Rządowy projekt ustawy o podpisach elektronicznych

Art. 19. 1. Podmiot świadczący usługę znakowania czasem używa systemów do
znakowania czasem w sposób zapewniający możliwość wprowadzania
i zmiany danych jedynie osobom uprawnionym, a także zapewnia, że czas
określony w tych danych jest czasem z chwili wykonania tej usługi.
2. Podmiot, o którym mowa w ust. 1, jest obowiązany stosować komponenty
techniczne i procedury, które zapewnią, że czas używany w systemach do
znakowania czasem jest zgodny, pośrednio lub bezpośrednio, z czasem
urzędowym lub czasem UTC(PL) z wymaganą dla danego zastosowania
dokładnością synchronizacji.
3. Podmiot świadczący usługi certyfikacyjne polegające na kwalifikowanym
znakowaniu czasem jest obowiązany zapewnić, że czas używany
w
systemach do znakowania czasem jest zgodny, pośrednio lub
bezpośrednio, z czasem urzędowym lub czasem UTC(PL) z dokładnością do
jednej sekundy.
4. Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia,
wymagania techniczne i organizacyjne świadczenia usług znakowania
czasem oraz kwalifikowanego znakowania czasem, w szczególności
wykonywania ciągłej i okresowej weryfikacji dokładności synchronizacji
oraz sposobu zapewnienia bezpośredniej i pośredniej zgodności z czasem
urzędowym oraz czasem UTC(PL), uwzględniając bezpieczeństwo
świadczenia usług certyfikacyjnych.

Rozdział 4
wiadczenie usług certyfikacyjnych

Art. 20. 1. Usługi certyfikacyjne polegają w szczególności na wydawaniu certyfikatów,
znakowaniu czasem oraz potwierdzaniu ważności certyfikatów.
2. Podmiot kwalifikowany, podpisując:
1) certyfikat kwalifikowany wydany w wykonaniu umów o świadczenie
usług certyfikacyjnych,

15
2) informacje o statusie certyfikatów kwalifikowanych, w tym listę
zawieszonych lub unieważnionych certyfikatów,
3) certyfikaty na potrzeby realizacji czynności lub usług certyfikacyjnych
związanych z certyfikatami kwalifikowanymi wydanymi przez ten
podmiot
– posługuje się danymi do składania zaawansowanego podpisu
elektronicznego powiązanymi z certyfikatem wydanym przez ministra
właściwego do spraw gospodarki.

Art. 21. Potwierdzenie
ważności certyfikatu jest to usługa, która stwierdza
w szczególności ważność lub zawieszenie certyfikatu w czasie jej wykonania oraz
zawiera informację o czasie jej wykonania i jest opatrzona zaawansowanym
podpisem elektronicznym podmiotu świadczącego tę usługę.

Art. 22. 1. Certyfikat kwalifikowany jest wydawany na podstawie umowy przez
podmiot kwalifikowany.
2. Podmiot kwalifikowany przed zawarciem umowy, o której mowa w ust. 1,
jest obowiązany poinformować odbiorcę usług certyfikacyjnych,
z wyłączeniem osób, o których mowa w art. 2 pkt 19 lit. b, na piśmie lub
w postaci dokumentu elektronicznego w rozumieniu przepisów ustawy
z
dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów
realizujących zadania publiczne, w sposób jasny i powszechnie zrozumiały
o:
1) warunkach użycia tego certyfikatu i ograniczeniach jego stosowania;
2) skutkach prawnych składania podpisów elektronicznych weryfikowanych
za pomocą tego certyfikatu;
3) sposobie rozpatrywania skarg;
4) systemie rejestracji podmiotów kwalifikowanych oraz jego znaczeniu.
3. Umowa o wydanie certyfikatu kwalifikowanego powinna być zawarta
w formie pisemnej albo w formie elektronicznej.

16
Art. 23. Podpisujący jest obowiązany przechowywać dane do składania podpisu
elektronicznego w sposób zapewniający ich ochronę przed nieuprawnionym
wykorzystaniem.

Art. 24. 1. Podmiot, który wydaje certyfikat atrybutów, jest obowiązany zapewnić
jednoznaczne powiązanie tego certyfikatu z certyfikatem podpisu, dla
którego został wystawiony.
2.
Podmiot, który wydał certyfikat atrybutów, jest obowiązany do
niezwłocznego unieważnienia certyfikatu atrybutów, jeżeli powziął
informację o nieaktualności lub nieprawdziwości danych zawartych w tym
certyfikacie lub unieważniony został certyfikat, z którym certyfikat
atrybutów jest powiązany.
3. Osoba fizyczna albo podmiot, których dotyczy certyfikat atrybutów, są
obowiązani do niezwłocznego powiadomienia podmiotu, który wydał
certyfikat, o zmianie danych objętych tym certyfikatem atrybutów.

Art. 25. 1.
Usługi certyfikacyjne świadczone są zgodnie z politykami certyfikacji.
2. Polityka certyfikacji określa zasady świadczenia usług certyfikacyjnych
w zakresie wydawania certyfikatów, w szczególności:
1) zakres jej zastosowania;
2) opis sposobu tworzenia i przesyłania danych elektronicznych, które
zostaną opatrzone podpisem zaawansowanym podmiotu świadczącego
usługi certyfikacyjne;
3) okresy ważności certyfikatów;
4)
sposób potwierdzenia tożsamości osób, którym są wydawane
certyfikaty;
5) sposób identyfikacji podmiotu świadczącego usługi certyfikacyjne;
6)
metody i tryb tworzenia oraz udostępniania certyfikatów, list
unieważnionych i zawieszonych certyfikatów oraz innych danych

17
opatrzonych zaawansowanym podpisem elektronicznym podmiotu
świadczącego usługi certyfikacyjne;
7) opis elektronicznego zapisu struktur danych zawartych w certyfikatach
oraz innych danych poświadczanych elektronicznie w związku ze
świadczeniem usług certyfikacyjnych;
8) sposób zarządzania dokumentami związanymi ze świadczeniem usług
certyfikacyjnych.
3. Minister właściwy do spraw gospodarki może określić, w drodze
rozporządzenia, minimalne wymagania dotyczące polityk certyfikacji dla
certyfikatów kwalifikowanych, uwzględniając zakres zastosowania tych
certyfikatów oraz okresy ich ważności, konieczność zapewnienia
współdziałania urządzeń do składania i weryfikacji podpisów
elektronicznych, zapewnienie bezpieczeństwa obrotu prawnego oraz
uwzględniając normy i standardy techniczne określone w przepisach
wydanych na podstawie art. 10 ust. 4.

Art. 26. 1. Bezpieczne urządzenie do składania podpisu elektronicznego powinno
w szczególności:
1) uniemożliwiać pozyskiwanie danych do składania podpisu
elektronicznego;
2) uniemożliwiać zmianę danych, które mają zostać podpisane
elektronicznie, oraz umożliwić, aby dane te zostały przedstawione
podpisującemu przed złożeniem podpisu;
3) zapewniać łatwe rozpoznawanie istotnych dla bezpieczeństwa zmian
w urządzeniu do składania podpisu elektronicznego.
2. Weryfikacja podpisu elektronicznego zapewnia, że:
1) dane używane do weryfikacji podpisu elektronicznego odpowiadają
danym, które są przedstawiane osobie weryfikującej ten podpis;
2) podpis elektroniczny jest weryfikowany rzetelnie, a wynik weryfikacji
prawidłowo przedstawiany;

18
3) osoba weryfikująca może, w sposób niebudzący wątpliwości, ustalić
zawartość podpisanych danych;
4) autentyczność i ważność certyfikatu i danych podpisanych
elektronicznie jest rzetelnie weryfikowana;
5) wynik potwierdzenia tożsamości podpisującego jest przedstawiany
w sposób jednoznaczny;
6) użycie pseudonimu jest jednoznacznie wskazane;
7) wszelkie zmiany wpływające na bezpieczeństwo weryfikacji są
rozpoznawane.
3. Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia,
szczegółowe warunki techniczne, jakim powinny odpowiadać bezpieczne
urządzenia do składania podpisów elektronicznych, aplikacje do składania
podpisu elektronicznego oraz wymagania, jakie powinna spełniać
bezpieczna weryfikacja podpisu elektronicznego, uwzględniając normy
i standardy techniczne określone w przepisach wydanych na podstawie
art. 10 ust. 4.
4. Badanie zgodności urządzeń i procesów, o których mowa w ust. 1 i 2, ze
standardami i normami, o których mowa w art. 10 ust. 4, następuje na
zasadach określonych w przepisach odrębnych.

Art. 27. 1. Certyfikat kwalifikowany zawiera w szczególności:
1) numer certyfikatu;
2) wskazanie, że certyfikat został wydany jako certyfikat kwalifikowany
do stosowania zgodnie z określoną polityką certyfikacji;
3) określenie podmiotu świadczącego usługi certyfikacyjne wydającego
certyfikat i państwa, w którym ma on siedzibę, oraz numer pozycji
w rejestrze podmiotów kwalifikowanych;
4) imię i nazwisko lub pseudonim podpisującego, z zastrzeżeniem że
użycie pseudonimu musi być wyraźnie zaznaczone;

19