Decisione di esecuzione (UE) 2015/1505 della Commissione dell'8 settembre 2015 che stabilisce le specifiche tecniche e i formati relativi agli elenchi di fiducia di cui all'articolo 22, paragrafo 5, del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno (Testo rilevante ai fini del SEE)

Scheme name (clausola 5.3.6)

Questo campo è obbligatorio ed è conforme alle specifiche della clausola 5.3.6 delle ETSI TS 119 612 e per il regime è utilizzata la seguente denominazione:

Scheme information URI (clausola 5.3.7)

Questo campo è obbligatorio ed è conforme alle specifiche della clausola 5.3.7 delle ETSI TS 119 612; le «informazioni appropriate sul regime» includono come minimo:

1. a) Informazioni introduttive generali, comuni a tutti gli Stati membri, relative all'ambito di applicazione e al contesto dell'elenco di fiducia, al regime soggiacente di vigilanza e, se del caso, il/i regime/i nazionale/i di approvazione (ad esempio per l'accreditamento). Il testo comune da utilizzare è il testo seguente, in cui la stringa di caratteri «(name of the relevant Member State)» è sostituita dal nome del pertinente Stato membro: «The present list is the trusted list including information related to the qualified trust service providers which are supervised by (name of the relevant Member State), together with information related to the qualified trust services provided by them, in accordance with the relevant provisions laid down in Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC. The cross-border use of electronic signatures has been facilitated through Commission Decision 2009/767/EC of 16 October 2009 which has set the obligation for Member States to establish, maintain and publish trusted lists with information related to certification service providers issuing qualified certificates to the public in accordance with Directive 1999/93/EC of the European Parliament and of the Council of 13 December 1999 on a Community framework for electronic signatures and which are supervised/accredited by the Member States. The present trusted list is the continuation of the trusted list established with Decision 2009/767/EC.» Gli elenchi di fiducia sono elementi essenziali per l'instaurazione della fiducia tra gli operatori del mercato elettronico, in quanto consentono agli utenti di determinare lo status qualificato e la cronologia dello status dei prestatori di servizi fiduciari e dei servizi da essi prestati. Gli elenchi di fiducia degli Stati membri includono, come minimo, le informazioni di cui agli articoli 1 e 2 della decisione di esecuzione (UE) 2015/1505. Gli Stati membri possono includere negli elenchi di fiducia informazioni sui prestatori di servizi fiduciari non qualificati, assieme a informazioni relative ai servizi fiduciari non qualificati da essi prestati. È chiaramente indicato che essi non sono qualificati a norma del regolamento (UE) n. 910/2014. Gli Stati membri possono includere negli elenchi di fiducia informazioni sui tipi di servizi fiduciari definiti a livello nazionale diversi da quelli di cui all'articolo 3, punto 16, del regolamento (UE) n. 910/2014. È chiaramente indicato che essi non sono qualificati a norma del regolamento (UE) n. 910/2014.

2. b) Informazioni specifiche sul regime soggiacente di vigilanza e, se del caso, il/i regime/i nazionale/i di approvazione (ad esempio per l'accreditamento), in particolare¹:

   1. 1) informazioni sul regime nazionale di vigilanza applicabile ai prestatori di servizi fiduciari, qualificati e non qualificati, e ai servizi fiduciari qualificati e non qualificati da essi prestati, secondo quanto stabilito dal regolamento (UE) n. 910/2014;

   2. 2) informazioni, se del caso, sui regimi di accreditamento facoltativi nazionali applicabili ai prestatori di servizi di certificazione che abbiano rilasciato certificati qualificati a norma della direttiva 1999/93/CE.

   Per ognuno dei regimi soggiacenti sopraelencati dette informazioni specifiche includono quantomeno:

   1) una descrizione generale;

   2) informazioni sulla procedura seguita dal regime nazionale di vigilanza e, se del caso, per l'approvazione nel quadro di un regime nazionale di approvazione;

   1. 3) informazioni sui criteri utilizzati per la vigilanza o, se del caso, per l'approvazione dei prestatori di servizi fiduciari;

   2. 4) informazioni sui criteri e sulle norme utilizzati per la selezione degli addetti alla vigilanza/alle verifiche e sulle modalità con cui essi valutano i prestatori di servizi fiduciari e i servizi fiduciari da essi prestati;

   3. 5) se del caso, altre informazioni generali e di contatto connesse con la gestione del regime.

Scheme type/community/rules (clausola 5.3.9)

Questo campo è obbligatorio ed è conforme alle specifiche della clausola 5.3.9 delle ETSI TS 119 612. Questo campo accetta solo URI in inglese britannico. Questo campo comprende almeno due URI:

1. (1) un URI comune agli elenchi di fiducia di tutti gli Stati membri che punta a un testo descrittivo applicabile a tutti gli elenchi di fiducia, come nel seguente esempio:

   URI: http://uri.etsi.org/TrstSvc/TrustedList/schemerules/EUcommon

   Testo descrittivo: “A. Participation in a scheme Each Member State must create a trusted list including information related to the qualified trust service providers that are under supervision, together with information related to the qualified trust services they provide, in accordance with the relevant provisions laid down in Regulation (EU) No 910/2014. The present implementation of such trusted lists is also to be referred to in the list of links (pointers) towards each Member State’s trusted list, compiled by the European Commission. B. Policy/rules for the assessment of the listed services Member States must supervise qualified trust service providers established in the territory of the designating Member State as laid down in Chapter III of Regulation (EU) No 910/2014 to ensure that those qualified trust service providers and the qualified trust services they provide meet the requirements laid down in that Regulation. The trusted lists of Member States include, as a minimum, information specified in Articles 1 and 2 of Implementing Decision (EU) 2015/1505. The trusted lists include both current and historical information about the status of listed trust services. Each Member State’s trusted list must provide information on the national supervisory scheme and, where applicable, national approval, including through accreditation scheme(s) under which the trust service providers and the trust services they provide are listed. C. Interpretation of the trusted list The general user guidelines for applications, services or products relying on a trusted list published in accordance with Regulation (EU) No 910/2014 are as follows: C.1 Qualified status of a trust service The qualified status of a trust service is indicated by the combination of: the ‘Service type identifier’ (‘Sti’) value in a service entry; where applicable, the presence of one of the following values in all the fields ‘additionalServiceInformation extension’ in the service entry: ‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/ForeSignatures’: further specifying the ‘Sti’ identified service as being provided for electronic signatures; ‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/ForeSeals’: further specifying the ‘Sti’ identified service as being provided for electronic seals; or ‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/ForWebSiteAuthentication’: further specifying the ‘Sti’ identified service as being provided for website authentication; and the status according to the ‘Service current status’ field value as from the date indicated in the ‘Current status starting date and time’. Historical information about such a qualified status is similarly provided when applicable. C.1.1 Service status under Regulation (EU) No 910/2014 Including and after 1 July 2016 (UTC+2), the value of the ‘Service current status’ field used by the Supervisory Body designated in a Member State to indicate that a trust service entry is representing a qualified trust service is the URI ‘http://uri.etsi.org/TrstSvc/TrustedList/Svcstatus/granted’. C.1.2 Service status under Directive 1999/93/EC Strictly before 1st July 2016 (UTC+2), the value of the ‘Service current status’ field used by the Supervisory Body designated in a Member State to indicate that a trust service entry is representing a certification-service-provider issuing qualified certificates is one of the following URIs: ‘http://uri.etsi.org/TrstSvc/TrustedList/Svcstatus/undersupervision’; ‘http://uri.etsi.org/TrstSvc/TrustedList/Svcstatus/supervisionincessation’; or ‘http://uri.etsi.org/TrstSvc/TrustedList/Svcstatus/accredited’. C.2 Qualified status of a certificate Regarding qualified trust service providers issuing qualified certificates for electronic signatures, for electronic seals and/or for website authentication, a ‘CA/QC’ ‘Service type identifier’ (‘Sti’) entry indicates that any end-entity certificate issued by or under the CA represented by the CÀs public key and CÀs name (both CA data to be considered as trust anchor input) present in the ‘Service digital identifier’ (‘Sdi’), is or was a qualified certificate (QC) at a certain date and time provided that the trust service entry indicates a granted qualified status (see clause C.1) and that the below requirements are met with reference to that date and time. C.2.1 Default rules C.2.1.1 Certificate status standardised rule The end-entity certificate contains the ETSI standardised QcStatements extension as specified in standard ETSI EN 319 412-5 with the following requirements: the id-etsi-qcs-QcCompliance (urn:oid:0.4.0.1862.1.1) QcStatement is present; and where present, the id-etsi-qcs-QcType (urn:oid:0.4.0.1862.1.6) QcStatement contains exactly one of the following values: the id-etsi-qct-esign (urn:oid:0.4.0.1862.6.1) ETSI defined QC type identifier; the id-etsi-qct-eseal (urn:oid:0.4.0.1862.6.2) ETSI defined QC type identifier; or the id-etsi-qct-web (urn:oid:0.4.0.1862.6.3) ETSI defined QC type identifier. Optionally, the id-etsi-qct-QcSSCD (urn:oid:0.4.0.1862.4) QcStatement may be present. C.2.1.2 Certificate status under Directive 1999/93/EC Restricted to the context of Directive 1999/93/EC and as a legacy alternative to the above standardised rule, the end-entity certificate contains: the ETSI standardised QcStatements extension (as specified in ETSI EN 319 412-5) with the id-etsi-qcs-QcCompliance (urn:oid:0.4.0.1862.1.1) QcStatement being present; the legacy QCP+ (urn:oid:0.4.0.1456.1.1) ETSI defined certificate policy OID; or the legacy QCP (urn:oid:0.4.0.1456.1.2) ETSI defined certificate policy OID. C.2.2 Additional rules: Presence of Qualifications Extension If ‘Sie’ ‘Qualifications Extension’ information as specified in clause 5.5.9.2 of standard ETSI TS 119 612 is present, then in addition to the above default rules, those certificates that are identified through the use of ‘Sie’ ‘Qualifications Extension’ information must be considered according to the associated qualifiers. Those qualifiers are used when necessary to compensate for a lack of standardised machine processable information in the corresponding certificate content. They are not to be used to compensate for a lack of machine processable information in certificates issued after 1 July 2016 where that lack would result in a non-compliance with Annex I, III or IV of Regulation (EU) No 910/2014. However, they can be used to provide further machine processable information when the information provided in the certificate, while compliant with the Regulation, does not align with the above default interpretation rules. Where used, they provide additional information regarding: their qualified status: ‘QCStatement’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCStatement’) meaning the identified certificates are qualified under Directive 1999/93/EC or under Regulation (EU) No 910/2014; or ‘NotQualified’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/NotQualified’) meaning the identified certificates are not to be considered as qualified. the nature of their qualification: ‘QCForESig’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCForESig’) meaning the identified certificates, when claimed or stated as qualified, are qualified certificates for electronic signature under Regulation (EU) No 910/2014; ‘QCForESeal’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCForESeal’) meaning the identified certificates, when claimed or stated as qualified, are qualified certificates for electronic seal under Regulation (EU) No 910/2014; or ‘QCForWSA’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCForWSA’) meaning the identified certificates, when claimed or stated as qualified, are qualified certificates for website authentication under Regulation (EU) No 910/2014. whether or not the private key resides in a qualified signature or qualified seal creation device (QSCD) and the nature thereof: ‘QCWithQSCD’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCWithQSCD’) meaning the identified certificates, when claimed or stated as qualified, have their private key residing in a QSCD; ‘QCNoQSCD’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCNoQSCD’) meaning the identified certificates, when claimed or stated as qualified, have not their private key residing in a QSCD; ‘QCQSCDStatusAsInCert’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCQSCDStatusAsInCert’) meaning the identified certificates, when claimed or stated as qualified, do contain proper machine processable information about whether or not their private key is residing in a QSCD; or ‘QCQSCDManagedOnBehalf’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCQSCDManagedOnBehalf’) meaning the identified certificates, when they are claimed or stated as qualified, have their private key is residing in a QSCD for which the generation and management of that private key is done by a qualified TSP on behalf of the entity whose identity is certified in the certificate; Restricted to the context of certificates issued under Directive 1999/93/EC, the following qualifiers are defined and provide additional information regarding: whether or not the private key resides in a secure signature creation device (SSCD): ‘QCWithSSCD’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCWithSSCD’) meaning the identified certificates, when claimed or stated as qualified, have their private key residing in an SSCD; ‘QCNoSSCD’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCNoSSCD’) meaning the identified certificates, when claimed or stated as qualified, do not have their private key residing in an SSCD; or ‘QCSSCDStatusAsInCert’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCSSCDStatusAsInCert’) meaning the identified certificates, when claimed or stated as qualified, do contain proper machine processable information about whether or not their private key is residing in an SSCD. the issuance to a Legal Person: ‘QCForLegalPerson’ (‘http://uri.etsi.org/TrstSvc/TrustedList/SvcInfoExt/QCForLegalPerson’) meaning the identified certificates, when claimed or stated as qualified, are issued to a Legal Person under Directive 1999/93/EC. Note: The information provided in the trusted list is to be considered as accurate meaning that the certificate is not to be considered as qualified if the end-entity certificate does not follow any of the default rules defined above, and: if no ‘Sie’ ‘Qualifications Extension’ information is present for the trust anchor CA/QC corresponding service entry to qualify the certificate with a ‘QCStatement’ qualifier, or a ‘Sie’ ‘Qualifications Extension’ information is present for the trust anchor CA/QC corresponding service entry to qualify the certificate with a ‘NotQualified’ qualifier. C.3 Trust anchors ‘Service digital identifiers’ are to be used as Trust Anchors in the context of validating electronic signatures or seals for which signer’s or seal creator’s certificate is to be validated against information in the trusted list, hence only the public key and the associated subject name are needed as Trust Anchor information. When more than one certificate represents the public key identifying the service, they are to be considered as Trust Anchor certificates conveying identical information with regard to the information strictly required as Trust Anchor information. C.4 General rule for the interpretation of trust service entries The general rule for interpretation of any ‘Sti’ type entry, possibly further specified through a ‘Sie’ ‘additionalServiceInformation’, not corresponding to qualified trust services is that, for that ‘Sti’ identified service type, and possibly in combination with a ‘Sie’ ‘additionalServiceInformation’ URI, the listed service named according to the ‘Service name’ field value and uniquely identified by the ‘Service digital identity’ field value has the current approval status according to the ‘Service current status’ field value as from the date indicated in the ‘Current status starting date and time’. Specific interpretation rules for any additional information with regard to a listed service (e.g. ‘Service information extensions’ field) may be found, when applicable, in the Member State specific URI as part of the present ‘Scheme type/community/rules’ field. Please refer to the implementing acts adopted pursuant to Article 22(5) of Regulation (EU) No 910/2014 for further details on the specifications of the fields of the Member States’ trusted lists.”;

2. (2) un URI specifico dell’elenco di fiducia di ogni Stato membro che punta a un testo descrittivo applicabile all’elenco di fiducia dello Stato membro in questione:

   1. a) http://uri.etsi.org/TrstSvc/TrustedList/schemerules/CC dove CC = codice paese ISO 3166-1² alpha-2 utilizzato nel campo “Scheme territory” (clausola 5.3.10)

      in cui gli utilizzatori possono trovare le politiche/norme specifiche dello Stato membro in questione in base alle quali i servizi fiduciari inclusi nell’elenco sono valutati, conformemente al regime di vigilanza e, se del caso, al regime di approvazione, in vigore nello Stato membro;

      che fornisce agli utilizzatori una descrizione specifica dello Stato membro in questione, che indichi come usare e interpretare il contenuto dell’elenco di fiducia per quanto riguarda i servizi fiduciari non qualificati e/o i servizi fiduciari definiti a livello nazionale. Questo testo può essere utilizzato per indicare che il regime di approvazione nazionale può applicare un diverso trattamento ai prestatori di servizi di certificazione o prestatori di servizi fiduciari che non rilasciano certificati qualificati e per specificare il modo in cui sono utilizzati a tal fine i campi “Scheme service definition URI” (clausola 5.5.6) e “Service information extension” (clausola 5.5.9).

   2. b) Gli Stati membri possono definire e utilizzare URI supplementari per espandere l’URI specifico dello Stato membro di cui sopra (ossia URI definiti a partire da tale URI gerarchico specifico).

TSL policy/legal notice (clausola 5.3.11)

Questo campo è obbligatorio ed è conforme alle specifiche della clausola 5.3.11 delle ETSI TS 119 612; l'avviso legale/sulla politica concernente lo status giuridico del regime o i requisiti giuridici soddisfatti dal regime nell'ordinamento in cui è stabilito e/o le eventuali limitazioni e condizioni in virtù delle quali l'elenco di fiducia è aggiornato e pubblicato sono una stringa di caratteri multilingue (cfr. clausola 5.1.4) che fornisce, in inglese britannico come lingua obbligatoria e facoltativamente in una o più lingue nazionali, il testo effettivo di tale avviso o politica secondo la struttura indicata di seguito:

1. (1) Una prima parte obbligatoria, comune agli elenchi di fiducia di tutti gli Stati membri, che indica il quadro giuridico applicabile e corrisponde alla seguente versione inglese: The applicable legal framework for the present trusted list is Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC. Testo nella o nelle lingue ufficiali degli Stati membri: Il quadro giuridico applicabile al presente elenco di fiducia è il regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE.

2. (2) Una seconda parte facoltativa, specifica per ciascun elenco di fiducia, che indica i riferimenti agli specifici quadri normativi nazionali applicabili.

Service current status (clausola 5.5.4)

Questo campo è obbligatorio ed è conforme alle specifiche della clausola 5.5.4 delle ETSI TS 119 612. La migrazione del valore «Service current status» dei servizi elencati nell'elenco di fiducia degli Stati membri dell'UE il giorno precedente la data di applicazione del regolamento (UE) n. 910/2014 (ossia, il 30 giugno 2016) è eseguita il giorno in cui è applicato il regolamento (ossia il 1o luglio 2016), come specificato nell'allegato J delle ETSI TS 119 612.

The Signature element (clausola B.1), General (clausola B.1.0)

Tale clausola è obbligatoria ed è conforme alle specifiche della clausola B.1.0 delle TS 119 612, dove il punto 2) è sostituito dal seguente: «2) Il suo elemento ds:SignedInfo deve contenere un elemento ds:Reference con attributo URI impostato come stringa vuota (ossia URI=""), al fine di fare riferimento all’intero documento. Questo elemento ds:Reference deve soddisfare i requisiti seguenti: a) deve contenere un solo elemento ds:Transforms; b) tale elemento ds:Transforms deve contenere due elementi ds:Transform. L’attributo Algorithm del primo di questi due elementi indica la trasformazione in busta con il valore: “http://www.w3.org/2000/09/xmldsig#enveloped-signature”. L’algoritmo del secondo elemento dà istruzioni per l’esecuzione della canonicalizzazione esclusiva “http://www.w3.org/2001/10/xml-exc-c14n#”.».

essere sfasati di almeno tre mesi per data limite di validità («non oltre»);

essere creati su nuove coppie di chiavi. Le coppie di chiavi utilizzate in precedenza non possono essere nuovamente certificate.

In caso di scadenza di uno dei certificati a chiave pubblica utilizzabile per convalidare la firma o il sigillo dell'elenco di fiducia e che è stato notificato alla Commissione e pubblicato nell'elenco centrale di puntatori della Commissione, gli Stati membri:

se l'elenco di fiducia attualmente pubblicato è stato firmato o sigillato con una chiave privata il cui certificato a chiave pubblica è scaduto, ripubblicano senza indugio un nuovo elenco di fiducia firmato o sigillato con una chiave privata il cui certificato a chiave pubblica notificato non sia scaduto;

se richiesto, generano nuove coppie di chiavi utilizzabili per firmare o sigillare l'elenco di fiducia e per generare i corrispondenti certificati a chiave pubblica;

notificano tempestivamente alla Commissione il nuovo elenco di certificati a chiave pubblica corrispondenti alle chiavi private utilizzabili per firmare o sigillare l'elenco di fiducia.

In caso di compromissione o disattivazione di una delle chiavi private corrispondenti a uno dei certificati a chiave pubblica utilizzabili per convalidare la firma o il sigillo dell'elenco di fiducia e che è stato notificato alla Commissione e pubblicato nell'elenco centrale di puntatori della Commissione, gli Stati membri:

nel caso in cui l'elenco di fiducia pubblicato sia stato firmato o sigillato con una chiave privata compromessa o disattivata, ripubblicano senza indugio un nuovo elenco di fiducia firmato o sigillato con una chiave privata non compromessa;

se richiesto, generano nuove coppie di chiavi utilizzabili per firmare o sigillare l'elenco di fiducia e per generare i corrispondenti certificati a chiave pubblica;

notificano tempestivamente alla Commissione il nuovo elenco di certificati a chiave pubblica corrispondenti alle chiavi private utilizzabili per firmare o sigillare l'elenco di fiducia.

In caso di compromissione o disattivazione di tutte le chiavi private corrispondenti ai certificati a chiave pubblica utilizzabili per convalidare la firma dell'elenco di fiducia e che sono stati notificati alla Commissione e pubblicati nell'elenco centrale di puntatori della Commissione, gli Stati membri:

generano nuove coppie di chiavi utilizzabili per firmare o sigillare l'elenco di fiducia e per generare i corrispondenti certificati a chiave pubblica;

ripubblicano senza indugio un nuovo elenco di fiducia firmato o sigillato con una delle nuove chiavi private, il cui corrispondente certificato a chiave pubblica deve essere notificato;

notificano tempestivamente alla Commissione il nuovo elenco di certificati a chiave pubblica corrispondenti alle chiavi private utilizzabili per firmare o sigillare l'elenco di fiducia.

la struttura della forma leggibile in chiaro riflette il modello logico descritto nelle ETSI TS 119 612;

ogni campo presente è visibile e indica:

nella forma leggibile in chiaro sono visibili almeno i seguenti campi e i corrispondenti valori dei certificati digitali⁵, se presenti nel campo «Service digital identity»:

la forma leggibile in chiaro è facile da stampare;

la forma leggibile in chiaro è firmata o sigillata dal gestore del regime in base alla firma avanzata PDF di cui agli articoli 1 e 3 della decisione di esecuzione (UE) 2015/1505 della Commissione.