PRAVILNIK O FORMI I NAČINU OBJAVLJIVANJA JAVNE LISTE KVALIFIKOVANIH USLUGA OD POVERENJA("Sl. glasnik RS", br. 4/2019) |
Ovim pravilnikom propisuje se forma i način objavljivanja Javne liste kvalifikovanih usluga od poverenja.
Javna lista kvalifikovanih usluga od poverenja pouzdajućim stranama obezbeđuje pouzdanu informaciju o statusu pružaoca kvalifikovanih usluga od poverenja i njihovih kvalifikovanih usluga u skladu sa podacima upisanim u Registar pružalaca kvalifikovanih usluga od poverenja (u daljem tekstu: Registar) iz člana 35. Zakona o elektronskom dokumentu, elektronskoj identifikaciji i uslugama od poverenja u elektronskom poslovanju (u daljem tekstu: Zakon).
Javna lista kvalifikovanih usluga od poverenja sadrži informaciju o relevantnim proteklim događajima u vezi sa statusom sadašnjih i bivših pružalaca i njihovih usluga tokom vremena, uključujući informaciju o početku pružanja, gubitku celovitosti usluge od poverenja, privremenoj zabrani, prestanku pružanja usluge, brisanju iz Registra i drugim događajima zabeleženim u okviru poslova vođenja Registra, inspekcijskog nadzora ili događajima prijavljenim od strane pružaoca, a koji utiču na prihvatljivost kvalifikovane usluge od poverenja i postupak utvrđivanja njenog statusa u određenom vremenskom trenutku.
Pouzdajuća strana koristi Javnu listu kvalifikovanih usluga od poverenja u postupku utvrđivanja kvalifikovanog statusa pružaoca, pružene kvalifikovane usluge od poverenja i kvalifikovanog statusa drugih elemenata proisteklih iz pružene usluge, poput utvrđivanja kvalifikovanog statusa izdatog sertifikata za elektronski potpis, pečat ili autentikaciju veb sajtova, u odnosu na sadašnji ili određeni vremenski trenutak u prošlosti nakon što je usluga pružena.
Ministarstvo nadležno za elektronsko poslovanje postupa kao operator Javne liste kvalifikovanih usluga od poverenja (engleski: "Trusted List Scheme Operator - TLSO") prema standardu ETSI TS 119 612 "Electronic Signatures and Infrastructures (ESI); Trusted Lists" i članu 38. stav 5. Zakona, a u odnosu na član 22. stav 3. Uredbe eIDAS (u daljem tekstu: Operator).
Operator formira i objavljuje Javnu listu kvalifikovanih usluga od poverenja u skladu sa standardom ETSI TS 119 612 u formi pogodnoj za automatsku obradu kao elektronski dokument u XML formatu potpisan naprednim elektronskim pečatom.
Operator dodatno formira i objavljuje prateći dokument koji sadrži SHA-256 otisak potpisane liste iz stava 1. ovog člana.
Dokumenti iz st. 1. i 2. ovog člana objavljuju se na namenskom veb sajtu Javne liste kvalifikovanih usluga od poverenja.
Operator osim poslednjeg objavljenog izdanja može da učini dostupnim i arhivu prethodnih izdanja dokumenata iz st. 1. i 2. ovog člana.
Operator je dužan da obezbedi visok nivo dostupnosti i ažurnosti objavljene Javne liste kvalifikovanih usluga od poverenja kao i kompatibilnost objavljene liste sa aktuelnim tehničkim standardima.
Veb sajt Javne liste kvalifikovanih usluga od poverenja mora da bude registrovana na domenu gov.rs, na nepromenjivoj adresi, kako bi se obezbedila dugoročna dostupnost veb sajta.
Ažurna verzija dokumenta iz člana 5. stav 1. ovog pravilnika može se preuzeti preko veb sajta Javne liste kvalifikovanih usluga od poverenja u skladu sa standardom ETSI TS 119 612, odeljak "6.1 TL publication". Veb adresa dokumenta u XML formatu obavezno se završava sa ".xml". Prateći dokument iz člana 5. stav 2. ovog pravilnika objavljuje se na veb adresi kod koje je krajnji nastavak ".xml" zamenjen nastavkom ".sha2".
Veb sajt obavezno isporučuje dokument sa HTTP zaglavljem "Content-Type: application/vnd.etsi.tsl+xml".
Javna lista kvalifikovanih usluga od poverenja može da bude dodatno predstavljena i u formi pogodnoj za prikaz pouzdajućoj strani pod uslovom da je u dokumentu u toj formi naglašeno da informacije sadržane u dokumentu odgovaraju informacijama u dokumentu iz člana 5. ovog pravilnika, kao i da pored toga jedino dokument u formi iz člana 5. ovog pravilnika predstavlja referentni izvor informacija o kvalifikovanom statusu pružaoca i njihovih usluga.
Javna lista kvalifikovanih usluga od poverenja sadrži sledeće vrednosti polja prema standardu ETSI TS 119 612:
1) Polje "TSLType" odeljak 5.3.3 ima vrednost "http://uri.etsi.org/TrstSvc/TrustedList/TSLType/RSlist".
2) Polje "StatusDeterminationApproach" odeljak 5.3.8 ima vrednost "http://uri.etsi.org/TrstSvc/TrustedList/StatusDetn/RSdetermination".
3) Polje "SchemeTerritory" odeljak 5.3.10 ima vrednost "RS".
Prema standardu ETSI TS 119 612 podaci u Javnoj listi kvalifikovanih usluga od poverenja unose se na engleskom jeziku sa kodnom oznakom "en" u UTF-8 kodiranju.
Polja koja podržavaju unos na više jezika unose se najmanje na srpskom i engleskom jeziku. Oznaka jezika zadaje se prema dokumentu IETF RFC 5646. Podaci na srpskom jeziku unose se ćirilicom sa oznakom "sr-cyrl" u UTF-8 kodiranju.
Veze ka drugim stranicama označavaju se odgovarajućom oznakom prema jeziku i pismu ciljne stranice.
Identifikacioni i adresni podaci pružalaca kvalifikovanih usluga od poverenja prenose se direktno iz odgovarajućeg registra u izvornom jeziku i pismu sa odgovarajućom oznakom ("sr-cyrl", "sr-latn" ili drugo).
Ukoliko identifikacioni i adresni podaci nisu uneti na barem jednom jeziku na latiničnom pismu (prema definiciji ISO 10646), u skladu sa standardom ETSI TS 119 612 aneks E. Pored izvornog unosa u višejezičnom polju dodaje se i unos transkripcijom na najmanje jednom jeziku latiničnim pismom sa odgovarajućom oznakom ("sr-latn", "en" ili drugo).
Polje TSL name prema standardu ETSI TS 119 612 odeljak 5.3.6 ima višejezičnu vrednost:
1) Za jezičku oznaku "sr-cyrl" vrednost "RS: Javna lista kvalifikovanih usluga poverenja prema Zakonu o elektronskom dokumentu, elektronskoj identifikaciji i uslugama od poverenja u elektronskom poslovanju";
2) Za jezičku oznaku "en" vrednost "RS: Public qualified service status list in accordance to Law on Electronic Document, Electronic Identification and Trust Services in electronic business".
Operator je dužan da obezbedi stranicu sa dodatnim informacijama o Javnoj listi kvalifikovanih usluga od poverenja, na srpskom i engleskom jeziku, koja pouzdajućoj strani pruža pregled zakonskog okvira za kvalifikovane usluge od poverenja, a posebno:
1) identifikaciju i kontakt podatke Ministarstva kao:
(1) operatora Javne liste kvalifikovanih usluga od poverenja prema ovom pravilniku;
(2) tela koje vrši inspekcijski nadzor nad primenom Zakona, odnosno nad pružaocima kvalifikovanih usluga od poverenja;
2) kriterijume za sticanje kvalifikovanog statusa pružaoca usluge od poverenja prema članu 35. Zakona i obaveze koje pružaoci usluga od poverenja i kvalifikovane usluge od poverenja moraju da ispune kako bi zadržali status kvalifikovanog pružaoca usluge od poverenja i kvalifikovane usluge od poverenja;
3) uslove pod kojima može doći do privremene zabrane ili opoziva kvalifikovanog statusa pružaoca usluge od poverenja i kvalifikovane usluge od poverenja.
Javna lista kvalifikovanih usluga od poverenja sadrži veze ka stranicama na srpskom i engleskom jeziku iz stava 1. ovog člana prema ETSI TS 119 612 u polju "SchemeInformationURI" (odeljak 5.3.7), polju "SchemeTypeCommunityRules" (odeljak 5.3.8) i polju "PolicyOrLegalNotice" (odeljak 5.3.11).
Operator obezbeđuje informacionu podršku u vidu aplikacije, aplikativnog rešenja odnosno informacionog sistema za formiranje, potpisivanje i objavljivanje Javne liste kvalifikovanih usluga od poverenja.
Pri formiranju, potpisivanju i objavljivanju Javne liste kvalifikovanih usluga od poverenja operator treba da obezbedi sledeće:
1) XML dokument i otisak iz člana 5. ovog pravilnika treba da budu izrađeni i ažurirani korišćenjem alata iz člana 13. ovog pravilnika;
2) sredstvo za potpisivanje odnosno pečatiranje Javne liste kvalifikovanih usluga od poverenja treba da garantuje pouzdanost i integritet prilikom upravljanja tim sredstvom, odnosnom prilikom postupka kreiranja, oglašavanja, čuvanja, aktiviranja sredstva i stavljanja sredstva van upotrebe;
3) primenu mera radi sprečavanja neovlašćenog korišćenja sredstva za potpisivanje odnosno pečatiranje kao i neovlašćeno objavljivanje na veb sajtu na kome je objavljena Javna lista kvalifikovanih usluga od poverenja;
4) pravovremeno reagovanje u slučaju incidenata uključujući kompromitaciju sredstva za potpisivanje odnosno pečatiranje Javne liste kvalifikovanih usluga od poverenja, kompromitaciju ili nedostupnost veb sajta na kojoj je objavljena Javna lista kvalifikovanih usluga od poverenja ili nedostupnost tehničkog rešenja za izradu dokumenata iz člana 13. ovog pravilnika;
5) ažurne, tačne, potpune i autentične podatke u objavljenoj Javnoj listi kvalifikovanih usluga od poverenja.
Operator obezbeđuje da u svakom trenutku postoje najmanje dva nezavisna seta podataka za formiranje potpisa kojima se može obaviti potpisivanje Javne liste kvalifikovanih usluga od poverenja sa različitim krajnjim datumom.
Podaci o sertifikatu kojim je podržan potpis Javne liste kvalifikovanih usluga od poverenja, uključujući SHA-256 otisak objavljuju se u "Službenom glasniku Republike Srbije".
Svi dostupni sertifikati za potpisivanje sledećeg izdanja objavljene liste se ugrađuju u objavljenu listu u polju "PointersToOtherTSL" pod putanjom "OtherTSLPointer / ServiceDigitalIdentities / ServiceDigitalIdentity / DigitalId" uključujući sertifikat povezan sa podacima za proveru potpisa ili pečata koji će biti iskorišćen za potpisivanje trenutnog izdanja liste.
Operator osigurava integritet i autentičnost XML dokumenta iz člana 5. ovog Pravilnika naprednim elektronskim pečatom u XAdES-BES formatu prema standardu ETSI TS 101 903 "XML Advanced Electronic Signatures (XAdES)" postupkom koji je definisan internim pravilima iz člana 14. ovog pravilnika.
Sredstvo za formiranje pečata mora da ispunjava uslove iz člana 46. Zakona.
Operator može da koristi sredstvo i elektronski sertifikat povezan sa podacima za proveru pečata izdat unutar interne PKI infrastrukture operatora, samopotpisani sertifikat ili sertifikat izdat od strane pružaoca kvalifikovane usluge od poverenja čija se usluga nalazi uključena u formiranu listu, na način kako je predviđeno internim pravilima iz člana 13. ovog pravilnika.
Ukoliko operator koristi sertifikat izdat od strane pružaoca kvalifikovane usluge od poverenja, kvalifikovani status pružaoca usluge od poverenja i izdatog sertifikata nije relevantan za utvrđivanje validnosti potpisa Javne liste kvalifikovanih usluga od poverenja.
Elektronski pečat XML dokumenta iz stava 1. ovog člana može da sadrži samo jedan sertifikat povezan sa podacima za proveru pečata.
Elektronski sertifikat iz člana 15. ovog pravilnika obavezno ima sledeće vrednosti:
1) U polju "Subject", vrednost "Country code" je "RS", a "Organization" odgovara identifikaciji Operatora;
2) Polje "KeyUsage" ima vrednost "nonRepudiation" (contentCommitment);
3) Polje "ExtendedKeyUsage" ima vrednost "id-tsl-kp-tslSigning" (0.4.0.2231.3.0);
4) Polje "BasicConstraints" ima vrednost "CA=false";
5) Polje "SubjectKeyIdentifier" mora biti prisutno u skladu sa napomenom u ETSI TS 101 903 odeljak 5.7.1.
Elektronski sertifikat iz člana 15. ovog pravilnika se uvek izdaje u odnosu na nove podatke za proveru i formiranje elektronskog potpisa odnosno pečata. Dozvoljeno vreme upotrebe ključa odgovara validnosti elektronskog sertifikata.
Operator formira i objavljuje Javnu listu kvalifikovanih usluga od poverenja najmanje jednom u šest meseci i pri svakoj promeni statusa pružalaca kvalifikovanih usluga od poverenja i kvalifikovanih usluga od poverenja.
Operator obezbeđuje proceduru obaveštavanja između operatora i pružalaca kvalifikovanih usluga od poverenja, kao i inspekcije za elektronsku identifikaciju i usluge od poverenja u elektronskom poslovanju tako da pri svakoj promeni podataka objavljenih u Javnoj listi kvalifikovanih usluga od poverenja novo izdanje liste bude objavljeno najkasnije u roku od 24 časa od nastale promene.
Izuzetno od stava 2. ovog člana, operator obezbeđuje da pri svakoj promeni u kvalifikovanom statusu pružaoca ili usluge od poverenja novo izdanje liste bude objavljeno najkasnije u roku od četiri časa od nastale promene.
Javna lista kvalifikovanih usluga od poverenja trajno zadržava sve zapise o statusu pružalaca kvalifikovanih usluga od poverenja i kvalifikovanih usluga od poverenja koji su uneti od početka vođenja Javne liste kvalifikovanih usluga od poverenja.
Pri prestanku pružanja kvalifikovane usluge od poverenja, status usluge se menja u "ceased".
U slučaju brisanja kvalifikovane usluge od poverenja iz Registra, status usluge se menja u "withdrawal".
Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u "Službenom glasniku Republike Srbije".
