L_2010199DE.01003001.xml

BESCHLUSS DER KOMMISSION

vom 28. Juli 2010

zur Änderung der Entscheidung 2009/767/EG in Bezug auf die Erstellung, Führung und Veröffentlichung von vertrauenswürdigen Listen der von den Mitgliedstaaten beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter

(Bekannt gegeben unter Aktenzeichen K(2010) 5063)

(Text von Bedeutung für den EWR)

(2010/425/EU)

DIE EUROPÄISCHE KOMMISSION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,

gestützt auf die Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates vom 12. Dezember 2006 über Dienstleistungen im Binnenmarkt (1), insbesondere auf Artikel 8 Absatz 3,

in Erwägung nachstehender Gründe:

(1)

Der grenzübergreifende Einsatz fortgeschrittener elektronischer Signaturen, die auf einem qualifizierten Zertifikat beruhen und mit oder ohne sichere Signaturerstellungseinheit erstellt wurden, wurde durch die Entscheidung 2009/767/EG der Kommission vom 16. Oktober 2009 über Maßnahmen zur Erleichterung der Nutzung elektronischer Verfahren über „einheitliche Ansprechpartner“ gemäß der Richtlinie 2006/123/EG des Europäischen Parlaments und des Rates über Dienstleistungen im Binnenmarkt (2) erleichtert, die die Mitgliedstaaten dazu verpflichtet, die für die Prüfung dieser elektronischen Signaturen erforderlichen Informationen bereitzustellen. Insbesondere müssen die Mitgliedstaaten in so genannten „vertrauenswürdigen Listen“ Informationen über die von ihnen beaufsichtigten bzw. akkreditierten Zertifizierungsdiensteanbieter, die gemäß der Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen (3) qualifizierte Zertifikate für die Öffentlichkeit ausstellen, sowie über deren Dienste bereitstellen.

(2)

Gemeinsam mit dem Europäischen Institut für Telekommunikationsnormen (ETSI) wurden mehrere praktische Tests durchgeführt, um es den Mitgliedstaaten zu ermöglichen, die Übereinstimmung ihrer vertrauenswürdigen Listen mit den im Anhang der Entscheidung 2009/767/EG festgelegten Spezifikationen zu prüfen. Diese Tests haben ergeben, dass die technischen Spezifikationen im Anhang der Entscheidung 2009/767/EG in einigen Punkten geändert werden sollten, um die Funktionsfähigkeit und Interoperabilität der vertrauenswürdigen Listen zu gewährleisten.

(3)

Die Tests haben zudem bestätigt, dass die Mitgliedstaaten die vertrauenswürdigen Listen nicht nur gemäß der Entscheidung 2009/767/EG in einer vom Menschen unmittelbar lesbaren Form, sondern auch in maschinenlesbarer Form bereitstellen sollten. Wenn Mitgliedstaaten über viele Zertifizierungsdiensteanbieter verfügen, kann die manuelle Verwendung der vom Menschen unmittelbar lesbaren Form der vertrauenswürdigen Liste relativ komplex und zeitaufwändig sein. Die Veröffentlichung der maschinenlesbaren Form der vertrauenswürdigen Listen vereinfacht ihren Einsatz, da sie die automatisierte Verarbeitung ermöglicht und somit ihre Verwendung in öffentlichen elektronischen Diensten erleichtert.

(4)

Zur Vereinfachung des Zugangs zu den nationalen vertrauenswürdigen Listen sollten die Mitgliedstaaten der Kommission Informationen über den Ort und den Schutz ihrer vertrauenswürdigen Listen übermitteln. Diese Informationen sollte die Kommission anderen Mitgliedstaaten auf sichere Weise bereitstellen.

(5)	Die Ergebnisse dieser praktischen Tests zu den vertrauenswürdigen Listen der Mitgliedstaaten sollten berücksichtigt werden, um eine automatisierte Verwendung der Listen zu ermöglichen und den Zugriff auf sie zu vereinfachen.

(6)	Die Entscheidung 2009/767/EG sollte daher entsprechend geändert werden.

(7)	Damit die Mitgliedstaaten ausreichend Zeit haben, um die erforderlichen technischen Änderungen an ihren derzeitigen vertrauenswürdigen Listen vorzunehmen, sollte dieser Beschluss ab dem 1. Dezember 2010 gelten.

(8)	Die in diesem Beschluss vorgesehenen Maßnahmen entsprechen der Stellungnahme des für die Dienstleistungsrichtlinie eingesetzten Ausschusses —

HAT FOLGENDEN BESCHLUSS ERLASSEN:

Artikel 1

Änderungen der Entscheidung 2009/767/EG

Die Entscheidung 2009/767/EG wird wie folgt geändert:

Artikel 2 wird wie folgt geändert:

a)	Absatz 2 erhält folgende Fassung: „(2) Die Mitgliedstaaten erstellen und veröffentlichen die vertrauenswürdige Liste entsprechend den im Anhang festgelegten Spezifikationen sowohl in einer vom Menschen unmittelbar lesbaren Form als auch in maschinenlesbarer Form.“

Folgender Absatz 2a wird eingefügt:

„(2a) Die Mitgliedstaaten versehen die maschinenlesbare Form ihrer vertrauenswürdigen Liste mit einer elektronischen Signatur und veröffentlichen mindestens die vom Menschen unmittelbare lesbare Form der vertrauenswürdigen Liste über einen sicheren Kanal, um ihre Authentizität und Integrität zu gewährleisten.“

Absatz 3 erhält folgende Fassung:

„(3) Die Mitgliedstaaten teilen der Kommission Folgendes mit:

a)	die Stelle(n), die für die Erstellung, Führung und Veröffentlichung der vertrauenswürdigen Liste in der vom Menschen unmittelbar lesbaren und der maschinenlesbaren Form zuständig ist/sind;

b)	die Veröffentlichungsorte der vom Menschen unmittelbar lesbaren sowie der maschinenlesbaren Form der vertrauenswürdigen Liste;

das Public-Key-Zertifikat, das für den sicheren Kanal verwendet wurde, über den die vom Menschen unmittelbare lesbare Form der vertrauenswürdigen Liste veröffentlicht wird, bzw., falls die vom Menschen unmittelbar lesbare Form der vertrauenswürdigen Liste mit einer elektronischen Signatur versehen ist, das Public-Key-Zertifikat, mit dem diese Liste signiert wurde;

d)	das Public-Key-Zertifikat, das für die elektronische Signatur der vertrauenswürdigen Liste in der maschinenlesbaren Form verwendet wurde;

e)	jegliche Änderungen in Bezug auf die Buchstaben a bis d.“

Folgender Absatz 4 wird angefügt:

„(4) Die Kommission stellt allen Mitgliedstaaten über einen sicheren Kanal zu einem authentifizierten Web-Server die ihr gemäß Absatz 3 von den Mitgliedstaaten übermittelten Informationen sowohl in einer vom Menschen unmittelbar lesbaren Form als auch in maschinenlesbarer Form bereit.“

2.	Der Anhang wird gemäß dem Anhang dieses Beschlusses geändert.

Artikel 2

Anwendung

Dieser Beschluss gilt ab dem 1. Dezember 2010.

Artikel 3

Adressaten

Dieser Beschluss ist an die Mitgliedstaaten gerichtet.

Brüssel, den 28. Juli 2010

Für die Kommission

Michel BARNIER

Mitglied der Kommission

(1) ABl. L 376 vom 27.12.2006, S. 36.

(2) ABl. L 274 vom 20.10.2009, S. 36.

(3) ABl. L 13 vom 19.1.2000, S. 12.

ANHANG

Der Anhang der Entscheidung 2009/767/EG wird wie folgt geändert:

Kapitel I wird wie folgt geändert:

Der erste und der zweite Satz des zweiten Absatzes erhalten folgende Fassung:

„Diese Spezifikationen beruhen auf den im Dokument ETSI TS 102231 v3.1.2 enthaltenen Spezifikationen und Anforderungen. Soweit die vorliegenden Spezifikationen keine speziellen Anforderungen vorgeben, MÜSSEN die Anforderungen aus ETSI TS 102231 v.3.1.2 in ihrer Gesamtheit erfüllt werden.“

b)	Der zweite Absatz des Abschnitts „TSL tag (Abschnitt 5.2.1)“ wird gestrichen.

Der Absatz nach der Überschrift „TSL sequence number (Abschnitt 5.3.2)“ erhält folgende Fassung:

„Dieses Feld ist ERFORDERLICH. Es MUSS die laufende Nummer der TSL enthalten. Beginnend bei ‚1‘ bei der ersten Veröffentlichung der TSL, MUSS dieser ganzzahlige Wert bei jeder neuen Ausgabe der TSL erhöht werden. Der Wert DARF bei der Erhöhung des obigen ‚TSL version identifier‘ NICHT zurück auf ‚1‘ gesetzt werden.“

d)	Der erste Absatz nach der Überschrift „TSL type (Abschnitt 5.3.2)“ erhält folgende Fassung: „Dieses Feld zur Angabe des Typs der TSL ist ERFORDERLICH. Es MUSS auf http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic (Generic) gesetzt werden.“

e)	Der dritte Absatz nach der Überschrift „TSL type (Abschnitt 5.3.2)“ erhält folgende Fassung: „URI: (Generic) http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/TSLType/generic.“

f)	Der zweite Satz des zweiten Absatzes nach der Überschrift „TSL type (Abschnitt 5.3.2)“ erhält folgende Fassung: „Es obliegt jedem einzelnen Mitgliedstaat, den ‚Scheme operator‘ der TSL-Implementierung der TL des Mitgliedstaats zu benennen.“

g)	Der vierte Absatz nach der Überschrift „Scheme operator name (Abschnitt 5.3.4)“ erhält folgende Fassung: „Der benannte ‚Scheme operator‘ (Abschnitt 5.3.4) signiert die TSL.“

Der vierte Gedankenstrich nach der Überschrift „Scheme name (Abschnitt 5.3.6)“ erhält folgende Fassung:

„ ‚EN_name_value‘= Supervision/Accreditation Status List of certification services from Certification Service Providers, which are supervised/accredited by the referenced Member State for compliance with the relevant provisions laid down in Directive 1999/93/EC and its implementation in the referenced Member State’s laws.“

Der erste Absatz nach der Überschrift „Service type identifier (Abschnitt 5.5.1)“ erhält folgende Fassung:

„Dieses Feld ist ERFORDERLICH und MUSS den Identifikator der Dienstleistungstyps (‚TSL type‘) laut den vorliegenden TSL-Spezifikationen enthalten (d. h. /eSigDir-1999-93-EC-TrustedList/TSLType/generic“).

Der fünfte Gedankenstrich nach der Überschrift „Service current status (Abschnitt 5.5.4)“ erhält folgende Fassung:

„—	Akkreditiert (http://uri.etsi.org/TrstSvc/eSigDir-1999-93-EC-TrustedList/Svcstatus/accredited);“

Der neunte Gedankenstrich nach der Überschrift „Service current status (Abschnitt 5.5.4)“ erhält folgende Fassung:

„— Aufsicht in Einstellung begriffen: Die Beaufsichtigung des unter ‚Service digital identity‘ (Abschnitt 5.5.3) angegebenen Dienstes, der vom unter ‚TSP name‘ (Abschnitt 5.4.1) angeführten CSP erbracht wird, befindet sich derzeit in der Einstellungsphase; die Aufsicht dauert jedoch noch an, bis sie beendet oder widerrufen wird. Hat eine andere juristische Person als die unter ‚TSP name‘ genannte die Verantwortung für die Abwicklung dieser Einstellungsphase übernommen, MUSS die Identität dieser neuen oder ersatzweisen juristischen Person (Ersatz-CSP) in ‚Scheme service definition URI‘ (Abschnitt 5.5.6) und in der Erweiterung ‚TakenOverBy‘ (Abschnitt L.3.2) des Diensteintrags angegeben werden.“

Der fünfte Absatz nach der Überschrift „Service information extensions (Abschnitt 5.5.9)“ erhält folgende Fassung:

„Im Zusammenhang mit einer XML-Implementierung muss der spezifische Inhalt solcher Zusatzinformationen unter Verwendung der in Anhang C der ETSI TS 102231 enthaltenen xsd-Datei codiert werden.“

Der Abschnitt mit der Überschrift „Service digital identity (Abschnitt 5.6.3)“ erhält folgende Fassung:

„ Service digital identity (Abschnitt 5.6.3)

Dieses Feld ist ERFORDERLICH und MUSS zumindest eine Darstellung eines digitalen Identifikators (d. h. das X.509v3-Zertifikat) enthalten, der im Feld „TSP Service Information — Service digital identity“ (Abschnitt 5.5.3) angegeben ist, wobei Format und Bedeutung ETSI TS 102231, Abschnitt 5.5.3, entsprechen.

Erläuterung: Bei einem X.509v3-Zertifikatwert, der im ‚Sdi‘-Abschnitt 5.5.3 eines Dienstes verwendet wird, darf es pro Wert ‚Sti:Sie/additionalServiceInformation‘ nur einen einzigen Diensteintrag in der vertrauenswürdigen Liste geben. Die ‚Sdi‘-Informationen (Abschnitt 5.6.3), die in den Informationen zur Service Approval History verwendet werden, die mit einem Dienst verbunden sind, und die ‚Sdi‘-Informationen (Abschnitt 5.5.3), die in diesem Diensteintrag verwendet werden, MÜSSEN sich auf denselben X.509v3-Zertifikatwert beziehen. Wenn sich die ‚Sdi‘ eines aufgeführten Dienstes ändert (d. h. Erneuerung oder Änderung des Schlüssels eines X.509v3-Zertifikats z. B. für eine CA/PKC oder CA/QC) oder eine neue ‚Sdi‘ für einen solchen Dienst erstellt wird (auch mit identischen Werten für die damit verbundenen ‚Sti‘, ‚Sn‘, und [„Sie“]), MUSS der Scheme Operator einen anderen Diensteintrag als zuvor vornehmen.“

Der Abschnitt mit der Überschrift „Signed TSL“ erhält folgende Fasung:

„ Signed TSL

Die anhand der vorliegenden Spezifikationen und insbesondere anhand von Kapitel IV erstellte, vom Menschen unmittelbar lesbare TSL SOLLTE mit dem ‚Scheme operator name‘ (Abschnitt 5.3.4) signiert werden, um ihre Authentizität und Integrität zu gewährleisten (*1). Das Format der Signatur SOLLTE PAdES Teil 3 (ETSI TS 102 778-3 (*2)) entsprechen, KANN jedoch im Rahmen des spezifischen vertrauenswürdigen Modells, das mit der Veröffentlichung der Zertifikate zur Signatur der vertrauenswürdigen Liste eingerichtet wurde, auch PAdES Teil 2 (ETSI TS 102 778-2 (*3)) entsprechen.

Die anhand der vorliegenden Spezifikationen erstellte maschinenlesbare TSL-Implementierung der vertrauenswürdigen Liste MUSS mit dem ‚Scheme operator name‘ (Abschnitt 5.3.4) signiert werden, um ihre Authentizität und Integrität zu gewährleisten. Die anhand der vorliegenden Spezifikationen erstellte maschinenlesbare TSL-Implementierung der vertrauenswürdigen Liste MUSS das Format XML haben, das den Spezifikationen aus Anhang B und C aus ETSI TS 102231 entsprechen MUSS.

Bei dem Format der Signatur MUSS es sich um XAdES BES oder EPES gemäß den Spezifikationen von ETSI TS 101903 für XML-Implementierungen handeln. Diese Implementierung der elektronischen Signatur MUSS den Anforderungen aus Anhang B von ETSI TS 102231 (*4) entsprechen. Die nachstehenden Abschnitte enthalten weitere allgemeine Anforderungen im Zusammenhang mit dieser Signatur.

(*1) Falls die vom Menschen unmittelbar lesbare TSL-Implementierung der vertrauenswürdigen Liste nicht signiert ist, MÜSSEN ihre Authentizität und Integrität durch Verwendung eines angemessenen Kommunikationskanals mit einem gleichwertigen Sicherheitsniveau gewährleistet werden. Dazu wird der Einsatz von TLS (IETF RFC 5246: ‚The Transport Layer Security (TLS) Protocol Version 1.2‘) empfohlen, und der Fingerprint des Zertifikats des TLS-Kanals MUSS den TSL-Nutzern von den Mitgliedstaaten über ein anderes Band zur Verfügung gestellt werden."

(*2) ETSI TS 102 778-3 — Electronic Signatures and Infrastructures (ESI): PDF Advanced Electronic Signature Profiles; Teil 3: PAdES Enhanced — PAdES-BES and PAdES-EPES Profiles."

(*3) ETSI TS 102 778-2 — Electronic Signatures and Infrastructures (ESI): PDF Advanced Electronic Signature Profiles; Teil 2: PAdES Basic — Profile based on ISO 32000-1."

(*4) Das Signaturzertifikat des ‚Scheme operator‘ muss auf eine der in ETSI TS 101903 angegebenen Arten mit der Signatur geschützt werden, und das ds:keyInfo sollte gegebenenfalls die relevante Zertifikatkette enthalten.“ "

Der zweite Absatz nach der Überschrift „Scheme identification (Abschnitt 5.7.2)“ erhält folgende Fassung:

„Im Zusammenhang mit den vorliegenden Spezifikationen MUSS der zugeordnete Verweis den ‚TSL type‘ (Abschnitt 5.3.3), den ‚Scheme name‘ (Abschnitt 5.3.6) und den Wert der ‚SubjectKeyIdentifier‘-Erweiterung des Zertifikats enthalten, das vom ‚Scheme operator‘ zur elektronischen Signierung der TSL verwendet wird.“

Der zweite Absatz nach der Überschrift „additionalServiceInformation Extension (Abschnitt 5.8.2)“ erhält folgende Fassung:

„Durch die Dereferenzierung des URI SOLLTEN menschenlesbare Informationen entstehen (mindestens in EN sowie möglicherweise in einer oder mehreren Landessprachen), die für das Verständnis der Erweiterung durch eine auf das Zertifikat vertrauende Person angemessen und ausreichend sind und insbesondere die Bedeutung der jeweiligen URIs erläutern sowie die möglichen Werte für serviceInformation und die Bedeutung jedes Werts angeben.“

Der Abschnitt mit der Überschrift „Qualifications Extension (Abschnitt L.3.1)“ erhält folgende Fassung:

„ Qualifications Extension (Abschnitt L.3.1)

Beschreibung: Dieses Feld ist OPTIONAL, MUSS aber vorhanden sein, wenn seine Verwendung ERFORDERLICH ist, z. B. für RootCA/QC- oder CA/QC-Dienste, und wenn

—	die unter ‚Service digital identity‘ angegebenen Informationen zur eindeutigen Identifikation der von diesem Dienst ausgestellten qualifizierten Zertifikate nicht ausreichen;

—	die in den entsprechenden qualifizierten Zertifikaten vorhandenen Informationen keine maschinenlesbare Identifikation der Angaben darüber, ob das QC von einer SSCD unterstützt wird, zulässt.

Falls sie zum Einsatz kommt, DARF diese Erweiterung der Dienstebene nur in dem unter ‚Service information extension‘ (Abschnitt 5.5.9) definierten Feld verwendet werden und MUSS den in Anhang L.3.1 von ETSI TS 102231 festgelegten Spezifikationen entsprechen.“

Nach dem Abschnitt „Qualifications Extension (Abschnitt L.3.1)“ wird folgender Abschnitt „TakenOverBy Extension (Abschnitt L 3.2)“ eingefügt:

„ TakenOverBy Extension (Abschnitt L.3.2)

Beschreibung: Diese Erweiterung ist OPTIONAL, MUSS jedoch vorhanden sein, wenn ein zuvor unter der rechtlichen Verantwortung eines CSP stehender Dienst von einem anderen TSP übernommen wird und dazu dient, die rechtliche Verantwortung für einen Dienst formell anzugeben und es der Verifizierungssoftware ermöglichen soll, dem Anwender rechtliche Informationen zu übermitteln. Die mit dieser Erweiterung bereitgestellten Informationen MÜSSEN mit der entsprechenden Nutzung von Abschnitt 5.5.6 im Einklang stehen, und sie MÜSSEN den in Anhang L.3.2 von ETSI TS 102231 festgelegten Spezifikationen entsprechen.“

Kapitel II erhält folgende Fassung:

„KAPITEL II

Bei der Erstellung der vertrauenswürdigen Listen verwenden die Mitgliedstaaten:

Sprachencodes in Kleinbuchstaben und Ländercodes in Großbuchstaben;

Sprachen- und Ländercodes gemäß der nachstehenden Tabelle;

wenn lateinische Schrift (mit dem entsprechenden Sprachencode) verwendet wird, fügen sie eine Transliteration in lateinischer Schrift mit den in der nachstehenden Tabelle aufgeführten Sprachencodes hinzu.

Kurzbezeichnung (Ausgangssprache)	Kurzbezeichnung (Englisch)	Länder-Code	Sprachen-Code	Anmerkungen	Transliteration in lateinischer Schrift
Belgique/België	Belgium	BE	nl, fr, de
България (*5)	Bulgaria	BG	bg		bg-Latn
Česká republika	Czech Republic	CZ	cs
Danmark	Denmark	DK	da
Deutschland	Germany	DE	de
Eesti	Estonia	EE	et
Éire/Ireland	Ireland	IE	ga, en
Ελλάδα (*5)	Greece	EL	el	von der EU empfohlener Länder- Code	el-Latn
España	Spain	ES	es	außerdem Katalonisch (ca), Baskisch (eu), Galizisch (gl)
France	France	FR	fr
Italia	Italy	IT	it
Κύπρος/Kıbrıs (*5)	Cyprus	CY	el, tr		el-Latn
Latvija	Latvia	LV	lv
Lietuva	Lithuania	LT	lt
Luxembourg	Luxembourg	LU	fr, de, lb
Magyarország	Hungary	HU	hu
Malta	Malta	MT	mt, en
Nederland	Netherlands	NL	nl
Österreich	Austria	AT	de
Polska	Poland	PL	pl
Portugal	Portugal	PT	pt
România	Romania	RO	ro
Slovenija	Slovenia	SI	sl
Slovensko	Slovakia	SK	sk
Suomi/Finland	Finland	FI	fi, sv
Sverige	Sweden	SE	sv
United Kingdom	United Kingdom	UK	en	von der EU empfohlener Länder- Code
Ísland	Iceland	IS	is
Liechtenstein	Liechtenstein	LI	de
Norge/Noreg	Norway	NO	no, nb, nn

3.	Kapitel III wird gestrichen.

In Kapitel IV wird nach dem Einleitungssatz „Der Inhalt der PDF/A-basierten menschenlesbaren Form der TSL-Implementierung der vertrauenswürdigen Liste SOLLTE folgende Anforderungen erfüllen:“ der folgende Gedankenstrich eingefügt:

„—

Der Titel der menschenlesbaren Form der vertrauenswürdigen Listen ist eine Verkettung der folgenden Elemente:

—	optionale Abbildung der Nationalflagge des Mitgliedstaats;

—	Leerstelle;

—	Länderkurzbezeichnung in der/den Ausgangssprache(n) (siehe Spalte 1 der Tabelle in Kapitel II);

—	Leerstelle;

—

‚(‘;

—	Länderkurzbezeichnung auf Englisch (siehe Spalte 2 der Tabelle in Kapitel II) innerhalb der Klammer;

—	‚):‘ als schließende Klammer und Trennungszeichen;

—	Leerstelle;

—	‚Trusted List‘;

—	optional: Logo des Scheme Operators des Mitgliedstaats.“

(*2) ETSI TS 102 778-3 — Electronic Signatures and Infrastructures (ESI): PDF Advanced Electronic Signature Profiles; Teil 3: PAdES Enhanced — PAdES-BES and PAdES-EPES Profiles.

(*3) ETSI TS 102 778-2 — Electronic Signatures and Infrastructures (ESI): PDF Advanced Electronic Signature Profiles; Teil 2: PAdES Basic — Profile based on ISO 32000-1.

(*5) Transliteration in lateinischen Buchstaben: България = Bulgaria; Ελλάδα = Elláda; Κύπρος = Kýpros.“