(電子商務研究中心訊) (Signaturgesetz, SiG) [*]
全名:
電子簽名法(Gesetz zur digitalen Signatur)
聯(lián)邦法律公報(Bundesgesetzblatt) 1997 I 1872
注釋:這部電子簽名法是為信息通訊服務的法案第3條款而制定的(Informations- und Kommunikationsdienstegesetz),聯(lián)邦法律公報1997 I 1870.
目錄
§1立法的目的和范圍
§2定義
§3主管當局
§4認證中心的許可
§5發(fā)放證書
§6通告要求
§7證書內容
§8證書失效
§9時間戳
§10存檔
§11經營的停止
§12數據保護
§13義務的監(jiān)控與執(zhí)行
§14技術成分
§15其他國家發(fā)放的證書
§16具有法律效力的法令
§1立法的目的和范圍
(1)本法案頒布的目的是建立一個電子簽名被認為是安全的一眾環(huán)境，并且可以可靠地查明偽造電子簽名或者操縱電子簽名。
(2)依照本法案，其他電子簽名程序的應用也是可以選用的，這些程序的應用可以不受法律條款的約束。
§2定義
(1)在本法案里“電子簽名”指的是簽署在電子數據上的一個印章，該印章由私人密鑰產生，在相關公共密鑰提供密鑰確認的幫助下確定密鑰的所有者和確保數據的完整性，該公共密鑰是由認證中心或本法案第3章規(guī)定的機構提供的。
(2)在本法案里“認證中心”指的是證明公共密鑰被分配給自然人依照本法案第四條擁有許可證的自然人或法人。
(3)在本法案里“認證”指的是包含數字簽名和將相關公共密鑰分配給一個自然人的數字認證(簽名密鑰認證)或是獨立的包含更深入的信息和清晰地參照一個特別簽名密鑰的數字認證。(特征證書)
(4)在本法案里“時間戳”指的是載有電子簽名的電子聲明，該電子聲明是由認證中心發(fā)布的用以證明該電子數據是在一個特定的時間點出現(xiàn)的。
§3主管當局
依照電信法案第66章，主管當局有義務進行許可證的批準，發(fā)放用以簽署證明的證書，監(jiān)督遵守本法案和遵守本法案第16章規(guī)定具有法律效力的法令。
§4認證中心的許可
(1)認證中心的經營需要有主管當局頒發(fā)的許可證。許可證應在申請后被授予。
(2)在以下幾種情況下主管當局可以拒絕發(fā)放許可證：事實證明申請者沒有經營一家認證中心所必須的可靠性；申請者不具備經營一家認證中心必備的專業(yè)知識；或者有原因可以使我們相信，如果開始經營，則有其它需求不能被滿足，其中其它需求是本法案以及本法案第16章規(guī)定具有法律效力的法令所陳列出的并且與認證中心的經營相關的需求。
(3)任何人作為一家認證中心的經營者保證遵守適用于經營這樣機構的法律規(guī)定可被視為擁有必須的可靠性。當從認證中心經營的人具有必要的知識、經驗、技能可視為具備必須的專業(yè)知識。與認證中心的經營相關的其它需求在以下情況可以被視為滿足：主管當局以措施安全概念的方式被及時通知，這些措施確保遵守本法案以及本法案第16章規(guī)定具有法律效力的法令的安全需求，并且這些措施的實施始終是被檢驗過且被主管當局認可的團體證實過。
(4)許可證中應該在必要的地方增加附屬條款以保證認證機構的要求與本法案以及本法案第16張規(guī)定的具有法律效力的法令保持一致。
(5)主管當局負責發(fā)放用于在證明書上簽字的密鑰證書。因此適用于認證中心發(fā)放證明書的規(guī)定將適用于主管當局。主管當局應當保存其發(fā)放的所有證書以便于可以在任何時候為任何人通過公開的電訊途徑來確認和修改證書。改條款同時也將應用于認證中心的地址和電話號碼信息、主管當局發(fā)放的證書的失效、停止或禁止經營一家認證中心以及許可證的收回。
(6)與本法案以及本法案第16章規(guī)定具有法律效力的法令相一致的任何公共服務須支付成本(費用和支出)。
§5發(fā)放證書
(1)認證中心應當確定申請證書的人的可靠身份。應當確保公開密鑰被分發(fā)給已經用密鑰證書和其他任何特征證書鑒明身份的人，該密鑰證書可以被保存查證，并且在密鑰所有者同意的條件下可以在任何時候為任何人通過公開的電訊途徑修改證書。
(2)在申請者的要求下，認證中心應在密鑰證書或者特征證書里包含以下信息：申請者同意第三方作為其代理的信息，進入該專業(yè)范圍的許可信息或者其他類型的許可信息且有可靠的證據表明該許可經授權代表或授權許可的第三方的同意。
(3)在申請者的要求下，認證中心可在證書中為申請者使用一個假名而不使用申請者的真實姓名。
(4)認證中心應采取措施防止未被發(fā)現(xiàn)的偽造或操縱數據出現(xiàn)在證書內。應采取措施保證私人密鑰的機密。認證中心不允許存儲私人密鑰。
(5)認證中心應保證使用可靠的員工從事認證工作。因為依照本法案第14章所陳列的條款規(guī)定密鑰的準備和證書的發(fā)行需要使用技術手段。依照本法案第5章第1條的第2款，這一點同樣應用于核實證書的技術手段。
§6通告要求
認證中心應向申請者通告本法案第5章第1條提及的確保電子簽名安全及其可靠的被核實的必要措施。應向申請者通告用來滿足本法案第14章第1條和第2條所規(guī)定的需求，向申請者通告有私人密鑰產生的電子簽名的分配情況。應警告申請人，在已存在的電子簽名的安全性隨時間減少之前，載有電子簽名的數據可能需要再次簽名。
§7證書內容
(1)密鑰證書應該包含以下信息：
1.密鑰所有者的姓名，為防止可能出現(xiàn)的混淆而附加的額外信息，或者密鑰所有者獨一無二的假名，同樣需要清晰的標記出，
2.分配的公開密鑰，
3.密鑰所有者的公共密鑰和認證中心的公開密鑰所使用的運算法則的名字，
4.證書的序列號
5.證書有效期的起止日期
6.認證中心的名字，和
7.關于密鑰的使用是否在類型和范圍方面限制了特定的使用者的說明。
(2)授權第三方代表的信息和進入本專業(yè)的許可信息或者其他類型的許可信息可能同時包括在密鑰證書和特征證書里。
(3)進一步的信息不需包括在密鑰證書里除非有相關方面的同意。
§8證書失效
(1)認證中心的證書在以下情況下失效：當密鑰的所有者或者他的代表這樣證實：該證書是通過對本法案第7章的錯誤陳述而獲得；當認證中心停止運營且另一家認證中心不繼續(xù)開展它的活動；或者依照本法案第13章第5條第二款，主管當局宣布證書失效。證書的失效應該標明其是何時開始生效的。失效是不能追溯的。
(2)當證書包含第三方代表的信息，這個第三方可能也會要求證書的失效。
(3)依照本法案第4章第5條，當一家認證中心停止運營或者許可證被收回時，主管當局應當宣布它發(fā)布的相應證書也同時失效。
§9時間戳
根據要求，認證中心應該在電子數據上附加一個時間戳。本法案第5章第5條的第一二款應當在作了必要的修正之后加以應用。
§10存檔
認證中心應為遵守本法案以及本法案第16章規(guī)定的具有法律效力的法令的安全措施和證書的發(fā)放建立文檔以確保數據的完整性，以便數據可以在任何時間被查證。
§11停止經營
(1)認證中心停止經營需要在可能的最早的時間通知主管當局，并且應當保證本認證中心停止經營被另一家認證中心接管后證書繼續(xù)有效或者讓證書失效。
(2)依照本法案第10章，停止經營的認證中心需要將文檔移交給接管證書的認證中心或者移交給主管當局。
(3)停止經營的認證中心應及時給主管當局遞交破產陳述書或者機構重組程序的陳述書。
§12數據保護
(1)認證中心只能直接從相關方或是為了驗證的目的而要求的相關方收集個人信息。只有在爭得相關方的同意后才允許從第三方收集信息。如果在本法案或者其他法律規(guī)定允許的范圍內或者在第三方同意的條件下，收集的信息也只能用于實現(xiàn)除了第一款所規(guī)定的其他目的。
(2)密鑰所有者使用假名時，按照要求，認證中心有義務告訴主管團體關于密鑰所有者身份的信息，這些信息用于：犯罪起訴和行政犯罪，將危險轉移至公共安全或社會治安，推卸聯(lián)邦或國家機構的法定責任，保護憲法、聯(lián)邦情報局[Bundesnachrichtendienst]、軍事反情報局[Militärischer Abschirmdienst]或者海關刑事局[Zollkriminalamt]。這樣的假名揭發(fā)應當存檔。當假名的揭發(fā)不會干涉到密鑰所有者推卸法定責任時，或者告訴密鑰所有者假名被揭發(fā)對其有十分重要的影響時，要求揭發(fā)假名的機構應當在假名揭發(fā)時馬上通知密鑰所有者。
(3)根據附屬條款的規(guī)定——當沒有出現(xiàn)違反數據保護規(guī)定的跡象時也可以實施查證活動，聯(lián)邦數據保護法案第38章適用于本法案。
§13義務的監(jiān)控與執(zhí)行
(1)主管當局可以采取措施監(jiān)控認證中心確保其遵守本法案和有法律效力的法令。特別地，可以禁止采用不正當的技術手段和暫時全部或者部分停止認證中心的運營。依照本法案第4章，可以責令該擁有許可證而沒有被監(jiān)控團體停止從事認證活動。
(2)依照上面第1條第一款，為了實施監(jiān)控，認證中心應允許主管當局在正常營業(yè)時間進入生產場所和事務所；應當按照要求提供檢查所需的相關書籍、記錄、支持文件、證件和其他文檔；應當透漏相關信息和提供所有必須的支持。依照行政犯罪法案，任何有義務提供信息的人可能會拒絕回答一些問題，因為這些問題可能使他們自己或者按照民事程序守則中383章1.1至1.3條所規(guī)定的與他們有血緣關系的人易于卷入訴訟。任何有義務回答質問的人應該被告知有這個權利。
(3)如果在本法案或者有法律效力的法令下出現(xiàn)不履行義務的情況，或者如果有原因拒發(fā)許可證，當上述13章第1條的第2款中的措施不可能成功時，主管當局應當收回其授權的許可認證。
(4)如果發(fā)生許可證的撤銷或收回或者停止運營認證中心，主管當局應當確保將原認證中心的工作轉移給另一家認證中心或者結束與密鑰所有者的合同。這一點也同樣適用于提出破產陳述書或者機構重組程序的陳述書，并且停止被許可的活動。
(5)認證中心發(fā)布的證書的有效性在認證中心許可證被撤銷或收回后仍然不受影響。當有事實證明證書被偽造，或者不能充分的防止被偽造，或者用于密鑰的技術成手段存在電子簽名被偽造或簽字數據被操縱后不能被查明的安全缺陷，主管當局可以宣布證書失效。
§14技術手段
(1)生產和存儲密鑰以及生產和核實電子簽名需要有技術手段保證安全，它可以可靠的揭露偽造的電子簽名和被操縱的電子信息，可以防止在沒有被批準的情況下就使用私人密鑰。
(2)具備安全措施的技術手段用來呈現(xiàn)簽名的數據，這些數據在數字簽名產生以前就被清晰的標明，它也可以驗證用于簽名的數據。查證被簽署的數據需要有安全措施的技術手段，它可以保證被簽署數據的完整性，保證應用電子簽名的電子數據和擁有電子簽名的密鑰所有者被確認一致。
(3)與本法案第5章第1條第二款相一致，使得密鑰證書得以保存以便查證和修改的技術手段需要采取安全措施以防止證書清單發(fā)生未經授權的變更或修改。
(4)依照本法案上述第14條第1至3款，技術成分應當被充分的檢驗滿足當前的工程標準，滿足被主管當局認可的團體證實的要求。
(5)依照本法案上述第14章第1至3條，與歐盟其他成員國或者其他參加歐洲經濟區(qū)協(xié)議的國家生效的規(guī)章和要求相一致的技術手段，如果被合法地生產和投放市場且具有相同的安全等級即可視為滿足了技術安全條件。依照上面的第一款，在正當的場合，在主管當局要求下須提供滿足需求的證據。依照上面第14章的1至3條，需要主管當局認可的團體出具證明說明這些證據滿足了技術安全需求。在下面這個條件下，歐盟其他成員國或者其他參加歐洲經濟區(qū)協(xié)議國家許可的團體出具的證明也可以被接受：該團體的檢驗報告所基于的技術需求、檢驗和檢驗程序等同于被主管當局認可團體的技術要求、檢驗和檢驗程序。
§15其他國家發(fā)放的證書
(1)歐洲聯(lián)盟的其他成員國或者其他參加歐洲經濟區(qū)協(xié)議的國家鑒定的公共密鑰所核實的電子簽名只要有相同的安全等級即可視為等同于本法案中的電子簽名。
(2)上面一段的規(guī)定也適用于其他的締結了相關的超國家或者政府間協(xié)議的國家。
§16具有法律效力的法令具有法律效力的法令授權聯(lián)邦政府發(fā)布執(zhí)行本法案第3至15章所需要的關于以下內容的法律規(guī)定：
1.關于授予、撤銷、收回許可證和停止認證中心運營的程序的進一步詳細規(guī)定，依照本法案第4章第6條的收費服務和費用水平規(guī)定，
2.認證中心義務的進一步詳細規(guī)定，
3.密鑰證書的有效期，
4.監(jiān)控認證中心的進一步詳細規(guī)定，
5.適用于技術手段及其檢驗的詳細需求和對符合需求的證實，
6.需要附加一個新的電子簽名的時期及相關程序。
[*]1983年3月28日的議會決議83/189/EEC為在技術標準與技術規(guī)則領域的信息條款制定了有關程序，這些程序被歐洲議會94/10/EC決議和1994年3月23日的議會決議(OJ No L 100, p 30)最后修訂，目前該決議中的要求一直被有效地遵守。
