Постановление № 184 от 04.04.2023

ПРАВИТЕЛЬСТВО РЕСПУБЛИКИ МОЛДОВА

ПОСТАНОВЛЕНИЕ

об утверждении Положения о деятельности квалифицированных

поставщиков доверительных услуг

№ 184  от  04.04.2023

 (в силу 18.04.2023) 

Мониторул Офичиал ал Р. Молдова № 130-133 ст. 286 от 18.04.2023

* * *

На основании части (4) статьи 6 и части (6) статьи 8 Закона № 124/2022 об электронной идентификации и доверительных услугах (Официальный монитор Республики Молдова, 2022 г., № 170-176, ст.317) Правительство

ПОСТАНОВЛЯЕТ:

1. Утвердить Положение о деятельности квалифицированных поставщиков доверительных услуг (прилагается).

2. Признать утратившим силу Постановление Правительства № 1140/2017 об утверждении Положения о деятельности поставщиков сертифицированных услуг в области применения электронной подписи (Официальный монитор Республики Молдова, 2017 г., № 451-463, ст.1268).

3. Настоящее постановление вступает в силу с даты опубликования в Официальном мониторе Республики Молдова.

Утверждено

Постановлением Правительства

№ 184/2023

ПОЛОЖЕНИЕ

о деятельности квалифицированных поставщиков доверительных услуг

Глава I

ОБЩИЕ ПОЛОЖЕНИЯ

1. Положение о деятельности квалифицированных поставщиков доверительных услуг (в дальнейшем – Положение) устанавливает порядок организации деятельности квалифицированных поставщиков доверительных услуг, процедуру и подробные требования, касающиеся порядка подачи заявки, выдачи, приостановления действия и отзыва их сертификата аккредитации.

2. Используемые в настоящем Положении понятия изложены в смысле понятий, определенных статьей 2 Закона № 124/2022 об электронной идентификации и доверительных услугах.

3. Деятельность квалифицированного поставщика доверительных услуг связана с областью криптографической и технической защиты информации и осуществляется в соответствии с нормативными актами в области криптографической и технической защиты информации и с требованиями настоящего Положения.

4. Квалифицированные поставщики доверительных услуг организуются по иерархическому принципу в соответствии с положениями частей (2) и (3) статьи 6 Закона № 124/2022 об электронной идентификации и доверительных услугах.

5. Учет квалифицированных поставщиков доверительных услуг ведется органом надзора и контроля в Регистре учета квалифицированных поставщиков доверительных услуг, который постоянно обновляется и доступ к которому является открытым через официальную веб-страницу органа надзора и контроля.

Глава II

ПОРЯДОК ПОДАЧИ ЗАЯВКИ, ВЫДАЧИ, ПРИОСТАНОВЛЕНИЯ, ОТЗЫВА

И ВОЗОБНОВЛЕНИЯ ДЕЙСТВИЯ СЕРТИФИКАТА АККРЕДИТАЦИИ

Часть 1

Подача заявки на аккредитацию

6. Для предоставления квалифицированных доверительных услуг поставщик доверительных услуг проходит процедуру аккредитации, проводимую органом надзора и контроля.

7. Для подачи заявки на аккредитацию поставщик доверительных услуг представляет документы, перечисленные в статье 7 Закона № 124/2022 об электронной идентификации и доверительных услугах.

8. Заявка на аккредитацию, составленная на румынском языке, подается в электронной форме через Автоматизированную информационную систему управления и выдачи разрешительных документов или на бумажном носителе в офис органа надзора и контроля и подлежит рассмотрению в сроки, предусмотренные Административным кодексом Республики Молдова № 116/2018.

9. Заявка на аккредитацию в электронной форме подписывается квалифицированной электронной подписью руководителем заявителя или другим уполномоченным лицом, а в случае бумажного носителя – их собственноручной подписью.

10. Прилагаемые к заявке документы подаются в копии с предъявлением оригиналов для проверки в процессе проведения комплексной проверки.

Часть 2

Рассмотрение заявки на аккредитацию

11. На основании представленных документов орган надзора и контроля в течение 15 дней проводит комплексную проверку соблюдения поставщиком доверительных услуг требований в области квалифицированных доверительных услуг, утвержденных органом надзора и контроля.

12. В ходе комплексной проверки орган надзора и контроля проверяет подлинность документов, прилагаемых к заявке на аккредитацию, оценивает информацию, касающуюся используемых процедур безопасности и сертификации, проверяет уровень выполнения специальных условий деятельности поставщиков доверительных услуг.

13. Интересы заявителя представляет руководитель заявителя или другие лица, уполномоченные в установленном порядке.

14. В результате рассмотрения заявки на аккредитацию и проведения комплексной проверки Комиссия по контролю в области доверительных услуг органа надзора и контроля представляет заключение органа надзора и контроля в течение 5 дней после завершения контроля.

15. На основании заключения Комиссии по контролю в области доверительных услуг органа надзора и контроля руководитель органа надзора и контроля в течение 5 дней принимает решение об аккредитации или отказе в аккредитации поставщика доверительных услуг.

16. Решение органа надзора и контроля об аккредитации или отказе в аккредитации сообщается заявителю по электронной почте, указанной в заявке на аккредитацию, в течение 5 дней с момента его принятия.

17. В случае принятия решения об аккредитации поставщика доверительных услуг в тот же день ему выдается сертификат аккредитации в форме электронного документа, который публикуется на официальной веб-странице органа надзора и контроля. По запросу квалифицированного поставщика доверительных услуг ему выдаются копии сертификата аккредитации на бумажном носителе.

18. Образец сертификата аккредитации утверждается органом надзора и контроля.

19. Поставщик доверительных услуг считается квалифицированным со дня выдачи сертификата аккредитации.

20. В день выдачи сертификата аккредитации данные об аккредитованном поставщике доверительных услуг вносятся в Регистр учета квалифицированных поставщиков доверительных услуг.

21. После получения сертификата аккредитации квалифицированный поставщик доверительных услуг через своего руководителя или через другое уполномоченное лицо в течение 5 дней сертифицирует открытый ключ у поставщика доверительных услуг высшего уровня.

22. В случае принятия решения об отказе в аккредитации оно должно содержать причину отказа и обязательные ссылки на нормативные акты, которые не были соблюдены.

23. Решение об отказе в аккредитации может быть обжаловано в порядке административного судопроизводства.

24. После устранения причин, послуживших основанием для отказа в аккредитации, поставщик доверительных услуг вправе повторно подать документы в целях аккредитации. Повторная подача заявки на аккредитацию считается новой заявкой и рассматривается соответствующим образом.

Часть 3

Приостановление, отзыв и возобновление

действия сертификата аккредитации

25. Орган надзора и контроля приостанавливает действие сертификата аккредитации или отзывает его в случаях, установленных статьями 37 и 38 Закона № 124/2022 об электронной идентификации и доверительных услугах.

26. Отметка о приостановлении, возобновлении действия или отзыве сертификата аккредитации, включая дату и номер решения о приостановлении действия или отзыве аккредитации, вносится в Регистр учета квалифицированных поставщиков доверительных услуг не позднее рабочего дня, непосредственно следующего за днем принятия решения

27. При приостановлении действия или отзыве сертификата аккредитации приостанавливается или отзывается и сертификат открытого ключа квалифицированного поставщика доверительных услуг.

28. Данные о приостановленном или отозванном сертификате открытого ключа квалифицированного поставщика доверительных услуг вносятся в список отозванных сертификатов в течение 3 часов с момента принятия решения о приостановлении действия или отзыве сертификата аккредитации с указанием даты, времени включения и причины приостановления действия или отзыва.

29. Сертификат открытого ключа с приостановленным действием восстанавливается и исключается из списка отозванных сертификатов открытых ключей в течение 3 часов с момента принятия решения о его восстановлении.

30. Если до истечения срока, на который было приостановлено действие сертификата открытого ключа, не принимается решение о восстановлении его действия, сертификат открытого ключа отзывается.

31. Отзыв сертификата открытого ключа исключает возможность его восстановления.

32. Квалифицированный поставщик доверительных услуг, действие сертификата аккредитации которого было приостановлено, восстановлено или у которого был отозван сертификат, уведомляется об этом по электронной почте, указанной в заявке на аккредитацию, в течение 3 дней с момента принятия соответствующего решения.

Глава III

ХРАНЕНИЕ ДОКУМЕНТОВ, СВЯЗАННЫХ С ПРОЦЕДУРОЙ АККРЕДИТАЦИИ

И РЕГИСТРАЦИИ ПОСТАВЩИКОВ ДОВЕРИТЕЛЬНЫХ УСЛУГ

Часть 1

Хранение документов, связанных с процедурой

аккредитации поставщиков доверительных услуг

33. Материалы, связанные с процедурой аккредитации поставщиков доверительных услуг, хранятся в электронных папках, отдельно по каждому заявителю.

34. Папки поставщиков доверительных услуг, подлежащих процедуре аккредитации, должны содержать:

1) документы, указанные в статье 7 Закона № 124/2022 об электронной идентификации и доверительных услугах;

2) сертификат аккредитации;

3) документы, касающиеся проверок, проведенных органом надзора и контроля;

4) последующую переписку с поставщиком доверительных услуг, подлежащим процедуре аккредитации.

35. Папки поставщиков доверительных услуг, подлежащих процедуре аккредитации, хранятся в архиве органа надзора и контроля в течение срока, предусмотренного нормативными актами.

36. По запросу поставщиков доверительных услуг, которые прошли процедуру аккредитации, орган надзора и контроля выдает в электронной форме информацию и копии документов из папки соответствующего поставщика. По запросу поставщика доверительных услуг информация и копии документов из папки соответствующего поставщика выдаются дополнительно и на бумажном носителе.

Часть 2

Регистр квалифицированных поставщиков доверительных услуг

37. Учет квалифицированных поставщиков доверительных услуг ведется в Регистре учета квалифицированных поставщиков доверительных услуг (в дальнейшем – Регистр).

38. Собственником Регистра является государство.

39. Владельцем, держателем и регистратором Регистра является орган надзора и контроля, который его создает и обеспечивает его документирование в соответствии с требованиями статьи 7⁶ Закона № 467/2003 об информатизации и государственных информационных ресурсах.

40. Квалифицированный поставщик доверительных услуг вносится в Регистр в день выдачи сертификата аккредитации.

41. Квалифицированные поставщики доверительных услуг обязаны информировать орган надзора и контроля об изменениях или дополнениях содержащихся в Регистре данных в течение 10 рабочих дней с момента внесения этих изменений или дополнений.

42. Информация о квалифицированных поставщиках доверительных услуг, а также о поставщиках, чей сертификат аккредитации истек или его действие было приостановлено либо он был отозван, публикуется на официальной веб-странице органа надзора и контроля.

Глава IV

ОРГАНИЗАЦИЯ ДЕЯТЕЛЬНОСТИ КВАЛИФИЦИРОВАННЫХ

ПОСТАВЩИКОВ ДОВЕРИТЕЛЬНЫХ УСЛУГ

43. В целях предоставления доверительных услуг в соответствии с Законом № 124/2022 об электронной идентификации и доверительных услугах квалифицированный поставщик доверительных услуг утверждает и внедряет процедуры сертификации открытых ключей и положение о функционировании квалифицированного поставщика доверительных услуг.

44. Устройства создания электронных подписей или электронных печатей, устройства проверки электронных подписей или электронных печатей и/или продукты, используемые квалифицированным поставщиком доверительных услуг при предоставлении квалифицированных доверительных услуг, должны иметь заключение о соответствии, выданное органом надзора и контроля.

45. Квалифицированные поставщики доверительных услуг предоставляют в обязательном порядке по меньшей мере следующие основные услуги:

1) сертификация открытых ключей;

2) приостановление и восстановление действия приостановленных сертификатов открытых ключей;

3) отзыв сертификатов открытых ключей;

4) ведение регистра сертификатов открытых ключей, доступ к которому является открытым, и обеспечение его обновления;

5) фиксирование времени проставления электронной подписи или электронной печати.

46. Квалифицированный поставщик доверительных услуг может поставлять и другие услуги, связанные с областью электронной идентификации и доверительных услуг, регулируемые Законом № 124/2022 об электронной идентификации и доверительных услугах.

47. Квалифицированный поставщик доверительных услуг может делегировать, на основании соглашения, поставщикам регистрационных услуг функцию проверки личности заявителя и регистрации заявок на сертификацию открытого ключа, приостановления и восстановления действия приостановленных сертификатов открытых ключей, отзыва сертификатов открытых ключей, а также функцию хранения соответствующих заявок в соответствии с положениями законодательства об электронной идентификации и доверительных услугах.

[Пкт.47 в редакции Пост.Прав. N 757 от 13.11.2024, в силу 31.03.2025] 

48. Условия деятельности, права и обязанности поставщика регистрационных услуг устанавливаются положением о поставщиках регистрационных услуг, утвержденным квалифицированным поставщиком доверительных услуг и согласованным с органом надзора и контроля.

49. При делегировании функции проверки личности заявителя и регистрации заявки на сертификацию открытого ключа, приостановления и восстановления действия приостановленных сертификатов открытых ключей, отзыва сертификатов открытых ключей, а также функции хранения соответствующих заявок квалифицированный поставщик доверительных услуг уведомляет об этом орган надзора и контроля.

[Пкт.49 в редакции Пост.Прав. N 757 от 13.11.2024, в силу 31.03.2025] 

50. Квалифицированный поставщик доверительных услуг обязан публиковать на своей официальной веб-странице список поставщиков регистрационных услуг, которым была делегирована функция идентификации заявителей и регистрации заявки на сертификацию открытого ключа.

Глава V

ОДОБРЕНИЕ УСТРОЙСТВ СОЗДАНИЯ ЭЛЕКТРОННЫХ ПОДПИСЕЙ ИЛИ

ЭЛЕКТРОННЫХ ПЕЧАТЕЙ, УСТРОЙСТВ ПРОВЕРКИ ЭЛЕКТРОННЫХ

ПОДПИСЕЙ ИЛИ ЭЛЕКТРОННЫХ ПЕЧАТЕЙ И/ИЛИ ПРОДУКТОВ

51. Подтверждение соответствия устройств создания электронных подписей или электронных печатей, устройств проверки электронных подписей или электронных печатей и/или продуктов требованиям, установленным нормативной базой, осуществляется путем их одобрения органом надзора и контроля.

52. Заявление об одобрении устройств и/или продуктов подается в произвольной форме на бумажном носителе и подписывается собственноручной подписью или в электронной форме и подписывается квалифицированной электронной подписью.

53. Заявление об одобрении устройства и/или продукта должно содержать следующую информацию:

1) идентификационные данные субъекта, который обращается за одобрением;

2) наименование устройства и/или продукта;

3) версию устройства и/или продукта;

4) наименование производителя устройства и/или продукта.

54. К заявлению об одобрении устройств и/или продуктов заявитель должен приложить следующие документы:

1) декларация о соответствии в отношении соблюдения требований к безопасности, установленных законодательством Республики Молдова, стандартов, национальных и международных норм, составленная поставщиком услуг на бумажном носителе (оригинал), собственноручно подписанная руководителем заявителя, или в электронной форме, подписанная его квалифицированной электронной подписью;

2) сертификаты, подтверждающие соответствие устройств положениям пункта 72;

3) техническую документацию, которая должна содержать:

a) инструкцию по эксплуатации;

b) техническое описание устройства и/или продукта;

c) описание функций устройства и/или продукта;

d) стандарты и нормы, выполненные при вводе в действие устройства и/или продукта;

e) список составленных криптографических алгоритмов.

55. В процессе одобрения орган надзора и контроля может потребовать представления дополнительных документов относительно использованных криптографических алгоритмов, порядка использования, а также выписки/ отрывки из кода-источника продукта для проверки его соответствия.

56. Орган надзора и контроля в течение не более 15 дней после подачи заявки рассматривает представленные документы, проводит проверку устройств и/или продуктов и принимает решение об их одобрении или отказе в одобрении.

57. Срок одобрения может быть продлен один раз на 15 дней, о чем заявитель уведомляется по телефону и по электронной почте, указанных в заявлении об одобрении, в следующих случаях:

1) необходимо представление дополнительных документов заявителем, обратившимся за одобрением;

2) заявление касается большого объема информации.

58. Если устройство и/или продукт соответствуют требованиям законодательства в области доверительных услуг, орган надзора и контроля выдает заявителю заключение.

59. Устройство и/или продукт считается одобренным со дня выдачи заключения.

60. В случае принятия решения об отказе в одобрении орган надзора и контроля в течение 10 дней с даты принятия решения об отказе уведомляет заявителя в письменном виде о принятом решении, с указанием причин отказа.

61. Основанием для отказа в одобрении устройств и/или продуктов служит их несоответствие требованиям, указанным в настоящем Положении, и/или непредставление необходимых документов в установленные сроки.

62. Решение об отказе в одобрении должно содержать обоснованные причины отказа и обязательные ссылки на нормативные акты, которые были нарушены.

63. Решение об отказе в одобрении может быть обжаловано в судебную инстанцию в установленном законом порядке.

64. Отказ в одобрении не препятствует повторной подаче заявления об одобрении, если были устранены причины, послужившие основанием для отказа в одобрении.

65. Устройства и/или продукты, не получившие одобрения органа надзора и контроля, не могут использоваться для создания и/или проверки квалифицированной электронной подписи или квалифицированных электронных печатей.

66. Список устройств создания квалифицированных электронных подписей или электронных печатей, устройств проверки электронных подписей или электронных печатей и/или продуктов, одобренных органом надзора и контроля, публикуется на официальной веб-странице органа надзора и контроля.

67. Все версии устройств считаются их разными версиями и подлежат одобрению каждая в отдельности. В этом случае одобрение нельзя считать подтверждением совместимости предыдущих версий.

68. Все версии продуктов считаются их разными версиями и подлежат одобрению каждый в отдельности, если вносимые в них изменения затрагивают криптографические алгоритмы, порядок их использования/ применения и/или порядок применения закрытого ключа.

69. В отступление от положений пункта 70 устройства создания электронных подписей или электронных печатей, устройства проверки электронных подписей или электронных печатей и/или продуктов, одобренные до вступления в силу Закона № 124/2022 об электронной идентификации и доверительных услугах, могут в дальнейшем использоваться, и их повторное одобрение не требуется.

Глава VI

ТЕХНИЧЕСКИЕ ТРЕБОВАНИЯ В ОБЛАСТИ

КВАЛИФИЦИРОВАННЫХ ДОВЕРИТЕЛЬНЫХ УСЛУГ

70. Устройства создания квалифицированных электронных подписей или электронных печатей, устройства проверки электронных подписей или электронных печатей и/или продукты, используемые в процессе предоставления доверительных услуг, соответствуют утвержденным национальным стандартам, техническим спецификациям ИКТ и техническим требованиям в области доверительных услуг.

71. Функционирование национальных стандартов и технических спецификаций ИКТ осуществляется в соответствии с Законом № 20/2016 о национальной стандартизации.

72. Устройства создания квалифицированных электронных подписей или электронных печатей должны соответствовать требованиям одного из следующих стандартов:

1) SM EN 419211:2014-2015 Профили защиты для устройств создания безопасной подписи, части 1-6;

2) FIPS 140-2 Требования к безопасности для криптографических модулей (Security Requirements For Cryptographic Modules), уровни 3 или 4;

3) SM EN ISO/IEC 15408:2020 Информационные технологии. Методы обеспечения безопасности. Критерии оценки безопасности ИТ, части 1-5;

4) SM EN ISO/IEC 19790:2020 Информационные технологии. Методы обеспечения безопасности. Требования к безопасности криптографических модулей, части 1-6.

73. Программные продукты (программное обеспечение) создания квалифицированной электронной подписи или квалифицированных электронных печатей, которые обеспечивают применение закрытого ключа посредством устройств, должны быть разработаны и/или внедрены в соответствии с требованиями хотя бы одного из следующих стандартов:

1) SMV CWA 14170:2015 Требования к безопасности приложений для создания электронных подписей;

2) SM ISO/IEC 27034:2022 Информационные технологии. Методы обеспечения безопасности. Безопасность приложения, части 1-7;

3) SM EN ISO/IEC 15408:2020 Информационные технологии. Методы обеспечения безопасности. Критерии оценки безопасности ИТ, части 1-5.

Глава VII

ПРЕКРАЩЕНИЕ ДЕЯТЕЛЬНОСТИ КВАЛИФИЦИРОВАННЫХ

ПОСТАВЩИКОВ ДОВЕРИТЕЛЬНЫХ УСЛУГ

74. Деятельность квалифицированных поставщиков доверительных услуг прекращается в результате отзыва сертификата аккредитации, в соответствии со статьей 38 Закона № 124/2022 об электронной идентификации и доверительных услугах.

75. Отзыв сертификата аккредитации не ведет к отзыву лицензии, подтверждающей право осуществления деятельности в области криптографической и технической защиты информации.

76. Сертификаты открытых ключей, выданные квалифицированным поставщиком доверительных услуг, который прекратил свою деятельность, отзываются и передаются на хранение другому квалифицированному поставщику доверительных услуг, о чем сообщается обладателям соответствующих сертификатов открытых ключей.

77. Обладатели сертификатов открытых ключей уведомляются квалифицированным поставщиком доверительных услуг о его намерении прекратить свою деятельность и отозвать сертификаты открытых ключей у их владельцев заранее как минимум за 15 рабочих дней, в то же время им сообщаются данные квалифицированного поставщика доверительных услуг, который должен принять на хранение отозванные сертификаты открытых ключей.

78. Расходы на отзыв и передачу сертификатов открытых ключей на хранение другому квалифицированному поставщику доверительных услуг, а также на уведомление обладателей этих сертификатов несет квалифицированный поставщик доверительных услуг, который прекращает свою деятельность.

79. Квалифицированный поставщик доверительных услуг, который прекратил свою деятельность, возвращает обладателям отозванных сертификатов открытых ключей сумму не выполненных или частично выполненных услуг.

80. Контроль за передачей сертификатов открытых ключей и документов, связанных с их выдачей, другому квалифицированному поставщику доверительных услуг осуществляется органом надзора и контроля.

81. В отсутствие другого квалифицированного поставщика доверительных услуг сертификаты открытых ключей, отозванные в результате прекращения деятельности квалифицированного поставщика доверительных услуг, передаются на хранение органу надзора и контроля за счет квалифицированного поставщика доверительных услуг, который прекращает свою деятельность.

Глава VIII

КВАЛИФИЦИРОВАННЫЙ ПОСТАВЩИК

ДОВЕРИТЕЛЬНЫХ УСЛУГ ВЫСШЕГО УРОВНЯ

82. Квалифицированный поставщик доверительных услуг высшего уровня создается/продолжает свою деятельность в составе Службы информации и безопасности Республики Молдова.

83. Квалифицированный поставщик доверительных услуг высшего уровня создается в целях обеспечения сертификации, приостановления действия или отзыва открытых ключей квалифицированных поставщиков доверительных услуг.

84. Положение о функционировании квалифицированного поставщика доверительных услуг высшего уровня утверждается директором Службы информации и безопасности Республики Молдова.

85. Квалифицированный поставщик доверительных услуг высшего уровня выполняет следующие основные функции:

1) сертификация открытых ключей квалифицированных поставщиков доверительных услуг II уровня;

2) приостановление действия, восстановление и отзыв сертификатов открытых ключей квалифицированных поставщиков доверительных услуг II уровня;

3) создание и ведение Регистра сертификатов открытых ключей квалифицированных поставщиков доверительных услуг II уровня;

4) подтверждение подлинности и действительности сертификатов открытых ключей квалифицированных поставщиков доверительных услуг II уровня.

86. Деятельность квалифицированного поставщика доверительных услуг высшего уровня финансируется за счет и в пределах выделенных для этих целей бюджетных средств, утвержденных для Службы информации и безопасности Республики Молдова годовым законом о бюджете, а также из других источников, не запрещенных законом.