Z á k o n

Stanovisko k návrhu zákona o elektronickom podpise,

vypracovanom MH SR

Doc. RNDr. Daniel Olejár, CSc.

Úvod

Predložené stanovisko je vypracované na základe materiálov:

Návrhu zákona o elektronickom podpise,

Dôvodovej správy k návrhu zákona,

Téz vyhlášok k návrhu zákona o elektronickom podpise

Pripomienok z medzirezortného pripomienkového konania.

Predkladaný materiál sa sústreďuje na posúdenie toho, či na základe zákona a navrhovaných vyhlášok je možné vybudovať fungujúcu Public key infrastructure (PKI), či je uvedený zákon kompatibilný s Direktívou 1999/93/EC Európskej únie a platnými medzinárodnými štandardami, do akej miery je kompatibilný s existujúcimi zákonmi o elektronickom podpise, platnými v členských krajinách EU. Konkrétne, cieľom skúmania je posúdiť úplnosť zákona (či popisuje všetky zásadné subjekty, objekty, ich vzájomné vzťahy a operačné koncepty potrebné na vytvorenie PKI) a neprotirečivosť (či zákon nie je v rozpore so sebou samým, normami a Direktívou). Materiál pozostáva zo súborného stanoviska k predloženým materiálom a príloh, v ktorých sa uvádzajú výhrady, pripomienky a otázky k zneniu vládneho návrhu zákona o elektronickom podpise.

Filozofia zákona

Zákon vychádza z Direktívy EU a vzorového zákonu UNCITRAL-u. Preberá ich terminológiu a do značnej miery aj štruktúru (UNCITRAL). Je to vysokoúrovňový zákon, ktorý sa usiluje o technologickú neutralitu a nezaoberá sa konkrétnymi postupmi pri realizácii certifikačných činností. Napriek formálnej technologickej neutralite sa elektronický podpis podľa navrhovaného zákona realizuje digitálnym podpisom. Návrh rozlišuje dve úrovne elektronických podpisov - "obyčajný" a zaručený. Predpokladá, že v úradnom styku sa bude používať zaručený elektronický podpis, ale účinnosť vlastnoručného podpisu prisudzuje aj "obyčajnéme" elektronickému podpisu. Predpokladá vytvorenie PKI, postavenej na poskytovateľoch certifikačných služieb PCS, ktorí budú vydávať certifikáty verejných kľúčov klientov. Rozlišuje dve úrovne PCS - obyčajných a akreditovaných PCS. Akreditovaní PCS sú oprávnení vydávať kvalifikované certifikáty, na ktorých spočíva overovanie zaručených elektronických podpisov. Akreditácia PCS je dobrovoľná. Dohľad nad celou PKI vykonáva Úrad, ktorý implicitne plní úlohu koreňovej certifikačnej autority (štátnej PKI). Úrad má výrazné právomoci, ale aj značné povinnosti nielen voči akreditovaným PCS, ale aj voči obyčaným PCS.

Základné problémy zákona

Zákon preberá pojmový aparát vzorového zákona UNCITRAL-u a Direktívy EU. Direktíva EU však definuje základné pojmy len pre vlastné potreby a preto tieto definície sú podobne ako definície vzorového zákona značne široké. To potom spôsobuje problémy, keď sa pomocou všeobecných pojmov majú špecifikovať konkrétne požiadavky na zložitý technický systém. Konkrétne:

§ 2, písm. (a) Definícia elektronického reťazca: reťazec elektronických údajov sa stotožňuje s nejakými objektami, ktoré potenciálne môžu byť elektronicky spracované, ale nie s výsledkom tohto spracovania. V ďalších definíciách sa potom používa pojem elektronického reťazca už ako výsledok elektronického spracovania.

§ 2, písm. (b) Kľúčová definíca elektronického podpisu je založená na zlej interpretácii definície elektronického podpisu z Direktívy: "electronic signature means data in electronic form which are attached to or logically asociated with other electronic data and which serve as a method of authentication". To znamená že elektronický podpis je prostriedok na overenie autentickosti dokumentu (toho, že dokument nebol po vytvorení elektronického podpisu zmenený) a nie na autentifikáciu tvorcu dokumentu, pretože ako vyplýva z ďalšieho, na to nemá overovateľ prostriedky. Tie mu poskytuje až kvalifikovaný certifikát.

§ 2 písm. (f) Definícia uzavretého systému - je vysoko pravdepodobné, že žiaden systém nebude spĺňať definíciu uzavretého systému. Stačí, aby sa v ňom používali postupy založené na všeobecných normách a štandardoch a už nebude spĺňať definíciu uzavretého systému. To na druhej strane znamená, že zákon sa bude vzťahovať na všetky systémy.

§ 2 písm. (g) Certifikát je druhým kľúčovým pojmom zákona. Definícia certifikátu uvedená v zákone je veľmi voľná a prípúšťa rozličné interpretácie. V prvom rade nie je jasné, aký je vzťah podpisovateľa a certifikátu. Nie je povedané, že certifikát musí obsahovať verejný kľúč (informáciu na overenie elektronického podpisu). Verejný kľúč je číslo a číslo nemôže niekomu patriť. Identita podpisovateľa sa nepotvrdzuje certifikátom, ale overením podpisu pomocou certifikátu.

Direktíva sa vyhýba technickému pojmu certifikačná autorita a nahrádza ho neutrálnejším pojmom poskytovateľ certifikačných služieb vydávajúci certifikáty. Obmedzovať však v zákone činnosť poskytovateľa certifikačných služieb na vydávanie certifikátov sa nedá už len preto, že použitie certifikátov na overovanie platnosti elektronických podpisov je viazané na overovanie platnosti certifikátov. Preto musí poskytovateľ certifikačných služieb vydávajúci certifikáty poskytovať aj službu overovania certifikátov, rušenia certifikátov a zverejňovať zoznam zrušených certifikátov, viesť archív neplatných certifikátov.

kvalifikovaný certifikát nie je v zákone definovaný (ak nepovažujeme za definíciu §2 písm. h)), len je vymedzené, čo musí obsahovať. Ak sa kvalifikovaný certifikát definuje pomocou certifikátu (z vety vypadlo aspoň jedno slovo), platia pre kvalifikovaný certifikát všetky výhrady, ktoré sme uviedli k obyčajnému certifikátu. Obsah kvalifikovaného certifikátu (§ 16) nie je v súlade so všobecne používaným štandardom X509 v3 (dátum a čas vydania). Kľúčovým problémom kvalifikovaného certifikátu tak ako je zavedený v zákone, je elektronický podpis. Nie je jasné, kto podpisuje certifikát, čo sa podpisuje ani pomocou akého kľúča.

Časová značka (time stamp) § 6. Definícia časovej pečiatky kladie na časovú pečiatku slabé požiadavky, zodpovedajúce zhruba elektronicky podpísanému dokumentu s časovým údajom. Identifikácia osoby je v samotnej časovej značke a nie v elektronickom podpise, resp. elektronickom podpise dokumentu s časovým údajom a v kvalifikovanom certifikáte. Je potom možné vytvoriť časovú značku, ktorá spĺňa požiadavky stanovené v § 6, ktorá je však bez problémov sfalšovateľná.

Ďalšie problémy sa týkajú navrhovaných riešení:

Platnosť elektronického podpisu. Zákon priznáva (§ 3, ods. 1) elektronickému podpisu rovnaké právne účinky akú má vlastnoručný podpis. Vzhľadom na to, ako je definovaný elektronický podpis (pozri Direktívu EU), je zrovnoprávnenie elektronického podpisu s vlastnoručným neprijateľné, pretože elektronický podpis neumožňuje identifikovať podpisovateľa. Ak definíciu elektronického podpisu v zákone treba interpretovať ako prostriedok autentifikácie osoby, ktorá elektronický podpis dokumentu vytvorila, potom je k tomu potrebné zaistiť spojenie medzi osobou a prostriedkom na vytvorenie elektronického podpisu (súkromným kľúčom) a na to je potrebný certifikát verejného kľúča.

Nie je potom jasné, aký má zmysel zavádzanie zaručeného elektronického podpisu, keď už obyčajný elektronický podpis musí (?) spĺňať náležitosti zaručeného elektronického podpisu. Naviac sa predpokladá, že zaručený elektronický podpis sa bude používať v úradnom styku. Kým nebude vytvorený Úrad, akreditačná schéma, akreditované certifikačné autority, nebude mať kto vydávať kvalifikované certifikáty, a teda nebude existovať ani zaručený elektronický podpis. Ak by aj existovala akreditovaná certifikačná autorita, kedy budú naše úrady vybavené na používanie elektronických podpisov?

Právne účinky elektronického podpisu. Ak na uznanie elektronického podpisu stačí obyčajný certifikát, ktorý nezaručuje väzbu medzi identitou držiteľa certifikátu a verejným kľúčom v certifikáte uvedenom, akú váhu môže mať potom elektronický podpis? Certifikáty verejných kľúčov sa v súčasnosti bežne vydávajú bez toho, aby vydavateľ videl žiadateľa o vydanie certifikátu. Ak sa v zákone striktne nedefinujú požiadavky na vydávanie certifikátu, alebo kvalifikovaného certifikátu, otvorí sa cesta k vydávaniu certifikátov na cudzie meno a následne k falšovaniu elektronických podpisov.

Zákon by mal špecifikovať povinnosti PCS pri takých kľúčových činnostiach, ako je vydávanie a rušenie certifikátov. Pre rušenie certifikátov je zásadná vec vydávanie zoznamu zrušených certifikátov a uchovávanie žiadostí o rušenie certifikátov. Aby nevznikli pochybnosti, čo má zoznam zrušených certifikátov obsahovať, zákon by mal špecifikovať požiadavky naň kladené.

Kľúčovým prvkom slovenskej PKI je Úrad. Zákon nemá jasno, aké funkcie by Úrad mal plniť. Na jednej strane mu prisudzuje kontrolné funkcie, ale zabúda na to, že v takom prípade by mal Úrad mať možnosť vydávať normy, štandardy a vyhlášky. Úrad síce koná vo veci zahraničných certifikátov a elektronických podpisov, ale neuvádza sa možnosť akreditovať zahraničného poskytovateľa certifikačných služieb. Druhou úlohou, ktorú by Úrad mal plniť, je úloha ústrednej (koreňovej) certifikačnej autority. Zákon síce predpokladá, že Úrad bude vydávať certifikáty (aké, čoho ?) pre certifikačné autority, ale nie sú na to stanovené podmienky. Rozhodujúcim problémom je, čím budú tieto certifikáty podpísané. Zákon taktiež predpokladá, že Úrad bude preberať agendu zaniknuvších poskytovateľov certifikačných služieb. To by mohlo byť náročné. Ak sa totiž nekladú žiadne predbežné podmienky na poskytovanie certifikačných služieb (Direktíva EU), agenda jednotlivých poskytovateľom CS môže byť rôznorodá, neúplná a pre Úrad bude zaťažujúce plniť úlohy, ktoré mu vo vzťahu k obyčajným PCS implicitne ukladá zákon. Naviac, PCS môžu vznikať a zanikať a na Úrade sa bude hromadiť ich agenda.

Ďalším dôležitým problémom, ktorý zákon dostatočne nerieši, je vydávanie certifikátov pre PCS. Jednak nie je jasné, o aké certifikáty sa jedná (ide o certifikáty verejných kľúčov PCS, pomocou ktorých sa overuje platnosť elektronických podpisov v certifikátoch verejných kľúčov klientov) a na druhej strane nie je zrejmé, kto ich bude vydávať. Pre akreditovaných PCS to bude Úrad, ale kto bude vydávať certifikáty verejných kľúčov neakreditovaným PCS? Naviac, overenie platnosti elektronického podpisu na certifikáte verejného kľúča PCS predpokladá znalosť verejného kľúča, pomocou ktorého bol tento podpis vytvorený. Celý proces overovania by mal byť uniformný a preto aj verejný kľúč, prislúchajúci k súkromnému kľúču, ktorý Úrad použil na vytvorenie podpisu certifikátu verejného kľúča akreditovaného PCS, by mal byť uložený v nejakom certifikáte. Kto tento certifikát Úradu vydá a čím ho podpíše?

Súkromný kľúč PCS a Úradu. Rakúsky zákon o elektronickom podpise zaraďuje medzi podpisovateľov aj PCS. Ak slovenský zákon o elektronickom podpise trvá na tom, že podpisovateľom by mala byť len fyzická osoba, mal by definovať, kto bude podpisovať za Úrad, akreditovaného PCS. Ale, pri tom by bolo potrebné zobrať do úvahy aj technologické obmedzenia - ak sa elektronický podpis PCS alebo Úradu stotožní s elektronickým podpisom štatutára alebo operátora, nastanú problémy keď dôjde ku zmene fyzickej osoby, ktorá podpis vytvára. Naviac, vytváranie elektronického podpisu Úradu alebo PCS je z bezpečnostného hľadiska kritická činnosť a pravdepodobne ju nebude môcť vykonávať jeden človek.

Prijatie zákona o elektronickom podpise sa nedotkne len zákona ustanovujúceho Národný bezpečnostný úrad, ale množstva ďalších zákonov. Tieto by mali byť v zákone o elektronickom podpise uvedené.

Vykonávacie predpisy

Keďže navrhovaný zákon je vysokoúrovňový, mnoho konkrétnych vecí by mali vyriešiť vykonávacie predpisy. Prílohou zákona sú aj Tézy vyhlášok k návrhu zákona o elektronickom podpise. Vyhláškou však nemožno ukladať povinnosti, ktoré by neboli stanovené v zákone. Preto tie veci, ktoré je v súvislosti s elektronickým podpisom potrebné presadiť, musia byť uvedené v zákone. Vzhľadom na pripomienky uvedené v časti 3, zákon nevytvára dostatočné podmienky pre úpravu vzťahov súvisiacich s vytváraním a používaním elektronických podpisov pomocou vyhlášok.

Pokiaľ ide o samotné vykonávacie predpisy, tieto podľa tvorcov vládneho návrhu

upresňujú požiadavky na zariadenia, ktoré podľa § 17 ods. 2, písm. e) musí používať akreditovaný PCS

špecifikujú dokumentáciu, ktorú musí predložiť PCS uchádzajúci sa o akreditáciu (§ 21, ods. 2, písm f)),

stanovujú požiadavky na bezpečný prostriedok na vytvorenie elektronického podpisu podľa § 24 ods. 5

Napriek deklarovanémo obsahu vykonávacích vyhlášok

väčšinu predkladaného materiálu tvorí prevádzková dokumentácia PCS. Požiadavky na zariadenia podľa § 17, ods. 2 sa v navrhovaných vyhláškach neuvádzajú. Rovnako sa nehovorí o požiadavkách na bezpečný prostriedok na vytvorenie elektronického podpisu. Porovnajúc dokument Draft ETSI TS 201 456 Policy requirements for certification authorities issuing qualified certificates a navrhovaný obsah vyhlášky, vyhláška vyberá istú časť z tohto materiálu. Draft ETSI TS 201 456 je profesionálne spracovaný materiál Ak by požiadavky na PCS vychádzali z neho, a prebrali by sa kompletne bez "vylepšujúcich" zásahov, bolo by ich možné použiť ako základ pre stanovenie požiadaviek na akreditovaného PCS. Bezpečnostné požiadavky vychádzajú z vykonávacej vyhlášky k zákonu na ochranu utajovaných skutočností. Problémom však zostáva nekompatibilita navrhovaného zákona (viď pripomienky uvedené v časti 3) a vykonávacích predpisov. Zostáva tiež otvorenou otázka, čo s neakreditovanými PCS, nakoľko materiál Draft ETSI TS 201 456 sa vzťahuje na vydavateľov kvalifikovaných certifikátov a zákon stanovuje povinnosti aj pre neakreditovaných PCS.

Napriek významu, ktorý má pre zaistenie dôveryhodnosti (zaručeného) elektronického podopisu bezpečné zariadenie pre vytváranie elektronického podpisu (čo sa o.i. prejavuje aj v Direktíve EU, ktoré venuje špeciálny dodatok požiadavkám na toto zariadenie), a vykonávacia vyhláška odvolávajúca sa na § 24 ods. (5) je v zozname uvedená, o bezpečnom zariadení sa vo vyhláškach explicitne nehovorí. Vzhľadom na dôležitosť zaistenia bezpečnosti pri vytváraní elektronického podpisu a tiež vzhľadom na to, že v súčasnosti v EU prebieha diskusia k návrhu štandardu, ktoré by tieto zariadenia mali spĺňať, by sa táto problematika mala v návrhu vyhlášok objaviť.

Výsledky medzirezortného pripomienkovania

Aj keď predkladatelia tvrdia v Dôvodovej správe, že návrh zákona prešiel riadnym medzirezortným pripomienkovým konaním a predkladá sa na rokovanie vlády bez rozporov, viaceré závažné pripomienky rezortov neboli v návrhu zákona zohľadnené:

Rozpor o kompetencii MV SR

Niektoré z definícií základných pojmov boli síce zmenené, ale zostávajú aj naďalej rozporné (elektronický podpis, uzavretý systém). (MV SR)

Požiadavka na upresnenie spôsobu zverejňovania zoznamov vydaných a zrušených certifikátov (MV SR) nebola akceptovaná.

Ukončenie činnosti poskytovateľa akreditačných služieb (MV SR) neakceptované s odvolaním sa na neexistujúci článok

Rozlíšenie sankcií pre právnické a fyzické osoby (MV SR) - neakceptované

MO SR: používanie elektronického podpisu a poskytovanie certifikačných služieb v rezorte MO SR - zásadná pripoimienka - neakceptovaná

Konkretizácia podmienok akreditácie (MŠ SR) - neakceptované

Konkretizácia formy zverejňovania certifikátov (MVaRR SR) - neakceptované

GP SR - vykonávacie predpisy by nemali zakladať práva a povinnosti; tie by mali byť uvedené v zákone - neakceptované

SŠHR SR - Doplnenie pojmu certifikovanej informácie na overenie podpisu - zásadná pripomienka, neakceptovaná

SŠHR SR - Definícia certifikačného úradu - zásadná pripomienka, neakceptovaná

CR SR - chýba úprava vyhotovenia elektronického podpisu

CR SR - chýbajúce definície pojmov, nepresnosti vo formuláciách - zostali neodstránené

Realizácia zákona

Na realizáciu zákona bude potrebné vybudovať public key infrastructure, PKI. Národný bezpečnostný úrad bude okrem iných funkcií plniť aj funkciu koreňovej certifikačnej autority. Vzhľadom na to, že bude musieť v prípade potreby prebrať agendu zanikajúceho poskytovateľa certifikačných služieb, bude musieť fungovať ako plnohodnotná certifikačná autorita. Ale to znamená (v prípade akreditovaného PCS), nepretržitú prevádzku a na zaistenie prevádzkovej bezpečnosti - separáciu rolí. Ale to sa rozhodne nebude dať zariadiť pomocou 10 ľudí, ako je uvedené v dôvodovej správe. Podobne - predkladatelia v priebehu roka prišli s niekoľkými číslami, než dospeli k cifre 140 miliónov. Z čoho je táto hodnota odvodená, čím je zdôvodnená a je konečná?

Záver

V snahe zachovať technologickú neutralitu definuje návrh zákona kľúčové pojmy veľmi všeobecne a niektoré vôbec; nestanovuje dostatočne podrobne vzťahy medzi subjektami systému. Niektoré kľúčové objekty zákona (elektronický podpis, certifikát, kvalifikovaný certifikát) sú definované v rozpore s technickými normami. Vykonávacie predpisy nemajú dostatočnú oporu v zákone a nebude prostredníctvom nich možné "zachrániť" nedostatky zákona. Niektoré problematické veci (certifikát verejného kľúča Úradu, vytváranie elektronického podpisu PCS) zákon vôbec nezaregistroval. V zákone sa stiera rozdiel medzi obyčajnými a zaručenými elektronickými podpismi a elektronickému podpisu sa priznávajú právne účinky vlastnoručného podpisu. Nie sú jasne vymedzené úlohy Úradu a vzhľadom na požadovaný rozsah činností nie sú stanovené reálne personálne požiadavky na ÚradVládny návrh zákona nezohľadnil pripomienky medzirezorného pripomienkového konania. Vzhľadom na tieto nedostatky, nie je predložený návrh zákona použiteľný na vybudovanie funkčnej PKI.

V Bratislave, 23.5.2001

Doc.RNDr.Daniel Olejár, CSc.

Prílohy:

Pripomienky k paragrafovému zneniu návrhu zákona o elektronickom podpise

Vládny návrh zákona o elektronickom podpise ( tézy pripomienok pre rokovanie vlády)

Príloha č. 1.

Pripomienky k paragrafovému zneniu návrhu zákona o elektronickom podpise

Návrh

Z á k o n

z ...................... 2001

o elektronickom podpise

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

§ 1

Predmet zákona

(1) Tento zákon upravuje vyhotovenie a používanie elektronického podpisu, zaručeného elektronického podpisu, poskytovanie certifikačných služieb a registračných služieb, akreditáciu poskytovateľov certifikačných služieb, pôsobnosť Národného bezpečnostného úradu (ďalej len “Úrad”)¹⁾pri akreditácii poskytovateľov certifikačných služieb a dohľade nad poskytovaním certifikačných služieb a registračných služieb a sankcie za porušenie zákona.

(2) Tento zákon sa nevzťahuje na vyhotovenie a používanie elektronického podpisu pre utajované skutočnosti podľa osobitného zákona.²⁾

(3) Na vyhotovenie a používanie elektronického podpisu v uzavretých systémoch sa tento zákon použije, ak sa účastníci uzavretého systému nedohodnú inak.

§ 2

Vymedzenie pojmov

Na účely tohto zákona sa rozumie

reťazcom elektronických údajov postupnosť informácií v tvare spracovateľnom elektro-nickými prostriedkami,

Príliš široká a nejasná definícia. Keďže nie je jasné, čo to je v tomto kontexte informácia, čo sú elektronické prostriedky, zahŕňa to všetko. Čo vlastne nie je elektronický reťazec? Ak zoberieme pojem "informácia" ako východiskový, aj potom je definícia pochybná, pretože reťazec elektronických údajov môže byť prázdny aj nekonečný a oba tieto prípady sú z hľadiska elektronického podpisu nezmyselné. Problém definície je v tom, že reťazec elektronických údajov stotožňuje s nejakými objektami, ktoré potenciálne môžu byť elektronicky spracované, ale nie s výsledkom tohto spracovani, ale v ďalších definíciách používa pojem elektronického reťazca už ako výsledok elektronického spracovania. Definícii elektronického reťazca napr. vyhovuje molekula DNA, čo však tvorí jej elektronický podpis?

elektronickým podpisom reťazec elektronických údajov vyhotovený podpisovateľom, ktorý je pripojený k inému reťazcu elektronických údajov alebo s ním súvisí, a ktorý umožňuje overenie totožnosti podpisovateľa a jeho vzťahu k podpísanému reťazcu elektronických údajov,

Použijúc pojem elektronického reťazca z písm. (a) dostávame nasledujúcu definíciu elektronického podpisu: postupnosť informácií v tvare spracovateľnom elektronickými prostriedkami, vyhotovená podpisovateľom, ktorá je pripojená k inej postupnosti informácií v tvare spracovateľnom elektronickými prostriedkami, alebo s ňou súvisí, a ktorá umožňuje overenie totožnosti podpisovateľa a jeho vzťahu k podpísanéj postupnosti informácií v tvare spracovateľnej elektronickými prostriedkami.

Tu sú tri problémy:

interpretácia elektronického reťazca ako niečoho potenciálne spracovateľného elektronickými prostriedkami; potom má aj elektronický podpis podobu nejakých reálnych objektov, ktoré sa môžu transformovať do podoby elektronických údajov?

neošetrenie hraničných prípadov (prázdny a nekonečný reťazec),

zlá interpretácia Direktívy: "electronic signature means data in electronic form which are attached to or logically asociated with other electronic data and which serve as a method of authentication" znamená že elektronický podpis je prostriedok na overenie autentickosti dokumentu a nie na autentifikáciu tvorcu dokumentu, pretože ako vyplýva z ďalšieho, na to nemá overovateľ prostriedky. Tie mu poskytuje až kvalifikovaný certifikát.

Ďalším problémom sú nedefinované pojmy "podpisovateľ" a "podpísaný reťazec elektronických údajov", ktoré sa zavádzajú neskôr ale už pomocou pojmu elektronického podpisu.

Napokon, aký môže byť vzťah podpisovateľa k podpísanému reťazcu elektronických údajov?

zaručeným elektronickým podpisom reťazec elektronických údajov vyhotovený podpisovateľom, ktorý

je vyhotovený z podpisovaného reťazca elektronických údajov tak, že jednoznačne identifikuje podpisovateľa a podpísaný reťazec elektronických údajov,

na vyhotovenie zaručeného elektronického podpisu používa jedinečnú informáciu, ktorá je výlučným tajomstvom podpisovateľa (ďalej len “informácia na vyhotovenie podpisu”),

umožňuje zistiť každú zmenu obsahu podpísaného reťazca elektronických údajov,

Túto požiadavku nespĺňajú súčasné kryptografické riešenia, nakoľko teoreticky je možné v dokumente spraviť zmeny, ktoré nezmenia jeho elektronický podpis. Ak sa však použijú dostatočne silné kryptografické prostriedky, pravdepodobnosť toho, že sa to podarí je zanedbateľná (a dá sa povedať, čo považujeme za zanedbateľnú pravdepodobnosť a nastaviť parametre elektronického podpisu tak, aby sa požadovaná pravdepodobnosť dosiahla).

Nejde len o zmenu obsahu, ale o akúkoľvek zmenu podpísaného reťazca. Mimochodom, čo to je podpísaný reťazec elektronických údajov - reťazec bez elektronického podpisu, alebo reťazec s elektronickým podpisom?

je overiteľný informáciou, ktorú na tento účel poskytuje podpisovateľ (ďalej len “informácia na overenie podpisu”),

informáciu na overenie nemusí poskytovať podpisovateľ, tá môže byť uložená v registri certifikátov

podpisovateľom fyzická osoba, ktorá vlastní informáciu na vyhotovenie podpisu a prostredníctvom nej vyhotovuje elektronický podpis,

informácia na vyhotovenie podpisu je číslo. Číslo nemožno vlastniť.

Elektronický podpis sa nevytvára sám o sebe, ale vždy sa viaže na nejaký reťazec

podpísaným reťazcom elektronických údajov reťazec, ku ktorému je vyhotovený elektronický podpis, ktorý môže byť pripojený k podpisovanému reťazcu elektronických údajov, alebo môže byť samostatným reťazcom elektronických údajov, alebo môže byť časťou iného reťazca elektronických údajov,

Možno považovať za podpísaný reťazec elektronických údajov elektronický reťazec, ku ktorému bol síce vytvorený elektronický podpis, tento podpis má formu samostatného reťazca elektronických údajov, ale nie je dostupný spolu s daným podpísaným reťazcom?

Steganografické riešenia spĺňajú všetky požiadavky elektronického podpisu, ale nie sú podľa tohto prípustné ako elektronický podpis. Takisto definícia vylučuje použitie samotného reťazca, šifrovaného pomocou súkromného kľúča podpisovateľa ako elektronického podpisu, hoci toto riešenie takisto vyhovuje ostatným požiadavkám na elektronický podpis.

uzavretým systémom neverejný systém, ktorý vznikol na základe dohody účastníkov systému, majú k nemu prístup len účastníci systému a riadi sa pravidlami platnými iba v tomto systéme,

Čo ak sa v systéme budú používať pravidlá založené na všeobecných normách, technických štandardoch, zákone o elektronickom podpise, prípadne zákone o ochrane utajovaných skutočností? Tieto predsa platia aj v iných systémoch. Alebo sa potom tieto pravidlá a normy v uzavretom systéme nemôžu používať?

certifikátom informácie na overenie podpisu (ďalej len “certifikát”) elektronické osvedčenie, ktorým sa preukazuje, že informácia na overenie podpisu patrí podpisovateľovi a potvrdzuje identita podpisovateľa,

Informácia na overenie podpisu je číslo. Číslo nemôže nikomu patriť.

Čo to je elektronické osvedčenie?

Nepresná formulácia. Umožňuje aj nasledujúcu interpretáciu: nejaká informácia na overenie podpisu (verejný kľúč) prislúcha človeku, ktorý vytvára elektronický podpis Pritom certifikát nemusí podľa definície g) uvádzať verejný kľúč(!). Potom sa v ňom uvedie meno nejakého (iného) človeka, ktorý je tiež podpisovateľom. V prípade certifikátu ide o jednoznačné spojenie verejného kľúča s identitou držiteľa certifikátu, ktorý je na tento kľúč vydaný.

kvalifikovaným certifikátom informácie na overenie zaručeného podpisu (ďalej len “kvalifikovaný certifikát”), ktorý spĺňa požiadavky podľa tohto zákona a ktorý vydal akreditovaný poskytovateľ certifikačných

vo vete chýba podmet alebo predmet

kvalifikovaný certifikát sa síce používa na overovanie zaručených elektronických podpisov, ale formulácia v zákone vytvára dojem, že niekto vytvoril elektronický podpis a potom akreditovaný PCS vydal kvalifikovaný certifikát na jeho overenie. Kvalifikovaný certifikát je certifikát je certifikát verejného kľúča, ktorý spája verejný kľúč s osobou/identitou držiteľa certifikátu a to spôsobom zaručujúcim vysokú úroveň dôveryhodnostislužieb,

overením elektronického podpisu kontrola pravosti elektronického podpisu certifikovanou alebo necertifikovanou informáciou na overenie podpisu vo vzťahu k osobe podpisovateľa a k podpísanému reťazcu elektronických údajov,

podľa tejto definície ide len o overenie syntaktickej správnosti elektronického podpisu. Pri overovaní elektronických podpisov pomocou certifikátov ide aj o overenie sémantiky, t.j. toho, či bol certifikát verejného kľúča, ktorý sa na overovanie elektronického podpisu používa v čase vytvorenia elektronického podpisu platný.

poskytovateľom certifikačných služieb právnická osoba alebo fyzická osoba, ktorá vydáva certifikáty a poskytuje iné služby súvisiace s elektronickým podpisom,

ide aj o správu certifikátov, nielen o ich vydávanie.

akreditovaným poskytovateľom certifikačných služieb poskytovateľ certifikačných služieb, ktorý na základe akreditácie vydáva kvalifikované certifikáty,

akreditované certifikačné služby sa neobmedzujú na vydávanie kvalifikovaných certifikátov

prostriedkom na vyhotovenie elektronického podpisu a prostriedkom na overenie elektronického podpisu technické a programové vybavenie, prípadne ich hlavné prvky, ktoré slúžia na vyhotovenie elektronického podpisu alebo overenie elektronického podpisu,

časovou značkou elektronické osvedčenie, ktorým sa preukazuje, že v čase jeho vyhotovenia existoval reťazec elektronických údajov, ku ktorému bola vyhotovená.

§ 3

Používanie elektronického podpisu

(1) Elektronický podpis sa môže používať rovnako ako vlastnoručný podpis.

Aký je potom rozdiel medzi obyčajným a zaručeným elektronickým podpisom?

Keďže elektronický podpis umožňuje len autentifikovať dokument, ale nie identifikovať tvorcu elektronického podpisu, sotva môže slúžiť ako vlastnoručný podpis. Naviac, asi budú existovať situácie, v ktorých nebude možné elektronický podpis používať (závet).

(2) V styku s orgánmi verejnej správy, súdom a prokuratúrou je možné používať len zaručený elektronický podpis overiteľný informáciou na overenie podpisu, na ktorú bol vydaný kvalifikovaný certifikát.

^{To by však znamenalo, že v styku s vymenovanými inštitúciami nie je možné používať iný podpis, ako zaručený elektronický podpis, a teda, že sa všetky podania budú musieť podpisovať zaručeným elektronickým podpisom a nijako ináč.

§ 4
Právne účinky elektronického podpisu

(1) Elektronický podpis má právne účinky, ak je overený certifikátom, a to aj po zániku platnosti certifikátu, ak bol elektronický podpis vyhotovený pred zánikom platnosti certifikátu.

Nepresné. Nie je definované overovanie elektronického podpisu certifikátom. Elektronický podpis sa overuje pomocou verejného kľúča, ktorý je uvedený v certifikáte.

považuje za platný aj taký elektronický podpis, ktorý bol vytvorený ešte pred tým, ako nadobudol platnosť certifikát verejného kľúča prislúchajúceho k súkromnému kľúču, pomocou ktorého bol podpis vytvorený.

(2) Elektronický podpis má právne účinky aj vtedy, ak je overený informáciou na overenie elektronického podpisu, ktorá nie je certifikovaná, ale inak sú splnené podmienky na overenie elektronického podpisu a je zaistená rovnaká spoľahlivosť identifikácie podpisovateľa ako pri overení certifikátom.

Keďže nie je presne definované, čo sa rozumie pod overením platnosti elektronického podpisu "overením elektronického podpisu kontrola pravosti elektronického podpisu certifikovanou alebo necertifikovanou informáciou na overenie podpisu vo vzťahu k osobe podpisovateľa a k podpísanému reťazcu elektronických údajov", ťažko povedať, aké podmienky musia byť splnené na overenie elektronického podpisu.

Čo to je bezpečnosť identifikácie podpisovateľa - znamená to spoľahlivosť overenia identity, alebo informačnú bezpečnosť pri samotnom overovaní?

(3) Elektronický podpis nemá právne účinky, ak informácia na vyhotovenie podpisu podpisovateľa bola zneužitá inou osobou.

Nepresné. Nie je jasný vzťah medzi vytvoreným elektronickým podpisom a informáciou na vytvorenie podpisu, ktorá bola zneužitá. Môže ísť o elektronický podpis, ktorý niekto vytvoril korektne pomocou svojej informácie na vyhotovenie podpisu a nejakú inú informáciu na vyhotovenie podpisu, ktorú niekto iný zneužil. Podľa (3) vytvorený elektronický podpis nie je právne účinný.

Musí sa jasne povedať, že ak elektronický podpis vytvorila iná osoba, ako je držiteľ súkromného kľúča použitého pri vytvorení daného elektronického podpisu, tak potom daný elektronický podpis nie je právne účinný.

§ 5
Povinnosti podpisovateľa

(1) Podpisovateľ je povinný

nakladať so svojou informáciou na vyhotovenie podpisu s náležitou starostlivosťou tak, aby nemohlo dôjsť k jej zneužitiu,

upovedomiť bezodkladne poskytovateľa certifikačných služieb, ktorý certifikát vydal, a požiadať o zrušenie certifikátu, ak došlo k zneužitiu jeho informácie na vyhotovenie podpisu, alebo ak hrozí nebezpečenstvo jej zneužitia,

poskytovateľ certifikačných služieb, ktorý certifikát vydal, už nemusí existovať a jeho certifikáty prebral niekto iný.

Nie je jasné, o zrušenie akého certifikátu má podpisovateľ požiadať (môže ich mať viac), alebo ide o zrušenie iného certifikátu

zabezpečiť, aby údaje o elektronickom podpise a informácii na overenie podpisu, alebo certifikáte určenom na overenie podpisu, boli pravdivé, presné a úplné,

čo sú to údaje o elektronickom podpise?
Čo sú to údaje o certifikáte určenom na overenie podpisu a v akom vzťahu je podpisovateľ s nejakým certifikátom?
Prečo by mal podpisovateľ byť povinný zabezpečiť pravdivosť, presnosť a úplnosť údajov na nejakom certifikáte?

oznámiť všetky zmeny identifikačných údajov rozhodujúcich pre certifikáciu poskytovateľovi registračných služieb, ktorý sprostredkuje styk s príslušným poskyto-vateľom certifikačných služieb.

Čo to je certifikácia?

Ćo ak podpisovateľ nemá žiadny certifikát?

(2) Podpisovateľ zodpovedá za škodu, ktorá vznikla porušením povinností podľa odseku 1 podľa všeobecných predpisov o náhrade škody⁴⁾. Zodpovednosti sa zbaví, ak preukáže, že ten, komu škoda vznikla, nevykonal všetky úkony potrebné na to, aby si elektronický podpis overil.

§ 6
Časová značka

(1) Časová značka obsahuje

údaj o čase, kedy bola vyhotovená,

údaje, ktoré umožňujú identifikovať reťazec elektronických údajov, pre ktorý bola vyhotovená,

údaje, ktoré umožňujú zistiť, akým spôsobom bola vyhotovená,

údaje, ktoré identifikujú osobu, ktorá časovú značku vyhotovila.

(2) Časová značka musí byť vyhotovená spôsobom, ktorý zabezpečí

jej jednoznačné priradenie k reťazcu elektronických údajov, ku ktorému bola vyhotovená,

zistenie každej jej zmeny alebo zmeny reťazca elektronických údajov, ku ktorému bola vyhotovená, ak táto zmena nastala po vyhotovení časovej značky.

Požiadavky na časovú značku (time stamp) stanovené v § 6 sú nedostatočné. Vyhovuje im nasledujúca konštrukcia (uvažujeme dokument d, ku ktorému treba vytvoriť časovú značku): [rok, mesiac, deň, minúta, sekunda vytvorenia][identifikátory algoritmov, pomocou ktorých bola vytvorená][identifikátor osoby, ktorá časovú značku vytvorila][hašovacia hodnota dokumentu d a predchádzajúcich údajov]
Táto konštrukcia spĺňa požiadavky zákona, ale umožňuje nahradiť dokument, pre ktorý bola vyvorená časová značka iným dokumentom a k nemu vytyvoriť korektným spôsobom inú časovú značku.
Nič sa nehovorí o zdroji času, formáte časovej značky a techhnickom zariadení na jej vytváranie, ani o tom, kto a za akých podmienok ju môže vytvárať.

§ 7
Poskytovanie certifikačných služieb

(1) Certifikačné služby môže poskytovať právnická osoba a fyzická osoba. Poskytovanie certifikačných služieb musí oznámiť Úradu vopred.

Oznamovacia povinnosť - v akom predstihu

Za akých podmienok môže niekto poskytovať certifikačné služby?

(2) Certifikačnými službami sú najmä

vydávanie certifikátov,

existuje viacero druhov certifikátov. O akých certifikátoch hovorí zákon?

overovanie certifikátov,

zverejňovanie vydaných certifikátov,

zrušovanie vydaných certifikátov,

zverejňovanie zrušených certifikátov,

uchovávanie vydaných a zrušených certifikátov,

vydávanie časových značiek.

(3) Poskytovanie certifikačných služieb je živnosťou.⁵⁾
.

prečo akurát živnosťou? Nie je to potom v rozpore s Direktívou požadujúcou, aby poskytovanie certifikačných služieb nebolo viazané na žiadne povolenie? Na druhej strane, ak by certifikačné služby patrili medzi živnosti, na ktoré sa vzťahuje len ohlasovacia povinnosť, nebudú tým znevýhodnení notári?

§ 8
Platnosť a zrušenie certifikátu

(1) Platnosť certifikátu zaniká

uplynutím lehoty, na ktorú bol vydaný,

zrušením certifikátu,

smrťou držiteľa certifikátu, ktorému bol certifikát vydaný,

nie je definovaný pojem držiteľa certifikátu

ak bol držiteľ certifikátu, ktorému bol certifikát vydaný, pozbavený spôsobilosti na právne úkony alebo jeho spôsobilosť na právne úkony bola obmedzená.

(2) Poskytovateľ certifikačných služieb certifikát zruší, ak

o to požiada držiteľ certifikátu, ktorému bol certifikát vydaný,

zistí, že certifikát bol vydaný na základe nepravdivých, nepresných alebo neúplných údajov,

ak sa podstatne zmenili údaje, ktoré certifikát obsahuje.

Zrušenie certifikátu môže nariadiť aj súd alebo Úrad.

(3) Pri zrušení certifikátu musí byť uvedený časový údaj, ktorý udáva presný čas, odkedy je certifikát zrušený. Oznámenie o zrušení certifikátu doručí poskytovateľ certifikačných služieb držiteľovi certifikátu bez zbytočného odkladu.

Samotný časový údaj nestačí, musí byť uvedený dôvod zrušenia a kto o zrušenie požiadal a kedy.

§ 9
Povinnosti a zodpovednosť poskytovateľa certifikačných služieb

(1) Poskytovateľ certifikačných služieb je povinný

zabezpečiť, aby údaje v certifikáte boli v čase jeho vydania úplné a správne,

Ktorý certifikát sa má na mysli? Ten ktorý vydáva príslušný PCS, vlastný certifikát PCS, alebo akýkoľvek certifikát?

Keďže nie je stanovené, čo má certifikát obsahovať, bude problematické skontrolovať, či PCS si splnil svoju povinnosť.

viesť a aktualizovať údaje o držiteľoch certifikátov,

aké údaje a na základe čoho?

viesť dokumentáciu o spôsobe poskytovania certifikačných služieb,

čo sa má na mysli pod spôsobom poskytovania certifikačných služieb?

chrániť údaje o držiteľoch certifikátov v rozsahu povinností prevádzkovateľa informač-ného systému obsahujúceho osobné údaje podľa osobitného predpisu⁶⁾,

zverejňovať vydané certifikáty v hromadných informačných prostriedkoch,

čo ak ide o certifikáty verejných kľúčov, ktoré si však držiteľ neželá zverejniť?

viesť zoznamy zrušených certifikátov a zverejňovať ich v hromadných informačných prostriedkoch,

zverejniť pravidlá na vydanie, zrušenie a správne používanie certifikátov a návody a postupy na využívanie certifikačných služieb,

uchovávať vydané a zrušené certifikáty,

predložiť na žiadosť súdu a orgánov činných v trestnom konaní dokumentáciu o poskytovaných certifikačných službách,

používať svoj certifikát len na účely poskytovania certifikačných služieb,

poskytovateľ certifikačných služieb môže mať viacero certifikátov (napr. aj ako fyzická osoba). Ide o to, že každý certifikát má svoje určenie a nemožno ho používať ináč.

umožniť Úradu vykonanie kontroly poskytovania certifikačných služieb a dodržiavania ustanovení tohto zákona, najmä poskytnutie dokumentácie a informácií, vstupu do objektov a zariadení, v ktorých sa certifikačné služby poskytujú.

Štylistika: umožniť Úradu … najmä poskytnutie dokumentácie a informácií, vstupu do objektov

(2) Poskytovateľ certifikačných služieb zodpovedá za škodu, ktorá vznikla porušením povinností podľa odseku 1 podľa všeobecných predpisov o náhrade škody⁴⁾.

(3) Ak certifikát obsahuje obmedzenie jeho použitia, poskytovateľ certifikačných služieb nezodpovedá za škodu, ktorá vyplýva z použitia certifikátu na iný účel alebo v inom rozsahu ako bol certifikát vydaný.

(4) Zodpovednosť poskytovateľa certifikačných služieb za škodu spôsobenú pri poskytovaní certifikačných služieb nemôže byť zmluvne vylúčená ani obmedzená.

§ 10
Skončenie činnosti poskytovateľa certifikačných služieb

(1) Činnosť poskytovateľa certifikačných služieb končí

z rozhodnutia poskytovateľa certifikačných služieb,

zánikom poskytovateľa certifikačných služieb,

zrušením živnostenského oprávnenia.

A čo rozhodnutie Úradu, súdu

(2) Skončením činnosti poskytovateľa certifikačných služieb nezaniká platnosť ním vydaných certifikátov.

Pokiaľ ide o certifikáty verejných kľúčov klientov - o.k. Ale čo ak poskytovateľ certifikačných služieb vydal krížový certifikát inému poskytovateľovi certifikačných služieb? Tento certifikát je podpísaný súkromným kľúčom poskytovateľa certifikačných služieb, ktorý zanikol, a teda certifikát jeho verejného kľúča bol zrušený. Druhým typom certifikátov, ktorých platnosť po zániku poskytovateľa certifikačných služieb je pochybná, sú certifikáty verejných kľúčov, ktoré pockytovateľ certifikačných služieb používa na rozličné certifikačné činnosti (napr. na overovanie CRL).

§ 11
Povinnosti poskytovateľa certifikačných služieb
pri skončení činnosti

(1) Poskytovateľ certifikačných služieb je pri skončení činnosti povinný

odovzdať agendu držiteľov certifikátov inému poskytovateľovi certifikačných služieb, na základe vzájomnej dohody tak, aby nedošlo k obmedzeniu alebo znemožneniu kontroly správnosti elektronických podpisov, na ktoré sa majú použiť vydané certifikáty,

informovať osoby využívajúce certifikačné služby tri mesiace vopred o poskytovateľovi certifikačných služieb, ktorý prevezme jeho agendu,

v prípade neprevzatia agendy iným poskytovateľom certifikačných služieb podľa písm. a), je poskytovateľ certifikačných služieb povinný oznámiť túto skutočnosť všetkým držiteľom ním vydaných certifikátov a odovzdať agendu Úradu alebo ním určenému poskytovateľovi certifikačných služieb.

Keďže poskytovateľ certifikačných služieb nepotrebuje na svoju činnosť žiadne povolenie, a možnosti Úradu zasahovať do jeho činnosti sú obmedzené, prečo by mal Úrad preberať agentu nejakého poskytovateľa certifikačných služieb, najmä ak s tým sú spojené problémy (dokumentácia nemusí byť kompletná) a náklady.

(2) Poskytovateľ certifikačných služieb, ktorý preberie agendu poskytovateľa certifikačných služieb, ktorý svoju činnosť skončil, je povinný túto skutočnosť bezodkladne oznámiť držiteľovi certifikátu.

A čo ďalšie povinnosti poskytovateľa certifikačných služieb (PCS) - ochrana osobných údajov, zrušenie certifikátu PCS,… ?

§ 12
Poskytovanie registračných služieb

(1) Poskytovateľom registračných služieb môže byť notár alebo iná fyzická osoba alebo právnická osoba, ktorá koná ako overovateľ totožnosti žiadateľa o vydanie certifikátu a poskytuje registračné služby na základe zmluvy s poskytovateľom certifikačných služieb.

(2) Registračnými službami sú najmä

overovanie totožnosti podpisovateľov,

keďže podpisovateľom je osoba, ktorá vytvára elektronický podpis, znamená to, že PRS (ktorou nemusí byť notár) overuje a potvrdzuje totožnosť podpisovateľa?

Keďže medzi registračnými službami nie je overovanie totožnosti žiadateľa o certifikát, bez ktorého nie je možné certifikát vydať, tvorcovia zákona mali pravdepodobne na mysli overovanie totožnosti žiadateľa o vydanie certifikátu

registrácia žiadateľov o certifikát,

vedenie a aktualizácia údajov o registrovaných držiteľoch certifikátov,

poskytovanie údajov o registrovaných držiteľoch certifikátov poskytovateľovi certifikač-ných služieb,

poskytovanie údajov potrebných na prístup k certifikačným službám držiteľom certifikátov.

Kto overuje, že žiadateľ o certifikát pozná súkromný kľúč prislúchajúci k verejnému kľúču, na ktorý si nechá vystaviť certifikát?

§ 13
Povinnosti a zodpovednosť poskytovateľa registračných služieb

(1) Poskytovateľ registračných služieb je povinný

zabezpečiť, aby údaje o registrovaných osobách boli správne, presné a úplné,

viesť a aktualizovať údaje o registrovaných osobách,

viesť dokumentáciu o spôsobe poskytovania registračných služieb,

chrániť údaje o registrovaných osobách v rozsahu povinností prevádzkovateľa informačného systému obsahujúceho osobné údaje podľa osobitného predpisu⁶⁾,

predložiť na žiadosť súdu a orgánom činným v trestnom konaní dokumentáciu o poskytovaných registračných službách,

umožniť Úradu vykonať kontrolu poskytovania registračných služieb a dodržiavania ustanovení tohto zákona, najmä mu poskytnúť dokumentáciu a informácie a umožniť zamestnancom Úradu a ním prizvaným osobám vstup do objektov a zariadení, v ktorých sa registračné služby poskytujú.

(2) Za škodu spôsobenú v príčinnej súvislosti s porušením povinností podľa odseku 1 zodpovedá poskytovateľ registračných služieb podľa všeobecných predpisov o náhrade škody⁴⁾.

§ 14
Skončenie činnosti poskytovateľa registračných služieb

Činnosť poskytovateľa registračných služieb končí

na základe vlastného rozhodnutia,

ukončením zmluvného vzťahu s poskytovateľom certifikačných služieb,

ukončením činnosti poskytovateľa certifikačných služieb, s ktorým má zmluvný vzťah.

Čo zánik, úmrtie PRS, zákaz činnosti zo strany Úradu?

PRS môže mať zmluvy s viacerými PCS a teda zánikom jedného z nich jeho činnosť nekončí

§ 15
Povinnosti poskytovateľa registračných služieb pri skončení činnosti

(1) Poskytovateľ registračných služieb je pri skončení činnosti povinný

odovzdať agendu registrovaných osôb poskytovateľovi registračných služieb, ktorého mu určí poskytovateľ certifikačných služieb, a to tak, aby nedošlo k ohrozeniu a spochybneniu hodnovernosti elektronických podpisov a certifikátov vydaných na základe registrácie,

informovať osoby využívajúce registračné služby tri mesiace pred skončením činnosti o poskytovateľovi registračných služieb, ktorý prevezme jeho agendu.

(2) Ten, kto prevezme agendu poskytovateľa registračných služieb, ktorý svoju činnosť skončil, je povinný túto skutočnosť bezodkladne oznámiť registrovanej osobe.

§ 16
Kvalifikovaný certifikát

Kvalifikovaný certifikát obsahuje

Kvalifikovaný certifikát nebol poriadne definovaný

označenie, že ide o kvalifikovaný certifikát,

identifikačné údaje poskytovateľa certifikačných služieb,

akého?

identifikačné údaje osoby, pre ktorú je kvalifikovaný certifikát vydaný,

nerozlišuje sa fyzická a právnická osoba?

ako sa rieši certifikát verejného kľúča akretidovanej CA, Úradu?

osobitnú charakteristiku osoby podľa účelu certifikátu,

čo to je?

Akej osoby ?

informáciu na overenie podpisu,

k akému súkromnému kľúču prislúcha informácia na overenie podpisu uvedená v kvalifikovanom certifikáte?

dobu platnosti certifikátu,

v akej forme?

údaj o presnom čase vydania kvalifikovaného certifikátu,

nie je súčasťou štandardu X509

ako by sa tento údaj overoval - pomocou časovej značky?

jedinečné identifikačné označenie certifikátu,

v akej doméne? Ak sa to zoberie doslova, potom musí existovať koordinácia medzi PCS aj v značení certifikátov. Ak takáto koordinácia neexistuje, PCS nie je schopný splniť túto požiadavku.

zaručený elektronický podpis certifikátu vyhotovený poskytovateľom certifikačných služieb, ktorý certifikát vydal,

Kvalifikované certifikáty môže vystavovať každý poskytovateľ certifikačných služieb?

Keď je poskytovateľom certifikačných služieb právnická osoba, kto bude vytvárať jej zaručený elektronický podpis? Pomocou akého súkromného kľúča?

Keď je elektronický podpis kvalifikovaného certifikátu zaručený, musí na verejný kľúč prislúchajúci k súkromnému kľúču použitému na vytvorenie zaručeného elektronického podpisu byť vydaný kvalifikovaný certifikát. Kto tento certifikát vydá a čím ho podpíše?

Keďže súčasťou certifikátu je zaručený elektronický podpis certifikátu, vzniká tu autoreferencia: zaručený elektronický podpis je vytvorený na základe (o.i.) dokumentu, ktorý už tento zaručený elektronický podpis obsahuje. Ale na to, aby bolo možné vytvoriť elektronický podpis, je potrebné mať k dispozícii (o.i.) celý dokument, ku ktorému sa elektronický podpis vytvára.

rozsah obmedzení certifikátu, ak je jeho použitie obmedzené.

(2) Na platnosť a zrušenie kvalifikovaného certifikátu sa vzťahuje § 8.

Podmienky stanovené v § 16 spĺňa napríklad aj nasledujúci dokument:

1
1. CA v SR, Bratislava, Púpavová 33
1. CA v SR
PCS
Nritťíésnrť=čšížýwlfíbgťéš36Gé89%M"1QWSDCVBníéih67
-1 minúta
21.4.2001 16:43:56
No 1
????? (nedá sa to podpísať)
nepoužiteľný

§ 17
Povinnosti a zodpovednosť akreditovaného poskytovateľa certifikačných služieb

(1) Akreditovaný poskytovateľ certifikačných služieb musí mať sídlo v Slovenskej republike.

Existujú aj zahraniční poskytovatelia akreditovaných služieb, ktorí nemajú sídlo v Slovenskej republike, ani tu neposkytujú svoje certifikačné služby

Akreditovaným poskytovateľom certifikačných služieb je aj výrobca napr. bezpečných prostriedkov na vytváranie elektronického podpisu. Znamená to, že ak nemá sídlo v SR, neuznávame jeho výrobky? To by bolo asi v rozpore s Direktívou, ale znemožnilo by budovať akreditovaných PCS, nakoľko je malý predpoklad, že by si všetky potrebné komponenty dokázali vytvoriť sami.

Medzinárodné dohody (viď Direktíva) umožňujú priznať štatút akreditovaného PCS aj zahraničným PCS. Naviac sa to dá dosiahnuť aj krížovou certifijkáciou domáceho akreditovaného PCS a zahraničného PCS.

(2) Akreditovaný poskytovateľ certifikačných služieb je pri vydávaní kvalifikovaných certifikátov okrem povinností poskytovateľa certifikačných služieb podľa § 9 povinný

zabezpečiť, aby certifikáty vydané ako kvalifikované certifikáty obsahovali všetky náležitosti kvalifikovaných certifikátov,

pred vydaním kvalifikovaného certifikátu totožnosť osoby, ktorej sa kvalifikovaný certifikát vydáva,

v predchádzajúcej vete vypadlo sloveso

to znamená, že pri vydávaní "obyčajného" certifikátu sa totožnosť žiadateľa o certifikát nemusí overovať?

Čo ak je žiadateľom o vydanie certifikátov iná osoba ako držiteľom (zamestnávateľ pre zamestnancov)?

Kto overí, že žiadateľ o vydanie certifikátu disponuje súkromným kľúčom prislúchajúcim k verejnému kľúču, na ktorý sa vydáva certifikát?

používať bezpečný systém uchovávania kvalifikovaných certifikátov uchovať kvalifikované certifikáty tak, aby sa vždy dala overiť správnosť záznamov a zistiť každý zásah porušujúci bezpečnosť systému,

ideál, ktorý sa nedá dosiahnuť. Keďže sa to však akreditovanému PCS ukladá, mal by to byť schopný dokázať a za porušenie tejto požiadavky mu je možné udeliť sankcie.

zverejniť reklamačný poriadok a cenník poskytovaných služieb,

používať bezpečné prostriedky elektronického podpisu a bezpečné postupy, ktoré tieto prostriedky používajú; prostriedok je bezpečný, ak vyhovuje bezpečnostným podmienkam podľa § 24,

pojem prostriedok elektronického podpisu, ani pojem bezpečný prostriedok elektronického podpisu nebol definovaný

viesť dokumentáciu o dodržiavaní postupov a bezpečnostných pravidiel podľa písmen c) a e),

v akej forme, podľa akých predpisov?

ohlásiť Úradu bezodkladne všetky prípady porušenia alebo ohrozenia bezpečnosti systému,

aj tie, na ktoré neprišiel?

preveriť, či žiadateľ uvedený v certifikáte v čase jeho vydania preukázateľne vlastní informáciu na vyhotovenie podpisu, ktorá zodpovedá informácii na overenie podpisu, pre ktorú sa certifikát vydáva,

žiadateľom o vydanie cerifikátu nemusí byť osoba uvedená v certifikáte

zverejniť svoje identifikačné údaje a svoje certifikáty, ktoré používa pri výkone certifikačných služieb,

pri výkone certifikačných služieb sa môžu používať certifikáty, ktoré sa nezverejňujú (napr. certifikáty verejných kľúčov operátorov)

uchovať vydané a zrušené kvalifikované certifikáty najmenej 30 rokov,

umožniť Úradu vykonanie kontroly dodržiavania bezpečnostných pravidiel,

informovať pri vydaní kvalifikovaného certifikátu žiadateľa o podmienkach používania kvalifikovaného certifikátu a o obmedzeniach jeho použitia a umožniť získať tieto informácie na vyžiadanie i iným osobám,

ľubovoľnej osobe, alebo tam je nejaké obmedzenie?

prijať zodpovedajúce opatrenia na zamedzenie zneužitia a falšovania kvalifikovaných certifikátov a zabezpečiť utajenie informácie pre vyhotovenie zaručeného elektronického podpisu,

aký súkromný kľúč sa má na mysli? Na podpisovanie kvalifikovaných certifikátov akreditovaným PCS, alebo akýkoľvek súkromný kľúč na vytváranie zaručených elektronických podpisov.

Ak sa jedná len o jeden súkromný kľúč, ako to vyzerá s povinnosťou chrániť ostatné súkromné kľúče, ktoré PCS používa?

poskytovať certifikačné služby len vlastnými zamestnancami, ktorí majú zodpovedajúcu kvalifikáciu, odborné znalosti a skúsenosti potrebné pre poskytovanie certifikačných služieb,

je možné, že niektoré služby bude CA poskytovať v spolupráci s inými subjektami (napríklad služba časových pečiatok, vedenie archívu), alebo poskytovanie certifikačných služieb po havárii. Zákon to zakazuje.

uzavrieť zmluvu o poistení zodpovednosti za škodu podľa odseku 3.

(3) Akreditovaný poskytovateľ certifikačných služieb zodpovedá za škodu, ktorá vznikla porušením povinností podľa odseku 1 podľa všeobecných predpisov o náhrade škody⁴⁾.

(4) Ak kvalifikovaný certifikát obsahuje obmedzenie jeho použitia, akreditovaný poskytovateľ certifikačných služieb nezodpovedá za škodu, ktorá vyplýva z použitia kvalifikovaného certifikátu na iný účel, ako bol vydaný.

(5) Zodpovednosť akreditovaného poskytovateľa certifikačných služieb za škodu spôsobenú pri poskytovaní certifikačných služieb nemožno vopred vylúčiť ani obmedziť.

§ 18
Skončenie činnosti akreditovaného poskytovateľa certifikačných služieb

(1) Činnosť akreditovaného poskytovateľa certifikačných služieb končí:

na základe vlastného rozhodnutia,

zánikom akreditovaného poskytovateľa certifikačných služieb,

odňatím akreditácie.

(2) Skončením činnosti akreditovaného poskytovateľa certifikačných služieb nezaniká platnosť ním vydaných certifikátov.

(3) Akreditovaný poskytovateľ certifikačných služieb je pri skončení činnosti povinný

"pri skončení činnosti" - Čo ak o tom dopredu nevie, že skončí činnosť?

oznámiť Úradu šesť mesiacov vopred svoj zámer skončiť činnosť,

odovzdať agendu certifikačných služieb inému akreditovanému poskytovateľovi certifikačných služieb na základe vzájomnej dohody tak, aby nedošlo k ohrozeniu a spochybneniu elektronických podpisov založených na vydaných certifikátoch; ak k dohode nedôjde, agendu prevezme Úrad,

v akom termíne?

informovať tri mesiace vopred osoby využívajúce jeho služby o akreditovanom poskytovateľovi certifikačných služieb, ktorý prevezme jeho agendu.

§ 19
Certifikát akreditovaného poskytovateľa certifikačných služieb

(1) Certifikát akreditovaného poskytovateľa certifikačných služieb určený na poskyto-vanie certifikačných služieb vydá Úrad.

Z tejto formulácie nie je jasné, čo to je. Či sa jedná o akési osvedčenie, potvrdzujúce, že PCS získal akreditáciu, alebo certifikát verejného kľúča PCS.

Mal by to byť certifikát verejného kľúča PCS. Bude však jeden, alebo niekoľko? Bude sa vydávať právnickej osobe (PCS), alebo jej štatutárovi, alebo operátorom? Z bezpečnostných dôvodov je potrebné na rozličné certifikačné služby používať zaručené elektronické podpisy, vytvorené pomocou rozličných súkromných kľúčov; predpoklad o vydaní jedného certifikátu verejného kľúča naznačuje, že zákon ráta s tým, že sa všetky zaručené elektronické podpisy v PCS budú vytvárať pomocou jedného súkromného kľúča. (A jedným človekom?)

Keďže len akreditovaný PCS je oprávnený vydávať kvalifikované certifikáty, je paradoxné, že na to mu má stačiť len obyčajný - nie kvalifikovaný - certifikát.

(2) Úrad zruší certifikát akreditovaného poskytovateľa certifikačných služieb, ak

zrušil akreditáciu poskytovateľovi certifikačných služieb,

akreditovaný poskytovateľ certifikačných služieb o to požiada.

Čo bude s certifikátom akreditovaného PCS ak Úrad pozastaví akreditovanému PCS právo vykonávať niektorú z činností, alebo dočasne mu pozastaví akreditáciu v zmysle § 20, ods. (4) tohto zákona?

§ 20
Akreditácia poskytovateľa certifikačných služieb

(1) Akreditácia je činnosť, ktorou sa osvedčuje spôsobilosť na poskytovanie certifikač-ných služieb, ktorých predmetom je vydávanie kvalifikovaných certifikátov.

To by potom akreditácia musela byť permanentným procesom

Samotné vydávanie kvalifikovaných certifikátov nemá zmysel, ak nie súčasne poskytovaná služba overovania kvalifikovaných certifikátov, rušenie kvalifikovaných certifikátov a vydávanie zoznamu zrušených kvalifikovaných certifikátov, archivovanie kvalifikovaných certifikátov. Tieto činnosti tvoria správu kvalifikovaných certifikátov a udelenie/priznanie akreditácie oprávňuje PCS na to, aby vykonával sprácu kvalifikovaných certifikátov.

(2) Subjekty akreditácie sú:

Úrad a
akreditovaná osoba.

(3) Úrad

na základe žiadostí uchádzačov o akreditáciu vydáva osvedčenia o akreditácii,

Úrad si musí najprv overiť pravdivosť údajov uvedených v žiadosti, samotná žiadosť je síce podnetom pre začatie akreditačného procesu, ale nie postačujúcou podmienkou pre jeho úspešné ukončenie.

na vyžiadanie poskytuje informácie o zásadách, podmienkach a postupe akreditácie a o úhrade nákladov za akreditáciu,

včas upozorňuje akreditované osoby na zmeny požiadaviek akreditáciu, ktoré pripravuje,

vedie zoznam vydaných osvedčení o akreditácii; vydané osvedčenia a ich zmeny zverejňuje vo vestníku.

(4) Ak Úrad zistí nedostatky v plnení povinností podľa tohto zákona a podľa závažnosti zistených nedostatkov pozastaví akreditáciu do odstránenia nedostatkov, alebo osvedčenie o akreditácii odníme.

§ 21
Žiadosť o akreditáciu

(1) Úrad vydá osvedčenie o akreditácii na základe

Podľa § 20 ods (1)

"Akreditácia je činnosť, ktorou sa osvedčuje spôsobilosť na poskytovanie certifikačných služieb"

Potom

Úrad vydá osvedčenie o akreditácii = Úrad vydá osvedčenie o činnosti, ktorou sa osvedčuje spôsobilosť na poskytovanie certifikačných služieb

žiadosti o akreditáciu a

splnenia technických, organizačných, bezpečnostných, odborných a personálnych podmienok na poskytovanie certifikačných služieb podľa § 17.

Kto a na základe čoho to overí?

(2) Žiadosť o akreditáciu na poskytovanie certifikačných služieb obsahuje

meno, priezvisko a bydlisko, miesto podnikania, ak o akreditáciu žiada fyzická osoba alebo názov a sídlo, ak o akreditáciu žiada právnická osoba,

môže byť akreditovaným poskytovateľom certifikačných služieb fyzická osoba? Keďže nutným predpokladom uznania slovenských kvalifikovaných certifikátov v zahraničí (napr. v Nemecku), je rovnaká úroveň bezpečnosti, mali by aj slovenskí akreditovaní poskytovatelia certifikovaných služieb spĺňať podmienky, ktoré na akreditovaných PCS kladie Nemecko. A tam je napr. majetok aspoň 600 000 DM, poistenie za spôsobené škody adpoň 1.000.000 Eur a i.

identifikačné číslo žiadateľa,

doklad o oprávnení na podnikanie, u osôb zapísaných do obchodného registra tiež výpis z obchodného registra, nie staršie ako 3 mesiace,

výpis z registra trestov fyzických osôb, nie starší ako tri mesiace,

druh služieb, na poskytovanie ktorých sa akreditácia žiada,

podľa § 20, ods. (1) akreditácia sa vzťahuje na poskytovanie certifikačných služieb, ktorých predmetom je vydávanie kvalifikovaných certifikátov.

O akých iných druhoch služieb sa hovorí v písm. e) ?

dokumentáciu o splnení technických, organizačných, bezpečnostných, odborných a personálnych podmienok na poskytovanie certifikačných služieb, pre ktoré sa akreditácia žiada; obsah a rozsah dokumentácie o technických, organizačných, bezpečnostných, odborných a personálnych podmienkach poskytovania certifikačných služieb, pre ktoré sa akreditácia žiada, ustanoví všeobecne záväzný právny predpis, ktorý vydá Úrad,

ešte raz, kto to všetko skontroluje?

údaje o finančnom zabezpečení poskytovania certifikačných služieb, o prevzatých úveroch a zabezpečení ich splácania,

doklad o zaplatení správneho poplatku.

(3) Žiadateľ musí k žiadosti priložiť čestné vyhlásenie, že

nie je v konkurze alebo v likvidácii,

nebol proti nemu zamietnutý návrh na vyhlásenie konkurzu pre nedostatok majetku,

nemá v Slovenskej republike daňové nedoplatky, nedoplatky zo zdravotného poistenia, nemocenského poistenia, dôchodkového poistenia, alebo príspevku na poistenie v nezamestnanosti, ktoré podliehajú výkonu rozhodnutia.

(4) O akreditácii Úrad rozhodne do 60 dní od doručenia žiadosti. Ak žiadateľ splnil všetky podmienky, Úrad vydá žiadateľovi osvedčenie o akreditácii. V opačnom prípade žiadosť zamietne.

Akreditácia nebude lacná. Môže sa stať, že v žiadosti budú chýbať údaje, ktoré by žiadateľ mohol na požiadanie Úradu doplniť, ale keďže podľa ods. (4) nesplnil všetky podmienky, Úrad jeho žiadosť zamietne. Tým sa akreditácia predraží a spomalí.

(5) Poskytovateľ certifikačných služieb, ktorému Úrad vydal osvedčenie o akreditácii, je povinný Úradu bezodkladne oznámiť každú zmenu skutočností rozhodujúcich pre vydanie osvedčenia o akreditácii podľa odseku 2 a 3.

§ 22
Osvedčenie o akreditácii a odňatie akreditácie

Osvedčenie o akreditácii obsahuje

obchodné meno a sídlo alebo miesto podnikania akreditovanej osoby,

predmet a rozsah akreditácie a technické podmienky akreditácie,

mená osôb, ktoré sú štatutárnym orgánom a spôsob, akým konajú v mene akreditovanej osoby,

číslo osvedčenia o akreditácii a dátum nadobudnutia jeho platnosti,

údaje o podmienkach a platnosti osvedčenia o akreditácii,
iné údaje, ak sú potrebné.

(2) Ak Úrad zistí porušenie akreditačných podmienok uvedených v osvedčení o akreditácii, vyzve akreditovaného poskytovateľa certifikačných služieb, aby nedostatky odstránil v primeranej lehote, ktorá nesmie byť dlhšia ako jeden mesiac. Ak akreditovaný poskytovateľ certifikačných služieb nedostatky neodstráni, Úrad začne konanie o odňatí akreditácie.

Môže akreditovaný PCS aj naďalej vykonávať činnosti, v ktorých Úrad zistil závažné nedostatky?

(3) Konanie sa začína dňom doručenia upovedomenia o jeho začatí akreditovanému poskytovateľovi certifikačných služieb.

(4) Úrad odníme akreditáciu, ak sa v konaní preukáže, že

akreditovaný poskytovateľ v určenej lehote neodstránil nedostatky plnenia akreditačných podmienok uvedených v osvedčení o akreditácii,

systém kvality u akreditovaného poskytovateľa osoby trvalo nezabezpečuje požadovanú úroveň,

nie je jasné, čo to je systém kvality akreditovaného PCS

formulácia "u akreditovaného poskytovateľa osoby" je zrejme chybná

od udelenia akreditácie do okamihu konania vždy uplynie len konečný čas. Preto podmienka, že kvalita poskytovaných složieb nedosahuje trvalo požadovanú úroveň, nemôže byť nikdy splnená.

činnosť akreditovaného poskytovateľa certifikačných služieb bola pozastavená podľa § 28 ods. 3 a poskytovateľ certifikačných služieb nevykonal opatrenia na nápravu,

podľa § 20, ods. (4) Ak Úrad zistí nedostatky v plnení povinností podľa tohto zákona a podľa závažnosti zistených nedostatkov pozastaví akreditáciu do odstránenia nedostatkov, alebo osvedčenie o akreditácii odníme.

V zákone sa nič nehovorí o pozastavení činnosti PCS: kto, na základe čoho, za akých podmienok a na aký čas môže pozastaviť činnosť PCS?

akreditovaný poskytovateľ certifikačných služieb vstúpil do likvidácie alebo bol na jeho majetok vyhlásený konkurz,

akreditovaný poskytovateľ certifikačných služieb uviedol v žiadosti o akreditáciu alebo v čestnom vyhlásení podľa § 21 ods. 2 a 3 nepravdivé údaje.

§ 23
Poskytovanie registračných služieb pre akreditovaného
poskytovateľa certifikačných služieb

(1) Na poskytovanie registračných služieb pre akreditovaného poskytovateľa certifikačných služieb sa vzťahuje § 12.

(2) Ak akreditovaný poskytovateľ certirfikačných služieb, s ktorým má poskytovateľ registračných služieb zmluvný vzťah, ukončí svoju činnosť, je poskytovateľ registračných služieb povinný odovzdať mu agendu súvisiacu s registrovanými osobami v lehote podľa § 18 ods. 3 písm. a).

(3) Poskytovateľ registračných služieb pre akreditovaného poskytovateľa certifikačných služieb je povinný pred vydaním kvalifikovaného certifikátu bezpečne overiť totožnosť osoby, pre ktorú kvalifikovaný certifikát vydáva poskytovateľ certifikačných služieb ako aj jej osobitné charakteristiky, ak to vyžaduje účel kvalifikovaného certifikátu.

Formulácia nie je presná. Čo to znamená "bezpečne overiť"?
Certifikát sa vydáva na nejaký verejný kľúč; kto overí, či žiadateľ o vydanie kvalifikovaného certifikátu disponuje zodpovedajúcim súkromným kľúčom?

§ 24
Prostriedok na vyhotovenie zaručeného elektronického podpisu a prostriedok na overenie zaručeného elektronického podpisu

(1) Prostriedok na vyhotovenie zaručeného elektronického podpisu musí zabezpečiť, aby

informácia na vyhotovenie podpisu sa vyskytovala iba raz a aby bolo zaistené jej spoľahlivé utajenie,

ak sa súkromný kľúč nevytvára pomocou daného prostriedku na vyhotovenie zaručeného elektronického podpisu, ale sa doň vkladá, vyššie uvedená požiadavka sa nedá splniť. Ak sa aj súkromný kľúč generuje v danom technickom zariadení, existuje nenulová pravdepodobnosť vytvorenia dvoch rovnakých súkromných kľúčov.

informácia na vyhotovenie podpisu bola pod kontrolou podpisujúcej osoby a aby mohla byť podpisujúcou osobou spoľahlivo chránená proti zneužitiu treťou osobou,

žiadne technické zariadenie nemôže zaručiť niečo, čo závisí od toho, akým spôsobom sa s ním narába. Táto požiadavka vyjadruje, že ak podpisovateľ dodržiava všetky stanovené pravidlá, tak sa k súkromnému kľúču nemôže dostať nepovolaná osoba.

informácia na vyhotovenie podpisu sa nedala odvodiť zo znalosti spôsobu jej vyhotovenia, ani zo znalosti spôsobu vyhotovovania elektronického podpisu a aby elektronický podpis bol chránený proti falšovaniu s využitím dostupnej technológie.

Opäť absolútne a nesplniteľné požiadavky. Súkromný kľúč je možné odvodiť z verejného kľúča napríklad úplným preberaním všetkých možností. Ide o to, aby sa to nedalo spraviť efektívne.

(2) Prostriedok na vyhotovenie zaručeného elektronického podpisu nesmie meniť podpisovaný elektronický reťazec.

Pojem podpisovaný elektronický reťazec nebol definovaný.

(3) Prostriedok na vyhotovenie zaručeného elektronického podpisu musí umožňovať kontrolu podpisovaného elektronického reťazca, pri podpisovaní, tak aby bolo zabezpečené, že podpisovateľ podpisuje iba taký reťazec, ktorého obsah pozná.

Čo sa rozumie pod "kontrolou podpisovaného elektronického reťazca", čo znamená "obsah reťazca"?

Ide o to, aby sa kompletne zobrazil dokument, ku ktorému sa má vytvoriť zaručený elektronický podpis, nestačí poznať len jeho obsah.

(4) Prostriedok na overenie zaručeného elektronického podpisu musí zabezpečiť, aby

podpis bol spoľahlivo overený a aby výsledok overenia bol riadne zobrazený,

bolo možné bezpečne zistiť, či certifikát použitý pri overovaní elektronického podpisu je pravý a bol platný v čase vytvorenia elektronického podpisu,

aby overujúca osoba mohla spoľahlivo zistiť obsah podpísaného reťazca a totožnosť podpisujúcej osoby.

(5) Podrobnosti o požiadavkách na prostriedky na vyhotovenie zaručeného elektronic-kého podpisu a podrobnosti o požiadavkách na overenie zaručeného elektronického podpisu ustanoví všeobecne záväzný právny predpis, ktorý vydá Úrad.

§ 25
Uznávanie zahraničných certifikátov

(1) Certifikáty vydané zahraničným poskytovateľom certifikačných služieb sa považujú za certifikáty vydané poskytovateľom certifikačných služieb podľa tohto zákona, ak je zaistená ich spoľahlivosť v rozsahu podľa tohto zákona.

Čo znamená spoľahlivosť certifikátu?

(2) Kvalifikované certifikáty vydané zahraničným poskytovateľom certifikačných služieb sa považujú za kvalifikované certifikáty vydané akreditovaným poskytovateľom certifikačných služieb podľa tohto zákona, ak

to vyplýva z medzinárodnej zmluvy, ktorou je Slovenská republika viazaná,

o tom rozhodne Úrad.

(3) V pochybnostiach o splnení podmienok podľa odseku 1 rozhoduje o uznaní certifikátu Úrad.

(4) Dňom vstupu Slovenskej republiky do Európskej únie sa certifikát alebo kvalifikovaný certifikát vydané poskytovateľom certifikačných služieb, ktorý má sídlo
v Európskej únii, považuje za certifikát alebo kvalifikovaný certifikát vydané poskytovateľom certifikačných služieb alebo akreditovaným poskytovateľom certifikačných služieb podľa tohto zákona.

§ 26
Uznávanie elektronických podpisov zahraničných osôb

Elektronický podpis vyhotovený zahraničným podpisovateľom podľa právnych predpisov iného štátu má právne účinky, ak má náležitosti podľa tohto zákona a je overený certifikátom uznaným podľa § 25.

§ 27
Úrad

(1) Úrad vo veciach elektronického podpisu

vydáva a odníma osvedčenie o akreditácii poskytovateľa certifikačných služieb,

vedie evidenciu akreditovaných poskytovateľov certifikačných služieb,

kontroluje činnosť poskytovateľov certifikačných služieb,

ukladá sankcie za porušenie zákona,

uskutočňuje styk so zahraničnými poskytovateľmi certifikačných služieb a koordinuje medzinárodné aktivity.

(2) Úrad vydáva certifikáty, ktoré akreditovaný poskytovateľ certifikačných služieb používa na poskytovanie certifikačných služieb.

Nie je jasné, o aké certifikáty ide

Úrad si musí sám vydať kvalifikovaný certifikát vlastného verejného kľúča

Preberanie agendy zaniknuvšieho PCS

Certifikácia produktov pre elektronický podpis

Vydávanie vykonávacích predpisov k zákonu, noriem a štandardov

Vydávanie akreditačnej schémy

Udeľovanie oprávnení pre vykonávanie auditu PCS

Postavenie Úradu v systéme štátnych orgánov?

§ 28
Kontrola akreditovaných poskytovateľov certifikačných služieb

(1) Úrad vykoná kontrolu u akreditovaného poskytovateľa certifikačných služieb najmenej raz za 12 mesiacov. Pri kontrole preveruje najmä dodržiavanie technických, organizačných, bezpečnostných, odborných a personálnych podmienok poskytovania certifikačných služieb.

Pri výkone kontroly sú zamestnanci Úradu a ním prizvané osoby oprávnené vstupovať do objektov, zariadení a systémov akreditovaného poskytovateľa certifikačných služieb a vyžadovať od nich súčinnosť pri kontrole, nahliadnutie do dokladov a informácie, ktoré súvisia s poskytovaním certifikačných služieb; prizvané osoby sú povinné zachovávať mlčanlivosť o skutočnostiach, o ktorých sa dozvedeli pri výkone kontroly

"zamestnanci Úradu a ním prizvané osoby" nie je to príliš slabé oprávnenie?

Aká je úloha a kvalifikácia prizvaných osôb?

(3) Ak Úrad pri kontrole zistí, že akreditovaný poskytovateľ certifikačných služieb porušil povinnosti ustanovené v tomto zákone, uloží mu opatrenia na nápravu a lehotu, v ktorej je povinný nedostatky odstrániť.

(4) Za porušenie povinností ustanovených v tomto zákone môže Úrad akreditovanému poskytovateľovi certifikačných služieb, okrem uloženia opatrení na nápravu tiež pozastaviť činnosť, najdlhšie však na tri mesiace. Ak akreditovaný poskytovateľ certifikačných služieb v lehote, na ktorú mu bola činnosť pozastavená, nedostatky neodstráni, Úrad jeho akreditáciu zruší.

§ 29
Sankcie

(1) Úrad uloží pokutu

od 5 000 000 Sk do 10 000 000 Sk právnickej osobe alebo fyzickej osobe, ktorá vydáva kvalifikované certifikáty bez akreditácie,

od 5 000 000 Sk do 10 000 000 Sk akreditovanému poskytovateľovi certifikačných služieb, ktorý neposkytuje certifikačné služby podľa postupov a v súlade s bezpečnostnými pravidlami,

neposkytuje službu zrušovania certifikátov,

nezverejňuje ním vydané certifikáty a ním zrušené certifikáty,

nezverejňuje svoje identifikačné údaje alebo certifikáty, ktoré používa pri poskytovaní certifikačných služieb,

vykonáva činnosť, ktorá mu bola dočasne pozastavená,

marí výkon kontroly a neposkytne súčinnosť podľa tohto zákona,

nevykonáva bezpečnostný audit.

od 300 000 Sk do 1 000 000 Sk akreditovanému poskytovateľovi certifikačných služieb, ktorý

poruší povinnosť zrušenia certifikátu,

poruší povinnosť viesť dokumentáciu o dodržiavaní postupov a bezpečnostných pravidiel,

neinformuje osoby, ktorým poskytuje služby o zámere ukončiť činnosť alebo o poskytovateľovi certifikačných služieb, ktorý prevezme jeho agendu,

od 300 000 Sk do 1 000 000 Sk poskytovateľovi registračných služieb, ktorý vykonáva služby pre akreditovaného poskytovateľa certifikačných služieb a

neposkytuje registračné služby podľa postupov a v súlade s ustanoveniami tohto zákona,

nezabezpečí správnosť, presnosť a úplnosť údajov o registrovaných osobách,

nevedie dokumentáciu o spôsobe poskytovania a bezpečnosti registračných služieb,

nechráni údaje o registrovaných osobách pred zneužitím.

(2) Pri uložení pokuty sa prihliada na závažnosť, trvanie a následky protiprávneho konania.

(3) Pokutu podľa odseku 1 môže Úrad uložiť do jedného roka odo dňa, keď porušenie povinností zistí, najneskôr do troch rokov odo dňa, keď k porušeniu povinností došlo.

(4) Pokutu vymáha Úrad.

(5) Výnos z pokút je príjmom štátneho rozpočtu.

§ 30
Spoločné ustanovenie

Na konanie Úradu podľa tohto zákona sa vzťahujú všeobecné predpisy o správnom konaní⁸⁾, ak tento zákon neustanovuje inak.

§ 31
Účinnosť

Tento zákon nadobúda účinnosť 1. januára 2002.

____________________
8) Zákon č. 71/1967 Zb. o správnom konaní (správny poriadok)

Príloha č. 2

Vládny návrh zákona o elektronickom podpise
( tézy pripomienok pre rokovanie vlády)

Zákon o elektronickom podpise SR potrebuje kvôli elektronickému obchodovaniu, zefektívneniu štátnej administratívy, zjednodušeniu styku občana s úradmi. Okrem toho - Direktíva 1999/93/EC - ukladá členským štátom UE prijať zákon o elektronickom podpise do 19. júla 2001

Ministerstvo hospodárstva SR pripravuje zákon o e-podpise od jesene 1999. Pripravuje ho úzka uzavretá skupina bez účasti odbornej verejnosti.

So zákonom o elektronickom podpise sú problémy aj v okolitých krajinách - Nemecko, Rakúsko (novelizácia) ČR - problémy s realizáciou. Dôvod: zákon má definovať zložitý informačno-komunikačný systém (public key infrastructure, PKI) a zohľadniť pritom právne, technické, kryptologické, informačno-bezpečnostné, organizačné, ekonomické a personálne aspekty.

Návrh MH SR:

Pohľad zhora nadol: vychádza zo vzorového zákona UNCITRAL-u a Direktívy EU, ale nezohľadňuje potreby realizácie PKI

Všeobecný zákon: skoro všetko je ponechané na vykonávacie predpisy - tie však nemajú možnosť zakladať práva a povinnosti

Kľúčové pojmy nie sú jednoznačne definované (elektronický podpis, certifikát, kvalifikovaný certifikát); ustanovenia zákona sú potom protirečivé (elektronický podpis sa môže používať ako vlastnoručný podpis, hoci nemusí umožniť identifikáciu osoby, ktorá ho vytvorila)

Podmienky pre poskytovateľov certifikačných služieb sú definované voľne, neúplne a protirečivo (napr. vo vzťahu k medzinárodným normám - kvalifikovaný certifikát)

Kľúčový pojem - z hľadiska riešenia sporov - časová značka, je definovaný protirečivo a umožňuje falšovanie.

Nie sú poriadne definované certifikačné činnosti, ktoré má poskytovateľ certifikáčných služieb vykonávať a podmienky, ktoré pri tom musí spĺňať.

Nerozlišuje sa medzi obyčajným a zaručeným elektronickým podpisom; nie sú konkrétne popísané požiadavky na vytváranie zaručeného elektronického podpisu. Stiera sa (aj vďaka zrovnoprávneniu obyčajného a zaručeného e-podpisu) rozdiel medzi akreditovaným a obyčajným poskytovateľom certifikačných služieb.

Nie je jasná úloha štátu pri budovaní PKI - aké funkcie bude plniť NBÚ a iné štátne orgány?

Kto bude posudzovať produkty pre elektronický podpis?

Kto a ako bude generovať informáciu na vytváranie a overovanie elektronického podpisu?

Kto bude vydávať certifikát NBÚ?

Kto bude podpisovať a pomocou akého kľúča certifikáty, ktoré vydáva poskytovateľ certifikačných služieb?

Chýba zoznam zákonov, ktoré je potrebné zmeniť prijatím zákona o elektronickom podpise.

Nezohľadnili sa zásadné pripomienky z medzirezorného pripomienkovania.

Nie je jasné, na čo sú potrebné požadované prostriedky a či budú na realizáciu zákona stačiť.

Návrh ministerstva hospodárstva nie je špecifikáciou, na základe ktorej by bolo možné vybudovať funkčnú PKI. Keďže fungujúca národná PKI je prostriedkom pre rozvoj elektronického obchodu v SR, resp. medzi firmami v SR a zahraničnými firmami; musia slovenské elektronické podpisy uznávať v zahraničí. Ale na to budú musieť slovenské elektronické podpisy vyhovovať medzinárodným normám a musia byť vytvárané za porovnateľných bezpečnostných podmienok, ako elektronické podpisy toho istého druhu v zahraničí. Preto aj slovenský zákon o elektronickom podpise musí vytvárať rámec pre medzinárodne kompatibilnú PKI. Filozofia, ktorú uplatňujú tvorcovia vládneho návrhu zákona už poldruha roka k takémuto cieľu nepovedie.

Táto informácia bola prerokovaná na zasadnutí pracovnej skupiny dňa 24/05/2001}