AI Právnik Logo
← Späť na paragrafy

Zbierka zákonov Slovenskej republiky · Ročník 2002 · Čiastka 211

Vyhláška č. 541/2002 Z. z.

Vyhláška Národného bezpečnostného úradu o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností

z 9. septembra 2002 · Národný bezpečnostný úrad

Účinné znenie
od 1. 10. 2002 – 7. 4. 2009
Schválené
9. 9. 2002
Vyhlásené
25. 9. 2002
Počet paragrafov
16 §
Verzie
Tento predpis už nie je účinný, bol zrušený predpisom 133/2009 Z. z. →. Zobrazujeme jeho posledné znenie účinné od 1. 10. 2002 do 7. 4. 2009.
Záväzkové a zmluvné právo
Vyhláška Národného bezpečnostného úradu o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností
§

§ 1Predmet úpravy#

Táto vyhláška upravuje

§ 2Vymedzenie niektorých pojmov#

Na účely tejto vyhlášky sa rozumie

§ 3Dokumentácia certifikačnej autority#

(1)

Certifikačná autorita vypracúva, vedie a aktualizuje dokumentáciu na výkon certifikačných činností.

(2)

Dokumentácia certifikačnej autority obsahuje

a)

prevádzkovú dokumentáciu,

b)

bezpečnostné pravidlá,

c)

pravidlá na výkon certifikačných činností.

§ 4Prevádzková dokumentácia certifikačnej autority#

Prevádzková dokumentácia certifikačnej autority obsahuje

§ 5Certifikačný poriadok#

(1)

Certifikačný poriadok obsahuje

a)

informácie pre koho a za akých podmienok poskytuje certifikačná autorita svoje služby,

b)

obmedzenia pri poskytovaní svojich služieb, ak také obmedzenia existujú,

c)

typy certifikátov a časových pečiatok, ktoré certifikačná autorita vydáva,

d)

podpisové politiky a politiky časových pečiatok1),

e)

práva a povinnosti používateľov služieb certifikačnej autority,

f)

vzor žiadosti o poskytnutie certifikačnej služby,

g)

pravidlá používania a zrušovania certifikátov.

(2)

Certifikačný poriadok môže okrem informácií uvedených v odseku 1 obsahovať aj ďalšie informácie, ktorých zverejnenie certifikačná autorita považuje za účelné.

(3)

Certifikačný poriadok akreditovanej certifikačnej autority popisuje úlohy jednotlivých subjektov a procesy súvisiace so správou certifikátov, a to

a)

prvotnú registráciu žiadosti o vydanie certifikátu,

b)

žiadosť o vydanie následného certifikátu,

c)

vydanie certifikátu,

d)

žiadosť o zrušenie certifikátu,

e)

zrušenie certifikátu,

f)

vydávanie zoznamu zrušených certifikátov.

(4)

Certifikačný poriadok akreditovanej certifikačnej autority obsahuje klasifikáciu spracovávaných informácií, spôsob ich ochrany a pravidlá na sprístupňovanie týchto informácií inému subjektu.

(5)

Certifikačný poriadok akreditovanej certifikačnej autority ustanovuje pre každý ňou vydávaný typ certifikátu a časovej pečiatky náležitosti potrebné na vydanie certifikátu a časovej pečiatky, rozsah použiteľnosti certifikátov a časových pečiatok a záruky akreditovanej certifikačnej autority pre certifikát a časovú pečiatku daného typu.

(6)

Certifikačný poriadok akreditovanej certifikačnej autority ustanovuje aj rozsah a spôsob zverejňovania informácií súvisiacich s poskytovaním certifikačných služieb, a to

a)

kontaktných adries akreditovanej certifikačnej autority,

b)

podporovaných štandardov a protokolov pre prístup k zverejňovaným informáciám,

c)

vlastných certifikátov s riešením spôsobu ich nahradenia po skončení platnosti,

d)

vydaných certifikátov, formátu ich zverejňovania a aktualizáciu zoznamu vydaných certifikátov,

e)

zoznamov zrušených certifikátov, formátu ich zverejňovania a ich aktualizáciu; pre akreditovanú certifikačnú autoritu sa odporúča zabezpečiť zverejňovanie aspoň dvoma na sebe nezávislými spôsobmi.

(7)

Certifikačný poriadok akreditovanej certifikačnej autority poskytuje informácie o vykonávaní auditu a zaznamenávaní prevádzkových udalostí.

(8)

Akreditovaná certifikačná autorita môže mať viacero certifikačných poriadkov pre rôzne typy vydávaných certifikátov.

(9)

Štruktúra certifikačného poriadku akreditovanej certifikačnej autority je uvedená v prílohe č. 1.

§ 6Vzor zmluvy o vydaní a používaní certifikátu#

(1)

Vydanie certifikátu žiadateľovi o certifikát sa uskutočňuje na základe zmluvy o vydaní a používaní certifikátu.

(2)

Obsahom zmluvy o vydaní a používaní certifikátu je definovanie vzťahu medzi žiadateľom o certifikát a certifikačnou autoritou v súvislosti s vydaním certifikátu.

(3)

Certifikačná autorita môže mať vypracovaných viacero vzorov zmlúv o vydaní a používaní certifikátu pre rôzne typy vydávaných certifikátov.

(4)

Vzor zmluvy o vydaní a používaní certifikátu obsahuje

a)

postup na vydanie a prevzatie prvého certifikátu žiadateľovi o certifikát,

b)

postup na vydanie a prevzatie následného certifikátu,

c)

záväzky certifikačnej autority,

d)

záväzky držiteľa certifikátu,

e)

možné obmedzenie zodpovednosti certifikačnej autority v prípade porušenia pravidiel na vystavenie a prácu s certifikátmi zo strany žiadateľa,

f)

potvrdenie o vydaní certifikátu a jeho odovzdaní žiadateľovi o certifikát.

§ 7Cenník poskytovaných certifikačných služieb#

Cenník poskytovaných certifikačných služieb obsahuje zoznam všetkých certifikačných služieb, ktoré certifikačná autorita poskytuje, spolu s uvedením aktuálnej ceny každej služby alebo informácie, že danú službu poskytuje certifikačná autorita bezplatne.

§ 8Prevádzkové záznamy#

(1)

Prevádzkovými záznamami sú záznamy v písomnej alebo elektronickej forme vznikajúce pri certifikačnej činnosti.

(2)

Certifikačná autorita zaznamenáva všetky prevádzkové udalosti pri

a)

podávaní žiadosti o certifikát a vydávaní certifikátu,

b)

spracúvaní a uchovávaní osobných údajov žiadateľa,

c)

vydávaní certifikátu,

d)

vydávaní krížového certifikátu,

e)

skončení platnosti certifikátu,

f)

požiadavke na zrušenie certifikátu,

g)

zrušení certifikátu,

h)

vytváraní a zverejňovaní zoznamu zrušených certifikátov,

i)

manipulácii so súkromným kľúčom certifikačnej autority,

j)

vydávaní časovej pečiatky.

(3)

Záznamy o udalostiach podľa odseku 2 sa vytvárajú, uchovávajú a spracúvajú tak, aby sa zachovala preukázateľnosť pôvodu, dostupnosť, integrita, časová autenticita a dôvernosť týchto záznamov.

(4)

Certifikačná autorita vytvára písomné záznamy o

a)

prijatí žiadosti o vystavenie certifikátu,

b)

odovzdaní certifikátu žiadateľovi o certifikát,

c)

prijatí žiadosti a podnetov o zrušenie certifikátu,

d)

oboznámení osôb určených na vykonávanie činností súvisiacich s poskytovaním certifikačných služieb s dokumentáciou a so smernicami certifikačnej autority,

e)

preškolení osôb uvedených v písmene d) tak, aby ich kvalifikačné predpoklady zodpovedali vykonávaným činnostiam,

f)

uvedení do prevádzky a zmene prevádzkového režimu nástroja na vytváranie elektronického podpisu certifikačnej autority, pričom sa vyžaduje, aby túto operáciu vykonali a písomne potvrdili aspoň dve fyzické osoby určené na túto činnosť,

g)

technických zásahoch súvisiacich s prevádzkou a pravidelnou kontrolou technických zariadení a súčastí prevádzkovaného informačného systému.

(5)

Certifikačná autorita môže za podmienok definovaných v jej certifikačnom poriadku vytvárať záznamy podľa odseku 4 písm. a) až c) v elektronickej forme.

§ 9Bezpečnostné pravidlá#

(1)

Bezpečnostné pravidlá akreditovanej certifikačnej autority obsahujú

a)

bezpečnostnú politiku,

b)

bezpečnostný zámer,

c)

bezpečnostný projekt,

d)

havarijný plán,

e)

bezpečnostné smernice.

(2)

Na poskytovanie akreditovaných certifikačných služieb akreditovaná certifikačná autorita realizuje bezpečnostné opatrenia. Bezpečnostné opatrenia sú navrhnuté, zdokumentované a využívané podľa bezpečnostných pravidiel.

(3)

Bezpečnostné opatrenia pozostávajú z mechanických a technických opatrení, z opatrení na ochranu produktu pre elektronický podpis a z opatrení na ochranu softvérových a hardvérových prvkov infraštruktúry, v ktorej sa produkt pre elektronický podpis prevádzkuje.

(4)

Mechanické opatrenia sú všetky druhy bezpečnostných úschovných objektov, uzamykateľné kovové skrine, uzamykacie systémy, dvere, mreže, bezpečnostné fólie, okná a zasklenia.

(5)

Technické opatrenia sú

a)

elektromechanické zámkové zariadenia a systémy na kontrolu vstupov do objektov a chránených priestorov a systémy slúžiace na elektronické preukazovanie oprávnenosti a totožnosti osôb,

b)

zariadenia poplachových systémov slúžiace na zisťovanie a vyhodnocovanie neoprávneného vstupu do objektu alebo chráneného priestoru,

c)

kamerová zostava v rámci uzatvoreného televízneho okruhu,

d)

zariadenia elektrickej požiarnej signalizácie,

e)

zariadenia na fyzické ničenie nosičov informácií,

f)

zariadenie na nepretržité vedenie kontrolného záznamu o činnosti prostriedku pre elektronický podpis a systémov evidencie poskytovaných certifikačných služieb s možnosťou sledovania a spätného preskúmavania záznamu, ako aj určenia zodpovednosti za vykonané činnosti,

g)

iné technické prostriedky slúžiace na zabezpečenie objektu, chráneného priestoru, prevádzky produktu pre elektronický podpis, systémov evidencie poskytovaných certifikovaných služieb a médií so záložnými a archívnymi kópiami údajov týchto systémov.

(6)

Opatrenia na ochranu produktu pre elektronický podpis sú opatrenia splňajúce požiadavky osobitného predpisu.2)

(7)

Bezpečnostné opatrenia prijaté akreditovanou certifikačnou autoritou musia spĺňať najmenej tieto podmienky:

a)

pri poskytovaní certifikačných služieb v prenajatých priestoroch musí byť zmluvne obmedzený samostatný vstup majiteľa objektu do chránených priestorov len na nevyhnutné a okamžité riešenie havarijných stavov budov,

b)

okrem prevádzkových priestorov musí akreditovaná certifikačná autorita zabezpečiť ďalšie chránené priestory na bezpečné skladovanie archívnych dokumentov a údajov a mesačných záložných kópií údajov systému certifikačnej autority; tieto priestory musia byť umiestnené v objekte, ktorý nie je fyzicky spojený s objektom, v ktorom sa poskytujú certifikačné služby,

c)

poskytovanie certifikačných služieb musí byť podporené technickými a programovými prostriedkami vyhradenými výlučne na tento účel a dôsledne oddelenými od ostatných systémov pre bežnú administratívu certifikačnej autority,

d)

technické a organizačné opatrenia musia zaistiť nepretržitú prevádzku akreditovanej certifikačnej autority aj v prípade zlyhania základnej technickej infraštruktúry najmenej na úrovni poskytovania služby registrácie požiadaviek na funkciu časovej pečiatky,

e)

musí sa vypracovať a prevádzkovať vlastný systém priebežnej kontroly funkčnosti a bezpečnosti použitých bezpečnostných prostriedkov a opatrení,

f)

musí sa vypracovať a prevádzkovať systém priebežného dokumentovania všetkých kľúčových aktivít v použitom systéme a pravidelného i náhodného vyhodnocovania takto vytvorených záznamov,

g)

záznamy priebežného dokumentovania kľúčových aktivít použitého systému sa musia bezpečne uchovávať na médiách a v tvare použiteľnom na kontrolu najmenej počas troch rokov.

(8)

Bezpečnostné pravidlá vypracúva akreditovaná certifikačná autorita sama alebo s pomocou externých fyzických osôb alebo právnických osôb. Bez ohľadu na spôsob vypracovania akreditovaná certifikačná autorita zabezpečí kvalifikovanú externú oponentúru bezpečnostných pravidiel. Na tento účel úradu predloží

a)

údaje o zodpovednom riešiteľovi bezpečnostného projektu a jeho kvalifikácii pre oblasť informačnej bezpečnosti,

b)

oponentský posudok predloženého bezpečnostného projektu od nezávislého externého špecialistu pre informačnú bezpečnosť odborne oprávneného na výkon auditu podľa osobitného predpisu,3)

c)

pri výhradách externého oponenta uvedených v oponentskom posudku aj vlastné vyjadrenie k oponentskému posudku.

(9)

Akreditovaná certifikačná autorita pri zmenách v platných bezpečnostných pravidlách kvalifikovane posúdi ich dopad na bezpečnosť poskytovaných akreditačných služieb a o navrhovaných zmenách a vyhodnotení ich dopadov na bezpečnosť bezodkladne informuje úrad.

§ 10Bezpečnostná politika#

(1)

Bezpečnostná politika určuje základné požiadavky na ochranu citlivých informácií a záväzky jednotlivých subjektov vo vzťahu k bezpečnosti.

(2)

Cieľom bezpečnostnej politiky je určenie cieľov a popisu spôsobu zabezpečenia celkovej bezpečnosti certifikačnej autority.

§ 11Bezpečnostný zámer#

(1)

Bezpečnostný zámer určuje požiadavky na ochranu informácií zhromažďovaných, vytváraných, spracúvaných, prenášaných alebo ukladaných v súvislosti s poskytovaním certifikačných služieb.

(2)

Bezpečnostný zámer obsahuje

a)

určenie informácií, ktoré treba chrániť,

b)

charakteristiku a popis použitia technických a programových prostriedkov, ktorých pomocou bude budúca akreditovaná certifikačná autorita vykonávať svoju činnosť,

c)

predpokladanú organizačnú štruktúru budúcej akreditovanej certifikačnej autority s uvedením oprávnení pre každé pracovné zaradenie,

d)

popis priestoru, v ktorom sú umiestnené prostriedky uvedené v písmene b),

e)

požiadavky na celkovú bezpečnosť akreditovanej certifikačnej autority, ktorá sa skladá z personálnej bezpečnosti, objektovej bezpečnosti, administratívnej bezpečnosti a bezpečnosti technických a systémových prostriedkov.

§ 12Bezpečnostný projekt#

(1)

Bezpečnostný projekt je predpis akreditovanej certifikačnej autority, ktorý určuje spôsob ochrany výkonu certifikačných činností a ochrany produktu pre elektronický podpis prostredníctvom bezpečnostných opatrení.

(2)

Bezpečnostný projekt pozostáva z

a)

analýzy rizík infraštruktúry, pomocou ktorej akreditovaná certifikačná autorita vykonáva certifikačné činnosti, s dôrazom na procedúry súvisiace s výkonom a evidenciou certifikačných činností a produktom pre elektronický podpis,

b)

popisu bezpečnostných rizík súvisiacich s výkonom certifikačných činností a prevádzkou produktu pre elektronický podpis,

c)

popisu bezpečnostných opatrení na obmedzenie identifikovaných bezpečnostných rizík,

d)

popisu nasadenia, využívania a kontroly bezpečnostných opatrení.

(3)

Súčasťou bezpečnostného projektu je určenie spôsobu ochrany osobných údajov pre certifikačné služby podľa osobitného zákona.4)

§ 13Havarijný plán#

(1)

Obsahom havarijného plánu je stanovenie postupov, ktoré sa budú aplikovať v prípade mimoriadnej udalosti. Pod mimoriadnou udalosťou sa na účely tejto vyhlášky rozumie udalosť, ktorá ohrozuje poskytovanie certifikačných služieb a ktorá nastáva v dôsledku zlyhania informačného systému pre certifikačné služby.

(2)

Súčasťou havarijného plánu je plán obnovy. Plán obnovy ustanovuje postupy určené na obnovu riadnej funkčnosti informačného systému pre certifikačné služby po vzniku mimoriadnej udalosti.

§ 14Bezpečnostné smernice#

(1)

Bezpečnostné smernice sú predpisy akreditovanej certifikačnej autority, ktoré rozpracúvajú ustanovenia bezpečnostného zámeru do procedúr a pracovných postupov záväzných pre všetkých zamestnancov certifikačnej autority.

(2)

Bezpečnostné smernice upravujú najmenej tieto bezpečnostné opatrenia:

a)

umiestnenie a používanie kryptografického zariadenia certifikačnej autority,

b)

riadenie prístupu ku kryptografickému zariadeniu certifikačnej autority,

c)

postup zálohovania dát a skladovania médií so záložnými kópiami údajov,

d)

postupy pri haváriách a poruchách produktu pre elektronický podpis, haváriách a poruchách infraštruktúry ohrozujúcich činnosť produktu pre elektronický podpis, jeho bezpečnosť, ako aj bezpečnosť záložných kópií údajov, ako aj pri haváriách a poruchách ohrozujúcich autenticitu a integritu poskytovaných certifikačných služieb,

e)

zabezpečenie prevádzky kryptografického zariadenia certifikačnej autority v núdzových alebo havarijných stavoch,

f)

zásady práce s médiami,

g)

tvorbu a vyhodnocovanie prevádzkových záznamov v písomnej alebo elektronickej forme,

h)

správu bezpečnostných prostriedkov,

i)

zásady bezpečného správania sa užívateľov a správcov produktu pre elektronický podpis,

j)

zisťovanie bezpečnostných incidentov a ich riešenie,

k)

monitorovanie a odhaľovanie nepovolených aktivít v produkte pre elektronický podpis,

l)

bezpečnostné procedúry spojené s výkonom certifikačných činností.

§ 15Pravidlá na výkon certifikačných činností#

(1)

Pravidlá na výkon certifikačných činností určujú postup, ktorý akreditovaná certifikačná autorita uplatňuje pri zabezpečovaní poskytovaných certifikačných služieb.

(2)

Pravidlá na výkon certifikačných činností akreditovanej certifikačnej autority obsahujú procedúry a postupy súvisiace s

a)

generovaním párových dát certifikačnej autority, so spôsobom ochrany súkromného kľúča certifikačnej autority a so spôsobom získania certifikátu certifikačnej autority,

b)

generovaním párových dát žiadateľa o certifikát,

c)

archiváciou certifikátov,

d)

bezpečnosťou počítačového vybavenia,

e)

kontrolou procedurálnej bezpečnosti, fyzickej bezpečnosti, bezpečnosti počítačovej siete, bezpečnosti informačného systému a bezpečnosti kryptografického modulu.

(3)

Pravidlá na výkon certifikačných činností akreditovanej certifikačnej autority obsahujú aj technické špecifikácie

a)

formátov údajov súvisiacich s poskytovaním certifikačných služieb,

b)

odkazov na príslušné predpisy,

c)

štandardov používaných pri výkone certifikačných služieb.

(4)

Štruktúra pravidiel na výkon certifikačných činností je uvedená v prílohe č. 2.

§ 16Účinnosť#

Táto vyhláška nadobúda účinnosť 1. októbra 2002.

Prílohy

Príloha č. 1 k vyhláške č. 541/2002 Z. z.

ŠTRUKTÚRA CERTIFIKAČNÉHO PORIADKU AKREDITOVANEJ CERTIFIKAČNEJ AUTORITY

1. ÚVOD

Príloha č. 2 k vyhláške č. 541/2002 Z. z.

ŠTRUKTÚRA PRAVIDIEL NA VÝKON CERTIFIKAČNÝCH ČINNOSTÍ

1. ÚVOD

Poznámky pod čiarou

  1. 1)Vyhláška Národného bezpečnostného úradu č. 537/2002 Z. z. o formáte a spôsobe vyhotovenia zaručeného elektronického podpisu, spôsobe zverejňovania verejného kľúča úradu, postupe pri overovaní a podmienkach overovania zaručeného elektronického podpisu, formáte časovej pečiatky a spôsobe jej vyhotovenia, požiadavkách na zdroj časových údajov a požiadavkách na vedenie dokumentácie časových pečiatok (o vyhotovení a overovaní elektronického podpisu a časovej pečiatky).
  2. 2)Vyhláška Národného bezpečnostného úradu č. 539/2002 Z. z., ktorou sa ustanovujú podrobnosti o požiadavkách na bezpečné zariadenia na vyhotovovanie časovej pečiatky a požiadavky na produkty pre elektronický podpis (o produktoch elektronického podpisu).
  3. 3)Vyhláška Národného bezpečnostého úradu č. 540/2002 Z. z. o podmienkach na poskytovanie akreditovaných certifikačných služieb a o požiadavkách na audit, rozsah auditu a kvalifikáciu audítorov.
  4. 4)Zákon č. 428/2002 Z. z. o ochrane osobných údajov.
Vyhláška č. 541/2002 Z. z. Národného bezpečnostného úradu o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností – zrušený predpis, posledné znenie | AI Pravnik