Elektronický podpis a európska legislatíva Sekcia informačnej bezpečnosti a elektronického podpisu Budatínska č. 30, P.

1. Elektronický podpis a európska legislatíva Sekcia informačnej bezpečnosti a elektronického podpisu Budatínska č. 30, P.O. BOX 16, 850 07 Bratislava 57 tel: 02 - 6869 2114 http://www.nbusr.sk/ podatelna@nbusr.sk

2. Zmeny v legislatíve EÚ pre rozvoj e-služieb • Smernica Európskeho parlamentu a Rady 1999/93/ES z 13. decembra 1999 o rámci Spoločenstva pre elektronické podpisy • Rozhodnutie Komisie 2009/767/ES zo 16. októbra 2009, ktorým sa ustanovujú opatrenia na uľahčenie postupov elektronickými spôsobmi prostredníctvom „miest jednotného kontaktu“ podľa smernice Európskeho parlamentu a Rady 2006/123/ES o službách na vnútornom trhu (Úradný vestník Európskej únie L 274 z 20. októbra 2009) • ETSI TS 102 231 – Electronic Signatures and Infrastructures (ESI): Provision of harmonized Trust-service status information. • Pripravované Rozhodnutie Komisie o minimálnom formáte CMS, XML a PDF AdES pre zabezpečenie cezhraničného používania elektronicky podpísaných dokumentov, ktorých podpis budú členské štáty schopné overiť.

3. Harmonised TSP Directive 1999/93/EC Guidelines for status information implementation (TSL) Algorithms & Param. of SSCDs complements complements EN14890 - 1/2 ETSI TS 102 231 ETSI SR 002 176 CWA 14355 2000/709/EC Decision International ALGO PAPER 2003/511/EC harmonisation of ETSI TS 102 176 - 1/2 Certificate Policies CWA 14172 - 1 (intro) stipulates ETSI TR 102 040 CSP Practices CWA 14172 - 5 March 2002 CWA 14169 ETSI TR 102 458 March 2004 ETSI TS 101 456 SSCDs Under EN Guidance on CWA 14172 - 6 process (3PP) EAL 4+ TS 101 456 ETSI TS 102 042 ETSI TR 102 437 CWA 14172 - 3 March 2003 ETSI TS 102 158 CWA 14167 - 1 June 2003 TSA policy CWA 14172 - 7 requirements CSP Trustworthy systems Certificates Conformity ETSI TS 102 023 March 2002 CWA 14167 - 2 Assessment ETSI TS 101 862 May 2004 RFC 3628 Guidance Crypto Modules TimeStamping ETSI TS 102 280 Profile CWA 14172 - 2 CWA 14167 - 3 ETSI TR 102 044 ETSI TS 101 861 assessment CWA 14167 - 4 CWA 14172 - 8 guidance of International assessment guidance of harmonisation CWA 14172 - 4 Signature format of ES format Signature creation Signature verification ETSI TS 101 733 RFC 5126 ETSI TR 102 047 CWA 14171 CWA 14170 Guide on ES use ETSI TS 101 903 ISO 32000 - 1 CWA 14365 - 1/2 PP - SCVA (adopted as PWI) Signature policy Digital Accounting domain Signature profiles PP - DAUTH (adopted as PWI) ETSI TR 102 038 eInvoicing & (eGov, eInv, Generic) ETSI TR 102 572 Best practices ETSI TS 102 734 Digital Signatures ETSI TR 102 041 Registered Electronic Mail ETSI TS 102 573 TSP Pol. reqts ETSI TS 102 904 ETSI TR 102 045 CWA 15579 Existing practices ETSI TR 102 605 (PDF profiles) ETSI TR 102 272 Mobile signature standards ETSI TS 102 640 - 1/2/3 ETSI TS 102 778 (mCommerce) Implementácia Smernice 1999/93/ES Draft ETSI TS 102 853

4. Slovenská legislatíva - zákon 215/2002 Z.z. o elektronickom podpise a o zmene a doplnení niektorých zákonov • Vyhláška Národného bezpečnostného úradu č. 131/2009 Z. z., o formáte, obsahu a správe certifikátov a kvalifikovaných certifikátov a formáte, periodicite a spôsobe vydávania zoznamu zrušených kvalifikovaných certifikátov (o certifikátoch a kvalifikovaných certifikátoch) • Vyhláška Národného bezpečnostného úradu č. 132/2009 Z. z., o podmienkach na poskytovanie akreditovaných certifikačných služieb a o požiadavkách na audit, rozsah auditu a kvalifikáciu audítorov • Vyhláška Národného bezpečnostného úradu č. 133/2009 Z. z., o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností • Vyhláška Národného bezpečnostného úradu č. 134/2009 Z. z., ktorou sa ustanovujú podrobnosti o požiadavkách na bezpečné zariadenia na vyhotovovanie časovej pečiatky a požiadavky na produkty pre elektronický podpis (o produktoch elektronického podpisu) • Vyhláška Národného bezpečnostného úradu č. 135/2009 Z. z., o formáte a spôsobe vyhotovenia zaručeného elektronického podpisu, spôsobe zverejňovania verejného kľúča úradu, podmienkach platnosti pre zaručený elektronický podpis, postupe pri overovaní a podmienkach overovania zaručeného elektronického podpisu, formáte časovej pečiatky a spôsobe jej vyhotovenia, požiadavkách na zdroj časových údajov a požiadavkách na vedenie dokumentácie časových pečiatok (o vyhotovení a overovaní elektronického podpisu a časovej pečiatky) • Vyhláška Národného bezpečnostného úradu č. 136/2009 Z. z., o spôsobe a postupe používania elektronického podpisu v obchodnom styku a administratívnom styku

5. Štandardy NBÚ vydávané ako profily medzinárodných štandardov pre EP Podľa vyhlášok NBÚ č. 131/2009 Z.z. a č. 135/2009 Z.z. úrad zverejňuje platné formáty zaručených elektronických podpisov a ich formálne špecifikácie, obsah a štruktúru podpisovej politiky, schválené formáty kvalifikovaných certifikátov a schválené formáty zoznamu zrušených kvalifikovaných certifikátov. http://www.nbusr.sk/sk/elektronicky-podpis/standardy-nbu/index.html • Formáty certifikátov a kvalifikovaných certifikátov 3.0 • Formats of certificates and qualified certificates 3.0 • Formáty zaručených elektronických podpisov 3.0 • Qualified Electronic Signature Formats 3.0 • Formáty zoznamu zrušených certifikátov a potvrdzovania stavu a platnosti certifikátov 3.0 • Formats of certificate revocation list and confirming the status and validity of certificates 3.0 • Upresnenia obsahu a formálne špecifikácie formátov dokumentov pre ZEP 1.0 • SIM mobilného zariadenia na elektronické podpisovanie cez bezpečné WEB/WAP alebo PKCS#11 rozhranie 1.1

6. Základné štandardy, ktoré predstavujú minimum pre EP • IETF, RFC 5652, Cryptographic Message Syntax (CMS), http://tools.ietf.org/html/rfc5652. • IETF, RFC 5035, Enhanced Security Services (ESS) Update: Adding CertID Algorithm Agility, http://tools.ietf.org/html/rfc5035. • IETF, RFC 3161, Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP), http://tools.ietf.org/html/rfc3161. • ETSI TS 101 733: CMS Advanced Electronic Signatures (CAdES). • W3C, XML Signature Syntax and Processing, (Version 1.1), http://www.w3.org/TR/xmldsig-core1/. • W3C, XML Signature Syntax and Processing, (Second Edition), http://www.w3.org/TR/xmldsig-core/ • W3C, XML Signature Best Practices, http://www.w3.org/TR/xmldsig-bestpractices/. • ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES). • ETSI TS 102 176: Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms; Part 2: "Secure channel protocols and algorithms for signature creation devices".

7. Implementácia rozhodnutia Komisie 2009/767/ES • Dňa 28. 12. 2009 nadobudlo účinnosť rozhodnutie Komisie 2009/767/ES zo 16. 10. 2009, ktorým sa ustanovujú opatrenia na uľahčenie postupov elektronickými spôsobmi prostredníctvom „miest jednotného kontaktu“ podľa smernice Európskeho parlamentu a Rady 2006/123/ES o službách na vnútornom trhu. Týmto dňom vznikla pre orgány verejnej moci povinnosť uznávať kvalifikované certifikáty vydané poskytovateľmi certifikačných služieb členských krajín EÚ, za predpokladu, že príslušná členská krajina zverejní zoznam dôveryhodných poskytovateľov služieb - TL. TL musí byť publikovaný prioritne v podobe čitateľnej ľudským okom (hrf – human readable form) a podľa opravy rozhodnutia Komisie členské krajiny budú musieť od decembra 2010 publikovať TSL aj v elektronicky podpísanej strojovo spracovateľnej forme (machine processable form). • Európska komisia zverejňuje vlastný TL - zoznam odkazov na všetky publikované TL členských krajín na adrese: https://ec.europa.eu/information_society/policy/esignature/trusted-list/tl-hr.pdf • a v strojovo čitateľnej forme na adrese: https://ec.europa.eu/information_society/policy/esignature/trusted-list/tl-mp.xml • Komisia zverejnila hash SSL certifikátu na 15. strane v Úradnom vestníku Európskej Únie C 057, 09/03/2010 S. 0015 – 0015 na zabezpečenie prístupu pre získanie informácií súvisiacich s prehľadom dôveryhodných vnútroštátnych zoznamov členských štátov oznámených podľa rozhodnutia Komisie 2009/767/ES. • Na základe požiadavky z rozhodnutia podpísaný slovenský TL je publikovaný na adrese: http://ep.nbusr.sk/kca/tsl/tsl_hrf.zip

8. TSL - Rozhodnutie Komisie 2009/767/ES

9. Hlavné komponenty pri komunikácii v rámci EÚ • CSP Certification Service Provider • VSP Validation Service Provider • CACertification Authority • TSSP Time Stamping Service Provider • LTASP Long Term Archiving Service Provider • SPSP Signature Policy Service Provider (Signature Policy Issuer) • Id°SP Identification Service Provider • Au°SP Authentication Service Provider • SP Signature Policy • TSL Trust Status List • TL Trusted List (as defined in Commission Decision 2009/767/EC) • LOTL List Of The Lists

10. NBÚ v úlohe Signature Policy Authority Dôveryhodné zverejňovanie podpisových politík Pre najjednoduchšiu možnosť automatického overenia platnosti ZEP, a pre možnosť automatického „strojového“ rozhodnutia, či konkrétna podpisová politika je schválená NBÚ, sa zvolil aj spôsob dôveryhodného zverejňovania - Dôveryhodný zoznam podpisových politík a koreňových certifikátov, vo formáte integritného elektronického podpisu. Takýto spôsob v minimálnej miere zaťažuje používateľov zaručeného elektronického podpisu. V rámci EÚ je použitie strojovo spracovateľných podpisových politík kľúčové pre cezhraničnú komunikáciu pri overovaní požiadaviek na elektronické podpisy podľa zahraničnej legislatívy. http://www.nbusr.sk/sk/elektronicky-podpis/podpisove-politiky/index.html Dôveryhodný zoznam aktuálne platných a aj exspirovaných podpisových politík a koreňových certifikátov je zverejnený vo formáte CMS AdES integritného podpisu: TrustedList.p7m a TrustedList.zep

11. ĎAKUJEM ZA POZORNOSŤ