ח:תת|(ג)}} היה המבקש מוסד ציבורי, תכלול התעודה האלקטרונית שתונפק לו את שם המוסד, וכן את שמו ותוארו של מורשה החתימה מטעם המבקש, ומספר הזיהוי שעל פיו זוהה.

{{ח:סעיף|15|שינוי תקן}}
{{ח:תת|(א)}} הוחלף תקן מן התקנים הנזכרים בתקנות אלה, לרבות מסמך RFC, בתקן או מסמך חדש, לפי הענין, יהיו התקן או המסמך החדש מחייבים במקביל לתקן או המסמך הישן, זולת אם אין עוד בתקן או במסמך הישן כדי להבטיח תנאי אבטחה נאותים, להנחת דעתו של הרשם, שאז יחייב התקן או המסמך החדש בלבד, בתוך זמן שיורה הרשם.
{{ח:תת|(ב)}} הרשם יודיע לגורמים מאשרים על שינוי תקן או מסמך RFC מחייב כאמור בתקנת משנה (א), ויפרסם באתר האינטרנט שיועד לכך רשימה מעודכנת של התקנים והמסמכים המחייבים לפי תקנות אלה.

{{ח:סעיף|16|דוח שנתי}}
{{ח:תת|(א)}} הרשם יגיש לשר ולועדה לעניני מחקר ופיתוח מדעי וטכנולוגי של הכנסת, אחת לשנה ולא יאוחר מיום 1 באוקטובר של השנה, דין וחשבון בדבר הפעלת סמכויותיו לפי תקנות אלה, לרבות בדבר הטכנולוגיות שאושרו והליכי אישורן.
{{ח:תת|(ב)}} הדוח האמור בתקנת משנה (א) יפורסם באתר האינטרנט של הרשם.

{{ח:סעיף|17|תחילה}}
{{ח:ת}} תחילתן של תקנות אלה ביום תחילתו של {{ח:חיצוני|חוק חתימה אלקטרונית|החוק}}.

{{ח:קטע2|תוספת|תוספת}}
{{ח:קטע4||{{ח:הערה|({{ח:פנימי|סעיף 1|תקנה 1}})}}}}

{{ח:סעיף*|1||עוגן=תוספת פרט 1}}
{{ח:ת}} (Internet Engineering Task Force (IETF

{{ח:סעיף*|2||עוגן=תוספת פרט 2}}
{{ח:ת}} (National Institute of Standards and Technology (NIST

{{ח:סעיף*|3||עוגן=תוספת פרט 3}}
{{ח:ת}} (American National Standards Organization (ANSI

{{ח:סעיף*|4||עוגן=תוספת פרט 4}}
{{ח:ת}} (European Telecommunications Standards Institute (ETSI

{{ח:סעיף*|5||עוגן=תוספת פרט 5}}
{{ח:ת}} (International Standards Organization (ISO

{{ח:סעיף*|6||עוגן=תוספת פרט 6}}
{{ח:ת}} מכון התקנים הישראלי

{{ח:חתימות|כ״ה באלול התשס״א (13 בספטמבר 2001)}}
* '''מאיר שטרית'''
שר המשפטים
{{ח:סוגר}}
{{ח:סוף}}
[[קטגוריה:בוט חוקים]]