Cerințe ale Ministerului Telecomunicațiilor și Comunicațiilor de Masă pentru un centru de certificare. Autoritățile de certificare

MINISTERUL COMUNICAȚILOR ȘI COMUNICĂRILOR DE MASĂ AL FEDERATIEI RUSE

COMANDA

23.11.2011 №320

Cu privire la acreditarea centrelor de certificare

În conformitate cu paragraful 3 din partea 4 a articolului 8 din Legea federală din 6 aprilie 2011 nr. 63-FZ „Cu privire la semnăturile electronice” (Legislația colectată a Federației Ruse, 2011, nr. 15, art. 2036; nr. 27 , Art. 3880)

documentația de personal, inclusiv copiile contractelor de muncă ale angajaților direct implicați în crearea și eliberarea certificatelor de chei pentru verificarea semnăturilor electronice (cu atașarea regulamentului locului de muncă) și copiile documentelor angajaților implicați direct în crearea și eliberarea certificatelor de chei pentru verificarea semnăturilor electronice privind studiile profesionale superioare în domeniul tehnologiei informației sau securității informației (o diplomă standard de stat) sau copii ale documentelor care confirmă recalificarea sau pregătirea avansată privind utilizarea semnăturii electronice (un certificat standard);

licențe și alte permise necesare desfășurării activităților prevăzute de Legea federală privind semnăturile electronice.

15. La efectuarea unei verificări documentare, organismul împuternicit nu are dreptul de a solicita CA inspectată informații și documente care nu au legătură cu obiectul verificării documentare, precum și informații și documente care pot fi primite de acest organism. de la alte organe de control (supraveghere) de stat, inclusiv organul executiv federal în domeniul securității, organele de control municipale.

V.Efectuarea unei inspecții la fața locului

16. Subiectul inspecției la fața locului îl constituie informațiile conținute în documentele CA, precum și conformitatea angajaților acestora și a mijloacelor tehnice ale CA, a serviciilor furnizate de CA cu cerințele stabilite de Legea federală. privind Semnăturile electronice.

17. O inspecție la fața locului (atât programată, cât și neprogramată) este efectuată la locația CA acreditată și (sau) la locul implementării efective a activităților CA.

18. Se efectuează o inspecție la fața locului în cazul în care, în timpul unei verificări a documentelor, nu este posibilă verificarea completității și acurateții informațiilor conținute în documentele CA specificate la paragraful 14 al prezentei proceduri, confirmând conformitatea acestora cu cerințele Legea federală privind semnăturile electronice sau pentru a verifica conformitatea CA cu cerințele ordinului organului autorizat.

19. O inspecție la fața locului începe cu prezentarea unei legitimații oficiale de către funcționarii organismului autorizat, familiarizarea obligatorie a șefului sau altui funcționar al CA cu ordinul șefului organismului autorizat cu privire la numirea unui - inspecția la fața locului și atribuțiile persoanelor care efectuează inspecția la fața locului, precum și scopurile, obiectivele și temeiurile pentru efectuarea unei inspecții la fața locului, tipurile și volumul măsurilor de control, componența experților, reprezentanții organizațiilor de experți și cei implicați în inspecția la fața locului, cu termenii și condițiile de desfășurare a acesteia.

20. Managerul, alt funcționar sau reprezentant autorizat al AC este obligat să ofere funcționarilor organismului autorizat care efectuează inspecția la fața locului posibilitatea de a se familiariza cu documentele referitoare la scopurile, obiectivele și subiectul inspecției la fața locului. , precum și să ofere acces funcționarilor care efectuează inspecția la fața locului și participă la inspecția la fața locului a experților, reprezentanților organizațiilor de experți pe teritoriu, la clădirile, structurile, structurile, spațiile utilizate de AC în desfășurarea activităților sale , la mijloacele tehnice și software-ul utilizat de CA.

21. Organismul împuternicit are dreptul de a implica în efectuarea unei inspecții la fața locului experți acreditați de CA, organizații de experți care nu sunt în raport de drept civil și de muncă cu persoana juridică, întreprinzător individual în privința căruia se efectuează inspecția. afară și nu sunt persoane afiliate persoanelor inspectate. Angajații altor organisme guvernamentale aflate în competența lor pot fi, de asemenea, implicați în efectuarea de inspecții la fața locului la CA acreditate.

Pentru a confirma conformitatea utilizării instrumentelor de semnătură electronică și a instrumentelor centrului de certificare de către un AC acreditat cu cerințele documentației tehnice și operaționale, angajații organului executiv federal în domeniul securității sunt implicați în efectuarea unei inspecții la fața locului a CA acreditate.

VI. Rezultatele inspecției

22. Pe baza rezultatelor controlului efectuat de funcționarii organului împuternicit, se întocmește un act în forma prescrisă în două exemplare.

Raportul de inspecție va indica:

1) data, ora și locul întocmirii raportului de inspecție;

2) denumirea organismului autorizat;

3) data și numărul ordinului conducătorului organului împuternicit;

4) numele, prenumele, patronimele (dacă există) și funcțiile funcționarului sau funcționarilor care au efectuat inspecția;

5) denumirea CA acreditată inspectată, precum și numele, prenumele, patronimul și funcția conducătorului, altui funcționar sau reprezentant autorizat al persoanei juridice prezente la inspecție;

6) data, ora, durata și locul (locul) inspecției;=

7) informații cu privire la rezultatele inspecției, inclusiv cu privire la încălcările identificate ale cerințelor obligatorii și cerințelor stabilite prin actele juridice municipale, asupra naturii acestora și asupra persoanelor care au comis aceste încălcări;

8) informații despre familiarizarea sau refuzul de familiarizare cu raportul de inspecție al managerului, altui funcționar sau reprezentant autorizat al unei persoane juridice, întreprinzător individual, reprezentantul său autorizat prezent în timpul inspecției, prezența semnăturilor sau refuzul de a semna, precum și ca informații despre efectuarea unei înscrieri în jurnalul de audit despre inspecția efectuată sau despre imposibilitatea efectuării unei astfel de înscrieri din cauza absenței jurnalului specificat la persoana juridică sau întreprinzătorul individual;

9) semnăturile funcționarului sau funcționarilor care au efectuat inspecția.

23. Procesul-verbal de inspecție se întocmește imediat după completarea lui în două exemplare, dintre care unul cu copii ale anexelor se predă conducătorului, altui funcționar sau reprezentantului autorizat al CA, contra unei chitanțe de familiarizare sau refuz de familiarizare cu raport de inspecție.

În absența unui manager, a altui funcționar sau reprezentant autorizat al CA, precum și în cazul refuzului persoanei inspectate de a da o chitanță de familiarizare sau refuzul de a se familiariza cu raportul de inspecție, actul se transmite prin înregistrat se solicită poștă cu confirmare de primire, care se anexează la o copie a procesului-verbal de inspecție stocat în cazul organismului împuternicit.

24. Dacă se constată că CA acreditate nu au respectat cerințele Legii federale privind semnăturile electronice, organismul autorizat, la finalizarea inspecției, emite CA un ordin de eliminare a încălcărilor într-un termen specificat și suspendă acreditarea. al CA pentru această perioadă, cu informații despre aceasta fiind incluse în lista centrelor de certificare acreditate a căror acreditare a fost suspendată.

25. În cazul în care se constată că încălcările CA nu au fost eliminate în termenul stabilit în ordin, organismul autorizat va anula acreditarea CA, va introduce informațiile relevante în lista centrelor de certificare a căror acreditare a fost anulată și trimiteți o notificare CA cu privire la anularea acreditării indicând motivele.

În conformitate cu paragraful 1 din partea 2 a articolului 8 din Legea federală din 6 aprilie 2011 nr. 63-FZ „Cu privire la semnătura electronică” (Legislația colectată a Federației Ruse, 2011, nr. 15, art. 2036; nr. 27, Art. 3880).

În conformitate cu paragraful 5 al articolului 12 din Legea federală din 26 decembrie 2008 nr. 294-FZ „Cu privire la protecția drepturilor persoanelor juridice și ale antreprenorilor individuali în exercitarea controlului de stat (supravegherea) și controlului municipal” (Colectat Legislație, 2008, art. 4298, nr , Art. 4590 Nr. 48, Art.

Legea federală nr. 445-FZ din 30 decembrie 2015 „Cu privire la modificările aduse Legii federale „Cu privire la semnăturile electronice”” a înăsprit cerințele pentru activitățile centrelor de certificare.

Aceste schimbări sunt așteptate de mult timp, deoarece s-au acumulat multe întrebări cu privire la activitățile AC. Se pot distinge trei grupuri de modificări:

• Procedura de emitere a unui certificat de cheie de verificare a semnăturii de către o CA este reglementată mai detaliat;


• Conținutul informațiilor din certificate a fost clarificat;


• Cerințele pentru activele nete ale CA și sprijinul financiar al acestora pentru pierderile cauzate terților au fost semnificativ crescute.

În primul rând, articolul 13 „Autoritatea de certificare” clarifică faptul că CA nu pur și simplu „creează certificate de chei de verificare a semnăturii electronice și eliberează astfel de certificate persoanelor care solicită acestea (solicitanții)” - face acest lucru „sub rezerva identificării destinatarul certificatului (solicitantul) sau autoritatea unei persoane care acționează în numele solicitantului de a solicita acest certificat.”

Totodată, CA „efectuează, în conformitate cu regulile de confirmare a deținerii unei chei de semnătură electronică, confirmarea deținerii de către solicitant a unei chei de semnătură electronică corespunzătoare cheii de verificare a semnăturii electronice specificate de acesta pentru obținerea unei semnături electronice. certificat cheie de verificare.”

Comentariul meu: Măsura în care aceste cerințe vor complica munca centrelor de certificare poate fi evaluată în mod realist doar după aprobarea statutului și stabilirea cerințelor adecvate pentru această activitate.

Responsabilitățile centrului de certificare în acest sens au fost extinse, iar acum acesta trebuie să refuze solicitantului să creeze un certificat de cheie de verificare a semnăturii electronice în următoarele cazuri:

• Dacă nu s-a confirmat că deține cheia semnăturii electronice, care corespunde cheii de verificare a semnăturii electronice specificate de acesta pentru obținerea certificatului;


• Un rezultat negativ al verificării în registrul certificatelor a unicității cheii de verificare a semnăturii electronice specificate de acesta pentru obținerea certificatului.

Este interzisă indicarea în certificatul creat de CA a cheii de verificare a semnăturii electronice, „care este cuprinsă în certificatul cheii de verificare a semnăturii electronice eliberat acestui centru de certificare de către orice alt centru de certificare” (clauza 2.1).

Comentariul meu: Mă întreb dacă sunt singurul care consideră această formulare de neînțeles?

Un alt punct important a fost identificat. Acum, centrul de certificare are dreptul de a conferi unor terți (denumite în continuare împuterniciri) puteri numai la prezentarea certificatelorîn numele acestei autorități de certificare ( Anterior, CA avea dreptul de a conferi puteri crea certificate - N.H.). La eliberarea unui certificat, persoana autorizată este obligată să stabilească identitatea destinatarului sau autoritatea persoanei care acționează în numele său.

Conținutul certificatului cheie de verificare a semnăturii electronice a fost clarificat (articolul 14), care trebuie să indice:

• Numărul unic al certificatului cheie de verificare a semnăturii electronice, datele de începere și de sfârșit ale unui astfel de certificat;


• Unic cheie de verificare a semnăturii electronice.

Autoritatea de certificare revocă certificatul cheii de verificare a semnăturii electronice în următoarele cazuri (clauza 6.1):

• Nu a fost confirmat faptul că deținătorul certificatului deține cheia de semnătură digitală corespunzătoare cheii de verificare a semnăturii electronice specificată într-un astfel de certificat;


• S-a stabilit că cheia de verificare a semnăturii electronice conținută într-un astfel de certificat este deja conținută într-un alt certificat creat anterior;


• A intrat în vigoare o hotărâre judecătorească care, în special, a stabilit că certificatul conținea informații false.

Perioada în care CA trebuie să introducă informații despre încetarea certificatului a fost redusă. Dacă anterior informațiile trebuiau introduse în registru în termen de o zi lucrătoare de la data apariției împrejurărilor care au dus la încetarea certificatului, acum informațiile trebuie introduse „ în decurs de douăsprezece ore din momentul apariției circumstanțelor specificate în părțile 6 și 6.1 ale acestui articol, sau în termen de douăsprezece ore din momentul în care centrul de certificare a luat cunoștință sau ar fi trebuit să ia cunoștință de apariția unor astfel de circumstanțe” (clauza 7).

Articolul 15 stabilește noi cerințe pentru centrele de certificare acreditate. Centru de certificare acreditat:

• Pentru a semna certificate calificate în nume propriu, trebuie să utilizeze o semnătură electronică calificată bazată pe un certificat calificat eliberat de autoritatea principală de certificare (clauza 2.1.).


• Obligat să urmeze procedura stabilită pentru implementarea funcțiilor și îndeplinirea atribuțiilor în conformitate cu cerințele aprobate de organismul federal autorizat (clauza 5);


• Nu are dreptul de a autoriza terți să creeze chei pentru semnături electronice calificate și certificate calificate în numele său (clauza 6);


• Poartă răspundere civilă și/sau administrativă în conformitate cu legislația Federației Ruse pentru neîndeplinirea obligațiilor stabilite (clauza 7).

Condițiile pentru acreditarea CA au fost modificate semnificativ, care se va desfășura sub rezerva următoarelor cerințe noi:

• Valoarea activului net al autorității de certificare trebuie să fie 7 milioane de ruble(anterior era necesar - nu mai puțin de 1 milion de ruble);


• Disponibilitatea garanției financiare pentru răspunderea pentru pierderile cauzate terților ca urmare a încrederii acestora în informațiile specificate în certificatul cheii de verificare a semnăturii electronice emis de o astfel de CA sau informațiile conținute în registrul certificatelor menținut de o astfel de CA – de la 30 la 100 de milioane de ruble. (anterior - nu mai puțin de 1,5 milioane de ruble);


• Disponibilitatea la CA a mijloacelor care permit, la contactarea unui participant la interacțiunea electronică, stabilirea și confirmarea valabilității unui certificat calificat la momentul semnării unui document electronic cu semnătură electronică și având confirmarea conformității cu cerințele stabilite de organ executiv federal în domeniul securității (în vigoare de la 31 decembrie 2016);


• Centrul de certificare are o procedură pentru implementarea funcțiilor centrului de certificare și îndeplinirea atribuțiilor acestuia;

După primirea unui certificat de acreditare, CA este obligată să-și conecteze sistemul informatic la infrastructura de tehnologia informației și de comunicații în modul stabilit în conformitate cu partea 4 a articolului 19 din Legea federală din 27 iulie 2010 nr. 210-FZ „Cu privire la organizarea prestării serviciilor de stat și municipale” . Și numai după aceasta, organismul federal autorizat va elibera CA un certificat calificat creat folosind fondurile centrului de certificare principal (Partea 5).

Comentariul meu: Astfel, toate centrele de certificare acreditate vor fi obligate să se conecteze la sistemul SMEV. Fără aceasta, pur și simplu nu vor putea începe să lucreze.

Articolul 17 clarifică ce informații despre proprietar trebuie să fie conținute într-un certificat calificat.

• Pentru o persoană - nume de familie, prenume și patronimic (dacă există);


• Pentru un antreprenor individual - numele, prenumele, patronimul (dacă există) și numărul principal de înregistrare de stat al antreprenorului individual - proprietarul certificatului calificat;


• Pentru o entitate juridică rusă - numele, locația și numărul principal de înregistrare de stat;


• Pentru o organizație străină (inclusiv sucursale, reprezentanțe și alte divizii separate ale unei organizații străine) - fie numele, locația și numărul de identificare a contribuabilului (dacă este disponibil).

Comentariul meu: Dacă anterior erau stabilite doar cerințe pentru deținătorii unui certificat calificat de persoane fizice și juridice, acum cerințele sunt stabilite separat pentru întreprinzătorii individuali, persoanele juridice ruse și organizațiile străine

Legea interzice operatorilor urmatoarelor sisteme informatice sa solicite ca un certificat calificat sa contina informatii care limiteaza utilizarea acestuia in alte sisteme informatice:

• Sisteme informaționale de stat și municipale;


• Sisteme informatice, a căror utilizare este prevăzută de acte normative;


• Sistemele de informații publice nu au dreptul.

Comentariul meu: La nivel legislativ, s-a încercat unificarea certificatelor calificate astfel încât semnăturile electronice să poată fi folosite în orice sisteme informaționale fără restricții. Doar practica de aplicare a legii va arăta în ce măsură va fi îndeplinită această cerință.

Articolul 18 „Eliberarea unui certificat calificat” modifică procedura de transmitere a documentelor și informațiilor către AC. După ce solicitantul furnizează CA informații, documente sau copii certificate corespunzător ale acestora. Un centru de certificare acreditat, folosind infrastructura, verifică acuratețea documentelor și informațiilor furnizate de solicitant. Pentru a completa un certificat calificat, un CA acreditat solicită și primește de la resursele de informații ale statului:

• Un extras din registrul unificat de stat al persoanelor juridice în raport cu solicitantul - persoană juridică;


• Un extras din registrul unificat de stat al întreprinzătorilor individuali în raport cu solicitantul - întreprinzător individual;


• Un extras din Registrul Unificat de Stat al Contribuabililor în legătură cu solicitantul - o organizație străină.

În cazul în care informațiile primite confirmă exactitatea informațiilor furnizate de solicitant, iar AC a stabilit identitatea solicitantului - o persoană fizică sau a primit confirmarea competențelor persoanei care acționează în numele solicitantului - o entitate juridică, AC efectuează procedura de creare și eliberare a unui certificat calificat. În caz contrar, CA refuză să-l emită.

Comentariul meu: Procedura de eliberare a certificatelor este direct legată de verificarea și confirmarea exactității informațiilor și documentelor solicitanților. Trebuie luat în considerare faptul că AC va trebui nu numai să efectueze verificări, ci și să documenteze cu atenție toate procedurile, deoarece această problemă va fi cel mai probabil monitorizată, iar AC va fi tras la răspundere pentru încălcarea acesteia.

Sunt obligate centrele de certificare care au acreditare valabilă la data intrării în vigoare a noilor norme legislative în termen de un an să asigure conformitatea cu noile cerințe pentru centrele de certificare acreditate (articolul 2).

Pentru a obține un certificat de semnătură electronică necalificat și calificat, trebuie să contactați unul dintre centrele de certificare. Ce funcții îndeplinesc autoritățile de certificare și cât timp va dura obținerea unui certificat?

Autoritatea de certificare (CA) este o organizație de încredere care are dreptul de a emite certificate de semnătură electronică legaleŞi fizic persoane. Activitatea CA se află la intersecția dintre jurisprudență, securitatea informațiilor și tehnologia IT.

Responsabilitățile CA includ următoarele:

• să verifice identitatea persoanei care a solicitat un certificat de semnătură electronică,
• să producă și să emită un certificat care include informații despre proprietarul certificatului și cheia publică de verificare a acestuia;
• gestionați ciclul de viață al certificatului (emitere, suspendare, reînnoire, expirare).

Ce tipuri de semnături emite CA?

Sunt definite trei tipuri de semnături:

• simplu,
• întărit necalificat,

Trebuie să primiți ultimele două de la CA:

• Pentru o semnătură calificată, trebuie să aplicați numai la un centru de certificare acreditat de Ministerul Telecomunicațiilor și Comunicațiilor de Masă al Federației Ruse.
• pentru cei necalificați - în CA, care este conectat cu sistemul informațional în care este planificată utilizarea semnăturii. De exemplu, numai CA acreditate de șase platforme federale de tranzacționare electronică pot emite certificate necalificate pentru tranzacționare. În același timp, CA poate să nu fie acreditat de Ministerul Telecomunicațiilor și Comunicațiilor de Masă.

Cerințe pentru CA

Încrederea în toate domeniile de afaceri în care sunt utilizate depinde de funcționarea corectă a CA. semnături electronice: tranzacționare electronică, sisteme informatice, raportare. Prin urmare, tuturor CA sunt impuse cerințe tehnice și legale serioase.

Există o serie de indicatori prin care puteți evalua un centru de certificare. CA de încredere:

• acreditat de Ministerul Telecomunicațiilor și Comunicațiilor de Masă al Federației Ruse,
• este un centru de încredere al Serviciului Fiscal Federal, Fondul de pensii al Rusiei, Rosstat,
• are licență de la FSTEC pentru activități legate de protecția tehnică a informațiilor confidențiale,
• licența Centrului pentru Licențiere, Certificare și Protecție a Secretelor de Stat al FSB al Rusiei,
• acreditat pe toate platformele electronice de tranzacționare pentru achiziții publice,
• functioneaza mult timp
• are reprezentanți în diferite regiuni ale Rusiei
• oferă suport tehnic 24/7

Cât durează să primești un certificat de semnare?

Momentul emiterii certificatului depinde de ambele părți:

• cu cât de repede pregătește clientul toate documentele necesare și plătește pentru eliberarea certificatului,
• Cât de repede vor procesa cererea specialiștii CA, vor verifica documentele și îi vor verifica identitatea.

În medie, primirea unui certificat durează 1 zi lucrătoare. Centrul de instruire SKB Kontur dispune de un serviciu de emitere urgentă a unei semnături electronice în termen de 1 oră de la primirea documentelor necesare.