Besluit elektronische handtekeningen, certificaten en certificatiedienstverleners BES

§ 1. Elektronische handtekening

Artikel 1

Aan een elektronische handtekening worden de volgende eisen gesteld:

• a. zij is uniek en met uitsluiting van anderen verbonden aan de persoon die zich ervan bedient;

• b. zij kan te allen tijde worden geverifieerd;

• c. zeggenschap erover berust met uitsluiting van anderen bij de persoon die zich ervan bedient;

• d. zij is zodanig aan elektronische gegevens gekoppeld dat indien deze gegevens worden gewijzigd, de elektronische handtekening ongeldig wordt.

Artikel 2

• a. Gewaarborgd is ten minste dat via passende technieken en procedures:

• 1°. de gegevens voor het aanmaken van handtekeningen in de praktijk slechts één keer kunnen voorkomen en de vertrouwelijkheid daarvan redelijkerwijs gegarandeerd is;

• 2°. de gegevens voor het aanmaken van handtekeningen, met redelijke zekerheid, niet kunnen worden afgeleid en dat de handtekening beschermd is tegen vervalsing met de thans beschikbare technieken;

• 3°. de gegevens voor het aanmaken van handtekeningen door de legitieme ondertekenaar op betrouwbare wijze kunnen worden beschermd tegen gebruik door anderen.

• b. De te ondertekenen gegevens mogen niet worden gewijzigd en niet mag worden belet dat deze gegevens vóór de ondertekening aan de ondertekenaar worden voorgelegd.

Artikel 3

Tijdens het proces voor het verifiëren van elektronische handtekeningen worden met het oog op de veiligheid met redelijke zekerheid gewaarborgd dat:

• a. de voor het verifiëren van een handtekening gebruikte gegevens overeenstemmen met de gegevens die de verifieerde te zien krijgt;

• b. de handtekening op betrouwbare wijze wordt geverifieerd en het resultaat daarvan correct wordt weergegeven;

• c. de verifieerder, zo nodig, op betrouwbare wijze de inhoud van de ondertekende gegevens kan vaststellen;

• d. de authenticiteit en geldigheid van het certificaat dat bij het verifiëren van de handtekening vereist is, op betrouwbare wijze worden gecontroleerd;

• e. het resultaat van de verificatie en de identiteit van de ondertekenaar correct worden weergegeven;

• f. het gebruik van een pseudoniem duidelijk wordt aangegeven;

• g. elke wijziging die invloed heeft op de beveiliging kan worden opgespoord.

§ 2. Certificatiedienstverleners

Artikel 4

Artikel 5

Aan certificatiedienstverleners worden de navolgende eisen gesteld:

• a. zij kunnen aantonen te voldoen aan eisen van betrouwbaarheid ter zake van het aanbieden van certificatiediensten;

• b. zij dragen zorg voor een snelle en veilige dienstverlening zowel bij het afgeven van een certificaat als bij intrekking daarvan;

• c. zij dragen zorg voor de naleving van het in artikel 6 bepaalde;

• d. zij dragen ervoor zorg dat datum en tijdstip van afgifte of intrekking van een certificaat precies kunnen worden vastgesteld;

• e. zij verifiëren met daartoe geschikte middelen en overeenkomstig de wetgeving van het land waar de certificaatdienstverlener is gevestigd, de identiteit en in voorkomend geval de specifieke attributen van de persoon aan wie een certificaat wordt afgegeven;

• f. zij hebben personeel in dienst dat beschikt over deskundige kennis, ervaring en kwalificaties die noodzakelijk zijn voor de aangeboden diensten, met name competentie op het gebied van beheer, alsmede over expertise inzake technologie voor elektronische handtekeningen, en dat bekend is met goede beveiligingsprocedures;

• g. zij passen adequate procedures en processen op het gebied van administratie en beheer toe die voldoen aan algemeen erkende normen;

• h. zij maken gebruik van betrouwbare systemen en producten die beschermd zijn tegen wijziging en die de technische en cryptografische veiligheid garanderen van de processen die zij ondersteunen;

• i. zij nemen maatregelen tegen het vervalsen van certificaten, wanneer de certificatiedienstverlener gegevens voor het aanmaken van handtekeningen genereert, die de vertrouwelijkheid van dat proces garanderen;

• j. zij houden voldoende financiële middelen tot hun beschikking om in overeenstemming met de eisen van het bij of krachtens de Wet overeenkomsten langs elektronische weg BES te kunnen functioneren, met name met oog op de gevolgen van aansprakelijkheid wegens schade;

• k. zij leggen al dan niet op elektronische wijze gedurende een gepaste periode alle relevante informatie met betrekking tot een certificaat vast, met name om ten behoeve van gerechtelijke procedures de certificatie te kunnen bewijzen;

• l. zij zien af van het opslaan of kopiëren van gegevens voor het aanmaken van elektronische handtekeningen van de personen aan wie de certificatiedienstverlener sleutelbeheersdiensten heeft aangeboden;

• m. zij brengen, alvorens een contractuele verbintenis aan te gaan met een persoon die een certificaat ter ondersteuning van zijn elektronische handtekening wenst, deze met behulp van een duurzaam communicatiemiddel op de hoogte van de exacte voorwaarden voor het gebruik van het certificaat, met inbegrip van eventuele beperkingen inzake dit gebruik, het bestaan van een vrijwillige accreditatie en de procedures voor klachtenbehandeling en geschillenbeslechting. Deze informatie moet schriftelijk en in gemakkelijk te begrijpen taal worden opgesteld; eventueel kan zij langs elektronische weg worden toegezonden. Relevante delen van die informatie dienen op verzoek eveneens te worden meegedeeld aan derden die op het certificaat vertrouwen;

• n. zij maken gebruik van betrouwbare systemen voor de opslag van certificaten in verifieerbare vorm, zodat:

• 1°. alleen bevoegde personen gegevens kunnen invoeren en wijzigen;

• 2°. de authenticiteit van de informatie kan worden gecontroleerd;

• 3°. de certificaten uitsluitend publiekelijk beschikbaar zijn in die gevallen waarvoor de certificaathouder toestemming heeft gegeven; en

• 4°. elke technische wijziging die de bovengenoemde beveiligingsvoorschriften in gevaar kan brengen, voor de gebruiker duidelijk is.

Artikel 5a

Dit besluit berust op artikel 7, derde lid, Wet overeenkomsten langs elektronische weg BES.

§ 3. Certificaten

Artikel 6

• a. de identificatie en het land van vestiging van de afgevende certificatiedienstverlener;

• b. de naam van de ondertekenaar of een als zodanig geïdentificeerd pseudoniem;

• c. ruimte voor een specifiek attribuut van de ondertekenaar, dat indien nodig afhankelijk van het doel van het certificaat, kan worden vermeld;

• d. gegevens voor het verifiëren van de handtekening die overeenstemmen met de gegevens voor het aanmaken van de handtekening die onder controle van de houder staan;

• e. het begin en einde van de geldigheidsduur van het certificaat;

• f. de identiteitscode van het certificaat;

• g. de geavanceerde elektronische handtekening van de afgevende certificatie-dienstverlener;

• h. voor zover van toepassing: beperkingen betreffende het gebruik van het certificaat, waaronder mogelijke begrenzing van de waarde die is gemoeid met de overeenkomsten waarvoor het certificaat kan worden gebruikt.

Artikel 7

Dit besluit wordt aangehaald als: Besluit elektronische handtekeningen, certificaten en certificatiedienstverleners BES.