2013/662/EU: Durchführungsbeschluss der Kommission vom 14. Oktober 2013 zur Änderung der Entscheidung 2009/767/EG in Bezug auf die Erstellung, Führung und Veröffentlichung von vertrauenswürdigen Listen der von den Mitgliedstaaten beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter (Bekanntgegeben unter Aktenzeichen C(2013) 6543) Text von Bedeutung für den EWR

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

16.11.2013 DE Amtsblatt der Europäischen Union L 306/21 DURCHFÜHRUNGSBESCHLUSS DER KOMMISSION vom 14. Oktober 2013 zur Änderung der Entscheidung 2009/767/EG in Bezug auf die Erstellung, Führung und Veröffentlichung von vertrauenswürdigen Listen der von den Mitgliedstaaten beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter (Bekanntgegeben unter Aktenzeichen C(2013) 6543) (Text von Bedeutung für den EWR) (2013/662/EU) DIE EUROPÄISCHE KOMMISSION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, gestützt auf die Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über Dienstleistungen im Binnenmarkt (1), insbesondere auf Artikel 8 Absatz 3, in Erwägung nachstehender Gründe: (1) Durch die Entscheidung 2009/767/EG der Kommission vom 16. Oktober 2009 über Maßnahmen zur Erleichterung der Nutzung elektronischer Verfahren über „einheitliche Ansprechpartner“ gemäß der Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates über Dienstleistungen im Binnenmarkt (2) werden die Mitgliedstaaten dazu verpflichtet, die Informationen bereitzustellen, die für die Prüfung von auf einem qualifizierten Zertifikat beruhenden fortgeschrittenen elektronischen Signaturen erforderlich sind. Die Informationen sind in einheitlicher Form unter Verwendung der so genannten „vertrauenswürdigen Listen“ bereitzustellen; diese Listen enthalten Angaben zu Zertifizierungsdiensteanbietern, die öffentlich qualifizierte Zertifikate gemäß der Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen (3) ausstellen und von den Mitgliedstaaten beaufsichtigt werden bzw. akkreditiert wurden. (2) Die in der Praxis gewonnene Erfahrung mit der Durchführung der Entscheidung 2009/767/EG durch die Mitgliedstaaten hat gezeigt, dass gewisse Verbesserungen vonnöten sind, wenn ein größtmöglicher Nutzen der vertrauenswürdigen Listen gewährleistet werden soll. Zudem hat das Europäische Institut für Telekommunikationsnormen (European Telecommunications Standards Institute — ETSI) neue technische Spezifikationen für vertrauenswürdige Listen (TS 119 612) veröffentlicht, die auf den Spezifikationen im Anhang der Entscheidung basieren, aber gleichzeitig einige Verbesserungen gegenüber den derzeit geltenden Spezifikationen beinhalten. (3) Die Entscheidung 2009/767/EG sollte deshalb dahin gehend geändert werden, dass auf die technischen Spezifikationen 119 612 des ETSI Bezug genommen wird und die Änderungen vorgenommen werden, die für eine bessere und leichtere Implementierung und Verwendung der vertrauenswürdigen Listen notwendig sind. (4) Damit die Mitgliedstaaten ausreichend Zeit haben, um die erforderlichen technischen Änderungen an ihren derzeitigen vertrauenswürdigen Listen vorzunehmen, sollte dieser Beschluss ab dem 1. Februar 2014 gelten. (5) Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des für die Dienstleistungsrichtlinie eingesetzten Ausschusses — BESCHLIESST: Artikel 1 Änderung der Entscheidung 2009/767/EG Die Entscheidung 2009/767/EG wird wie folgt geändert: 1. Artikel 2 wird wie folgt geändert: a) Die Absätze 1, 2 und 2a erhalten folgende Fassung: „(1) Jeder Mitgliedstaat sorgt entsprechend den im Anhang festgelegten technischen Spezifikationen für die Erstellung, Führung und Veröffentlichung einer „vertrauenswürdigen Liste“, die mindestens Angaben zu den von ihm beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbietern enthält, die öffentlich qualifizierte Zertifikate ausstellen.“ „(2) Die Mitgliedstaaten erstellen und veröffentlichen die vertrauenswürdige Liste entsprechend den im Anhang festgelegten Spezifikationen in maschinenlesbarer Form. Entscheidet sich ein Mitgliedstaat dafür, seine vertrauenswürdige Liste in menschenlesbarer Form zu veröffentlichen, hat diese Fassung der Liste den im Anhang festgelegten Spezifikationen zu entsprechen.“ „(2a) Die Mitgliedstaaten versehen die maschinenlesbare Fassung ihrer vertrauenswürdigen Liste mit einer elektronischen Signatur, um ihre Authentizität und Integrität zu gewährleisten. Veröffentlicht ein Mitgliedstaat die vertrauenswürdige Liste in menschenlesbarer Form, stellt er sicher, dass diese Fassung der Liste dieselben Angaben enthält wie die Liste in maschinenlesbarer Form, und versieht sie mit einer elektronischen Signatur auf der Grundlage desselben Zertifikats, das bei der maschinenlesbaren Fassung verwendet wird.“ b) Folgender Absatz 2b wird eingefügt: „(2b) Die Mitgliedstaaten stellen sicher, dass die maschinenlesbare Fassung ihrer vertrauenswürdigen Liste jederzeit und ohne Unterbrechungen — ausgenommen aus Wartungsgründen — an ihrem Veröffentlichungsort zugänglich ist.“ c) Absatz 3 erhält folgende Fassung: „(3) Die Mitgliedstaaten teilen der Kommission Folgendes mit: a) die Stelle(n), die für die Erstellung, Führung und Veröffentlichung der vertrauenswürdigen Liste in maschinenlesbarer Form zuständig ist (sind); b) den Veröffentlichungsort der maschinenlesbaren Fassung der vertrauenswürdigen Liste; c) zwei oder mehrere Public-Key-Zertifikate eines „Scheme operator“ mit einer um mindestens drei Monate zeitversetzten Gültigkeitsdauer, die den privaten Schlüsseln entsprechen, welche für die elektronische Signatur der maschinenlesbaren Fassung der vertrauenswürdigen Liste verwendet werden können; d) jegliche Änderungen in Bezug auf die Buchstaben a, b und c.“ d) Folgender Absatz 3a wird eingefügt: „(3a) Veröffentlicht ein Mitgliedstaat die vertrauenswürdige Liste in menschenlesbarer Form, sind die in Absatz 3 genannten Informationen auch für die menschenlesbare Fassung zu übermitteln.“ 2. Der Anhang wird durch den Anhang dieses Beschlusses ersetzt. Artikel 2 Anwendung Dieser Beschluss gilt ab dem 1. Februar 2014. Artikel 3 Adressaten Dieser Beschluss ist an die Mitgliedstaaten gerichtet. Brüssel, den 14. Oktober 2013 Für die Kommission Michel BARNIER Mitglied der Kommission (1) ABl. L 376 vom 27.12.2006, S. 36. (2) ABl. L 274 vom 20.10.2009, S. 36. (3) ABl. L 13 vom 19.1.2000, S. 12. ANHANG TECHNISCHE SPEZIFIKATIONEN FÜR EINE GEMEINSAME VORLAGE FÜR DIE „VERTRAUENSWÜRDIGE LISTE DER BEAUFSICHTIGTEN BZW. AKKREDITIERTEN ZERTIFIZIERUNGSDIENSTEANBIETER“ ALLGEMEINE ANFORDERUNGEN 1. Einleitung Zweck der gemeinsamen Vorlage für die „vertrauenswürdige Liste der beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter“ der Mitgliedstaaten ist die Festlegung einer gemeinsamen Vorgehensweise, die alle Mitgliedstaaten anwenden, um Informationen über den Aufsichts- bzw. Akkreditierungsstatus der Zertifizierungsdienste von Zertifizierungsdiensteanbietern (1) (Certification Service Providers — CSPs) bereitzustellen, die im Hinblick auf die Einhaltung der einschlägigen Bestimmungen der Richtlinie 1999/93/EG von den betreffenden Mitgliedstaaten beaufsichtigt werden bzw. akkreditiert wurden. Dies beinhaltet auch die Bereitstellung historischer Informationen über den Aufsichts- bzw. Akkreditierungsstatus der beaufsichtigten bzw. akkreditierten Zertifizierungsdienste. Diese Informationen dienen vor allem zur Validierung qualifizierter elektronischer Signaturen (Qualified Electronic Signatures — QES) und fortgeschrittener elektronischer Signaturen (Advanced Electronic Signatures — AdES) (2), die auf einem qualifizierten Zertifikat (Qualified Certificate — QC) beruhen (3) (4). Zu den für die vertrauenswürdige Liste zwingend erforderlichen Angaben zählen mindestens Informationen über beaufsichtigte bzw. akkreditierte CSPs, die qualifizierte Zertifikate (QCs) (5) gemäß den Bestimmungen der Richtlinie 1999/93/EG (Artikel 3 Absatz 2, Artikel 3 Absatz 3 und Artikel 7 Absatz 1 Buchstabe a) ausstellen, einschließlich — sofern dies nicht Bestandteil der QCs ist — Informationen über QCs zur Unterstützung einer elektronischen Signatur und Informationen darüber, ob die Signatur von einer sicheren Signaturerstellungseinheit (Secure Signature Creation Device — SSCD) (6) erzeugt wurde. Zusatzinformationen über andere CSPs, die keine QCs ausstellen, aber Dienste im Zusammenhang mit elektronischen Signaturen anbieten (z. B. CSPs, die Zeitstempel, Zeitstempel-Tokens oder nicht qualifizierte Zertifikate ausstellen), können auf einzelstaatlicher Basis freiwillig in die vertrauenswürdige Liste aufgenommen werden, sofern sie entweder auf vergleichbare Weise wie die CSPs, die QCs ausstellen, beaufsichtigt werden bzw. akkreditiert wurden oder nach einem anderen einzelstaatlichen Genehmigungssystem zugelassen wurden. In einigen Mitgliedstaaten können sich die einzelstaatlichen Genehmigungssysteme in Bezug auf die geltenden Anforderungen und/oder die zuständige Organisation von den Aufsichts- oder freiwilligen Akkreditierungssystemen für QCs ausstellende CSPs unterscheiden. Die in den vorliegenden Spezifikationen verwendeten Begriffe „akkreditiert“ und/oder „beaufsichtigt“ decken auch die einzelstaatlichen Genehmigungssysteme ab, doch müssen die Mitgliedstaaten in ihrer vertrauenswürdigen Liste Zusatzinformationen zur Art der einzelstaatlichen Regelungen geben, einschließlich präziser Angaben zu den etwaigen Unterschieden gegenüber den Akkreditierungs- bzw. Aufsichtssystemen, denen QCs ausstellende CSPs unterliegen. Die gemeinsame Vorlage stützt sich auf ETSI TS 119 612 v1.1.1 (7) (im Folgenden „ETSI TS 119 612“), die Erstellung, Veröffentlichung, Fundstellen, Zugänglichkeit, Authentifizierung und Integrität solcher Listen regelt. 2. Struktur der gemeinsamen Vorlage für die vertrauenswürdige Liste Die gemeinsame Vorlage für die vertrauenswürdige Liste der Mitgliedstaaten ist gemäß ETSI TS 119 612 in folgende Kategorien von Informationen untergliedert: 1. Tag zur Identifikation der vertrauenswürdigen Liste (Trusted list tag) bei elektronischen Suchvorgängen; 2. Informationen über die vertrauenswürdige Liste und ihre Ausstellungsmodalitäten; 3. eine Abfolge von Feldern, die eindeutige Informationen zur Identifizierung jedes im Rahmen des Systems beaufsichtigten bzw. akkreditierten CSP enthalten (diese Abfolge ist optional; d. h. wenn sie nicht verwendet wird, wird die Liste als leer betrachtet, was bedeutet, dass es in dem betreffenden Mitgliedstaat keinen für die Zwecke der vertrauenswürdigen Liste in Betracht kommenden beaufsichtigten oder akkreditierten CSP gibt); 4. für jeden gelisteten CSP detaillierte Angaben zu den jeweiligen vertrauenswürdigen Diensten, deren aktueller Status in der vertrauenswürdigen Liste vermerkt ist, als eine Abfolge von Feldern zur eindeutigen Identifizierung der von dem CSP erbrachten beaufsichtigten bzw. akkreditierten Zertifizierungsdienste sowie ihres gegenwärtigen Status (diese Abfolge muss mindestens einen Eintrag haben); 5. für jeden gelisteten beaufsichtigten bzw. akkreditierten Zertifizierungsdienst etwaige historische Statusinformationen; 6. die für die vertrauenswürdige Liste geltende Signatur. In Bezug auf einen QCs ausstellenden CSP müssen die Struktur der vertrauenswürdigen Liste und insbesondere die Informationen über die Dienste (siehe oben Punkt 4) es ermöglichen, im Feld „Service information extensions“ ergänzende Angaben zu machen für den Fall, dass im qualifizierten Zertifikat keine ausreichenden (maschinenlesbaren) Angaben über dessen „qualifizierten“ Status und eine mögliche SSCD-Unterstützung verfügbar sind, und insbesondere auch, um der Tatsache Rechnung zu tragen, dass der Großteil der (kommerziellen) CSPs nur eine einzige Zertifizierungsstelle (Certification Authority — CA) mit der Ausstellung verschiedener Typen qualifizierter und nicht qualifizierter Anwenderzertifikate betraut. Im Kontext von Zertifikatserstellungsdiensten kann, wenn einer oder mehrere Upper-Level-CA-Dienste innerhalb der PKI des CSP existieren (z. B. bei einer Hierarchie von CAs, die von einer Root-CA hinunter bis zu verschiedenen Zertifikate ausstellenden CAs reicht), die Zahl der Diensteinträge für einen CSP in der Liste reduziert werden, indem solche Upper-Level-CA-Dienste und nicht die CA-Dienste, die die Anwenderzertifikate ausstellen, gelistet werden (z. B. ausschließliches Listen der Root-CA des CSP). Die Statusinformationen gelten in diesen Fällen jedoch für die gesamte Hierarchie der dem gelisteten Dienst nachgeordneten CA-Dienste; außerdem darf nicht von dem Grundsatz abgewichen werden, dass ein eindeutiger Bezug zwischen einem CSPQC-Zertifizierungsdienst und der Gruppe von Zertifikaten, die als QCs identifiziert werden sollen, gewährleistet sein muss. 2.1. Beschreibung der Informationen in den einzelnen Kategorien 1. Tag zur Identifizierung der vertrauenswürdigen Liste 2. Informationen über die vertrauenswürdige Liste und ihre Ausstellungsmodalitäten Die nachstehenden Informationen sind Teil dieser Kategorie: — Identifikator für die Formatversion der vertrauenswürdigen Liste; — Abfolge- (oder Release-)Nummer; — Angaben zum Typ der vertrauenswürdigen Liste (z. B. Angabe der Tatsache, dass diese vertrauenswürdige Liste Informationen über den Aufsichts- bzw. Akkreditierungsstatus der Zertifizierungsdienste von CSPs enthält, die von dem betreffenden Mitgliedstaat im Hinblick auf die Einhaltung der Bestimmungen der Richtlinie 1999/93/EG beaufsichtigt werden bzw. akkreditiert wurden); — Angaben zum Scheme operator (Eigentümer) der vertrauenswürdigen Liste (z. B. Name, Adresse, Kontaktdaten usw. der für die Erstellung, sichere Veröffentlichung und Führung der vertrauenswürdigen Liste zuständigen Stelle des Mitgliedstaats); — Angaben zu dem (den) Aufsichts- bzw. Akkreditierungssystem(en), dem (denen) die vertrauenswürdige Liste unterliegt; dazu zählen u. a.: — Land, für das die Liste gilt; — Angaben zu oder Verweise auf Orte, an denen Informationen über das (die) System(e) verfügbar sind (Vorlage, Vorschriften, Kriterien, Anwendergemeinschaft, Typen usw.); — Aufbewahrungszeitraum von (historischen) Informationen; — Richtlinien und/oder rechtlicher Hinweis, Haftung, Verantwortungsbereiche; — Datum und Uhrzeit der Ausstellung; — nächste geplante Aktualisierung. 3. Eindeutige Informationen zur Identifizierung aller im Rahmen des Systems beaufsichtigten bzw. akkreditierten CSPs Diese Informationen umfassen mindestens Folgendes: — offizielle Bezeichnung der CSP-Einrichtung gemäß amtlicher Registrierung (je nach Praxis im jeweiligen Mitgliedstaat unter Angabe der UID der CSP-Einrichtung); — Adresse und Kontaktdaten des CSP; — Zusatzinformationen über den CSP, die entweder direkt oder mittels Verweis auf eine Download-Adresse angegeben werden können. 4. Für jeden gelisteten CSP eine Abfolge von Feldern zur eindeutigen Identifizierung eines von dem CSP erbrachten Zertifizierungsdienstes, der im Rahmen der Richtlinie 1999/93/EG beaufsichtigt wird bzw. akkreditiert wurde Diese Informationen umfassen für jeden Zertifizierungsdienst eines gelisteten CSP mindestens Folgendes: — Service type identifier: einen Identifikator für den Typ des Zertifizierungsdienstes (aus dem z. B. hervorgeht, dass es sich bei dem beaufsichtigten bzw. akkreditierten Zertifizierungsdienst des CSP um eine Zertifizierungsstelle handelt, die QCs ausstellt); — Service (trade) name: den (Handels-)Namen dieses Zertifizierungsdienstes; — Service digital identity: einen eindeutigen, unverwechselbaren Identifikator des Zertifizierungsdienstes; — Service current status: einen Identifikator des aktuellen Status des Dienstes; — Datum und Uhrzeit des Beginns des „Current status“; — (ggf.) Service information extension: Zusatzinformationen über den Dienst (z. B. direkt angegeben oder mittels Verweis auf eine Download-Adresse): vom Scheme operator gegebene Informationen zur Definition des Dienstes, Zugangsinformationen in Bezug auf den Dienst, vom CSP gegebene Informationen zur Definition des Dienstes und Service information extensions; für CA/QC-Dienste beispielsweise eine optionale Abfolge von Informationstupeln, von denen jedes folgende Angaben enthält: — Kriterien zur näheren Identifikation (Filterung) innerhalb des identifizierten vertrauenswürdigen Dienstes der konkreten Outputs des Dienstes (z. B. Gruppe (qualifizierter) Zertifikate), für welche im Hinblick auf ihren Status, die Angabe zur SSCD-Unterstützung und/oder die Ausstellung für juristische Personen Zusatzinformationen erforderlich sind bzw. angegeben werden, und — verknüpfte „Kennzeichner“, die darüber informieren, ob unter den Outputs des Dienstes Zertifikate identifiziert werden, die als qualifiziert zu betrachten sind, und/oder ob die identifizierten qualifizierten Zertifikate des Dienstes von einer SSCD unterstützt werden und/oder ob solche QCs juristischen Personen ausgestellt werden (standardmäßig ist davon auszugehen, dass sie natürlichen Personen ausgestellt werden). 5. Für jeden gelisteten Zertifizierungsdienst die historischen Informationen über seinen Status 6. Eine Signatur, in die für Authentifizierungszwecke alle Felder der vertrauenswürdigen Liste mit Ausnahme des Signaturwerts selbst eingehen 3. Leitlinien für die Bearbeitung von Einträgen in der vertrauenswürdigen Liste 3.1. Statusinformationen über beaufsichtigte bzw. akkreditierte Zertifizierungsdienste und ihre Anbieter in einer einzigen Liste Die vertrauenswürdige Liste eines Mitgliedstaats ist die „Aufsichts- bzw. Akkreditierungsstatusliste für die Zertifizierungsdienste von Zertifizierungsdiensteanbietern, die vom entsprechenden Mitgliedstaat im Hinblick auf die Einhaltung der einschlägigen Bestimmungen der Richtlinie 1999/93/EG beaufsichtigt werden bzw. akkreditiert wurden“. Eine solche vertrauenswürdige Liste ist das einzige Instrument, mit dem der betreffende Mitgliedstaat Informationen über den Aufsichts-/Akkreditierungsstatus der Zertifizierungsdienste und ihrer Anbieter bereitstellt, und zwar — aller Zertifizierungsdiensteanbieter im Sinne der Definition von Artikel 2 Absatz 11 der Richtlinie 1999/93/EG („eine Stelle oder eine juristische oder natürliche Person, die Zertifikate ausstellt oder anderweitige Dienste im Zusammenhang mit elektronischen Signaturen bereitstellt“), — die im Hinblick auf die Einhaltung der einschlägigen Bestimmungen der Richtlinie 1999/93/EG beaufsichtigt werden bzw. akkreditiert wurden. Anhand der Definitionen und Bestimmungen der Richtlinie 1999/93/EG lassen sich, insbesondere in Bezug auf die entsprechenden CSPs und deren Aufsichts- bzw. freiwillige Akkreditierungssysteme, zwei Arten von CSPs unterscheiden: einerseits die CSPs, die QCs für die Öffentlichkeit ausstellen (CSPQC), andererseits die CSPs, die keine QCs für die Öffentlichkeit ausstellen, aber „anderweitige (sonstige) Dienste im Zusammenhang mit elektronischen Signaturen“ erbringen: — CSPs, die QCs ausstellen: — Diese müssen von dem Mitgliedstaat, in dem sie ansässig sind, (sofern sie in einem Mitgliedstaat ansässig sind) beaufsichtigt werden und können im Hinblick auf die Einhaltung der Bestimmungen der Richtlinie 1999/93/EG, einschließlich der Anforderungen von Anhang I (Anforderungen an qualifizierte Zertifikate) und Anhang II (Anforderungen an Zertifizierungsdiensteanbieter, die qualifizierte Zertifikate ausstellen), auch akkreditiert werden. QCs ausstellende CSPs, die in einem Mitgliedstaat akkreditiert sind, müssen trotzdem weiterhin dem entsprechenden Aufsichtssystem dieses Mitgliedstaats unterliegen, es sei denn, dass sie nicht in diesem Mitgliedstaat ansässig sind. — Das jeweilige „Aufsichtssystem“ (bzw. „freiwillige Akkreditierungssystem“) ist definiert und muss den entsprechenden Anforderungen der Richtlinie 1999/93/EG, insbesondere Artikel 3 Absatz 3, Artikel 8 Absatz 1, Artikel 11 und Erwägungsgrund 13 (bzw. Artikel 2 Absatz 13, Artikel 3 Absatz 2, Artikel 7 Absatz 1 Buchstabe a, Artikel 8 Absatz 1, Artikel 11, Erwägungsgründe 4 sowie 11 bis 13) genügen. — CSPs, die keine QCs ausstellen: — Diese können einem „freiwilligen Akkreditierungssystem“ (gemäß der Definition der Richtlinie 1999/93/EG und in Übereinstimmung mit dieser Richtlinie) und/oder einem einzelstaatlich festgelegten „anerkannten Genehmigungssystem“ („recognised approval scheme“) unterliegen, das auf nationaler Ebene zur Überwachung der Einhaltung der Bestimmungen der Richtlinie und etwaiger einzelstaatlicher Bestimmungen im Zusammenhang mit der Erbringung von Zertifizierungsdiensten (im Sinne von Artikel 2 Absatz 11 der Richtlinie 1999/93/EG) eingerichtet wird. — Einige der infolge der Erbringung eines Zertifizierungsdienstes generierten oder ausgestellten physischen oder binären (logischen) Objekte könnten, sofern sie den einzelstaatlichen Bestimmungen und Anforderungen entsprechen, möglicherweise eine spezielle „Qualifizierung“ beanspruchen, wobei die Bedeutung einer derartigen „Qualifizierung“ auf die einzelstaatliche Ebene beschränkt bleiben dürfte. Jeder Mitgliedstaat erstellt und führt nur eine einzige vertrauenswürdige Liste, aus der der Aufsichts- und/oder Akkreditierungsstatus der Zertifizierungsdienste hervorgeht, die von den von diesem Mitgliedstaat beaufsichtigten bzw. akkreditierten CSPs erbracht werden. In der vertrauenswürdigen Liste werden mindestens die QCs ausstellenden CSPs aufgeführt. In der vertrauenswürdigen Liste kann auch der Status anderer Zertifizierungsdienste angegeben werden, die nach einem auf einzelstaatlicher Ebene festgelegten Genehmigungssystem beaufsichtigt werden oder akkreditiert wurden. 3.2. Einheitliche Aufsichts- bzw. Akkreditierungsstatuswerte In der vertrauenswürdigen Liste wird die Tatsache, dass ein Dienst gegenwärtig entweder „beaufsichtigt“ wird oder „akkreditiert“ ist, durch den Wert seines aktuellen Status angegeben. Darüber hinaus kann ein Aufsichts- oder Akkreditierungsstatus positiv („beaufsichtigt“, „akkreditiert“, „Aufsicht in Einstellung begriffen“), beendet („Aufsicht beendet“, „Akkreditierung beendet“) oder gar widerrufen („Aufsicht widerrufen“, „Akkreditierung widerrufen“) sein und auf den entsprechenden Wert gesetzt werden. Während seiner gesamten Lebensdauer kann ein Zertifizierungsdienst zwischen Aufsichts- und Akkreditierungsstatus wechseln. (8) Die nachstehende Abbildung 1 beschreibt den zu erwartenden Wechsel des Aufsichts- bzw. Akkreditierungsstatus für einen einzelnen Zertifizierungsdienst: Abbildung 1 Zu erwartender Wechsel des Aufsichts-/Akkreditierungsstatus für einen einzelnen CSP-Dienst Start Beaufsichtigt Akkreditiert Aufsicht in Einst. begriffen Akkreditierung beendet Aufsicht beendet Akkreditierung widerrufen Aufsicht widerrufen Legende: Übergangsstatus bei entsprechendem Aufsichtsmodell (z. B. für einen QCs ausstellenden CSP, der in dem Mitgliedstaat, in dem er ansässig ist, akkreditiert ist und beaufsichtigt wird) Möglicher gegenwärtiger Status, wenn kein entsprechendes Aufsichtsmodell existiert (z. B. für einen CSP, der in einem Mitgliedstaat, in dem er nicht ansässig ist, akkreditiert ist Möglicher gegenwärtiger Status Ein in einem Mitgliedstaat ansässiger Zertifizierungsdienst, der QCs ausstellt, muss einer Beaufsichtigung (durch den Mitgliedstaat, in dem er ansässig ist) unterliegen und kann auf freiwilliger Basis akkreditiert werden. Als gegenwärtiger Statuswert („Current status value“) eines solchen in einer vertrauenswürdigen Liste aufgeführten Dienstes ist einer der oben angeführten Statuswerte anzugeben; dieser ist im Falle eines Statuswechsels entsprechend zu ändern. „Ak