(電子商務(wù)研究中心訊) (Signaturgesetz, SiG) [*]
全名:
電子簽名法(Gesetz zur digitalen Signatur)
聯(lián)邦法律公報(bào)(Bundesgesetzblatt) 1997 I 1872
注釋:這部電子簽名法是為信息通訊服務(wù)的法案第3條款而制定的(Informations- und Kommunikationsdienstegesetz),聯(lián)邦法律公報(bào)1997 I 1870.
目錄
§1立法的目的和范圍
§2定義
§3主管當(dāng)局
§4認(rèn)證中心的許可
§5發(fā)放證書
§6通告要求
§7證書內(nèi)容
§8證書失效
§9時(shí)間戳
§10存檔
§11經(jīng)營(yíng)的停止
§12數(shù)據(jù)保護(hù)
§13義務(wù)的監(jiān)控與執(zhí)行
§14技術(shù)成分
§15其他國(guó)家發(fā)放的證書
§16具有法律效力的法令
§1立法的目的和范圍
(1)本法案頒布的目的是建立一個(gè)電子簽名被認(rèn)為是安全的一眾環(huán)境，并且可以可靠地查明偽造電子簽名或者操縱電子簽名。
(2)依照本法案，其他電子簽名程序的應(yīng)用也是可以選用的，這些程序的應(yīng)用可以不受法律條款的約束。
§2定義
(1)在本法案里“電子簽名”指的是簽署在電子數(shù)據(jù)上的一個(gè)印章，該印章由私人密鑰產(chǎn)生，在相關(guān)公共密鑰提供密鑰確認(rèn)的幫助下確定密鑰的所有者和確保數(shù)據(jù)的完整性，該公共密鑰是由認(rèn)證中心或本法案第3章規(guī)定的機(jī)構(gòu)提供的。
(2)在本法案里“認(rèn)證中心”指的是證明公共密鑰被分配給自然人依照本法案第四條擁有許可證的自然人或法人。
(3)在本法案里“認(rèn)證”指的是包含數(shù)字簽名和將相關(guān)公共密鑰分配給一個(gè)自然人的數(shù)字認(rèn)證(簽名密鑰認(rèn)證)或是獨(dú)立的包含更深入的信息和清晰地參照一個(gè)特別簽名密鑰的數(shù)字認(rèn)證。(特征證書)
(4)在本法案里“時(shí)間戳”指的是載有電子簽名的電子聲明，該電子聲明是由認(rèn)證中心發(fā)布的用以證明該電子數(shù)據(jù)是在一個(gè)特定的時(shí)間點(diǎn)出現(xiàn)的。
§3主管當(dāng)局
依照電信法案第66章，主管當(dāng)局有義務(wù)進(jìn)行許可證的批準(zhǔn)，發(fā)放用以簽署證明的證書，監(jiān)督遵守本法案和遵守本法案第16章規(guī)定具有法律效力的法令。
§4認(rèn)證中心的許可
(1)認(rèn)證中心的經(jīng)營(yíng)需要有主管當(dāng)局頒發(fā)的許可證。許可證應(yīng)在申請(qǐng)后被授予。
(2)在以下幾種情況下主管當(dāng)局可以拒絕發(fā)放許可證：事實(shí)證明申請(qǐng)者沒有經(jīng)營(yíng)一家認(rèn)證中心所必須的可靠性；申請(qǐng)者不具備經(jīng)營(yíng)一家認(rèn)證中心必備的專業(yè)知識(shí)；或者有原因可以使我們相信，如果開始經(jīng)營(yíng)，則有其它需求不能被滿足，其中其它需求是本法案以及本法案第16章規(guī)定具有法律效力的法令所陳列出的并且與認(rèn)證中心的經(jīng)營(yíng)相關(guān)的需求。
(3)任何人作為一家認(rèn)證中心的經(jīng)營(yíng)者保證遵守適用于經(jīng)營(yíng)這樣機(jī)構(gòu)的法律規(guī)定可被視為擁有必須的可靠性。當(dāng)從認(rèn)證中心經(jīng)營(yíng)的人具有必要的知識(shí)、經(jīng)驗(yàn)、技能可視為具備必須的專業(yè)知識(shí)。與認(rèn)證中心的經(jīng)營(yíng)相關(guān)的其它需求在以下情況可以被視為滿足：主管當(dāng)局以措施安全概念的方式被及時(shí)通知，這些措施確保遵守本法案以及本法案第16章規(guī)定具有法律效力的法令的安全需求，并且這些措施的實(shí)施始終是被檢驗(yàn)過且被主管當(dāng)局認(rèn)可的團(tuán)體證實(shí)過。
(4)許可證中應(yīng)該在必要的地方增加附屬條款以保證認(rèn)證機(jī)構(gòu)的要求與本法案以及本法案第16張規(guī)定的具有法律效力的法令保持一致。
(5)主管當(dāng)局負(fù)責(zé)發(fā)放用于在證明書上簽字的密鑰證書。因此適用于認(rèn)證中心發(fā)放證明書的規(guī)定將適用于主管當(dāng)局。主管當(dāng)局應(yīng)當(dāng)保存其發(fā)放的所有證書以便于可以在任何時(shí)候?yàn)槿魏稳送ㄟ^公開的電訊途徑來確認(rèn)和修改證書。改條款同時(shí)也將應(yīng)用于認(rèn)證中心的地址和電話號(hào)碼信息、主管當(dāng)局發(fā)放的證書的失效、停止或禁止經(jīng)營(yíng)一家認(rèn)證中心以及許可證的收回。
(6)與本法案以及本法案第16章規(guī)定具有法律效力的法令相一致的任何公共服務(wù)須支付成本(費(fèi)用和支出)。
§5發(fā)放證書
(1)認(rèn)證中心應(yīng)當(dāng)確定申請(qǐng)證書的人的可靠身份。應(yīng)當(dāng)確保公開密鑰被分發(fā)給已經(jīng)用密鑰證書和其他任何特征證書鑒明身份的人，該密鑰證書可以被保存查證，并且在密鑰所有者同意的條件下可以在任何時(shí)候?yàn)槿魏稳送ㄟ^公開的電訊途徑修改證書。
(2)在申請(qǐng)者的要求下，認(rèn)證中心應(yīng)在密鑰證書或者特征證書里包含以下信息：申請(qǐng)者同意第三方作為其代理的信息，進(jìn)入該專業(yè)范圍的許可信息或者其他類型的許可信息且有可靠的證據(jù)表明該許可經(jīng)授權(quán)代表或授權(quán)許可的第三方的同意。
(3)在申請(qǐng)者的要求下，認(rèn)證中心可在證書中為申請(qǐng)者使用一個(gè)假名而不使用申請(qǐng)者的真實(shí)姓名。
(4)認(rèn)證中心應(yīng)采取措施防止未被發(fā)現(xiàn)的偽造或操縱數(shù)據(jù)出現(xiàn)在證書內(nèi)。應(yīng)采取措施保證私人密鑰的機(jī)密。認(rèn)證中心不允許存儲(chǔ)私人密鑰。
(5)認(rèn)證中心應(yīng)保證使用可靠的員工從事認(rèn)證工作。因?yàn)橐勒毡痉ò傅?4章所陳列的條款規(guī)定密鑰的準(zhǔn)備和證書的發(fā)行需要使用技術(shù)手段。依照本法案第5章第1條的第2款，這一點(diǎn)同樣應(yīng)用于核實(shí)證書的技術(shù)手段。
§6通告要求
認(rèn)證中心應(yīng)向申請(qǐng)者通告本法案第5章第1條提及的確保電子簽名安全及其可靠的被核實(shí)的必要措施。應(yīng)向申請(qǐng)者通告用來滿足本法案第14章第1條和第2條所規(guī)定的需求，向申請(qǐng)者通告有私人密鑰產(chǎn)生的電子簽名的分配情況。應(yīng)警告申請(qǐng)人，在已存在的電子簽名的安全性隨時(shí)間減少之前，載有電子簽名的數(shù)據(jù)可能需要再次簽名。
§7證書內(nèi)容
(1)密鑰證書應(yīng)該包含以下信息：
1.密鑰所有者的姓名，為防止可能出現(xiàn)的混淆而附加的額外信息，或者密鑰所有者獨(dú)一無二的假名，同樣需要清晰的標(biāo)記出，
2.分配的公開密鑰，
3.密鑰所有者的公共密鑰和認(rèn)證中心的公開密鑰所使用的運(yùn)算法則的名字，
4.證書的序列號(hào)
5.證書有效期的起止日期
6.認(rèn)證中心的名字，和
7.關(guān)于密鑰的使用是否在類型和范圍方面限制了特定的使用者的說明。
(2)授權(quán)第三方代表的信息和進(jìn)入本專業(yè)的許可信息或者其他類型的許可信息可能同時(shí)包括在密鑰證書和特征證書里。
(3)進(jìn)一步的信息不需包括在密鑰證書里除非有相關(guān)方面的同意。
§8證書失效
(1)認(rèn)證中心的證書在以下情況下失效：當(dāng)密鑰的所有者或者他的代表這樣證實(shí)：該證書是通過對(duì)本法案第7章的錯(cuò)誤陳述而獲得；當(dāng)認(rèn)證中心停止運(yùn)營(yíng)且另一家認(rèn)證中心不繼續(xù)開展它的活動(dòng)；或者依照本法案第13章第5條第二款，主管當(dāng)局宣布證書失效。證書的失效應(yīng)該標(biāo)明其是何時(shí)開始生效的。失效是不能追溯的。
(2)當(dāng)證書包含第三方代表的信息，這個(gè)第三方可能也會(huì)要求證書的失效。
(3)依照本法案第4章第5條，當(dāng)一家認(rèn)證中心停止運(yùn)營(yíng)或者許可證被收回時(shí)，主管當(dāng)局應(yīng)當(dāng)宣布它發(fā)布的相應(yīng)證書也同時(shí)失效。
§9時(shí)間戳
根據(jù)要求，認(rèn)證中心應(yīng)該在電子數(shù)據(jù)上附加一個(gè)時(shí)間戳。本法案第5章第5條的第一二款應(yīng)當(dāng)在作了必要的修正之后加以應(yīng)用。
§10存檔
認(rèn)證中心應(yīng)為遵守本法案以及本法案第16章規(guī)定的具有法律效力的法令的安全措施和證書的發(fā)放建立文檔以確保數(shù)據(jù)的完整性，以便數(shù)據(jù)可以在任何時(shí)間被查證。
§11停止經(jīng)營(yíng)
(1)認(rèn)證中心停止經(jīng)營(yíng)需要在可能的最早的時(shí)間通知主管當(dāng)局，并且應(yīng)當(dāng)保證本認(rèn)證中心停止經(jīng)營(yíng)被另一家認(rèn)證中心接管后證書繼續(xù)有效或者讓證書失效。
(2)依照本法案第10章，停止經(jīng)營(yíng)的認(rèn)證中心需要將文檔移交給接管證書的認(rèn)證中心或者移交給主管當(dāng)局。
(3)停止經(jīng)營(yíng)的認(rèn)證中心應(yīng)及時(shí)給主管當(dāng)局遞交破產(chǎn)陳述書或者機(jī)構(gòu)重組程序的陳述書。
§12數(shù)據(jù)保護(hù)
(1)認(rèn)證中心只能直接從相關(guān)方或是為了驗(yàn)證的目的而要求的相關(guān)方收集個(gè)人信息。只有在爭(zhēng)得相關(guān)方的同意后才允許從第三方收集信息。如果在本法案或者其他法律規(guī)定允許的范圍內(nèi)或者在第三方同意的條件下，收集的信息也只能用于實(shí)現(xiàn)除了第一款所規(guī)定的其他目的。
(2)密鑰所有者使用假名時(shí)，按照要求，認(rèn)證中心有義務(wù)告訴主管團(tuán)體關(guān)于密鑰所有者身份的信息，這些信息用于：犯罪起訴和行政犯罪，將危險(xiǎn)轉(zhuǎn)移至公共安全或社會(huì)治安，推卸聯(lián)邦或國(guó)家機(jī)構(gòu)的法定責(zé)任，保護(hù)憲法、聯(lián)邦情報(bào)局[Bundesnachrichtendienst]、軍事反情報(bào)局[Militärischer Abschirmdienst]或者海關(guān)刑事局[Zollkriminalamt]。這樣的假名揭發(fā)應(yīng)當(dāng)存檔。當(dāng)假名的揭發(fā)不會(huì)干涉到密鑰所有者推卸法定責(zé)任時(shí)，或者告訴密鑰所有者假名被揭發(fā)對(duì)其有十分重要的影響時(shí)，要求揭發(fā)假名的機(jī)構(gòu)應(yīng)當(dāng)在假名揭發(fā)時(shí)馬上通知密鑰所有者。
(3)根據(jù)附屬條款的規(guī)定——當(dāng)沒有出現(xiàn)違反數(shù)據(jù)保護(hù)規(guī)定的跡象時(shí)也可以實(shí)施查證活動(dòng)，聯(lián)邦數(shù)據(jù)保護(hù)法案第38章適用于本法案。
§13義務(wù)的監(jiān)控與執(zhí)行
(1)主管當(dāng)局可以采取措施監(jiān)控認(rèn)證中心確保其遵守本法案和有法律效力的法令。特別地，可以禁止采用不正當(dāng)?shù)募夹g(shù)手段和暫時(shí)全部或者部分停止認(rèn)證中心的運(yùn)營(yíng)。依照本法案第4章，可以責(zé)令該擁有許可證而沒有被監(jiān)控團(tuán)體停止從事認(rèn)證活動(dòng)。
(2)依照上面第1條第一款，為了實(shí)施監(jiān)控，認(rèn)證中心應(yīng)允許主管當(dāng)局在正常營(yíng)業(yè)時(shí)間進(jìn)入生產(chǎn)場(chǎng)所和事務(wù)所；應(yīng)當(dāng)按照要求提供檢查所需的相關(guān)書籍、記錄、支持文件、證件和其他文檔；應(yīng)當(dāng)透漏相關(guān)信息和提供所有必須的支持。依照行政犯罪法案，任何有義務(wù)提供信息的人可能會(huì)拒絕回答一些問題，因?yàn)檫@些問題可能使他們自己或者按照民事程序守則中383章1.1至1.3條所規(guī)定的與他們有血緣關(guān)系的人易于卷入訴訟。任何有義務(wù)回答質(zhì)問的人應(yīng)該被告知有這個(gè)權(quán)利。
(3)如果在本法案或者有法律效力的法令下出現(xiàn)不履行義務(wù)的情況，或者如果有原因拒發(fā)許可證，當(dāng)上述13章第1條的第2款中的措施不可能成功時(shí)，主管當(dāng)局應(yīng)當(dāng)收回其授權(quán)的許可認(rèn)證。
(4)如果發(fā)生許可證的撤銷或收回或者停止運(yùn)營(yíng)認(rèn)證中心，主管當(dāng)局應(yīng)當(dāng)確保將原認(rèn)證中心的工作轉(zhuǎn)移給另一家認(rèn)證中心或者結(jié)束與密鑰所有者的合同。這一點(diǎn)也同樣適用于提出破產(chǎn)陳述書或者機(jī)構(gòu)重組程序的陳述書，并且停止被許可的活動(dòng)。
(5)認(rèn)證中心發(fā)布的證書的有效性在認(rèn)證中心許可證被撤銷或收回后仍然不受影響。當(dāng)有事實(shí)證明證書被偽造，或者不能充分的防止被偽造，或者用于密鑰的技術(shù)成手段存在電子簽名被偽造或簽字?jǐn)?shù)據(jù)被操縱后不能被查明的安全缺陷，主管當(dāng)局可以宣布證書失效。
§14技術(shù)手段
(1)生產(chǎn)和存儲(chǔ)密鑰以及生產(chǎn)和核實(shí)電子簽名需要有技術(shù)手段保證安全，它可以可靠的揭露偽造的電子簽名和被操縱的電子信息，可以防止在沒有被批準(zhǔn)的情況下就使用私人密鑰。
(2)具備安全措施的技術(shù)手段用來呈現(xiàn)簽名的數(shù)據(jù)，這些數(shù)據(jù)在數(shù)字簽名產(chǎn)生以前就被清晰的標(biāo)明，它也可以驗(yàn)證用于簽名的數(shù)據(jù)。查證被簽署的數(shù)據(jù)需要有安全措施的技術(shù)手段，它可以保證被簽署數(shù)據(jù)的完整性，保證應(yīng)用電子簽名的電子數(shù)據(jù)和擁有電子簽名的密鑰所有者被確認(rèn)一致。
(3)與本法案第5章第1條第二款相一致，使得密鑰證書得以保存以便查證和修改的技術(shù)手段需要采取安全措施以防止證書清單發(fā)生未經(jīng)授權(quán)的變更或修改。
(4)依照本法案上述第14條第1至3款，技術(shù)成分應(yīng)當(dāng)被充分的檢驗(yàn)滿足當(dāng)前的工程標(biāo)準(zhǔn)，滿足被主管當(dāng)局認(rèn)可的團(tuán)體證實(shí)的要求。
(5)依照本法案上述第14章第1至3條，與歐盟其他成員國(guó)或者其他參加歐洲經(jīng)濟(jì)區(qū)協(xié)議的國(guó)家生效的規(guī)章和要求相一致的技術(shù)手段，如果被合法地生產(chǎn)和投放市場(chǎng)且具有相同的安全等級(jí)即可視為滿足了技術(shù)安全條件。依照上面的第一款，在正當(dāng)?shù)膱?chǎng)合，在主管當(dāng)局要求下須提供滿足需求的證據(jù)。依照上面第14章的1至3條，需要主管當(dāng)局認(rèn)可的團(tuán)體出具證明說明這些證據(jù)滿足了技術(shù)安全需求。在下面這個(gè)條件下，歐盟其他成員國(guó)或者其他參加歐洲經(jīng)濟(jì)區(qū)協(xié)議國(guó)家許可的團(tuán)體出具的證明也可以被接受：該團(tuán)體的檢驗(yàn)報(bào)告所基于的技術(shù)需求、檢驗(yàn)和檢驗(yàn)程序等同于被主管當(dāng)局認(rèn)可團(tuán)體的技術(shù)要求、檢驗(yàn)和檢驗(yàn)程序。
§15其他國(guó)家發(fā)放的證書
(1)歐洲聯(lián)盟的其他成員國(guó)或者其他參加歐洲經(jīng)濟(jì)區(qū)協(xié)議的國(guó)家鑒定的公共密鑰所核實(shí)的電子簽名只要有相同的安全等級(jí)即可視為等同于本法案中的電子簽名。
(2)上面一段的規(guī)定也適用于其他的締結(jié)了相關(guān)的超國(guó)家或者政府間協(xié)議的國(guó)家。
§16具有法律效力的法令具有法律效力的法令授權(quán)聯(lián)邦政府發(fā)布執(zhí)行本法案第3至15章所需要的關(guān)于以下內(nèi)容的法律規(guī)定：
1.關(guān)于授予、撤銷、收回許可證和停止認(rèn)證中心運(yùn)營(yíng)的程序的進(jìn)一步詳細(xì)規(guī)定，依照本法案第4章第6條的收費(fèi)服務(wù)和費(fèi)用水平規(guī)定，
2.認(rèn)證中心義務(wù)的進(jìn)一步詳細(xì)規(guī)定，
3.密鑰證書的有效期，
4.監(jiān)控認(rèn)證中心的進(jìn)一步詳細(xì)規(guī)定，
5.適用于技術(shù)手段及其檢驗(yàn)的詳細(xì)需求和對(duì)符合需求的證實(shí)，
6.需要附加一個(gè)新的電子簽名的時(shí)期及相關(guān)程序。
[*]1983年3月28日的議會(huì)決議83/189/EEC為在技術(shù)標(biāo)準(zhǔn)與技術(shù)規(guī)則領(lǐng)域的信息條款制定了有關(guān)程序，這些程序被歐洲議會(huì)94/10/EC決議和1994年3月23日的議會(huì)決議(OJ No L 100, p 30)最后修訂，目前該決議中的要求一直被有效地遵守。
