26.4.2016   

NL

Publicatieblad van de Europese Unie

L 109/40

(1)

In bijlage II bij Verordening (EU) nr. 910/2014 zijn de eisen voor gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen en gekwalificeerde middelen voor het aanmaken van elektronische zegels vastgesteld.

(2)

Organisaties met bevoegdheid op het gebied van normalisatie stellen de technische specificaties op die noodzakelijk zijn voor de productie en het in de handel brengen van producten, waarbij rekening wordt gehouden met de huidige technologische stand van zaken.

(3)

De ISO (Internationale Organisatie voor normalisatie) en de IEC (Internationale Elektrotechnische Commissie) stellen de algemene concepten en beginselen met betrekking tot de IT-veiligheid vast en specificeren het algemene beoordelingsmodel dat wordt gebruikt als basis voor de evaluatie van de veiligheidseigenschappen van IT-producten.

(4)

Het Europees Comité voor Normalisatie (CEN) heeft in het kader van het door de Commissie verstrekte normalisatiemandaat M/460 normen ontwikkeld inzake gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen en zegels, waarbij de gegevens voor het aanmaken van elektronische handtekeningen of de gegevens voor het aanmaken van elektronische zegels worden bewaard in een volledig, maar niet noodzakelijkerwijze exclusief door de gebruiker beheerde omgeving. Deze normen worden geacht geschikt te zijn voor de beoordeling van de overeenstemming van dergelijke middelen met de relevante, in bijlage II bij Verordening (EU) nr. 910/2014 vastgestelde eisen.

(5)

In bijlage II bij Verordening (EU) nr. 910/2014 is bepaald dat alleen een gekwalificeerde verlener van vertrouwensdiensten namens de ondertekenaar gegevens voor het aanmaken van elektronische handtekeningen mag beheren. Er gelden andere veiligheidseisen en bijbehorende specificaties met betrekking tot certificering wanneer de ondertekenaar in fysiek opzicht over een product beschikt en wanneer een gekwalificeerde verlener van vertrouwensdiensten namens de ondertekenaar te werk gaat. Om rekening te houden met beide situaties en om te stimuleren dat in de loop van de tijd producten en beoordelingsnormen worden ontwikkeld die aansluiten bij specifieke behoeften, moeten in de bijlage bij dit besluit normen met betrekking tot beide situaties worden opgenomen.

(6)

Ten tijde van de vaststelling van dit besluit van de Commissie bieden meerdere verleners van vertrouwensdiensten reeds oplossingen waarmee zij gegevens voor het aanmaken van elektronische handtekeningen namens hun klanten beheren. Bij de certificering van producten wordt momenteel uitsluitend gebruikgemaakt van hardware-veiligheidsmodules die zijn gecertificeerd op basis van uiteenlopende normen, maar die nog niet specifiek zijn gecertificeerd op basis van de eisen voor gekwalificeerde middelen voor het aanmaken van handtekeningen en zegels. Gepubliceerde normen, zoals EN 419 211 (van toepassing op elektronische handtekeningen die zijn aangemaakt in een volledig, maar niet noodzakelijkerwijze exclusief door de gebruiker beheerde omgeving), bestaan echter nog niet voor de net zo belangrijke markt van gecertificeerde producten op afstand. Aangezien de normen die voor dergelijke doeleinden wellicht passend zijn momenteel nog worden ontwikkeld, zal de Commissie dit besluit aanvullen wanneer dergelijke normen beschikbaar zijn en uit een beoordeling ervan is gebleken dat deze voldoen aan de eisen van bijlage II bij Verordening (EU) nr. 910/2014. Tot het moment waarop de lijst met dergelijke normen is vastgesteld, kan voor de beoordeling van de overeenstemming van dergelijke producten onder de voorwaarden van artikel 30, lid 3, onder b), van Verordening (EU) nr. 910/2014 een alternatief proces worden gebruikt.

(7)

In de bijlage is de norm EN 419 211 opgenomen, bestaande uit meerdere delen (1 t/m 6) die verschillende situaties bestrijken. Deel 5 van EN 419 211 en deel 6 van EN 419 211 omvatten uitbreidingen in verband met de omgeving voor gekwalificeerde middelen voor het aanmaken van handtekeningen, zoals communicatie met vertrouwde toepassingen voor het aanmaken van handtekeningen. Fabrikanten van producten kunnen dergelijke uitbreidingen vrijelijk toepassen. Volgens overweging 56 van Verordening (EU) nr. 910/2014 is de werkingssfeer van de in de artikelen 30 en 39 van die verordening bedoelde certificering beperkt tot de bescherming van gegevens voor het aanmaken van handtekeningen en vallen toepassingen voor het aanmaken van handtekeningen buiten de werkingssfeer van de certificering.

(8)

Om te waarborgen dat de elektronische handtekeningen of zegels die door middel van een gekwalificeerd middel voor het aanmaken van handtekeningen of zegels zijn gegenereerd op betrouwbare wijze tegen vervalsing worden beschermd zoals vereist op grond van bijlage II bij Verordening (EU) nr. 910/2014, zijn geschikte cryptografische algoritmen, sleutellengten en hashfuncties een noodzakelijke voorwaarde voor de beveiliging van het gecertificeerde product. Aangezien wat dat betreft op Europees geen harmonisatie heeft plaatsgevonden, moeten de lidstaten samenwerken en overeenstemming bereiken over cryptografische algoritmen, sleutellengten en hashfuncties die voor elektronische handtekeningen en zegels kunnen worden gebruikt.

(9)

Door de vaststelling van het onderhavige besluit wordt Beschikking 2003/511/EG van de Commissie (2) overbodig. Dientengevolge moet die beschikking worden ingetrokken.

(10)

De in dit besluit vervatte maatregelen zijn in overeenstemming met het advies van het in artikel 48 van Verordening (EU) nr. 910/2014 bedoelde comité,