Rządowy projekt ustawy o podpisach elektronicznych

Zał cznik nr 3
 
Wymagania dla listy certyfikatów unieważnionych

1. Listy CRL zawierają co najmniej elementy wymienione w art. 29 ust. 3 ustawy z dnia
........ 2010 o podpisach elektronicznych.
2. Listy CRL są zgodne z dokumentem RFC 5280 Internet X.509 Public Key
Infrastructure Certificate and Certificate Revocation List (CRL) Profile wydanym
przez Internet Engineering Task Force (IETF).
3. Zaawansowany podpis elektroniczny złożony pod listą CRL wykorzystuje algorytmy
i funkcje skrótu o sile równej co najmniej algorytmom i funkcjom skrótu użytym
w certyfikacie urzędu certyfikacji, który wydaje listę CRL.
‐ 6 ‐ 
Zał cznik nr 4

Wymagania dla funkcji skrótu
1. Dopuszcza się stosowanie funkcji skrótu „(hash functions)”, których identyfikatory
obiektu zostały wymienione w specyfikacji technicznej ETSI TS 102 176-1.

2. Po dniu 31-12-2013 funkcji skrótu RIPEMD-160 i SHA-1 nie stosuje się do składania
podpisu zaawansowanego.





11_20zb
‐ 7 ‐ 
Projekt
ROZPORZĄDZENIE
MINISTRA GOSPODARKI1)

z dnia …………..................
w sprawie szczegółowych warunków technicznych, jakim powinny odpowiadać
bezpieczne urz dzenia do składania podpisów elektronicznych, aplikacje do składania
podpisu elektronicznego oraz wymagań jakie powinna spełniać bezpieczna weryfikacja
podpisu elektronicznego2)

Na podstawie art. 26 ust. 3 ustawy z dnia …….. o podpisach elektronicznych (Dz. U. Nr ,
poz. ) zarządza się, co następuje:


Rozdział 1
Przepisy ogólne
§1. Rozporządzenie określa:
1) szczegółowe warunki techniczne, jakim powinny odpowiadać bezpieczne
urządzenia do składania podpisów elektronicznych
2) szczegółowe warunki techniczne, jakim powinny odpowiadać aplikacje do
składania podpisu elektronicznego oraz
3) wymagania jakie powinna spełniać bezpieczna weryfikacja podpisu
elektronicznego

§2. Użyte w rozporządzeniu określenie lista TSL oznacza:
elektroniczną listę podmiotów wpisanych do rejestru publikowana przez ministra
właściwego do spraw gospodarki zgodnie z art. 30 ust. 1 ustawy.

Rozdział 2
Szczegółowe warunki techniczne jakim powinny odpowiadać bezpieczne urz dzenia do
składania podpisu elektronicznego
§3. Bezpieczne urządzenia do składania podpisu elektronicznego posiadają certyfikaty
zgodności, zaświadczające spełnienie wymagań wymienionych w jednym aneksów
dokumentu CWA 14169 Secure signature-creation devices "EAL 4+" wydanego przez
European Commitee for Standarization (CEN).
                                                           
1) Minister Gospodarki kieruje działem administracji rządowej – gospodarka, na podstawie § 1 ust. 2
rozporządzenia Prezesa Rady Ministrów z dnia 16 listopada 2007 r. w sprawie szczegółowego zakresu
działania Ministra Gospodarki (Dz. U. Nr 216, poz. 1593).
2) Niniejsze rozporządzenie zostało notyfikowane Komisji Europejskiej w dniu … 2010 r., pod numerem …,
zgodnie z § 4 rozporządzenia Rady Ministrów z dnia 23 grudnia 2002 r. w sprawie sposobu funkcjonowania
krajowego systemu notyfikacji norm i aktów prawnych (Dz. U. Nr 239 , poz. 2039 oraz z 2004 r. Nr 65 ,
poz. 597), które wdraża postanowienia dyrektywy 98/34/WE z dnia 22 czerwca 1998 r. ustanawiającej
procedurę udzielania informacji w zakresie norm i przepisów technicznych (Dz. Urz. WE L 204 z
21.07.1998, z poźn. zm.; Dz. Urz. UE Polskie wydanie specjalne, rozdz. 13, t. 20, str. 337).
§4. Certyfikat zgodności powinien być wydany przez jednostkę wyznaczoną przez państwo
członkowskie Unii Europejskiej zgodnie z Dyrektywą 1999/93/EC;

Rozdział 3
Szczegółowe warunki techniczne, jakim powinny odpowiadać aplikacje do składania
podpisu elektronicznego
§5. Aplikacje do składania podpisu elektronicznego powinny spełniać wymagania
dokumentu CWA 14170 "Security requirements for signature creation applications",
wydanego przez European Commitee for Standarization (CEN).
§6. W dokumencie, o którym mowa w §5, w miejscach gdzie jest mowa o formacie obiektu
podpisu (Signed Data Object Type) należy dopuścić stosowanie specyfikacji technicznej
ETSI TS 102 778, wydanej przez ETSI (European Telecommunications Standards
Institute).

Rozdział 4
Wymagania jakie powinna spełniać bezpieczna weryfikacja podpisu elektronicznego
§7. Bezpieczna weryfikacja podpisu elektronicznego powinna spełniać wymagania określone
w dokumencie CWA 14171 "General guidelines for electronic signature verification",
wydanego przez European Commitee for Standarization (CEN).
§8. W dokumencie, o którym mowa w §7 w miejscach, w których występują odwołania do
dokumentów ETSI TS 101 733 oraz ETSI TS 101 903, należy dopuścić stosowanie
dokumentu ETSI TS 102 778
§9. W przypadku zastosowania polskiego interfejsu użytkownika, oprogramowanie
weryfikujące podaje wynik weryfikacji odpowiednio jako:
1) "poprawnie zweryfikowany" - w przypadku gdy podpis elektroniczny jest
prawidłowy, a dane służące do weryfikacji podpisu są ważne;
2) "negatywnie zweryfikowany" - w przypadku, gdy podpis elektroniczny jest
nieprawidłowy, lub dane służące do weryfikacji podpisu są nieważne;
3) "niekompletnie zweryfikowany" - w przypadku gdy podpis elektroniczny jest
prawidłowy, ale nie udało się uzyskać wszystkich danych niezbędnych do
weryfikacji podpisu, lub certyfikat służący do weryfikacji podpisu jest
zawieszony.
§10. W przypadku wymienionym w §9 lit. c) - aplikacja do weryfikacji podpisu podaje
informację o przyczynie niekompletnej weryfikacji.
§11. 1. Ważność kwalifikowanego certyfikatu określa się na podstawie odpowiedniej ścieżki
certyfikacji.
2.
cieżka certyfikacji, o której mowa w ust. 1, zostaje zweryfikowana poprawnie, gdy
wszystkie certyfikaty zawarte w ścieżce, są w określonym czasie ważne i posiadają
identyfikatory polityk certyfikacji z określonego przez weryfikującego zbioru
dopuszczalnych polityk certyfikacji.
3. Dla certyfikatu kwalifikowanego, wydanego przez podmiot świadczący usługę
wydawania certyfikatów kwalifikowanych, działający na terenie Polski, ścieżka
 
‐ 2 ‐
certyfikacji, o której mowa w ust. 1, zawiera certyfikat, o którym mowa w art. 30 ust.
2 ustawy.
4. Dla certyfikatu kwalifikowanego, certyfikat, o którym mowa w art. 30 ust. 2 ustawy
jest opublikowany na liście TSL, a usługa związana z certyfikatem posiada status
"http://uri.etsi.org/TrstSvc/Svcstatus/inaccord".

§ 12. Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.


MINISTER GOSPODARKI




45/10/EP
 
‐ 3 ‐