vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb, 378/2006 Sb., vyhlášené znění

Příloha č. 1

k vyhlášce č. 378/2006 Sb.

SEZNAM NOREM A STANDARDŮ

1. CWA 14167-1 – Security Requirements for Trustworthy Systems Managing Certificates for Electronic Signatures – Part 1: System Security Requirements.
2. ČSN ETSI TS 101 456 – Elektronické podpisy a infrastruktury; Požadavky na postupy certifikační autority vydávající kvalifikované certifikáty.
3. ČSN ETSI TS 102 023 – Elektronické podpisy a infrastruktury; Požadavky na postupy autorit časových razítek.
4. ČSN ISO/IEC 17799 – Informační technologie – Soubor postupů pro management bezpečnosti informací.
5. ČSN BS 7799-2 – Systém managementu bezpečnosti informací – Specifikace s návodem pro použití.
6. ČSN ISO/IEC TR 13335 – Informační technologie – Směrnice pro řízení bezpečnosti IT 1-3.
7. ČSN EN ISO 19011 – Směrnice pro auditování systému managementu jakosti a/nebo systému environmentálního managementu.
8. CWA 14167-2 – Cryptographic module for CSP signing operations with backup - Protection profile – CMCSOB PP.
9. CWA 14167-4 – Cryptographic module for CSP signing operations – Protection profile – CMCSO PP.
10. CWA 14169 – Secure signature-creation devices “EAL 4+”.
11. FIPS PUB 140-1 - Security Requirements for Cryptographic Modules.
12. FIPS PUB 140-2 - Security Requirements for Cryptographic Modules.

Příloha č. 2

k vyhlášce č. 378/2006 Sb.

STRUKTURA CERTIFIKAČNÍ POLITIKY A CERTIFIKAČNÍ PROVÁDĚCÍ SMĚRNICE

1. Úvod
1. 1.1 Přehled
2. 1.2 Název a jednoznačné určení dokumentu
3. 1.3 Participující subjekty
  1. 1.3.1 Certifikační autority (dále „CA“)
  2. 1.3.2 Registrační autority (dále „RA“)
  3. 1.3.3 Držitelé kvalifikovaných certifikátů a podepisující nebo označující osoby, kteří požádali o vydání kvalifikovaného certifikátu nebo kvalifikovaného systémového certifikátu (dále certifikátu), a kterým byl certifikát vydán
  4. 1.3.4 Spoléhající se strany
  5. 1.3.5 Jiné participující subjekty
1. 1.4 Použití certifikátu
  1. 1.4.1 Přípustné použití certifikátu
  2. 1.4.2 Omezení použití certifikátu
1. 1.5 Správa politiky
  1. 1.5.1 Organizace spravující certifikační politiku nebo certifikační prováděcí směrnici
  2. 1.5.2 Kontaktní osoba organizace spravující certifikační politiku nebo certifikační prováděcí směrnici
  3. 1.5.3 Subjekt odpovědný za rozhodování o souladu postupů poskytovatele s postupy jiných poskytovatelů certifikačních služeb
  4. 1.5.4 Postupy při schvalování souladu podle 1.5.3
1. 1.6 Přehled použitých pojmů a zkratek

2. Odpovědnost za zveřejňování a úložiště informací a dokumentace
1. 2.1 Úložiště informací a dokumentace
2. 2.2 Zveřejňování informací a dokumentace
3. 2.3 Periodicita zveřejňování informací
4. 2.4 Řízení přístupu k jednotlivým typům úložišť

3. Identifikace a autentizace
1. 3.1 Pojmenování
  1. 3.1.1 Typy jmen
  2. 3.1.2 Požadavek na významovost jmen
  3. 3.1.3 Anonymita a používání pseudonymu
  4. 3.1.4 Pravidla pro interpretaci různých forem jmen
  5. 3.1.5 Jedinečnost jmen
  6. 3.1.6 Obchodní značky
1. 3.2 Počáteční ověření identity
  1. 3.2.1 Ověřování souladu dat, tj. postup při ověřování, zda má osoba data pro vytváření elektronických podpisů odpovídající datům pro ověřování elektronických podpisů nebo data pro vytváření elektronických značek odpovídající datům pro ověřování elektronických značek
  2. 3.2.2 Ověřování identity právnické osoby nebo organizační složky státu
  3. 3.2.3 Ověřování identity fyzické osoby
  4. 3.2.4 Neověřené informace vztahující se k držiteli certifikátu nebo podepisující či označující osobě
  5. 3.2.5 Ověřování specifických práv
  6. 3.2.6 Kritéria pro interoperabilitu
1. 3.3 Identifikace a autentizace při zpracování požadavků na výměnu dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek v certifikátu
  1. 3.3.1 Identifikace a autentizace při rutinní výměně dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek a jim odpovídajících dat ověřování elektronických podpisů nebo dat pro ověřování elektronických značek (dále „párová data“)
  2. 3.3.2 Identifikace a autentizace při výměně párových dat po zneplatnění certifikátu
1. 3.4 Identifikace a autentizace při zpracování požadavků na zneplatnění certifikátu

4. Požadavky na životní cyklus certifikátu
1. 4.1 Žádost o vydání certifikátu
  1. 4.1.1 Subjekty oprávněné podat žádost o vydání certifikátu
  2. 4.1.2 Registrační proces a odpovědnosti poskytovatele a žadatele
1. 4.2 Zpracování žádosti o certifikát
  1. 4.2.1 Identifikace a autentizace
  2. 4.2.2 Přijetí nebo zamítnutí žádosti o certifikát
  3. 4.2.3 Doba zpracování žádosti o certifikát
1. 4.3 Vydání certifikátu
  1. 4.3.1 Úkony CA v průběhu vydávání certifikátu
  2. 4.3.2 Oznámení o vydání certifikátu držiteli certifikátu, podepisující nebo označující osobě
1. 4.4 Převzetí vydaného certifikátu
  1. 4.4.1 Úkony spojené s převzetím certifikátu
  2. 4.4.2 Zveřejňování vydaných certifikátů poskytovatelem
  3. 4.4.3 Oznámení o vydání certifikátu jiným subjektům
1. 4.5 Použití párových dat a certifikátu
  1. 4.5.1 Použití dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek a certifikátu držitelem certifikátu, podepisující nebo označující osobou
  2. 4.5.2 Použití dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek a certifikátu spoléhající se stranou
1. 4.6 Obnovení certifikátu
  1. 4.6.1 Podmínky pro obnovení certifikátu
  2. 4.6.2 Subjekty oprávněné požadovat obnovení certifikátu
  3. 4.6.3 Zpracování požadavku na obnovení certifikátu
  4. 4.6.4 Oznámení o vydání obnoveného certifikátu držiteli certifikátu, podepisující nebo označující osobě
  5. 4.6.5 Úkony spojené s převzetím obnoveného certifikátu
  6. 4.6.6 Zveřejňování vydaných obnovených certifikátů poskytovatelem
  7. 4.6.7 Oznámení o vydání obnoveného certifikátu jiným subjektům
1. 4.7 Výměna dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek v certifikátu
  1. 4.7.1 Podmínky pro výměnu dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek v certifikátu
  2. 4.7.2 Subjekty oprávněné požadovat výměnu dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek v certifikátu
  3. 4.7.3 Zpracování požadavku na výměnu dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek
  4. 4.7.4 Oznámení o vydání certifikátu s vyměněnými daty pro ověřování elektronických podpisů nebo daty pro ověřování elektronických značek podepisující nebo označující osobě
  5. 4.7.5 Úkony spojené s převzetím certifikátu s vyměněnými daty pro ověřování elektronických podpisů nebo daty pro ověřování elektronických značek
  6. 4.7.6 Zveřejňování vydaných certifikátů s vyměněnými daty pro ověřování elektronických podpisů nebo daty pro ověřování elektronických značek
  7. 4.7.7 Oznámení o vydání certifikátu s vyměněnými daty pro ověřování elektronických podpisů nebo daty pro ověřování elektronických značek jiným subjektům
1. 4.8 Změna údajů v certifikátu
  1. 4.8.1 Podmínky pro změnu údajů v certifikátu
  2. 4.8.2 Subjekty oprávněné požadovat změnu údajů v certifikátu
  3. 4.8.3 Zpracování požadavku na změnu údajů v certifikátu
  4. 4.8.4 Oznámení o vydání certifikátu se změněnými údaji podepisující nebo označující osobě
  5. 4.8.5 Úkony spojené s převzetím certifikátu se změněnými údaji
  6. 4.8.6 Zveřejňování vydaných certifikátů se změněnými údaji
  7. 4.8.7 Oznámení o vydání certifikátu se změněnými údaji jiným subjektům
1. 4.9 Zneplatnění a pozastavení platnosti certifikátu
  1. 4.9.1 Podmínky pro zneplatnění certifikátu
  2. 4.9.2 Subjekty oprávněné žádat o zneplatnění certifikátu
  3. 4.9.3 Požadavek na zneplatnění certifikátu
  4. 4.9.4 Doba odkladu požadavku na zneplatnění certifikátu
  5. 4.9.5 Maximální doba, za kterou musí poskytovatel realizovat požadavek na zneplatnění certifikátu
  6. 4.9.6 Povinnosti spoléhajících se stran při ověřování, zda nebyl certifikát zneplatněn
  7. 4.9.7 Periodicita vydávání seznamu zneplatněných certifikátů
  8. 4.9.8 Maximální zpoždění při vydávání seznamu zneplatněných certifikátů
  9. 4.9.9 Možnost ověřování statutu certifikátu on-line (dále „OCSP“)
  10. 4.9.10 Požadavky při ověřování statutu certifikátu on-line
  11. 4.9.11 Jiné způsoby oznamování zneplatnění certifikátu
  12. 4.9.12 Případné odlišnosti postupu zneplatnění v případě kompromitace dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  13. 4.9.13 Podmínky pro pozastavení platnosti certifikátu
  14. 4.9.14 Subjekty oprávněné požadovat pozastavení platnosti certifikátu
  15. 4.9.15 Zpracování požadavku na pozastavení platnosti certifikátu
  16. 4.9.16 Omezení doby pozastavení platnosti certifikátu
1. 4.10 Služby související s ověřováním statutu certifikátu
  1. 4.10.1 Funkční charakteristiky
  2. 4.10.2 Dostupnost služeb
  3. 4.10.3 Další charakteristiky služeb statutu certifikátu
1. 4.11 Ukončení poskytování služeb pro držitele certifikátu, podepisující nebo označující osobu
2. 4.12 Úschova dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek u důvěryhodné třetí strany a jejich obnova
  1. 4.12.1 Politika a postupy při úschově a obnovování dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  2. 4.12.2 Politika a postupy při zapouzdřování a obnovování šifrovacího klíče pro relaci

5. Management, provozní a fyzická bezpečnost
1. 5.1 Fyzická bezpečnost
  1. 5.1.1 Umístění a konstrukce
  2. 5.1.2 Fyzický přístup
  3. 5.1.3 Elektřina a klimatizace
  4. 5.1.4 Vlivy vody
  5. 5.1.5 Protipožární opatření a ochrana
  6. 5.1.6 Ukládání médií
  7. 5.1.7 Nakládání s odpady
  8. 5.1.8 Zálohy mimo budovu
1. 5.2 Procesní bezpečnost
  1. 5.2.1 Důvěryhodné role
  2. 5.2.2 Počet osob požadovaných na zajištění jednotlivých činností
  3. 5.2.3 Identifikace a autentizace pro každou roli
  4. 5.2.4 Role vyžadující rozdělení povinností
1. 5.3 Personální bezpečnost
  1. 5.3.1 Požadavky na kvalifikaci, zkušenosti a bezúhonnost
  2. 5.3.2 Posouzení spolehlivosti osob
  3. 5.3.3 Požadavky na přípravu pro výkon role, vstupní školení
  4. 5.3.4 Požadavky a periodicita školení
  5. 5.3.5 Periodicita a posloupnost rotace pracovníků mezi různými rolemi
  6. 5.3.6 Postihy za neoprávněné činnosti zaměstnanců
  7. 5.3.7 Požadavky na nezávislé zhotovitele (dodavatele)
  8. 5.3.8 Dokumentace poskytovaná zaměstnancům
1. 5.4 Auditní záznamy (logy)
  1. 5.4.1 Typy zaznamenávaných událostí
  2. 5.4.2 Periodicita zpracování záznamů
  3. 5.4.3 Doba uchování auditních záznamů
  4. 5.4.4 Ochrana auditních záznamů
  5. 5.4.5 Postupy pro zálohování auditních záznamů
  6. 5.4.6 Systém shromažďování auditních záznamů (interní nebo externí)
  7. 5.4.7 Postup při oznamování události subjektu, který ji způsobil
  8. 5.4.8 Hodnocení zranitelnosti
1. 5.5 Uchovávání informací a dokumentace
  1. 5.5.1 Typy informací a dokumentace, které se uchovávají
  2. 5.5.2 Doba uchování uchovávaných informací a dokumentace
  3. 5.5.3 Ochrana úložiště uchovávaných informací a dokumentace
  4. 5.5.4 Postupy při zálohování uchovávaných informací a dokumentace
  5. 5.5.5 Požadavky na používání časových razítek při uchovávání informací a dokumentace
  6. 5.5.6 Systém shromažďování uchovávaných informací a dokumentace (interní nebo externí)
  7. 5.5.7 Postupy pro získání a ověření uchovávaných informací a dokumentace
1. 5.6 Výměna dat pro ověřování elektronických značek v nadřízeném kvalifikovaném systémovém certifikátu poskytovatele
2. 5.7 Obnova po havárii nebo kompromitaci
  1. 5.7.1 Postup v případě incidentu a kompromitace
  2. 5.7.2 Poškození výpočetních prostředků, softwaru nebo dat
  3. 5.7.3 Postup při kompromitaci dat pro vytváření elektronických značek poskytovatele
  4. 5.7.4 Schopnost obnovit činnost po havárii
1. 5.8 Ukončení činnosti CA nebo RA

6. Technická bezpečnost
1. 6.1 Generování a instalace párových dat
  1. 6.1.1 Generování párových dat
  2. 6.1.2 Předání dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek podepisující nebo označující osobě
  3. 6.1.3 Předání dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek poskytovateli certifikačních služeb
  4. 6.1.4 Poskytování dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek certifikační autoritou spoléhajícím se stranám
  5. 6.1.5 Délky párových dat
  6. 6.1.6 Generování parametrů dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek a kontrola jejich kvality
  7. 6.1.7 Omezení pro použití dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek
1. 6.2 Ochrana dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek a bezpečnost kryptografických modulů
  1. 6.2.1 Standardy a podmínky používání kryptografických modulů
  2. 6.2.2 Sdílení tajemství
  3. 6.2.3 Úschova dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  4. 6.2.4 Zálohování dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  5. 6.2.5 Uchovávání dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  6. 6.2.6 Transfer dat pro vytváření elektronických značek do kryptografického modulu nebo z kryptografického modulu
  7. 6.2.7 Uložení dat pro vytváření elektronických značek v kryptografickém modulu
  8. 6.2.8 Postup při aktivaci dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  9. 6.2.9 Postup při deaktivaci dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  10. 6.2.10 Postup při zničení dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek
  11. 6.2.11 Hodnocení kryptografických modulů
1. 6.3 Další aspekty správy párových dat
  1. 6.3.1 Uchovávání dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek
  2. 6.3.2 Maximální doba platnosti certifikátu vydaného podepisující nebo označující osobě a párových dat
1. 6.4 Aktivační data
  1. 6.4.1 Generování a instalace aktivačních dat
  2. 6.4.2 Ochrana aktivačních dat
  3. 6.4.3 Ostatní aspekty aktivačních dat
1. 6.5 Počítačová bezpečnost
  1. 6.5.1 Specifické technické požadavky na počítačovou bezpečnost
  2. 6.5.2 Hodnocení počítačové bezpečnosti
1. 6.6 Bezpečnost životního cyklu
  1. 6.6.1 Řízení vývoje systému
  2. 6.6.2 Kontroly řízení bezpečnosti
  3. 6.6.3 Řízení bezpečnosti životního cyklu
1. 6.7 Síťová bezpečnost
2. 6.8 Časová razítka

7. Profily certifikátu, seznamu zneplatněných certifikátů a OCSP
1. 7.1 Profil certifikátu
  1. 7.1.1 Číslo verze
  2. 7.1.2 Rozšiřující položky v certifikátu
  3. 7.1.3 Objektové identifikátory (dále „OID“) algoritmů
  4. 7.1.4 Způsoby zápisu jmen a názvů
  5. 7.1.5 Omezení jmen a názvů
  6. 7.1.6 OID certifikační politiky
  7. 7.1.7 Rozšiřující položka „Policy Constraints“
  8. 7.1.8 Syntaxe a sémantika rozšiřující položky kvalifikátorů politiky „Policy Qualifiers“
  9. 7.1.9 Způsob zápisu kritické rozšiřující položky „Certificate Policies“
1. 7.2 Profil seznamu zneplatněných certifikátů
  1. 7.2.1 Číslo verze
  2. 7.2.2 Rozšiřující položky seznamu zneplatněných certifikátů a záznamů v seznamu zneplatněných certifikátů
1. 7.3 Profil OCSP
  1. 7.3.1 Číslo verze
  2. 7.3.2 Rozšiřující položky OCSP

8. Hodnocení shody a jiná hodnocení
1. 8.1 Periodicita hodnocení nebo okolnosti pro provedení hodnocení
2. 8.2 Identita a kvalifikace hodnotitele
3. 8.3 Vztah hodnotitele k hodnocenému subjektu
4. 8.4 Hodnocené oblasti
5. 8.5 Postup v případě zjištění nedostatků
6. 8.6 Sdělování výsledků hodnocení

9. Ostatní obchodní a právní záležitosti
1. 9.1 Poplatky
  1. 9.1.1 Poplatky za vydání nebo obnovení certifikátu
  2. 9.1.2 Poplatky za přístup k certifikátu na seznamu vydaných certifikátů
  3. 9.1.3 Poplatky za informace o statutu certifikátu nebo o zneplatnění certifikátu
  4. 9.1.4 Poplatky za další služby
  5. 9.1.5 Jiná ustanovení týkající se poplatků (vč. refundací)
1. 9.2 Finanční odpovědnost
  1. 9.2.1 Krytí pojištěním
  2. 9.2.2 Další aktiva a záruky
  3. 9.2.3 Pojištění nebo krytí zárukou pro koncové uživatele
1. 9.3 Citlivost obchodních informací
  1. 9.3.1 Výčet citlivých informací
  2. 9.3.2 Informace mimo rámec citlivých informací
  3. 9.3.3 Odpovědnost za ochranu citlivých informací
1. 9.4 Ochrana osobních údajů
  1. 9.4.1 Politika ochrany osobních údajů
  2. 9.4.2 Osobní údaje
  3. 9.4.3 Údaje, které nejsou považovány za citlivé
  4. 9.4.4 Odpovědnost za ochranu osobních údajů
  5. 9.4.5 Oznámení o používání důvěrných informací a souhlas s používáním citlivých informací
  6. 9.4.6 Poskytnutí citlivých informací pro soudní či správní účely
  7. 9.4.7 Jiné okolnosti zpřístupňování osobních údajů
1. 9.5 Práva duševního vlastnictví
2. 9.6 Zastupování a záruky
  1. 9.6.1 Zastupování a záruky CA
  2. 9.6.2 Zastupování a záruky RA
  3. 9.6.3 Zastupování a záruky držitele certifikátu, podepisující nebo označující osoby
  4. 9.6.4 Zastupování a záruky spoléhajících se stran
  5. 9.6.5 Zastupování a záruky ostatních zúčastněných subjektů
1. 9.7 Zřeknutí se záruk
2. 9.8 Omezení odpovědnosti
3. 9.9 Odpovědnost za škodu, náhrada škody
4. 9.10 Doba platnosti, ukončení platnosti
  1. 9.10.1 Doba platnosti
  2. 9.10.2 Ukončení platnosti
  3. 9.10.3 Důsledky ukončení a přetrvání závazků
1. 9.11 Komunikace mezi zúčastněnými subjekty
2. 9.12 Změny
  1. 9.12.1 Postup při změnách
  2. 9.12.2 Postup při oznamování změn
  3. 9.12.3 Okolnosti, při kterých musí být změněn OID
1. 9.13 Řešení sporů
2. 9.14 Rozhodné právo
3. 9.15 Shoda s právními předpisy
4. 9.16 Další ustanovení
  1. 9.16.1 Rámcová dohoda
  2. 9.16.2 Postoupení práv
  3. 9.16.3 Oddělitelnost ustanovení
  4. 9.16.4 Zřeknutí se práv
  5. 9.16.5 Vyšší moc
1. 9.17 Další opatření