Държавен вестник, бр. 15, 2002 г., стр. 6

С Т Р .  6
Д Ъ Р Ж А В Е Н   В Е С Т Н И К
Б Р О Й  15
общите изисквания (CC), ниво на сигурност EAL
3 или по-високо съгласно стандарта ISO 15408
или друга спецификация, определяща еквива-
лентни нива на сигурността.
Чл. 27. (1) Доставчикът на удостоверителни
услуги е длъжен да поддържа документация за
актуалното състояние на използваните от него
техническо оборудване и технологии.
(2) Неизпълнението на задължението по ал. 1
е нарушение на изискванията за сигурност. 
Чл. 28. (1) Доставчикът на удостоверителни
услуги използва техническо оборудване и техно-
логии, чрез които се изпълняват най-малко след-
ните функции в използваната от него система:
1. проверки за доказване произхода на полу-
чаваната и обменяната информация, свързана с
издаването и управлението на удостоверенията;
2. проверка на целостта на обменяните съ-
общения;
3. подписване на изпращаните съобщения;
4. архивиране на служебните данни и елек-
тронното им подписване;
5. поддържане целостта на съхраняваните и
обменяните данни, в това число на използвани-
те криптографски ключове;
6. сигурно съхраняване на използваните от
доставчика на удостоверителни услуги частни
ключове;
7. управление на достъпа до информацион-
ните ресурси (данни за създаване подписа на
доставчика, удостоверението за усъвършенст-
ван подпис, списъка на прекратените удостове-
рения, съхраняваните официални документи);
8. създаване и архивиране на записи от вът-
решни проверки, свързани с възникнали кри-
тични ситуации по отношение на информаци-
онната сигурност.
(2) Доставчикът на удостоверителни услу-
ги чрез използваните техническо оборудване и
технологии може да осъществява и следните
функции:
1. проверка на усъвършенствания електронен
подпис в съответствие с чл. 17, ал. 2 ЗЕДЕП
съгласно изискванията в техническите специфи-
кации на CEN/ISSS за електронния подпис;
2. поддържане на он-лайн протокол за стату-
са на удостоверенията (OCSP);
3. проверка за наличие в удостоверението за
усъвършенстван електронен подпис на уникал-
но име за разпознаване (Dname);
4. съхраняване и използване на частния си
ключ с високо ниво на сигурност чрез използ-
ване на смарт-карта с парола или персонален
идентификатор (PIN) и/или биометричен иден-
тификатор.
Чл. 29. (1) Когато доставчикът на удостове-
рителни услуги предлага и услугата по създава-
не на двойка ключове, той е длъжен да изпол-
зва защитен механизъм за създаване на подпис
(SSCD) със защитен профил съгласно чл. 26.
(2) Утвърдените и поддържани от защите-
ния механизъм за създаване на електронни
подписи алгоритми и параметрите им задъл-
жително съответстват на:
1. защитния профил по ал. 1;
2. изискванията към обкръжаващата систем-
на среда, свързана с изграждането на подписа;
3. изискванията, обхващащи обкръжаваща-
та среда, за проверка на усъвършенствания елек-
тронен подпис (продуктите, използвани за про-
верката и тяхното управление).
(3) Форматите за усъвършенствания електро-
нен подпис следва да са в съответствие с общо-
приети спецификации, като RFC 2315, PKCS#7.
Раздел VI
Поддържане на задължителна документация,
свързана с дейността
Чл. 30. (1) Всеки доставчик на удостоверител-
ни услуги е длъжен да отрази в разработените и
поддържани от него документи основните прин-
ципи, съгласно които осъществява дейността си.
(2) Целта на документите по ал. 1 е:
1. да се установи съответствието на достав-
чика с изискванията на ЗЕДЕП, както и надеж-
дността и сигурността на осъществяваната от
него дейност, и
2. да направи публични за потребителите
предоставяните от доставчика услуги.
Чл. 31. “Политика за предоставяне на удосто-
верителни услуги” е документ, който описва по-
литиката на издаване на удостоверения от дос-
тавчика и видовете услуги, предоставяни от него.
Чл. 32. (1) “Практика при предоставяне на
удостоверителни услуги” е документ, разрабо-
тен в съответствие с изискванията на полити-
ката по чл. 31 и процедурите по чл. 34, който
задължително съдържа подробно описание на
реализирането на:
1. мерки за сигурност при предоставяне на
услугите;
2. издаване, спиране, възобновяване и прек-
ратяване действието на удостоверенията;
3. предоставяне на достъп до удостовере-
нията.
(2) Практиката по ал. 1 се разработва съг-
ласно общоприетата международна специфика-
ция RFC 2527 или друг еквивалентен документ
и съдържа най-малко следното:
1. име/наименование на доставчика и ЕГН
или код БУЛСТАТ и номер от националния
данъчен регистър;
2. седалище и адрес на доставчика или на
неговото поделение (клон), който ще работи
като доставчик;
3. описание на обхвата и приложимостта на
предлаганите услуги и поддържаните политики;
4. правила и процедури, които трябва да се
изпълняват при издаване и управление, спира-
не и прекратяване действието на удостоверени-
ята за усъвършенствани електронни подписи, в
това число необходимите документи при прие-
мане и проверка на искането по чл. 5, ал. 1, т. 1
и тези, които се съхраняват от доставчика в
зависимост от заявената услуга;
5. идентификатори на поддържаните алгорит-
ми за електронен подпис и защита на данните;