Besluit elektronische handtekeningen

• 1 Een certificatiedienstverlener als bedoeld in artikel 18.15, eerste lid, van de wet voldoet aan de volgende eisen:

  • a. hij beschikt over betrouwbare middelen en hanteert betrouwbare procedures voor het aanbieden van certificatiediensten aan het publiek;

  • b. hij past procedures en processen op het gebied van administratie en beheer toe overeenkomstig een beschreven kwaliteitssysteem dat in overeenstemming is met de laatste ontwikkelingen op het gebied van kwaliteitssystemen;

  • c. hij maakt uitsluitend gebruik van betrouwbare systemen en producten die procedureel of overeenkomstig de stand der techniek beveiligd zijn en die de technische en cryptografische veiligheid van de processen die zij ondersteunen garanderen;

  • d. hij neemt adequate maatregelen tegen het vervalsen van de gekwalificeerde certificaten die hij heeft uitgegeven en tegen het uitgeven van illegale gekwalificeerde certificaten en, indien hij gegevens voor het aanmaken van handtekeningen genereert, garandeert hij de vertrouwelijkheid van het proces waarmee dit gebeurt;

  • e. hij houdt voldoende financiële middelen ter beschikking om in overeenstemming met de eisen van de wet te kunnen functioneren;

  • f. hij heeft personeel in dienst dat deskundig is op het gebied van de aangeboden diensten, met name op het gebied van beheer, van de technologie voor elektronische handtekeningen, en van de beveiligingsprocedures die worden toegepast;

  • g. hij verifieert, alvorens een gekwalificeerd certificaat af te geven, de identiteit en eventuele specifieke attributen van de persoon die als ondertekenaar in dat certificaat wordt aangeduid door de geldigheid van de aangeboden documenten te controleren alsmede door de overeenstemming tussen de documenten en de kenmerken van de persoon te controleren door middel van visuele controle en zonodig met behulp van andere daartoe geschikte middelen;

  • h. hij stelt de datum en het tijdstip van afgifte en van intrekking van een gekwalificeerd certificaat vast met een nauwkeurigheid van één minuut of korter;

  • i. hij slaat tijdens de geldigheidsduur van het gekwalificeerde certificaat en gedurende een periode van ten minste zeven jaar na de datum waarop de geldigheid van het gekwalificeerde certificaat is verlopen alle relevante gegevens met betrekking tot dat gekwalificeerde certificaat op, met name de gegevens die benodigd zijn om in gerechtelijke procedures de certificatie te kunnen bewijzen, waaronder ten minste:

    • 1°. het gekwalificeerde certificaat;

    • 2°. alle gegevens waarmee de verificatie van de identiteit en van de attributen van de aanvrager bewezen kan worden, en

    • 3°. alle historische gegevens over de afgifte en intrekking van het gekwalificeerde certificaat;

  • j. hij slaat ten behoeve van eigen gebruik en beheer certificaten zodanig op, in verifieerbare vorm en met gebruikmaking van betrouwbare systemen, dat:

    • 1°. alleen bevoegde personen gegevens kunnen invoeren en wijzigen;

    • 2°. de authenticiteit van de informatie kan worden gecontroleerd;

    • 3°. de certificaten uitsluitend publiekelijk beschikbaar zijn in de gevallen waarvoor de ondertekenaar toestemming heeft gegeven, en

    • 4°. elke technische wijziging die de genoemde beveiligingsvoorschriften in gevaar kan brengen, voor de gebruiker duidelijk is;

  • k. hij zorgt, met inachtneming van de door hem bekendgemaakte tijdsduur tussen verzoek tot intrekking en publicatie van die intrekking, voor een veilige en prompte intrekking van de door hem beheerde gekwalificeerde certificaten na ontvangst van een daartoe strekkend verzoek van de ondertekenaar of van een door hem aangewezen persoon of instantie, welk verzoek voldoet aan de door de certificatiedienstverlener bekendgemaakte procedure voor de intrekking van een gekwalificeerd certificaat;

  • l. hij publiceert, gedurende de geldigheid van het afgegeven gekwalificeerde certificaat, en tot ten minste zes maanden na het tijdstip waarop de geldigheid van het gekwalificeerde certificaat is verlopen of, indien dat tijdstip eerder valt, na het tijdstip waarop de geldigheid is beëindigd door intrekking, langs elektronische weg en zodanig dat die publicatie door alle gebruikers van de desbetreffende certificatiedienst alsmede door alle partijen die vertrouwen op de uitgegeven gekwalificeerde certificaten geraadpleegd kan worden:

    • 1°. actuele en betrouwbare informatie over de status van de afgegeven gekwalificeerde certificaten, en

    • 2°. afgegeven gekwalificeerde certificaten voor zover de ondertekenaar daarvoor toestemming heeft gegeven;

  • m. hij slaat de gegevens voor het aanmaken van elektronische handtekeningen van de personen aan wie hij sleutelbeheerdiensten heeft verleend niet op, en hij kopieert deze gegevens evenmin;

  • n. hij beschikt over beschreven klachtenafhandeling- en geschillenbeslechtingprocedures, en hanteert deze;

  • o. hij treft maatregelen om bij beëindiging van de dienstverlening de gegevens voor het aanmaken van de elektronische handtekening, waarmee de desbetreffende certificatiedienstverlener de uitgegeven gekwalificeerde certificaten tekent, te vernietigen op het vroegst mogelijke moment dat de publicatieverplichting, bedoeld in onderdeel l, dit mogelijk maakt;

  • p. hij treft zodanige voorzieningen dat bij beëindiging van de dienstverlening:

    • 1°. de door hem afgegeven gekwalificeerde certificaten door een andere geregistreerde certificatiedienstverlener worden overgenomen en dat te dien aanzien voldaan wordt aan dit artikel, tenzij dit redelijkerwijze niet mogelijk is, alsmede de ondertekenaars daarvan in kennis worden gesteld;

    • 2°. indien overneming als bedoeld in onderdeel 1° redelijkerwijze niet mogelijk is, de gekwalificeerde certificaten uiterlijk op het tijdstip waarop de dienstverlening wordt beëindigd worden ingetrokken, de ondertekenaars daarvan in kennis worden gesteld en voor het overige ten aanzien van de ingetrokken gekwalificeerde certificaten door een geregistreerde certificatiedienstverlener voldaan wordt aan de onderdelen i, j en q;

  • q. hij treft, ongeacht de reden en omstandigheden van beëindiging van de dienstverlening en voor zover de gekwalificeerde certificaten niet worden overgenomen door een andere certificatiedienstverlener, in ieder geval voorzieningen voor de voortzetting van de publicatie overeenkomstig onderdeel l, zulks op de tot dan gebruikelijke wijze en tot ten minste zes maanden na het tijdstip waarop de dienstverlening is beëindigd;

  • r. hij stelt schriftelijk, met behulp van een duurzaam communicatiemiddel en uit eigen beweging de persoon die een gekwalificeerd certificaat ter ondersteuning van zijn elektronische handtekening wenst en met wie hij een overeenkomst wil aangaan, en desgevraagd de derden, die op het gekwalificeerde certificaat vertrouwen, ten minste op de hoogte van:

    • 1°. de exacte voorwaarden voor het gebruik van het gekwalificeerde certificaat met inbegrip van eventuele beperkingen inzake dit gebruik, alsmede van de wijzigingen van de voorwaarden;

    • 2°. het bestaan van een vrijwillige accreditatie;

    • 3°. de procedure voor intrekking van het gekwalificeerde certificaat zowel op verzoek van de gebruiker als door hem zelf, en

    • 4°. de procedures voor klachtenbehandeling en geschillenbeslechting;

  • s. hij toont door middel van een verklaring van een daartoe bevoegde instantie aan dat hij, ieder van de bestuurders van de onderneming, en de medewerkers die binnen zijn onderneming in het kader van het verlenen van certificatiediensten verantwoordelijk zijn voor de verwerking van vertrouwelijke of gevoelige gegevens, niet binnen de laatste vier jaar wegens een misdrijf onherroepelijk zijn veroordeeld tot een onvoorwaardelijke vrijheidsstraf van meer dan zes maanden door een rechter in Nederland, de Nederlandse Antillen of Aruba, en

  • t. hij zorgt onverwijld na iedere veiligheidsinbreuk die of ieder integriteitsverlies dat aanzienlijke gevolgen heeft of kan hebben voor de betrouwbaarheid van door hem aangeboden of afgegeven gekwalificeerde certificaten voor een melding van die inbreuk of dat verlies aan de Autoriteit Consument en Markt, bedoeld in artikel 2, eerste lid, van de Instellingswet Autoriteit Consument en Markt, en aan Onze Minister van Veiligheid en Justitie, met een kennisgeving aan beiden van:

    • 1°. de aard en omvang van de inbreuk of het verlies;

    • 2°. het vermoedelijke tijdstip van de aanvang van de inbreuk of het verlies;

    • 3°. de mogelijke gevolgen van de inbreuk of het verlies;

    • 4°. een prognose van de tijd nodig om de inbreuk te onderzoeken;

    • 5°. zo mogelijk de door de certificatiedienstverlener genomen of te nemen maatregelen om de gevolgen van de inbreuk of het verlies te beperken of herhaling hiervan te voorkomen;

    • 6°. de contactgegevens van de in Nederland gevestigde functionaris die verantwoordelijk is voor het doen van de kennisgeving.

• 2 Met een veroordeling als bedoeld in het eerste lid, onderdeel s, wordt gelijkgesteld een onherroepelijke veroordeling tot een onvoorwaardelijke vrijheidsstraf van meer dan zes maanden door een andere rechter wegens een misdrijf waarvoor naar Nederlands recht een bevel tot voorlopige hechtenis ingevolge artikel 67, eerste lid, van het Wetboek van Strafvordering is toegelaten;

• 3 Met een veroordeling tot een onvoorwaardelijke vrijheidsstraf als bedoeld in het tweede lid wordt gelijkgesteld een bevel tot tenuitvoerlegging van een zodanige onvoorwaardelijke vrijheidsstraf.

Certificaten als bedoeld in artikel 18.15, tweede lid, van de wet bevatten ten minste:

• a. de vermelding dat het certificaat als gekwalificeerd certificaat wordt afgegeven;

• b. de identificatie en het land van vestiging van de afgevende certificatiedienstverlener;

• c. de naam van de ondertekenaar of een als zodanig geïdentificeerd pseudoniem;

• d. ruimte voor een specifiek attribuut van de ondertekenaar, dat indien nodig, afhankelijk van het doel van het gekwalificeerde certificaat, wordt vermeld;

• e. gegevens voor het verifiëren van de handtekening die overeenstemmen met de gegevens voor het aanmaken van de handtekening die onder controle van de ondertekenaar staan;

• f. vermelding van het tijdstippen van het begin en van het einde van de geldigheidsduur van het gekwalificeerde certificaat;

• g. de identiteitscode van het gekwalificeerde certificaat;

• h. de elektronische handtekening van de afgevende certificatiedienstverlener die voldoet aan de criteria van artikel 15a, tweede lid, onderdeel a tot en met d, van Boek 3 van het Burgerlijk Wetboek;

• i. eventuele beperkingen betreffende het gebruik van het gekwalificeerde certificaat, en

• j. eventuele grenzen met betrekking tot de waarde van de transacties waarvoor het gekwalificeerde certificaat kan worden gebruikt.

• 1 Een organisatie die in aanmerking wenst te komen voor een aanwijzing als bedoeld in artikel 18.16 van de wet dient daartoe een aanvraag in en voldoet aan de volgende eisen:

  • a. de organisatie heeft voldoende gekwalificeerd personeel in dienst dat als auditor kan worden ingezet om een conformiteitsbeoordeling uit te voeren van een certificatiedienstverlener;

  • b. de reglementen van de organisatie bieden voldoende waarborgen dat een overeenkomstig deze reglementen door de aangewezen organisatie beoordeelde certificatiedienstverlener voldoet aan artikel 18.15, eerste lid, van de wet en dat de door een zodanige certificatiedienstverlener aan het publiek aangeboden of afgegeven gekwalificeerde certificaten voldoen aan artikel 18.15, tweede lid, van de wet;

  • c. de organisatie hanteert voorwaarden die objectief, transparant, evenredig en niet-discriminerend zijn;

  • d. de organisatie is geaccrediteerd op basis van de norm NEN-EN 45011: 1998, norm NEN-EN-ISO/IEC 17065:2012 of ISO 17021:2011 of een gelijkwaardige norm, welke accreditatie het vakgebied «gekwalificeerde certificaten» dient te omvatten, door de Raad voor Accreditatie of een andere accreditatie-instantie in de zin van artikel 4 van verordening (EG) nr. 765/2008.

• 2 Bij ministeriële regeling worden regels gesteld met betrekking tot de wijze waarop en bij wie een aanvraag tot aanwijzing als organisatie als bedoeld in artikel 18.16 van de wet wordt ingediend, de informatie die daarbij wordt overgelegd, en het verlenen van medewerking terzake van een ingediende aanvraag.

• 3 Aan een aanwijzing kunnen voorschriften worden verbonden die betrekking kunnen hebben op de duur van de aanwijzing, de kwaliteit van de organisatie en het verstrekken van informatie.

• 4 Bij ministeriële regeling kunnen regels worden gesteld met betrekking tot het verstrekken van informatie in verband met door een aangewezen organisatie afgegeven bewijzen van toetsing bedoeld in artikel 18.16, eerste lid, van de wet alsmede omtrent de medewerking die door een aangewezen organisatie wordt verleend met het oog op het voldoen door die organisatie aan de aan haar gestelde eisen.

• 1 Het personeel dat door de organisatie als auditor wordt ingezet om een conformiteitsbeoordeling uit te voeren van een certificatiedienstverlener:

  • a. heeft een opleiding op minimaal HBO-niveau dan wel een daaraan gelijkwaardige aanmerkelijke ervaring en aanvullende beroepsopleiding en -training;

  • b. beschikt over een equivalent van ten minste vier jaar voltijds praktijkervaring met betrekking tot informatietechnologie, waarvan tenminste twee jaar in een functie met betrekking tot Public Key Infrastructure en informatiebeveiliging;

  • c. heeft voldoende begrip van de technische specificatie ETSI TS 319 411-2 of een daarmee gelijkwaardige technische specificatie;

  • d. heeft voldoende begrip van de concepten van managementsystemen in het algemeen;

  • e. heeft voldoende begrip van onderwerpen die zijn gerelateerd aan Public Key Infrastructure, management van informatiebeveiliging en organisatorische betrouwbaarheid;

  • f. heeft voldoende kennis van de principes en processen gerelateerd aan risicobeoordeling en risicomanagement;

  • g. heeft een training van ten minste 5 dagen afgerond over het beoordelen van managementsystemen en het management van beoordelingsprocessen;

  • h. beschikt over de volgende persoonlijke eigenschappen: integer, onbevooroordeeld, volwassen houding, onderscheidingsvermogen, analytisch, vasthoudend en realistisch;

  • i. kan complexe operaties in een breed perspectief plaatsen en de rol van individuele eenheden in grote organisaties begrijpen;

  • j. heeft kennis en eigenschappen om beoordelingsprocessen te managen;

  • k. zorgt ervoor dat de eigen kennis en vaardigheden op het gebied van Public Key Infrastructure, management van informatiebeveiliging en beoordeling van managementsystemen voortdurend op peil worden gehouden;

  • l. heeft voorafgaand aan zelfstandig optreden als auditor ervaring opgedaan in het hele proces van beoordeling van certificatiedienstverleners, welke ervaring is verkregen door onder supervisie van een ervaren auditor deel te nemen aan minimaal vier beoordelingen bestaande uit totaal ten minste 20 dagen, hierbij inbegrepen toetsing van documentatie, implementatiebeoordeling en opstelling beoordelingsrapport.

• 2 In aanvulling op de eisen, genoemd in het eerste lid, voldoet een auditor die als leider van een auditteam optreedt, aan de volgende eisen:

  • a. hij heeft opgetreden als een gekwalificeerd auditor in ten minste drie complete beoordelingen van certificatiedienstverleners;

  • b. hij beschikt over adequate kennis en eigenschappen om het beoordelingsproces te managen;

  • c. hij kan effectief communiceren, zowel mondeling als schriftelijk.

• 3 Een beoordelingsteam als geheel voldoet aan de volgende eisen:

  • a. in elk van de volgende kennisgebieden is tenminste één auditor binnen het beoordelingsteam gekwalificeerd om de verantwoordelijkheid te dragen voor:

    • 1°. de benodigde kennis van de regelgeving waaraan op het terrein van certificatiedienstverlening en informatiebeveiliging moet zijn voldaan;

    • 2°. de benodigde kennis van de laatste stand van de techniek betreffende Public Key Infrastructure;

    • 3°. De benodigde kennis om een aan informatiebeveiliging gerelateerde risicobeoordeling uit te voeren om kwetsbaarheden te ontwaren bij de certificatiedienstverlener, het begrijpen van hun betekenis voor de dienstverlening en het verminderen en onder controle brengen van deze kwetsbaarheden en

    • 4°. de benodigde kennis van kwesties van organisatorische betrouwbaarheid;

  • b. het beoordelingsteam is competent om indicaties van kwetsbaarheden in de certificatiedienstverlening terug te leiden naar de desbetreffende elementen van het managementsysteem van de certificatiedienstverlener opdat deze verbeterd kunnen worden.

• 4 Om er voor te zorgen dat het beoordelingsteam alle noodzakelijke expertise tot zijn beschikking heeft, mogen technisch deskundigen met specifieke kennis over de onderwerpen, genoemd in het derde lid, onder a, 1° tot en met 4°, worden ingeschakeld om het beoordelingsteam te assisteren, ook al voldoen zij niet aan alle criteria voor een individuele auditor.

• 5 De technisch deskundigen, bedoeld in het vierde lid, zijn te allen tijde verantwoording schuldig aan de leider van het auditteam en functioneren niet onafhankelijk van de auditors in het team die wel gekwalificeerd zijn als auditor.

• 1 Een instelling die in aanmerking wenst te komen voor een aanwijzing als bedoeld in artikel 18.17a, eerste lid, van de wet dient daartoe een aanvraag in en voldoet aan de volgende eisen:

  • a. zij hanteert een toetsingskader dat waarborgt dat de beoordeelde veilige middelen voor het aanmaken van elektronische handtekeningen voldoen aan de wettelijke eisen;

  • b. zij is op basis van de norm NEN-EN 45011: 1998 of de norm ISO/IEC 17065:2012 geaccrediteerd, welke accreditatie het vakgebied veilige middelen voor het aanmaken van elektronische handtekeningen omvat, door de Raad voor Accreditatie of een andere accreditatie-instantie in de zin van artikel 4 van verordening (EG) nr. 765/2008;

  • c. zij maakt gebruik van testlaboratoria die voldoen aan norm NEN-EN-ISO 17025 voor het testen van veilige middelen voor het aanmaken van elektronische handtekeningen volgens de norm ISO/IEC 15408:2005.

• 2 De instelling die in aanmerking wenst te komen voor een aanwijzing als bedoeld in artikel 18.17a, eerste lid, van de wet voldoet, onverminderd het eerste lid, aan de volgende eisen:

  • a. zij houdt zich niet bezig met activiteiten die een bedreiging kunnen vormen voor de onafhankelijkheid van haar oordeel en de integriteit bij de uitoefening van haar taak;

  • b.

    • 1°. zij is onafhankelijk van organisaties die betrokken zijn bij het ontwerpen, de fabricage, de verkoop en de levering, de installatie, het onderhoud of het beheer van veilige middelen, alsmede van certificatiedienstverleners en de gebruikers voor zover zij zich bedienen van veilige middelen voor het aanmaken van elektronische handtekeningen;

    • 2°. zij is financieel onafhankelijk van de betrokken partijen;

    • 3°. de directeur en het personeel dat met de beoordeling van de overeenstemming is belast, zijn geen ontwerper, fabrikant, leverancier of installateur van veilige middelen, noch certificatiedienstverlener, noch gemachtigden van een van die partijen;

    • 4°. zij wordt niet rechtstreeks betrokken bij het ontwerp, de fabricage, de verkoop of het onderhoud van veilige middelen, noch treedt zij op als gemachtigde van de hierbij betrokken partijen.

  • c. zij heeft personeel in dienst dat:

    • 1°. voldoende bekwaamheid bezit om met een hoge mate van beroepsintegriteit de overeenstemming vast te stellen van de veilige middelen voor het aanmaken van elektronische handtekeningen met de eisen voor deze veilige middelen, bedoeld in artikel 5 van dit besluit, en

    • 2°. betrouwbare procedures hanteert;

  • d. zij beoordeelt de overeenstemming op transparante wijze, stelt alle relevante informatie op schrift, zorgt ervoor dat alle geïnteresseerde partijen gebruik kunnen maken van haar diensten en past haar procedures zonder enige vorm van discriminatie toe;

  • e. zij beschikt over voldoende personeel en de nodige voorzieningen om de technische en administratieve werkzaamheden die uit haar taken voortvloeien, naar behoren en snel te kunnen verrichten;

  • f. het personeel dat belast is met de beoordeling van de overeenstemming van de veilige middelen met de eisen,

    • 1°. heeft een adequate opleiding genoten, met name op het gebied van technologieën voor elektronische handtekeningen en de daaraan verbonden aspecten van de veiligheid van het gebruik van computers;

    • 2°. bezit een behoorlijke kennis van voorschriften inzake de te verrichten overeenstemmingsbeoordelingen en heeft voldoende ervaring met dergelijke beoordelingen;

  • g. zij waarborgt de onpartijdigheid van het personeel, onder meer door de bezoldiging niet afhankelijk te stellen van het aantal uitgevoerde overeenstemmingbeoordelingen of van de resultaten van deze beoordelingen;

  • h. zij houdt voldoende financiële middelen ter beschikking om in overeenstemming met de eisen van de wet te kunnen functioneren;

  • i. zij behandelt de gegevens die haar ter kennis komen vertrouwelijk, en

  • j. zij staat in voor de overeengekomen activiteiten van de instellingen door welke zij een deel van de overeenstemmingbeoordeling laat uitvoeren en kan aantonen dat deze instelling in staat is de betrokken dienst te verlenen.

• 3 De instelling die deel uitmaakt van een organisatie die zich bezighoudt met andere activiteiten dan de beoordeling van de overeenstemming van veilige middelen voor het aanmaken van elektronische handtekeningen met de eisen van artikel 5, is binnen die organisatie herkenbaar als aangewezen instelling als bedoeld in artikel 18.17a, eerste lid, van de wet, en scheidt haar werkzaamheden zodanig van de andere activiteiten, dat daardoor de correcte beoordeling van overeenstemming van veilige middelen is gewaarborgd.

• 4 Bij ministeriële regeling worden regels gesteld met betrekking tot de wijze waarop en bij wie een aanvraag tot aanwijzing als instelling als bedoeld in artikel 18.17a, eerste lid, van de wet geschiedt, de informatie die daarbij wordt overgelegd en het verlenen van medewerking terzake van een ingediende aanvraag.

• 5 Aan een aanwijzing kunnen voorschriften worden verbonden die betrekking hebben op de duur van de aanwijzing, de kwaliteit van de organisatie en het verstrekken van informatie.

• 6 Bij ministeriële regeling kunnen regels worden gesteld met betrekking tot het verstrekken van informatie in verband met door een aangewezen instelling afgegeven verklaringen bedoeld in artikel 18.17a, eerste lid, van de wet alsmede omtrent de medewerking die door een aangewezen instelling wordt verleend met het oog op het voldoen door die instelling aan de aan haar gestelde eisen.

Een veilig middel voor het aanmaken van elektronische handtekeningen voldoet aan de volgende eisen:

• a. het waarborgt dat de gegevens voor het aanmaken van elektronische handtekeningen in de praktijk slechts eenmaal kunnen voorkomen en de vertrouwelijkheid daarvan redelijkerwijs gegarandeerd is;

• b. het waarborgt met redelijke zekerheid dat de gegevens voor het aanmaken van elektronische handtekeningen niet kunnen worden afgeleid en dat de elektronische handtekening beschermd is tegen vervalsing met de op het tijdstip van het afgeven van de verklaring beschikbare technieken;

• c. het waarborgt dat de gegevens voor het aanmaken van elektronische handtekeningen door de legitieme ondertekenaar op betrouwbare wijze kunnen worden beschermd tegen gebruik door anderen;

• d. het laat de te ondertekenen gegevens ongewijzigd en belet niet dat die gegevens vóór de ondertekening aan de ondertekenaar worden voorgelegd.

Bij ministeriële regeling kunnen nadere regels worden gesteld met betrekking tot de eisen genoemd in dit besluit.

[Red: Wijzigt het Besluit vergoedingen Telecommunicatiewet.]

Dit besluit treedt in werking op het tijdstip waarop de Wet elektronische handtekeningen in werking treedt.

Dit besluit wordt aangehaald als: Besluit elektronische handtekeningen.