[pic] | COMMISSION OF THE EUROPEAN COMMUNITIES |

[pic] | KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER |

Brussels, 15.3.2006

Bruxelles, den 15.3.2006

COM(2006) 120 final

KOM(2006) 120 endelig

REPORT FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL

RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET

Report on the operation of Directive 1999/93/EC on a Community framework for electronic signatures

Rapport om Europa-Parlamentets og Rådets direktiv 1999/93/EF om en fællesskabsramme for elektroniske signaturer

TABLE OF CONTENTS

INDHOLDSFORTEGNELSE

1. Introduction 3

1. Indledning 3

2. The Directive 3

2. Direktivet 3

2.1. Background 3

2.1. Baggrund 3

2.2. Implementation of the Directive 4

2.2. Direktivets gennemførelse 4

2.3. Content of the Directive 4

2.3. Direktivets indhold 4

2.3.1 Aim and scope 4

2.3.1 Formål og anvendelsesområde 4

2.3.2. The various types of electronic signatures in the Directive 4

2.3.2. De forskellige typer elektroniske signaturer i direktivet 4

2.3.3. Internal market issues 5

2.3.3. Aspekter vedrørende det indre marked 5

2.3.4 Legal recognition 5

2.3.4 Retlig anerkendelse 5

3. Effect of the Directive on the Internal Market 5

3. Direktivets virkning på det indre marked 6

3.1. General remarks on the relationship between the Directive and marketdevelopment 5

3.1. Generelt om forholdet mellem direktivet og markedsudviklingen 6

3.2. The market for electronic certificates: applications in use 6

3.2. Markedet for elektroniske certifikater: aktuelle anvendelser 6

3.3. Technological developments 6

3.3. Den teknologiske udvikling 6

3.3.1. Standardisation 6

3.3.1. Standardisering 6

3.3.2. Technological challenges 7

3.3.2. Teknologiske udfordringer 7

4. The impact of Directive on other regulation 8

4. Direktivets betydning for anden lovgivning 8

4.1. The Directive 2001/115/EC 8

4.1. Direktiv 2001/115/EF 8

4.2. The new Public Procurement Directives 8

4.2. De nye direktiver om offentlige indkøb 9

4.3 The Commission Decision on electronic and digitised documents 9

4.3 Kommissionens afgørelse om elektroniske og digitaliserede dokumenter 9

5. Conclusions 9

5. Konklusion 10

5.1. The legal aspect 9

5.1. Det retlige aspekt 10

5.2. The effect on the market 10

5.2. Virkningen på markedet 10

REPORT FROM THE COMMISSIONTO THE EUROPEAN PARLIAMENT AND THE COUNCIL

RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET

Report on the operation of Directive 1999/93/EC on a Community framework for electronic signatures(Text with EEA relevance)

Rapport om Europa-Parlamentets og Rådets direktiv 1999/93/EF om en fællesskabsramme for elektroniske signaturer(EØS-relevant tekst)

1. INTRODUCTION

1. INDLEDNING

This Report reviews the operation of Directive 1999/93/EC on a Community framework for electronic signatures[1] (the Directive) in accordance with Article 12 of the Directive. The Report is partly based on the results of an independent study carried out by external consultants[2] (hereafter referred to as the Study) and finalised in 2003, and on the outcome of informal consultations with interested parties[3].

Denne rapport indeholder en vurdering af, hvordan Europa-Parlamentets og Rådets direktiv 1999/93/EF af 13. december 1999 om en fællesskabsramme for elektroniske signaturer[1] fungerer, i overensstemmelse med direktivets artikel 12. Rapporten er delvis baseret på resultaterne af en uafhængig undersøgelse, gennemført at eksterne konsulenter[2] og afsluttet i 2003, og på konklusionerne af uformelle drøftelser med de berørte parter[3].

2. THE DIRECTIVE

2. DIREKTIVET

2.1. BACKGROUND

2.1. Baggrund

Further to the first announcement of a proposal for legislation in the area of electronic signatures in a Communication on “Security and Trust in electronic communication – Towards a European framework for encryption and digital signatures” [4] , the proposal for a directive itself was published in 1998[5]. Several Member States had already introduced or proposed national electronic signature legislation, which they considered as a prerequisite for the growth of electronic commerce and an important policy requirement to ensure trust in electronic transactions.

I meddelelsen om “Sikkerhed og tillid i elektronisk kommunikation - Imod Europæiske rammer for digitale signaturer og kryptering” [4], bebudede Kommissionen første gang, at den ville fremsætte forslag til lovgivning om elektroniske signaturer, og i 1998 blev selve direktivforslaget offentliggjort[5]. En række medlemsstater havde allerede indført eller fremsat forslag til national lovgivning om elektroniske signaturer, som de anså for en forudsætning for vækst inden for elektronisk handel og et vigtigt politisk middel til at skabe tillid til elektroniske transaktioner.

From an EU perspective, national legislation with differing requirements risked holding back the effective establishment of the internal market especially in areas which depended on electronic signature related products and services. Avoiding disruption of the internal market in an area considered critical to the future of electronic transactions in the European economy was at the basis of the proposed harmonisation measures. One of the central requirements was the need to clarify the legal status of electronic signatures in order to ensure their legal validity, which was often questioned.

Ud fra en EU-synsvinkel var der risiko for, at nationale lovgivninger med forskellige krav ville hæmme udviklingen af et effektivt indre marked, særlig på områder, der var afhængige produkter og tjenesteydelser i forbindelse med elektroniske signaturer. Det grundlæggende formål med de foreslåede harmoniseringsforanstaltninger var derfor at undgå forstyrrelser på det indre marked på et område, der ansås for kritisk for elektroniske transaktioners fremtid i den europæiske økonomi. Et af de centrale krav var, at der skulle skabes klarhed omkring elektroniske signaturers retlige status for at garantere deres retlige gyldighed, som ofte blev draget i tvivl.

The Directive was adopted by the European Parliament and the Council in December 1999.

Direktivforslaget blev vedtaget af Europa-Parlamentet og Rådet i december 1999.

2.2. Implementation of the Directive

2.2. Direktivets gennemførelse

All 25 EU Member States have now implemented the general principles of the Directive. The comments below are based on a comprehensive review of the results of the consultation and of the Member States implementing measures, though a formal analysis of the legislation transposing the Directive has not been completed at the time of this Report.

Alle 25 medlemsstater har nu gennemført de generelle principper i direktivet. Nedenstående bemærkninger er baseret på en omfattende gennemgang af resultaterne af høringen og af medlemsstaternes gennemførelsesforanstaltninger, omend den formelle analyse af medlemsstaternes lovgivning til gennemførelse af direktivet endnu ikke er afsluttet på nuværende tidspunkt.

2.3. Content of the Directive

2.3. Direktivets indhold

2.3.1 Aim and s cope

2.3.1 Formål og anvendelsesområde

The main objective of the Directive is to create a Community framework for the use of electronic signatures, allowing the free flow of electronic signature products and services cross border, and ensuring a basic legal recognition of electronic signatures.

Direktivets hovedformål er at skabe en EU-ramme for brugen af elektroniske signaturer, der tillader fri udveksling på tværs af grænserne af produkter og tjenesteydelser på dette område, og som sikrer en grundlæggende retlig anerkendelse af elektroniske signaturer.

It should be stressed that the Directive does not address the conclusion and validity of contracts or other legal obligations prescribed by national or Community law regarding the form of contracts. Neither does it affect rules and limitations relating to the use of documents, provided in national or Community law.[6] Consequently, the Directive does not affect national provisions requiring, for instance, the use of paper for certain type of contracts. Furthermore the Directive does not exclude the possibility for parties in a closed system (e.g. corporate intranet or between a service provider and its customers) to negotiate their specific terms for the use of electronic signatures within this system.

Det bør understreges, at direktivet ikke omfatter aspekter i forbindelse med kontrakters indgåelse og gyldighed eller andre retlige forpligtelser, som national ret eller fællesskabsretten pålægger vedrørende kontraktformen. Det berører heller ikke de regler og begrænsninger, der efter national ret eller fællesskabsret gælder for anvendelsen af dokumenter[6]. Følgelig berører direktivet ikke nationale bestemmelser, der for eksempel kræver, at visse typer kontrakter skal indgås på papir. Endvidere udelukker direktivet ikke, at parter inden for et lukket system (f.eks. et virksomhedsnet eller et net mellem en tjenesteudbyder og dennes kunde) forhandler særlige vilkår for brugen af elektroniske signaturer inden for dette system.

2.3.2. The various types of electronic signatures in the Directive

2.3.2. De forskellige typer elektroniske signaturer i direktivet

The Directive addresses three forms of electronic signatures. The first one is the simplest form of the “ electronic signature ” and is given a wide meaning. It serves to identify and authenticate data. It can be as simple as signing an e-mail message with a person’s name or using a PIN-code. To be a signature the authentication must relate to data and not be used as a method or technology only for entity authentication.

Direktivet vedrører tre former for elektroniske signaturer. Den første er den mest enkle form, “ elektronisk signatur ” i bred betydning. Denne form for signatur tjener til at identificere og autentificere data. Det kan dreje sig om noget så simpelt som at underskrive en e-postbesked med en persons navn eller ved hjælp af en PIN-kode. For at udgøre en signatur skal autentifikationen vedrøre data og ikke blot anvendes som en metode eller teknologi til autentifikation af enheder .

The second form of electronic signature defined in the Directive is the “ advanced electronic signature ”. This form of signature has to meet the requirements defined in Article 2.2 of the Directive. The Directive is technology neutral but in practice, this definition refers mainly to electronic signatures based on a public key infrastructure (PKI). This technology uses encryption technology to sign data, which requires a public and a private key.

Den anden form for elektronisk signatur, der defineres i direktivet, er den “ avancerede elektroniske signatur ”. Denne form for signatur skal opfylde kravene i direktivets artikel 2, stk. 2. Direktivet er teknologineutralt, men i praksis vedrører denne definition hovedsagelig elektroniske signaturer, der er baseret på en infrastruktur med offentlige nøgler (PKI - Public Key Infrastructure). Her anvendes der krypteringsteknologi til at underskrive data, hvilket kræver en offentlig og en privat nøgle.

Lastly there is a third form of electronic signature mentioned in Article 5.1, which the Directive did not give a term of its own, but which for the purposes of this Report will be called “qualified electronic signature”. This consists of an advanced electronic signature based on a qualified certificate and created by a secure-signature-creation device and needs to comply with the requirements in Annex I, II and III.

Endelig nævnes i direktivets i artikel 5, stk. 1, en tredje form for elektronisk signatur, som ikke har fået nogen selvstændig betegnelse i direktivet, men som i denne rapport vil blive benævnt “kvalificeret elektronisk signatur”. Denne type signatur består af en avanceret elektronisk signatur, der er baseret på et kvalificeret certifikat, og som genereres af et sikkert signaturgenereringssystem. Denne type signatur skal opfylde kravene i bilag I, II og III.

The “ signatory ” is identified in the Directive as “a person who holds the signature creation device and acts either on his own behalf or on behalf of the natural or legal person or entity he represents”. Though the Directive does not state that the electronic signature has to refer to a natural person the signatory of a qualified electronic signature (article 5.1 of the Directive) can only be a natural person as this form of signature is considered as the equivalent of the handwritten signature.[7]

“ Underskriver ” defineres i direktivet som “en person, der besidder et signaturgenereringssystem og handler på egne vegne eller på vegne af den fysiske eller juridiske person eller det organ, som vedkommende repræsenterer”. Selv om det ikke udtrykkelig fremgår af direktivet, at den elektroniske signatur skal henvise til en fysisk person, kan underskriveren af en kvalificeret elektronisk signatur (artikel 5, stk. 1) kun være en fysisk person, da denne form for signatur anses for at svare til en håndskreven underskrift[7].

2.3.3. Internal market issues

2.3.3. Aspekter vedrørende det indre marked

To promote the emergence of the internal market for certification products and services and to ensure that a Certification Service Provider (CSP) established in one Member State can provide services in another Member State, Article 3 states that market access shall not be subject to prior authorisation. In order to ensure that Certification Service Providers that issue qualified certificates to the public comply with the requirements laid down in the Annexes, Member States do, however, have to establish appropriate systems for supervision. No mandatory requirements are imposed on supervision systems. Different models have been implemented by Member States, which up to know operate mainly in their country of origin and have not demonstrated to be the source of barriers. A rise in cross border certification services could however be affected by the divergences between the Member States systems.

For at fremme udviklingen af et indre marked for certificeringsprodukter og –tjenesteydelser og for at sikre, at en certificeringstjenesteudbyder, der er etableret i én medlemsstat, kan udbyde tjenester i en anden medlemsstat, fastsætter artikel 3, at adgang til markedet ikke må gøres betinget af forudgående autorisation. For at sikre, at certificeringstjenesteudbydere, der udbyder kvalificerede certifikater til offentligheden, opfylder de krav, der er fastsat i bilagene, skal medlemsstaterne imidlertid indføre passende kontrolsystemer. Der stilles ingen bindende krav til sådanne kontrolsystemer. Medlemsstaterne har valgt forskellige modeller for disse systemer, der indtil videre hovedsagelig fungerer i oprindelseslandet og ikke har vist tegn på at udgøre en hindring. Forskellene mellem medlemsstaternes systemer kan dog hæmme væksten i antallet af grænseoverskridende certificeringsydelser.

As regards the cross-border provision of certification services in the internal market, no restriction can be imposed on certification services provided from another Member State.

Hvad angår udbud af grænseoverskridende certificeringsydelser på det indre marked, må der ikke fastsættes begrænsninger for certificeringsydelser, der leveres fra en anden medlemsstat.

2.3.4 Legal recognition

2.3.4 Retlig anerkendelse

Article 5.2 establishes the general principle of the legal recognition of all kinds of electronic signatures established by the Directive.

Artikel 5, stk. 2, fastslår det generelle princip om retlig anerkendelse af alle former for elektronisk signatur, der er omfattet af direktivet.

It requires Member States to ensure that the qualified electronic signature (Article 5.1) is recognised as meeting the legal requirements of hand-written signatures and that it is admissible as evidence in legal proceedings in the same way as hand-written signatures are in relation to traditional documents.

Medlemsstaterne forpligtes til at sikre, at den kvalificerede elektroniske signatur (artikel 5, stk. 1) anerkendes som en signatur, der opfylder retskravene til en håndskreven underskrift, og at den godtages som bevismateriale under retssager på samme måde som en håndskreven underskrift i forbindelse med papirbaserede dokumenter.

Concerning the legal effect of e-signatures, there is yet no representative case law that allows for any assessment of the recognition of electronic signatures in practice.

Hvad angår retsvirkningerne af e-signaturer, er der endnu ikke nogen repræsentativ retspraksis, der gør det muligt at vurdere anerkendelsen af elektroniske signaturer i praksis.

3. EFFECT OF THE DIRECTIVE ON THE INTERNAL MARKET

3. DIREKTIVETS VIRKNING PÅ DET INDRE MARKED

3.1. General remarks on the relationship between the Directive and market development

3.1. Generelt om forholdet mellem direktivet og markedsudviklingen

With the adoption of the Directive, there were some expectations that this legislation would help the market for electronic signatures to take off. Generally legislation is not introduced to create market demand, nor was it in the case of the Directive. The Directive should, however, grant greater legal security with respect to the use of electronic signatures and related services. In that respect the Directive could provide a platform of trust that would have allowed for the market to take off.

Da direktivet blev vedtaget, var der en vis forventning om, at det ville være med til at sætte gang i markedet for elektroniske signaturer. Generelt indføres ny lovgivning ikke med det formål at skabe efterspørgsel på markedet, og det var da heller ikke tilfældet her. Imidlertid burde direktivet skabe større retssikkerhed med hensyn til brugen af elektroniske signaturer og dertil knyttede tjenester. Dermed kunne direktivet skabe det tillidsgrundlag, der skulle til, for at markedet kunne komme i gang.

Although the Study focussed its investigations on the use of advanced or qualified electronic signatures and found a very slow take up, it showed that many other electronic signature applications had become available that use the simpler form of electronic signatures.

Selv om ovennævnte undersøgelse var koncentreret om brugen af avancerede og kvalificerede elektroniske signaturer og fastslog, at der var tale om en meget langsom udbredelse på dette område, viste den også, at der er kommet mange andre anvendelser af elektroniske signaturer på markedet, som er baseret på den mere enkle form for elektronisk signatur.

3.2. The market for electronic certificates: applications in use

3.2. Markedet for elektroniske certifikater: aktuelle anvendelser

The two dominating electronic signature applications are related to e-government and personal e-banking services. Many Member States and several other European countries have launched e-government applications or are planning to do so. A number of these e-government applications are based on the use of electronic ID cards. The electronic ID card can be used both as an identification document and to provide on-line access to public services for the citizens. In most cases these ID cards will contain the three functionalities: identification, authentication and signing.

Elektroniske signaturer har især vundet udbredelse på to områder: e-forvaltning og personlige netbankydelser. Mange medlemsstater og adskillige andre europæiske lande har lanceret e-forvaltningssystemer eller har planer om at gøre det. En række af disse systemer bygger på brug af elektroniske id-kort. Det elektroniske id-kort kan anvendes både som et identifikationsbevis og til at give online-adgang til offentlige serviceydelser for borgerne. I de fleste tilfælde vil disse id-kort have tre funktioner: identifikation, autentifikation og underskrift.

The other major application for electronic signatures - personal e-banking - is now taking off in most EU countries. Most of the authentication systems for personal e-banking services are relying on one-time passwords (OTP) and tokens, which means the simplest form of electronic signature according to the Directive. Many e-banking applications are only using these technologies for authentication of the user but electronic signing of transactions is increasing. For corporate e-banking (business-to-business) and inter-bank clearing, it is more common to use smart cards which are considered to provide a higher level of security.

Det andet hovedanvendelsesområde for elektroniske signaturer – personlige netbankydelser – er nu ved at tage fart i de fleste EU-lande. De fleste autentifikationssystemer til personlige netbankydelser er baseret på engangskodeord og ”tokens”, dvs. den enkleste form for elektronisk signatur ifølge direktivet. Mange netbankapplikationer anvender kun disse teknologier til autentifikation af brugeren, men elektronisk underskrift af transaktioner vinder stadig mere frem. Til netbanktransaktioner mellem virksomheder (business-to-business) og clearing mellem banker er det mere almindeligt at bruge smartkort, der anses for at give en højere grad af sikkerhed.

At the same time, the spectrum of services requiring a level of authentication corresponding to the simple form of electronic signature is being widened in several Members States.

Samtidig bliver udvalget af tjenesteydelser, der kræver et autentifikationsniveau, som svarer til den simple form for elektronisk signatur, stadig større i adskillige medlemsstater.

3.3. Technological developments

3.3. Den teknologiske udvikling

3.3.1. Standardisation

3.3.1. Standardisering

Article 3.5 of the Directive allows the Commission to establish and publish reference numbers of “generally recognised standards”[8]for e-signature products. As a consequence compliance with the requirements laid down in Annex II f) and in Annex III when an e-signature product meets those standards is presumed.

Artikel 3, stk. 5, i direktivet giver Kommissionen mulighed for at fastsætte og offentliggøre referencenumre på “almindeligt anerkendte standarder”[8] for elektroniske signatur-produkter. Dermed formodes det, at et elektronisk signatur-produkt opfylder kravene i bilag II, litra f), og bilag III, hvis det overholder sådanne standarder.

The Commission issued a mandate to the European Standards Organisations to carry out the standardisation work. EESSI (European Electronic Signature Standardisation Initiative, composed by members from CEN/ISSS and ETSI) was set up and produced standards for e-signature products and services.[9]

Kommissionen har givet de europæiske standardiseringsorganisationer mandat til at udføre standardiseringsarbejdet. Der er iværksat et europæisk standardiseringsinitiativ vedrørende elektroniske signaturer, EESSI (European Electronic Signature Standardisation Initiative), med deltagelse af medlemmer fra CEN/ISSS og ETSI, som har udarbejdet standarder for e-signaturprodukter og -tjenesteydelser[9].

In July 2003, the Commission published a Decision based on Article 3.5 of the Directive[10] including references to CEN standards (CWAs) for the requirements related to the creation of qualified electronic signatures. The validity of CWAs expires after three years of their publication; however, CEN can extend their validity for another term if needed.

I juli 2003 offentliggjorde Kommissionen en beslutning i medfør af direktivets artikel 3, stk. 5[10], med referencer til CEN-standarder (såkaldte ”CWA-standarder”) vedrørende kravene i forbindelse med generering af kvalificerede elektroniske signaturer. Gyldigheden af CWA-standarder udløber tre år efter at de er offentliggjort. Dog kan CEN forlænge gyldigheden for endnu en periode, hvis der er behov for det.

According to Article 3.5, other standards can also be developed and accepted by the Commission to fulfil the requirements of the Directive as long as they can be considered to be “generally recognised standards”. In general, the requirements of the Annexes can also be fulfilled by other standards than those referenced in the OJ.

Ifølge artikel 3, stk. 5, kan der også udvikles andre standarder, som Kommissionen kan godkende som værende i overensstemmelse med direktivets krav, forudsat at de kan anses for at være “almindeligt anerkendte standarder”. Generelt kan kravene i bilagene også opfyldes af andre standarder end dem, hvis reference er offentliggjort i EUT.

It is important for the market that future standardisation work takes into account new technological developments as in the future, users will move their e-signature key from device to device in a connected world.

Det er vigtigt for markedet, at der i det fremtidige standardiseringsarbejde tages hensyn til ny teknologi, der dukker op, da brugerne i fremtidens netforbundne verden vil flytte deres e-signaturnøgle fra det ene udstyr til det andet.

3.3.2. Technological challenges

3.3.2. Teknologiske udfordringer

There is no simple answer to why the market for electronic signatures has not developed faster, but the market is facing a number of technical challenges. One frequently highlighted problem that could contribute to the slow take up of advanced or qualified electronic signatures in Europe is the complexity of the PKI technology. The often stressed advantage of PKI is that this technology uses the system of the “trusted third party” which allows parties that have never met to trust each other on the internet. In many of the current applications there seems, however, to be little interest from the service providers, essentially for liability reasons, to allow their customers to use their authentication device for other services. This is probably why the use of different one-time passwords (OTPs) is still dominating the market and there is little indication of this changing in the near future.

Der er ikke noget simpelt svar på, hvorfor markedet for elektroniske signaturer ikke har udviklet sig hurtigere, men det står klart, at markedet står over for en række teknologiske udfordringer. Et problem, der ofte fremhæves som en mulig årsag til den langsomme udbredelse af avancerede og kvalificerede elektroniske signaturer i Europa, er PKI-teknologiens kompleksitet. Den ofte omtalte fordel ved denne teknologi er, at den er baseret på et system af “betroede tredjeparter”, der gør det muligt for parter, der aldrig har mødt hinanden, at stole på hinanden på internettet. Imidlertid synes udbyderne af de eksisterende applikationer ikke at være særlig interesserede i lade kunderne anvende deres autentifikationsmiddel til andre tjenester, hovedsagelig på grund af erstatningsansvaret. Dette er sandsynligvis baggrunden for, at brug af forskellige engangskodeord stadig dominerer markedet, og der er ikke mange tegn på, at dette vil ændre sig i den nærmeste fremtid..

Other factors could explain this slow take up: the lack of provisions in the Directive on criteria for electronic signature verification services to be provided by the CSP to the end user and, the lack of provisions regarding the mutual recognition between CSPs. Depending of the countries, there are various solutions to validate a certificate such as the Root CA, the Bridge CA and the Trust Status List. In the framework of cross-border eGovernment transactions, in the IDA II Programme, action on Bridge/Gateway Certification Authority[11] has resulted in a Bridge/Gateway CA Pilot project which has identified not only technological problems but also legal and organisational ones.

Der er også en anden faktor, der kan være med til at forklare den langsomme udbredelse: den omstændighed, at direktivet ikke fastsætter kriterier for de verifikationstjenester, som certificeringstjenesteudbyderen skal tilbyde slutbrugeren, og at det ikke indeholder bestemmelser om gensidig anerkendelse mellem certificeringstjenesteudbydere. Der er forskellige måder at validere et certifikat på, f.eks. via en basiscertificeringsmyndighed (”Root CA”), via en certificeringsmyndighed, der fungerer som mellemled (”Bridge CA”), eller via en ”tillidsstatusliste” (Trust Status List). Som led i foranstaltningerne omkring grænseoverskridende e-forvaltning under programmet IDA II har man undersøget muligheden for at etablere en certificeringsmyndighed, der kan fungere som mellemled mellem certificeringsmyndighederne i Europa (”Bridge/Gateway Certification Authority”)[11], og afdækket ikke blot de teknologiske, men også de juridiske og organisatoriske problemer.

The lack of technical interoperability at national and at cross-border level causes another obstacle for the market acceptance of e-signatures. It has resulted in many “isolated” islands of e-signature applications, where certificates can only be used for one single application. EESSI has worked on common interoperability standards but most of the Member states have specified national standards in order to promote interoperability.[12]

Den manglende tekniske interoperabilitet på nationalt og tværnationalt plan udgør endnu en hindring for accept af elektroniske signaturer på markedet. Resultatet er mange isolerede e-signaturapplikationer, hvor certifikaterne kun kan anvendes til en enkelt applikation. EESSI har arbejdet på at udvikle fælles interoperabilitetsstandarder, men de fleste medlemsstater har fastlagt nationale standarder for at fremme interoperabiliteten[12].

Today, in the PKI environment, the smart card is the mostly used signature-creation-device because the smart card provides a means to store the private key securely. This technology is expensive and requires physical infrastructure investments (distribution of cards and card readers etc). There are already a number of alternatives to the smart card that can be used to store the cryptographic key securely.

Inden for PKI-systemet er smartkort i dag det mest anvendte middel til signaturgenerering, fordi smartkort giver mulighed for at opbevare den private nøgle på en sikker måde. Denne teknologi er dyr og kræver investering i fysisk infrastruktur (distribution af kort og kortlæsere mv.). Der er allerede en række alternativer til smartkortet, der kan bruges til at opbevare den kryptografiske nøgle sikkert.

Another practical reason for the reluctance to implement e-signature applications is that the archiving of electronically signed documents is considered too complex and uncertain. Legal obligations to keep documents for as long as over 30 years require costly and cumbersome technology and procedures to ensure readability and verification of such period of time.

Endnu en praktisk årsag til, at mange tøver med at indføre e-signaturapplikationer, er, at arkiveringen af elektronisk signerede dokumenter betragtes som værende for kompleks og usikker. Retlige krav om, at dokumenter skal opbevares i op til 30 år, betyder, at der skal dyr teknologi og besværlige procedurer til for at garantere læsbarhed og verifikation over så langt et tidsrum.

4. THE IMPACT OF DIRECTIVE ON OTHER REGULATION

4. DIREKTIVETS BETYDNING FOR ANDEN LOVGIVNING

Even if the demand for the deployment of PKI is something that cannot be created by legislation, the Commission still sees the introduction of electronic signatures as an important tool for the development of the information society services and to encourage secure electronic commerce.

Selv om efterspørgsel efter PKI-tjenester ikke kan skabes gennem lovgivning, ser Kommissionen stadig indførelsen af elektroniske signaturer som et vigtigt redskab i udviklingen af informationssamfundstjenester og til at fremme sikker elektronisk handel.

The introduction of e-signatures and reference to the Directive 1999/93/EC has been made in some recently adopted Directives and Decisions.

I en række direktiver og afgørelser, der er vedtaget i de senere år, henvises der til indførelsen af elektroniske signaturer og direktiv 1999/93/EF.

4.1. The Directive 2001/115/EC

4.1. Direktiv 2001/115/EF

The Directive 2001/115/EC[13] recognises the possibility to send invoices electronically. In this case, the authenticity of the origin of the invoice and the integrity of its content must be guaranteed, for example by the use of advanced electronic signatures.

Direktiv 2001/115/EF[13] anerkender muligheden for at sende fakturaer elektronisk. I givet fald skal ægtheden af fakturaens oprindelse og integriteten af dens indhold garanteres, f.eks. ved hjælp af avancerede elektroniske signaturer.

The function of the advanced e-signature as referred in this Directive is to ensure that technical security during the transmission and storage process is fulfilled. In fact, in the paper-environment, not all national legislations require such a document to be signed with a handwritten signature and the Directive states that Member States shall not require invoices to be signed. It can, therefore, be said that the notion of e-signature in this case refers to a technical rather than a legal concept.

Den avancerede e-signaturs funktion i forbindelse med dette direktiv er at sikre, at kravet om teknisk sikkerhed i transmissions- og arkiveringsprocessen er opfyldt. Faktisk kræver medlemsstaternes lovgivninger ikke alle, at tilsvarende papirdokumenter underskrives, og ifølge direktivet må medlemsstaterne ikke kræve, at fakturaer underskrives. Man kan derfor sige, at e-signatur i dette tilfælde er et teknisk snarere end et retligt begreb.

4.2. The new Public Procurement Directives

4.2. De nye direktiver om offentlige indkøb

The new Public Procurement Directives, which entered into force on 30 April 2004, complete the legislative framework for the use of electronic signatures in public procurement.[14]

De nye direktiver om offentlige indkøb, der trådte i kraft den 30. april 2004, fuldender lovrammerne for brugen af elektroniske signaturer i forbindelse med offentlige indkøb[14].

Use of e-signatures is central to establishing operational e-procurement systems across the EU. E-procurement can be expected to be one of the major fields of application, especially for more advanced forms of e-signatures. E-procurement illustrates the challenges to be overcome when promoting the use of e-signatures.

Brug af e-signaturer er afgørende for, at der kan etableres fungerende systemer til offentlige e-indkøb i hele EU. Offentlige e-indkøb kan forventes at blive et af de største anvendelsesområder, især for de mere avancerede former for e-signaturer. Dette område giver et godt indtryk af, hvilke udfordringer der skal takles for at fremme brugen af e-signaturer.

The new Public Procurement Directives do not define which type of e-signatures should be used in electronic tendering but leave the choice to the Member States provided it is consistent with national law implementing Directive 1999/93/EC.[15] This reflects the current practice for the submission of paper offers for which EU procurement Directives do not regulate the modalities for signing and securing offers.

De nye direktiver om offentlige indkøb fastlægger ikke, hvilken type e-signaturer der skal anvendes i forbindelse med elektroniske offentlige udbud, men overlader valget til medlemsstaterne, forudsat at det er i overensstemmelse med den nationale lovgivning, der gennemfører direktiv 1999/93/EF[15]. Dette afspejler den gældende praksis i forbindelse med indgivelse af tilbud på papir, hvor direktiverne om offentlige indkøb ikke opstiller regler for, hvordan tilbud undertegnes og sikres.

The fact that Member States may choose different levels of electronic signatures implies the risk that e-procurement solutions will be designed taking into account nationally developed products. This risks fragmenting the procurement market and causing barriers to the internal market for electronic signatures.

Den omstændighed, at medlemsstaterne kan vælge forskellige former for e-signaturer, indebærer risiko for, at e-indkøbsløsningerne vil blive udformet således, at de tilgodeser nationalt udviklede produkter. Dermed er der risiko for, at markedet splittes op, og at der skabes hindringer for det indre marked for elektroniske signaturer.

The challenge is now to implement electronic signatures across Europe for e-procurement without creating barriers to cross border trade.

Opgaven bliver nu at indføre elektroniske signaturer til offentlige e-indkøb i hele EU uden at skabe hindringer for den grænseoverskridende handel.

The new directives are complemented by an action plan[16] which sets targets and identifies possible actions for the Commission and Member States in 2005 to 2007 to ensure that e-procurement is generalised in Europe by 2010. It calls for an operational solution for e-signatures based on mutual recognition, which mustn’t be different from those used in other fields of activity.

De nye direktiver er blevet fulgt af en handlingsplan[16], der sætter mål og foreslår tiltag, som Kommissionen og medlemsstaterne kan gennemføre i perioden 2005 - 2007 for at sikre, at offentlige e-indkøb vinder almen udbredelse inden 2010. Handlingsplanen anbefaler, at der indføres en e-signaturløsning, der bygger på gensidig anerkendelse, og som ikke adskiller sig fra de løsninger, der er indført på andre aktivitetsområder.

4.3 The Commission Decision on electronic and digitised documents

4.3 K ommissionens afgørelse om elektroniske og digitaliserede dokumenter

The Commission Decision 2004/563 on electronic and digitised documents was adopted on 7 July 2004 [17]. This Decision amends the internal Rules of Procedure of the Commission.

Kommissionens afgørelse 2004/563 om elektroniske og digitaliserede dokumenter blev vedtaget den 7. juli 2004[17]. Afgørelsen ændrer Kommissionens forretningsorden.

This Decision determines the conditions of validity of electronic and digitised documents for the Commission’s purposes. It applies to electronic documents established or received and held by the Commission and the e-signature will be used to attest the validity of electronic documents when necessary [18]

Denne afgørelse fastlægger betingelserne for elektroniske og digitaliserede dokumenters gyldighed for Kommissionens vedkommende. Bestemmelserne finder anvendelse på elektroniske og digitaliserede dokumenter, som Kommissionen udarbejder eller modtager. Hvor det er nødvendigt at attestere elektroniske dokumenters gyldighed, vil dette ske ved hjælp af e-signatur[18].

The Commission has drafted the implementing rules of this Decision. They contain the principles necessary for the implementation of the e-signatures technical infrastructure.

Kommissionen har udarbejdet et sæt gennemførelsesregler til denne afgørelse. Disse regler fastlægger de nødvendige principper for implementering af den tekniske infrastruktur for e-signaturer.

5. CONCLUSIONS

5. K ONKLUSION

5.1. The legal aspect

5.1. DET RETLIGE ASPEKT

The Directive has introduced legal certainty with respect to the general admissibility of electronic signatures: the need for the legal recognition of electronic signatures has been met by the transposition of the Directive into the legislation of the Member States.

Direktivet har skabt retssikkerhed omkring muligheden for at anvende elektroniske signaturer. Behovet for retlig anerkendelse af elektroniske signaturer er opfyldt med gennemførelsen af direktivet i medlemsstaternes lovgivning.

Against this background the Commission considers that the objectives of the Directive have been largely fulfilled and that no clear need for its revision has emerged at this stage.

På denne baggrund mener Kommissionen, at direktivets formål i det store hele er opfyldt, og at der ikke har vist sig noget klart behov for at revidere direktivet på nuværende tidspunkt.

Nonetheless, given the problems of mutual recognition of e-signatures and interoperability at a general level, the Commission will organise a series of meetings with the Member States and the relevant stakeholders to address the following issues in view of considering complementary measures, where appropriate: the differences in the transposition of the Directive; the clarifications of specific articles of the Directive; the technical and standardisation aspects; interoperability problems. In this context, account will be taken of the results from the relevant activities of the Commission services.

I betragtning af de problemer, der fortsat er, når det gælder gensidig anerkendelse af e-signaturer og interoperabilitet generelt, vil Kommissionen imidlertid holde en række møder med medlemsstaterne og de relevante interesseparter for at drøfte følgende spørgsmål og overveje supplerende foranstaltninger: forskellene i gennemførelsen af direktivet i national ret, tydeliggørelse af bestemte artikler i direktivet, de tekniske aspekter og standardisering samt interoperabilitetsproblemer. I denne forbindelse vil der blive taget hensyn til resultaterne af relevante aktiviteter i Kommissionens tjenestegrene.

5.2. The effect on the market

5.2. Virkningen på markedet

The use of qualified electronic signatures has been much less than expected and the market is not very well developed today. Today, users do not have a single electronic certificate to sign documents or transactions in the digital environment in the same way as on paper. Therefore, the internal market objective of the Directive, the free circulation of qualified electronic signatures, cannot be assessed comprehensively at this stage.

Kvalificerede elektroniske signaturer har ikke vundet så stor udbredelse som forventet, og markedet er endnu ikke særlig veludviklet. Brugerne råder i dag ikke over et enkelt elektronisk certifikat, der kan bruges til at underskrive dokumenter eller transaktioner i den digitale verden på samme måde som på papir. Derfor kan det på nuværende tidspunkt ikke fuldt ud vurderes, om direktivets mål for det indre marked – fri udveksling af produkter og tjenesteydelser vedrørende kvalificerede elektroniske signaturer – er nået.

The main reason for the slow take-off of the market is economic: service providers have little incentive to develop multi-application electronic signature and prefer to offer solutions for their own services, for instance, solutions developed by the banking sector. This slows down the process of developing interoperable solutions. The lack of applications, such as comprehensive solutions for electronic archives, might also prevent the development of a multi-purpose e-signature, which requires reaching a critical mass of users and usage.

Hovedårsagen til markedets langsomme udvikling er økonomisk: tjenesteudbyderne har kun ringe incitament til at udvikle elektroniske signaturer, der kan anvendes på flere områder, og foretrækker at tilbyde løsninger til deres egne tjenester, f.eks. løsninger der udvikles af banksektoren. Dette bremser udviklingen af interoperable løsninger. Manglen på applikationer, som f.eks. omfattende elektroniske arkivløsninger, kan også være med til at hæmme udviklingen af en e-signatur med flere formål, da dette kræver en kritisk masse af brugere og anvendelsesområder.

A number of applications in the future might however trigger market growth. The use of e-signatures in e-government services has already reached a certain volume and will probably be an important driver in the future. The strategic role of eGovernment applications is recognised in the i2010 initiative[19], which fosters the deployment and efficient use of ICT by the private and public sectors. The need for secure electronic means of identification to access and use public services is essential for citizens and businesses and will promote the use of electronic signatures[20]. Different forms of eID will be emerging and will require some degree of interoperability. The Commission has set a high priority on eID initiatives, through for instance, the eProcurement action plan or the harmonisation of security features of travel documents, the IDABC programme action on the interoperability aspects of eID for pan-European eGovernment services, the IST or the eTen Programmes. Internally, the Commission intends to continue the modernization of its own administration.[21] The future deployment of e-signatures to reduce paper circulation is one of these measures.

En række anvendelsesområder, der er på vej frem, vil imidlertid kunne sætte skub i markedet. Brugen af e-signaturer i forbindelse med e-forvaltning har allerede nået et vist omfang og bliver sandsynligvis en vigtig drivkraft fremover. Den strategiske rolle, som e-forvaltningstjenester spiller, anerkendes i i2010-initiativet[19], der støtter indførelse og effektiv udnyttelse af ikt i både den private og den offentlige sektor. Både privatpersoner og virksomheder har brug for sikre elektroniske identifikationsmidler for at få adgang til offentlige serviceydelser, og dette vil medføre øget brug af e-signaturer[20]. Forskellige former for e-id vil vokse frem og vil kræve en vis grad af interoperabilitet. Kommissionen har givet initiativer vedrørende e-id høj prioritet, f.eks. i forbindelse med handlingsplanen for offentlige e-indkøb, harmoniseringen af sikkerhedselementerne i rejsedokumenter, IDABC-programforanstaltningen om interoperabilitetsaspekterne af e-id til fælleseuropæiske e-forvaltningstjenester, IST-programmet og eTen-programmet. Internt har Kommissionen til hensigt at fortsætte moderniseringen af sin egen administration[21]. Et af de planlagte tiltag går ud på at indføre e-signaturer for at nedbringe cirkulationen af papirdokumenter.

The Commission will continue to encourage the development of e-signatures services and applications and will monitor the market. Beyond the support through eGovernment activities, particular emphasis will be on interoperability and cross-border use of electronic signatures. The Commission will encourage further standardisation work in order to promote the interoperability and use of all kinds of technologies for qualified electronic signature in the internal market. It will prepare a report on standards for electronic signatures in 2006.

Kommissionen vil blive ved med at stimulere udviklingen af e-signaturtjenester og –applikationer og vil fortsat overvåge markedet. Ud over støtten gennem aktiviteterne omkring e-forvaltning vil der især blive lagt vægt på interoperabilitet og brug af elektroniske signaturer på tværs af grænserne. Kommissionen vil tilskynde til yderligere standardiseringsarbejde for at fremme interoperabilitet og brug af alle slags teknologier til kvalificerede signaturer på det indre marked. Den vil udarbejde en rapport om standarder for elektroniske signaturer i 2006.

[1] Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures, OJ L 13, 19.1.2000, p.12.

[1] Europa-Parlamentets og Rådets direktiv 1999/93/EF af 13. december 1999 om en fællesskabsramme for elektroniske signaturer, EFT L 13 af 19.1.2000, s. 12.

[2] Study on the legal and market aspects of electronic signatures, K.U.L., 2003, http://europa.eu.int/information_society/eeurope/2005/all_about/trust/electronic_sig_report.pdf

[2] “Study on the legal and market aspects of electronic signatures” (undersøgelse af de retlige og markedsmæssige aspekter af elektroniske signaturer), K.U.L., 2003, http://europa.eu.int/information_society/eeurope/2005/all_about/trust/electronic_sig_report.pdf

[3] In 2003 the Commission launched an informal consultation for all the interested parties to collect comments on the operation of the Directive. The comments received are integrated in this report.

[3] I 2003 gennemførte Kommissionen en uformel høring af alle berørte parter for at indsamle oplysninger om, hvordan direktivet fungerer. De modtagne kommentarer er indarbejdet i denne rapport.

[4] COM(97) 503 of 8 October 1997.

[4] KOM(1997) 503 af 8. oktober 1997.

[5] OJ C 325, 23.10.1998, p.5.

[5] EFT C 325 af 23.10.1998, s. 5.

[6] The elimination of legal obstacles for the conclusion of contracts by electronic means is regulated by Article 9 of the Electronic Commerce Directive (Directive 2000/31/EC, OJ L 178, p.1)

[6] Artikel 9 i direktivet om elektronisk handel (direktiv 2000/31/EF, EFT L 178, s. 1) fastsætter bestemmelser om afskaffelse af retlige hindringer for elektronisk indgåelse af kontrakter.

[7] Restricting the use of advanced electronic signatures to natural persons shows that a lot of regulators consider e-signatures to be merely electronic equivalents of traditional handwritten signatures. However, the most common use of digital signatures is exclusively to enhance message authenticity and integrity, without the aim of showing intent to sign in the traditional sense which has also been pointed out by e.g. ICC during the informal consultation.

[7] Den omstændighed, at brugen af avancerede elektroniske signaturer begrænses til fysiske personer, viser, at mange myndigheder betragter en elektronisk signatur udelukkende som en elektronisk udgave af den traditionelle håndskrevne underskrift. Imidlertid tjener digitale signaturer i de fleste tilfælde blot til at øge meddelelsens autenticitet og integritet, uden at det er formålet at forsyne meddelelsen med en underskrift i den traditionelle forstand. Dette blev også påpeget af bl.a. Det Internationale Handelskammer under den uformelle høring.

[8] This concept refers to the requirements of technological updatedness and of acceptance by practitioners or sufficient participation of them in its development.

[8] En “almindeligt anerkendt standard” skal være teknologisk up-to-date og anerkendt af brugerne, eller disse skal have taget tilstrækkeligt del i udviklingen af standarden.

[9] The list of standards produced is available on the EESSI web site http://www.ict.etsi.org/EESSI_home.htm

[9] En liste over de udarbejdede standarder findes på ETSI’s websted: http://www.ict.etsi.org/EESSI_home.htm

[10] Decision 2003/511/EC of 14 July 2003 on the publication of reference numbers of generally recognised standards for electronic signature products in accordance with Directive 1999/93/EC of the European Parliament and of the Council, OJ L 175, 15.7.2003, p.45.

[10] Kommissionens beslutning 2003/511/EF af 14. juli 2003 om offentliggørelse af referencenumre på almindeligt anerkendte standarder for elektroniske signaturprodukter i overensstemmelse med Europa-Parlamentets og Rådets direktiv 1999/93/EF, EUT L 175 af 15.7.2003, s.45.

[11] The BGCA action of the IDA II Programme : http://europa.eu.int/idabc/en/document/2318/556

[11] Oplysninger om dette tiltag under IDA II-programmet findes på:http://europa.eu.int/idabc/en/document/2318/556

[12] For example, the ISIS-MTT specifications in Germany aim at creating technical interoperability between the e-signatures products

[12] For eksempel har ISIS-MTT-specifikationerne i Tyskland til formål at skabe teknisk interoperabilitet mellem e-signaturprodukterne.

[13] Council Directive 2001/115/EC of 20 December 2001 amending Directive 77/388/EEC with a view to simplifying, modernizing and harmonizing the conditions laid down for invoicing in respect of value added tax, OJ L 15, 17.1.2002, p.24

[13] Rådets direktiv 2001/115/EF af 20. december 2001 om ændring af direktiv 77/388/EØF med henblik på forenkling, modernisering og harmonisering af kravene til fakturering med hensyn til merværdiafgift, EFT 15 af 17.1.2002, s. 24.

[14] Directive 2004/17/EC of the European Parliament and of the Council of 31 march 2004 coordinating the procurement procedures of entities operating in the water, energy, transports and postal services sectors, OJ L 134, 30.4.2004, p.1 and Directive 2004/18/EC of the European Parliament and of the Council of 31 march 2004 on the coordination of procedures for the award of public works contracts, public supply contracts and public service contracts, OJ L 134, 30.4.2004, p.114

[14] Europa-Parlamentets og Rådets direktiv 2004/17/EF af 31. marts 2004 om samordning af fremgangsmåderne ved indgåelse af kontrakter inden for vand- og energiforsyning, transport samt posttjenester, EUT L 134 af 30.4.2004, s. 1, og Europa-Parlamentets og Rådets direktiv 2004/18/EF af 31. marts 2004 om samordning af fremgangsmåderne ved indgåelse af offentlige vareindkøbskontrakter, offentlige tjenesteydelseskontrakter og offentlige bygge- og anlægskontrakter, EUT L 134 af 30.4.2004, s. 114.

[15] Cf. Annex X of procurement Directive 2004/18

[15] Jf. bilag X til direktiv 2004/18/EF.

[16] Communication from the Commission to the Council, the European Parliament, The European Economic and Social Committee and the Committee of the Regions, Action plan for the implementation of the legal framework for electronic public procurement, 14.10.2004

[16] Meddelelse fra Kommissionen til Rådet, Europa-Parlamentet, det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget - Handlingsplan for gennemførelsen af lovgivningen om elektronisk baserede offentlige indkøbsprocedurer, 14.10.2004

[17] Commission Decision of 7 July 2004 amending its rule of procedure, OJ L 251, 27.7.2004, p.9

[17] Kommissionens afgørelse af 7. juli 2004 om ændring af dens forretningsorden, EUT L 251 af 27.7.2004, s. 9

[18] It can also apply, with an agreement, for bodies or entities responsible for the implementation of certain Community policies, and with the national administrations, where a procedure involves the Commission and these other entities.

[18] Afgørelsen kan også gennem en aftale gøres gældende for organer og enheder med ansvar for gennemførelsen af visse fællesskabspolitikker, og for de nationale myndigheder, når en procedure involverer Kommissionen og disse andre enheder.

[19] COM(2005) 229 final

[19] KOM (2005) 229 endelig

[20] see also the Ministerial Declaration approved unanimously in Manchester during the Ministerial e-government Conference « Transforming Public Services », 24/11/05

[20] Se også ministererklæringen, der blev vedtaget enstemmigt i Manchester under ministerkonferencen om e-forvaltning, «Informatisering af de offentlige tjenester i Europa», 24/11/05.

[21] “e-Commission 2006-2010: enabling efficiency and transparency” - strategic framework - C/2005/44 73

[21] “e-Commission 2006-2010: enabling efficiency and transparency” – strategic framework (ikke oversat til dansk), C/2005/44 73