簡介〈歐盟提供合格信任服務者依循標準建議〉

簡介〈歐盟提供合格信任服務者依循標準建議〉

資訊工業策進會科技法律研究所
2021年6月25日

壹、事件摘要

  歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」(簡稱eIDAS規章)[1],並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上,進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架,以促進整個歐盟跨境間的電子交易環境,進而達到歐盟數位單一市場的目標[3]

  eIDAS規章共有六章,其核心包含兩大部分[4],在第二章中規範了電子識別機制(Electronic Identification),並於第三章中建構一系列電子交易中相關信任服務(Trust Services, TS)的法律架構,包含電子簽章(Electronic signatures)、電子封條(Electronic seals)、電子時戳(Electronic time stamps)、電子註冊傳輸服務(Electronic registered delivery services)、網站認證(Website authentication)。每種信任服務,又可以區分由一般的信任服務提供者(Trust Service Provider, TSP)或由合格信任服務提供者(Qualified Trust Service Provider, QTSP)提供,要成為QTSP必須經各成員國的監督機關授予合格地位後,才能提供該類合格信任服務(Qualified Trust Service, QTS),在eIDAS規章中合格信任服務具有更高的法律效力。譬如,根據eIDAS規章第25條第2項規定,合格電子簽章(qualified electronic signature)與手寫簽章具有同等的法律效力。

  歐盟網路安全局(European Union Agency for Cybersecurity, ENISA[5])於2021年3月發布一份報告,提供合格信任服務者依循標準的建議(Recommendations For QTSPs Based On Standards) [6],給想要申請成為QTSP的業者參考。

貳、重點說明

  承前所述,eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境,為弭平各會員國對於電子識別服務的落差,報告中指出,必須透過法律框架(Legal framework)、信賴框架(Trust framework)、標準化框架(Standardisation framework)共同達成,以提升歐盟數位單一市場中企業和消費者的信任,並促進信任服務和產品的使用。

(一)法律框架

  eIDAS規章中規定了9種QTS的安全要求及其提供者的義務,包括:

1.電子簽章的合格憑證;
2.電子封條的合格憑證;
3.網站認證的合格憑證;
4.合格電子時戳服務;
5.合格電子簽章的合格驗證服務;
6.合格電子封條的合格驗證服務;
7.合格電子簽章的合格維護服務;
8.合格電子封條的合格維護服務;
9.合格電子註冊傳輸服務。

(二)信賴框架

  其次,eIDAS規章透過事前(ex ante)和事後(ex post)監督的方式,來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構(Conformity Assessment Body, CAB)的評估,由其出具評估報告後,再由各成員國的監督機關決定是否授予QTSP資格;取得QTSP資格後會受到不定期稽核,且至少每24 個月須再次自費通過CAB評估審核[7]

(三)標準化框架

  eIDAS規章中對各項TS的安全要求是採取技術中立(technology-neutral)的態度,並未限定要採用何種特定技術。換言之,TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上,歐盟希望在eIDAS規章所建構的法律框架和信賴框架中,透過產業自律,慢慢形成相關的標準共識。

  歐盟從2009年開始,就由歐洲標準化委員會(European Committee for Standardization, CEN)、歐洲電信標準協會(European Telecommunications Standards Institute, ETSI)等歐盟標準化組織協助擬定和更新電子簽章的相關標準,希望可以建立一個更完整的標準化框架,以解決歐盟跨境使用電子簽章遭遇的問題,至今已經建構出一系列電子簽章和相關信任服務的標準,以滿足國際及eIDAS規章的要求,ETSI/CEN與數位簽章有關的標準包含七個面向。

1.介紹性

  此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。

2.簽章的建立與驗證

  此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪(Protection Profiles, PP)[8]

3.簽章建立和其他相關設備

  此類標準主要是與電子簽章產生的設備,以及其他與數位簽章相關服務的設備有關。

4.加密

  此類標準主要是與簽章的加密有關,譬如金鑰產生演算法(key generation algorithms)和雜湊函數(hash functions)等。

5.支持數位簽章及相關服務的TSP

  此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。

6.信任應用服務提供者

  此類標準主要與應用電子簽章提供加值服務的TSP有關,如電子傳輸服務、資料檔案長期保存服務等。

7.信任服務資格提供者

  此類標準主要與eIDAS規章中信任名單(trusted lists)相關的程序和格式有關[9]

  其中,在ETSI/CEN關於數位簽章的標準中,主要與QTSP有關的標準如下:

1.電子簽章的合格憑證(eIDAS規章第28條)

  ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5)。

2.電子封條的合格憑證(eIDAS規章第38條)

  ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5)。

3.網站認證的合格憑證(eIDAS規章第45條)

  ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5)。

4.合格電子時戳(eIDAS規章第42條)

  ETSI EN 319 421(且要符合EN 319 401)、EN 319 422。

5.合格電子簽章的合格驗證服務(eIDAS規章第33條)

  ETSI TS 119 441(且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。

6.合格電子封條的合格驗證服務(eIDAS規章第40條)

  ETSI TS 119 441(且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。

7.合格電子簽章的合格維護服務(eIDAS規章第34條)

  ETSI EN 319 401、TS 119 511、TS 119 512。

8.合格電子封條的合格維護服務(eIDAS規章第40條)

  ETSI EN 319 401、TS 119 511、TS 119 512。

9.合格電子註冊傳輸服務(eIDAS規章第44條)

  ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。

參、事件評析

  從歐盟ENISA的建議可以瞭解,歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準,來引導資通訊廠商申請成為QTSP,提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務,以強化使用者的信心,進而促進整個歐盟電子交易的蓬勃發展。

  近年來,我國企業也積極投入數位轉型,在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而,由於企業對於資通訊技術不熟悉,因此在選擇資通訊廠商時,往往不知道如何判斷其專業能力,或許企業可以參考上述的介紹,以該廠商是否符合歐盟相關標準的要求,作為選擇資通訊廠商的參考依據,以確保資通訊廠商的能力具有一定水準,這樣對於企業數位轉型及進軍歐盟市場會相當有助益。

  

[1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021).

[2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021).

[3]參前註1,eIDAS前言(3).

[4]中文介紹可參考李姿瑩,〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉,《科技法律透析》,第31卷第11期,25-32頁,(2019年11月)。

[5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security),2019年更改為現名,但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021).

[6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021).

[7]參前註1,eIDAS規章第20條。

[8]保護剖繪是指申請者依共同準則規章(common criteria, CC)製作之資通安全產品安全基本需求文件,可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉,國家通訊傳播委員會,https://ise.ncc.gov.tw/faq(最後瀏覽日:2021/06/24)。

[9]參前註1,eIDAS規章第22條第2項、第4項。

相關連結
你可能會想參加
※ 簡介〈歐盟提供合格信任服務者依循標準建議〉, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8687 (最後瀏覽日:2025/07/06)
引註此篇文章
你可能還會想看
幹細胞研究 麻州亮綠燈

  美國麻薩諸賽州州長 Mitt Rom-ney 在五月二十七日否決一項允許在麻州擴大胚胎幹細胞試驗研究法案。州長支持使用成年人的幹細胞或從治療不孕症診所剩餘冷凍胚胎提取細胞的研究,但他呼籲州議員禁止複製,因為提取幹細胞會摧毀胚胎。他說,這相當於創造人類生命只是為了摧毀它,在道德上不具有合理性。此外,他還呼籲州議員在法案中增設一項條款,規定懷孕那一刻即為生命開始,禁止為了其他研究製造胚胎,並限制給捐獻卵子婦女的補償,但州議會拒絕他了的所有這些要求。該州參眾兩會在同月三十一日以壓倒性的票數,推翻州長先前在二十七日所為之否決,並使該法案立即生效。   根據舊州法,若麻州科學家想進行胚胎幹細胞研究,必須獲得地區檢察官批准。新法實施後,科學家不需等待地區檢察官同意後才能進行研究,但州衛生廳將有權管制過程。除此之外,這項新法和聯邦法一樣,禁止複製嬰兒。   美國各州對幹細胞研究的態度迥異,甚至可以說處於分裂狀態。有七個州禁止任何複製研究,十一個州禁止幹細胞研究。但是,加州在二○○四年率先透過法案支持胚胎幹細胞研究,還計劃在十年內從州預算中撥款三十億美元資助這項研究。麻州緊隨其後。紐約、康涅狄格、賓州等也準備放寬對幹細胞研究的限制。 支持胚胎幹細胞研究者紛紛希望,麻州能成為治療脊椎受傷和糖尿病、柏金森氏症等疾病的科學先進研究中心。

中國大陸電子遊戲機內銷管制變革

中國大陸電子遊戲機內銷管制變革 科技法律研究所 法律研究員 蘇彥彰 2014年07月22日   自中國大陸國務院2000年發布「國務院辦公廳轉發文化部等部門關於開展電子遊戲經營場所專項治理意見的通知」起,至2013年12月21日國務院發佈「國務院關於在中國(上海)自由貿易試驗區內暫時調整有關行政法規和國務院文件規定的行政審批或者准入特別管理措施的決定」為止,中國大陸長期以來嚴格執行其境內的「遊戲機內銷禁令」,一方面限縮了中國大陸遊戲機市場的發展,另一方面也使手機、網路遊戲得以在中國大陸地區崛起。如今遊戲機禁令逐步鬆動,是否會帶動整體遊戲市場洗牌,值得關注。為此,以下回顧中國大陸近年來就家用、掌上型遊戲機的管制政策沿革,並提示逐步開放過程間可能出現的變化和問題。 壹、中國大陸自2000年起長期禁止電子遊戲主機的國內銷售   中國大陸國務院於2000年發布「國務院辦公廳轉發文化部等部門關於開展電子遊戲經營場所專項治理意見的通知」,當中明白表示「任何企業、個人不得再從事面向國內的電子遊戲裝置及其零、附件的生產、銷售活動」,此一決定造成風行於世界其它國家地區的家用、掌上型遊戲主機,在中國大陸遊戲市場喪失其合法性[1]。當時中國大陸官方就管制家用遊戲機政策所提出的理由是其「擾亂了社會治安秩序、對青少年的身心發展帶來潛在傷害」。   然事實上中國大陸對於可能同樣對青少年造成影響的網路遊戲,不僅未加以禁止,反而將其列為重點產業大力扶植,此一作為明顯和禁止電子遊戲主機內銷理由相矛盾。因此長期以來各大主力電子遊戲機廠商,如索尼、微軟、任天堂等,仍一直試圖以各種方法打入中國市場,並呼籲中國大陸政府開放對內銷售電子遊戲主機[2]。 貳、2013年宣布於上海自貿區內重新開放電子遊戲機之內銷   中國大陸對電子遊戲主機的禁令在持續13年後,在2013年9月18日中國國務院發布的「中國(上海)自由貿易試驗區總體方案」中,終於提出允許外資企業在自貿區從事遊戲設備的生產和銷售。此後,僅隔五天上海文廣新聞傳媒集團旗下的百視通便宣佈將與微軟在自貿區合資組建公司,宣稱主要業務是「設計、開發、製作遊戲、娛樂應用軟件及衍生產品;銷售、許可、市場行銷自產和協力廠商的遊戲、娛樂應用軟體;遊戲機相關技術諮詢和服務」[3]。緊接著在2013年12月21日國務院再發佈「國務院關於在中國(上海)自由貿易試驗區內暫時調整有關行政法規和國務院文件規定的行政審批或者准入特別管理措施的決定」,正式宣佈在自貿區內停止實施「遊戲機禁令」。至此,自貿區的遊戲機銷售大門正式向投資者開放。 參、電子遊戲機於中國大陸市場可能面對的問題   在前述微軟案例中,其採取的方式是透過合資模式進入中國大陸市場,有論者指出,之所以如此,主要原因在於上海自貿區仍是「禁止外商投資經營網路資料中心業務」。因此,對於微軟而言,仍需倚重百視通成熟的資料中心業務和機上盒業務牌照,以作為其在中國大陸地區網路服務的內容提供主體。除了前揭百視通宣佈將與微軟在自貿區合資組建公司外,另外兩間在電子遊戲機市場上佔有巨大版圖的索尼(SONY)和任天堂(NINTENDO)目前雖然還無具體動作,但業界人士預計這兩間在遊戲機產業界具有舉足輕重地位的公司,很有可能仿照百視通與微軟合資的模式,尋找具有中國境內相關執照的廠商合作,進入中國大陸市場。   另一方面,由於2014年6月底最新公布的上海自貿區「負面清單」[4]中,仍然明確規定自貿區內外商「禁止直接或間接從事和參與網絡遊戲運營服務」。由於遊戲機上遊戲目前已朝向具有網路連線功能趨勢發展,此類遊戲若經有關部門歸類為網路遊戲,由於外商不得直接或間接進行遊戲的營運,因此將為中國大陸國產遊戲軟體業者留下相當大的發展空間,可據以抵抗技術實力和知名度兼具的外商國際遊戲軟體大廠;反之若此類具網路連線功能的單機遊戲不在中國大陸網路遊戲營運資格之限制範圍內,外商可直接或間接介入經營,對於目前仍處於「全本土化」的中國大陸網路遊戲產業,勢必會帶來相當的衝擊和競爭。   此外,中國大陸雖然放鬆對電子遊戲主機的內銷管制,但對於關鍵的遊戲軟體,由於中國大陸對出版境外著作權人授權的電子出版物(含網路遊戲作品),仍需由新聞出版廣電總局進行內容審查[5],對於有意進入中國大陸電子遊戲機市場的企業,如何推出能通過內容審查卻又不失遊戲性的遊戲軟體,並讓長期以來已習慣於「低價」甚至「免費」網路遊戲的中國大陸消費者買單,都是相關產業有待克服的問題。 [1]蓝齐,〈国务院禁令解除游戏机成客厅娱乐新力量〉,《IT时代周刊》,2014年3期。 [2]徐涵,〈13年禁令一夕难解 游戏3巨头苦盼中国市场开放〉,《IT时代周刊》,2013年3期。 [3]诸悦,〈游戏机,“行货”来了〉,《小康。財智》,2013年10期。 [4]《中国(上海)自由贸易试验区外商投资准入特别管理措施(负面清单)(2014年修订)》(上海市人民政府公告2014年第1号)。 [5]《国务院对确需保留的行政审批项目设定行政许可的决定》(国务院令第412号2004.06.29)。

強制蒐集人體生物資料的人權標準-聯合國人權事務委員會的見解

全球創新指數顯示創新活動在疫情期間仍持續增長

  今(2021)年10月發布的2021年全球創新指數(GII)報告反映了創新如何塑造和維持世界的運作,最明顯的例子就是COVID-19疫苗的快速發展。此外,數位創新也提供了公部門和私部門應對大流行病浪潮的解決方案,例如接觸者追踪工具、應用程序和診斷方法等。   實際上在2020年9月,也就是COVID-19被宣佈為大流行病的六個月後,第13屆年度GII就預測了未來一年的研發支出將保持強勁。儘管大流行病造成了毀滅性的人員傷亡和經濟衝擊,但研發支出、智慧財產權申請和創業投資(VC)交易都在大流行病前的高峰上持續增長。   在2021年的GII報告中提到,在全球研發支出前2,500名的企業中,約有70%已發布了2020年的研發支出數據,從數據中可發現在2020年整體大約有10%的研發支出增長,且大約60%的企業聲稱其研發支出增加。在智慧財產權方面,向世界智慧財產權組織(WIPO)提交的國際專利申請在2020年創下歷史新高。2020年專利申請在醫療技術、製藥和生物技術呈現明顯增長,與前幾年形成鮮明對比,當時數位通信和電腦技術是增長最快的領域。與健康相關領域的專利活動反映了大流行病期間科學活動的持續增長,且鑑於最近醫療保健與加速數位化的研發突飛猛進,可以預期這些領域的專利申請將在未來幾年繼續強勁增長。

TOP