Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty dokládá splnění povinností stanovených v § 6 zákona o elektronickém podpisu těmito dokumenty:

Obsahem certifikační politiky je zejména

Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty umožňuje trvalý dálkový přístup ke své certifikační politice.

Obsahem certifikační prováděcí směrnice je zejména stanovení postupů, které poskytovatel certifikačních služeb vydávající kvalifikované certifikáty uplatňuje při zajištění služeb spojených s elektronickými podpisy.

Obsahem celkové bezpečnostní politiky je zejména stanovení cílů a popis způsobu zajištění celkové bezpečnosti poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty.

Obsahem systémové bezpečnostní politiky je zejména stanovení cílů a popis způsobu zajištění bezpečnosti informačního systému, jehož prostřednictvím poskytovatel certifikačních služeb vydávající kvalifikované certifikáty zajišťuje služby spojené s elektronickými podpisy (dále jen „informační systém pro certifikační služby“). Systémová bezpečnostní politika obsahuje zejména

Požadavky na celkovou bezpečnostní politiku a systémovou bezpečnostní politiku Úřad zveřejňuje ve Věstníku Úřadu pro ochranu osobních údajů (dále jen „Věstník Úřadu“).

Obsahem plánu pro zvládání krizových situací je zejména stanovení postupů, které jsou uplatněny v případě mimořádné události. Mimořádnou událostí se pro účely této vyhlášky rozumí událost, která ohrožuje poskytování služeb spojených s elektronickými podpisy a která nastává zejména v důsledku selhání informačního systému nebo výskytu faktoru, který není pod kontrolou poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty.

Obsahem plánu obnovy je zejména stanovení postupů pro obnovu řádné funkce informačního systému pro certifikační služby.

Při zajišťování služeb spojených s elektronickými podpisy poskytovatel certifikačních služeb vydávající kvalifikované certifikáty postupuje podle dokumentů uvedených v odstavci 1 písm. a) až f).

Dostatečností finančních zdrojů je schopnost poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty finančně zabezpečit řádné provozování služeb spojených s elektronickými podpisy i s ohledem na riziko odpovědnosti za škody.

Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty podepisuje zaručeným elektronickým podpisem kvalifikované certifikáty a seznamy kvalifikovaných certifikátů, které byly zneplatněny. Tento zaručený elektronický podpis musí být založený na kvalifikovaném certifikátu poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty.

Nástroj elektronického podpisu používaný pro podepisování podle odstavce 1 nelze použít pro jiné účely.

Uvedení do provozu a změna provozního režimu nástroje elektronického podpisu používaného pro podepisování podle odstavce 1 vyžadují, aby je prováděly současně nejméně dvě fyzické osoby, které jsou pro tuto činnost určeny poskytovatelem certifikačních služeb vydávajícím kvalifikované certifikáty.

V případě, že jsou data pro vytváření elektronického podpisu používána pro podepisování vydávaných kvalifikovaných certifikátů a pro podepisování seznamu kvalifikovaných certifikátů, které byly zneplatněny, nelze je použít pro jiné účely.

Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty zajistí dostupnost svého kvalifikovaného certifikátu nejméně dvěma na sobě nezávislými způsoby.

Seznam kvalifikovaných certifikátů, které byly zneplatněny, je provozován tak, aby jeho dostupnost byla zajištěna nejméně dvěma na sobě nezávislými způsoby, které umožňují dálkový přístup a jsou nepřetržitě dostupné.

Doba mezi ukončením platnosti kvalifikovaného certifikátu a zveřejněním údaje o ukončení této platnosti v seznamu kvalifikovaných certifikátů, které byly zneplatněny, může činit nejvýše 12 hodin. Tento údaj obsahuje číslo kvalifikovaného certifikátu unikátní u poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty, datum a čas s uvedením hodiny, minuty a sekundy, od kdy byl kvalifikovaný certifikát zneplatněn.

Používaný informační systém pro certifikační služby se považuje za bezpečný, pokud u dat, která zpracovává, je zajištěna důvěrnost, integrita, dostupnost a prokazatelnost jejich původu a pokud odpovídá požadavkům technické normy upravující oblast informační bezpečnosti.¹

Za účelem doložení bezpečnosti postupů podle § 6 odst. 1 písm. j) zákona o elektronickém podpisu poskytovatel certifikačních služeb vydávající kvalifikované certifikáty zajistí zaznamenávání událostí při

Záznamy o událostech podle odstavce 2 musí být pořizovány, uchovávány a zpracovávány se zachováním prokazatelnosti původu, dostupnosti, integrity, časové autentičnosti a důvěrnosti těchto záznamů.

Prostory, kde dochází k činnosti podle odstavců 1 až 3 a podle § 5 odst. 1, musí být zabezpečeny obdobně jako objekty kategorie „D“ podle zvláštního právního předpisu.²

Za účelem doložení bezpečnosti postupů podle § 6 odst. 1 písm. j) a k) zákona o elektronickém podpisu poskytovatel certifikačních služeb vydávající kvalifikované certifikáty pořizuje písemné záznamy o tom, že osoby jím určené k zajišťování služeb spojených s elektronickými podpisy jsou

Při vytváření, používání a uchovávání párových dat poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty musí být jakákoliv manipulace s těmito daty prováděna

Při vytváření párových dat poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty musí být použity kryptografické algoritmy a jejich parametry, které jsou uvedeny v příloze č. 2 této vyhlášky.

Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty je povinen svá data pro vytváření elektronického podpisu zničit po ukončení jejich životního cyklu; o tom pořizuje zápis, který obsahuje

Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty v případě neoprávněného použití nebo vzniku důvodné obavy ze zneužití svých dat pro vytváření elektronického podpisu užívaných pro podepisování vydávaných kvalifikovaných certifikátů a pro podepisování seznamu kvalifikovaných certifikátů, které byly zneplatněny, je bezodkladně povinen

dokumenty uvedenými v § 2 odst. 1 písm. a) až e),

výsledkem hodnocení, podle něhož jsou splněny požadavky technické normy upravující oblast informační bezpečnosti,1) a

písemným posudkem, jehož součástí je potvrzení, že podle kontroly bezpečnostní shody, která byla provedena podle technické normy upravující oblast informační bezpečnosti,3) je používání informačního systému pro certifikační služby v souladu se způsoby zajištění bezpečnosti stanovenými v dokumentech uvedených v § 2 odst. 1 písm. c) a d). Kontrola bezpečnostní shody musí být prováděna opakovaně, a to vždy nejpozději do 12 měsíců od provedení poslední kontroly bezpečnostní shody.

Prostředek pro bezpečné vytváření zaručeného elektronického podpisu musí mít vlastnosti, které bezprostředně před podepsáním datové zprávy zajistí, aby podepisující osoba

Prostředek pro bezpečné vytváření zaručeného elektronického podpisu musí používat kryptografické algoritmy a jejich parametry, které jsou uvedeny v příloze č. 2 této vyhlášky.

Prostředek pro bezpečné vytváření zaručeného elektronického podpisu vyžaduje dostatečnou záruku bezpečnosti; tento požadavek se považuje za splněný, pokud prostředek odpovídá požadavkům technické normy upravující oblast informační bezpečnosti.¹

Splnění požadavků na prostředek pro bezpečné vytváření zaručeného elektronického podpisu stanovených v § 17 zákona o elektronickém podpisu se dokládá

Požadavky uvedené v odstavcích 2 až 4 musí splňovat rovněž prostředek pro bezpečné ověřování zaručeného elektronického podpisu.

Úřad vyhodnocuje na základě písemné žádosti shodu nástrojů elektronického podpisu určených pro podepisování vydávaných kvalifikovaných certifikátů a seznamu kvalifikovaných certifikátů, které byly zneplatněny, s požadavky stanovenými zákonem o elektronickém podpisu.

Žádost podle odstavce 1 musí obsahovat

Pokud nástroj elektronického podpisu podle odstavce 1 splňuje požadavky stanovené zákonem o elektronickém podpisu a Úřad vysloví shodu, je nástroj považován za bezpečný. Seznam nástrojů, u nichž byla vyslovena shoda, zveřejňuje Úřad ve Věstníku Úřadu.