Legalize
Legalize / Portugal / Decreto-Regulamentar

Decreto Regulamentar n.º 25/2004

Tipo Decreto-Regulamentar
Publicação 2004-07-15
Estado Em vigor
Ministério Ministério da Justiça
Fonte DRE
Histórico de alterações JSON API

TEXTO :

Decreto Regulamentar n.º 25/2004

de 15 de Julho

Em execução do regime jurídico que disciplina a validade, eficácia e valor probatório dos documentos electrónicos, a assinatura electrónica e a actividade de credenciação das entidades certificadoras estabelecidas em Portugal, constante do Decreto-Lei n.º 290-D/99, de 2 de Agosto, com as alterações que lhe foram introduzidas pelo Decreto-Lei n.º 62/2003, de 3 de Abril, o presente diploma visa aprovar as regras técnicas e de segurança exigíveis às entidades certificadoras que emitem certificados qualificados, regulamentando ainda alguns aspectos específicos relacionados com a credenciação das entidades certificadoras.

Prevê-se que, no exercício da sua actividade, a entidade certificadora utilize processos, sistemas e produtos relacionados com as assinaturas electrónicas de acordo com normas constantes das listas publicadas no Jornal Oficial das Comunidades Europeias, nos termos previstos no n.º 5 do artigo 3.º da Directiva n.º

1999/93/CE

, do Parlamento Europeu e do Conselho, de 13 de Dezembro, e, na sua falta, com as normas desenvolvidas no âmbito da Iniciativa Europeia de Normalização da Assinatura Electrónica (European Electronic Signature Standardisation Initiative, ou EESSI), para suporte da implementação da Directiva n.º

1999/93/CE

, do Parlamento Europeu e do Conselho, de 13 de Dezembro, publicadas pelo Instituto Europeu de Normalização para as Telecomunicações (European Telecommunications Standards Institute, ou ETSI), ou pelo Comité Europeu de Normalização (Comité Européen de Normalisation, ou CEN).

Aprovam-se regras precisas relativas aos vários serviços de certificação prestados pela entidade certificadora, como o registo, emissão, distribuição, gestão de revogação e fornecimento de dispositivos seguros de criação de assinaturas e validação cronológica, bem como o respectivo regime de subcontratação.

Prevêem-se ainda normas específicas relativas aos direitos e obrigações da entidade certificadora e dos requerentes e titulares dos certificados e estabelecem-se requisitos operacionais e de gestão, onde se incluem exigências particulares relativas à segurança, política de pessoal, auditorias, cessação da actividade e arquivo de informação.

Compreendendo o âmbito de aplicação do diploma todas as entidades certificadoras que emitem certificados qualificados, entidades essas que podem vir a solicitar a credenciação, prevê-se ainda em sede de regulamentação algumas exigências específicas para as entidades credenciadas que se prendem essencialmente com o reforço das garantias exigíveis face ao valor probatório que é conferido às assinaturas electrónicas emitidas por entidades certificadoras credenciadas.

Neste contexto e no âmbito da demonstração dos meios técnicos e humanos exigíveis às entidades certificadoras que solicitem credenciação junto da autoridade credenciadora, é exigida avaliação prévia da conformidade dos processos e dos componentes técnicos que utiliza no exercício da sua actividade de certificação com os requisitos técnicos e de segurança estabelecidos, efectuada por organismos acreditados, ficando sujeita a atribuição de credenciação à apresentação dos respectivos relatórios de avaliação e certificados de conformidade.

Estabelecendo o presente diploma requisitos de natureza essencialmente técnica, sem prejuízo da neutralidade tecnológica assumida pelo regime jurídico consignado no Decreto-Lei n.º 290-D/99, de 2 de Agosto, na sua redacção em vigor, os requisitos técnicos e de segurança ora estabelecidos estão baseados na utilização de criptografia assimétrica (criptografia de chave pública) como suporte das assinaturas electrónicas.

A actual solução de regulamentação de utilização da criptografia de chave pública não prejudica a necessária revisão das normas do presente diploma quando tal apareça justificado pela evolução da tecnologia que venha a verificar-se neste domínio.

Foi ouvida a Autoridade Nacional de Segurança.

Assim:

Ao abrigo do disposto no artigo 39.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto, com a redacção que lhe foi dada pelo Decreto-Lei n.º 62/2003, de 3 de Abril, e nos termos da alínea c) do artigo 199.º da Constituição, o Governo decreta o seguinte:

CAPÍTULO I

Disposições gerais

Artigo 1.º

Objecto e âmbito

1 - O presente diploma regulamenta o Decreto-Lei n.º 290-D/99, de 2 de Agosto, com a redacção que lhe foi dada pelo Decreto-Lei n.º 62/2003, de 3 de Abril.

2 - Do presente diploma constam, designadamente, as regras técnicas e de segurança aplicáveis às entidades certificadoras estabelecidas em Portugal na emissão de certificados qualificados destinados ao público.

Artigo 2.º

Normas técnicas

1 - A entidade certificadora utiliza obrigatoriamente, no exercício da sua actividade, processos, sistemas e produtos relacionados com as assinaturas electrónicas em conformidade com o disposto no presente diploma e com normas, especificações e outra documentação técnica, aplicáveis consoante o seu âmbito, tais como:

a)

As constantes das listas publicadas no Jornal Oficial das Comunidades Europeias nos termos previstos no n.º 5 do artigo 3.º da Directiva n.º

1999/93/CE

, do Parlamento Europeu e do Conselho, de 13 de Dezembro, quando existentes;

b)

As desenvolvidas no âmbito da Iniciativa Europeia de Normalização da Assinatura Electrónica (European Electronic Signature Standardisation Initiative, ou EESSI), para suporte da implementação da Directiva n.º

1999/93/CE

, do Parlamento Europeu e do Conselho, de 13 de Dezembro, publicadas pelo Instituto Europeu de Normalização para as Telecomunicações (European Telecommunications Standards Institute, ou ETSI), ou pelo Comité Europeu de Normalização (Comité Européen de Normalisation, ou CEN), em matérias sobre as quais não existam as normas, especificações e outra documentação técnica previstas na alínea anterior;

c)

Outras largamente reconhecidas como aplicáveis a produtos de assinatura electrónica.

2 - A autoridade credenciadora publica, em aviso, na 2.ª série do Diário da República, as listas de referências publicadas no Jornal Oficial das Comunidades Europeias das normas a que se refere a alínea a) do número anterior.

3 - As normas a que se referem as alíneas b) e c) do n.º 1 são as aprovadas pela autoridade credenciadora, que publica na 2.ª série do Diário da República as respectivas referências.

4 - As normas previstas no n.º 1, relativas a processos, sistemas e produtos, aplicam-se a:

a)

Serviços e processos das entidades certificadoras respeitantes à gestão da infra-estrutura de chave pública, à gestão da segurança da informação e à gestão do ciclo de vida dos certificados qualificados;

b)

Sistemas de informação utilizados na emissão e gestão dos certificados qualificados;

c)

Módulos criptográficos para operações de assinatura;

d)

Aplicações de criação e de verificação de assinaturas;

e)

Dispositivos seguros de criação de assinatura;

f)

Serviços de validação cronológica.

5 - Sempre que estejam envolvidas matérias classificadas, aplicam-se as regras de credenciação de segurança de matérias classificadas e respectiva credenciação, da competência da Autoridade Nacional de Segurança.

Artigo 3.º

Avaliação da conformidade

1 - A conformidade com o disposto no artigo anterior dos processos, sistemas e produtos relacionados com as assinaturas electrónicas qualificadas é certificada, quando exigido nos termos do presente diploma, por organismos de certificação acreditados de acordo com o disposto no artigo 37.º do Decreto-Lei n.º 290-D/99, de 2 de Agosto.

2 - A avaliação da conformidade dos produtos de assinatura electrónica qualificada é efectuada segundo os critérios comuns para a verificação e avaliação da segurança nas tecnologias da informação (Common Criteria for Information Technology Security Evaluation), ISO/IEC 15408, para os níveis de avaliação de segurança e grau de robustez exigidos nas normas, especificações e outra documentação técnica aplicável nos termos do artigo 2.º

3 - Do certificado de conformidade referente à segurança dos produtos constam, obrigatoriamente:

a)

Os requisitos a que a certificação se aplica e em que plataforma foram testados;

b)

Os algoritmos e parâmetros utilizados e respectivo prazo de validade;

c)

O nível para que os produtos foram testados e o respectivo grau de robustez.

4 - A conformidade das aplicações de criação e verificação de assinaturas e de validação cronológica pode ainda ser demonstrada através de declaração do respectivo fabricante do produto.

5 - A declaração a que se refere o número anterior é emitida de acordo com os documentos orientadores de avaliação de conformidade (EESSI Conformity Assessment Guidance) do CEN, para o produto em causa, e contém a identificação do fabricante, do produto, dos requisitos com os quais garante a conformidade e das disposições da norma relativamente às quais esta se verifica.

Artigo 4.º

Subcontratação

1 - A entidade certificadora é responsável por todos os serviços de certificação prestados por terceiros por ela subcontratados, designadamente os de registo, emissão, distribuição, gestão de revogação, fornecimento de dispositivos seguros de criação de assinaturas e validação cronológica.

2 - A entidade certificadora pode subcontratar a prestação de serviços de certificação e o fornecimento dos respectivos componentes, incluindo o serviço de emissão de certificados, desde que a chave utilizada para gerar os certificados seja sempre identificada como pertencendo à entidade certificadora e que esta assuma e mantenha a inteira responsabilidade pelo cumprimento de todos os requisitos exigidos no presente diploma.

3 - É obrigatoriamente reduzido a escrito o contrato celebrado entre a entidade certificadora e qualquer prestador de serviços, onde se estabelecem as obrigações das partes e se identificam as funções da entidade certificadora prestadas pelo subcontratado.

CAPÍTULO II

Actividade da entidade certificadora

SECÇÃO I

Declaração de práticas e política de certificado

Artigo 5.º

Declaração de práticas de certificação

1 - A entidade certificadora emite uma declaração de práticas de certificação em que constam os procedimentos utilizados para cumprimento dos requisitos identificados nas políticas de certificado, com a qual todos os serviços de certificação prestados terão de estar conformes, contendo, entre outros, os seguintes elementos:

a)

Descrição da estrutura de certificação;

b)

Descrição da infra-estrutura operacional;

c)

Procedimentos de validação da identidade e de outros dados pessoais e profissionais de requerentes e titulares;

d)

Procedimentos operacionais;

e)

Controlos de segurança física, de processos e de pessoal;

f)

Disposições sobre a emissão, utilização, actualização, renovação, suspensão e revogação dos certificados;

g)

Responsabilidades e obrigações do requerente, do titular, da entidade certificadora e dos destinatários;

h)

Disposições relativas à cessação de actividade;

i)

Método de validação cronológica utilizado;

j)

Período de validade da declaração de práticas de certificação.

2 - A declaração de práticas de certificação é revista periodicamente, pelo menos uma vez por ano, e está permanentemente disponível, por via electrónica, para consulta dos requerentes, titulares e destinatários.

Artigo 6.º

Política de certificado

1 - A entidade certificadora indica em cada certificado, através de um identificador único, a política que estabelece os termos, condições e âmbito de utilização do certificado e os requisitos que a declaração de práticas de certificação está obrigada a conter.

2 - A política de certificado está permanentemente disponível, por via electrónica, para consulta dos requerentes, titulares e destinatários.

SECÇÃO II

Emissão e gestão das chaves

Artigo 7.º

Emissão das chaves da entidade certificadora

Os pares de chaves utilizados pela entidade certificadora na prestação de serviços de certificação são gerados:

a)

Num ambiente fisicamente seguro de acordo com as exigências estabelecidas no plano de segurança previsto no artigo 27.º e por pessoal que cumpra os requisitos estabelecidos no artigo 29.º;

b)

Recorrendo a um algoritmo e comprimento de chave apropriado, de acordo com o disposto no artigo 11.º;

c)

Recorrendo a um dispositivo seguro de criação de assinatura certificado nos termos do artigo 3.º;

d)

Por um mínimo de dois trabalhadores presentes física e conjuntamente no local.

Artigo 8.º

Gestão das chaves da entidade certificadora

1 - As chaves privadas da entidade certificadora são:

a)

Mantidas num dispositivo seguro de criação de assinatura certificado nos termos do artigo 3.º;

b)

Objecto de cópia de segurança, armazenada e reposta por pessoal autorizado e em ambiente físico seguro, de acordo com procedimento descrito no plano de segurança, em condições de protecção igual ou superior às chaves em utilização;

c)

Únicas e confidenciais durante a geração e a transmissão para um dispositivo seguro de criação de assinatura, não podendo ser armazenadas fora desse dispositivo;

d)

Utilizadas dentro de áreas físicas seguras de acordo com o estabelecido no plano de segurança;

e)

Utilizadas dentro do seu período de validade.

2 - A entidade certificadora não pode usar as chaves privadas utilizadas na emissão de certificados e listas de revogação para outra finalidade.

3 - No termo do seu período de validade, a cópia da chave privada é destruída de modo irreversível ou arquivada de forma a não poder ser reutilizada.

4 - Na gestão das suas chaves, é da responsabilidade da entidade certificadora:

a)

Assegurar a integridade e autenticidade das chaves públicas e de qualquer parâmetro a elas associado durante a distribuição, assim como estabelecer um processo que permita autenticar a sua origem;

b)

Manter organizado um arquivo das chaves públicas, após o termo do seu período de validade;

c)

Garantir a segurança e integridade do equipamento criptográfico durante a sua vida útil e assegurar que o mesmo não é acedido ou alterado por pessoal não autorizado;

d)

Garantir que as chaves privadas armazenadas no equipamento criptográfico são destruídas quando da sua retirada de funcionamento;

e)

Assegurar que as operações de gestão das chaves privadas, de manipulação de dispositivos criptográficos e de informação do estado de suspensão e ou revogação são efectuadas por um mínimo de dois trabalhadores em simultâneo.

Artigo 9.º

Emissão das chaves de titulares

A entidade certificadora, na emissão das chaves para titulares, assegura que:

a)

O par de chaves do titular é gerado recorrendo a um algoritmo criptográfico apropriado, de acordo com o disposto no artigo 11.º;

b)

A chave privada entregue ao titular para criação de assinaturas é armazenada de forma segura antes da sua entrega, assegurando-se que a sua integridade não é comprometida;

c)

A chave privada entregue ao titular para criação de assinaturas é distinta da chave entregue para utilização em outras funções;

d)

Não é efectuada cópia de segurança nem de arquivo da chave privada do titular para criação de assinaturas.

Artigo 10.º

Dispositivos seguros de criação de assinaturas

A entidade certificadora, sempre que forneça dispositivos seguros de criação de assinaturas, assegura que:

A consulta deste documento não substitui a leitura do Diário da República correspondente. Não nos responsabilizamos por eventuais incorreções resultantes da transcrição do original para este formato.