Наредба за удостоверенията за електронен подпис в администрациите

Чл. 1

(1) С наредбата се уреждат условията и редът за придобиване, използване, подновяване и прекратяване на удостоверения за електронен подпис в администрациите.

(2) Тази наредба не се прилага за Министерството на отбраната, Министерството на вътрешните работи, Държавна агенция „Национална сигурност“, Държавна агенция „Разузнаване“, Държавна агенция „Технически операции“, Служба „Военно разузнаване“ и Националната служба за охрана освен в случаите на предоставяне на административни услуги по електронен път и обмен на електронни документи между административните органи.

Чл. 2

При условията и по реда на наредбата се придобиват, използват, подновяват и прекратяват следните удостоверения за електронен подпис в администрациите:

1. квалифицирани удостоверения за универсален електронен подпис, които могат да се използват от лица с право да правят електронни изявления от името на администрацията;

2. квалифицирани удостоверения за универсален електронен подпис, които могат да се използват от лица, овластени да изпращат направени от лица по т. 1 електронни изявления от името на администрацията и само за нуждите на изпращането;

3.

4. квалифицирани удостоверения за квалифициран електронен подпис, издадени от доставчик на удостоверителни услуги, които се използват от всички служители в администрацията, когато вписват, заличават, извличат, предоставят и изпращат данни от регистри или автоматизирани информационни системи, както и когато достъпват системи за електронен документооборот, в т.ч. при осъществяване на дейности по възлагане, изпълнение, контрол по изпълнението и отчитане на задачи;

5. удостоверения за идентифициране на сървърите, които могат да се използват от администрациите за осигуряване на защитени електронни комуникации за изпращане на електронни изявления до администрациите и за идентифициране на сървърите, на които са разположени интернет страниците и информационните им системи;

6. удостоверения за осигуряване на интегритет и установяване на авторство върху софтуерен код или върху файлове, съдържащи друга информация или изпълним код, които могат да се използват от администрациите по изключение.

Чл. 3

Квалифицирано удостоверение за квалифициран електронен подпис се издава от доставчик на удостоверителни услуги, вписан от Комисията за регулиране на съобщенията в доверителния списък по чл. 22 от Регламент (ЕС) № 910/2014, и се предоставя за ползване на еднолични държавни органи, на членове на колегиални държавни органи, на служители или лица в администрациите, работещи по трудово или служебно правоотношение, и на лица на военна служба.

Чл. 4

(1) Право да правят електронни изявления от името на администрациите имат лицата, които притежават валидно квалифицирано удостоверение за универсален електронен подпис и са овластени по силата на закон или са надлежно овластени.

(2) Право да изпращат електронни изявления по ал. 1 от името на администрациите имат лицата, които притежават валидно квалифицирано удостоверение за универсален електронен подпис и са овластени със заповед на ръководителя на администрацията.

(3) Право да изпращат електронни изявления по ал. 1 от името на администрациите имат лицата, които притежават валидно квалифицирано удостоверение за квалифициран електронен подпис и са овластени със заповед на ръководителя на администрацията или това право е изрично включено в длъжностната им характеристика.

(4) Извън случаите по ал. 1 и 2 право да правят електронни изявления от името на администрациите за нуждите на предоставянето на вътрешни електронни административни услуги имат лицата, които притежават валидно квалифицирано удостоверение за квалифициран електронен подпис.

Чл. 5

Квалифицираните удостоверения за квалифициран електронен подпис с титуляри физически лица – служители в администрациите, се издават след писмено разпореждане на ръководителя на съответната администрация или на упълномощено от него лице.

Чл. 6

(1) Общата организация, ръководството и контролът по изпълнението на наредбата се извършват от ръководителя на съответната администрация или от упълномощено от него лице по чл. 5. Ръководителите на администрациите могат да приемат вътрешни правила.

(2) Ръководителят на администрацията овластява със заповед лице, което да го представлява пред доставчика на удостоверителни услуги при издаване, управление и прекратяване на удостоверенията.

Чл. 7

(отменен)

Удостоверенията за универсален електронен подпис и удостоверенията за електронен подпис се заявяват за издаване за срок една година считано от датата на издаването.

Чл. 8

(1) Издаването на квалифицираните удостоверения за квалифициран електронен подпис на служителите в администрациите се извършва въз основа на искане до доставчик на квалифицирани удостоверителни услуги, подадено лично от служителя, на когото се издава квалифицираното удостоверение за квалифициран електронен подпис, или от лицето по чл. 6, ал. 2, като искането следва да е придружено с необходимите документи, изискани от доставчика на удостоверителни услуги.

(2) Искането по ал. 1 и приложенията към него се предоставят на лицето по чл. 6, ал. 1 за одобряване, което може да изисква допълнителна информация от лицето, на което следва да се издаде удостоверение.

(3) След одобряване от лицето по чл. 6, ал. 1 лицето по чл. 6, ал. 2 изпраща одобрените искания заедно с приложенията към тях на доставчика на удостоверителни услуги, а за неодобрените уведомява съответния служител и неговия ръководител.

(4) Лицето по чл. 6, ал. 2 е длъжно да пази в тайна информацията относно личните данни на физическите лица, станала му известна във връзка с издаването на квалифицираните удостоверения за квалифициран електронен подпис, при спазване на изискванията на относимото законодателство за защита на личните данни.

(5) Обобщени справки, съдържащи информация от исканията и одобрените документи за издаване на квалифицирани удостоверения за квалифициран електронен подпис, се изготвят от овластеното лице по чл. 6, ал. 2.

Чл. 9

(отменен)

(1) Удостоверения за универсален електронен подпис по чл. 2, т. 1 и 2 се издават от доставчика на удостоверителни услуги по искане на администрациите на физически лица, работещи по граждански договор и овластени да правят електронни изявления и да представляват администрацията, и на лицата, овластени да изпращат електронни изявления от името на администрацията.

(2) Издаването на удостоверения за универсален електронен подпис по чл. 2, т. 1 и 2 се извършва по искане на овластеното лице до ръководителя на администрацията. Към искането освен необходимите документи, изисквани от доставчика на удостоверителни услуги, задължително се прилага и заверено копие от заповедта на ръководителя на администрацията, с която лицето заявител е овластено да прави електронни изявления и да представлява администрацията. Когато заповедта е издадена в електронна форма, се прилага препис, възпроизведен на хартиен носител.

(3) Предаването на издадените удостоверения за универсален електронен подпис и приемането им от физическите лица, на които са издадени персонално, се извършва при доставчика на удостоверителни услуги.

Чл. 10

(отменен)

(1) Издаването на удостоверения за електронен подпис по чл. 2, т. 3 на служителите в администрациите за вътрешноведомствени нужди се извършва въз основа на подадено искане по образец съгласно приложението до ръководителя на съответната администрация, в което се посочва желаният брой удостоверения. Към искането се прилага списък на всички служители от администрацията, на които следва да се издаде удостоверение.

(2) Искането по ал. 1 се съгласува предварително с лицата по чл. 6, ал. 1.

Чл. 11

Предаването на издадените удостоверения от вида по чл. 2, т. 5 и 6 и приемането им от лицата по чл. 6, ал. 2 се извършва при доставчика на удостоверителни услуги.

Чл. 12

(отменен)

(1) Овластените по чл. 6, ал. 2 лица предоставят лично на доставчика на удостоверителни услуги всички необходими документи за издаване на удостоверения за електронен подпис и получават лично от него справка с извадки от публичния регистър на доставчика за издадените удостоверения.

(2) Овластените лица по чл. 6, ал. 2 са длъжни да пазят в тайна информацията относно личните данни на физическите лица, станала им известна във връзка с издаването и управлението на удостоверенията за електронен подпис.

Чл. 13

(1) Във всяка администрация се води и поддържа списък на всички видове издадени квалифицирани удостоверения за квалифициран електронен подпис, съдържащ следната информация:

1. данни, идентифициращи доставчика на удостоверителни услуги;

2. имената на служителите, на които са издадени квалифицирани електронни подписи с вписани за тях данни за:

(2) Със заповед на ръководителя на администрацията се определят отговорното звено и служител, който води и поддържа списъка по ал. 1 и отразява всяка промяна в данните в него въз основа на информация, получена от доставчика на удостоверителни услуги, за издадени, подновени, спрени или прекратени удостоверения.

Чл. 14

(отменен)

Директорът на дирекцията или ръководителят на звеното по чл. 6 уведомява дирекцията, отговорна за управление на човешките ресурси в администрацията, и ръководителите по чл. 8, ал. 1 за издадените удостоверения за електронен подпис по чл. 2, т. 1 - 4 веднага след тяхното издаване.

Чл. 15

Използването на удостоверения за електронен подпис по чл. 2, т. 1 – 4 се извършва в съответствие със Закона за електронния документ и електронните удостоверителни услуги (ЗЕДЕУУ), подзаконовите нормативни актове по прилагането му, правилата и процедурите на доставчика на удостоверителни услуги, наредбата и другите правила, установени в администрациите за работа с електронни документи.

Чл. 16

(1) Квалифицираното удостоверение за квалифициран електронен подпис се издава на служителя като титуляр и може да се ползва и в лично качество, а използването му от името на администрацията е допустимо само в рамките на правомощията, произтичащи от заеманата от служителя длъжност, съответно от предоставената му представителна власт.

(2)

(3) Лице, имащо право да подписва с универсален електронен подпис по чл. 2, и 4, не може да предоставя на други лица държането на предоставеното му устройство за сигурно създаване на подписа, върху която е записан частният ключ за създаване на подписи (смарт карта, USB токен, др. Използването на устройството става чрез поставянето му в карточетящото устройство (карточетец) или в друго устройство чрез съответен интерфейс и достъпът до частния ключ се осъществява посредством ПИН или биометричен идентификатор.

(4) Лице, което притежава квалифицирано удостоверение за квалифициран електронен подпис, не може при никакви обстоятелства да прави достояние на други лица персоналния си идентификационен номер (ПИН) за достъп до частния ключ за подписване освен в случаите по чл. 18, ал. 3 и чл. 22, ал. 2 и 3.

Чл. 17

(1) В администрациите могат да се използват информационни системи, които позволяват автоматично подписване на електронни документи в случаите на обслужване на заявки за вътрешни електронни административни услуги и в случаите на автоматично генериране на изявления от администрациите за нуждите на електронни административни услуги, предоставяни на гражданите и организациите.

(2) Автоматично подписване се извършва чрез използване на механизъм за сигурно създаване на подпис с минимални изисквания за сигурност EAL 4 по Общите критерии за оценка за сигурност на информационни технологии, версия 2.1 и сл. (Common Criteria for Information Technology Security Evaluation - CC 2.1), приета от Международната стандартизираща организация (ISO) в международния стандарт ISO/IEC 15408:1999.

(3) Автоматичното подписване се извършва съответно:

1. от името на лице по чл. 4, ал. 1 - за изявленията, правени от името на администрацията;

2. от името на лице по чл. 4, ал. 2 - за нуждите на изпращане на подписани от лица по т. 1 електронни изявления.

(4) Когато поддръжката на програмно-техническите средства по ал. 1 и 2 е възложена на външна организация, в договора се указва точно лицето, от чието име ще се извършва подписването.

(5) Ръководителите на администрациите възлагат на служител с необходимата квалификация да отговаря за поддръжката на програмно-техническите средства, осигуряващи автоматичното подписване. Настройката, инсталирането на частни ключове и удостоверения, привеждането в експлоатация и преустановяването на програмно-техническите средства за автоматично подписване се документира надлежно и се извършва под контрола на лицето по чл. 6, ал. 2.

Чл. 18

(1) Подновяването на издадените удостоверения за електронен подпис по чл. 2, т. 1, 2 и 4 се извършва съгласно процедурата на доставчика и по реда на чл. 8.

(2) Подновяване на издадени удостоверения се извършва чрез политика за подновяване на срока (“renewal”).

(3) Когато ключът или сигурността при използването му са компрометирани или срокът на валидност на ключовете изтече, удостоверението се прекратява по реда на чл. 22 – 27, а когато са приемани криптирани документи от служителя, те се предават съгласно вътрешните правила по чл. 6, ал. 1. Прави се отбелязване в списъка по чл. 13, ал. 1 и на служителя се издава ново удостоверение за електронен подпис, а когато устройството за сигурно създаване на подписа не е в негово държане, на служителя се издава ново удостоверение на ново устройство.

(4)

Чл. 19

(1) Подновяването на удостоверения по чл. 2, т. 1, 2 и 4 се извършва съобразно условията и процедурите на доставчика на удостоверителни услуги и по реда на чл. 8.

(2) Документите, които трябва да се представят пред доставчика на удостоверителни услуги за подновяване на удостоверение за електронен подпис, са описани в официалните страници на доставчиците на удостоверителни услуги.

Чл. 20

(1) Подновяването на удостоверения се извършва само за същото удостоверение за електронен подпис преди изтичане на срока му на валидност и при условие че не са променени данните към момента на издаване на първоначалното удостоверение.

(2) При промяна на данните или изтичане срока на валидност на старото удостоверение е необходимо да се направи заявка за издаване на ново удостоверение съгласно чл. 8.

Чл. 21

Подновяването на удостоверения по чл. 2, т. 5 и 6 се извършва по реда на чл. 8.

Чл. 22

(1) Прекратяването на действието на удостоверение за електронен подпис настъпва в следните случаи:

1. при изтичане срока на валидност на удостоверението, освен ако то е подновено по реда на чл. 18 и сл.;

2. при прекратяване на трудовото или служебното правоотношение на лицето, както и при оттегляне на представителната власт на овластеното лице;

3. при прекратяване действието на договора между администрацията и доставчика на удостоверителни услуги за удостоверенията по чл. 2, т. 1, 2, 4 - 6;

4. при загубване, кражба, повреждане или унищожаване на частния ключ и/или на носителя, върху който е записан; в този случай лицето е длъжно незабавно да уведоми лицето по чл. 6, ал. 2 по чл. 6 и доставчика на удостоверителни услуги за прекратяването му;

5. при смърт или поставяне под запрещение на физическото лице - служител или овластено лице;

6. при промяна на личните или служебните данни на лицето, имащи отношение към идентификацията, овластяването или служебното му положение;

7. при направено писмено искане от страна на администрацията до доставчика на удостоверителни услуги;

8. при съмнение за компрометиране на частния ключ служителят е длъжен незабавно да съобщи това на лицето по чл. 6, ал. 2 и на доставчика на удостоверителни услуги с цел спиране действието на удостоверението; при съмнение за компрометиране на частния ключ на друго лице служителят, на когото е известен този факт, незабавно съобщава това на лицето по чл. 6, ал. 2 за предприемане на необходимите действия.

9. при установяване, че удостоверението е издадено въз основа на неверни данни.

(2) Лицата, за които е отпаднало основанието за ползване на квалифицирано удостоверение за квалифициран електронен подпис, са длъжни да предадат носителя, върху който е записан частният ключ, на лицето по чл. 6, ал. 2, което предприема незабавни действия за прекратяване на удостоверението. Прави се отбелязване в списъка по чл. 13, ал. 1.

(3) При прекратяване на трудовото или служебното правоотношение предаването на носителя на частния ключ (картата или друг) се удостоверява със заверка (подпис) от лицето по чл. 6, ал. 2 върху обходния лист.

Чл. 23

(1) Ръководителят на звеното, отговорно за управление на човешките ресурси, уведомява незабавно лицето по чл. 6, ал. 2, като му предоставя данни за лицето и датата на освобождаване или данни за промяна на неговия статут (длъжност, ранг, промяна във вида на правоотношението и др.) за изготвяне на съответни уведомления към доставчика на удостоверителни услуги, касаещи статуса на удостоверението по чл. 2, т. 1, 2 и 4, или съответно за промяна на статуса на удостоверението по чл. 2, т. 4, както и за отбелязване в списъка по чл. 13, ал. 1.

(2) Лицето по чл. 6, ал. 2 изпраща незабавно съответно уведомление до доставчика на удостоверителни услуги за наличието на основание за прекратяване действието на удостоверението по чл. 2, т. 1, 2 и 4. Съобщаването може да се извърши чрез електронно съобщение или съобразно процедурите, установени от доставчика.

Чл. 24

(1) Прекратяването на удостоверения за електронен подпис от вида по чл. 2, т. 1, 2 и 4 на служителите в администрациите се извършва от лицето по чл. 6, ал. 2 при спазване изискванията на Закона за електронния документ и електронните удостоверителни услуги и на правилата на доставчика на удостоверителни услуги.

(2) Към искането се прилагат документите, изисквани от доставчика на удостоверителни услуги.

(3)

Чл. 25

(отменен)

Прекратяването на удостоверения за електронен подпис от вида по чл. 2, т. 3 на служителите в администрациите и на лицата по граждански договор се извършва незабавно от лицата по чл. 6, ал. 1 при настъпване на основанието за това.

Чл. 26

(1) Лицата, на които са издадени удостоверения за електронен подпис съгласно наредбата, са длъжни да пазят и да не разкриват данните, осигуряващи достъп до частния ключ (ПИН), да опазват от повреждане или унищожаване носителя (смарт карта или друг носител), на който е записан частният ключ, и да не допускат други лица да правят изявления от техния профил.

(2) Лице, което ползва електронен подпис, няма право да настройва компютърна система, от която подписва електронни изявления, да запаметява персоналния идентификационен номер за достъп до частния ключ.

(3) Всеки, който има съмнение, че неговият частен ключ е компрометиран, е длъжен незабавно да предприеме действия по чл. 22, ал. 1, т. 8.

Чл. 27

(1) Лицата, които проверяват електронни подписи по чл. 2, т. 1 и 2, са длъжни да използват сигурен механизъм за проверка на подписите и придружаващите ги удостоверения.

(2) Лицата, които извършват проверка на универсален електронен подпис, трябва да прилагат комбинация от софтуер и хардуер, която гарантира, че:

1. данните за проверка на използването на електронния подпис съответстват на данните, визуализирани пред лицето, извършващо проверката;

2. подписът е надлежно проверен и резултатите от тази проверка са визуализирани пред лицето, извършващо проверката;

3. съдържанието на подписаното изявление може да бъде надлежно установено;

4. авторството и валидността на удостоверението за електронен подпис към момента на проверката са надлежно проверени;

5. резултатите от проверката и идентичността на автора са правилно възпроизведени;

6. всички промени, свързани със сигурността, могат да бъдат установени.

§ 1

По смисъла на наредбата:

1. “Смарт карта” е материален електронен носител, състоящ се от пластмасово тяло и чип, на който се съхранява по сигурен начин частният ключ за създаване на електронен подпис.

2. “Компрометиране на частния ключ” е събитие, при което частният ключ става достояние на трети лица, независимо от обстоятелствата, при които това е станало.

3.

§ 2

Наредбата се приема на основание чл. 37, ал. 1 от Закона за електронното управление.

§ 3

Наредбата влиза в сила от деня на влизане в сила на Закона за електронното управление.

Приложение 1 Приложение към чл. 8, ал. 1, чл. 10, ал. 1 и чл. 11, ал. 1 ДО

(отменен)