LISA

JÄRELEVALVEALUSTE/AKREDITEERITUD SERTIFITSEERIMISTEENUSTE OSUTAJATE USALDUSNIMEKIRJA ÜHTSE VORMI TEHNILISED NÕUDED

ÜLDNÕUDED

1. Sissejuhatus

Liikmesriikide järelevalvealuste/akrediteeritud sertifitseerimisteenuste osutajate usaldusnimekirja ühtse vormi eesmärk on kehtestada ühtne kord, mille alusel liikmesriigid esitavad teavet selliste sertifitseerimisteenuste osutajate (Certification Service Provider – CSP) (1) sertifitseerimisteenuste järelevalve-/akrediteerimisoleku kohta, kelle järelevalvet nad teostavad või kelle nad on akrediteerinud, et tagada direktiivi 1999/93/EÜ asjakohaste sätete järgimine. See hõlmab ka varasema teabe esitamist järelevalvealuste/akrediteeritud sertifitseerimisteenuste järelevalve-/akrediteerimisoleku kohta.

Kõnealuse teabe põhieesmärk on toetada kvalifitseeritud sertifikaadiga toetatavate kvalifitseeritud elektrooniliste allkirjade (Qualified Electronic Signature – QES) ja täiustatud elektrooniliste allkirjade (Advanced Electronic Signature – AdES) (2) tõendamist, (3) (4).

Usaldusnimekirjas esitatav kohustuslik teave peab sisaldama vähemalt teavet direktiivi 1999/93/EÜ sätete (artikli 3 lõiked 2 ja 3 ning artikli 7 lõike 1 punkt a) kohaselt kvalifitseeritud sertifikaate (Qualified Certificate – QC) (5) väljastavate järelevalvealuste/akrediteeritud CSPde kohta, sealhulgas – juhul kui see ei ole QC osa – teavet elektroonilist allkirja toetavate QCde kohta ning selle kohta, kas allkiri luuakse turvalise allkirja andmise vahendiga (Secure Signature Creation Device – SSCD) või ilma selleta (6).

Liikmesriik võib vabatahtlikult esitada oma usaldusnimekirjas lisateavet teiste CSPde kohta, kes ei väljasta QCsid, kuid osutavad elektrooniliste allkirjadega seotud teenuseid (nt ajatempliteenuseid osutavad ja ajatempleid väljastavad CSPd, mitte QCsid väljastavad CSPd jne), kui nad on samamoodi nagu QCsid väljastavad CSPd järelevalvealused/akrediteeritud või heaks kiidetud erineva riikliku heakskiitmissüsteemi raames. Riiklikud heakskiitmissüsteemid võivad mõnes liikmesriigis kohaldatavate nõuete ja/või vastutava organisatsiooni poolest erineda QCsid väljastavate CSPde suhtes kohaldatavatest järelevalvesüsteemidest või vabatahtlikkusel põhinevatest akrediteerimissüsteemidest. Mõisted „akrediteeritud” ja/või „järelevalvealune” hõlmavad käesolevates nõuetes ka riiklikke heakskiitmissüsteeme, kuid liikmesriigid peavad esitama usaldusnimekirjas riiklike süsteemide kohta lisateabe, sealhulgas selgituse võimalike erinevuste kohta võrreldes QCsid väljastavate CSPde suhtes kohaldatavate akrediteerimis-/järelevalvesüsteemidega.

Ühtne vorm põhineb tehniliste nõuete ETSI TS 119 612 punktil v1.1.1 (7) (edaspidi „ETSI TS 119 612”), mis käsitleb selliste nimekirjade koostamist, avaldamist, asukohta, juurdepääsetavust, autentimist ja terviklust.

2. Usaldusnimekirja ühtse vormi struktuur

Liikmesriigi usaldusnimekirja ühtne vorm on vastavalt tehnilistele nõuetele ETSI TS 119 612 struktureeritud järgmiste teabekategooriate kaupa:

1.	usaldusnimekirja märgend, mis hõlbustab usaldusnimekirja tuvastamist elektrooniliste otsingute käigus;

2.	teave usaldusnimekirja ja selle väljastamissüsteemi kohta;

väljade jada, mis sisaldab selget tuvastusteavet iga selle süsteemi alusel järelevalvealuse/akrediteeritud CSP kohta (see jada on valikuline, st kui seda ei kasutata, käsitatakse nimekirja tühjana, mis tähendab, et seotud liikmesriigis ei ole usaldusnimekirja kandmiseks ühtegi järelevalvealust või akrediteeritud CSPd);

iga nimekirja kantud CSP puhul andmed tema konkreetsete usaldusteenuste kohta, mille hetkeolek on registreeritud usaldusnimekirjas; andmed esitatakse väljade jadana ning need tuvastavad selgelt CSP osutatavad järelevalvealused/akrediteeritud sertifitseerimisteenused ja nende hetkeoleku (selles jadas peab olema vähemalt üks kirje);

5.	iga nimekirja kantud järelevalvealuse/akrediteeritud sertifitseerimisteenuse puhul vajaduse korral varasemad olekuandmed;

6.	usaldusnimekirja puhul kasutatav allkiri.

QCsid väljastava CSPga seoses võimaldab usaldusnimekirja struktuur, eriti teenuseteabe osa (vastavalt eeltoodud punktile 4), teenuseteabe laienduses esitatava lisateabe abil kompenseerida olukorrad, kus kvalifitseeritud sertifikaadis on ebapiisavalt (masinloetavat) teavet selle kvalifitseeritud oleku ja SSCD võimaliku toe kohta, eriti kuna tuleb arvestada ka asjaolu, et enamik (ärilistel alustel tegutsevaid) CSPsid kasutab ainult üht väljastavat sertifitseerimisasutust (Certification Authority – CA), kes väljastab nii kvalifitseeritud kui ka mittekvalifitseeritud lõppkasutaja sertifikaatide eri tüüpe.

Sertifikaadi loomise (CA) teenustega seoses võib CSP teenuskirjete arvu nimekirjas vähendada, kui CSP avaliku võtme infrastruktuuris on üks või mitu ülataseme CA teenust (nt kui on tegemist CAde hierarhiaga, mis hõlmab nii juursertifitseerijat kui ka mitut väljastavat CAd), ning kanda nimekirja ülataseme CA teenused, kuid mitte lõppkasutaja sertifikaate väljastava CA teenuseid (nt kanda nimekirja ainult CSP juursertifitseerija). Neil juhtudel kehtib olekuteave kõigi CA teenuste kohta, mis on nimekirja kantud teenusest hierarhias allpool, ning tuleb säilitada ja tagada selge seos QCsid väljastava CSP sertifitseerimisteenuse ja QCdena tuvastatavate sertifikaatide rühma vahel.

2.1. Iga kategooria all esitatava teabe kirjeldus

1. Usaldusnimekirja märgend

2. Teave usaldusnimekirja ja selle väljastussüsteemi kohta

Sellesse kategooriasse kuulub järgmine teave:

—	usaldusnimekirja vorminguversiooni tunnus;

—	usaldusnimekirja järjenumber (või redaktsiooninumber);

—

teave usaldusnimekirja tüübi kohta (nt tuvastamaks asjaolu, et kõnealune usaldusnimekiri sisaldab teavet selliste CSPde poolt osutatavate sertifitseerimisteenuste järelevalve-/akrediteerimisoleku kohta, kelle järelevalvet asjaomane liikmesriik teostab või kelle ta on akrediteerinud, et tagada direktiivi 1999/93/EÜ sätete järgimine);

—	teave usaldusnimekirja süsteemioperaatori (omaniku) kohta (nt usaldusnimekirja koostamise, turvalise avaldamise ja haldamisega tegeleva liikmesriigi asutuse nimi, aadress, kontaktandmed jne);

—

teave usaldusnimekirja aluseks oleva(te) järelevalve-/akrediteerimissüsteemi(de) kohta, mis hõlmab muu hulgas järgmisi andmeid:

—	riik, kus seda kohaldatakse;

—	teave või viide selle kohta, kust võib leida teavet süsteemi(de) kohta (süsteemi mudel, eeskirjad, kriteeriumid, piirkond, kus seda kohaldatakse, tüüp jne);

—	(varasema) teabe säilitamise aeg;

—	usaldusnimekirja põhimõtted ja/või õiguslik teade, kohustused, vastutus;

—	usaldusnimekirja väljastamise kuupäev ja kellaaeg;

—	usaldusnimekirja järgmine kavandatud uuendamine.

3. Selge tuvastusteave iga CSP kohta, kelle järelevalvet süsteemi alusel teostatakse või kes on süsteemi alusel akrediteeritud

See teaberühm sisaldab vähemalt järgmisi andmeid:

—	CSP organisatsiooni nimi, mida kasutatakse ametlike juriidiliste kannete puhul (sh CSP organisatsiooni UIDd vastavalt liikmesriigi tavadele);

—	CSP aadress ja kontaktandmed;

—	lisateave CSP kohta, mis on vahetult kättesaadav, või on lisatud viide, kust sellist teavet saab alla laadida.

4. Iga nimekirja kantud CSP puhul väljade jada, mis sisaldab selget tuvastusteavet CSP osutatava ja direktiivi 1999/93/EÜ alusel järelevalvatava/akrediteeritud sertifitseerimisteenuse kohta

See teaberühm sisaldab nimekirja kantud CSP iga sertifitseerimisteenuse kohta vähemalt järgmisi andmeid:

—	teenusetüübi identifikaator: sertifitseerimisteenuse tüübi identifikaator (nt identifikaator, mis näitab, et CSP osutatava järelevalvealuse/akrediteeritud sertifitseerimisteenuse puhul on tegemist QCde väljastamisega CA poolt);

—	teenuse (kaubanduslik) nimetus: asjaomase sertifitseerimisteenuse (kaubanduslik) nimetus;

—	teenuse digitaalne identiteet: sertifitseerimisteenuse selge kordumatu identifikaator;

—	teenuse hetkeolek: teenuse hetkeoleku identifikaator;

—	hetkeoleku alguskuupäev ja -kellaaeg;

—

vajaduse korral teenuseteabe laiendus: lisateave teenuse kohta (nt vahetult kättesaadav teave või lisatud viide, kust sellist teavet saab alla laadida): süsteemioperaatori esitatav teave teenuse määratluse kohta, teave teenusele juurdepääsu kohta, CSP esitatav teave teenuse määratluse kohta ja teenuseteabe laiendus. Näiteks QCsid väljastava CA teenuste puhul valikuline informatsiooniennikute jada, kus iga enniku puhul on esitatud järgmine teave:

—	kriteeriumid, mida kasutatakse selleks, et tuvastatud usaldusteenuse hulgast täpsemalt tuvastada (filtreerida) teenusväljundite rühm (nt QCde rühm), mille puhul nõutakse/esitatakse lisateavet seoses selle oleku, SSCD toele viitamise ja/või juriidilisele isikule väljastamisega, ja

—

seotud teave (täpsustid) selle kohta, kas teenusväljundite rühm tuvastab sertifikaate kvalifitseeritutena ja/või kas selle teenusega tuvastatud QCdel on SSCD tugi ja/või teave selle kohta, kas selliseid QCsid väljastatakse juriidilistele isikutele (vaikimisi loetakse neid väljastatuks üksnes füüsilistele isikutele).

5. Iga nimekirja kantud sertifitseerimisteenuse puhul varasemad olekuandmed

6. Allkiri, mille arvutus hõlmab autentimise eesmärgil kõiki usaldusnimekirja väljasid, välja arvatud allkirja väärtus ise

3. Usaldusnimekirja kirjete redigeerimise juhised

3.1. Järelevalvealuste/akrediteeritud sertifitseerimisteenuste ja nende osutajate olekuteave ühtses nimekirjas

Liikmesriigi usaldusnimekiri tähendab selliste CSPde sertifitseerimisteenuste järelevalve-/akrediteerimisoleku nimekirja, kelle järelevalvet asjaomane liikmesriik teostab või kelle ta on akrediteerinud, et tagada direktiivi 1999/93/EÜ asjakohaste sätete järgmine.

Selline usaldusnimekiri on ainus vahend, mida asjaomane liikmesriik kasutab teabe andmiseks sertifitseerimisteenuste järelevalve-/akrediteerimisoleku ja nende osutajate kohta:

—	kõik direktiivi 1999/93/EÜ artikli 2 punktis 11 määratletud sertifitseerimisteenuste osutajad, st üksused või juriidilised või füüsilised isikud, kes väljastavad sertifikaate või osutavad muid elektrooniliste allkirjadega seotud teenuseid;

—	kes on järelevalvealused/akrediteeritud, et tagada direktiivi 1999/93/EÜ asjakohaste sätete järgimine.

Direktiivis 1999/93/EÜ sisalduvate, eelkõige asjaomaste CSPde ja nende järelevalve-/vabatahtlikkusel põhinevate akrediteerimissüsteemidega seotud määratluste ja sätete käsitlemisel saab eristada kahte CSPde rühma, nimelt üldsusele QCsid väljastavad CSPd (CSPQC) ja CSPd, kes ei väljasta üldsusele QCsid, kuid pakuvad muid elektrooniliste allkirjadega seotud (kõrval)teenuseid:

—

QCsid väljastavad CSPd:

—

nende järelevalvet peab teostama nende asukohaks olev liikmesriik (kui nad asuvad mõnes liikmesriigis) ja nad võivad olla ka akrediteeritud direktiivi 1999/93/EÜ sätete, sealhulgas I lisa (nõuded QCdele) ja II lisa (nõuded QCsid väljastavatele CSPdele) nõuete järgimise tagamiseks. Liikmesriigis akrediteeritud QCsid väljastavad CSPd peavad siiski alluma ka selle liikmesriigi asjaomasele järelevalvesüsteemile, välja arvatud juhul, kui nad ei asu selles liikmesriigis;

—

kohaldatav järelevalvesüsteem (vastavalt „vabatahtlikkusel põhinev akrediteerimissüsteem”) on määratletud direktiivis 1999/93/EÜ, eriti selle artikli 3 lõikes 3, artikli 8 lõikes 1, artiklis 11, põhjenduses 13 (vastavalt artikli 2 punktis 13, artikli 3 lõikes 2, artikli 7 lõike 1 punktis a, artikli 8 lõikes 1, artiklis 11, põhjendustes 4 ja 11–13), ja peab vastama seal sätestatud asjakohastele nõuetele;

—

QCsid mitteväljastavad CSPd:

—

nad võivad alluda vabatahtlikkusel põhinevale akrediteerimissüsteemile (mis on määratletud direktiivis 1999/93/EÜ ja on sellega vastavuses) ja/või riiklikult määratletud tunnustatud heakskiitmissüsteemile, mida liikmesriik rakendab selleks, et kontrollida direktiivi sätete ja võimalik, et liikmesriigi normide järgimist sertifitseerimisteenuste osutamisel (direktiivi 1999/93/EÜ artikli 2 punkti 11 tähenduses);

—

mõnele sertifitseerimisteenuse osutamise tulemusel tekkivale või väljastatavale füüsilisele või binaarsele (loogilisele) objektile võib anda erikvalifikatsiooni, lähtudes selle vastavusest liikmesriigis kehtestatud normidele ja nõuetele, kuid tõenäoliselt piirdub sellise kvalifikatsiooni tähendus üksnes liikmesriigi tasandiga.

Iga liikmesriik peab koostama ühe usaldusnimekirja ja seda haldama, et viidata liikmesriigis järelevalvealuste/akrediteeritud CSPde osutatavate sertifitseerimisteenuste järelevalve- ja/või akrediteerimisolekule. Usaldusnimekiri peab sisaldama vähemalt QCsid väljastavaid CSPsid. Usaldusnimekirjas võib näidata ka muude, riiklikult määratletud heakskiitmissüsteemi kohaselt järelevalvealuste või akrediteeritud sertifitseerimisteenuste olekut.

3.2. Järelevalve-/akrediteerimisoleku väärtuste ühtne kogum

Seda, kas teenus on hetkel järelevalvealune või akrediteeritud, näitab usaldusnimekirjas selle hetkeoleku väärtus. Lisaks võib järelevalve- või akrediteerimisolek olla positiivne (järelevalve all, akrediteeritud, järelevalve on katkestatud), lõpetatud (järelevalve on lõpetatud, akrediteerimine on lõpetatud) või isegi tühistatud (järelevalve on tühistatud, akrediteering on tühistatud) ning tähistatud vastava väärtusega. Sama sertifitseerimisteenus võib oma eluea jooksul liikuda järelevalveolekust akrediteerimisolekusse ja vastupidi (8).

Järgmisel joonisel 1 on kirjeldatud ühe sertifitseerimisteenuse eeldatavat liikumist võimalike järelevalve-/akrediteerimisolekute vahel:

Joonis 1

Sertifitseerimisteenuste osutaja ühe sertifitseerimisteenuse eeldatav liikumine järelevalve – ja akrediteerimisoleku vahel

Algus

Järelevalve all

Akrediteeritud

Järelevalve on katkestatud

Akrediteerimine on lõpetatud

Järelevalve on lõpetatud

Akrediteering on tühistatud

Järelevalve on tühistatud

Legend:

Üleminekuolek, kui on olemas seotud järelevalvemudel (nt kvalifitseeritud sertifikaate väljastava sertifitseerimisteenuste osutaja puhul, kes on akrediteeritud ja järelevalvealune liikmesriigis, milles ta asub), Võimalik hetkeolek, kui ei ole seotud järelevalvemudelit (nt sellise sertifitseerimisteenuste osutaja puhul, kes on akrediteeritud liikmesriigis, milles ta ei asu).

Possible Current Status when there is no associated supervision model (e.g. for a CSP accredited in a Member State in which it is not established)

Võimalik hetkeolek.

Kui liikmesriigis osutatakse QCsid väljastavat sertifitseerimisteenust, peab (liikmesriik, kus seda osutatakse) selle üle järelevalvet teostama ja seda võib vabatahtlikult akrediteerida. Sellise usaldusnimekirja kantud teenuse hetkeoleku väärtus peab olema üks eespool kirjeldatud olekuväärtus vastavalt teenuse tegelikule olekule ja seda tuleb vajaduse korral muuta vastavalt eespool kirjeldatud liikumisele olekute vahel. Kui QCsid väljastava CSP asjaomane teenus on kantud selle liikmesriigi usaldusnimekirja, kus seda teenust osutatakse, peavad olekuväärtused „akrediteerimine on lõpetatud” ja „akrediteering on tühistatud” olema üleminekuväärtused, sest sellise teenuse üle tuleb igal juhul järelevalvet teostada (isegi kui seda ei akrediteerita või enam ei akrediteerita); kui asjaomane teenus on kantud selle liikmesriigi nimekirja, kus seda teenust ei osutata, või on sellises riigis akrediteeritud, võivad need väärtused olla lõppväärtused.

Liikmesriigid, kes kehtestavad või on kehtestanud riiklikult määratletud tunnustatud heakskiitmissüsteemi(d), mida liikmesriigis rakendatakse selleks, et kontrollida QCsid mitteväljastavate CSPde teenuste vastavust direktiivi 1999/93/EÜ sätetele ja võimalikele liikmesriigi normidele sertifitseerimisteenuste osutamisel (direktiivi 1999/93/EÜ artikli 2 punkti 11 tähenduses), peavad liigitama sellise(d) heakskiitmissüsteemi(d) kahte järgmisse kategooriasse:

—	vabatahtlikkusel põhinev akrediteerimine, mis on määratletud ja reguleeritud direktiivis 1999/93/EÜ (artikli 2 punkt 13, artikli 3 lõige 2, artikli 7 lõike 1 punkt a, artikli 8 lõige 1, artikkel 11, põhjendused 4 ja 11–13);

—	järelevalve, mis on nõutav direktiivi 1999/93/EÜ kohaselt ja mida rakendatakse liikmesriigi normide ja nõuete alusel kooskõlas liikmesriigi õigusaktidega.

Seega võib QCsid mitteväljastav sertifitseerimisteenus olla järelevalvealune või vabatahtlikult akrediteeritav. Sellise usaldusnimekirja kantud teenuse hetkeoleku väärtus peab olema üks eespool kirjeldatud olekuväärtus (vt joonis 1) vastavalt teenuse tegelikule olekule ja seda tuleb vajaduse korral muuta vastavalt eespool kirjeldatud liikumisele olekute vahel.

Usaldusnimekiri peab sisaldama teavet selle aluseks oleva(te) järelevalve-/akrediteerimissüsteemi(de) kohta, eelkõige järgmist:

—	teave QCsid väljastava CSP suhtes kohaldatava järelevalvesüsteemi kohta;

—	vajaduse korral teave QCsid väljastava CSP suhtes kohaldatava riikliku vabatahtlikkusel põhineva akrediteerimissüsteemi kohta;

—	vajaduse korral teave QCsid mitteväljastava CSP suhtes kohaldatava järelevalvesüsteemi kohta;

—	vajaduse korral teave QCsid mitteväljastava CSP suhtes kohaldatava riikliku vabatahtlikkusel põhineva akrediteerimissüsteemi kohta.

Kaks viimast teaberühma on neile tuginevate osapoolte jaoks eriti olulised, et hinnata selliste QCsid mitteväljastavate CSPde suhtes kohaldatavate riiklike järelevalve-/akrediteerimissüsteemide kvaliteedi ja turvalisuse taset. Kui usaldusnimekirjas esitatakse teavet QCsid mitteväljastavate CSPde järelevalve-/akrediteerimisoleku kohta, tuleb nimetatud teaberühmad esitada usaldusnimekirja tasandil, kasutades välja „Scheme information URI” (punkt 5.3.7 – liikmesriikide esitatav teave), välja „Scheme type/community/rules” (punkt 5.3.9 – kasutades kõigi liikmesriikide jaoks ühtset teksti ja liikmesriigi valikulist eriteavet) ja välja „TSL policy/legal notice” (punkt 5.3.11 – kõigi liikmesriikide jaoks ühine tekst, milles viidatakse direktiivile 1999/93/EÜ, koos kõigi liikmesriikide võimalusega lisada oma teksti/viiteid).

Vajaduse korral ja kui see on nõutav (nt et eristada mitut kvaliteedi/turvalisuse taset), võib teenuse tasandil esitada Lisateavet kvalifikatsiooni kohta, mis on QCsid mitteväljastavate CSPde puhul määratletud riiklike järelevalve-/akrediteerimissüsteemide tasandil, kasutades välja „additionalServiceInformationExtension” (punkt 5.5.9.4), mis on välja „Service information extension” (punkt 5.5.9) osa. Lisateave asjakohaste tehniliste nõuete kohta on esitatud I peatükis sisalduvas üksikasjalikus kirjelduses.

Olenemata sellest, et liikmesriigis võivad sertifitseerimisteenuste järelevalve ja akrediteerimisega tegeleda eraldi asutused, eeldatakse, et ühe sertifitseerimisteenuse jaoks tuleb kasutada vaid ühte kirjet ja selle järelevalve-/akrediteerimisolekut tuleb ajakohastada.

3.3. Usaldusnimekirja kirjed, mille eesmärk on lihtsustada QESi ja AdESQC tõendamist

Usaldusnimekirja loomise kõige olulisem osa on usaldusnimekirja kohustusliku osa, st QCsid väljastava CSP teenuste nimekirja koostamine, et kajastada õigesti iga QCsid väljastava sertifitseerimisteenuse täpset olukorda ja tagada, et igas kirjes esitatav teave oleks piisav QESi ja AdESQC tõendamise lihtsustamiseks (kui see on ühendatud CSP poolt selles kirjes loetletud sertifitseerimisteenuse alusel väljastatud lõppkasutaja kvalifitseeritud sertifikaadi sisuga).

Nõutav teave võiks sisaldada muud teavet peale ühe (juur)sertifitseerija teenuse digitaalse identiteedi, eelkõige teavet, mis tuvastab sellise CA teenuse väljastatud sertifikaatide QS oleku, ja teavet selle kohta, kas toetatavad allkirjad on loodud SSCD toel või mitte. Liikmesriigis usaldusnimekirja koostamiseks, redigeerimiseks ja haldamiseks määratud asutus peab seepärast võtma arvesse iga väljastatud QC hetkeprofiili ja sertifikaadi sisu iga usaldusnimekirjas sisalduva QCsid väljastava CSP teenuse kohta.

Ideaalis peaks iga väljastatud QC sisaldama ETSI määratletud kvalifitseeritud sertifikaadile vastavuse (QcCompliance) tunnust, (9) kui on väidetud, et tegemist on QCga, ning ETSI määratletud QcSSCD tunnust, kui on väidetud, et sertifikaati toetab turvalise allkirja andmise vahend e-allkirjade loomiseks ja/või et iga väljastatud QC sisaldab ühte standardis ETSI EN 319 411-2 (10) määratletud sertifitseerimispoliitika objektiidentifikaatorit (QCP/QCP + certificate policy Object Identifiers (OID)). Erinevatele standarditele viitamine QCsid väljastavate CSPde poolt, selliste standardite laialdane tõlgendamine ja puudulikud teadmised mõne normatiivse tehnilise nõude või standardi olemasolust ja prioriteetsusest on põhjustanud erinevused praegu väljastatavate QCde tegelikus sisus (nt ETSI määratletud QC tunnuste kasutamine või mittekasutamine) ja see takistab vastuvõtvatel pooltel allakirjutaja sertifikaati (ja sellega seotud ahelat/teed) usaldada, et hinnata vähemalt masinloetavalt, kas e-allkirja toetav sertifikaat on väidetavalt QC ja kas see on seotud SSCDga, mille abil e-allkiri loodi.

Usaldusnimekirja teenusekirje väljade „Service type identifier” („Sti”), „Service name” („Sn”) ja „Service digital identity” („Sdi”) täitmine väljal „Service information extensions” („Sie”) esitatud teabega võimaldab täielikult kindlaks teha nimekirja kantud QCsid väljastava CSP sertifitseerimisteenuse väljastatud kvalifitseeritud sertifikaadi tüübi ja esitada teavet selle kohta, kas sertifikaati toetab SSCD või mitte (kui see teave puudub väljastatud QC-l). Selle kirjega on seotud eriteave „Service current status” („Scs”). Seda on kirjeldatud allpool joonisel 2.

Teenuse nimekirja kandmine üksnes juursertifitseerija „Sdi” esitamise teel tähendab, et on tagatud (QCsid väljastava CSP, aga ka selle CSP järelevalve/akrediteerimise eest vastutava järelevalve-/akrediteerimisasutuse poolt), et iga selle juursertifitseerija hierarhia alusel väljastatud lõppkasutaja sertifikaat sisaldab piisavalt ETSI määratletud ja masinloetavat teavet, mille alusel hinnata, kas tegemist on QCga või mitte ja kas SSCD seda toetab või mitte. Näiteks juhul, kui viimane väide ei vasta tõele (nt QC-l ei ole ETSI standarditud masinloetavat viidet selle kohta, kas sertifikaati toetab SSCD), võib üksnes selle juursertifitseerija „Sdi” nimekirja kandmise puhul eeldada vaid seda, et selle juursertifitseerija hierarhia alusel väljastatud QCsid ei toeta ükski SSCD. Et viidata sellele, et neid QCsid toetab SSCD, tuleb kasutada välja „Sie” (see näitab ka, et selle teabe õigsuse tagab CSP, kes väljastab QCsid ja kelle järelevalvet teostab järelevalveasutus või kelle on akrediteerinud akrediteerimisasutus).

Joonis 2

QCsid väljastava CSP teenusekirje usaldusnimekirjas

Üldpõhimõtted – redigeerimiseeskirjad – CSPQC kirjed (nimekirja kantud teenused)

Nimekirja kantud CSPQC teenusekirje:

Sti

Sdi

Scs (Service current status)

Sie (Service information extensions)

CA/QC

„nimetus”

Avalik võti

Under Supervision

Supervision in cessation

Supervision Ceased

Supervision Revoked

Accredited

Accreditation Ceased

Accreditation Revoked

Liigendatud ennikute jadana, kuhu kuuluvad:

„filtreerivad” elemendid (nt X.509 sertifikaadipoliitika laiendus (OID)), et täpsemini määrata hõlmatavad QCd (rühmad), ja

„kvalifitseerijad”, mida kasutatakse nende filtreeritud QCde (rühmade) puhul, et täpsustada kvalifitseeritud olekut, SSCD toe olekut ja/või juriidilisele isikule väljastamist, st:

QCWithSSCD

QCNoSSCD

QCSSCDStatusAsInCert (*)

QCForLegalPerson

QCStatement

hetkeolukorra

näitajad URI-dena

(*) tähendab, et tagatud on sellise teabe olemasolu igas väljal Sdi-[Sie] määratletud CA/QC QCs (kui QCs teave puudub, tähendab see, et SSCD puudub).

Käesolevad usaldusnimekirja ühtse vormi tehnilised nõuded võimaldavad kasutada teenusekirjes teabe viie põhiosa kombinatsiooni:

—	„Service type identifier” („Sti”), nt tuvastab QCsid väljastava CA („CA/QC”);

—	„Service name” („Sn”);

—	teave „Service digital identity” („Sdi”) nimekirja kantud teenuse tuvastamiseks, nt QCsid väljastava CSP avalik võti (vähemalt);

—

CA/QC teenuste kohta valikuline teave „Service information extensions” („Sie”), mis võimaldab hõlmata mitmesugust konkreetset teenuseteavet aegunud sertifikaatide tühistamise, QCde täiendavate omaduste ja teise CSP poolt CSP ülevõtmise kohta ning muud täiendavat teenuseteavet. Näiteks esitatakse QCde lisaomadused ühe või mitme enniku jadana, kus iga enniku puhul on esitatud järgmine teave:

—	kriteeriumid, mida kasutatakse selleks, et Sdi alusel tuvastatava sertifitseerimisteenuse hulgast täpsemalt tuvastada (filtreerida) QCde rühm, mille puhul nõutakse/esitatakse lisateavet seoses kvalifitseeritud oleku, SSCD toe ja/või juriidilisele isikule väljastamisega, ja

—

seotud teave (täpsustid) selle kohta, kas seda QCde rühma tuleb käsitada kvalifitseerituna, kas seda toetab SSCD või mitte või kas see seotud teave on QC osa standardiseeritud masinloetaval kujul, ja/või teave selle kohta, et selliseid QCsid väljastatakse juriidilistele isikutele (vaikimisi loetakse neid väljastatuks üksnes füüsilistele isikutele);

—

teave selle teenusekirje hetkeoleku kohta, kus on kirjas:

—	kas tegemist on järelevalvealuse või akrediteeritud teenusega ja

—	järelevalve-/akrediteerimisolek.

3.4. QCsid väljastava CSP teenusekirjete redigeerimise ja kasutamise juhised

Redigeerimise üldjuhised

Kui on tagatud (garanteeritud QCsid väljastava CSP poolt ja järelevalve-/akrediteerimisasutuse järelevalve all / akrediteeritud), et nimekirja kantud ja välja „Sdi” alusel tuvastatud teenuse puhul sisaldab mõni QC QcCompliance tunnust ja mõnda sellist QCd peaks toetama SSCD ja mõnda mitte (nt võib seda eristada erinevate CSP sertifitseerimispoliitika objektiidentifikaatoritega või muu kvalifitseeritud sertifikaadis sisalduva CSPd käsitleva teabe kaudu, kas otseselt või kaudselt, masinloetavalt või mitte), kuid see ei sisalda EI QcSSCD tunnust EGA ETSI QCP(+) objektiidentifikaatorit, siis ei pruugi sobiva „Sdi” kasutamisest piisata JA tuleb kasutada välja „Sie”, et viidata selgelt teabele SSCD toe kohta koos võimaliku teabelaiendusega, et tuvastada hõlmatud sertifikaatide rühm. Sel juhul tuleb ilmselt välja „Sie” kasutades lisada erinevad SSCD tuge käsitleva teabe väärtused sama „Sdi” puhul.

Kui on tagatud (garanteeritud QCsid väljastava CSP poolt ja järelevalve-/akrediteerimisasutuse järelevalve all / akrediteeritud), et nimekirja kantud ja välja „Sdi” alusel tuvastatud teenuse puhul ei sisalda mõni QC ühtegi QcCompliance tunnust, QCP objektiidentifikaatorit, QcSSCD tunnust või QCP + objektiidentifikaatorit, kuid on tagatud, et osa nendest selle „Sdi” alusel väljastatavatest lõppkasutaja sertifikaatidest peaksid olema QCd ja/või SSCD toega ja mõned mitte (nt võib seda eristada erinevate QCsid väljastava CSP sertifitseerimispoliitika objektiidentifikaatoritega või muu QCs sisalduva, QCsid väljastavat CSPd käsitleva teabe kaudu, kas otseselt või kaudselt, masinloetavalt või mitte), siis ei pruugi sobiva „Sdi” kasutamisest piisata JA tuleb kasutada välja „Sie”, et lisada selge teave SSCD toe kohta. Sel juhul tuleb ilmselt välja „Sie” kasutades lisada erinevad SSCD tuge käsitleva teabe väärtused sama „Sdi” puhul.

Vaikimisi peab usaldusnimekirja kantud CSP puhul olema üks teenusekirje ühe avaliku võtme kohta, kui tegemist on CA/QC tüüpi sertifitseerimisteenusega, st sertifitseerimisasutus väljastab (otse) QCsid. Mõnel erandjuhul ja hoolikalt juhitud tingimustel võib liikmesriigi järelevalve-/akrediteerimisasutus otsustada, et ta kasutab nimekirja kantud CSP teenuste loetelu ühe kirje „Sdi”-na CSP avaliku võtme infrastruktuuri kuuluva juur- või ülataseme sertifitseerija avalikku võtit (nt kui on tegemist CSPde hierarhiaga, mis hõlmab juursertifitseerijat ja mitut väljastavat CAd), selle asemel et kanda nimekirja kõik talle alluvate väljastavate CAde teenused (st selle asemel, et kanda nimekirja sertifitseerimisasutus, mis ei väljasta otseselt lõppkasutaja QCsid, sertifitseeritakse CAde hierarhia, sh CAd, mis väljastavad lõppkasutajale QCsid). Kui liikmesriigis kasutatakse usaldusnimekirja teenusekirje „Sdi” väärtusena sellist juur- või ülataseme sertifitseerija avaliku võtit, tuleb hoolikalt kaaluda selle tagajärgi (eeliseid ja puudusi). Lisaks peavad liikmesriigid selle vaikimisi põhimõttest lubatud erandi kasutamisel esitama vajaliku dokumentatsiooni, et hõlbustada sertifitseerimistee loomist ja kontrollimist. Näiteks olukorras, kus QCsid väljastav CSP kasutab ühte juursertifitseerijat, mille alluvuses mitu CAd väljastavad kvalifitseeritud ja mittekvalifitseeritud sertifikaate, kuid mille puhul QCd sisaldavad üksnes QcCompliance tunnust, mitte aga viidet selle kohta, kas neil on SSCD tugi, tähendab ainult juursertifitseerija „Sdi” nimekirja kandmine eespool selgitatud eeskirjade kohaselt seda, et mitte ühelgi selle juursertifitseerija hierarhia alusel väljastatud QC-l ei ole SSCD tuge. Kui neil QCdel on tegelikult SSCD tugi, kuid sertifikaadis puudub masinloetav viide sellise toe olemasolule, on tungivalt soovitatav kasutada tulevikus väljastatavate QCde puhul QcSSCD tunnust. Vahepeal (kuni viimane kõnealust teavet mittesisaldav QC on aegunud) tuleks usaldusnimekirjas kasutada välja „Sie” ja sellega seotud välja „Qualifications Extension”, nt esitades filtreerimisteabe, et tuvastada sertifikaatide rühmi QCsid väljastavate CSPde määratletud objektiidentifikaatorite kaudu, mida QCsid väljastavad CSPd kasutavad võimaluse korral selleks, et eristada QCde eri tüüpe (millest mõnel on SSCD tugi ja mõnel mitte), ja seostada need tuvastatud (filtreeritud) sertifikaadirühmad täpsusteid kasutades selge teabega SSCD toe kohta.

Käesolevatele tehnilistele nõuetele vastaval usaldusnimekirjal põhineva elektroonilise allkirja rakenduste, teenuste või toodete kasutamise üldjuhised on järgmised:

CA/QC „Sti” kirje (nii nagu CA/QC kirje, mida kirjeldatakse „Sie” teenuse lisateabe laiendust kasutades täpsemalt QCsid väljastava juursertifitseerija kirjena):

—

viitab sellele, et kõik „Sdi” alusel tuvastatud CA poolt (nii nagu CAde hierarhias, alates „Sdi” alusel tuvastatud juursertifitseerijast) väljastatavad lõppkasutaja sertifikaadid on QCd tingimusel, et nii on väidetud sertifikaadil, kasutades sobivat masinloetavat kvalifitseeritud sertifikaadi tunnust (st QcCompliance) ja/või ETSI määratletud QCP(+) objektiidentifikaatoreid (ja seda tagab järelevalve-/akrediteerimisasutus, vt eespool esitatud redigeerimise üldjuhised).

Märkus: kui puudub „Sie” Qualifications Extension’i teave või kui lõppkasutaja sertifikaati, mis on väidetavalt QC, ei ole seotud „Sie” Qualifications Extension’i kaudu täpsemalt tuvastatud, siis teostatakse QCs leitava masinloetava teabe järelevalvet / seda akrediteeritakse, et see oleks täpne. See tähendab, et tagatakse sobivate kvalifitseeritud sertifikaadi tunnuste (st QcCompliance, QcSSCD) ja/või ETSI määratletud QCP(+) objektiidentifikaatorite kasutamine (või mittekasutamine) kooskõlas QCsid väljastava CSP poolt väidetuga;

—

ja KUI „Sie” Qualifications Extension’i teave on olemas, siis lisaks eespool nimetatud vaikimisi kasutamise tõlgendamiseeskirjale tuleb neid sertifikaate, mida tuvastatakse selle „Sie” Qualifications Extension’i teabe kasutamise kaudu, mis on loodud sertifikaatide rühma täpsemalt tuvastava filtrite jada põhimõttel, käsitleda vastavalt seotud täpsustitele, mis annavad lisateavet selle kohta, kas on tegemist kvalifitseeritud olekuga, turvalise allkirja andmise vahendi toe ja/või juriidilisest isikust subjektiga (nt sertifikaadid, mis sisaldavad eri objektiidentifikaatorit sertifitseerimispoliitika laienduses ja/või millel on eri Key usage’i muster ja/või mis on filtreeritud, kasutades eriväärtust, mis ilmneb ühel konkreetsel sertifikaadi väljal või laiendusel jne). Need täpsustid on osa järgmisest täpsustite rühmast, millega kompenseeritakse teabe puudumist asjaomase QC sisus ja mida kasutatakse vastavalt selleks, et:

—	viidata kvalifitseeritud olekule: QCStatement, mis tähendab, et tuvastatud sertifikaat (sertifikaadid) on kvalifitseeritud, JA/VÕI

—

viidata SSCD toele:

—	kvalifitseerija väärtus „QCWithSSCD”, mis tähendab „SSCD toega QC”, või

—	kvalifitseerija väärtus „QCNoSSCD”, mis tähendab „SSCD toeta QC”, või

—	kvalifitseerija väärtus „QCSSCDStatusAsInCert”, mis tähendab, et iga QC puhul on tagatud SSCD toe teabe sisaldumine selles CA/QC kirjes „Sdi”-”Sie” alusel esitatud teabes,

JA/VÕI

—

et viidata juriidilisele isikule väljastamisele:

—	kvalifitseerija väärtus „QCForLegalPerson”, mis tähendab, et „sertifikaat on väljastatud juriidilisele isikule”.

3.5. CA/QC teenuseid toetavad teenused, mis ei ole CA/QC „Sdi” osa

Usaldusnimekiri peab hõlmama QCdega seotud sertifikaadi kehtivuse alaseid teenused, mille puhul on sertifikaadi kehtivuse alase teabe (nt sertifikaaditühistusnimistud (Certificate Revocation Lists – CRL) ja OCSP kehtivuskinnitused) allkirjastanud üksus, mille isiklik võti ei ole sertifitseeritud sellise sertifitseerimistee alusel, mis juhatab QCsid väljastava CAni (CA/QC); need sertifikaadi kehtivuse alased teenused kantakse sellisena usaldusnimekirja (st vastavalt teenusetüübina „OCSP/QC” või „CRL/QC”), kuna neid teenuseid võib käsitada järelevalvealuste/akrediteeritud kvalifitseeritud teenuste osana, mis on seotud QC sertifitseerimisteenuste osutamisega. Muidugi tuleb OCSP respondereid või CRLi väljastajaid, kelle sertifikaate allkirjastavad CAd nimekirja kantud CA/QC teenuse hierarhia alusel, käsitada „kehtivatena” ja kooskõlas nimekirja kantud CA/QC teenuse olekuväärtusega.

Samalaadset nõuet võib kohaldada mittekvalifitseeritud sertifikaate (CA/PKC (avaliku võtme sertifikaat – Public Key Certificate) teenuse tüüpi) väljastavate sertifitseerimisteenuste suhtes.

Usaldusnimekiri peab sisaldama sertifikaadi kehtivuse alaseid teenuseid, kui nende teenuste asukohta käsitlev asjakohane teave puudub lõppsertifikaatidel, mille suhtes sertifikaadi kehtivuse alaseid teenuseid kohaldatakse.

4. Mõisted ja lühendid

Käesolevas dokumendis kasutatakse järgmisi mõisteid ja akronüüme:

Mõiste

Akronüüm

Määratlus

Sertifitseerimisteenuste osutaja

CSP

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 11.

Sertifitseerimisasutus

1)	Sertifitseerimisteenuste osutaja, kes loob ja määrab avaliku võtme sertifikaate, või

2)	tehniline sertifikaadi loomise teenus, mida kasutab sertifitseerimisteenuste osutaja, kes loob ja määrab avaliku võtme sertifikaate.

MÄRKUS: vt sertifitseerimisasutuse mõiste täpsem selgitus standardi EN 319 411-2 (11) punktis 4.

Kvalifitseeritud sertifikaate väljastav sertifitseerimisasutus

CA/QC

Sertifitseerimisasutus, mis vastab direktiivi 1999/93/EÜ II lisas sätestatud nõuetele ja väljastab kvalifitseeritud sertifikaate, mis vastavad direktiivi 1999/93/EÜ I lisas sätestatud nõuetele.

Sertifikaat

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 9.

Kvalifitseeritud sertifikaat

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 10.

Allakirjutaja

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 3.

Järelevalve

See viitab direktiivi 1999/93/EÜ artikli 3 lõikes 3 sätestatud järelevalvele. Direktiivis 1999/93/EÜ on nõutud, et liikmesriigid kehtestaksid sobiva süsteemi, mis võimaldab valvata riigi territooriumil asuvate ja üldsusele kvalifitseeritud sertifikaate väljastavate CSPde järele, tagades direktiivis sätestatud nõuete täitmise järelevalve.

Vabatahtlikkusel põhinev akrediteerimine

Akrediteerimine

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 13.

Usaldusnimekiri

Nimekiri, mis näitab selliste sertifitseerimisteenuste osutajate poolt osutatavate sertifitseerimisteenuste järelevalve-/akrediteerimisolekut, kelle järelevalvet asjaomane liikmesriik teostab või kelle ta on akrediteerinud, et tagada direktiivi 1999/93/EÜ sätete järgimine.

Usaldusteenuse oleku nimekiri

TSL

Allkirjastatud nimekirja vorm, mida kasutatakse usaldusteenuse oleku kohta teabe esitamise alusena vastavalt ETSI TS 119 612 nõuetele.

Usaldusteenus

Teenus, mis suurendab usaldust ja kindlust elektrooniliste tehingute suhtes (mille puhul kasutatakse tavaliselt, kuid mitte tingimata, krüpteerimistehnikaid või mis on seotud konfidentsiaalse materjaliga) (ETSI TS 119 612).

MÄRKUS: seda terminit kasutatakse laiemas tähenduses kui terminit „sertifitseerimisteenus”, mis hõlmab sertifikaatide väljastamist või muude elektrooniliste allkirjadega seotud teenuste osutamist.

Usaldusteenuse osutaja

TSP

Asutus, mis osutab ühte või mitut (elektroonilist) usaldusteenust. (Seda terminit kasutatakse laiemas tähenduses kui terminit „CSP”.)

Usaldusteenuse märk

TrST

Füüsiline või binaarne (loogiline) objekt, mis tekib või väljastatakse usaldusteenuse kasutamise tulemusel. Binaarsed TrSTd on näiteks sertifikaadid, sertifikaaditühistusnimistud (CRLd), ajatemplid ja OCSP kehtivuskinnitused.

Kvalifitseeritud elektrooniline allkiri

QES

Kvalifitseeritud sertifikaadiga toetatav täiustatud elektrooniline allkiri, mis on loodud direktiivi 1999/93/EÜ artiklis 2 määratletud turvalise allkirja andmise vahendiga.

Täiustatud elektrooniline allkiri

AdES

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 2.

Kvalifitseeritud sertifikaadiga toetatav täiustatud elektrooniline allkiri

AdESQC

Elektrooniline allkiri, mis vastab AdESi nõuetele ja mida toetab direktiivi 1999/93/EÜ artiklis 2 määratletud QC.

Turvalise allkirja andmise vahend

SSCD

Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 6.

Dokumendi järgmistes peatükkides tuleb võtmesõnu „TULEB”, „EI TOHI”, „KOHUSTUSLIK”, „PEAB”, „EI PEA”, „PEAKS”, „EI TOHIKS”, „SOOVITATAV”, „VÕIB” ja „VALIKULINE” tõlgendada vastavalt kommentaarinõudes (Request for Comments – RFC) 2119 (12) esitatud kirjeldusele.

I PEATÜKK

JÄRELEVALVEALUSTE/AKREDITEERITUD SERTIFITSEERIMISTEENUSTE OSUTAJATE USALDUSNIMEKIRJA ÜHTSE VORMI ÜKSIKASJALIKUD NÕUDED

Käesolevad nõuded põhinevad tehniliste nõuete ETSI TS 119 612 punktis v.1.1.1 (edaspidi „ETSI TS 119 612”) sätestatud tingimustel ja nõuetel.

Kui käesolevates nõuetes ei ole sätestatud erinõudeid, siis PEAB täielikult kohaldama ETSI TS 119 612 punktide 5 ja 6 nõudeid. Kui käesolevates nõuetes on sätestatud erinõuded, PEAB neid käsitama vastavate ETSI TS 119 612 nõuete suhtes ülimuslikena. Käesolevates nõuetes ja ETSI TS 119 612 nõuetes esinevate lahknevuste korral PEAB normdokumendiks võtma käesolevad nõuded.

Scheme operator name (punkt 5.3.4)

See väli on KOHUSTUSLIK ja PEAB vastama TS 119 612 punkti 5.3.4 nõuetele.

Riigil VÕIB olla eraldi järelevalve- ja akrediteerimisasutus ja isegi täiendavad asutused mis tahes seotud tegevuste elluviimiseks. Iga liikmesriik määrab ise oma riigi usaldusnimekirja süsteemioperaatori. Eeldatakse, et järelevalve- ja akrediteerimisasutusel ning süsteemioperaatoril (kui need on eraldiseisvad asutused) on igaühel oma vastutusvaldkonnad ja kohustused.

Iga selline olukord, kus järelevalve, akrediteerimise või operatiivküsimuste eest vastutab mitu asutust, PEAB olema järjekindlalt kajastatud ja sellisena tuvastatav usaldusnimekirja osaks olevas süsteemiteabes, sealhulgas väljal „Scheme information URI” (punkt 5.3.7) viidatud teabes süsteemi kohta.

Scheme name (punkt 5.3.6)

See väli on KOHUSTUSLIK ja PEAB vastama TS 119 612 punkti 5.3.6 nõuetele, kui süsteemi puhul PEAB kasutama järgmist nime:

„EN_name_value”= „Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Scheme Operator’s Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.”

Scheme information URI (punkt 5.3.7)

See väli on KOHUSTUSLIK ja PEAB vastama TS 119 612 punkti 5.3.7 nõuetele, kui „asjakohane teave süsteemi kohta” PEAB sisaldama vähemalt järgmist:

—

kõigi liikmesriikide jaoks ühine tutvustav teave usaldusnimekirja ulatuse ja tausta ning selle aluseks oleva(te) järelevalve-/akrediteerimisüsteemi(de) kohta. Ühine tekst, mida tuleb kasutada, on järgmine, kusjuures märgistringi „[name of the relevant Member State]” PEAB asendama asjaomase liikmesriigi nimega:

„The present list is the „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The Trusted List aims at:

—	listing and providing reliable information on the supervision/accreditation status of certification services from Certification Service Providers, who are supervised/accredited by [name of the relevant Member State] for compliance with the relevant provisions laid down in Directive 1999/93/EC;

—	allowing for a trusted validation of electronic signatures supported by those listed supervised/accredited certification services from the listed CSPs.

The Trusted List of a Member State provides, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including, when this is not part of the QCs, information on the QC supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) listed here are supervised by [name of the relevant Member State] and may also be accredited for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). The applicable „supervision” system (respectively „voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8.(1), Article 11 (respectively, Article 2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) are included in the Trusted List at a national level on a voluntary basis.”;

—

eriteave usaldusnimekirja aluseks oleva(te) järelevalve-/akrediteerimisüsteemi(de) kohta, eelkõige (13):

—	teave QCsid väljastava CSP suhtes kohaldatava järelevalvesüsteemi kohta;

—	vajaduse korral teave QCsid väljastava CSP suhtes kohaldatava riikliku vabatahtlikkusel põhineva akrediteerimise süsteemi kohta;

—	vajaduse korral teave QCsid mitteväljastava CSP suhtes kohaldatava järelevalvesüsteemi kohta;

—	vajaduse korral teave QCsid mitteväljastava CSP suhtes kohaldatava riikliku vabatahtlikkusel põhineva akrediteerimissüsteemi kohta.

Eriteave PEAB sisaldama iga eespool loetletud süsteemi kohta vähemalt järgmist:

—	üldine kirjeldus;

—	teave protsessi kohta, mida järgib järelevalve-/akrediteerimisasutus CSPde järelevalve/akrediteerimise korral ja mida järgivad CSPd nende järelevalve/akrediteerimise korral;

—	teave kriteeriumide kohta, mille alusel CSPde järelevalvet teostatakse / neid akrediteeritakse;

—

vajaduse korral teave erikvalifikatsioonide kohta, millele mõnel sertifitseerimisteenuse osutamise tulemusel tekkival või väljastataval füüsilisel või binaarsel (loogilisel) objektil võib olla õigus, lähtudes selle vastavusest liikmesriigis kehtestatud normidele ja nõuetele, kusjuures see teave hõlmab ka sellise kvalifikatsiooni ja sellega seotud liikmesriigi normide ja nõuete tähendust.

Liikmesriik VÕIB vabatahtlikult esitada oma süsteemi kohta järgmist lisateavet:

—	teave kriteeriumide ja eeskirjade kohta, mida kasutatakse järelevalve teostajate / audiitorite valikul, ja selle kohta, kuidas nad CSPde järelevalvet teostavad (kontrollivad) / neid akrediteerivad (auditeerivad);

—	muu kontakt- ja üldteave süsteemi toimimise kohta.

Scheme type/community/rules (punkt 5.3.9)

See väli on KOHUSTUSLIK, PEAB vastama TS 119 612 punkti 5.3.9 nõuetele ning PEAB sisaldama vähemalt kaht URIt:

—

kõigi liikmesriikide usaldusnimekirjade jaoks ühine URI, mis viitab kirjeldavale tekstile, mida PEAB kasutama kõigi usaldusnimekirjade puhul järgmiselt:

URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

Kirjeldav tekst:

„ Participation in a scheme

Each Member State must create a „Trusted List of supervised/accredited Certification Service Providers” providing information about the supervision/accreditation status of certification services from Certification Service Providers (CSPs) who are supervised/accredited by the relevant Member State for compliance with the relevant provisions of Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures.

The present implementation of such Trusted Lists is also to be referred to in the list of links (pointers) towards each Member State’s Trusted List, compiled by the European Commission.

Policy/rules for the assessment of the listed services

The Trusted List of a Member State must provide, as a minimum, information on supervised/accredited CSPs issuing Qualified Certificates in accordance with the provisions laid down in Directive 1999/93/EC (Article 3(2) and (3) and Article 7(1)(a)), including information on the Qualified Certificate (QC) supporting the electronic signature and whether the signature is or not created by a Secure Signature Creation Device.

The CSPs issuing Qualified Certificates (QCs) must be supervised by the Member State in which they are established (if they are established in a Member State), and may also be accredited, for compliance with the provisions laid down in Directive 1999/93/EC, including compliance with the requirements of Annex I (requirements for QCs), and those of Annex II (requirements for CSPs issuing QCs). CSPs issuing QCs that are accredited in a Member State must still fall under the appropriate supervision system of that Member State unless they are not established in that Member State. The applicable „supervision” system (respectively „voluntary accreditation” system) is defined and must meet the relevant requirements of Directive 1999/93/EC, in particular those laid down in Article 3(3), Article 8)(1), Article 11 (respectively, Article2(13), Article 3(2), Article 7(1)(a), Article 8(1), Article 11).

Additional information on other supervised/accredited CSPs not issuing QCs but providing services related to electronic signatures (e.g. CSP providing Time Stamping Services and issuing Time Stamp Tokens, CSP issuing non-Qualified certificates, etc.) may be included in the Trusted List at a national level on a voluntary basis.

CSPs not issuing QCs but providing ancillary services, may fall under a „voluntary accreditation” system (as defined in and in compliance with Directive 1999/93/EC) and/or under a nationally defined „recognised approval scheme” implemented on a national basis for the supervision of compliance with the provisions laid down in Directive 1999/93/EC and possibly with national provisions with regard to the provision of certification services (in the sense of Article 2(11) of Directive 1999/93/EC). Some of the physical or binary (logical) objects generated or issued as a result of the provision of a certification service may be entitled to receive a specific „qualification” on the basis of their compliance with the provisions and requirements laid down at national level but the meaning of such a „qualification” is likely to be limited solely to the national level.

Interpretation of the Trusted List

The general user guidelines for electronic signature applications, services or products relying on a Trusted List according to the Annex of Commission Decision [reference to the present Decision] are as follows:

A „CA/QC” „Service type identifier” („Sti”) entry (similarly a CA/QC entry further qualified as being a „RootCA/QC” through the use of „Service information extension” („Sie”) additionalServiceInformation Extension)

—

indicates that from the „Service digital identifier” („Sdi”) identified CA (similarly within the CA hierarchy starting from the „Sdi” identified RootCA) from the corresponding CSP (see associated TSP information fields), all issued end-entity certificates are Qualified Certificates (QCs) provided that it is claimed as such in the certificate through the use of appropriate EN 319 412–5 defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or EN 319 411–2 defined QCP(+) OIDs (and this is guaranteed by the issuing CSP and ensured by the Member State Supervisory/Accreditation Body)

Note: if no „Sie” „Qualifications Extension” information is present or if an end-entity certificate that is claimed to be a QC is not further identified through a related „Sie” „Qualifications Extension” information, then the „machine-processable” information to be found in the QC is supervised/accredited to be accurate. That means that the usage (or not) of the appropriate ETSI defined QcStatements (i.e. QcCompliance, QcSSCD, etc.) and/or ETSI defined QCP(+) OIDs is ensured to be in accordance with what it is claimed by the CSP issuing QCs.

—

and IF „Sie” „Qualifications Extension” information is present, then in addition to the above default usage interpretation rule, those certificates that are identified through the use of this „Sie” „Qualifications Extension” information, which is constructed on the principle of a sequence of filters further identifying a set of certificates, must be considered according to the associated qualifiers providing some additional information regarding the qualified status, the „SSCD support” and/or „Legal person as subject” (e.g. those certificates containing a specific OID in the Certificate Policy extension, and/or having a specific „Key usage” pattern, and/or filtered through the use of a specific value to appear in one specific certificate field or extension, etc.). Those qualifiers are part of the following set of „Qualifiers” used to compensate for the lack of information in the corresponding QC content, and that are used respectively:

—	to indicate the qualified status: „QCStatement” meaning the identified certificate(s) is(are) qualified; AND/OR

—

to indicate the nature of the SSCD support:

—	„QCWithSSCD” qualifier value meaning „QC supported by an SSCD”, or

—	„QCNoSSCD” qualifier value meaning „QC not supported by an SSCD”, or

—	„QCSSCDStatusAsInCert” qualifier value meaning that the SSCD support information is ensured to be contained in any QC under the „Sdi”-”Sie” provided information in this CA/QC entry;

AND/OR

—

to indicate issuance to Legal Person:

—	„QCForLegalPerson” qualifier value meaning „Certificate issued to a Legal Person”.

The general interpretation rule for any other „Sti” type entry is that the listed service named according to the „Sn” field value and uniquely identified by the „Sdi” field value has a current supervision/accreditation status according to the „Scs” field value as from the date indicated in the „Current status starting date and time”. Specific interpretation rules for any additional information with regard to a listed service (e.g. „Service information extensions” field) may be found, when applicable, in the Member State specific URI as part of the present „Scheme type/community/rules” field.

Please refer to the Technical specifications for a Common Template for the „Trusted List of supervised/accredited Certification Service Providers” in the Annex of Commission Decision 2009/767/EC for further details on the fields, description and meaning for the Member States’ Trusted Lists.”;

—

iga liikmesriigi usaldusnimekirja URI, mis viitab kirjeldavale tekstile, mida PEAB kohaldama selle liikmesriigi usaldusnimekirja suhtes:

http://uri.etsi.org/TrstSvc/TrustedList/schemerules/CC, kus CC = standardile ISO 3166-1 (14) vastav kahetäheline riigikood, mida kasutatakse väljal „Scheme territory” (punkt 5.3.10),

—	kust kasutajad pääsevad ligi asjaomase liikmesriigi põhimõtetele/eeskirjadele, mille suhtes PEAB nimekirja kantud teenuseid hindama vastavalt liikmesriigi asjakohasele järelevalvesüsteemile ja vabatahtlikkusel põhinevatele akrediteerimissüsteemidele;

—

kust kasutajad võivad leida asjaomase liikmesriigi kirjelduse selle kohta, kuidas kasutada ja tõlgendada usaldusnimekirja sisu QCde väljastamisega mitteseotud sertifitseerimisteenuste puhul. Seda võib kasutada selleks, et viidata QCsid mitteväljastavate CSPdega seotud riiklike järelevalve-/akrediteerimissüsteemide võimalikule detailsusele ja sellele, kuidas kasutada välju „Scheme service definition URI” (punkt 5.5.6) ja „Service information extension” sellel eesmärgil.

Liikmesriigid VÕIVAD määratleda ja kasutada täiendavaid URIsid lisaks eespool nimetatud liikmesriigi URI-le (st URIsid, mis on eristatavad sellest hierarhilisest URIst).

TSL policy/legal notice (punkt 5.3.11)

See väli on KOHUSTUSLIK ja PEAB vastama TS 119 612 punkti 5.3.11 nõuetele, kusjuures põhimõtted / õiguslik teade, mis käsitleb süsteemi juriidilist staatust või selles riigis süsteemi suhtes kohaldatavaid õigusnõudeid, kus süsteem on kehtestatud, ja/või mis tahes piiranguid ja tingimusi, mille alusel usaldusnimekirja hallatakse ja avaldatakse, PEAB olema mitmekeelne märgistring (lihttekst), mis koosneb kahest osast:

esimene, kohustuslik osa, mis on ühine kõigi liikmesriikide usaldusnimekirjade puhul (kus briti inglise keel on kohustuslik keel, millele lisandub võimaluse korral üks või mitu riigikeelt), milles on viidatud, et kohaldatav õigusraamistik on direktiiv 1999/93/EÜ ja selle vastav rakenduskord liikmesriigi õigusaktides, millele on viidatud väljal „Scheme Territory”.

Ühise teksti ingliskeelne versioon:

„The applicable legal framework for the present TSL implementation of the Trusted List of supervised/accredited Certification Service Providers for [name of the relevant Member State] is Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and its implementation in [name of the relevant Member State] laws.”

Tekst liikmesriigi riigikeel(t)es: [eespool esitatud ingliskeelse teksti ametlik tõlge (ametlikud tõlked)];

teine, valikuline osa, mis on erinev iga usaldusnimekirja puhul (kus briti inglise keel on kohustuslik keel, millele lisandub võimaluse korral üks või mitu riigikeelt), milles on viidatud kohaldatavatele liikmesriigi õigusraamistikele (nt eelkõige seoses QCsid mitteväljastavate CSPde suhtes kohaldatavate riiklike järelevalve-/akrediteerimissüsteemidega).

II PEATÜKK

USALDUSNIMEKIRJADE JÄRJEPIDEVUS

Käesoleva otsuse artikli 3 punkti c kohaselt komisjonile edastatavad sertifikaadid TULEB välja anda nii, et:

—	nende kehtivusaegade vahe on vähemalt kolm kuud;

—	need on loodud uute võtmepaaridega, kuna ühtki varem kasutatud võtmepaari ei sertifitseerita uuesti.

Kui ÜKS usaldusnimekirja allkirja tõendamiseks kasutatavale ning komisjonile edastatud ja komisjoni viidete kesknimekirjas avaldatud avalikule võtmele vastav isiklik võti kompromiteeritakse või kõrvaldatakse kasutuselt, PEAVAD liikmesriigid:

—	viivitamata väljastama uue usaldusnimekirja, mis on allkirjastatud kompromiteerimata isikliku võtmega, kui avaldatud usaldusnimekiri allkirjastati kompromiteeritud või kasutuselt kõrvaldatud isikliku võtmega;

—	kiiresti edastama komisjonile usaldusnimekirja allkirjastamiseks kasutatavatele isiklikele võtmetele vastavate avaliku võtme sertifikaatide uue loetelu.

Kui KÕIK usaldusnimekirja allkirja tõendamiseks kasutatavale ning komisjonile edastatud ja komisjoni viidete kesknimekirjas avaldatud avalikule võtmele vastavad isiklikud võtmed kompromiteeritakse või kõrvaldatakse kasutuselt, PEAVAD liikmesriigid:

—	tekitama uued usaldusnimekirja allkirjastamiseks kasutatavad võtmepaarid ja neile vastavad avaliku võtme sertifikaadid;

—	viivitamata väljastama uue usaldusnimekirja, mis on allkirjastatud ühega nendest uutest isiklikest võtmetest ja millele vastava avaliku võtme sertifikaat tuleb edastada;

—	kiiresti edastama komisjonile usaldusnimekirja allkirjastamiseks kasutatavatele isiklikele võtmetele vastavate avaliku võtme sertifikaatide uue loetelu.

III PEATÜKK

USALDUSNIMEKIRJA INIMLOETAVA VORMI NÕUDED

Inimloetava usaldusnimekirja koostamise ja avaldamise korral TULEKS see esitada ISO 32000 (15) kohase PDF-dokumendina, mis TULEB vormindada PDF/A-profiili (ISO 19005) (16) kohaselt.

PDF/A-profiilil põhineva inimloetava usaldusnimekirja sisu PEAKS vastama järgmistele nõuetele:

—	inimloetava vormi struktuur PEAKS kajastama tehnilistes nõuetes TS 119 612 kirjeldatud loogilist mudelit;

—

igal olemasoleval väljal PEAKS olema näidatud ja esitatud:

—	välja nimi (nt „Service type identifier”);

—	välja väärtus (nt „CA/QC”);

—	vajaduse korral välja väärtuse tähendus (kirjeldus) (nt „avaliku võtme sertifikaate väljastav sertifitseerimisasutus”);

—	vajaduse korral mitu loomuliku keele versiooni vastavalt usaldusnimekirjas esitatule;

—

inimloetavas vormis PEAKSID olema esitatud vähemalt järgmised väljal „Service digital identity” olevad digitaalsete sertifikaatide väljad ja vastavad väärtused:

—

versioon;

—	seerianumber;

—	allkirja algoritm;

—	väljaandja;

—	kehtiv alates;

—	kehtiv kuni;

—

subjekt;

—	avalik võti;

—	sertifitseerimispõhimõtted;

—	subjektivõtme identifikaator;

—	CRLi jaotuspunktid;

—	avaliku võtme identifikaator;

—	võtmekasutus;

—	põhipiirangud;

—	pöidlajälje algoritm;

—	pöidlajälg;

—	inimloetav vorm PEAKS olema kergesti prinditav;

—	süsteemioperaator PEAB inimloetava vormi allkirjastama PAdES allkirjade põhiprofiili kohaselt (17).

(1) Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 11.

(2) Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 2.

(3) QCdega toetatava AdESi kohta kasutatakse käesolevas dokumendis ka akronüümi „AdESQC ”.

(4) Olemas on mitu lihtsal AdESil põhinevat elektroonilist teenust, mille piiriülest kasutamist tuleks samuti lihtsustada, kui toetavad sertifitseerimisteenused (nt mittekvalifitseeritud sertifikaatide väljastamine) moodustavad osa järelevalvealustest/akrediteeritud teenustest, mida liikmesriik kajastab usaldusnimekirja vabatahtliku teabe osas.

(5) Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 10.

(6) Nagu on määratletud direktiivi 1999/93/EÜ artikli 2 punktis 6.

(7) ETSI TS 119 612 punkt v1.1.1 (2013-06): Electronic Signatures and Infrastructures (ESI); Trusted Lists.

(8) Nt sertifitseerimisteenuste osutaja, kes asub liikmesriigis, mis pakub algselt liikmesriigi (järelevalveasutuse) poolt järelevalvatavat sertifitseerimisteenust, võib pärast teatava aja möödumist otsustada, et ta laseb hetkel järelevalvealuse sertifitseerimisteenuse suhtes teha vabatahtlikkusel põhineva akrediteerimise. Teises liikmesriigis asuv sertifitseerimisteenuste osutaja võib seevastu otsustada, et ta ei lõpeta akrediteeritud sertifitseerimisteenuse osutamist, vaid viib selle (nt ärilistel ja/või majanduslikel põhjustel) akrediteerimisolekust järelevalveolekusse.

(9) Vt selle tunnuse määratlust standardist ETSI EN 319 412-5: Electronic Signatures and Infrastructures (ESI); Profiles for Trust Service Providers issuing certificates; Part 5: Extension for Qualified Certificate profile).

(10) ETSI EN 319 411-2: Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Policy requirements for certification authorities issuing qualified certificates.

(11) EN 319 411-2: Electronic Signatures and Infrastructures (ESI); Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Policy requirements for certification authorities issuing qualified certificates.

(12) IETF RFC 2119: Key words for use in RFCs to indicate Requirements Levels.

(13) Kaks viimast teaberühma on seotud osapoolte jaoks eriti olulised, et hinnata selliste järelevalve-/akrediteerimissüsteemide kvaliteedi ja turvalisuse taset, mida kohaldatakse QCsid mitteväljastavate CSPde suhtes. Need teaberühmad tuleb esitada usaldusnimekirja tasandil, kasutades käesolevat välja „Scheme information URI” (punkt 5.3.7 – liikmesriikide esitatav teave), välja „Scheme type/community/rules” (punkt 5.3.9 – kasutades kõigi liikmesriikide jaoks ühist teksti) ja välja „TSL policy/legal notice” (punkt 5.3.11 – kõigi liikmesriikide jaoks ühine tekst, milles viidatakse direktiivile 1999/93/EÜ koos kõigi liikmesriikide võimalusega lisada oma teksti/viiteid). Vajaduse korral ja kui see on nõutav (nt et eristada mitut kvaliteedi/turvalisuse taset), võib teenuse tasandil esitada lisateavet QCsid mitteväljastavate CSPde riiklike järelevalve-/akrediteerimissüsteemide kohta, kasutades välja „Scheme service definition URI” (punkt 5.5.6).

(14) ISO 3166-1:2006: Maade ja nende jaotiste nimetuste tähised. Osa 1: Maatähised.

(15) ISO 32000-1:2008: Document management – Portable document format – Part 1: PDF 1.7.

(16) ISO 19005-2:2011: Document management – Electronic document file format for long-term preservation –Part 2: Use of ISO 32000-1 (PDF/A-2).

(17) ETSI TS 103 172 (märts 2012): Electronic Signatures and Infrastructures (ESI); PAdES Baseline Profile.