Source: https://www.admin.ch/opc/de/classified-compilation/20011277/200501010000/comparison.html
Timestamp: 2019-04-22 17:14:35+00:00

Document:
[943.03]
3. Abschnitt: Generierung und Verwendung von Signatur- und S...
4. Abschnitt: Qualifizierte Zertifikate
Art. 8 Ausstellung qualifizierter Zertifikate
Art. 9 Informations- und Dokumentationspflicht
Art. 10 Ungültigerklärung qualifizierter Zertifikate
Art. 11 Verzeichnisdienste für qualifizierte Zertifikate
Art. 12 Zeitstempel
Art. 13 Einstellung der Geschäftstätigkeit
Art. 16 Haftung der Anbieterin von Zertifizierungsdiensten
Art. 17 Haftung der Anerkennungsstelle
vom 19. Dezember 2003 (Stand am 1. August 2008)
gestützt auf die Artikel 95 Absatz 1 und 122 Absatz 1 der Bundesverfassung1, nach Einsicht in die Botschaft des Bundesrates vom 3. Juli 20012,
die Voraussetzungen, unter denen sich Anbieterinnen von Zertifizierungsdiensten im Bereich der elektronischen Signatur anerkennen lassen können;
2 Es hat zum Zweck:
ein breites Angebot an sicheren Diensten der elektronischen Zertifizierung zu fördern;
die Verwendung qualifizierter elektronischer Signaturen zu begünstigen;
qualifizierte elektronische Signatur: eine fortgeschrittene elektronische Signatur, die auf einer sicheren Signaturerstellungseinheit nach Artikel 6 Absätze 1 und 2 und auf einem qualifizierten und zum Zeitpunkt der Erzeugung gültigen Zertifikat beruht;
Signaturschlüssel: einmalige Daten wie Codes oder private kryptografische Schlüssel, die von der Inhaberin oder vom Inhaber zur Erstellung einer elektronischen Signatur verwendet werden;
Signaturprüfschlüssel: Daten wie Codes oder öffentliche kryptografische Schlüssel, die zur Überprüfung einer elektronischen Signatur verwendet werden;
qualifiziertesZertifikat: ein digitales Zertifikat, das die Anforderungen des Artikels 7 erfüllt;
Anerkennungsstelle: Stelle, die nach dem Akkreditierungsrecht1 für die Anerkennung und die Überwachung der Anbieterinnen von Zertifizierungsdiensten akkreditiert ist.
1 BG vom 6. Okt. 1995 über die technischen Handelshemmnisse, THG (SR 946.51) und die dazugehörigen Ausführungsvorschriften.
Informatiksysteme und -produkte, insbesondere Signaturerstellungseinheiten verwenden, die verlässlich und vertrauenswürdig sind;
die notwendigen Versicherungen zur Deckung allfälliger Haftungsansprüche aus Artikel 16 und der Kosten, welche aus den in Artikel 13 Absätze 2 und 3 vorgesehenen Massnahmen erwachsen könnten, abschliessen;
2 Wird keine Stelle für die Anerkennung akkreditiert, so bezeichnet der Bundesrat die Akkreditierungsstelle oder eine andere geeignete Stelle als Anerkennungsstelle.
3. Abschnitt: Generierung und Verwendung von Signatur- und Signaturprüfschlüsseln
1 Der Bundesrat regelt die Generierung von Signatur- und Signaturprüfschlüsseln, für die qualifizierte Zertifikate im Sinne dieses Gesetzes ausgestellt werden können. Er sorgt dabei für ein der technischen Entwicklung entsprechendes hohes Sicherheitsniveau.
2 Die Signaturerstellungseinheiten müssen zumindest gewährleisten, dass die für die Erzeugung der Signatur verwendeten Signaturschlüssel:
mit hinreichender Sicherheit nicht abgeleitet werden können und die Signatur bei Verwendung der jeweils verfügbaren Technologie vor Fälschungen geschützt ist;
3 Bei der Gestaltung des Signaturprüfungsvorgangs ist darauf zu achten, dass folgende Anforderungen mit hinreichender Sicherheit gewährleistet sind:
Die zur Überprüfung der Signatur verwendeten Daten entsprechen den Daten, die der Überprüferin oder dem Überprüfer angezeigt werden.
Die Signatur wird zuverlässig überprüft und das Ergebnis dieser Überprüfung wird korrekt angezeigt.
Die Überprüferin oder der Überprüfer kann bei Bedarf den Inhalt der unterzeichneten Daten zuverlässig feststellen.
Die Echtheit und die Gültigkeit des zum Zeitpunkt der Überprüfung der Signatur verlangten Zertifikats werden zuverlässig überprüft und das Ergebnis der Überprüfung wird korrekt angezeigt.
Die Identität der Inhaberin oder des Inhabers des Signaturschlüssels wird korrekt angezeigt.
Die Verwendung eines Pseudonyms wird eindeutig angegeben.
Die sicherheitsrelevanten Veränderungen können erkannt werden.
1 Ein qualifiziertes Zertifikat muss mindestens folgende Angaben enthalten:
den Hinweis, dass es sich um ein qualifiziertes Zertifikat handelt;
den Namen oder das Pseudonym der natürlichen Person, die den Signaturprüfschlüssel innehat; im Falle einer Verwechslungsmöglichkeit ist der Name mit einem unterscheidenden Zusatz zu versehen;
den Signaturprüfschlüssel;
den Namen, den Niederlassungsstaat und die qualifizierte elektronische Signatur der Anbieterin von Zertifizierungsdiensten, die das Zertifikat ausstellt;
den Hinweis darauf, ob die Anbieterin von Zertifizierungsdiensten anerkannt ist oder nicht und bei allfälliger Anerkennung den Namen der Anerkennungsstelle.
2 Ins Zertifikat aufzunehmen sind ferner:
spezifische Attribute der Inhaberin oder des Inhabers des Signaturschlüssels, wie die Tatsache, dass sie oder er zur Vertretung einer bestimmten juristischen Person berechtigt ist;
der Geltungsbereich des Zertifikats;
der Wert der Transaktionen, für die das Zertifikat verwendet werden kann.
3 Der Bundesrat regelt das Format der Zertifikate.
1 Die anerkannten Anbieterinnen von Zertifizierungsdiensten müssen von den Personen, die einen Antrag auf Ausstellung eines qualifizierten Zertifikats stellen, verlangen, dass sie persönlich erscheinen und den Nachweis ihrer Identität erbringen. Im Falle von Artikel 7 Absatz 2 Buchstabe a ist die Einwilligung der vertretenen Person nachzuweisen; berufsbezogene oder sonstige Angaben zur Person sind durch die zuständige Stelle zu bestätigen.
2 Der Bundesrat bezeichnet die Dokumente, mit denen die antragstellende Person ihre Identität und allfällige Attribute nachweisen kann. Er kann vorsehen, dass unter bestimmten Voraussetzungen auf das persönliche Erscheinen der antragstellenden Person verzichtet wird.
3 Die anerkannten Anbieterinnen von Zertifizierungsdiensten müssen sich ferner vergewissern, dass die Person, die ein qualifiziertes Zertifikat verlangt, im Besitz des entsprechenden Signaturschlüssels ist.
4 Die anerkannten Anbieterinnen von Zertifizierungsdiensten können ihre Aufgabe zur Identifikation einer Antragstellerin oder eines Antragstellers an Dritte delegieren (Registrierungsstellen). Sie haften für die korrekte Ausführung der Aufgabe durch die Registrierungsstelle.
2 Sie müssen ihre Kundinnen und Kunden spätestens bei der Ausstellung der qualifizierten Zertifikate auf die Folgen eines möglichen Missbrauchs des Signaturschlüssels und auf die nach den Umständen notwendigen Vorkehrungen zur Geheimhaltung des Signaturschlüssels aufmerksam machen.
1 Die anerkannten Anbieterinnen von Zertifizierungsdiensten erklären ein qualifiziertes Zertifikat unverzüglich für ungültig, wenn:
sich herausstellt, dass dieses unrechtmässig erlangt worden ist;
es keine Gewähr mehr bietet für die Zuordnung eines Signaturprüfschlüssels zu einer bestimmten Person.
3 Sie informieren die Inhaberinnen und Inhaber qualifizierter Zertifikate unverzüglich über die erfolgte Ungültigerklärung.
1 Jede anerkannte Anbieterin von Zertifizierungsdiensten stellt sicher, dass die Gültigkeit aller qualifizierten Zertifikate, die sie ausgestellt hat, mit einem gebräuchlichen Verfahren jederzeit zuverlässig überprüft werden kann.
2 Sie kann zudem einen Verzeichnisdienst anbieten, über den jedermann die qualifizierten Zertifikate dieser Anbieterin suchen und abrufen kann. In dieses Verzeichnis wird ein Zertifikat nur auf Verlangen des Inhabers beziehungsweise der Inhaberin eingetragen.
4 Der Bundesrat bestimmt die Mindestdauer, während der die Überprüfung von nicht mehr gültigen qualifizierten Zertifikaten möglich bleiben muss.
Auf entsprechendes Begehren müssen die anerkannten Anbieterinnen von Zertifizierungsdiensten eine mit ihrer qualifizierten elektronischen Signatur versehene Bescheinigung abgeben, wonach bestimmte digitale Daten zu einem bestimmten Zeitpunkt vorliegen.
1 Die anerkannten Anbieterinnen von Zertifizierungsdiensten melden der Akkreditierungsstelle die Aufgabe ihrer Geschäftstätigkeit rechtzeitig. Eine gegen sie gerichtete Konkursandrohung melden sie unverzüglich.
2 Die Akkreditierungsstelle beauftragt eine andere anerkannte Anbieterin von Zertifizierungsdiensten, das Verzeichnis der gültigen, der abgelaufenen und der für ungültig erklärten qualifizierten Zertifikate zu führen und das Tätigkeitsjournal sowie die entsprechenden Belege aufzubewahren. Der Bundesrat bezeichnet eine geeignete Stelle zur Übernahme der Aufgabe, wenn es an einer anerkannten Anbieterin von Zertifizierungsdiensten fehlt. Die anerkannte Anbieterin von Zertifizierungsdiensten, die ihre Tätigkeit aufgibt, trägt die daraus entstehenden Kosten.
1 Die anerkannten Anbieterinnen von Zertifizierungsdiensten und die von ihnen beauftragten Registrierungsstellen dürfen nur diejenigen Personendaten bearbeiten, die zur Erfüllung ihrer Aufgaben notwendig sind. Sie dürfen mit diesen Daten keinen Handel treiben.
1 Die anerkannten Anbieterinnen von Zertifizierungsdiensten werden nach den Regeln des Akkreditierungsrechts1 von den Anerkennungsstellen beaufsichtigt.
2 Eine Anerkennungsstelle meldet der Akkreditierungsstelle unverzüglich den Entzug der Anerkennung einer Anbieterin von Zertifizierungsdiensten. Artikel 13 Absatz 2 findet Anwendung.
1 Die Anbieterin von Zertifizierungsdiensten haftet der Inhaberin oder dem Inhaber des Signaturschlüssels und Drittpersonen, die sich auf ein gültiges qualifiziertes Zertifikat verlassen haben, für Schäden, die diese erleiden, weil die Anbieterin den Pflichten aus diesem Gesetz und den entsprechenden Ausführungsvorschriften nicht nachgekommen ist.
2 Sie trägt die Beweislast dafür, den Pflichten aus diesem Gesetz und den Ausführungsvorschriften nachgekommen zu sein.
3 Sie kann ihre Haftung aus diesem Gesetz weder für sich noch für Hilfspersonen wegbedingen. Sie haftet jedoch nicht für Schäden, die sich aus der Nichtbeachtung oder Überschreitung einer Nutzungsbeschränkung (Art. 7 Abs. 2) ergeben.
Die Anerkennungsstelle nach Artikel 2 Buchstabe h haftet der Inhaberin oder dem Inhaber des Signaturschlüssels und Drittpersonen, die sich auf ein gültiges qualifiziertes Zertifikat verlassen haben, für Schäden, die diese erleiden, weil die Anerkennungsstelle ihren Pflichten aus diesem Gesetz und den Ausführungsvorschriften nicht nachgekommen ist. Artikel 16 Absätze 2 und 3 gilt sinngemäss.
1 Um die internationale Verwendung elektronischer Signaturen und deren rechtliche Anerkennung zu erleichtern, kann der Bundesrat internationale Abkommen schliessen, namentlich über:
die Anerkennung elektronischer Signaturen und Zertifikate;
die Erteilung von Normungsaufträgen an internationale Normungsorganisationen, soweit in Vorschriften über elektronische Signaturen auf bestimmte technische Normen verwiesen wird oder verwiesen werden soll;
2 Zur Durchführung internationaler Abkommen über Gegenstände nach Absatz 1 erlässt der Bundesrat die erforderlichen Vorschriften.
3 Er kann Aufgaben im Zusammenhang mit der Information und der Konsultation bezüglich Vorbereitung, Erlass und Änderung von Vorschriften oder von technischen Normen über elektronische Signaturen Privaten übertragen und dafür eine Abgeltung vorsehen.
1 Der Bundesrat erlässt die Ausführungsvorschriften. Er berücksichtigt dabei das entsprechende internationale Recht und kann internationale technische Normen für anwendbar erklären.
3 Um den Gesetzeszweck zu erfüllen, kann er eine Verwaltungseinheit des Bundes beauftragen, qualifizierte Zertifikate auch für den Privatrechtsverkehr auszustellen oder sich an einer privaten Anbieterin von Zertifizierungsdiensten zu beteiligen.
1 Aufgehoben durch Ziff. II 55 des BG vom 20. März 2008 zur formellen Bereinigung des Bundesrechts, mit Wirkung seit 1. Aug. 2008 (AS 2008 3437 3452; BBl 2007 6121).
1 Die Änderungen können unter AS 2004 5085 konsultiert werden
du 19 décembre 2003 (Etat le 1er août 2008)
vu les art. 95, al. 1, et 122, al. 1, de la Constitution1, vu le message du Conseil fédéral du 3 juillet 20012,
les conditions auxquelles les fournisseurs de services de certification dans le domaine de la signature électronique peuvent être reconnus;
les droits et les devoirs des fournisseurs de services de certification reconnus.
2 Elle vise à:
promouvoir la fourniture de services de certification électronique sûrs à un large public;
favoriser l'utilisation des signatures électroniques qualifiées;
signature électronique: données électroniques jointes ou liées logiquement à d'autres données électroniques et qui servent à vérifier leur authenticité;
signature électronique avancée: signature électronique qui satisfait aux exigences suivantes:
signature électronique qualifiée: signature électronique avancée fondée sur un dispositif sécurisé de création de signature au sens de l'art. 6, al. 1 et 2, et sur un certificat qualifié valable au moment de sa création;
clé de signature: données uniques telles que des codes ou des clés cryptographiques privées que le titulaire utilise pour composer une signature électronique;
clé de vérification de signature: données telles que des codes ou des clés cryptographiques publiques utilisées pour vérifier une signature électronique;
certificat qualifié: certificat numérique qui remplit les conditions de l'art. 7;
fournisseur de services de certification (fournisseur): organisme qui certifie des données dans un environnement électronique et qui délivre à cette fin des certificats numériques;
organisme de reconnaissance: organisme qui, selon les règles de l'accréditation1, est habilité à reconnaître et à surveiller les fournisseurs.
1 LF du 6 oct. 1995 sur les entraves techniques au commerce, LETC (RS 946.51) et les dispositions d'exécution pertinentes.
1 Peuvent être reconnus comme fournisseurs les personnes physiques ou morales qui:
utilisent des systèmes et des produits informatiques fiables et sûrs, notamment des dispositifs de création de signatures;
contractent les assurances nécessaires à la couverture de la responsabilité prévue à l'art. 16 et des frais que peuvent entraîner les mesures prévues à l'art. 13, al. 2 et 3;
assurent le respect du droit applicable, notamment de la présente loi et des dispositions d'exécution pertinentes.
2 Les conditions prévues à l'al. 1 sont également applicables aux fournisseurs étrangers. Lorsqu'un fournisseur étranger a déjà obtenu une reconnaissance de la part d'un organisme de reconnaissance étranger, l'organisme de reconnaissance suisse peut le reconnaître s'il est prouvé que:
la reconnaissance a été octroyée selon le droit étranger;
les règles du droit étranger applicables à l'octroi de la reconnaissance sont équivalentes à celles du droit suisse;
2 Si aucun organisme n'a été accrédité pour effectuer des reconnaissances, le Conseil fédéral désigne l'organisme d'accréditation ou un autre organisme compétent comme organisme de reconnaissance.
Art. 5 Liste des fournisseurs
Section 3 Elaboration et utilisation de clés de signature et de vérification de signature
1 Le Conseil fédéral règle l'élaboration des clés de signature et de vérification de signature pouvant faire l'objet de certificats qualifiés au sens de la présente loi. Ce faisant, il veille à assurer un degré de sécurité élevé, conforme à l'évolution de la technique.
2 Les dispositifs de création de signature doivent au moins:
garantir que la clé de signature utilisée pour l'élaboration de la signature ne puisse pratiquement se rencontrer qu'une seule fois et que sa confidentialité soit suffisamment garantie;
assurer avec une marge de sécurité suffisante que la clé de signature utilisée pour la création de la signature ne puisse être trouvée par déduction et que la signature soit protégée contre toute falsification par les moyens techniques disponibles;
garantir que la clé de signature utilisée pour la création de la signature puisse être protégée de manière fiable par le titulaire légitime contre toute utilisation abusive.
3 Lors de la mise en place du processus de vérification de la signature, il convient de veiller à ce que les exigences suivantes soient remplies avec une marge de sécurité suffisante:
les données utilisées pour vérifier la signature correspondent aux données affichées à l'intention du vérificateur;
la signature est vérifiée de manière sûre et le résultat de cette vérification est correctement affiché;
le vérificateur peut, si nécessaire, déterminer de manière sûre le contenu des données signées;
l'authenticité et la validité du certificat requis lors de la vérification de la signature sont vérifiées de manière sûre et le résultat de cette vérification est correctement affiché;
l'identité du titulaire de la clé de signature est correctement affichée;
l'utilisation d'un pseudonyme est clairement indiquée;
tout changement ayant une influence sur la sécurité peut être détecté.
Section 4 Certificats qualifiés
1 Tout certificat qualifié doit contenir au moins les informations suivantes:
la mention qu'il est délivré à titre de certificat qualifié;
le nom ou le pseudonyme de la personne physique titulaire de la clé de vérification de signature; s'il existe un risque de confusion, le nom doit être complété par un élément distinctif;
la clé de vérification de signature;
le nom, le pays d'établissement et la signature électronique qualifiée du fournisseur qui délivre le certificat;
la mention du caractère reconnu ou non du fournisseur et, s'il est reconnu, le nom de l'organisme de reconnaissance.
2 Le certificat doit également contenir les éléments suivants:
les qualités spécifiques du titulaire de la clé de signature, telle que la qualité de représenter une personne morale déterminée;
le domaine d'utilisation du certificat;
la valeur des transactions pour lesquelles le certificat peut être utilisé.
3 Le Conseil fédéral règle le format des certificats.
Art. 8 Délivrance des certificats qualifiés
1 Les fournisseurs reconnus doivent exiger des personnes qui demandent un certificat qualifié qu'elles se présentent en personne et qu'elles apportent la preuve de leur identité. S'agissant de l'art. 7, al. 2, let. a, les pouvoirs du représentant doivent faire l'objet d'une vérification; les renseignements professionnels ou autres relatifs à cette personne doivent être confirmés par l'organisme compétent.
2 Le Conseil fédéral détermine les documents de nature à prouver l'identité et, le cas échéant, les qualités des personnes qui demandent un certificat. Il peut, à certaines conditions, prévoir l'exemption de l'obligation de se présenter en personne.
3 Les fournisseurs reconnus doivent en outre s'assurer que les personnes qui demandent un certificat qualifié possèdent la clé de signature qui s'y rapporte.
4 Ils peuvent déléguer leur tâche d'identification à des tiers (bureaux d'enregistrement). Ils répondent de l'exécution correcte de cette tâche par le bureau d'enregistrement.
Art. 9 Obligation d'informer
1 Les fournisseurs reconnus doivent tenir à la disposition du public leurs conditions contractuelles générales et des informations sur leur politique de certification.
2 Ils doivent informer leurs clients des conséquences de l'utilisation abusive de leur clé de signature, au plus tard lors de la délivrance des certificats qualifiés, ainsi que des dispositions à prendre, selon les circonstances, pour assurer la confidentialité de leur clé de signature.
3 Ils tiennent un journal de leurs activités. Le Conseil fédéral règle la durée pendant laquelle le journal et les documents qui s'y rapportent doivent être conservés.
Art. 10 Annulation des certificats qualifiés
1 Les fournisseurs reconnus annulent immédiatement les certificats qualifiés:
s'il s'avère qu'ils ont été obtenus de manière frauduleuse;
s'ils ne permettent plus de garantir le lien entre une clé de vérification de signature et une personne.
2 En cas d'annulation sur demande selon l'al. 1, let. a, les fournisseurs s'assurent que le requérant a qualité pour demander l'annulation.
3 Les fournisseurs informent immédiatement les titulaires de certificats qualifiés de l'annulation de ces derniers.
Art. 11 Service d'annuaire pour les certificats qualifiés
1 Tout fournisseur reconnu garantit aux intéressés de pouvoir vérifier de façon fiable, en tout temps et selon une procédure usuelle, la validité de tous les certificats qualifiés qu'il aura délivrés.
2 Il peut en outre offrir un service d'annuaire permettant aux intéressés de rechercher et de consulter les certificats qualifiés qu'il aura délivrés. Un certificat n'est inscrit dans cet annuaire qu'à la demande de son titulaire.
4 Le Conseil fédéral détermine la durée minimale pendant laquelle doit demeurer possible la vérification des certificats qualifiés qui ne sont plus valables.
Art. 12 Système d'horodatage
Les fournisseurs reconnus délivrent, sur demande, une attestation munie de leur signature électronique qualifiée aux fins d'établir l'existence de données numériques à un moment précis.
Art. 13 Cessation d'activité
2 L'organisme d'accréditation charge un autre fournisseur reconnu de tenir la liste des certificats qualifiés valables, échus ou annulés et de conserver le journal de ses activités ainsi que les pièces justificatives correspondantes. Le Conseil fédéral désigne l'organisme compétent pour reprendre ces tâches lorsqu'il n'y a pas de fournisseur reconnu. Le fournisseur reconnu qui cesse son activité supporte les frais qui en résultent.
1 La surveillance des fournisseurs reconnus est assurée par les organismes de reconnaissance selon les règles de l'accréditation1.
2 Lorsqu'un organisme de reconnaissance retire la reconnaissance d'un fournisseur, il l'annonce immédiatement à l'organisme d'accréditation. L'art. 13, al. 2, est applicable.
Art. 16 Responsabilité des fournisseurs
1 Lorsque des fournisseurs contreviennent à des obligations découlant de la présente loi ou des dispositions d'exécution, ils répondent du dommage causé au titulaire d'une clé de signature et aux tiers qui se sont fiés à un certificat qualifié valable.
2 Il leur incombe d'apporter la preuve qu'ils ont respecté les obligations découlant de la présente loi et des dispositions d'exécution.
3 Les fournisseurs ne peuvent exclure leur responsabilité découlant de la présente loi non plus que celle de leurs auxiliaires. Ils ne répondent toutefois pas du dommage résultant de l'inobservation ou de la violation d'une restriction de l'utilisation du certificat (art. 7, al. 2).
Art. 17 Responsabilité des organismes de reconnaissance
Lorsque les organismes de reconnaissance au sens de l'art. 2, let. h, contreviennent à des obligations découlant de la présente loi et des dispositions d'exécution, ils répondent du dommage causé au titulaire de la clé de signature et aux tiers qui se sont fiés à un certificat qualifié valable. L'art. 16, al. 2 et 3, est applicable par analogie.
Les actions prévues par la présente loi se prescrivent par un an à compter du jour où la partie lésée a eu connaissance du dommage et de l'identité de la personne qui en est l'auteur et, dans tous les cas, par dix ans à compter du jour où le fait dommageable s'est produit. Les prétentions résultant d'un contrat sont réservées.
1 Pour faciliter l'utilisation et la reconnaissance juridique internationales des signatures électroniques, le Conseil fédéral peut conclure des conventions internationales, notamment sur:
la reconnaissance des signatures électroniques et des certificats;
l'octroi de mandats de normalisation à des organismes internationaux de normalisation, dans la mesure où les dispositions sur la signature électronique renvoient à des normes techniques déterminées ou lorsqu'un tel renvoi est prévu;
2 Le Conseil fédéral arrête les dispositions d'exécution des conventions internationales portant sur les domaines énumérés à l'al. 1.
3 Il peut déléguer à des organismes privés des activités relatives à l'information et à la consultation pour ce qui est de l'élaboration, de l'adoption et de la modification de dispositions et de normes techniques sur la signature électronique et prévoir une rémunération à ce titre.
2 Le Conseil fédéral peut charger l'Office fédéral de la communication d'édicter des prescriptions administratives et techniques.
3 Afin d'atteindre le but de la loi, il peut charger une unité de l'administration de délivrer des certificats qualifiés couvrant aussi les rapports juridiques de droit privé ou de participer à l'entreprise d'un fournisseur privé.
1 Abrogé par le ch. II 55 de la LF du 20 mars 2008 relative à la mise à jour formelle du droit fédéral, avec effet au 1er août 2008 (RO 2008 3437 3452; FF 2007 5789).
1 Les mod. peuvent être consultées au RO 2004 5085.
Legge federale sui servizi di certificazione nel campo della firma elettronica
del 19 dicembre 2003 (Stato 1° agosto 2008)
visti gli articolo 95 capoverso 1 e 122 capoverso 1 della Costituzione federale1; visto il messaggio del Consiglio federale del 3 luglio 20012,
le condizioni alle quali i prestatori di servizi di certificazione nel campo della firma elettronica possono essere riconosciuti;
i diritti e i doveri dei prestatori di servizi di certificazione riconosciuti.
promuovere un'ampia offerta di servizi di certificazione elettronica sicuri;
favorire l'utilizzazione delle firme elettroniche qualificate;
firma elettronica: dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici e utilizzati per la loro autenticazione;
essere connessa esclusivamente al titolare,
essere idonea a identificare il titolare,
essere creata con mezzi sui quali il titolare può conservare il suo controllo esclusivo,
essere connessa ai dati ai quali si riferisce in modo tale che una successiva modifica dei dati sia riconoscibile;
firma elettronica qualificata: firma elettronica avanzata fondata su un dispositivo sicuro per la creazione di una firma secondo l'articolo 6 capoversi 1 e 2 e su un certificato qualificato e valido al momento della sua creazione;
chiave per la creazione della firma: dati unici, come codici o chiavi crittografiche private, utilizzati dal titolare per comporre una firma elettronica;
chiave per la verifica della firma: dati, come codici o chiavi crittografiche pubbliche, utilizzati per verificare un firma elettronica;
certificato qualificato: un certificato digitale che soddisfa i requisiti dell'articolo 7;
organismo di riconoscimento: organismo che, in base alle norme del diritto in materia di accreditamento1, è accreditato per riconoscere e sorvegliare i prestatori di servizi di certificazione.
1 LF del 6 ott. 1995 sugli ostacoli tecnici al commercio, LOTC (RS 946.51) e relative disposizioni d'esecuzione.
sono in grado di fornire e gestire certificati qualificati conformemente alle esigenze della presente legge;
impiegano personale munito delle conoscenze, dell'esperienza e delle qualifiche necessarie;
utilizzano sistemi e prodotti informatici, in particolare dispositivi affidabili e sicuri per la creazione di una firma;
stipulano le assicurazioni necessarie alla copertura della responsabilità prevista dall'articolo 16 e delle spese che possono comportare le misure previste nell'articolo 13 capoversi 2 e 3;
assicurano l'osservanza del diritto applicabile, in particolare della presente legge e delle relative disposizioni d'esecuzione.
2 Le condizioni previste nel capoverso 1 si applicano anche ai prestatori di servizi di certificazione esteri. Qualora un prestatore estero abbia già ottenuto un riconoscimento da parte di un organismo di riconoscimento estero, l'organismo di riconoscimento svizzero può riconoscerlo se è provato che:
l'organismo di riconoscimento estero possiede qualifiche equivalenti a quelle richieste all'organismo di riconoscimento svizzero;
l'organismo di riconoscimento estero garantisce all'organismo di riconoscimento svizzero di collaborare per la sorveglianza in Svizzera del prestatore.
3 Le unità amministrative della Confederazione, dei Cantoni e dei Comuni possono essere riconosciute quali prestatori di servizi di certificazione senza dover essere iscritte nel registro di commercio.
Art. 4 Designazione dell'organismo di accreditamento
1 Il Consiglio federale designa l'organismo competente per l'accreditamento degli organismi di riconoscimento (organismo di accreditamento).
2 Se nessun organismo è stato accreditato per il riconoscimento, il Consiglio federale designa l'organismo di accreditamento o un altro organismo competente quale organismo di riconoscimento.
1 Gli organismi di riconoscimento annunciano all'organismo di accreditamento i prestatori di servizi di certificazione da essi riconosciuti.
2 L'organismo di accreditamento mette a disposizione del pubblico la lista dei prestatori di servizi di certificazione riconosciuti.
Sezione 3: Generazione e utilizzazione di chiavi per la creazione di una firma e di chiavi per la verifica della firma
1 Il Consiglio federale disciplina la generazione di chiavi per la creazione di una firma e per la verifica della firma che possono essere oggetto di certificati qualificati ai sensi della presente legge. Garantisce in proposito un elevato livello di sicurezza, conforme all'evoluzione tecnologica.
2 I dispositivi per la creazione di una firma devono almeno garantire che le chiavi utilizzate per la creazione della firma:
possano comparire in pratica solo una volta e sia sufficientemente garantito che rimangano segrete;
non possano, entro limiti ragionevoli di sicurezza, essere derivate e la firma sia protetta da contraffazioni compiute con l'impiego della tecnologia disponibile;
possano essere affidabilmente protette dal legittimo titolare contro l'abuso da parte di terzi.
3 Durante il processo di verifica della firma occorre provvedere affinché le seguenti esigenze siano garantite con sufficiente sicurezza:
i dati utilizzati per la verifica della firma corrispondano ai dati comunicati al verificatore;
la firma sia verificata in modo affidabile e i risultati della verifica siano correttamente indicati;
il verificatore possa, all'occorrenza, stabilire in modo affidabile i contenuti dei dati firmati;
l'autenticità e la validità del certificato richiesto al momento della verifica della firma siano verificate in modo affidabile e il risultato di tale verifica sia correttamente indicato;
l'identità del titolare della chiave per la creazione di una firma sia correttamente segnalata;
l'uso di uno pseudonimo sia chiaramente indicato;
qualsiasi modifica che incida sulla sicurezza possa essere individuata.
Sezione 4: Certificati qualificati
1 Un certificato qualificato deve contenere almeno le informazioni seguenti:
l'indicazione che si tratta di un certificato qualificato;
il nome o lo pseudonimo della persona fisica titolare della chiave per la verifica della firma; in caso di possibile confusione, il nome dev'essere completato da un attributo specifico;
la chiave per la verifica della firma;
il nome, lo Stato di domicilio e la firma elettronica qualificata del prestatore di servizi di certificazione che rilascia il certificato;
la specificazione se si tratta di un prestatore riconosciuto oppure no e, nel primo caso, il nome dell'organismo di riconoscimento.
2 Il certificato deve contenere anche gli elementi seguenti:
le qualità specifiche del titolare della chiave per la creazione della firma, come l'autorizzazione a rappresentare una persona giuridica determinata;
l'ambito di validità del certificato;
il valore delle transazioni per le quali il certificato può essere utilizzato.
3 Il Consiglio federale disciplina il formato dei certificati.
Sezione 5: Doveri dei prestatori di servizi di certificazione riconosciuti
Art. 8 Rilascio dei certificati qualificati
1 I prestatori di servizi di certificazione riconosciuti devono esigere dalle persone che chiedono un certificato qualificato che esse si presentino personalmente e provino la loro identità. Per i casi previsti nell'articolo 7 capoverso 2 lettera a, deve essere provato il consenso della persona rappresentata; le informazioni professionali o di altro genere relative a questa persona devono essere confermate dall'organismo competente.
2 Il Consiglio federale designa i documenti per mezzo dei quali chi chiede un certificato può provare la propria identità e eventualmente le proprie qualità specifiche. Esso può prevedere che, a determinate condizioni, la persona che chiede il certificato non sia tenuta a presentarsi personalmente.
3 I prestatori di servizi di certificazione riconosciuti devono inoltre accertarsi che la persona che chiede un certificato qualificato possieda la relativa chiave per la creazione della firma.
4 I prestatori di servizi riconosciuti possono delegare il compito d'identificazione a terzi (uffici di registrazione). Essi rispondono della corretta esecuzione di questo compito da parte dell'ufficio di registrazione.
Art. 9 Obbligo di informazione e documentazione
1 I prestatori di servizi di certificazione riconosciuti devono tenere a disposizione del pubblico le loro condizioni contrattuali generali e le informazioni sulla loro politica di certificazione.
2 Al più tardi in occasione del rilascio dei certificati qualificati, essi devono informare i loro clienti circa le conseguenze dell'utilizzazione abusiva della chiave per la creazione della firma, come pure circa le disposizioni da prendere, secondo le circostanze, per mantenere segreta la loro chiave per la creazione della firma.
Art. 10 Annullamento dei certificati qualificati
1 I prestatori di servizi di certificazione riconosciuti annullano senza indugio i certificati qualificati se:
il loro titolare o il suo rappresentante lo chiede;
emerge che il certificato è stato ottenuto illecitamente;
il certificato non offre più garanzia quanto al legame tra una chiave per la verifica di una firma e una determinata persona.
2 In caso di annullamento secondo il capoverso 1 lettera a, essi devono accertarsi che il richiedente è autorizzato a chiedere l'annullamento.
3 I prestatori di servizi di certificazione riconosciuti informano senza indugio dell'avvenuto annullamento i titolari dei certificati qualificati.
Art. 11 Servizi relativi alle liste dei certificati qualificati
1 Ogni prestatore di servizi di certificazione riconosciuto garantisce che ogni persona interessata possa verificare in maniera affidabile, in ogni momento e mediante una procedura abituale, la validità di tutti i certificati qualificati che ha rilasciato.
2 Egli può inoltre offrire un servizio che permetta a ogni persona interessata di ricercare nella lista e richiamare i certificati qualificati che ha rilasciato. Un certificato è iscritto nella lista solo su richiesta del titolare.
4 Il Consiglio federale stabilisce il periodo minimo durante il quale deve essere reso possibile l'accesso ai certificati qualificati annullati o scaduti.
Art. 12 Sistema marcatempo
Su richiesta, i prestatori di servizi di certificazione riconosciuti devono fornire un attestato munito della loro firma elettronica qualificata, al fine di certificare l'esistenza di dati digitali in un determinato momento.
Art. 13 Cessazione d'attività
1 I prestatori di servizi di certificazione riconosciuti annunciano in tempo utile all'organismo di accreditamento la cessazione della loro attività. Gli notificano senza indugio eventuali comminatorie di fallimento ricevute.
2 L'organismo di accreditamento incarica un altro prestatore di servizi di certificazione riconosciuto di tenere la lista dei certificati qualificati validi, scaduti o annullati e di conservare il libro giornale delle attività nonché i relativi documenti giustificativi. Nel caso in cui non fosse disponibile un prestatore di servizi di certificazione riconosciuto, il Consiglio federale designa un organismo idoneo per la ripresa dell'attività dismessa. Il prestatore di servizi di certificazione riconosciuto che cessa la sua attività si assume le spese che ne risultano.
1 I prestatori di servizi di certificazione riconosciuti e gli uffici di registrazione da loro incaricati possono gestire soltanto i dati personali necessari all'adempimento dei loro compiti. Ogni commercio di questi dati è vietato.
1 La sorveglianza sui prestatori di servizi di certificazione riconosciuti è svolta dagli organismi di riconoscimento in base alle norme del diritto in materia di accreditamento1.
2 L'organismo di riconoscimento che revoca il riconoscimento di un prestatore di servizi di certificazione ne dà immediata comunicazione all'organismo di accreditamento. È applicabile l'articolo 13 capoverso 2.
1 LF del 6 ot. 1995 sugli ostacoli tecnici al commercio, LOTC (RS 946.51) e relative disposizioni d'esecuzione.
Art. 16 Responsabilità dei prestatori di servizi di certificazione
1 I prestatori di servizi di certificazione che violano gli obblighi imposti dalla presente legge e dalle relative disposizioni di esecuzione rispondono del danno causato al titolare di una chiave per la creazione della firma e ai terzi che si sono fidati di un certificato qualificato valido.
2 Essi devono provare di aver ottemperato agli obblighi derivanti dalla presente legge e dalle disposizioni d'esecuzione.
3 Essi non possono escludere la responsabilità che deriva loro dalla presente legge nonché quella per i loro ausiliari. Non rispondono tuttavia del danno risultante dall'inosservanza o dalla violazione di una restrizione dell'uso del certificato (art. 7 cpv. 2).
Art. 17 Responsabilità degli organismi di riconoscimento
Gli organismi di riconoscimento ai sensi dell'articolo 2 lettera h che violano gli obblighi imposti dalla presente legge e dalle relative disposizioni d'esecuzione rispondono del danno causato al titolare di una chiave per la creazione della firma e ai terzi che si sono fidati di un certificato qualificato valido. L'articolo 16 capoversi 2 e 3 si applica per analogia.
Le pretese fondate sulla presente legge si prescrivono in un anno dal giorno in cui l'avente diritto è venuto a conoscenza del danno e della persona responsabile e, in ogni caso, in dieci anni dal giorno in cui l'evento dannoso si è prodotto. Sono salve le pretese risultanti da un contratto.
1 Per facilitare l'utilizzazione e il riconoscimento giuridico internazionali delle firme elettroniche, il Consiglio federale può concludere convenzioni internazionali riguardanti segnatamente:
il riconoscimento delle firme elettroniche e dei certificati;
il riconoscimento dei simboli di conformità;
il conferimento di mandati di normazione a organismi internazionali di normazione nella misura in cui le disposizioni sulla firma elettronica rimandino a norme tecniche determinate o quando un tale rinvio è previsto;
l'informazione e la consultazione riguardo all'elaborazione, all'emanazione, alla modifica e all'applicazione di prescrizioni o di norme tecniche.
2 Il Consiglio federale emana le prescrizioni necessarie per l'attuazione delle convenzioni internazionali che riguardano i settori elencati nel capoverso 1.
3 Esso può delegare a privati attività relative all'informazione e alla consultazione riguardanti l'elaborazione, l'emanazione e la modifica di prescrizioni o di norme tecniche sulle firme elettroniche e stabilire in proposito una rimunerazione.
1 Il Consiglio federale emana le disposizioni d'esecuzione. Esso tiene conto del diritto internazionale pertinente e può dichiarare applicabili norme tecniche internazionali.
2 Il Consiglio federale può incaricare l'Ufficio federale delle comunicazioni di emanare prescrizioni amministrative e tecniche.
3 Per conseguire gli scopi della legge, esso può affidare a un'unità amministrativa federale il compito di rilasciare certificati qualificati anche per le transazioni di diritto privato o di partecipare all'impresa di un prestatore di servizi di certificazione privato.
1 Abrogato dal n. II 55 della LF del 20 mar. 2008 concernente l'aggiornamento formale del diritto federale, con effetto dal 1° ago. 2008 (RU 2008 3437 3453; FF 2007 5575).
1 Le mod. possono essere consultate alla RU 2004 5085.

References: Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 16

Art. 17
 art. 95

Art. 5

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 16

Art. 17

Art. 4

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 16

Art. 17