ORDIN nr. 492 din 15 iunie 2009 (*actualizat*)

(1) Cu 30 de zile înainte de începerea activității, furnizorul de servicii de marcare temporală va notifica MCSI prin completarea formularului prevăzut în anexa nr. 2, care face parte integrantă din prezentul ordin.

(2) Odată cu efectuarea notificării prevăzute la alin. (1) furnizorii au obligația de a comunică MCSI informațiile și documentele prevăzute la art. 6 alin. (2) din Legea nr. 451/2004 și în anexa nr. 2.

(3) În termen de 10 zile de la primirea notificării, MCSI poate solicita completarea documentației prezentate, în conformitate cu alin. (2).

(4) Furnizorii au obligația de a comunică MCSI, cu cel puțin 30 de zile în avans, orice intenție de modificare a procedurilor de securitate a sistemului informatic utilizat, cu precizarea datei și a orei la care modificarea intră în vigoare, precum și obligația de a confirma, în termen de 24 de ore, modificarea efectuată.

(5) În cazuri urgente în care securitatea serviciilor de marcare temporală este afectată furnizorii pot efectua modificări ale procedurilor de securitate, urmând să comunice MCSI, în termen de 24 de ore, modificările efectuate și justificarea deciziei luate.

(6) Furnizorii de servicii de marcare temporală sunt obligați să respecte, pe parcursul desfășurării activității, procedurile de securitate și de certificare declarate potrivit alin. (2)-(5). Aceștia vor furniza servicii de marcare temporală în conformitate cu politica de marcare temporală declarată.

(1) Furnizorul este obligat să genereze sau să achiziționeze o pereche funcțională cheie privată - cheie publică și să își protejeze cheia privată prin utilizarea unui dispozitiv criptografic securizat, luând măsurile necesare pentru a preveni pierderea, dezvăluirea, modificarea sau utilizarea neautorizată a cheii sale private.

(2) Perechea funcțională prevăzută la alin. (1) va fi folosită exclusiv în scopul aplicării semnăturii electronice asupra mărcilor temporale emise.

(3) Cheia privată nu poate fi dedusă în niciun fel din cheia sa publică pereche.

(4) Furnizorul de servicii de marcare temporală trebuie să dețină certificatul corespunzător cheii publice, pe baza căruia se va putea verifica semnătura asupra mărcii temporale.

(5) Certificatul utilizat pentru marcarea temporală va fi transmis MCSI, în formă electronică, la data notificării începerii activității.

(1) Furnizorii de servicii de marcare temporală au obligația să respecte dispozițiile legale din domeniul prelucrării datelor cu caracter personal.

(2) La data începerii activității de furnizare de servicii de marcare temporală, furnizorul trebuie să dețină calitatea de operator de date personale și să depună la MCSI o copie de pe certificatul doveditor, eliberat de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal.

(1) Furnizorii de servicii de marcare temporală au obligația de a crea și de a menține un registru electronic operativ de evidență a mărcilor temporale.

(2) Registrul electronic operativ de evidență a mărcilor temporale trebuie să conțină cel puțin următoarele informații:

a) toate mărcile temporale emise de către furnizorul de servicii de marcare temporală, cuprinzând, pe lângă marca temporală propriu-zisă, și date referitoare la marca temporală și la certificatul utilizat;

b) înregistrări ale evenimentelor apărute în sistemul informatic utilizat pentru generarea mărcilor temporale.

(3) Informațiile prevăzute la alin. (2) lit. a) trebuie să fie disponibile permanent pentru consultare pe pagina de internet a furnizorului.

(4) Furnizorul de servicii de marcare temporală are obligația de a transmite, la cerere, către MCSI informațiile prevăzute la alin. (2) lit. b).

(5) Structura și condițiile de exploatare ale Registrului electronic operativ de evidență a mărcilor temporale sunt prevăzute în anexa nr. 3, care face parte integrantă din prezentul ordin.

(1) Furnizorii de servicii de marcare temporală trebuie să aducă la cunoștința tuturor utilizatorilor termenii și condițiile care privesc utilizarea serviciilor de marcare temporală, și anume:

a) datele de contact ale furnizorului;

b) politica de marcare temporală aplicată;

c) standardele tehnice aplicabile;

d) precizia timpului din mărcile temporale;

e) orice limitări în folosirea serviciului de marcare temporală;

f) obligațiile utilizatorului;

g) informații despre cum trebuie verificată marca temporală și orice limitări posibile asupra perioadei de valabilitate;

h) descrierea practicilor, procedurilor și sistemelor care asigură securitatea și integritatea datelor, accesul autorizat permanent la acestea și modalitățile de prevenire a accesului neautorizat (codul de practici și proceduri);

i) politica privind protecția datelor cu caracter personal;

j) perioada de timp în care sunt păstrate înregistrările referitoare la evenimente ale furnizorului;

k) disponibilitatea serviciilor.

(2) Aceste informații trebuie să fie disponibile pe pagina de internet a furnizorului de servicii de marcare temporală.

(1) Furnizorul de servicii de marcare temporală trebuie să îndeplinească următoarele condiții:

a) să dispună de mijloace financiare și de resurse materiale, tehnice și umane corespunzătoare pentru garantarea securității, fiabilității și continuității serviciilor oferite;

b) să dovedească MCSI că dispune de resursele financiare pentru acoperirea prejudiciilor pe care le-ar putea cauza cu prilejul desfășurării activității de marcare temporală și că este capabil să acopere pierderile suferite de către o persoană care își întemeiază conduita pe efectele juridice ale mărcilor temporale, în condițiile prevăzute la art. 10 din Legea nr. 451/2004, până la concurența echivalentului în lei al sumei de 10.000 euro pentru fiecare risc asigurat. Riscul asigurat este fiecare prejudiciu produs, chiar dacă se produc mai multe asemenea prejudicii ca urmare a neîndeplinirii de către furnizor a unei obligații prevăzute de lege. Furnizorul va trebui să depună la MCSI o scrisoare de garanție din partea unei instituții financiare de specialitate sau o poliță de asigurare la o societate de asigurări în favoarea MCSI, în valoare cel puțin egală cu echivalentul în lei al sumei de 300.000 euro;

c) să folosească personal având cunoștințe de specialitate, experiență și calificare necesare pentru furnizarea serviciilor respective;

d) să utilizeze numai dispozitive criptografice securizate pentru efectuarea operațiilor criptografice implicate în procesul generării mărcii temporale;

e) să utilizeze un sistem informatic care să respecte cerințele de securitate prevăzute la art. 4 alin. (1) din Legea nr. 451/2004;

f) să păstreze toate informațiile necesare pentru a putea face dovada marcării temporale în cazul unui eventual litigiu (înregistrări ale mărcilor temporale emise, documentația aferentă algoritmilor și procedurilor de generare a mărcilor temporale emise, alte documente) pentru o perioadă de minimum 10 ani de la data emiterii.

(2) În vederea îndeplinirii obligației prevăzute la alin. (1) lit. e), furnizorul va publică documentația aferentă mecanismului implementat în vederea îndeplinirii acestei obligații, iar o copie a documentației va fi transmisă MCSI.

(3) Prin excepție de la prevederile alin. (1) lit. b), pentru instituțiile din domeniul apărării, ordinii publice și siguranței naționale, care furnizează servicii de marcare temporală ce urmează a fi folosite exclusiv pentru nevoi proprii și ale căror sisteme fac parte dintr-un sistem informatic acreditat pentru gestionarea informațiilor clasificate secret de stat, cuantumul garanției se stabilește anual, prin ordin al ministrului comunicațiilor și societății informaționale, la propunerea conducerii instituțiilor respective, proporțional cu prejudiciile create în anul anterior, stabilite prin decizii judecătorești definitive. Certificatul asociat mărcii temporale va conține mențiuni referitoare la limitări privind utilizarea acesteia.

a) să furnizeze informațiile referitoare la identitatea sa;

b) să respecte limitările impuse de furnizorul de servicii de marcare temporală.

(1) Marcarea temporală este realizată cu respectarea următoarelor etape:

a) utilizatorul transmite furnizorului o cerere de emitere a mărcii temporale pentru un anumit document electronic. Cererea va conține amprenta digitală a documentului pentru care se face cererea, amprentă creată prin intermediul aplicării unei funcții hash-code asupra documentului;

b) într-un interval de timp stabilit prin politica de marcare temporală, furnizorul de servicii de marcare temporală execută următoarele operațiuni asupra amprentei digitale a documentului primit de la utilizator, folosind un sistem informatic sigur, care îndeplinește cerințele de securitate prevăzute la art. 4 din Legea nr. 451/2004:

c) în urma acestor operațiuni rezultă marca temporală care este transmisă utilizatorului.

(2) Autenticitatea mărcii temporale poate fi verificată de către terți pe baza documentului original, a mărcii temporale, a cheii publice a furnizorului de servicii de marcare temporală și a funcției hash-code utilizate pentru crearea amprentei digitale a documentului.

(1) Furnizorul de servicii de marcare temporală trebuie să utilizeze informația de timp furnizată de furnizorul unic de bază de timp.

(2) Furnizorul unic de bază de timp este Sistemul informatic pentru furnizarea orei oficiale a României, realizat de MCSI.

(3) Sursa de timp folosită de către furnizorul de servicii de marcare temporală trebuie să fie sincronizată cu referința de timp oferită de furnizorul unic de bază de timp, abaterea maximă admisă fiind de +/-1 secundă.

(4) Furnizorul de servicii de marcare temporală are obligația de a lua toate măsurile pentru calibrarea echipamentelor, astfel încât valoarea prevăzută la alin. (3) să nu fie depășită.

(5) În situația în care detectează cazuri în care au fost emise mărci temporale cu depășirea valorii prevăzute la alin. (3), furnizorul va transmite MCSI o înștiințare în acest sens.

(6) Furnizorul are obligația de a păstra datele care dovedesc respectarea valorii prevăzute la alin. (3) (de exemplu, logurile de sincronizare) și de a le pune la dispoziția MCSI, la cerere.

(1) Furnizorul de servicii de marcare temporală este obligat să pună la dispoziția utilizatorilor software-ul necesar pentru utilizarea serviciului.

(2) Furnizorul trebuie să ofere utilizatorilor următoarele informații despre software-ul pus la dispoziție:

a) condițiile în care este disponibil software-ul;

b) instrucțiunile de folosire;

c) obligațiile utilizatorului;

d) orice alte limitări privind utilizarea software-ului.

(3) Software-ul pus la dispoziție de către furnizorul de servicii de marcare temporală trebuie să permită utilizatorului să verifice dacă marcarea temporală a fost realizată în mod corect, prin analiza automată cel puțin a următoarelor elemente:

a) structura mărcii temporale;

b) amprenta din marca temporală;

c) semnătura electronică a mărcii temporale, respectiv validitatea certificatului folosit pentru semnare.

(1) Marca temporală va avea structura stabilită în anexa nr. 4, care face parte integrantă din prezentul ordin.

(2) De asemenea, marca temporală trebuie să includă:

a) un identificator pentru țara în care furnizorul de servicii de marcare temporală este stabilit, acolo unde este aplicabil;

b) un identificator pentru furnizorul de servicii de marcare temporală, care va conține cel puțin numărul de ordine din registru;

c) un identificator pentru unitatea care emite mărci temporale.

(3) Datele prevăzute la alin. (2) se vor introduce în marca temporală folosindu-se câmpul "tsa" din cadrul structurii mărcii temporale. Introducerea acestui câmp este obligatorie.

(4) MCSI va publică eventualele modificări ale formatului descris în anexa nr. 4, pe baza evoluției tehnologiilor sau a normelor internaționale recunoscute în domeniu.

(1) În vederea asigurării conformității cu cerințele Legii nr. 451/2004 și ale prezentului ordin, se recomandă respectarea următoarelor standarde și recomandări de către furnizorii de servicii de marcare temporală:

a) SR ETSI TS 101 861 V1.2.1: 2005 Profil de marcare temporală;

b) SR ETSI TS 101 862 V1.3.2: 2005 Profil de certificat calificat;

c) SR ETSI TS 102 023 V1.2.1: 2005 Semnături electronice și infrastructuri (ESI). Cerințe privind politica pentru autoritățile de marcare temporală;

d) SR ISO/CEI 18014-1: 2005 Tehnologia informației. Tehnici de securitate. Servicii de marcare temporală. Partea 1: Cadru;

e) SR ISO/CEI 18014-2: 2005 Tehnologia informației. Tehnici de securitate. Servicii de marcare temporală. Partea 2: Mecanisme care produc mărci temporale independente sau SR ISO/CEI 18014-3: 2005 Tehnologia informației. Tehnici de securitate. Servicii de marcare temporală. Partea 3: Mecanisme care produc mărci temporale înlănțuite;

f) SR ISO/CEI TR 14516: 2005 Tehnologia informației. Tehnici de securitate. Îndrumări pentru utilizarea și administrarea serviciilor părților terțe de încredere;

g) Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP): IETF RFC 3161;

h) Cryptographic Message Syntax: IETF RFC 2630;

i) Internet X.509 Public Key Infrastructure Certificate and CRL Profile: IETF RFC 2459;

j) Date and Time on the Internet: Timestamps: IETF RFC 3339.

(2) Furnizorii au obligația de a pune la dispoziția publicului, pe pagina proprie de internet, informații privind standardele pe care le aplică în cadrul activității propriu-zise de generare a mărcii temporale și procedurile de securitate utilizate.

(3) Instituțiile din domeniul apărării, ordinii publice și siguranței naționale, care furnizează servicii de marcare temporală ce urmează a fi folosite exclusiv pentru nevoi proprii și ale căror sisteme fac parte dintr-un sistem informatic acreditat pentru gestionarea informațiilor clasificate secret de stat, au obligația de a pune la dispoziția publicului, pe pagina proprie de internet, informații privind standardele pe care le aplică în cadrul activității propriu-zise de generare a mărcii temporale și procedurile de securitate utilizate.

a) să permită identificarea unică a documentului în formă electronică, datorită imposibilității practice de a crea amprente identice pentru documente diferite;

b) să nu permită deducerea conținutului documentului respectiv, datorită imposibilității practice de a reconstitui conținutul documentului original pe baza amprentei.

(1) Certificatul furnizorului de servicii de marcare temporală trebuie să fie emis de un furnizor de servicii de certificare acreditat în condițiile Legii nr. 455/2001.

(2) Certificatul furnizorului va conține în mod obligatoriu extensia pentru marcare temporală prevăzută în standardele internaționale în vigoare (RFC 3161 - protocol de marcă temporală, secțiunea 2.3). Extensia trebuie să fie de tip critic.

(1) Serviciul de verificare a mărcilor temporale se asigură către terți și este menționat expres în contractul încheiat între furnizorul de servicii de marcă temporală și utilizator.

(2) Verificarea trebuie să poată fi realizată automat, prin internet, fiind accesibilă oricărei persoane fizice sau juridice care își bazează conduita pe efectele juridice ale unei mărci temporale.

(3) Personalului propriu din instituțiile din domeniul apărării, ordinii publice și siguranței naționale, care furnizează servicii de marcare temporală ce urmează a fi folosite exclusiv pentru nevoi proprii și ale căror sisteme fac parte dintr-un sistem informatic acreditat pentru gestionarea informațiilor clasificate secret de stat, i se va aduce la cunoștință existența și modul de funcționare a Serviciului de verificare a mărcilor temporale prin documentele aferente procedurilor interne stabilite. Pentru persoanele ce justifică accesul la documentul căruia i-a fost atașată o marcă temporală de către sistem, verificarea mărcilor temporale se va face printr-o procedură distinctă, în afara sistemului informatic acreditat pentru gestionarea informațiilor clasificate secret de stat. Procedura va fi auditată și publicată pe pagina proprie de internet a furnizorului de servicii de marcare temporală din cadrul instituțiilor din domeniul apărării, ordinii publice și siguranței naționale.

(1) În conformitate cu prevederile art. 9 alin. (4) din Legea nr. 451/2004, controlul respectării dispozițiilor Legii nr. 451/2004, precum și ale prezentului ordin revine MCSI, care acționează prin personalul de control de specialitate împuternicit în acest scop.

(2) MCSI are dreptul de a efectua controale asupra furnizorilor de servicii de marcare temporală, din oficiu sau la solicitarea oricărei persoane interesate.

(3) În vederea exercitării atribuțiilor de control, personalul împuternicit în acest scop este autorizat în limitele legii:

a) să aibă acces liber, permanent, în orice loc în care se află echipamentele necesare furnizării serviciilor de marcare temporală;

b) să solicite orice document sau informație necesară în vederea verificării respectării obligațiilor ce incumbă furnizorului de servicii de marcare temporală;

c) să verifice punerea în aplicare a oricăror proceduri utilizate de către furnizorul de servicii de marcare temporală supus controlului;

d) să sigileze orice echipamente necesare furnizării de servicii de marcare temporală sau să rețină orice document care are legătură cu această activitate, pe o perioadă care nu poate depăși 15 zile, dacă aceste măsuri se impun.

(1) MCSI va dispune, prin ordin, suspendarea activității furnizorului de servicii de marcare temporală până la încetarea cauzelor care au determinat luarea măsurii, în următoarele situații:

a) furnizorul nu respectă politica de marcare temporală și procedurile de securitate declarate, într-un mod în care afectează securitatea procesului de marcare temporală;

b) furnizorul încalcă obligația prevăzută la art. 5 alin. (1) din Legea nr. 451/2004;

c) odată cu aplicarea sancțiunilor contravenționale prevăzute la art. 12 din Legea nr. 451/2004;

d) furnizorul nu respectă obligațiile prevăzute la art. 8 alin. (4) și art. 16;

e) furnizorul nu remediază în termenul stabilit de MCSI orice alte deficiențe apărute ca urmare a nerespectării prevederilor Legii nr. 451/2004 și ale prezentului ordin și constatate cu prilejul efectuării controalelor de către MCSI.

(2) Odată cu comunicarea ordinului de suspendare temporară a activității, MCSI comunică furnizorului un termen în care trebuie să remedieze problemele care au determinat luarea acestei măsuri. Termenul nu poate fi mai mic de 30 de zile. Furnizorul poate solicita motivat prelungirea acestui termen.

(3) Suspendarea activității încetează în momentul în care furnizorul face dovada încetării cauzelor care au determinat luarea măsurii.

(4) Dacă furnizorul nu remediază problemele care au determinat suspendarea în termenul stabilit în condițiile alin. (2), MCSI va dispune, prin ordin, încetarea activității acestuia.

(5) În perioada în care activitatea sa este suspendată, furnizorul are obligația să asigure continuarea funcționării serviciului de verificare a mărcilor temporale, precum și consultarea în regim on-line a registrului electronic, cu excepția cazului în care deficiențele se găsesc la nivelul acestor sisteme.

(1) În cazul în care furnizorul intenționează să înceteze activitățile legate de marcarea temporală, va informa MCSI, cu cel puțin 30 de zile în avans, despre intenția sa, respectiv despre existența și natura împrejurării care justifică imposibilitatea de continuare a activităților, prin completarea formularului prevăzut în anexa nr. 5, care face parte integrantă din prezentul ordin.

(2) Furnizorului îi revine obligația ca, în situația în care se află în imposibilitate de a continua activitățile legate de marcarea temporală și nu a putut prevedea această situație cu cel puțin 30 de zile înainte ca încetarea activităților să se producă, să informeze MCSI în termen de 24 de ore din momentul în care a luat cunoștință sau trebuia și putea să ia cunoștință despre imposibilitatea continuării activităților.

(3) Atât în cazul încetării activității din inițiativa sa, cât și în cazul în care încetarea activității a fost dispusă de MCSI, furnizorul de servicii de marcare temporală va desemna alt furnizor de servicii de marcare temporală, căruia îi va transfera, în tot sau în parte, activitățile sale. Transferul va opera în următoarele condiții:

a) furnizorul de servicii de marcare temporală va înștiința fiecare utilizator, cu cel puțin 30 de zile în avans, despre intenția sa de transferare a activităților legate de marcarea temporală către un alt furnizor, menționând identitatea acestuia;

b) furnizorul de servicii de marcare temporală va face cunoscute utilizatorilor săi posibilitatea de a refuza acest transfer, precum și termenul și condițiile în care refuzul poate fi exercitat.

(4) Furnizorul aflat în unul dintre cazurile prevăzute la alin. (1) și (2), ale cărui activități nu sunt preluate de un alt furnizor de servicii de marcare temporală, este obligat să depună la MCSI informațiile și documentele prevăzute la art. 8 alin. (2) din Legea nr. 451/2004, precum și dovada revocării certificatului utilizat în procesul de marcare temporală.