Исследование было проведено командой под руководством Джоса Думортье, профессора Факультета права и директора Междисциплинарного центра права и информационных технологий (icri) в K.

Вид материала

Содержание

5.2 Цели Директивы
5.3 Стимулирование внутреннего рынка
5.3.1 Сертификационные услуги
5.3.2 Надзор за ПСУ
5.3.3 Добровольная аккредитация
5.3.4 Оценка соответствия SSCD
5.3.5 Электронное правительство

Подобный материал:

1 ... 23 24 25 26 27 28 29 30 ... 59

5.2 Цели Директивы

Издав Директиву ЕС по электронным подписям № 1999/93/EC от 13 декабря 1999 года, Европейский парламент и Совет стремились достичь ряда целей. Эти цели прямо указаны в декларативной части Директивы:

Создание в Сообществе ясной правовой базы в отношении условий, применяемых к электронным подписям, укрепляя тем самым доверие к ним и способствуя их общему принятию (Декларация факта 4);
Предотвращать расхождения в правилах, относящихся к юридическому признанию электронных подписей и к условиям предоставления услуг сертификации (Декларация факта 4);
Устранять препятствия свободному обращению продуктов и услуг на внутреннем рынке в законодательстве стран-членов (Декларация 4).
Способствовать совместимости продуктов для электронной подписи и обеспечивать выполнение важнейших специальных требований к продуктам для электронной подписи с целью гарантировать свободу движения на внутреннем рынке и обеспечить доверие к электронным подписям (Декларация факта 5);
Открыто подходить к различным технологиям и сервисам, обеспечивающим электронную аутентификацию данных (Декларация факта 8);
Соблюдать равновесие между потребностями потребителей и бизнеса (Декларация факта 14);
Упрочивать доверие пользователей к электронным средствам связи и электронной коммерции (Декларация факта 24).

Эти цели мы можем разделить на три группы: 1) стимулирование внутреннего рынка, 2) содействие юридическому признанию электронных подписей и 3) создание в этой области благоприятного климата для потребителей и бизнеса. Основываясь на результатах предыдущих глав, мы сделаем общие выводы по каждому из этих уровней и сформулируем конкретные рекомендации на ближайшее будущее.

5.3 Стимулирование внутреннего рынка

Что касается внутреннего рынка, цели европейского законодательства содержатся в Декларациях факта (5) и (10) Директивы. Декларация факта (5) относится к продуктам для электронной подписи, в Декларации (10) говорится о (сертификационных) услугах.

5.3.1 Сертификационные услуги

В отношении услуг Декларация факта (10) достаточно ясно излагает то видение, которое легло в основу положений Директивы:

«Внутренний рынок позволяет провайдерам сертификационных услуг вести свою деятельность на территории других стран в целях повышения собственной конкурентоспособности, тем самым предлагая потребителям и бизнесу новые возможности безопасного обмена информацией и электронной торговли, независимо от границ; чтобы содействовать предоставлению сертификационных услуг в открытых сетях по всей территории Сообщества, провайдеры сертификационных услуг должны свободно предоставлять свои услуги без предварительного разрешения; под предварительным разрешением понимается не только разрешение, которое данный провайдер сертификационных услуг должен получить по решению национальных органов, чтобы иметь возможность предоставлять свои услуги в области сертификации, но также и любые другие меры, ведущие к аналогичным последствиям».

В Декларации факта прямо говорится о предоставлении сертификационных услуг за границей. Это неудивительно, учитывая тот факт, что к моменту принятия Директивы отдельные страны-члены уже представили законы, ставящие предоставление сертификационных услуг в зависимость от предварительного разрешения национальных органов. Законодательство этих стран-членов действительно не исключало предоставление услуг со стороны ПСУ, учрежденных в других странах-членах. С другой стороны, таки ПСУ требовалась лицензия из страны ЕС или ЕЭЗ, и условия получения такой лицензии должны были быть равными.^⁶⁰

Не дать странам-членам создавать или поддерживать работу схем лицензирования или подобных барьеров для провайдеров услуг в этой сфере прямо связано с целями Директивы на внутреннем рынке. Если бы каждая страна-член поставила предоставление сертификационных услуг в зависимость от предварительного разрешения органов этой страны-члена, провайдерам услуг было бы невозможно или очень затруднительно развивать сертификационные услуги на европейском уровне.

В нашем обзоре европейского законодательства мы выяснили, что в настоящее время ни одна из стран-членов^⁶¹ не связывает предоставление сертификационных услуг провайдерами из других стран-членов с каким-либо видом предварительного разрешения. Теоретически ПСУ, учрежденный в одной стране-члене, имеет все возможности предоставлять сертификационные услуги в другой стране-члене без необходимости запрашивать предварительное разрешение в уполномоченных национальных органах этой страны-члена.^⁶² До принятия и транспонирования Директивы это было невозможно сделать нигде в Европе. Этот позитивный результат, связанный непосредственно с Директивой, зачастую упускают из виду. В этой связи, одна из важнейших целей Директивы на рынке была достигнута.

5.3.2 Надзор за ПСУ

Немало было написано о том, что в различных странах-членах были созданы системы надзора, очень близкие к предварительному разрешению, и это было подтверждено в ходе данного исследования. Тем не менее, формулировка Статьи 3.1 совершенно ясна. Запрет предоставлять сертификационные услуги (квалифицированные, аккредитованные или другие) без предварительного разрешения или принятие иных мер, ведущих к тем же последствиям, строго запрещены Директивой. Там, где созданные страной-членом процедуры уведомления или регистрации ведут к последствиям, аналогичным предварительному разрешению ПСУ предоставлять свои услуги, Европейская комиссия имеет возможность предпринимать меры в отношении страны-члена как нарушителя положений Директивы.

К счастью, надзор за сертификационными услугами со стороны органов стран-членов затрагивает только провайдеров, учрежденных на их собственной территории. Можно было ожидать, что страны-члены постараются сделать режим надзора за провайдерами на своей территории по возможности ограниченным и гибким, чтобы не снижать конкурентоспособность «своих» провайдеров по сравнению с провайдерами, учрежденными в других местах.

Однако, лишь за немногими исключениями, страны-члены и другие страны, затронутые данным исследованием, использовали совершенно иную стратегию. В нашем обзоре мы обнаружили, что некоторые из национальных систем надзора иногда тяжело обременяют местных провайдеров сертификационных услуг, пока они не получают возможность предоставлять квалифицированные услуги. Очевидно, страны-члены до сих пор убеждены, что большая часть квалифицированных сертификатов, выданных гражданам на их собственной территории, будет предоставляться ПСУ, учрежденными там же. Еще одна возможная причина состоит в том, что некоторые страны-члены используют системы надзора для повышения уровня безопасности ПСУ на своей территории с целью повысить их качество и, тем самым, конкурентоспособность на европейском и мировом рынке. Наконец, Статья 3.3 Директивы прямо требует создания соответствующей системы, обеспечивающей надзор за провайдерами сертификационных услуг. Декларация факта (13) разъясняет, что целью надзора является контроль за тем, чтобы учрежденный ПСУ, выдающий гражданам квалифицированные сертификаты, предоставлял эту услугу в соответствии с требованиями Директивы. Требования перечислены в Приложении II. Страны-члены решили, и это можно понять, что надзор за соблюдением этих сложных технических требований обязательно предполагает близкий и доскональный контроль над ПСУ и тем, как они работают.

Согласно Директиве в любом случае, если они не допускают предварительного разрешения, страны-члены могут самостоятельно организовывать надзор над ПСУ, созданными на своей территории. В Декларации факта (13) указывается: «Страны-члены могут сами решать, как они обеспечат надзор за соблюдением положений, изложенных в настоящей Директиве». Наличие во всех странах-членах одинаковых или гармонизованных схем надзора явно не входило в цели Директивы.

В той же Декларации факта говорится следующее: «настоящая Директива не препятствует созданию систем надзора в частном секторе». Большинство систем надзора создавались под патронажем государственных органов, однако в некоторых странах орган надзора фактически является частной компанией, которая должна быть аккредитована независимым государственным органом для того, чтобы вести надзор за ПСУ. Пока еще слишком рано для того, чтобы пытаться провести оценку подобных схем надзора в частном секторе.

Наше исследование показало, что в большинстве стран были учреждены лишь несколько ПСУ (если вообще учреждались), на самом деле выдающие сертификаты. Большинство схем надзора все еще находятся на очень ранней стадии развития. Поэтому сравнивать практические результаты их деятельности пока затруднительно. Так или иначе очевидно наличие очень серьезных расхождений схем надзора в разных странах-членах. Условия входа на рынок квалифицированных сертификационных услуг также существенно различаются в зависимости от страны. Пока влияние этих расхождений остается ограниченным, так как большинство ПСУ продолжают работать исключительно в своих родных странах. Но ситуация изменится, как только европейские и неевропейские провайдеры начнут предоставлять зарубежные сертификационные услуги на территории Евросоюза.

Рекомендации:

Похоже, что обследованные страны Европы испытывают трудности с соблюдением равновесия между «необходимым надзором» за провайдерами сертификационных услуг и запретом вести деятельность без предварительного разрешения. Несомненно, было бы полезно опубликовать руководящие указания по организации надзора, отвечающего положениям Директивы.
Европейская комиссия может рассмотреть вопрос о принятии мер против стран-членов, создавших схемы надзора за ПСУ с последствиями, аналогичными предварительному разрешению.
Опубликованные Европейской комиссией указания также могли бы помочь в решении ряда юридических вопросов в этой области. Один из сложнейших вопросов — это определение того, что применительно к ПСУ на практике означает «быть учрежденным на территории» (например, издатель сертификатов учрежден в одной стране-члене, но сотрудничает с центрами сертификации, провайдерами услуг каталога и т.д. в других странах-членах — кто же будет отвечать за надзор?).
Не все страны-члены создали системы соответствующего надзора за ПСУ, выдающими сертификаты гражданам. Комиссия может рассмотреть вопрос о принятии мер в отношении этих стран-членов, поскольку такая ситуация дает ПСУ, учрежденным в одной стране-члене, возможность выдавать квалифицированные сертификаты гражданам других стран-членов, не подвергаясь при этом надлежащему контролю.
В идеале требуется гармонизовать системы надзора в странах-членах, хотя бы до определенных пределов. Мы полагаем, что требуется поддержка действий в этом направлении. Комиссии следует, на наш взгляд, препятствовать осуществлению надзора в отношении ПСУ, не выдающих квалифицированные сертификаты гражданам.
Поскольку EESSI уже опубликовала в этой сфере ряд ценных документов, мы рекомендуем содействовать применению этих спецификаций в деятельности органов надзора. Однако, на наш взгляд, необходимо пристальное наблюдение за использованием данных спецификаций органами надзора. Документы в сфере стандартизации описывают возможные пути выполнения требований Директивы, но не должны считаться обязательными для ПСУ, выдающих гражданам квалифицированные сертификаты. Если ПСУ считает, что выполняет требования Приложений, он должен без помех предоставлять квалифицированные сертификаты, не запрашивая предварительное разрешение.

5.3.3 Добровольная аккредитация

В Декларации факта (11) Директивы определено: «системы добровольной аккредитации, нацеленные на повышенный уровень предоставления услуг, могут предлагать провайдерам сертификационных услуг соответствующую основу для развития их услуг в направлении уровней доверия, безопасности и качества, требуемых развивающимся рынком; такие схемы должны способствовать выработке лучших методов среди провайдеров сертификационных услуг; провайдеры сертификационных услуг не должны испытывать каких-либо ограничений в своем стремлении придерживаться таких систем аккредитации и получать пользу от них». Тем самым, Статья 3.2 Директивы указывает, что страны-члены могут поддерживать работу или даже вводить в действие схемы добровольной аккредитации, нацеленные на повышенный уровень предоставления сертификационных услуг.

Европейские законодатели правильно посчитали, что схемы добровольной аккредитации могут оказать благотворное влияние на развитие рынка. Они способны предоставить провайдерам сертификационных услуг, работающим в Европе, возможность продемонстрировать свой уровень надежности и безопасности. Схемы аккредитации могут оценить адекватность уровня безопасности конкретной сертификационной услуги для использования в конкретном контексте или сфере применения. Например, специализированные системы аккредитации могут заверить пригодность конкретной сертификационной услуги для сферы здравоохранения.

В Декларации факта (11) также говорится о развитии этой сферы рынка. С разработкой и выводом на рынок новых решений схемы аккредитации помогут провайдерам завоевать доверие пользователей. Схемы аккредитации главным образом должны создаваться и поддерживаться для пользы самих провайдеров. Они должны способствовать развитию передового опыта и соответствовать современному состоянию технологий в отдельном секторе рынка. Конечно, создание таких систем аккредитации требует значительных ресурсов, главным образом интеллектуальных.

Следовательно, создание национальной системы аккредитации в каждой стране-члене никогда не было целью Директивы. Абсолютно неправильно считать, что схемы добровольной аккредитации являются средством контроля за соблюдением провайдерами сертификационных услуг положений Директивы. Наше исследование показало, что, к сожалению, многие страны Европы смешивают надзор за ПСУ, выдающими квалифицированные сертификаты, с добровольной аккредитацией. Мы также обнаружили, что в большинстве европейских стран аккредитация на практике оказывается не совсем добровольной, например, из-за того, что становится обязательным условием участия в национальных программах электронного правительства.

Такое развитие событий, естественно, не соответствует видению Директивы. Положение, относящееся к системам добровольной аккредитации, главным образом было предназначено для того, чтобы предотвратить неправильную интерпретацию странами-членами запрета на предварительное разрешение. Этот запрет не следует понимать как противоречащий существующим или будущим системам добровольной аккредитации. Напротив, Директива стимулирует создание таких схем, при условии, что условия, относящиеся к ним, являются объективными, прозрачными, соразмерными и не дискриминационными. Более того, как указано в Декларации факта (12) «Государства-члены не должны запрещать деятельность провайдеров сертификационных услуг вне добровольных схем аккредитации; следует обеспечить, чтобы такие схемы не уменьшали конкуренцию в области сертификационных услуг».

Рекомендации:

Следует принять меры по разъяснению позиции европейских законодателей в отношении схем добровольной аккредитации ПСУ. На наш взгляд, необходимо содействовать аккредитации схем за границей и их диверсификации.
С другой стороны, Комиссии следует по мере возможности препятствовать созданию национальных схем аккредитации для провайдеров сертификационных услуг, выдающих гражданам квалифицированные сертификаты. Системы аккредитации должны концентрироваться на оценке передового уровня и достижении надлежащего уровня безопасности, а не считаться инструментами контроля за соблюдением Директивы или положений национального законодательства.
Учитывая нехватку высококлассных специалистов в сфере информационной безопасности и относительно небольшое количество ПСУ, Комиссии следует содействовать объединению усилий на уровне Сообщества. Возможная цель — создание ограниченного числа высококачественных европейских систем аккредитации, предпочтительно концентрирующихся или специализирующихся на отдельных категориях сертификационных услуг или областях применения.

5.3.4 Оценка соответствия SSCD

Декларация факта (5) Директивы констатирует: «В отношении продуктов для электронной подписи необходимо выполнить ряд существенных требований, обеспечивающих свободное движение по внутреннему рынку, а также доверие к электронным подписям». Вопреки общему характеру этой фразы, Директива содержит лишь требования к защищенным устройствам для создания подписей, которые необходимы для генерации квалифицированных электронных подписей, так, как они понимаются в Статье 5.1. Декларация факта (15) подтверждает, что «Приложение III включает требования к защищенным устройствам для создания подписи с целью обеспечить функциональность квалифицированных электронных подписей; оно не охватывает всю системную среду, в которой функционируют эти устройства». Та же самая Декларация факта снова возвращается к внутренним рыночным целям Директивы: «функционирование внутреннего рынка требует, чтобы Комиссия и страны-члены действовали без промедлений с целью обеспечить назначение органов, отвечающих за оценку соответствия; чтобы отвечать требованиям рынка, оценка соответствия должна быть своевременной и эффективной».

Стоит отметить, что Директива не содержит требований к продуктам для электронной подписи как таковым. Требования Приложения III применимы только в отношении защищенных устройств для создания подписей или, другими словами, устройств, использующихся для создания квалифицированных электронных подписей. Одна из целей — обеспечить легкое распознание пользователями защищенных устройств для создания подписей. Используя такое устройство, пользователь должен быть уверенным в том, что безопасность этого устройства признана не только у него на родине, но и в других странах-членах. Если пользователь создает защищенную электронную подпись на основе квалифицированного сертификата при помощи устройства, маркированного как SSCD, он должен быть уверенным в том, что такая подпись будет считаться юридическим эквивалентом собственноручной подписи на всей территории ЕС. В нашем понимании, Директива предполагает, что либо производитель наносит такую маркировку на устройство под свою ответственность, либо данная метка является результатом оценки соответствия, проведенной назначенным органом. В последнем случае назначенный орган должен отвечать критериям независимости и профессионализма, определенным Европейской Комиссией.

Чтобы избежать расхождений в определении назначенными органами соответствия устройств для создания подписей, а также дать указания производителям, желающим представить SSCD на рынке, Директива сделала явный акцент на потребности в официально признанных стандартах. По этой причине Статья 3.5 предоставила Европейской Комиссии устанавливать и публиковать регистрационные номера общепризнанных стандартов. Производители устройств для создания подписи могут быть уверены в том, что их устройства будут считаться SSCD во всех странах-членах ЕС, при условии, что они «отвечают этим стандартам».

Конечно, всю эту систему необходимо было очень быстро осуществить. Поэтому уже в ноябре 2000 года Европейская комиссия опубликовала Решение 2000/709/EC «О минимальных критериях, которые должны приниматься во внимание государствами-членами при назначении органов, проводящих оценку соответствия». В Германии и Австрии органы оценки соответствия начали свою работу очень быстро. Конечно же, европейские законодатели не собирались добиваться введения органов оценки соответствия в каждой стране-члене.

Многие страны, похоже, весьма неохотно назначают собственные уполномоченные органы для оценки соответствия SSCD. Возможно, это связано с очень высокими требованиями к безопасности SSCD и, как следствие, отсутствием активных производителей в большинстве стран. Еще одной причиной являются большие затраты ресурсов на деятельность органов, проводящих оценку соответствия. Поэтому все страны, прямо или косвенно — но очень разумно — признают результаты оценки, проведенной соответствующими органами в других странах-членах.

Необходимый уровень компетентности сотрудников и расходы на содержание оценочных лабораторий таковы, что не всякая страна сможет позволить себе услуги такой лаборатории на национальном уровне. Предоставление этих услуг на европейском уровне сетью лабораторий с взаимным признанием методологии и критериев едва ли может быть связано с существенными ограничениями. Более того, такая сеть может включать и национальные лаборатории на условиях взаимного признания.

В настоящее время основной проблемой в данной области является продолжительный и затратный характер процедур оценки соответствия. Даже для опытного производителя SSCD процесс тестирования и оценки соответствующего продукта назначенными органами может занять до одного года. Больше всего времени уходит на подготовку производителем документации, во всех подробностях описывающей направляемый на экспертизу продукт. После этого ответственный орган должен проанализировать эти документы, а также протестировать продукт на соответствие предоставленной производителем документации. Похоже, этот процесс требует множества изменений, пока производитель не сможет решить проблемы, которые могут быть обнаружены в ходе тестирования. Поскольку на решение всех этих задач требуется очень много времени как на уровне производителя, так и на уровне оценочного органа, процесс в целом становится очень затратным.^⁶³ Его можно лишь незначительно сократить, используя компоненты, уже прошедшие оценку ранее, например, криптопроцессоры.

Рекомендации:

Отчасти из-за того, что Директива устанавливает очень высокие требования к SSCD, эти устройства редко попадают на рынок. Чтобы стимулировать производство защищенных устройств для создания подписей в будущем, требования в области официальной оценки следует сделать более гибкими. Процедуры получения декларации следует сократить и удешевить. Европейская комиссия должна поддерживать любые действия в этом направлении.
Комиссия должна вести руководящую и координирующую работу в отношении правил для назначенных организаций, проводящих оценку соответствия. Решение Комиссии (2000 год) о минимальных критериях при назначении органов оценки соответствия — это важный первый шаг, но действия в этом направлении следует продолжать. В идеале необходимо следить за независимостью, прозрачностью и недискриминационным характером оценочной процедуры.
Участники этого исследования придерживаются мнения о необходимости всячески разрушать заблуждение о том, что каждое SSCD должно направляться в уполномоченные органы на продолжительную экспертизу соответствия по Общим критериям. Вместо этого нужно поощрять проведение упрощенных процедур оценки на основе 50-100 страниц документации, требующих 10-20 дней проверки. С целью не допустить самооценки, независимая сторона должна иметь возможность анализировать претензии к безопасности (в том, что касается Приложения III), предъявленные провайдером, и, до определенных пределов, проверять их соответствие текущему положению дел. Комиссии следует исследовать, как она сможет обеспечить выполнение обязательства представлять защищенные устройства создания подписей органам, ответственным за оценку соответствия, которые в настоящее время существуют во многих государствах-членах. Осуждение слишком строгой оценки соответствия может расширить ассортимент продуктов и, в то же время, защитить потребителей.

5.3.5 Электронное правительство

Статья 3.7 Директивы содержит так называемое «исключение для государственного сектора». Страны-члены могут использовать электронные подписи в государственном секторе, при необходимости устанавливая дополнительные требования. Однако данные требования должны быть объективными, прозрачными, соразмерными, не носить дискриминационного характера и относиться лишь к конкретным характеристикам данной сферы применения.

Существуют расхождения как в трактовке, так и в реализации этого положения. Очевидно, что во многих странах применение электронных подписей в государственном секторе связано с дополнительными требованиями (к безопасности). Обмен электронными сообщениями с государственными органами во многих европейских странах возможен лишь при использовании электронных подписей на основе квалифицированных сертификатов, выданных аккредитованным ПСУ.

Директива не налагает на это строгого запрета, если это требование оправдано объективными причинами и относится только к особым характеристикам конкретной области применения. Более того, мера, по которой вводятся такие требования, должна быть соразмерной, прозрачной и недискриминационной. Следовательно, будет запрещено принятие закона, который, например, предпишет использовать квалифицированные электронные подписи для всех электронных связей между гражданами и правительством. Такой закон будет противоречить Статье 5.2 Директивы, так как отказывает электронной подписи в юридической силе на том лишь основании, что подпись не является квалифицированной.

Даже предписание использовать квалифицированные электронные подписи для единственного приложения электронного правительства, например, для заполнения электронных налоговых деклараций, без объективного обоснования необходимости таких мер, явно будет противоречить Директиве.

Вводя электронные подписи для применения в государственно секторе, страны-члены должны также принимать во внимание другие правила. Например, навязывание ПСУ аккредитации как условия участия в программах электронного правительства также противоречит Декларации факта (11) Директивы, поскольку результатом такой меры будет невозможность для ПСУ свободно выбирать, будут они проходить аккредитацию или нет. Эта мера также приведет к непропорциональному снижению конкуренцию в сфере сертификационных услуг.

Странам-членам ЕС следует соблюдать особую осторожность и не вмешиваться в функционирование рынка сертификационных услуг, если это противоречит правилам конкуренции в ЕС. Например, ничего не мешает правительству создать инфраструктуру открытых ключей для поддержки применения электронных подписей в собственных проектах электронного правительства. Создание же инфраструктуры открытых ключей самостоятельно или в партнерстве с одной или несколькими частными компаниями для поддержки электронных подписей вне государственного сектора будет, однако, недопустимым. Такая инициатива, даже том, что частный партнер будет выбран в полном соответствии с европейскими и национальными правилами государственного подряда, приведет к явному снижению уровня конкуренции на рынке сертификационных услуг и может создать барьер на внутреннем рынке.

Рекомендации:

Комиссии следует придать особое значение условиям, которые страны-члены должны выполнить для того, чтобы использовать «исключение для государственного сектора» из Статьи 3.7 Директивы. Страны-члены должны быть осведомлены о том, что правило отсутствия дискриминации из Статьи 5.2 Директивы относится не только к частному, но и к государственному сектору.
Комиссии следует тщательнее исследовать соответствие некоторых инициатив в области электронного правительства не только положениям Директивы об электронных подписях, но и общим европейским правилам конкуренции, особенно в отношении Статьи 86 Договора о создании европейского сообщества.
В целом, следует провести более тщательное исследование влияния национальных программ электронного правительства на состояние Внутреннего Рынка. Существует реальная опасность, что эти программы приведут к созданию национальных барьеров, разрозненности рынка и проблемам с совместимостью.
Действия по улучшению совместимости программ электронного правительства и особенно используемых в них приложений и услуг для электронной подписи должны инициироваться и поддерживаться на европейском уровне.

Blog