§ 1Predmet úpravy#
Táto vyhláška upravuje podrobnosti o
§ 2#
Certifikačná autorita, ktorá chce poskytovať akreditované certifikačné služby,
§ 3#
Certifikačná autorita, ktorá žiada o akreditáciu, musí vlastniť alebo mať zmluvne zabezpečený prenájom priestorov na poskytovanie akreditovaných certifikačných služieb, ktoré vyhovujú bezpečnostným pravidlám1) a podmienkam podľa odsekov 2 až 5.
V prípade poskytovania akreditovaných certifikačných služieb v prenajatých priestoroch musí byť samostatný vstup majiteľa objektu do chránených priestorov zmluvne obmedzený len na nevyhnutné a okamžité riešenie havarijných stavov budovy.
Okrem prevádzkových priestorov musí akreditovaná certifikačná autorita zabezpečiť ďalšie chránené priestory na bezpečné skladovanie archívnych dokumentov a údajov a mesačných záložných kópií údajov systému akreditovanej certifikačnej autority; tieto priestory musia byť umiestnené v objekte, ktorý nie je fyzicky spojený s objektom, v ktorom sa realizuje poskytovanie akreditovaných certifikačných služieb.
Technické a organizačné opatrenia zaisťujú nepretržitú prevádzku akreditovanej certifikačnej autority aj v prípade zlyhania základnej technickej infraštruktúry najmenej na úrovni poskytovania služby registrácie požiadaviek u poskytovateľa akreditovanej certifikačnej služby
správy kvalifikovaných certifikátov podľa § 2 písm. p) prvého bodu zákona na poskytovanie zoznamu zrušených kvalifikovaných certifikátov,
dlhodobého uchovávania elektronických dokumentov podpísaných zaručeným elektronickým podpisom alebo opatrených zaručenou elektronickou pečaťou podľa § 2 písm. p) druhého bodu zákona na overenie a zobrazenie dokumentu,
vydávania časových pečiatok podľa § 2 písm. p) tretieho bodu zákona na registráciu požiadaviek na vydanie časovej pečiatky.
Akreditovaná certifikačná autorita poskytujúca službu dlhodobého uchovávania elektronických dokumentov podpísaných zaručeným elektronickým podpisom alebo opatrených zaručenou elektronickou pečaťou zabezpečuje
zobrazenie elektronického dokumentu spôsobom umožňujúcim zistiť jeho obsah,
zachovanie integrity dokumentu – potvrdenie, že obsah dokumentu nebol zmenený a je dostupný v podobe, v akej bol do archívu uložený,
zachovanie autentickosti dokumentu – potvrdenie, že elektronický dokument bol vytvorený a podpísaný zaručeným elektronickým podpisom alebo opatrený zaručenou elektronickou pečaťou osobou, ktorá je uvedená ako podpisovateľ elektronického dokumentu alebo pôvodca elektronickej pečate,
evidenciu a uchovanie informácií dôležitých z hľadiska existencie elektronického dokumentu, údaje o prevzatí, o spôsobe uloženia, o prístupe k dokumentu, o type úložného média a iné,
výkon takých aktivít v rámci manipulácie s elektronickým dokumentom, ktoré umožnia uchovať nepopierateľnosť existencie a integritu údajov a zaistiť ich požadovanú dostupnosť.
Pri vykonávaní činností podľa odseku 5 sa uplatňujú štandardy uvedené v medzinárodných normatívnych dokumentoch.2)
Aplikácie používané na poskytovanie služby dlhodobého uchovávania elektronických dokumentov podpísaných zaručeným elektronickým podpisom alebo opatrených zaručenou elektronickou pečaťou zabezpečujú, aby bolo možné overovať zaručený elektronický podpis alebo zaručenú elektronickú pečať aj po čase platnosti certifikátov použitých na overenie. Pre zabezpečenie možnosti overenia zaručeného elektronického podpisu alebo zaručenej elektronickej pečate aplikácie používajú formáty elektronického podpisu pre dlhodobé overovanie uvedené v európskych normatívnych dokumentoch3) a časové pečiatky, ktorých formát je uvedený v medzinárodných normatívnych dokumentoch.4)
Akreditovaná certifikačná autorita poskytujúca službu dlhodobého uchovávania elektronických dokumentov podpísaných zaručeným elektronickým podpisom alebo opatrených zaručenou elektronickou pečaťou zabezpečuje, aby dokumenty neboli poskytované tretej strane bez súhlasu vlastníka.
Certifikačná autorita musí mať vypracovaný vlastný systém priebežnej kontroly funkčnosti a bezpečnosti používaných bezpečnostných prostriedkov a opatrení.
Pri poskytovaní služieb podľa § 2 písm. p) prvého bodu zákona sa uplatňujú štandardy uvedené v európskych normatívnych dokumentoch.5)
§ 4#
Certifikačná autorita, ktorá žiada o akreditáciu, predloží okrem opisu a dokumentácie základných technických parametrov a dokumentácie prostriedkov podľa osobitného predpisu6) aj dokumentáciu prostriedkov, ktoré plánuje použiť na podporu poskytovania certifikačných služieb na
§ 5#
Akreditovaná certifikačná autorita musí mať vytvorené organizačné podmienky v tomto rozsahu:
§ 6Podrobnosti o požiadavkách na audit, rozsah auditu a kvalifikáciu audítorov#
Audit bezpečnosti poskytovania certifikačných činností môže vykonať len oprávnená fyzická osoba alebo právnická osoba.
Fyzická osoba alebo právnická osoba môže byť oprávnená na výkon auditu bezpečnosti certifikačných činností, ak
je držiteľkou platného medzinárodného alebo slovenského osvedčenia na výkon auditu informačných systémov,
má preukázateľnú odbornú prax v oblasti auditu informačných systémov nie kratšiu ako päť rokov,
je nezávislá od auditovaného subjektu,
zabezpečí, aby pri auditoch nedochádzalo ku konfliktu záujmov.
Výkon auditu pozostáva z overenia
bezpečnostných vlastností produktu pre elektronický podpis alebo produktu pre elektronickú pečať a bezpečnostných vlastností prostredia, v ktorom sa tento produkt prevádzkuje,
bezpečnosti šifrovacích prostriedkov a režimu práce s nimi,
ochrany produktu pre elektronický podpis alebo produktu pre elektronickú pečať pred neautorizovanou manipuláciou, zneužitím a zlyhaním,
bezpečnosti procesov výkonu certifikačných činností,
ochrany komunikačnej infraštruktúry pred útokmi a zlyhaniami,
súladu položiek v papierových a elektronických záznamoch výkonu certifikačných činností,
vhodnosti a dostatočnosti bezpečnostného zámeru, projektu a bezpečnostných smerníc,
vhodnosti a dostatočnosti bezpečnostných opatrení a prostriedkov, ktoré sú špecifikované v bezpečnostných smerniciach,
bezpečnostných opatrení súvisiacich s poskytovaním činností inými právnickými osobami alebo fyzickými osobami,
iných bezpečnostných opatrení a prostriedkov, ktoré certifikačná autorita prijala s cieľom zaistiť spoľahlivosť a bezpečnosť poskytovania certifikačných služieb,
pripravenosti certifikačnej autority pri výskyte udalostí ohrozujúcich jej prevádzku – plánov pre prípad havárií a plánov obnovy činnosti certifikačnej autority,
ostatných požadovaných bezpečnostných požiadaviek na výkon certifikačných činností podľa zákona.
Výkon auditu sa končí záverečnou správou, ktorá pozostáva z
výroku audítora a zo zhodnotenia celkového stavu bezpečnosti certifikačnej autority v čase výkonu bezpečnostného auditu,
popisu zistení o nedostatkoch bezpečnostného charakteru,
odporúčaní na odstránenie zistených nedostatkov.
§ 7Zrušovacie ustanovenie#
Zrušuje sa vyhláška Národného bezpečnostného úradu č. 540/2002 Z. z. o podmienkach na poskytovanie akreditovaných certifikačných služieb a o požiadavkách na audit, rozsah auditu a kvalifikáciu audítorov.
§ 9Účinnosť#
Táto vyhláška nadobúda účinnosť dňom vyhlásenia.
Prílohy
Príloha k vyhláške č. 132/2009 Z. z.
ZOZNAM PREBERANÝCH PRÁVNYCH AKTOV EURÓPSKYCH SPOLOČENSTIEV A EURÓPSKEJ ÚNIE
Smernica Európskeho parlamentu a Rady 1999/93/ES z 13. decembra 1999 o rámci spoločenstva pre elektronické podpisy (Ú. v. ES L 13, 19. 1. 2000; Mimoriadne vydanie Ú. v. EÚ, kap. 13/zv. 24).
Poznámky pod čiarou
- 1)Vyhláška Národného bezpečnostného úradu č. 133/2009 Z. z. o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností.
- 2)ISO/TR 15801: Electronic imaging – Information stored electronically – Recommendations for trustworthiness and reliability (ISO/TR 15801 Elektronické zobrazovanie. Informácie uchovávané elektronicky. Odporúčania pre dôveryhodnosť a spoľahlivosť), ISO/TR 18492: Long – term preservation of electronic document – based information (ISO/TR 18492 Dlhodobé uchovávanie informácií založených na elektronických dokumentoch).
- 3)ETSI TS 101 733 Electronic Signatures and Infrastructures (ESI). CMS Advanced Electronic Signatures (CAdES) [Elektronické podpisy a infraštruktúry (ESI). CMS zaručené elektronické podpisy (CAdES)]. ETSI TS 101 903 Electronic Signatures and Infrastructures (ESI). XML Advanced Electronic Signatures (XAdES) [Elektronické podpisy a infraštruktúry (ESI). XML zaručené elektronické podpisy (XAdES)]. ETSI TS 102 778-4 Electronic Signatures and Infrastructures (ESI). PDF Advanced Electronic Signature Profiles. Part 4: PAdES Long Term - PAdES-LTV Profile [Elektronické podpisy a infraštruktúry (ESI). PDF zaručené elektronické podpisy (PAdES). Časť 4: PAdES dlhodobý formát].
- 4)RFC 3161 Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP) (Protokol časovej pečiatky).
- 5)ETSI EN 319 411-2 Electronic Signatures and Infrastructures (ESI). Policy and security requirements for Trust Service Providers issuing certificates. Part 2: Policy requirements for certification authorities issuing qualified certificates [Elektronické podpisy a infraštruktúry (ESI). Požiadavky politiky a bezpečnostné požiadavky pre poskytovateľov dôveryhodných služieb vydávajúcich certifikáty. Časť 2: Požiadavky politiky pre certifikačné autority vydávajúce kvalifikované certifikáty] CWA 14172-2 EESSI Conformity Assessment Guidance - Part 2: Certification Authority services and processes [Návod EESSI na posúdenie zhody. Časť 2: Služby a procesy certifikačných autorít].
- 6)Vyhláška Národného bezpečnostného úradu č. 134/2009 Z. z., ktorou sa ustanovujú podrobnosti o požiadavkách na bezpečné zariadenia na vyhotovovanie časovej pečiatky a požiadavky na produkty pre elektronický podpis (o produktoch elektronického podpisu).
- 7)Smernica Európskeho parlamentu a Rady 98/34/ES o postupe pri poskytovaní informácií v oblasti technických noriem a predpisov (Ú. v. ES L 204, 21. 7. 1998; Mimoriadne vydanie Ú. v. EÚ, kap. 3/zv. 20) v platnom znení.