Certifikácia produktov

Podľa nariadenia (EÚ) č. 910/2014:

• na vyhotovenie kvalifikovaného elektronického podpisu alebo na vyhotovenie kvalifikovanej elektronickej pečate musí byť použité certifikované zariadenie (QSCD),
  • zhodu zariadenia na vyhotovenie kvalifikovaného elektronického podpisu alebo zariadenia na vyhotovenie kvalifikovanej elektronickej pečate s požiadavkami podľa nariadenia (EÚ) č. 910/2014 certifikuje úrad na základe žiadosti podľa 10 ods. 1 zákona o dôveryhodných službách,
  • ako QSCD môže byť použité aj certifikované zariadenie na vyhotovenie kvalifikovaného elektronického podpisu alebo zariadenie na vyhotovenie kvalifikovanej elektronickej pečate, ktoré certifikovali subjekty uvedené v článku 30 ods. 1. nariadenia (EÚ) č. 910/2014 a sú uvedené v zozname certifikovaných kvalifikovaných zariadení na vyhotovenie elektronických podpisov, ktorý zverejňuje a vedie Komisia,

• z rozsahu certifikačných činností by sa mali vylúčiť aplikácie,
  • certifikácia aplikácie pre vyhotovenie a overenie kvalifikovaného elektronického podpisu alebo kvalifikovanej elektronickej pečate nie je povinná a je možné použiť necertifikovanú aplikáciu, ktorá spĺňa požiadavky prílohy vykonávacieho rozhodnutia Komisie č. 2015/1506 a legislatívne požiadavky nariadenia (EÚ) č. 910/2014,

• certifikácia elektronickej podateľne nie je povinná.

 Účastníkom certifikačného procesu je

• žiadateľ o certifikáciu – subjekt, ktorý žiada certifikačný úrad o vykonanie posúdenia zhody produktu a následné udelenie certifikátu,
• certifikačný úrad – Národný bezpečnostný úrad,
• tretia strana – napr. audítor alebo nezávislé skúšobné laboratórium.

 Žiadosť o certifikáciu produktu

Žiadosť o certifikáciu produktu pre kvalifikovaný elektronický podpis a pečať (23.11.2016, pdf, 164 kB) sa predkladá úradu elektronickým formulárom alebo v písomnej forme na tlačive.

Žiadateľ k žiadosti o certifikáciu prikladá:

• predmet certifikácie,
• technickú dokumentáciu k predmetu certifikácie nevyhnutnú pre certifikáciu,
• bezpečnostný audit.

Predmet certifikácie je samotný produkt s podporným softvérom, o ktorého certifikáciu žiadateľ žiada.

Profil ochrany a bezpečnostný zámer produktu alebo systému musia byť štruktúrované dokumenty, ktorých štruktúra je určená medzinárodnou normou ISO/IEC 15408 Informačné technológie. Bezpečnostné techniky. Kritériá na hodnotenie bezpečnosti IT, časti 1 až 3 (Common Criteria).

Požiadavky na bezpečnostný audit produktu sú uvedené v časti Metodické postupy. 

Certifikácia produktov podlieha správnemu poplatku podľa zákona o správnych poplatkoch.

Posúdenie žiadosti

Úrad preverí doručenú žiadosť o certifikáciu z hľadiska formálnych náležitostí. Žiadosť sa považuje za úplnú, ak obsahuje všetky požadované náležitosti v zmysle zákona o dôveryhodných službách. V prípade, že žiadosť uvedené náležitosti spĺňa, úrad potvrdí žiadateľovi prijatie žiadosti a vyzve ho k zaplateniu správneho poplatku. Ak žiadosť nie je úplná, úrad vyzve žiadateľa aby ju doplnil v úradom stanovenej lehote. Ak žiadateľ žiadosť v stanovenej lehote nedoplní na žiadosť sa neprihliada.

Proces certifikácie

Úrad posúdi zhodu predmetu certifikácie s požiadavkami podľa príslušných právnych predpisov.

Požiadavky na jednotlivé produkty sú uvedené v časti Metodické postupy.

Proces vydania certifikátu

Úrad v konaní rozhodne do 90 dní od doručenia úplnej žiadosti. Ak úrad v konaní zistí zhodu produktu s legislatívnymi a bezpečnostnými požiadavkami, vydá certifikát, ktorého platnosť je päť rokov. V prípade nepotvrdenia zhody produktu zariadení s legislatívnymi a bezpečnostnými požiadavkami, vydá úrad rozhodnutie o neudelení certifikátu.

Predĺženie platnosti certifikátu

Ak sa počas doby platnosti certifikátu vydaného úradom na základe konania o uznanie zhody nezmenili legislatívne požiadavky, úrad na základe  žiadosti o predĺženie platnosti certifikátu produktu (23.11.2016, pdf, 149 kB) rozhodne v skrátenom konaní do 60 dní od doručenia úplnej žiadosti  o predĺžení platnosti certifikátu o päť rokov. V žiadosti žiadateľ uvedie dodanú dokumentáciu  v predchádzajúcom procese posudzovania zhody a prehlásenie o nezaznamenaní bezpečnostných incidentov, pri používaní daného produktu.

Úrad má právo zrušiť platnosť certifikátu aj pred ukončením doby platnosti, ak po jeho vydaní nastanú okolnosti, pre ktoré by certifikát nevydal.