vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb

§ 13

Náležitosti opatření proti zneužití a padělání certifikátů

(1) Poskytovatel může svá data pro vytváření elektronických značek určená pro označování vydávaných kvalifikovaných certifikátů a kvalifikovaných systémových certifikátů použít pouze pro označování těchto certifikátů a pro označování seznamu zneplatněných certifikátů.

(2) Poskytovatel zajišťuje v souladu s požadavky standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky,

1. a) správu dat podle odstavce 1 v průběhu jejich životního cyklu,
2. b) správu dat pro ověřování svých elektronických značek odpovídajících datům podle odstavce 1 v průběhu jejich životního cyklu,
3. c) vytváření kvalifikovaných certifikátů a kvalifikovaných systémových certifikátů.

(3) Činnosti podle odstavce 2

1. a) mohou vykonávat výhradně fyzické osoby, které jsou pro tuto činnost poskytovatelem určeny,
2. b) musí být vykonávány podle postupů stanovených certifikační prováděcí směrnicí,
3. c) musí být vykonávány v souladu se systémovou bezpečnostní politikou.

(4) Poskytovatel je povinen data pro vytváření elektronických značek podle odstavce 1 po ukončení jejich životního cyklu zničit; o tom pořizuje zápis, který obsahuje

1. a) popis způsobu zničení dat,
2. b) datum zničení dat,
3. c) datum pořízení zápisu,
4. d) jméno, popřípadě jména a příjmení a podpis osoby určené poskytovatelem k tomu, aby zničení dat provedla.

(5) Pro označování podle odstavce 1 poskytovatel používá bezpečný kryptografický modul.

(6) V případě zneužití nebo vzniku důvodné obavy ze zneužití jeho dat podle odstavce 1 poskytovatel bezodkladně

1. a) zneplatní kvalifikovaný systémový certifikát, který byl k těmto datům vydán,
2. b) zneplatní certifikát, který byl těmito daty označen,
3. c) zneplatní certifikát, který byl označen daty pro vytváření elektronických značek, ke kterým byl vydán certifikát podle písmene b),
4. d) ukončí používání dat podle odstavce 1.

(7) Pokud poskytovatel zneplatní kvalifikovaný systémový certifikát podle odstavce 6 písm. a), bezodkladně

1. a) zveřejní informaci o zneplatnění tohoto certifikátu s uvedením důvodu zneplatnění způsobem umožňujícím dálkový přístup, v prostorách, kde dochází ke kontaktu s uživateli, a dále nejméně v jednom celostátně distribuovaném deníku stanoveném v politice podle § 4 odst. 2 písm. a) až d),
2. b) informuje podepisující nebo označující osoby, které mají platné kvalifikované certifikáty nebo kvalifikované systémové certifikáty vydané tímto poskytovatelem, o zneplatnění těchto certifikátů, a to prostřednictvím zaslání zprávy elektronickou poštou na elektronickou adresu, pokud ji tyto osoby uvedly v žádosti o vydání certifikátu; součástí této informace je důvod ukončení platnosti nadřízeného kvalifikovaného systémového certifikátu poskytovatele,
3. c) informuje ministerstvo o zneplatnění tohoto certifikátu s uvedením důvodu zneplatnění.

§ 14

Způsob zajištění bezpečnosti seznamů

(1) Seznam vydaných certifikátů je bezpečný, pokud je u jednotlivých certifikátů v tomto seznamu zajištěna neporušenost.

(2) Poskytovatel označuje vydávané seznamy zneplatněných certifikátů daty pro vytváření elektronických značek podle § 13 odst. 1 a prostřednictvím bezpečného kryptografického modulu.

§ 15

Způsob určení data a času vydání nebo zneplatnění certifikátu

(1) Údaj o datu a času s uvedením hodiny, minuty a sekundy, kdy je kvalifikovaný certifikát nebo kvalifikovaný systémový certifikát zneplatněn, a údaj o datu a času vydání seznamu zneplatněných certifikátů, ve kterém je záznam o zneplatněném certifikátu uveden, jsou součástí údajů o zneplatnění tohoto certifikátu v seznamu zneplatněných certifikátů; dalšími údaji jsou v případě kvalifikovaného certifikátu nejméně číslo certifikátu podle § 12 odst. 1 písm. g) zákona a v případě kvalifikovaného systémového certifikátu nejméně číslo certifikátu podle § 12a písm. f) zákona.

(2) Údaj podle odstavce 1 a údaj o datu a času vydání certifikátu jsou součástí záznamů o událostech podle § 12 odst. 2 písm. b).

(3) Synchronizace času důvěryhodných systémů s koordinovaným světovým časem musí odpovídat požadavkům standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky.

§ 16

Způsob ochrany dat vytvářených pro uživatele

Poskytovatel chrání data pro vytváření elektronických podpisů, pokud je vytváří pro podepisující osobu, a zajišťuje soulad těchto dat podle požadavků standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky; požadavky tohoto standardu stanovené pro ochranu dat pro vytváření elektronických podpisů, která poskytovatel vytváří pro podepisující osobu, se použijí obdobně pro ochranu dat pro vytváření elektronických značek, pokud je poskytovatel vytváří pro označující osobu.

§ 17

Způsob zneplatnění certifikátů

Poskytovatel při zajišťování zneplatňování kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů

1. a) zajišťuje nepřetržitý příjem žádostí o zneplatnění kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, a to nejméně dvěma na sobě nezávislými způsoby,
2. b) zajišťuje splnění bezpečnostních požadavků na zneplatňování kvalifikovaných certifikátů podle požadavků standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky; požadavky tohoto standardu stanovené pro zneplatňování kvalifikovaných certifikátů se použijí obdobně pro zneplatňování kvalifikovaných systémových certifikátů.

§ 18

Způsob zajištění přesnosti určení času při vytváření kvalifikovaných časových razítek

(1) Poskytovatel může pro určení času při vytváření kvalifikovaných časových razítek použít pouze měřidlo času, které je navázáno na světový koordinovaný čas a poskytovatel má o tom k dispozici příslušnou technickou dokumentaci.

(2) Měřidlo času je způsobilé pro zajištění přesnosti určení času podle této vyhlášky, pokud splňuje následující podmínky:

1. a) navázání podle odstavce 1 je opakováno v intervalech, které jsou stanoveny poskytovatelem na základě použitého druhu měřidla času, analýzy vlivů na deklarovanou nejistotu časového údaje a spolehlivosti navázání na světový koordinovaný čas,
2. b) je synchronizováno s koordinovaným světovým časem, a to včetně synchronizace v případě výskytu přestupné sekundy,
3. c) je chráněno proti hrozbám, které by mohly změnit jeho technické nebo metrologické vlastnosti zajišťované navázáním podle písmene a).

§ 19

Způsob zajištění souladu dat v kvalifikovaných časových razítkách a náležitosti opatření proti padělání kvalifikovaných časových razítek

(1) Poskytovatel může svá data pro vytváření elektronických značek určená pro označování vydávaných kvalifikovaných časových razítek používat pouze pro tento účel.

(2) Poskytovatel zajišťuje vydávání kvalifikovaných časových razítek, včetně implementace mechanismů, které zajistí, aby data v elektronické podobě, která jsou předmětem žádosti o vydání kvalifikovaného časového razítka, jednoznačně odpovídala datům v elektronické podobě obsaženým ve vydaném kvalifikovaném časovém razítku, v souladu

1. a) s požadavky standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, a
2. b) s požadavky české technické normy uvedené v bodu 3 přílohy č. 1 této vyhlášky.

(3) Poskytovatel uvede v politice pro vydávání časových razítek nejistotu časového údaje vkládaného do časového razítka. Nejistota časového údaje nesmí přesáhnout 1 sekundu.

(4) V případě výskytu události, která má vliv na bezpečnost vydání kvalifikovaného časového razítka nebo na přesnost časového údaje, který je do něj vkládán, poskytovatel

1. a) ihned přeruší vydávání kvalifikovaných časových razítek, a to do doby, kdy obnoví řádný stav v souladu s postupy stanovenými v plánu pro zvládání krizových situací a v plánu obnovy,
2. b) zveřejní informaci o této události způsobem umožňujícím dálkový přístup,
3. c) bez prodlení informuje o této události subjekty, se kterými má uzavřeny smluvní vztahy, které mohou být touto událostí dotčeny,
4. d) oznámí informaci o této události ministerstvu.

(5) Pokud událost podle odstavce 4 má vliv na již vydaná kvalifikovaná časová razítka a v důsledku toho na ně nelze spoléhat, poskytovatel zveřejní bezodkladně informaci o této události rovněž nejméně v jednom celostátně distribuovaném deníku stanoveném v politice pro vydávání kvalifikovaných časových razítek; součástí tohoto oznámení jsou údaje, na jejichž základě je možné určit, která vydaná kvalifikovaná časová razítka byla touto událostí dotčena.

(6) Při správě dat podle odstavce 1 poskytovatel postupuje obdobně jako při správě dat pro označování vydávaných kvalifikovaných certifikátů a kvalifikovaných systémových certifikátů podle § 13 odst. 2 až 6.

(7) Predikce světové koordinované časové stupnice měřidlem času probíhá v prostorech, které jsou zabezpečeny obdobně jako zabezpečené oblasti kategorie „Důvěrné“ podle zvláštního právního předpisu¹).

(8) Při pořizování, uchovávání a zpracovávání dokumentace a informací souvisejících s vydáváním kvalifikovaných časových razítek poskytovatel postupuje podle § 12, přičemž typy zaznamenávaných událostí jsou specifikovány českou technickou normou uvedenou v bodu 3 přílohy č. 1 této vyhlášky.

§ 20

Bezpečný kryptografický modul

(1) Kryptografický modul, který poskytovatel používá pro činnosti stanovené zákonem a touto vyhláškou a který splňuje bezpečnostní požadavky na tyto moduly stanovené

1. a) ve standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, nebo
2. b) ve standardu, který je uveden v bodu 11 nebo 12 přílohy č. 1 této vyhlášky, a to minimálně pro úroveň 3,

je bezpečným kryptografickým modulem.

(2) Bezpečnost postupů, které bezpečný kryptografický modul podporují, je dostačující, pokud

1. a) tyto postupy splňují bezpečnostní požadavky na tyto moduly uvedené ve standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky,
2. b) je modul používán pouze pro označování vydávaných kvalifikovaných certifikátů, kvalifikovaných systémových certifikátů, seznamu zneplatněných certifikátů nebo pro označování kvalifikovaných časových razítek,
3. c) je nasazení a používání modulu v souladu s technickou dokumentací modulu výrobce nebo dodavatele,
4. d) je modul umístěn a používán v prostorech, které jsou zabezpečeny obdobně jako zabezpečené oblasti kategorie „Důvěrné“ podle zvláštního právního předpisu¹).

(3) Splnění požadavků stanovených v odstavci 1 písm. a) se dokládá dokladem o provedeném hodnocení a certifikaci bezpečného kryptografického modulu podle požadavků standardu pro tyto moduly, který je uveden v bodu 8 přílohy č. 1 této vyhlášky, nebo podle požadavků standardu pro tyto moduly, který je uveden v bodu 9 přílohy č. 1 této vyhlášky.

(4) Splnění požadavků stanovených v odstavci 1 písm. b) se dokládá dokladem o výsledku hodnocení bezpečného kryptografického modulu podle odstavce 1 písm. b) a dokladem o vyhodnocení shody podle § 9 odst. 2 písm. f) zákona.

(5) Splnění požadavků stanovených v odstavci 2 se dokládá prostřednictvím

1. a) bezpečnostní dokumentace,
2. b) podrobného popisu funkcí a technickou dokumentací bezpečného kryptografického modulu v rozsahu nutném pro jeho pořízení.

(6) Pokud doklad podle odstavce 3 nebo odstavce 4 pozbyl platnosti a poskytovatel je schopen zajistit do doby nahrazení kryptografického modulu bezpečným kryptografickým modulem bezpečnost jeho funkcí na stejné úrovni, jakou zajišťoval v době před pozbytím platnosti dokladu, může modul používat za podmínky, že

1. a) bez zbytečného odkladu uplatní opatření, která přiměřeně eliminují rizika, na základě kterých pozbyly tyto doklady platnosti,
2. b) v analýze rizik je jako riziko označen stav, kdy doklad podle odstavce 3 nebo odstavce 4 pozbyl platnosti,
3. c) plán pro zvládání krizových situací stanoví opatření, která poskytovatel uplatní pro zajištění požadované bezpečnosti jeho funkcí,
4. d) zajistí, aby plnění opatření podle písmene c) bylo kontrolováno tak, aby bylo možné kdykoliv zjistit, že tato opatření nejsou uplatňována nebo nejsou uplatňována v plném rozsahu, a ihned zajistit nápravu,
5. e) zahájí akvizici bezpečného kryptografického modulu.

§ 21

Prostředky pro bezpečné vytváření elektronických podpisů

(1) Poskytovatel zajistí, aby prostředky pro bezpečné vytváření elektronických podpisů, které vydává,

1. a) splňovaly požadavky na tyto prostředky stanovené standardem pro tyto prostředky, který je uveden v bodu 10 přílohy č. 1 této vyhlášky,
2. b) měly vyhodnocenou shodu podle § 9 odst. 2 písm. f) zákona,
3. c) byly poskytovatelem připraveny a předány uživateli v souladu s bezpečnostními a funkčními požadavky standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky,
4. d) byly poskytovatelem připraveny a předány uživateli v souladu s technickou a uživatelskou dokumentací jeho výrobce nebo dodavatele.

(2) Splnění požadavků podle odstavce 1 písm. a), c) a d) se dokládá

1. a) dokladem o provedeném hodnocení a certifikaci prostředku podle standardu pro prostředky pro bezpečné vytváření elektronických podpisů, který je uveden v bodu 10 přílohy č. 1 této vyhlášky,
2. b) bezpečnostní dokumentací,
3. c) podrobným popisem funkcí a technickou a uživatelskou dokumentací vyhodnocovaného prostředku; uživatelská dokumentace musí být v českém jazyce.