Na osnovu člana 18. stav 2. i člana 33. Zakona o elektronskom potpisu ("Službeni glasnik RS", broj 135/04),
Ministar za telekomunikacije i informatičko društvo donosi

PRAVILNIK

O BLIŽIM USLOVIMA ZA IZDAVANjE KVALIFIKOVANIH ELEKTRONSKIH SERTIFIKATA

(Objavljen u "Sl. glasniku RS", br. 26 od 14. marta 2008)

Član 1.

Ovim pravilnikom propisuju se bliži uslovi za izdavanje kvalifikovanih elektronskih sertifikata i način provere njihove ispunjenosti.

I. USLOVI KOJE SERTIFIKACIONO TELO TREBA DA ISPUNI ZA IZDAVANjE KVALIFIKOVANIH SERTIFIKATA

Sposobnost za pouzdano obavljanje usluga izdavanja kvalifikovanih elektronskih sertifikata

Član 2.

Izdavanje kvalifikovanih elektronskih sertifikata mora biti u skladu sa odgovarajućim međunarodnim standardima i preporukama, odnosno drugim standardima, dokumentima i preporukama koje se odnose na izdavanje kvalifikovanih elektronskih sertifikata, utvrđenim ovim pravilnikom.

Član 3.

Sertifikaciono telo za izdavanje kvalifikovanih elektronskih sertifikata (u daljem tekstu: sertifikaciono telo) izdaje kvalifikovane elektronske sertifikate tako što formira kvalifikovani elektronski potpis sertifikata na osnovu svog privatnog ključa i asimetričnog kriptografskog algoritma u skladu sa pravilnikom o tehničko-tehnološkim postupcima za formiranje kvalifikovanog elektronskog potpisa i uslovima i kriterijumima koje treba da ispune sredstva za formiranje kvalifikovanog elektronskog potpisa.
Sertifikaciono telo izdaje kvalifikovane elektronske sertifikate korisnicima u skladu sa dokumentimaETSI ESI TS 101 862 "Qualified Certificate Profile", RFC 3739 "Internet X.509 Public Key Infrastructure: Qualified Certificates Profile", RFC 3280 "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile" i ETSI TS 102 280 "X.509 V.3 Certificate Profile for Certificates Issued to Natural Persons" i sa obaveznim sadržajem definisanim u članu 17. Zakona o elektronskom potpisu (u daljem tekstu: Zakon).

Član 4.

Sertifikaciono telo dužno je da obezbedi kompletne usluge sertifikacije koje uključuju sledeće servise, i to:
1) registraciju korisnika;
2) formiranje kvalifikovanih elektronskih sertifikata;
3) distribuciju kvalifikovanih elektronskih sertifikata korisnicima;
4) upravljanje životnim vekom (obnavljanje, suspenzija, opoziv) kvalifikovanih elektronskih sertifikata;
5) obezbeđivanje pouzdanog i javno dostupnog servisa za proveru statusa opozvanosti kvalifikovanih elektronskih sertifikata.
Sertifikaciono telo može, pored servisa iz stava 1. ovog člana, da obezbedi i formiranje asimetričnog para ključeva za korisnike, kao i distribuciju privatnog ključa i sertifikata korisniku na bezbedan način, ukoliko je to propisano u Politici sertifikacije datog sertifikacionog tela.

Član 5.

Sertifikaciono telo, pre početka rada, utvrđuje Opšta interna pravila pružanja usluge sertifikacije (u daljem tekstu: Opšta pravila) koja korisnicima obezbeđuju dovoljno informacija na osnovu kojih se mogu odlučiti o prihvatanju usluga i o obimu usluga.
Opšta pravila Sertifikacionog tela ugrađuju se u dokumentima:
1) Politika sertifikacije (Certificate Policy);
2) Praktična pravila pružanja usluge Sertifikacije (Certification Practices Statement) (u daljem tekstu: Praktična pravila).
Politika sertifikacije i Praktična pravila jesu javni dokumenti.

Član 6.

Politika sertifikacije definiše predmet rada sertifikacionog tela, dok Praktična pravila definišu procese i način njihovog korišćenja pri formiranju i upravljanju kvalifikovanim elektronskim sertifikatima. Politika sertifikacije definiše zahteve poslovanja sertifikacionog tela, dok Praktična pravila definišu operativne procedure u cilju ispunjenja tih zahteva. Praktična pravila definišu način na koji sertifikaciono telo ispunjava tehničke, organizacione i proceduralne zahteve poslovanja koji su identifikovani u Politici sertifikacije.
Politika sertifikacije je manje specifičan i detaljan dokument u odnosu na Praktična pravila koja predstavljaju mnogo detaljniji opis načina poslovanja, kao i poslovne i operativne procedure koje sertifikaciono telo primenjuje u izdavanju i upravljanju kvalifikovanim elektronskim sertifikatima.
Politika sertifikacije se definiše nezavisno od specifičnog operativnog okruženja sertifikacionog tela, dok Praktična pravila daju detaljan opis organizacione strukture, operativnih procedura, kao i fizičko i računarsko okruženje sertifikacionog tela.

Član 7.

Opšta pravila funkcionisanja sertifikacionog tela treba da budu u skladu sa dokumentimaRFC 3647 "Internet X.509 Public Key Infrastructure. Certificate Policy and Certification Practices Framework" iETSI TS 101 456 "Policy Requirements for Certification Authorities Issuing Qualified Certificates".

Član 8.

Sadržaj dokumenata Politika sertifikacije i Praktična pravila, obuhvata:
1) opšte odredbe o radu sertifikacionog tela:
(1) pojam sertifikacionog tela,
(2) sertifikacione usluge,
(3) obuhvat dokumenta Politika sertifikacije,
(4) obuhvat dokumenta Praktična pravila pružanja usluge sertifikacije,
(5) korisnike usluga sertifikacije;
2) uvodne odredbe o Politici izdavanja kvalifikovanih elektronskih sertifikata;
3) obaveze i odgovornosti:
(1) obaveze sertifikacionog tela,
(2) obaveze korisnika,
(3) odgovornost sertifikacionog tela,
(4) odgovornost korisnika;
4) funkcionalne zahteve za rad sertifikacionog tela:
(1) operativne procedure rada sertifikacionog tela,
(2) procedure upravljanja životnim ciklusom kriptografskih ključeva:
- generisanje ključa sertifikacionog tela,
- procedure čuvanja i formiranja rezervnih kopija ključeva sertifikacionog tela,
- distribuciju javnog ključa sertifikacionog tela,
- korišćenje ključa sertifikacionog tela,
- kraj životnog ciklusa ključa sertifikacionog tela,
- upravljanje životnim ciklusom kriptografskog hardvera koji se koristi za generisanje kvalifikovanih sertifikata,
- upravljanje ključevima korisnika za identifikaciju i digitalnu envelopu,
- proceduru pripreme sredstava za formiranje kvalifikovanog elektronskog potpisa;
(3) procedure upravljanja životnim ciklusom sertifikata:
- metode registracije korisnika,
- izdavanje sertifikata,
- distribucija sertifikata,
- obnavljanje sertifikata,
- suspenzija sertifikata,
- opoziv sertifikata,
- način publikacije liste opozvanih sertifikata;
(4) upravljanje operativnim radom sertifikacionog tela:
- upravljanje u skladu sa bezbednosnim principima,
- upravljanje i klasifikacija najvažnijih informacija i podataka u okviru sertifikacionog tela,
- kadrovski resursi,
- sistem fizičke bezbednosti i bezbednosti okruženja,
- upravljanje radom sertifikacionog tela,
- upravljanje sistemom