Rozporządzenie wykonawcze Komisji (UE) 2025/1945 z dnia 29 września 2025 r. ustanawiające zasady stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w odniesieniu do walidacji kwalifikowanych podpisów elektronicznych i kwalifikowanych pieczęci elektronicznych oraz walidacji zaawansowanych podpisów elektronicznych opartych na kwalifikowanych certyfikatach i zaawansowanych pieczęci elektronicznych opartych na kwalifikowanych certyfikatach

Artykuł 1

Normy referencyjne i specyfikacje

1. Normy referencyjne i specyfikacje, o których mowa w art. 32 ust. 3 i art. 40 rozporządzenia (UE) nr 910/2014, określono w załączniku I do niniejszego rozporządzenia.

2. Normy referencyjne i specyfikacje, o których mowa w art. 32a ust. 3 i art. 40a rozporządzenia (UE) nr 910/2014, określono w załączniku II do niniejszego rozporządzenia.

Artykuł 2

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik I

Wykaz norm referencyjnych i specyfikacji dotyczących walidacji kwalifikowanych podpisów elektronicznych i kwalifikowanych pieczęci elektronicznych

Normy ETSI TS 119 172-4 V1.1.1 (2021-05) (1) („ETSI TS 119 172-4”) i ETSI TS 119 102-2 V1.4.1 (2023-06) (2) („ETSI TS 119 102-2”) stosuje się z zastrzeżeniem następujących dostosowań:

1. W przypadku ETSI TS 119 172-4

1) 2.1 Odniesienia normatywne:

— [1] ETSI EN 319 102-1 V1.4.1 (2024-06) „Podpisy elektroniczne i infrastruktura zaufania (ESI); Procedury składania i walidacji podpisów cyfrowych AdES; Część 1: Składanie i walidacja”,

— Wszystkie odniesienia do „normy ETSI TS 119 102-1 [1]” należy rozumieć jako odniesienia do „normy ETSI EN 319 102-1 [1]”,

— [2] ETSI TS 119 612 V2.3.1 (2024-11) „Podpisy elektroniczne i infrastruktura (ESI); Zaufane listy”,

— [13] ETSI TS 119 101 V1.1.1 (2016-03) „Podpisy elektroniczne i infrastruktura (ESI); Wymogi dotyczące polityki i bezpieczeństwa w odniesieniu do wniosków o składanie i walidację podpisów”.

2) 4.2 Ograniczenia walidacji i procedury walidacji, wymóg REQ-4.2-03, sekcja „Ograniczenia walidacji X.509”, lit. c):

— (i) Jeżeli certyfikat pozycji końcowej stanowi kotwicę zaufania, nie stosuje się ograniczeń RevocationCheckingConstraints,

— (ii) Jeżeli certyfikat podmiotu końcowego nie stanowi kotwicy zaufania, ograniczenia RevocationCheckingConstraints ustawia się na „eitherCheck”, jak zdefiniowano w normie ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze (m)2.1,

— (iii) Jeżeli certyfikat podmiotu końcowego stanowi kotwicę zaufania, nie stosuje się ograniczeń RevocationFreshnessConstraints określonych w normie ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze (m)2.2,

— (iv) Jeżeli certyfikat podmiotu końcowego nie stanowi kotwicy zaufania, stosuje się ograniczenia RevocationFreshnessConstraints określone w normie ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze (m)2.2, o maksymalnej wartości 24 godzin dla certyfikatu podpisu. W przypadku certyfikatów innych niż certyfikat podpisu, w tym certyfikatów potwierdzających znaczniki czasu, nie ustala się żadnej wartości dla RevocationFreshnessConstraints.

3) 4.3 Wymogi dotyczące zatwierdzania podpisów i zasad stosowania w zakresie kontroli praktyk

— REQ-4.3-02 Wnioski o zatwierdzenie podpisu muszą być zgodne z normą ETSI TS 119 101 [13].

4) 4.4 Proces sprawdzania przydatności technicznej (przepisów)

— REQ-4.4.2-03 Jeżeli którakolwiek z kontroli określonych w REQ-4.4.2-01 nie powiedzie się, wówczas:

a) zaprzestaje się procesu;

b) podpis jest określany technicznie jako nieokreślony, tj. ani jako kwalifikowany podpis elektroniczny UE, ani jako kwalifikowana pieczęć elektroniczna UE; oraz

c) powyższy wynik i wyniki procesów wszystkich procesów pośrednich muszą być odzwierciedlone w zasadach stosowania podpisu w sprawozdaniu sprawdzającym.

(1) ETSI TS 119 172-4 – Podpisy elektroniczne i infrastruktura (ESI); Zasady składania podpisów; Część 4: Zasady stosowania podpisu (polityka walidacji) w odniesieniu do europejskich kwalifikowanych podpisów/pieczęci elektronicznych z wykorzystaniem zaufanych list, V1.1.1 (2021-05).

(2) ETSI TS 119 102-2 – Podpisy elektroniczne i infrastruktura (ESI); Procedury składania i walidacji podpisów cyfrowych AdES; Część 2: Sprawozdanie z walidacji podpisu, V1.4.1 (2023-06).

Załącznik II

Wykaz norm referencyjnych i specyfikacji do celów walidacji zaawansowanych podpisów elektronicznych opartych na kwalifikowanych certyfikatach i zaawansowanych pieczęci elektronicznych opartych na kwalifikowanych certyfikatach

Normy ETSI TS 119 172-4 V1.1.1 (2021-05) (1) („ETSI TS 119 172-4”) i ETSI TS 119 102-2 V1.4.1 (2023-06) (2) („ETSI TS 119 102-2”) stosuje się z zastrzeżeniem następujących dostosowań:

1. W przypadku ETSI TS 119 172-4

1) 2.1 Odniesienia normatywne:

— [1] ETSI EN 319 102-1 V1.4.1 (2024-06) „Podpisy elektroniczne i infrastruktura zaufania (ESI); Procedury składania i walidacji podpisów cyfrowych AdES; Część 1: Składanie i walidacja”,

— Wszystkie odniesienia do „normy ETSI TS 119 102-1 [1]” należy rozumieć jako odniesienia do „normy ETSI EN 319 102-1 [1]”,

— [2] ETSI TS 119 612 V2.3.1 (2024-11) „Podpisy elektroniczne i infrastruktura (ESI); Zaufane listy”,

— [13] ETSI TS 119 101 V1.1.1 (2016-03) „Podpisy elektroniczne i infrastruktura (ESI); Wymogi dotyczące polityki i bezpieczeństwa w odniesieniu do wniosków o składanie i walidację podpisów”.

2) 4.2 Ograniczenia walidacji i procedury walidacji, wymóg REQ-4.2-03, sekcja „X.509 Ograniczenia walidacji”, lit. c):

— (i) Jeżeli certyfikat pozycji końcowej stanowi kotwicę zaufania, nie stosuje się ograniczeń RevocationCheckingConstraints,

— (ii) Jeżeli certyfikat podmiotu końcowego nie stanowi kotwicy zaufania, ograniczenia RevocationCheckingConstraints ustawia się na „eitherCheck”, jak zdefiniowano w normie ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze m) 2.1,

— (iii) Jeżeli certyfikat podmiotu końcowego stanowi kotwicę zaufania, nie stosuje się ograniczeń RevocationFreshnessConstraints określonych w ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze (m)2.2,

— (iv) Jeżeli certyfikat podmiotu końcowego nie stanowi kotwicy zaufania, stosuje się ograniczenia RevocationFreshnessConstraints określone w normie ETSI TS 119 172-1 [3], pkt A.4.2.1, tabela A.2 wiersze (m)2.2, o maksymalnej wartości 24 godzin dla certyfikatu podpisu. W przypadku certyfikatów innych niż certyfikat podpisu, w tym certyfikatów potwierdzających znaczniki czasu, nie ustala się żadnej wartości dla RevocationFreshnessConstraints.

3) 4.3 Wymogi dotyczące zatwierdzania podpisów i zasad stosowania w zakresie kontroli praktyk

— REQ-4.3-02 Wnioski o zatwierdzenie podpisu muszą być zgodne z normą ETSI TS 119 101 [13].

4) 4.4 Proces sprawdzania przydatności technicznej (przepisów)

— REQ-4.4.2-03 Jeżeli którakolwiek z kontroli określonych w REQ-4.4.2-01 nie powiedzie się, wówczas:

a) zaprzestaje się procesu;

b) podpis jest określany technicznie jako nieokreślony, tj. jako ani zaawansowany podpis elektroniczny oparty na kwalifikowanym certyfikacie UE, ani jako zaawansowana pieczęć elektroniczna oparta na kwalifikowanym certyfikacie UE; oraz

c) powyższy wynik i wyniki procesów wszystkich procesów pośrednich muszą być odzwierciedlone w zasadach stosowania podpisu w sprawozdaniu sprawdzającym,

— REQ-4.4.2-04 nieważny,

— REQ-4.4.2-05 nieważny,

— REQ-4.4.2-06 W tym momencie procesu TARC, jeżeli spełnione są następujące warunki:

a) certyfikat podpisu określa się, w najkrótszym czasie podpisu, jako kwalifikowany certyfikat UE podpisów elektronicznych (odpowiednio w odniesieniu do pieczęci elektronicznych), jak określono w REQ-4.4.2-02 a); oraz

b) wynik przeprowadzonego procesu określonego w pkt 4.2 niniejszego dokumentu to TOTAL-PASSED,

wówczas podpis cyfrowy uznaje się za technicznie odpowiedni do wdrożenia zaawansowanego podpisu elektronicznego UE opartego na kwalifikowanym certyfikacie (odpowiednio zaawansowanej pieczęci elektronicznej UE opartej na kwalifikowanym certyfikacie), w przeciwnym razie podpis nie może być określany pod względem technicznym ani jako zaawansowany podpis elektroniczny UE oparty na kwalifikowanym certyfikacie, ani jako zaawansowana pieczęć elektroniczna UE oparta na kwalifikowanym certyfikacie.

(1) ETSI TS 119 172-4 – Podpisy elektroniczne i infrastruktura (ESI); Zasady składania podpisów; Część 4: Zasady stosowania podpisu (polityka walidacji) w odniesieniu do europejskich kwalifikowanych podpisów/pieczęci elektronicznych z wykorzystaniem zaufanych list, V1.1.1 (2021-05).

(2) ETSI TS 119 102-2 – Podpisy elektroniczne i infrastruktura (ESI); Procedury składania i walidacji podpisów cyfrowych AdES; Część 2: Sprawozdanie z walidacji podpisu, V1.4.1 (2023-06).