Podpis elektroniczny - normy prawne

Regulacje prawne



W światowych regulacjach główny nacisk

kładzie się na:



otwarty katalog technologii podpisów,



wiarygodne procedury autoryzacji

i weryfikacji składania oświadczeń woli

w drodze elektronicznej,



ochronę konsumenta, ochronę danych,

bezpieczeństwo prawne obrotu,



regulację rynku poświadczania

autentyczności podpisów elektronicznych

oraz możliwie najwyższy poziom tych usług.

Definicja podpisu elektronicznego

(PL)

Ogólnie podpisem elektronicznym

są

dane

w formie elektronicznej,

logicznie powiązane z innymi

danymi

przesyłanymi w drodze

elektronicznej na zasadach, które

są równocześnie metodą

uwierzytelniania tych danych.

Dyrektywa Unii



Unia Europejska przyjęła z końcem

1999 roku dyrektywę odnoszącą się

do podpisów elektronicznych

i związanych z ich stosowaniem

usług poświadczania autentyczności.

Kraje członkowskie miały do końca

czerwca 2001 roku wprowadzić

odpowiednie normy prawne.

Zasada pewności i

wolności



Dyrektywa z 13 grudnia 1999 roku

Parlamentu Europejskiego i Rady

o ramowych założeniach Wspólnoty

dotycząca podpisów elektronicznych

(Electronic Signatures Directive 99/93)

zakłada zarówno zasadę pewności,

jak i wolności obrotu elektronicznego.

Zasada pewności



Zasadę pewności postuluje wytyczna,

iż podpis elektroniczny będzie miał

w odniesieniu do skutków prawnych

tę samą moc co podpis własnoręczny,

a zarazem będzie w taki sposób

dołączony do przekazywanych danych,

iż jakakolwiek ich zmiana będzie

wykrywalna.

Zasada wolności obrotu

elektronicznego



Wolność obrotu ma być gwarantowana

przez wolny dostęp do usług

certyfikacyjnych, brak przymusu

administracyjnego, jeśli chodzi o

akredytację świadczenia tego rodzaju usług,

a także zakaz ograniczania konkurencji

na rynku usług certyfikacyjnych.

W tych ramach regulacje odnoszące się

do zagadnień certyfikacji powinny być

kształtowane przez prawo krajowe.

CD. Zasada wolności

obrotu elektronicznego



Dyrektywa wyklucza przymus

akredytacyjny, a jednocześnie

pozostawia w gestii prawa krajowego

utworzenie struktury usług

certyfikacyjnych. Postuluje się takie

ukształtowanie usług certyfikacyjnych,

aby budziły pełne zaufanie klientów

do bezpieczeństwa tych usług

i wykształciły najlepszą praktykę.

Zasady rynku

wewnętrznego



Każde państwo członkowskie stosuje

postanowienia krajowe, wydane na podstawie

dyrektywy,

do osiadłych na ich terenie dostawców usług

autoryzacyjnych i ich usług. Państwa

członkowskie nie mogą ograniczać udostępniania

usług autoryzacyjnych pochodzących z innych

państw członkowskich w dziedzinach objętych

tą dyrektywą.



Państwa członkowskie zapewnią, że produkty

dla podpisu elektronicznego, spełniające

wymagania dyrektywy, znajdują się w wolnym

obrocie na rynku wewnętrznym.

Umocowanie prawne

kategorii podpisu

elektronicznego



Dyrektywa określa umocowanie

prawne kategorii podpisu

elektronicznego,

który definiuje w sposób ogólny

i kwalifikowany.

Definicja ogólna podpisu

elektronicznego



Ogólnie podpisem elektronicznym

są dane w formie elektronicznej,

logicznie powiązane z innymi

danymi przesyłanymi w drodze

elektronicznej na zasadach, które

są równocześnie metodą

uwierzytelniania tych danych.

Definicja zaawansowanego

podpisu elektronicznego



Podpisem elektronicznym w formie

zaawansowanej jest podpis, który odpowiada

następującym warunkom:

związany jest wyłącznie z podpisującym,

umożliwia identyfikację podpisującego,

został wygenerowany za pomocą środków

będących pod wyłączną kontrolą podpisującego,

jest powiązany z innymi danymi w taki sposób,

iż zawsze pozwala na wykrycie każdej zmiany

danych.

Podsumowanie



Reasumując, dyrektywa z jednej

strony zakłada brak monopolu na

usługi certyfikacyjne i zachowanie

zasad pełnej konkurencyjności na

rynku tych usług, z drugiej –

zagwarantowanie dostępności tych

usług na poziomie najwyższego

zaufania.

CD. Podsumowanie



Jeżeli chodzi o podpis elektroniczny,

nie przesadza o jego charakterze,

nadając zarazem wyższy status

zaawansowania podpisowi, który

dzisiaj w sposób najbardziej

bezpieczny można stworzyć na bazie

technologii asymetrycznych kluczy do

kodowania

i dekodowania przesyłanych danych

(w praktyce chodzi o podpis cyfrowy).

CD. Podsumowanie



Postulując zasady pełnego zaufania do usług

związanych z podpisami elektronicznymi,

konkurencyjności tych usług oraz zasadę pewności

podpisu elektronicznego, dyrektywa nie przesądza

struktury i procedur związanych z usługami

ani możliwej do zastosowania technologii. Zakłada

ukształtowanie równowagi między

bezpieczeństwem interesów podmiotów

korzystających z usług certyfikacyjnych a zasadami

prowadzenia działalności gospodarczej w

warunkach rynku opartego na wolnej konkurencji.

Definicje



W sensie niniejszej dyrektywy termin:

„

podpis elektroniczny” oznacza dane w formie

elektronicznej, które dodane są do innych danych

elektronicznych

lub są z nimi logicznie powiązane i służą do

autoryzacji;

„

zaawansowany podpis elektroniczny” oznacza podpis

elektroniczny spełniający następujące wymagania:

przyporządkowany jest wyłącznie podpisującemu;

umożliwia identyfikację podpisującego;

stworzony jest za pomocą środków, które podpisujący

może mieć pod swoją wyłączną kontrolą;

jest tak powiązany z danymi, do których się odnosi,

że każda późniejsza zmiana może zostać wykryta;

CD. Definicje

„

podpisujący” oznacza osobę posiadającą

urządzenie do generowania podpisów,

która działa w imieniu własnym lub

w imieniu osób prywatnych lub fizycznych,

lub stron, których jest przedstawicielem;

„

dane do generowania podpisu” oznacza

jednorazowe dane jak kod lub prywatny klucz

kryptograficzny, które są używane przez

podpisującego do stworzenia podpisu

elektronicznego;

CD. Definicje

„

urządzenie generujące podpisy” oznacza

skonfigurowane oprogramowanie lub sprzęt

używane do zaimplementowania danych

do generowania podpisu;

„

bezpieczne urządzenie generujące podpisy”

oznacza urządzenie generujące podpisy,

które spełnia wymagania załącznika III dyrektywy;

„

dane do sprawdzania podpisu” oznacza dane

jak kod lub publiczne klucze kryptograficzne,

używane do sprawdzania podpisu

elektronicznego;

CD. Definicje

„

urządzenie sprawdzające podpisy” oznacza

skonfigurowane oprogramowanie lub sprzęt używane do

zaimplementowania danych

do sprawdzania podpisu;

„

autoryzacja” oznacza zaświadczenie elektroniczne, za

pomocą którego dane do sprawdzania podpisu są

przyporządkowane osobie i potwierdzają tożsamość tej

osoby;

10.

„

autoryzacja kwalifikowana” oznacza autoryzację

spełniającą wymogi załącznika I i wystawiana jest przez

dostawcę usług autoryzacyjnych,

która spełnia wymogi załącznika II;

CD. Definicje

11.

„

dostawca usług autoryzacyjnych” oznacza

jednostkę lub osobę prawną bądź fizyczną,

która wystawia autoryzacje lub udostępnia inne

usługi związane z podpisem elektronicznym;

12.

„

produkt dla podpisu elektronicznego” oznacza

oprogramowanie lub sprzęt względnie ich

specyficzne komponenty, które mają być użyte

przez dostawcę usług autoryzacyjnych

do udostępnienia usług dla podpisu

elektronicznego lub do tworzenia i kontroli

podpisu elektronicznego;

CD. Definicje

13.

„

dobrowolna akredytacja” oznacza zezwolenie,

które ustala prawa i obowiązki związane

ze świadczeniem usług autoryzacyjnych,

przyznane na wniosek danego dostawcy usług

autoryzacyjnych przez organ państwowy

bądź prywatny,który jest właściwy do ustalania

tych praw i obowiązków jak też do kontroli

ich przestrzegania, jednak dostawca usług

autoryzacyjnych nie jest uprawniony do

korzystania z praw wynikających z zezwolenia,

zanim nie otrzyma zawiadomienia o decyzji;

ZAŁĄCZNIK I

Wymagania względem autoryzacji

kwalifikowanej



Autoryzacje kwalifikowane muszą zawierać następujące dane:

informację, że dana autoryzacja została wystawiona

jako autoryzacja kwalifikowana;

dane dostawcy usług autoryzacyjnych i państwa, w

którym ma swoją siedzibę;

nazwę podpisującego lub pseudonim, który jako taki

można zidentyfikować;

miejsce dla specyficznego atrybutu podpisującego,

który jest przyznawany w zależności od przeznaczenia

autoryzacji;

dane do sprawdzania podpisu, które odpowiadają

danym

do generowania podpisu kontrolowanym przez

podpisującego;

CD. Autoryzacje

kwalifikowane

dane odnośnie początku i końca

obowiązywania autoryzacji;

kod identyfikacyjny autoryzacji;

zaawansowany podpis elektroniczny

wystawiającego dostawcy usług

autoryzacyjnych;

jeżeli konieczne, ograniczenia zakresu

obowiązywania autoryzacji, oraz

jeżeli konieczne, granice wartości transakcji,

do której można stosować autoryzacje.

ZAŁĄCZNIK II

Wymagania odnośnie dostawców usług

autoryzacyjnych wystawiających autoryzacje

kwalifikowane



Dostawcy usług autoryzacyjnych:

muszą udowodnić konieczną niezawodność

co do świadczenia usług autoryzacyjnych;

muszą zapewnić prowadzenie usług szybkiego

i bezpiecznego zarządzania oraz pewnego

i natychmiastowego odwołania;

muszą zapewnić dokładne określanie daty i godziny

wystawienia czy cofnięcia autoryzacji;

muszą sprawdzić za pomocą stosownych środków

zgodnych z prawem krajowym tożsamość

i jeżeli konieczne specyficzne atrybuty osoby,

dla której wystawiają autoryzację;

CD. Dostawcy usług

autoryzacyjnych

muszą zatrudnić personel z koniecznymi do swoich usług

wiedzą, doświadczeniem i kwalifikacjami; do tego należą

w szczególności kompetencje managera, znajomość

technologii podpisu elektronicznego i znajomość stosownych

procedur bezpieczeństwa; dalej muszą stosować właściwe

procedury administracyjne i zarządzania, które odpowiadają

uznanym normom;

muszą stosować godne zaufania systemy i produkty,

które są chronione przed zmianami i które zapewniają

techniczne i kryptograficzne bezpieczeństwo procedur,

które wspierają;

muszą przedsięwziąć środki przeciwko fałszowaniu

autoryzacji, w przypadkach, gdy tworzą dane do generowania

podpisu, zapewnią poufność podczas tworzenia tych danych;

CD. Dostawcy usług

autoryzacyjnych

muszą dysponować wystarczającymi środkami

finansowymi, aby działać zgodnie z wymogami niniejszej

dyrektywy. Muszą, w szczególności,

być w stanie ponieść odpowiedzialność za szkody, np.

przy wykupieniu odpowiedniego ubezpieczenia;

muszą w odpowiednim okresie nagrywać wszystkie

istotne informacje o autoryzacji kwalifikowanej,

aby w szczególności przy postępowaniu sądowym móc

udowodnić autoryzację;

nie mogą gromadzić czy kopiować danych

do generowania podpisu osób, którym oferuje się

wykonanie kluczowych usług zarządzania;

CD. Dostawcy usług

autoryzacyjnych

zanim połączy je stosunek wynikający z umowy

z osobą, która życzy sobie otrzymać autoryzację

dla poparcia swojego podpisu elektronicznego, muszą

ją poinformować za pomocą trwałego środka

komunikacyjnego o dokładnych warunkach

stosowania autoryzacji, do których należą min.

ograniczenia stosowania autoryzacji, istnienie

systemu dobrowolnej akredytacji i postępowanie

w przypadku skarg i postępowania pojednawczego.

Informacje te muszą mieć formę elektroniczną

i być sformułowane w sposób jasny, by można

je przekazać elektronicznie. Ważne części tych

informacji udostępnia się na wniosek stronom trzecim

polegającym na autoryzacji.

CD. Dostawcy usług

autoryzacyjnych

muszą stosować godne zaufania systemy

do gromadzenia autoryzacji w formie

umożliwiającej sprawdzenie, tak że:



tylko osoby uprawnione mogą wprowadzać

i zmieniać dane;



można sprawdzić prawdziwość informacji;



autoryzacje można publicznie cofnąć tylko

w wypadkach, dla których wyraził zgodę właściciel

autoryzacji;



zmiany techniczne, które wpływają negatywnie

na zachowanie tych wymogów bezpieczeństwa,

są dla operatora widoczne.

ZAŁĄCZNIK III

Wymagania dla urządzeń

tworzących podpisy

Bezpieczne urządzenia tworzące podpisy

muszą poprzez odpowiednie techniki i

procedury przynajmniej zapewnić, że:

dane do tworzenia podpisu użyte do stworzenia

podpisu praktycznie pojawiają się tylko raz

oraz zapewniona jest ich poufność;

dane do tworzenia podpisu użyte do stworzenia

podpisu nie mogą, przy zachowaniu rozsądnego

bezpieczeństwa, być uzyskane oraz podpisy

są chronione przed fałszowaniem przy użyciu

dostępnej technologii;

dane do tworzenia podpisu użyte

do stworzenia podpisu chronione są

przez prawnie podpisującego przed użyciem przez

innych w sposób godny zaufania.

CD. Wymagania dla urządzeń

tworzących podpisy

Bezpieczne urządzenia tworzące

podpisy nie zmieniają danych do

podpisania i nie stoją na

przeszkodzie, żeby dane te

zostały przedstawione

podpisującemu przed procesem

podpisywania.

ZAŁĄCZNIK IV

Zalecenia odnośnie bezpiecznego

sprawdzania podpisu



Podczas procesu sprawdzania podpisu

należy zapewnić w ramach racjonalnego

bezpieczeństwa, żeby:

dane użyte do kontroli podpisu odpowiadały

danym, które pokazuje kontrolujący;

podpis był sprawdzany w sposób godny

zaufania

a wynik tej kontroli był właściwie pokazywany;

kontrolujący mógł w razie potrzeby, w sposób

godny zaufania stwierdzić treść podpisanych

danych;

CD. Zalecenia odnośnie

bezpiecznego sprawdzania

podpisu

prawdziwość i ważność autoryzacji

wymaganej w czasie sprawdzania były

sprawdzane w sposób godny zaufania;

wynik sprawdzania i tożsamość

podpisującego były pokazywane

we właściwy sposób;

użycie pseudonimu podane było

jednoznacznie, i

ważne zmiany związane z

bezpieczeństwem mogły zostać

rozpoznane.

Document Outline