НАРЕДБА за дейността на доставчиците на удостоверителни услуги, реда за нейното прекратяване и за изискванията при предоставяне на удостоверителни услуги
НАРЕДБА за дейността на доставчиците на удостоверителни услуги, реда за нейното прекратяване и за изискванията при предоставяне на удостоверителни услуги
(Обн. ДВ бр. 15/2002; изм. и доп. ДВ бр. 85/2011)
Глава първа ОБЩИ ПОЛОЖЕНИЯ
Чл. 1. С наредбата се уреждат: 1. дейността на доставчиците на удостоверителни услуги, установили се на територията на Република България, и редът за прекратяване на дейността им; 2. изискванията относно формата на удостоверенията за квалифициран електронен подпис, издавани от доставчиците на удостоверителни услуги; 3. изискванията за съхраняване на информация за услугите, предоставени от доставчиците на удостоверителни услуги; 4. изискванията за съдържанието, формата и източниците във връзка с разкриваната информация от доставчиците на удостоверителни услуги; 5. редът за водене на електронен регистър на издадените удостоверения от доставчиците на удостоверителни услуги; 6. изискванията към лицата по чл. 32, ал. 2, т. 4 от Закона за електронния документ и електронния подпис (ЗЕДЕП), както и условията и редът за включването им в списъка по чл. 32, ал. 3 от ЗЕДЕП; 7. изискванията към удостоверенията за време, формата и правилата за тяхното издаване, както и редът за водене на електронен регистър на издадените удостоверения за време от доставчиците на удостоверителни услуги.
Глава втора ДЕЙНОСТ НА ДОСТАВЧИЦИТЕ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ Раздел I Общи изисквания към дейността
Чл. 4.
(1) Доставчик на удостоверителни услуги по издаване на удостоверение за усъвършенстван електронен подпис е длъжен да уведоми незабавно Комисията за регулиране на съобщенията за започването на дейността си.
(2) Доставчик на удостоверителни услуги по издаване на удостоверения за универсален електронен подпис може да започне дейността си само след регистрация от Комисията за регулиране на съобщенията.
Чл. 5.
(1) Дейността на доставчик на удостоверителни услуги по издаване на удостоверения за квалифициран електронен подпис и водене на регистър за тях обхваща: 1. осигуряване чрез използване на собствени или на чужди технически и програмни средства и персонал на следните дейности: а) приемане на искането, съдържащо точни и пълни данни за автора, съответно титуляря, както и на специфични данни за тях, когато доставчикът на удостоверителни услуги издава удостоверения за квалифициран електронен подпис при условията на чл. 24, ал. 1, т. 4 и 8 ЗЕДЕП; б) проверка на данните, предоставени по реда на буква „а“, с изключение на специфичните данни, когато те не са публично достъпни; в) създаване на удостоверение на базата на установената идентичност и валидни данни при приемането и проверката; г) пазенето на регистъра на издадените удостоверения; 2. извършване чрез използване на собствени технически и програмни средства и персонал на следните дейности: а) подписване на удостоверението; б) публикуване на удостоверението в регистъра; в) управление на издадено удостоверение — отразяване на промените, спиране, възобновяване, прекратяване; г) публикуване на списък на прекратените удостоверения в регистъра; 3. доставчик на удостоверителни услуги предоставя достъп на всяко трето лице до списъците на издадените и прекратените удостоверения при спазване изискванията на чл. 28, ал. 2 от ЗЕДЕП.
(2) Дейността на доставчик на удостоверителни услуги може да включва и: 1. създаване на двойка ключове — частен и публичен, за квалифициран електронен подпис; 2. предоставяне на потребителя на надеждна среда за създаване на електронен подпис; 3. издаване на удостоверение за времето на представяне на електронен подпис, създаден за определен електронен документ.
(3) При предоставяне на услугата по ал. 2, т. 1 доставчикът на удостоверителни услуги създава двойката ключове, както и останалата информация, необходима за създаване на електронния подпис, и след доставяне на частния ключ на автора унищожава своето копие за частния ключ и данните за създаването му без възможност за възстановяване.
(4) При предоставяне на услугата по ал. 2, т. 3 доставчикът на удостоверителни услуги следва: 1. да съобразява относимите международни препоръки и спецификации, като ETSI TS 102 023 v.1.2.1 (2003-01) Policy Requirements for time-stamping authorities, IETF RFC 3628: Requirements for Time-Stamping Authorities; 2. да предоставя точно калибровано време спрямо UTC (Coordinated Universal Time) с точност до 0,5 сек; 3. да гарантира публичен достъп за получаване и проверка на издадените удостоверения за време.
Чл. 6.
(1) Дейността на доставчика на удостоверителни услуги трябва да е организирана така, че създаването на квалифициран електронен подпис и издаването на удостоверение за квалифициран електронен подпис, както и дейността по издаване на удостоверение за време да са отделени от останалите му дейности.
(2) Доставчикът на удостоверителни услуги е длъжен да организира техническите поделения така, че функциите, които спадат към предлагането на услугите по чл. 5, да са отделени както при нормална работа, така и при особени експлоатационни условия, които задължително се документират, от функции и приложения, които не са свързани с дейността му като доставчик на удостоверителни услуги.
Чл. 7. Доставчик, който предлага удостоверителни услуги за квалифициран електронен подпис, е длъжен да вземе подходящи мерки за сигурност в съответствие с общоприети в международната практика документи (стандарти, технически спецификации, препоръки, ръководства и др.).
Чл. 8.
(1) Създаването, съхраняването и използването на частния ключ на доставчика на удостоверителни услуги се извършват съвместно най-малко от двама надлежно овластени служители.
(2) Частният ключ на доставчика на удостоверителни услуги се архивира, съхранява се в архивиран вид и се възстановява при условията на ал. 1.
(3) Функциите по ал. 1 и 2 се възлагат в писмена форма от управителния орган на доставчика.
Чл. 9.
(1) Физическата защита на частния ключ на доставчика на удостоверителни услуги се осъществява посредством определяне на ясно дефинирани периметри (физически бариери) около системите за издаване и управление на удостоверението.
(2) Физически достъп до защитената част от помещенията на доставчик на удостоверителни услуги имат само надлежно овластени служители в съответствие с техните функционални задължения.
Чл. 10. Доставчикът на удостоверителни услуги поддържа разполагаеми средства или сключва договор за застраховка, които му осигуряват възможност за осъществяване на дейността му по предоставяне на удостоверителни услуги, включително покриват вредите от неизпълнение на задълженията му.
Чл. 11. Застраховката на доставчиците на удостоверителни услуги покрива отговорността за причинените на автора, съответно титуляря, на квалифицирания електронен подпис и на всички трети лица неимуществени и имуществени вреди, за които застрахованите отговарят съгласно българското законодателство или законодателството на страната, в която е настъпила вредата.
Чл. 14.
(1) Доставчиците на удостоверителни услуги са длъжни да имат застраховка за следните минимални застрахователни суми: 1. 100 000 лв. за всяко увредено лице от всяко събитие — за доставчиците, издаващи само удостоверения с ограничение на действието на подписа до определен имуществен интерес; 2. 500 000 лв. за всяко увредено лице от всяко събитие — за доставчиците, издаващи удостоверения без ограничения на действието на подписа; 3. 600 000 лв. за всяко увредено лице от всяко събитие — за доставчиците, издаващи удостоверения за универсален електронен подпис.
(2) Застрахователите могат да предлагат доброволна застраховка за застрахователни суми над сумите по ал. 1.
(3) Когато застрахователна полица по доброволно застраховане е сключена при условията на наредбата за по-големи застрахователни суми от минималните по ал. 1, се счита, че задължителната застраховка е включена в нея.
Чл. 15.
(1) Застрахователната премия се заплаща еднократно, освен ако в застрахователната полица е уговорено друго.
(2) При разсрочено плащане, ако се закъснее с плащането на разсрочените вноски от премията, застраховката се прекратява към 17 ч. на деня на падежа, като застрахователят уведомява Комисията за регулиране на съобщенията за прекратяването. Това обстоятелство следва да бъде отразено в застрахователната полица. При заплащане на разсрочената вноска застраховката се възстановява считано от нула часа на деня, следващ плащането.
Чл. 16.
(1) При настъпване на застрахователно събитие, при което са причинени вреди, застрахованият е длъжен в срок до 7 дни писмено да уведоми застрахователя за събитието. Уведомяването може да се извърши и от увреденото лице.
(2) В случай на предявен иск към застрахования за доказване на събитието и неговата отговорност, както и на размера на вредите той е длъжен да поиска привличане на застрахователя в процеса.
Чл. 18. Застрахователят може да предяви регресен иск, когато вредата е причинена умишлено от застрахования.
Раздел III Изискване за разполагаеми средства
Чл. 21.
(1) Доставчикът на удостоверителни услуги е длъжен по време на дейността си да разполага с техническо оборудване и технологии, отговарящи на изискванията на чл. 28, с балансова стойност към момента на съставянето на годишния счетоводен отчет не по-малка от 150 000 лв.
(2) Доставчикът на удостоверителни услуги е длъжен при изготвяне на годишния счетоводен отчет да състави приложение към счетоводния баланс, съдържащо опис на активите, отговарящи на изискванията на чл. 28.
(3) Във всеки момент от дейността си доставчикът на удостоверителни услуги трябва да разполага с парични средства в брой или по банкова сметка в размер не по-малък от 20 000 лв.
(4) Комисията за регулиране на съобщенията може по всяко време да проверява доставчика на удостоверителни услуги за състоянието на разполагаемите средства по ал. 3.
Раздел IV Изисквания по отношение на наетия персонал
Чл. 22.
(1) В зависимост от обхвата на дейността си по чл. 5 доставчикът на удостоверителни услуги е длъжен да има на разположение необходимия брой квалифицирани служители, които във всеки момент от осъществяването на неговата дейност да осигуряват изпълнението на задълженията му.
(2) Техническият персонал на доставчика на удостоверителни услуги трябва да притежава професионални познания най-малко в следните области: 1. технологии за сигурност, криптография, инфраструктура на публични ключове (PKI); 2. технически норми за оценка на сигурността; 3. информационни системи.
Чл. 23. Доставчикът на удостоверителни услуги организира работата на служителите си по начин, който гарантира, че различни лица изпълняват дейностите по: 1. генериране и поддържане на инфраструктурата на публичния ключ на доставчика на удостоверителни услуги; 2. администриране и осигуряване сигурност на системите; 3. създаване и управление на удостоверения за квалифициран електронен подпис, включително създаване на двойка ключове – частен и публичен, за квалифициран електронен подпис, и 4. съхранение на данни и архивиране.
Раздел V Изисквания по отношение на техническото оборудване и технологиите
Чл. 24. Доставчикът на удостоверителни услуги следва да осигури и използва процедури и методи за администриране и управление на сигурността на използваната инфраструктура в съответствие с общоприети в международната практика стандарти за управление на информационната сигурност.
Чл. 25.
(1) Надеждността на използваната система и техническата и криптографската сигурност на осъществяваните чрез нея процеси се считат осигурени, когато техническото оборудване и технологиите, с които разполага доставчикът на удостоверителни услуги, са преминали през успешно проведени проверки.
(2) Методите за оценка на сигурността на използваната система се основават на разработената към стандарта ISO Standard 15408 обща методика за оценка (СЕМ) или други методики, осигуряващи еквивалентна оценка на сигурността.
(3) Системите и техническите средства, които доставчикът на удостоверителни услуги използва за извършване на услугите по създаване, подписване, съхраняване и управление на удостоверенията, трябва да са предназначени и използвани само за тази цел.
(4) Проверките по ал. 1 се извършват на всеки 3 години или при промяна, която засяга надеждността.
Чл. 26. Създаването, съхраняването и използването на частния ключ на доставчика на удостоверителни услуги се извършват в система със защитен профил, определен в съответствие с общите изисквания (СС), ниво на сигурност EAL 4 или по-високо съгласно стандарта ISO 15408 или друга спецификация, определяща еквивалентни нива на сигурността.
Чл. 27.
(1) Доставчикът на удостоверителни услуги е длъжен да поддържа документация за актуалното състояние на използваните от него техническо оборудване и технологии.
(2) Неизпълнението на задължението по ал. 1 е нарушение на изискванията за сигурност.
Чл. 28.
(1) Доставчикът на удостоверителни услуги използва техническо оборудване и технологии, чрез които се изпълняват най-малко следните функции в използваната от него система за издаване и управление на удостоверения за квалифициран електронен подпис: 1. проверки за доказване произхода на получаваната и обменяната информация, свързана с издаването и управлението на удостоверенията; 2. проверка на целостта на обменяните съобщения; 3. подписване на изпращаните съобщения; 4. архивиране на служебните данни и електронното им подписване; 5. поддържане целостта на съхраняваните и обменяните данни, в това число на данните за използваните криптографски ключове; 6. сигурно съхраняване на използваните от доставчика на удостоверителни услуги частни ключове; 7. управление на достъпа до информационните ресурси (данни за създаване подписа на доставчика, удостоверението за квалифициран подпис, списъка на прекратените удостоверения, съхраняваните официални документи); 8. създаване и архивиране на записи от вътрешни проверки, свързани с възникнали критични ситуации по отношение на информационната сигурност.
(2) Доставчикът на удостоверителни услуги чрез използваните техническо оборудване и технологии може да осъществява и следните функции: 1. проверка на квалифицирания електронен подпис в съответствие с чл. 17, ал. 2 от ЗЕДЕП съгласно изискванията в техническите спецификации на CEN/ISSS за електронния подпис; 2. поддържане на он-лайн протокол за статуса на удостоверенията (OCSP); 3. проверка за наличие в удостоверението за квалифициран електронен подпис на уникално име за разпознаване (Dname); 4. съхраняване и използване на частния си ключ с високо ниво на сигурност чрез използване на смарт-карта с парола или персонален идентификатор (PIN) и/или биометричен идентификатор.
Чл. 29.
(1) Когато доставчикът на удостоверителни услуги предлага и услугата по създаване на двойка ключове, той е длъжен да използва устройство за сигурно създаване на подпис (SSCD) със защитен профил съгласно чл. 26.
(2) Утвърдените и поддържани от устройство за сигурно създаване на квалифицирани електронни подписи алгоритми и параметрите им задължително съответстват на: 1. защитния профил по ал. 1; 2. изискванията към обкръжаващата системна среда, свързана със създаването на квалифициран електронен подпис; 3. изискванията към обкръжаващата системна среда, свързана с проверка на квалифициран електронен подпис.
(3) Форматите за квалифицирания електронен подпис следва да са в съответствие с общоприети спецификации, като RFC 2315, PKCS#7.
Раздел VI Поддържане на задължителна документация, свързана с дейността
Чл. 30.
(1) Всеки доставчик на удостоверителни услуги е длъжен да отрази в разработените и поддържани от него документи основните принципи, съгласно които осъществява дейността си.
(2) Целта на документите по ал. 1 е: 1. да се установи съответствието на доставчика с изискванията на ЗЕДЕП, както и надеждността и сигурността на осъществяваната от него дейност, и 2. да направи публични за потребителите предоставяните от доставчика услуги.
Чл. 31. „Политика за предоставяне на удостоверителни услуги“ е документ, който описва политиката на издаване на удостоверения от доставчика и видовете услуги, предоставяни от него, включително услугите по издаване на удостоверения за време.
Чл. 32.
(1) „Практика при предоставяне на удостоверителни услуги“ е документ, разработен в съответствие с изискванията на политиката по чл. 31 и процедурите по чл. 34, който задължително съдържа подробно описание на реализирането на: 1. мерки за сигурност при предоставяне на услугите; 2. издаване, спиране, възобновяване и прекратяване действието на удостоверенията; 3. предоставяне на достъп до удостоверенията.
(2) Практиката по ал. 1 се разработва съгласно общоприетата международна спецификация RFC 3647 или друг еквивалентен документ и съдържа най-малко следното: 1. име/наименование на доставчика на удостоверителни услуги и ЕГН или БУЛСТАТ/ ЕИК; 2. адрес или седалище и адрес на управление на доставчика на удостоверителни услуги; 3. описание на обхвата и приложимостта на предлаганите услуги и поддържаните политики; 4. правила и процедури, които трябва да се изпълняват при издаване и управление (спиране, прекратяване и възобновяване) действието на удостоверенията за квалифицирани електронни подписи, в това число необходимите документи при приемане и проверка на искане за издаване на удостоверение за квалифициран електронен подпис и тези, които се съхраняват от доставчика в зависимост от заявената услуга; 5. списък на поддържаните алгоритми за електронен подпис и защита на данните; 6. срок на действие на удостоверенията за квалифициран електронен подпис; 7. детайлно описание на формата (на отделните полета, в т. ч. на разширенията) на издаваните удостоверения за квалифициран електронен подпис; 8. технология за създаване, проверка, спиране, възобновяване и прекратяване действието на удостоверенията; 9. описание на задълженията и отговорностите на доставчика на удостоверителни услуги, на всички външни лица (ако има такива), участващи в дейността по чл. 5, както и задълженията на автора, съответно титуляря, на квалифицирания електронен подпис; 10. описание на предлаганите услуги по издаване на удостоверения за време.
Чл. 33.
(1) Документите по чл. 31 и 32 са публични и се обединяват в Наръчника за потребителя.
(2) Наръчникът за потребителя има характер на общи условия и е обвързващ за издателя си.
(3) Всяка промяна в Наръчника за потребителя трябва да бъде съобщена на Комисията за регулиране на съобщенията и на заинтересованите лица.
Чл. 34.
(1) Процедурите за сигурност задължително съответстват на общоприетите международни стандарти за информационната сигурност и нейното управление.
(2) Процедурите за сигурност включват най-малко: 1. управленски мерки за сигурност; 2. мерки за информационна сигурност; 3. разполагаеми средства или застраховки; 4. изисквания за надеждност на персонала; 5. мерки за осигуряване на защита и ограничаване на достъпа до отделни устройства и помещения, включително мерките по чл. 9; 6. мерки за осигуряване на защита срещу непозволен достъп до информационните системи; 7. мерки за осигуряване на защита срещу непозволени промени; 8. план за действие при форсмажорни събития и последващо възстановяване на дейността.
Чл. 35.
(1) Процедурите за сигурност не са публични. Достъп до тях има само Комисията за регулиране на съобщенията и нейни служители, осъществяващи функции по контрол.
Чл. 36. Отношенията между доставчика на удостоверителни услуги и автора, съответно титуляря, се уреждат с писмен договор, който включва общите условия и съдържа най-малко: 1. вид и описание на услугите; 2. срок за предоставяне; 3. цени на отделните услуги; 4. специални условия.
Раздел VII Ред за водене и пазене на електронен регистър на удостоверенията
Чл. 37.
(1) Всеки доставчик на удостоверителни услуги е длъжен да води електронен регистър с Х.500 или LDAP или НТТР/HTTPS базиран достъп.
(2) Регистърът по ал. 1 съдържа: 1. удостоверенията за квалифициран електронен подпис, които използва в дейността си като доставчик на удостоверителни услуги; 2. списък на издадените удостоверения за квалифициран електронен подпис; 3. списък на прекратените удостоверения; 4. удостоверения за време за представяне на електронен подпис, създаден за определен електронен документ, в случаите, когато такива се издават от доставчика на удостоверителни услуги; 5. информация по чл. 28, ал. 3 ЗЕДЕП.
Чл. 39. Актуализирането на списъците на действащите и прекратените удостоверения за квалифициран електронен подпис трябва да се извършва най-малко през 3 часа.
Чл. 40. Регистърът трябва да бъде пазен така, че: 1. въвеждането на данни да се извършва само от надлежно овластени служители; 2. извършването на промени на данните да не е възможно; 3. възможността за непозволена намеса да е сведена до минимум.
Раздел VIII Прекратяване на дейността
Чл. 41.
(1) Доставчик на удостоверителни услуги, който желае да прекрати осъществяването на дейността си, е длъжен да уведоми Комисията за регулиране на съобщенията и потребителите си за своето намерение най-късно 4 месеца преди датата на прекратяване.
(2) С уведомлението по ал. 1 доставчикът на удостоверителни услуги информира Комисията за регулиране на съобщенията дали ще осъществи прехвърляне на дейността си към друг доставчик.
(3) Независимо от изискването на ал. 1 доставчикът на удостоверителни услуги е длъжен да уведоми незабавно Комисията за регулиране на съобщенията в случай на започване на производство по обявяване в несъстоятелност на доставчика, производство по ликвидация на доставчика или друго производство по прекратяване на доставчика.
Чл. 44.
(1) Доставчикът на удостоверителни услуги е длъжен да предаде цялата документация, свързана с дейността му по чл. 5, ал. 1, на доставчика, на когото е прехвърлил дейността си.
(2) Когато доставчикът не е прехвърлил дейността си на друг доставчик, той предава документацията по ал. 1 на Комисията за регулиране на съобщенията незабавно след прекратяването на дейността си. Комисията за регулиране на съобщенията поддържа регистър на прекратените удостоверения на доставчик на удостоверителни услуги, прекратил дейността си.
Чл. 45. Доставчик на удостоверителни услуги, който е поел удостоверенията на прекратил дейността си доставчик, е длъжен да ги поддържа до оставащия им срок на действие безплатно за титуляря и при същите условия, при които са издадени.
Глава трета ИЗИСКВАНИЯ ОТНОСНО ФОРМАТА НА УДОСТОВЕРЕНИЯТА, ИЗДАВАНИ ОТ ДОСТАВЧИЦИТЕ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ
Чл. 46.
(1) Представяните в компютърна форма удостоверения за усъвършенстван електронен подпис представляват електронен документ във формат, описан в общопризнати в практиката международни спецификации, използващ стандартен абстрактен език за неговото описание и стандартно двоично кодиране.
(2) За реализиране на възможността за съвместна работа между различните доставчици на удостоверителни услуги следва форматът на удостоверенията по ал. 1 да е възприет за официален общ формат в международната практика.
(3) Комисията за регулиране на съобщенията поддържа и публикува списък на действащи международни спецификации по ал. 1.
Чл. 47.
(1) Форматът на удостоверение за усъвършенстван електронен подпис задължително допуска определяни от доставчика на удостоверителни услуги разширения с определени семантични компоненти или ограничения в съответствие с възприетия профил на удостоверението, характерен за използваните от доставчика приложения в инфраструктурата на публичния ключ.
(2) За формат на удостоверение за усъвършенстван електронен подпис могат да се използват Х.509 (v.2, v. 3, v.4) базирани формати, използващи абстрактния език ASN.1 (Abstract Syntax Notation One).
Чл. 48. При предоставянето на услуги по безжичен път доставчикът на удостоверителни услуги използва система за управление на удостоверяването (CMS), която поддържа възможност за публикуване и търсене на тези удостоверения в безжичния формат WTLS (Wireless Transport Layer Protocol), използван от сървърите WAPs (Wireless Application Protocols), или в друг формат, който дава равни възможности.
Глава четвърта ИЗИСКВАНИЯ ЗА СЪХРАНЯВАНЕ НА ИНФОРМАЦИЯ ЗА УСЛУГИТЕ, ПРЕДОСТАВЕНИ ОТ ДОСТАВЧИЦИТЕ НА УДОСТОВЕРИТЕЛНИ УСЛУГИ
Чл. 49.
(1) Всеки доставчик на удостоверителни услуги поддържа база от данни, в която съхранява информацията за дейността си, свързана с предоставянето на удостоверителни услуги.
(2) При обмен на двойката ключове кодирането им в използваната за тяхното управление база от данни се извършва във формати Х.509 или PKCS#8, или в друг стандартен формат, който дава равни възможности.
Чл. 50.
(1) Базата от данни по чл. 49 задължително съдържа: 1. документите по глава втора, раздел VI; 2. данните за създаване и проверка на квалифицирания електронен подпис на доставчика (частния и публичния ключ), като: а) тези данни трябва да се документират и съхраняват заедно; б) данните за създаване на квалифициран електронен подпис трябва да се съхраняват по начин, който изключва тяхното узнаване; 3. кореспонденцията между доставчика и потребителя, която се отнася до дейността по чл. 5; 4. информация за извършените вътрешни проверки, като всеки запис: а) съдържа: номерация и описание на събитието; датата и часа на появата му; нивото на строгост на проверката; идентификатор на потребителя, причинил събитието; резултат; б) осигурява възможност за своевременно установяване на извършени в него промени; в) осигурява възможност за търсене по периоди.
(2) Достъп до информацията по ал. 1, т. 4 могат да имат само изрично определени служители на доставчика.
Глава пета ИЗИСКВАНИЯ КЪМ ЛИЦАТА ПО ЧЛ. 32, АЛ. 2, Т. 4 ОТ ЗАКОНА ЗА ЕЛЕКТРОННИЯ ДОКУМЕНТ И ЕЛЕКТРОННИЯ ПОДПИС. УСЛОВИЯ И РЕД ЗА ВКЛЮЧВАНЕТО ИМ В СПИСЪКА ПО ЧЛ. 32, АЛ. 3 ОТ ЗАКОНА ЗА ЕЛЕКТРОННИЯ ДОКУМЕНТ И ЕЛЕКТРОННИЯ ПОДПИС
Чл. 51.
(1) Комисията за регулиране на съобщенията определя лица, чиято проверка за спазване от доставчиците на удостоверителни услуги на изискванията по чл. 7 и чл. 21, ал. 1 ЗЕДЕП признава за валидна, като ги включва в публични списъци на проверяващи лица.
(2) Броят на лицата, включени в списъците по ал. 1, не се ограничава.
Чл. 52.
(1) Комисията за регулиране на съобщенията включва в списъка по чл. 51 лица, които докажат възможността си да изпълняват проверяващи функции чрез изпълнение на изискванията на възприети в международната практика документи (стандарти, препоръки, ръководства, технически спецификации и др.).
(2) Лицата по ал. 1 трябва да отговарят на следните общи изисквания: 1. проверяващите лица и техният персонал не трябва да извършват дейности, които биха могли да повлияят на тяхната независимост при извършване на проверките; 2. проверяващите лица трябва да са финансово стабилни и независими; 3. проверяващите лица трябва да осигуряват пълна прозрачност на извършваните от тях дейности и да записват цялата съществена информация, отнасяща се до тези дейности; 4. проверяващите лица трябва да разполагат с необходимия персонал и съоръжения, които да им позволяват да извършват правилно и ефективно техническата и административната дейност; 5. персоналът на проверяващите лица трябва да притежава: а) необходимата техническа и професионална подготовка, включително в областта на технологиите на електронния подпис и свързаната с него сигурност на информационните технологии и системи; б) необходимите знания и опит в областта на извършваните проверки; 6. проверяващите лица трябва да са в състояние да посрещат задълженията си, произтичащи от дейността им, включително да бъдат застраховани; 7. проверяващите лица трябва да осигуряват поверителност на получената информация.
(3) Проверяващите лица могат да преупълномощават други лица за извършване на част или на цялата проверка, като носят отговорност за резултатите от дейността им.
Чл. 53. Комисията за регулиране на съобщенията публикува и поддържа списъци и на документите по чл. 52, ал. 1. ДОПЪЛНИТЕЛНА РАЗПОРЕДБА § 1. По смисъла на наредбата: 1. „Сигурност“ е системно свойство, което е резултат от постигането на следните цели: поверителност, отчетност, цялостност, достъпност и увереност. 2. „Поверителност“ означава, че в определена степен данните в паметта, както и обработваните и предаваните данни не подлежат на неправомерен или случаен достъп и възпроизвеждане. 3. „Отчетност“ означава, че действията на дадена единица могат да бъдат осъществени единствено от тази единица. 4. „Цялостност“ на система или на данни означава, че техническите средства и технологиите са защитени в съответната степен срещу непозволен достъп и изменение. 5. „Достъпност“ означава, че за конкретно приложение са удовлетворени изискванията за защита срещу непозволено или случайно заличаване на данни или отказване на услуга. 6. „Увереност“ означава убеденост, че са постигнати останалите четири цели на сигурността. 7. „Ниво на сигурност“ е степен от йерархичната класификация на сигурността, която показва податливостта на дадена единица към нарушаване на целите на сигурност. 8. „Биометрични средства за идентифициране“ са средства за идентифициране на лица посредством специфични атрибути, отразяващи уникални лични белези, като пръстови отпечатъци, снимка на очни капиляри или гласова снимка. 9. „Инфраструктура на публичен ключ“ (Public Кеу Infrastructure—PKI) е съвкупността от хардуера, софтуера, персонала и документите по глава втора, раздел VI, необходими за издаването, управлението и прекратяването на удостоверенията за електронен подпис. 10. „Профил (досие) на удостоверението“ е специфичен документ, различаващ се от една стандартна спецификация на удостоверението (каквато е спецификацията Х.509 на ITU—Т във версиите си от 1 до 4) по това, че дефинира определени ограничения (част от които по същество оформят изискванията към формата на удостоверението) върху комбинации от условия, действия и др., които могат или не могат да съществуват в различните типове удостоверения, използвани от различни страни, организации, региони и пр. 11. „Х.500 препоръки“ (Х.500 Recommendations) е серия от стандартни препоръки на ITU, които специфицират протокола на регистърните услуги. 12. „Протокол за достъп до регистъра“ (Directory Access Protocol—DAP) е протокол, използван за реализиране на достъпа до информацията в регистъра. 13. „Опростен протокол за достъп до регистъра“ (Lightweight Directory Access Protocol—LDAP) е Интернет стандарт за обикновени (прости) регистри, представляващ глобален модел на регистърни услуги, опиращ се на протокола ТСР/IP. Дефиниран е в стандарта IETF RFC 1777 „The Lightweight Directory Access Protocol“. 14. „Стандарти за абстрактния език ASN.1“ (Abstract Syntax Notation One) е серия от международни стандарти, публикувани съвместно от ISO, IEC и ITU, разделени на две групи. Първата група съдържа спецификациите ITU Х.680— Х.683 (ISO/IEC 8824-1 до 8824-4) на абстрактния език. Втората група съдържа спецификациите за кодиранията на този език—ITU Х.690 (ISO/IEC 8825-1) за BER (Basic Encoding Rules), DER (Distinguished Encoding Rules) и CER (Canonical Encoding Rules) и ITU Х.691 (ISO/IEC 8825-2) за PER (Packed Encoding Rules). 15. „Защитен механизъм за създаване на електронен подпис“ е механизъм за създаване на електронен подпис, който отговаря на изискванията на чл. 17, ал. 1 ЗЕДЕП. 16. „Данни за проверка на подписа“ са данни, като кодове и публични криптографски ключове, използвани за проверка на електронния подпис. 17. „Механизъм за проверка на подписа“ е конфигуриран софтуер или хардуер, използван за прилагане на данните за проверка на подписа. 18. „Персонален идентифициращ номер“ (PIN) е поредица от символи, която служи като идентификатор на притежателя на средството за идентификация. ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ § 2. Контролът по изпълнението на наредбата се възлага на Комисията за регулиране на съобщенията. § 3. Наредбата се приема на основание чл. 21, ал. 2, чл. 28, ал. 4, чл. 32, ал. 4 и чл. 37, ал. 3 ЗЕДЕП.