Vyhláška 378/2006 o postupech kvalifikovaných poskytovatelů certifikačních služeb, o požadavcích na nástroje elektronického podpisu a o požadavcích na ochranu dat pro vytváření elektronických značek (vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb) účinný od 17.08.2006

a) způsob splnění informační povinnosti podle § 6 odst. 1 písm. a) a f) a odst. 3 zákona, kvalifikační požadavky podle § 6 odst. 1 písm. b) zákona, požadavky na bezpečné systémy a bezpečné nástroje podle § 6 odst. 1 písm. c) a d) zákona, způsob uchovávání informací a dokumentace podle § 6 odst. 5 a 6 zákona a způsob, jakým se splnění těchto požadavků dokládá,

b) způsob zajištění bezpečnosti seznamů podle § 6a odst. 1 písm. e) a f) zákona, určení data a času podle § 6a odst. 1 písm. g) zákona, náležitosti opatření podle § 6a odst. 1 písm. h) zákona, způsob splnění informační povinnosti podle § 6a odst. 1 písm. i) zákona, způsob ochrany a zajištění souladu dat podle § 6a odst. 2 zákona, způsob zneplatnění certifikátů podle § 6a odst. 3 a 4 zákona a způsob, jakým se splnění těchto požadavků dokládá,

c) způsob zajištění přesnosti času při vytváření kvalifikovaného časového razítka podle § 6b odst. 1 písm. b) zákona, způsob zajištění souladu dat podle § 6b odst. 1 písm. c) zákona, náležitosti opatření podle § 6b odst. 1 písm. d) zákona, způsob splnění informační povinnosti podle § 6b odst. 1 písm. e) zákona a způsob, jakým se splnění těchto požadavků dokládá,

d) způsob zajištění postupů, které musí podporovat prostředky pro bezpečné vytváření elektronických podpisů při ochraně dat pro vytváření elektronických podpisů podle § 17 zákona a prostředky pro vytváření elektronických značek při ochraně dat pro vytváření elektronických značek podle § 17a zákona, a způsob, jakým se splnění těchto požadavků dokládá.

a) nadřízenými kvalifikovanými systémovými certifikáty kvalifikované systémové certifikáty, které obsahují data pro ověřování elektronických značek odpovídající datům pro vytváření elektronických značek, kterými poskytovatel označuje vydávané kvalifikované certifikáty, kvalifikované systémové certifikáty, seznamy podle § 6a odst. 1 písm. f) zákona a vydávaná kvalifikovaná časová razítka,

b) seznamem vydaných certifikátů seznam, který má náležitosti podle § 6a odst. 1 písm. e) zákona a splňuje požadavky této vyhlášky,

c) seznamem zneplatněných certifikátů seznam, který má náležitosti podle § 6a odst. 1 písm. f) zákona a splňuje požadavky této vyhlášky,

d) bezpečnostní dokumentací soubor dokumentů, které poskytovatel vytváří v souladu s touto vyhláškou a ve kterých stanoví zásady a veškeré postupy uplatňované při zajišťování kvalifikovaných certifikačních služeb,

e) bezpečným kryptografickým modulem nástroj elektronického podpisu, který poskytovatel používá pro činnosti stanovené touto vyhláškou a který splňuje požadavky této vyhlášky,

f) kritickými činnostmi poskytovatele příjem žádostí o zneplatnění certifikátů, zneplatnění certifikátů a vydání seznamu zneplatněných certifikátů, případně další činnosti, které poskytovatel určí při analýze rizik jako kritické činnosti,

g) mimořádnou událostí událost, která ohrožuje poskytování kvalifikovaných certifikačních služeb a nastává zejména v důsledku selhání důvěryhodného systému, technického zařízení, a nebo výskytu faktoru, který není pod kontrolou poskytovatele,

h) nejistotou časového údaje možné odchýlení měřidla času od světového koordinovaného času v součtu s nejistotou měření časového údaje.

a) používá důvěryhodné systémy a postupy, které splňují požadavky standardu pro tyto systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, a požadavky českých technických norem uvedených v bodech 2 a 3 přílohy č. 1 této vyhlášky; požadavky těchto standardů a českých technických norem stanovené pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných certifikátů se použijí obdobně pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných systémových certifikátů,

b) při řízení bezpečnosti důvěryhodných systémů postupuje podle české technické normy uvedené v bodu 4 přílohy č. 1 této vyhlášky a má zaveden a uplatňuje systém řízení bezpečnosti informací podle české technické normy uvedené v bodu 5 přílohy č. 1 této vyhlášky,

c) užívá prostory, ve kterých je zajišťováno vytváření kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, kvalifikovaných časových razítek, prostředků pro vytváření elektronických podpisů, zneplatňování kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, vytváření seznamů zneplatněných certifikátů, veškeré nakládání s daty pro vytváření elektronických značek a jim odpovídajícími daty pro ověřování elektronických značek poskytovatele, nakládání s kvalifikovaným systémovým certifikátem poskytovatele a vytváření záznamů o událostech s těmito činnostmi spojených, zabezpečené obdobně jako zabezpečené oblasti kategorie "Důvěrné" podle zvláštního právního předpisu1)a je zpracována dokumentace stanovená tímto právním předpisem,

d) má zpracovánu a průběžně aktualizuje bezpečnostní dokumentaci,

e) postupuje v souladu se zásadami a postupy uvedenými v bezpečnostní dokumentaci,

f) provádí kontrolu bezpečnostní shody podle této vyhlášky,

g) provádí audit systému řízení bezpečnosti informací podle této vyhlášky.

a) certifikační politika pro vydávání kvalifikovaných certifikátů, pokud poskytovatel tuto službu zajišťuje,

b) certifikační politika pro vydávání kvalifikovaných systémových certifikátů, pokud poskytovatel tuto službu zajišťuje,

c) politika pro vydávání kvalifikovaných časových razítek, pokud poskytovatel tuto službu zajišťuje,

d) politika pro vydávání prostředků pro bezpečné vytváření elektronických podpisů, pokud poskytovatel tuto službu zajišťuje,

e) certifikační politiky pro vydávání nadřízených kvalifikovaných systémových certifikátů,

f) zprávy pro uživatele služeb uvedených v písmenech a) až d), pokud tyto služby poskytovatel poskytuje,

g) certifikační prováděcí směrnice nebo jiné prováděcí směrnice ke službám podle písmen a) až e),

h) celková bezpečnostní politika,

i) systémová bezpečnostní politika,

j) plán pro zvládání krizových situací a plán obnovy,

k) další dokumenty poskytovatele, na které je v dokumentech podle písmen a) až j) odkazováno nebo které obsahují podrobná pravidla a podrobné postupy, kterými poskytovatel zajišťuje bezpečnost poskytovaných kvalifikovaných certifikačních služeb; z bezpečnostní dokumentace musí být zřejmé, jaké postupy poskytovatel uplatňuje při zajištění bezpečnosti systémů podle § 6 odst. 1 písm. c) a d) zákona.

a) stanovení zásad, které poskytovatel uplatňuje při zajišťování kvalifikované certifikační služby,

b) v případě vydávání kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů popis vlastností dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek a jim odpovídajících dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek, která vytváří osoba žádající o vydání certifikátu nebo která vytváří poskytovatel a k nimž má být příslušný certifikát vydán; kryptografické algoritmy a jejich parametry, které mohou být pro tato data použity, zveřejňuje ministerstvo na své úřední desce,

c) v případě vydávání kvalifikovaných časových razítek

a) stanovení cílů při ochraně informací,

b) stanovení způsobu zajištění bezpečnosti,

c) určení pravomocí a odpovědností při provozování důvěryhodných systémů,

d) pravidla a postupy konkrétně definující způsob správy a ochrany informačních technologií, aktiv informačních systémů a způsob distribuce informací v rámci důvěryhodných systémů a jiných systémů, které mají s důvěryhodnými systémy vazby,

e) způsoby uplatnění celkové bezpečnostní politiky ve vztahu k provozování důvěryhodných systémů,

f) popis důvěryhodných systémů, jejich vnitřních, vnějších a vzájemných vazeb,

g) vyhodnocení analýzy rizik a popis bezpečnostních opatření podle odstavce 5,

h) způsob šíření časového údaje v rámci důvěryhodných systémů, pokud poskytovatel poskytuje službu vydávání kvalifikovaných časových razítek.

a) zachování kritických činností poskytovatele v nejkratším možném čase,

b) obnovu řádné funkce důvěryhodných systémů.

a) poskytovatel provozuje důvěryhodné systémy v souladu se zákonem a s touto vyhláškou,

b) poskytovatel provádí změny v důvěryhodných systémech v souladu s bezpečnostní dokumentací poskytovatele, a to s jejími částmi upravujícími řízení změn.

a) všechny důvěryhodné systémy poskytovatele (celková kontrola bezpečnostní shody), nebo

b) všechny změny podle odstavce 1 písm. b), které poskytovatel provedl od provedení předchozí kontroly bezpečnostní shody, a jejich vliv na důvěryhodné systémy poskytovatele nebo ověření skutečnosti, že takové změny nenastaly (částečná kontrola bezpečnostní shody).

a) vymezení předmětu kontroly bezpečnostní shody; v případě celkové kontroly bezpečnostní shody vymezení všech důvěryhodných systémů podle odstavce 2 písm. a) s uvedením kvalifikovaných certifikačních služeb, které jsou prostřednictvím těchto systémů zajišťovány, nebo v případě částečné kontroly bezpečnostní shody vymezení změn podle odstavce 2 písm. b), které poskytovatel provedl od provedení předchozí kontroly bezpečnostní shody, a vymezení kvalifikovaných certifikačních služeb, které jsou zajišťovány prostřednictvím důvěryhodných systémů, těmito změnami ovlivněných,

b) jednoznačné určení dokumentace, která byla předmětem kontroly bezpečnostní shody,

c) popis průběhu kontroly bezpečnostní shody,

d) jméno, popřípadě jména a příjmení osoby, která provádí kontrolu bezpečnostní shody; tato osoba může být s poskytovatelem v pracovněprávním vztahu,

e) prohlášení o výsledku kontroly bezpečnostní shody, jehož součástí je prohlášení o tom, že poskytovatel provozuje důvěryhodné systémy v souladu s odstavcem 1.

a) vymezení předmětu auditu systému řízení bezpečnosti informací, přičemž vymezením předmětu auditu se rozumí vymezení kvalifikovaných certifikačních služeb, které jsou zajišťovány prostřednictvím důvěryhodných systémů,

b) jednoznačné určení dokumentace, která byla předmětem auditu systému řízení bezpečnosti informací a kterou poskytovatel poskytl subjektu, který audit systému řízení bezpečnosti informací provádí,

c) prohlášení subjektu, který audit systému řízení bezpečnosti informací provedl, o výsledku auditu systému řízení bezpečnosti informací, jehož součástí je prohlášení o splnění požadavků uvedených v odstavci 1.

a) je-li právnickou osobou, firmu nebo název, právní formu a sídlo, je-li fyzickou osobou, jméno, popřípadě jména, příjmení, místo podnikání a identifikační číslo, pokud bylo přiděleno,

b) údaj o tom, zda je akreditován ministerstvem,

c) přesné podmínky pro využívání kvalifikovaných certifikačních služeb, včetně případných omezení pro jejich použití stanovených poskytovatelem, podmínky reklamací a řešení vzniklých sporů,

d) údaj o tom, kde a jakým způsobem jsou dostupné jeho nadřízené kvalifikované systémové certifikáty,

e) jakým způsobem zajišťuje poskytování informací třetím osobám podle § 6a odst. 1 písm. i) zákona, pokud předmětnou kvalifikovanou certifikační službu poskytuje, včetně kontaktních údajů, které mohou třetí osoby použít, pokud žádají o tyto informace, a maximální dobu, která může uplynout mezi uplatněním požadavku a poskytnutím informace,

f) jakým způsobem zajišťuje poskytování informací třetím osobám podle § 6b odst. 1 písm. e) zákona, pokud předmětnou kvalifikovanou certifikační službu poskytuje, včetně kontaktních údajů, které mohou třetí osoby použít, pokud žádají o tyto informace, a maximální dobu, která může uplynout mezi uplatněním požadavku a poskytnutím této informace.

a) uvede v dokumentech podle § 4 odst. 2 písm. a) až d) a f) a zveřejní způsobem umožňujícím dálkový přístup,

b) zveřejní nejméně v jednom celostátně distribuovaném deníku stanoveném v dokumentech podle § 4 odst. 2 písm. a) až d) a f),

c) sdělí podepisujícím nebo označujícím osobám, které mají platné kvalifikované certifikáty nebo kvalifikované systémové certifikáty vydané tímto poskytovatelem, a to zasláním zprávy elektronickou poštou na elektronickou adresu, pokud ji tyto osoby uvedly v žádosti o vydání certifikátu.

a) získaly vysokoškolské vzdělání v rámci akreditovaného bakalářského nebo magisterského studijního programu a mají nejméně 3 roky praxe v oblasti informačních technologií nebo středoškolské vzdělání a nejméně 5 let praxe v oblasti informačních technologií, přičemž z toho nejméně 1 rok v oblasti poskytování certifikačních služeb,

b) mají znalosti v oblasti infrastruktury veřejných klíčů a informační bezpečnosti.

a) má identifikovány všechny typy informací a dokumentace podle § 6 odst. 5 a 6 zákona, které uchovává, a formu, ve které jsou uchovávány,

b) má identifikováno místo uložení informací a dokumentace,

c) stanovil postupy pro uchovávání informací a dokumentace a pro manipulaci s uloženými informacemi a dokumentací tak, aby byla zajištěna prokazatelnost jejich původu, dostupnost, integrita, časová autentičnost a důvěrnost v souladu s požadavky zákona a této vyhlášky,

d) stanovil postupy pro uchovávání informací a dokumentace tak, aby uložené informace a dokumentaci byl schopen doložit v zákonné lhůtě po ukončení platnosti certifikátu, ke kterému se informace a dokumentace vztahují,

e) stanovil odpovědnosti zaměstnanců, případně jiných fyzických osob, které zajišťují uchovávání informací a dokumentace, za dodržování postupů podle písmene c),

f) stanovil, jakým způsobem bude naloženo s informacemi a dokumentací po uplynutí 10 let.

a) má stanovenu dobu, po kterou budou informace a dokumentace uchovávány,

b) má stanoveny náležitosti uchovávání a manipulace s informacemi a dokumentací obdobně podle odstavce 2.

a) správu dat podle odstavce 1 v průběhu jejich životního cyklu,

b) správu dat pro ověřování svých elektronických značek odpovídajících datům podle odstavce 1 v průběhu jejich životního cyklu,

c) vytváření kvalifikovaných certifikátů a kvalifikovaných systémových certifikátů.

a) mohou vykonávat výhradně fyzické osoby, které jsou pro tuto činnost poskytovatelem určeny,

b) musí být vykonávány podle postupů stanovených certifikační prováděcí směrnicí,

c) musí být vykonávány v souladu se systémovou bezpečnostní politikou.

a) popis způsobu zničení dat,

b) datum zničení dat,

c) datum pořízení zápisu,

d) jméno, popřípadě jména a příjmení a podpis osoby určené poskytovatelem k tomu, aby zničení dat provedla.

a) zneplatní kvalifikovaný systémový certifikát, který byl k těmto datům vydán,

b) zneplatní certifikát, který byl těmito daty označen,

c) zneplatní certifikát, který byl označen daty pro vytváření elektronických značek, ke kterým byl vydán certifikát podle písmene b),

d) ukončí používání dat podle odstavce 1.

a) zveřejní informaci o zneplatnění tohoto certifikátu s uvedením důvodu zneplatnění způsobem umožňujícím dálkový přístup, v prostorách, kde dochází ke kontaktu s uživateli, a dále nejméně v jednom celostátně distribuovaném deníku stanoveném v politice podle § 4 odst. 2 písm. a) až d),

b) informuje podepisující nebo označující osoby, které mají platné kvalifikované certifikáty nebo kvalifikované systémové certifikáty vydané tímto poskytovatelem, o zneplatnění těchto certifikátů, a to prostřednictvím zaslání zprávy elektronickou poštou na elektronickou adresu, pokud ji tyto osoby uvedly v žádosti o vydání certifikátu; součástí této informace je důvod ukončení platnosti nadřízeného kvalifikovaného systémového certifikátu poskytovatele,

c) informuje ministerstvo o zneplatnění tohoto certifikátu s uvedením důvodu zneplatnění.

a) zajišťuje nepřetržitý příjem žádostí o zneplatnění kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, a to nejméně dvěma na sobě nezávislými způsoby,

b) zajišťuje splnění bezpečnostních požadavků na zneplatňování kvalifikovaných certifikátů podle požadavků standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky; požadavky tohoto standardu stanovené pro zneplatňování kvalifikovaných certifikátů se použijí obdobně pro zneplatňování kvalifikovaných systémových certifikátů.

a) navázání podle odstavce 1 je opakováno v intervalech, které jsou stanoveny poskytovatelem na základě použitého druhu měřidla času, analýzy vlivů na deklarovanou nejistotu časového údaje a spolehlivosti navázání na světový koordinovaný čas,

b) je synchronizováno s koordinovaným světovým časem, a to včetně synchronizace v případě výskytu přestupné sekundy,

c) je chráněno proti hrozbám, které by mohly změnit jeho technické nebo metrologické vlastnosti zajišťované navázáním podle písmene a).

a) s požadavky standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, a

b) s požadavky české technické normy uvedené v bodu 3 přílohy č. 1 této vyhlášky.

a) ihned přeruší vydávání kvalifikovaných časových razítek, a to do doby, kdy obnoví řádný stav v souladu s postupy stanovenými v plánu pro zvládání krizových situací a v plánu obnovy,

b) zveřejní informaci o této události způsobem umožňujícím dálkový přístup,

c) bez prodlení informuje o této události subjekty, se kterými má uzavřeny smluvní vztahy, které mohou být touto událostí dotčeny,

d) oznámí informaci o této události ministerstvu.

a) ve standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, nebo

b) ve standardu, který je uveden v bodu 11 nebo 12 přílohy č. 1 této vyhlášky, a to minimálně pro úroveň 3,

a) tyto postupy splňují bezpečnostní požadavky na tyto moduly uvedené ve standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky,

b) je modul používán pouze pro označování vydávaných kvalifikovaných certifikátů, kvalifikovaných systémových certifikátů, seznamu zneplatněných certifikátů nebo pro označování kvalifikovaných časových razítek,

c) je nasazení a používání modulu v souladu s technickou dokumentací modulu výrobce nebo dodavatele,

d) je modul umístěn a používán v prostorech, které jsou zabezpečeny obdobně jako zabezpečené oblasti kategorie "Důvěrné" podle zvláštního právního předpisu1).

a) bezpečnostní dokumentace,

b) podrobného popisu funkcí a technickou dokumentací bezpečného kryptografického modulu v rozsahu nutném pro jeho pořízení.

a) bez zbytečného odkladu uplatní opatření, která přiměřeně eliminují rizika, na základě kterých pozbyly tyto doklady platnosti,

b) v analýze rizik je jako riziko označen stav, kdy doklad podle odstavce 3 nebo odstavce 4 pozbyl platnosti,

c) plán pro zvládání krizových situací stanoví opatření, která poskytovatel uplatní pro zajištění požadované bezpečnosti jeho funkcí,

d) zajistí, aby plnění opatření podle písmene c) bylo kontrolováno tak, aby bylo možné kdykoliv zjistit, že tato opatření nejsou uplatňována nebo nejsou uplatňována v plném rozsahu, a ihned zajistit nápravu,

e) zahájí akvizici bezpečného kryptografického modulu.

a) splňovaly požadavky na tyto prostředky stanovené standardem pro tyto prostředky, který je uveden v bodu 10 přílohy č. 1 této vyhlášky,

b) měly vyhodnocenou shodu podle § 9 odst. 2 písm. f) zákona,

c) byly poskytovatelem připraveny a předány uživateli v souladu s bezpečnostními a funkčními požadavky standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky,

d) byly poskytovatelem připraveny a předány uživateli v souladu s technickou a uživatelskou dokumentací jeho výrobce nebo dodavatele.

a) dokladem o provedeném hodnocení a certifikaci prostředku podle standardu pro prostředky pro bezpečné vytváření elektronických podpisů, který je uveden v bodu 10 přílohy č. 1 této vyhlášky,

b) bezpečnostní dokumentací,

c) podrobným popisem funkcí a technickou a uživatelskou dokumentací vyhodnocovaného prostředku; uživatelská dokumentace musí být v českém jazyce.

a) data pro vytváření elektronických značek,

b) data a aplikace nezbytné pro použití dat podle písmena a) při označování datových zpráv a pro přenos dat pro vytváření elektronických značek na jiný kryptografický prostředek.

a) vytvoření a uložení dat a aplikací podle odstavce 2,

b) vytváření elektronických značek.

a) pro jakékoliv nakládání s těmito kryptografickými prostředky, a to v průběhu jejich celého životního cyklu, včetně postupů při ukončení jejich používání,

b) pro stanovení oprávnění osob pro jakékoliv nakládání s těmito kryptografickými prostředky,

c) pro zajištění bezpečnosti prostředí, ve kterém jsou používány, včetně zásad při výskytu mimořádné události, která může ohrozit jejich ochranu.