Source: http://pianosicurezza.it/index.asp?page=legge/dpcm20040113.html
Timestamp: 2018-06-19 21:38:04+00:00
Document Index: 107093310

Matched Legal Cases: ['art. 8', 'art. 22', 'art. 8', 'art. 29', 'art. 9', 'art. 10', 'art. 29', 'art. 9', 'art. 29', 'art. 53', 'art. 38', 'art. 15', 'art. 29', 'art. 28', 'art. 27', 'art. 29', 'art. 29', 'art. 38', 'art. 13', 'art. 33', 'art. 33', 'art. 27', 'art. 10', 'art. 14', 'art. 14', 'art. 14', 'art. 10', 'art. 41', 'art. 28', 'art. 40', 'art. 29', 'art. 3', 'art. 46', 'art. 48', 'art. 3', 'art. 28', 'art. 3', 'art. 28', 'art. 9', 'art. 10']

Dpcm 13/01/2004: Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici
(pubblicato sulla GU n. 98 del 27-04-2004)
Visto il decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, recante testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa e in particolare l'art. 8, comma 2;
Vista la decisione della Commissione europea 14 luglio 2003, relativa alla pubblicazione dei numeri di riferimento di norme generalmente riconosciute relative a prodotti di firma elettronica conformemente alla direttiva 1999/93/CE del Parlamento europeo e del Consiglio, pubblicata nella Gazzetta Ufficiale dell'Unione europea L 175/45 del 15 luglio 2003 che induce ad integrare in tal senso le premesse del provvedimento;
Visto il decreto del Presidente del Consiglio dei Ministri 9 agosto 2001, con il quale é stata attribuita al Ministro per l'innovazione e le tecnologie, dott. Lucio Stanca, tra l'altro, la delega ad esercitare le funzioni spettanti al Presidente del Consiglio dei Ministri nelle materie dell'innovazione tecnologica, dello sviluppo della società dell'informazione, nonché delle connesse innovazioni per le amministrazioni pubbliche;
Sentito il Ministro per la funzione pubblica;
a) testo unico, il testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa, emanato con decreto del Presidente della Repubblica 28 dicembre 2000, n. 445;
b) Dipartimento, il dipartimento per l'innovazione e le tecnologie della Presidenza del Consiglio dei Ministri o altro organismo di cui si avvale il Ministro per l'innovazione e le tecnologie;
c) chiavi, la coppia di chiavi asimmetriche come definite all'art. 22, comma 1, lettera b), del testo unico;
1. Il presente decreto stabilisce, ai sensi dell'art. 8, comma 2, del testo unico, le regole tecniche per la generazione, apposizione e verifica delle firme digitali.
5. Ai prodotti sviluppati o commercializzati in uno degli Stati membri dell'Unione europea e dello spazio economico europeo in conformità alle norme nazionali di recepimento della direttiva 1999/93/CE, é consentito di circolare liberamente nel mercato interno.
1. I prodotti di firma digitale e i dispositivi sicuri di firma di cui all'art. 29-sexies del testo unico, devono essere conformi alle norme generalmente riconosciute a livello internazionale o individuate dalla Commissione europea secondo la procedura di cui all'art. 9 della direttiva 1999/93/CE.
3. Il documento informatico, sottoscritto con firma digitale o altro tipo di firma elettronica avanzata basata su un certificato qualificato e generata mediante un dispositivo sicuro per la creazione di una firma, non produce gli effetti di cui all'art. 10, comma 3, del testo unico, se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati.
Caratteristiche generali delle chiavi per la creazione e la verifica della firma
4. Ai fini del presente decreto, le chiavi di creazione e verifica della firma ed i correlati servizi, si distinguono secondo le seguenti tipologie:
5. Non é consentito l'uso di una coppia di chiavi per funzioni diverse da quelle previste, per ciascuna tipologia, dal precedente comma 4.
3. La generazione delle chiavi di sottoscrizione effettuata, autonomamente dal titolare, deve avvenire all'interno del dispositivo sicuro per la generazione delle firme, che deve essere rilasciato o indicato dal certificatore.
4. Il certificatore deve assicurarsi che il dispositivo sicuro per la generazione delle firme, da lui fornito o indicato, presenti le caratteristiche e i requisiti di sicurezza di cui all'art. 29-sexies del testo unico e all'art. 9 del presente decreto.
5. Il titolare é tenuto ad utilizzare esclusivamente il dispositivo fornito dal certificatore, ovvero un dispositivo scelto tra quelli indicati dal certificatore stesso.
1. É vietata la duplicazione della chiave privata e dei dispositivi che la contengono.
2. Per fini particolari di sicurezza, é consentito che le chiavi di certificazione vengano esportate purché ciò avvenga con modalità tali da non ridurre il livello di sicurezza.
1. In aggiunta a quanto previsto all'art. 29-sexies del testo unico, la generazione della firma deve avvenire all'interno di un dispositivo sicuro di firma, così che non sia possibile l'intercettazione della chiave privata utilizzata.
3. I dispositivi sicuri di firma sono sottoposti alla valutazione e certificazione di sicurezza ai sensi dello schema nazionale per la valutazione e certificazione di sicurezza nel settore della tecnologia dell'informazione, secondo i criteri indicati all'art. 53.
b) la registrazione nel dispositivo di firma del certificato qualificato, relativo alle chiavi di sottoscrizione del titolare.
5. La personalizzazione del dispositivo sicuro di firma può prevedere, per l'utilizzo nelle procedure di verifica della firma, la registrazione, nel dispositivo di firma, del certificato elettronico relativo alla chiave pubblica del certificatore la cui corrispondente privata é stata utilizzata per sottoscrivere il certificato qualificato relativo alle chiavi di sottoscrizione del titolare;
6. La personalizzazione del dispositivo di firma é registrata nel giornale di controllo.
g) manuale operativo di cui al successivo art. 38;
2. Il Dipartimento rende accessibili, in via telematica, le informazioni di cui al comma 1, lettere a), b), d).
3. Restano salve le disposizioni del decreto del Presidente della Repubblica 23 dicembre 1997, n. 522, e successive modificazioni, con riferimento ai compiti di certificazione e di validazione temporale del Centro nazionale per l'informatica nelle pubbliche amministrazioni, in conformità alle disposizioni dei regolamenti previsti dall'art. 15, comma 2, della legge 15 marzo 1997, n. 59.
Comunicazione tra certificatore e Dipartimento
1. In aggiunta agli obblighi previsti per il certificatore dall'art. 29-bis del testo unico prima di emettere il certificato qualificato il certificatore deve:
2. Il certificato qualificato deve essere generato con un sistema conforme a quanto previsto dall'art. 28.
Informazioni contenute nei certificati qualificati
1. Fatto salvo quanto previsto dall'art. 27-bis del testo unico, i certificati qualificati devono contenere almeno le seguenti informazioni:
5. Il certificatore custodisce le informazioni di cui all'art. 29-bis, comma 2, lettera m) del testo unico, per un periodo non inferiore a dieci anni dalla data di scadenza o revoca del certificato qualificato.
1. Fatto salvo quanto previsto dall'art. 29-septies del testo unico, il certificato qualificato deve essere revocato o sospeso dal certificatore, ove quest'ultimo abbia notizia della compromissione della chiave privata o del dispositivo per la creazione della firma.
3. La revoca dei certificati é annotata nel giornale di controllo con la specificazione della data e dell'ora della pubblicazione della nuova lista.
1. Salvo i casi di motivata urgenza, il certificatore che intende revocare un certificato qualificato deve darne preventiva comunicazione al titolare, specificando i motivi della revoca nonché la data e l'ora a partire dalla quale la revoca é efficace.
2. Le modalità di inoltro della richiesta devono essere indicate dal certificatore nel manuale operativo di cui al successivo art. 38.
1. La sospensione del certificato qualificato é effettuata dal certificatore attraverso l'inserimento di tale certificato in una delle liste dei certificati revocati e sospesi (CRL/CSL).
2. La sospensione dei certificati é annotata nel giornale di controllo con l'indicazione della data e dell'ora di esecuzione dell'operazione.
1. Salvo casi d'urgenza, che il certificatore é tenuto a motivare contestualmente alla comunicazione di cui al comma 2, il certificatore che intende sospendere un certificato qualificato deve darne preventiva comunicazione al titolare specificando i motivi della sospensione e la sua durata.
2. L'avvenuta sospensione del certificato qualificato deve essere tempestivamente comunicata al titolare specificando la data e l'ora a partire dalla quale il certificato qualificato risulta sospeso.
3. Se la sospensione é causata da una richiesta di revoca motivata dalla possibile compromissione della chiave privata, il certificatore deve procedere tempestivamente alla pubblicazione della sospensione.
1. La richiesta di sospensione da parte del terzo interessato, da cui derivano i poteri di rappresentanza del titolare, deve essere inoltrata al certificatore munita di sottoscrizione e con la specificazione della sua durata.
1. Almeno novanta giorni prima della scadenza del certificato relativo a chiavi di certificazione il certificatore deve avviare la procedura di sostituzione, generando, con le modalità previste dall'art. 13, una nuova coppia di chiavi.
1. La revoca del certificato relativo ad una coppia di chiavi di certificazione é consentita solo nei seguenti casi:
a) compromissione della chiave privata, intesa come diminuita affidabilità nelle caratteristiche di sicurezza della chiave privata;
3. Le informazioni di cui al comma 1, lettere b), c) e d) devono essere consegnate al dipartimento in una busta sigillata, che verrà aperta solo in caso di contestazioni, diversa da quella nella quale é contenuto il piano per la sicurezza.
4. Il piano per la sicurezza deve attenersi quanto meno alle misure minime di sicurezza per il trattamento dei dati personali emanate ai sensi dell'art. 33, del decreto legislativo 30 giugno 2003, n. 196.
1. Il giornale di controllo é costituito dall'insieme delle registrazioni effettuate automaticamente dai dispositivi installati presso il certificatore, allorché si verificano le condizioni previste dal presente decreto.
4. Il giornale di controllo deve essere tenuto in modo da garantire l'autenticità delle annotazioni e consentire la ricostruzione, con la necessaria accuratezza, di tutti gli eventi rilevanti ai fini della sicurezza.
1. L'organizzazione del personale addetto al servizio di certificazione deve prevedere almeno le seguenti funzioni:
2. É possibile attribuire al medesimo soggetto più funzioni tra quelle previste dal comma 1 purché tra loro compatibili; sono in ogni caso compatibili tra loro le funzioni specificate nei sotto indicati raggruppamenti:
1. Il personale cui sono attribuite le funzioni previste dall'art. 33 deve aver maturato una esperienza almeno quinquennale nell'analisi, progettazione e conduzione di sistemi informatici.
Formato dei certificati qualificati
2. In caso di emergenza é possibile richiedere la sospensione immediata di un certificato qualificato utilizzando il codice previsto al comma 1. La richiesta deve essere successivamente confermata utilizzando una delle modalità previste dal certificatore.
l) modalità con cui viene espletato quanto previsto all'art. 27-bis, comma 1, lettera a) del testo unico;
s) modalità operative per l'utilizzo del sistema di verifica delle firme di cui all'art. 10, comma 1;
1. I riferimenti temporali realizzati in conformità con quanto disposto dal titolo IV sono opponibili ai terzi ai sensi dell'art. 14, comma 2, del testo unico.
2. I riferimenti temporali apposti sul giornale di controllo da un certificatore accreditato, secondo quanto indicato nel proprio manuale operativo, sono opponibili ai terzi ai sensi dell'art. 14, comma 2, del testo unico.
c) il riferimento temporale ottenuto attraverso l'utilizzo di posta certificata ai sensi dell'art. 14 del testo unico.
2. Il certificatore garantisce l'interoperabilità del prodotto di verifica di cui all'art. 10 ai documenti informatici sottoscritti con firma digitale emessa dalla struttura di certificazione della Rete unitaria della pubblica amministrazione e successive modifiche tecniche e organizzative.
3. Il certificatore deve mantenere copia della lista, sottoscritta dal dipartimento, dei certificati relativi alle chiavi di certificazione di cui all'art. 41, comma 1, lettera f), che deve rendere accessibile per via telematica.
4. I certificatori accreditati, al fine di ottenere e mantenere il riconoscimento di cui all'art. 28, comma 1 del testo unico, devono svolgere la propria attività in conformità con quanto previsto dalle regole per il riconoscimento e la verifica del documento elettronico.
Elenco pubblico dei certificatori accreditati
2. L'elenco pubblico é sottoscritto e reso disponibile per via telematica dal dipartimento.
3. Il dipartimento provvede all'aggiornamento della lista dei certificati delle chiavi di certificazione e a rendere la stessa disponibile ai certificatori per la pubblicazione ai sensi dell'art. 40, comma 3.
4. L'elenco pubblico é sottoscritto dal Capo del dipartimento o dal dirigente da lui designato, mediante una firma elettronica avanzata, generata mediante un dispositivo sicuro per la creazione di una firma.
5. Sulla Gazzetta Ufficiale é dato avviso:
c) del valore dei codici identificativi delle chiavi pubbliche relative alle coppie di chiavi utilizzate per la sottoscrizione dell'elenco pubblico, generati attraverso gli algoritmi dedicated hash-function 3, corrispondente alla funzione SHA- 1 e dedicated hash-function 1, corrispondente alla funzione RIPEMD-160, definiti nella norma ISO/IEC 10118-3:1998;
6. Fino alla certificazione delle chiavi da parte del dipartimento ai sensi dell'art. 29-quinquies del testo unico si utilizzano, per la sottoscrizione dell'elenco pubblico, le chiavi di sottoscrizione di soggetti designati dal Ministro per l'innovazione e le tecnologie.
1. Il certificatore deve indicare nel manuale operativo i formati del documento informatico e le modalità operative a cui il titolare deve attenersi per ottemperare a quanto prescritto dall'art. 3, comma 3.
1. Il certificatore, su richiesta del titolare o del terzo interessato, é tenuto a inserire nel certificato qualificato eventuali limitazioni d'uso.
1. Una evidenza informatica é sottoposta a validazione temporale con la generazione di una marca temporale che le si applichi.
4. Le chiavi di certificazione e di marcatura temporale possono essere generate esclusivamente dai responsabili dei rispettivi servizi.
Gestione dei certificati e delle chiavi
1. Alle chiavi di certificazione utilizzate, ai sensi dell'art. 46, comma 3, per sottoscrivere i certificati relativi a chiavi di marcatura temporale, si applica quanto previsto per le chiavi di certificazione utilizzate per sottoscrivere certificati relativi a chiavi di sottoscrizione.
2. I certificati relativi ad una coppia di chiavi di marcatura temporale, oltre ad essere conformi alla norma ISO/IEC 9594-8:2001 e successive evoluzioni, devono contenere 1'identificativo del sistema di marcatura temporale che utilizza le chiavi.
1. Ogni sistema di validazione temporale deve produrre un registro operativo su di un supporto non riscrivibile nel quale sono automaticamente registrati gli eventi per i quali tale registrazione é richiesta dal presente decreto.
2. Qualsiasi anomalia o tentativo di manomissione che possa modificare il funzionamento dell'apparato in modo da renderlo incompatibile con i requisiti del presente decreto, ed in particolare con quello di cui all'art. 48, comma 1, deve essere annotato sul registro operativo e causare il blocco del sistema.
2. La marca temporale é valida per l'intero periodo di conservazione a cura del fornitore del servizio.
3. L'evidenza informatica può essere sostituita da una o più impronte, calcolate con funzioni di hash previste dal manuale operativo. Debbono essere comunque accettate le funzioni di hash basate sugli algoritmi dedicated hash-function 3, corrispondente alla funzione SHA-1 e dedicated hash-function 1, corrispondente alla funzione RIPEMD-160, definiti nella norma ISO/IEC 10118-3:1998.
1. In attesa della pubblicazione degli algoritmi per la generazione e verifica della firma digitale secondo quanto previsto dall'art. 3, i certificatori accreditati ai sensi dell'art. 28 del testo unico, devono utilizzare l'algoritmo RSA (Rivest-Shamir-Adleman) con lunghezza delle chiavi non inferiore a 1024 bit.
2. In attesa della pubblicazione delle funzioni di hash secondo quanto previsto dall'art. 3, i certificatori accreditati ai sensi dell'art. 28 del testo unico devono utilizzare uno dei seguenti algoritmi, definiti nella norma ISO/IEC 10118-3:1998 e successive evoluzioni:
3. In attesa che la Commissione europea, secondo la procedura di cui all'art. 9 della direttiva 1999/93/CE, indichi i livelli di valutazione relativamente alla certificazione di sicurezza dei dispositivi sicuri per la creazione di una firma prevista dall'art. 10 del decreto legislativo 23 gennaio 2002, n. 10, tale certificazione é effettuata secondo criteri non inferiori a quelli previsti dal livello di valutazione E3 e robustezza HIGH dell'ITSEC, o dal livello EAL 4 della norma ISO/IEC 15408 o superiori. Sono ammessi livelli di valutazione internazionalmente riconosciuti come equivalenti.
1. Dall'entrata in vigore del presente decreto é abrogato il decreto del Presidente del Consiglio dei Ministri 8 febbraio 1999, recante le regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici, pubblicato nella Gazzetta Ufficiale 15 aprile 1999, n. 87.