بإصدار اللائحة التنفيذية لقانون التوقيع الالكترونى وبانشاء هيئة تنمية صناعة تكنولوجيا المعلومات

النص الرسمي كما نُشر في الجريدة الرسمية، منقول حرفياً عن بوابة تشريعات محكمة النقض.

الديباجة

الوقائع المصرية - العدد ١١٥ تابع - في ٢٥ مايو سنة ٢٠٠٥

_________________________________________________

قرار وزير الإتصالات وتكنولوجيا المعلومات

رقم ١٠٩ لسنة ٢٠٠٥ بتاريخ١٥/٥/٢٠٠٥

بشأن إصدار اللائحة التنفيذية لقانون التوقيع الإلكتروني

وبإنشاء هيئة تنمية صناعة تكنولوجيا المعلومات

(وفقاً لأخر تعديل صادر في٢يولية عام٢٠٢٤)

وزير الاتصالات وتكنولوجيا المعلومات

بعد الاطلاع على الدستور؛

وعلى القانون المدنى؛

وعلى قانون التجارة؛

وعلى القانون رقم ١٣ لسنة ١٩٦٨ بشأن المرافعات المدنية والتجارية؛

وعلى القانون رقم ٢٥ لسنة ١٩٦٨ بشأن الإثبات فى المواد المدنية والتجارية؛

وعلى القانون رقم ٨٢ لسنة ٢٠٠٢ بشأن حماية حقوق الملكية الفكرية؛

وعلى القانون رقم ١٠ لسنة ٢٠٠٣ بشأن تنظيم الاتصالات؛

وعلى قانون رقم ١٥ لسنة ٢٠٠٤ بتنظيم التوقيع الإلكترونى وبإنشاء هيئة تنمية صناعة تكنولوچيا المعلومات؛

وعلى قرار رئيس الجمهورية رقم ٢٠١ لسنة ٢٠٠٤ بتشكيل الوزارة؛

قرر

المواد

مادة (الأولى)

يعمل بأحكام اللائحة التنفيذية للقانون رقم ١٥ لسنة ٢٠٠٤ بتنظيم التوقيع الإلكتروني وبإنشاء هيئة تنمية صناعة تكنولوجيا المعلومات المرفقة.

مادة (الثانية)

ينشر هذا القرار في الوقائع المصرية, ويعمل به من اليوم التالي لتاريخ نشره.

وزير الاتصالات وتكنلوجيا المعلومات

دكتور/طارق كامل

اللائحة التنفيذية للقانون رقم ١٥ لسنة ٢٠٠٤

بتنظيم التوقيع الإلكتروني وبإنشاء هيئة تنمية صناعة تكنولوجيا المعلومات

مادة (١)

في تطبيق أحكام هذه اللائحة يقصد بالمصطلحات الآتية المعاني المبينة قرين كل منها:

١- التوقيع الإلكتروني:

ما يوضع على محرر إلكتروني ويتخذ شكل حروف, أو أرقام, أو رموز, أو إشارات أو غيرها ويكون له طابع متفرد يسمح بتحديد شخص الموقع ويميزه عن غيره.

٢- الكتابة الإلكترونية:

كل حروف, أو أرقام, أو رموز أو أي علامات أخرى تثبت على دعامة الكترونية أو رقمية أو ضوئية أو أية وسيلة أخرى مشابهة وتعطي دلالة قابلة للإدراك.

٣- المحرر الإلكتروني:

رسالة بيانات تتضمن معلومات تنشأ, أو تدمج, أو تخزن, أو ترسل, أو تستقبل, كليا أو جزئيا, بوسيلة إلكترونية أو رقمية, أو ضوئية, أو بأية وسيلة أخرى مشابهة.

٤- الوسيط الإلكتروني:

أداة أو أدوات أو أنظمة إنشاء التوقيع الإلكتروني.

٥- الموقع:

الشخص الحائز على بيانات إنشاء التوقيع ويوقع عن نفسه أو عمن ينيبه أو يمثله قانونا.

٦- جهات التصديق الإلكتروني:

الجهات المرخص لها بإصدار شهادة التصديق الإلكتروني وتقديم خدمات تتعلق بالتوقيع الإلكتروني.

٧- شهادة التصديق الإلكتروني:

الشهادة التي تصدر من الجهة المرخص لها بالتصديق وتثبت الارتباط بين الموقع وبيانات إنشاء التوقيع.

٨- بيانات إنشاء التوقيع الإلكتروني:

عناصر متفردة خاصة بالموقع وتميزه عن غيره, ومنها على الأخص مفاتيح الشفرة الخاصة به, والتي تستخدم في إنشاء التوقيع الالكتروني.

٩- الختم الإلكترونى: Electronic seal

هو توقيع إلكترونى يسمح بتحديد - الشخص الاعتبارى - منشئ الختم ويميزه عن غيره.

١٠- منشئ الختم:

الشخص الاعتبارى الحائز على بيانات إنشاء الختم الالكترونى واستخدامه.

١١- بيانات إنشاء الختم الإلكترونى:

عناصر متفردة خاصة بمُنشئ الختم الإلكترونى وتميزه عن غيره، ومنها على الأخص مفاتيح الشفرة الخاصة به، والتى تُستخدم فى إنشاء الختم الإلكترونى.

١٢- شهادة الختم الإلكترونى:

الشهادة التى تصدر من الجهة المرخص لها بالتصديق، وتثبت الارتباط بين منشئ الختم وبيانات إنشاء الختم الإلكترونى.

١٣- البصمة الزمنية الالكترونية: Time Stamp

ما يوضع على محرر الكترونى ويتخذ شكل حروف أو أرقام أو رموز أو إشارات أو غيرها والتى تربط تلك البيانات بوقت محدد لإثبات وجود هذا المحرر الإلكترونى فى ذلك الوقت.

١٤- التشفير:

منظومة تقنية حسابية تستخدم مفاتيح خاصة لمعالجة وتحويل البيانات والمعلومات المقروءة إلكترونياً، بحيث تمنع استخلاص هذه البيانات والمعلومات إلا عن طريق استخدام مفتاح أو مفاتيح فك الشفرة.

١٥-تقنية شفرة المفتاحين العام والخاص (المعروفة باسم تقنية شفرة المفتاح العام):

منظومة تسمح لكل شخص طبيعى أو معنوى بأن يكون لديه مفتاحين متفردين، أحدهما عام متاح إلكترونياً، والثانى خاص يحتفظ به الشخص ويحفظه على درجة عالية من السرية.

١٦- المفتاح الشفرى العام:

أداة إلكترونية متاحة للكافة، تنشأ بواسطة عملية حسابية خاصة، وتستخدم فى التحقق من شخصية الموقع على المحرر الإلكترونى، والتأكد من صحة وسلامة محتوى المحرر الإلكترونى الأصلى.

١٧-المفتاح الشفرى الخاص:

أداة إلكترونية خاصة بصاحبها، تنشأ بواسطة عملية حسابية خاصة، ويتم الاحتفاظ بها على أداة إنشاء التوقيع الإلكتروني، وتُستخدم فى وضع التوقيع الإلكترونى على المحررات الإلكترونية.

١٨-المفتاح الشفرى الجذرى:

أداة إلكترونية تنشأ بواسطة عملية حسابية خاصة، وتستخدمها جهات التصديق الإلكترونى لإنشاء شهادات التصديق الإلكترونى وبيانات إنشاء التوقيع الإلكترونى.

١٩- الدعامة الإلكترونية:

وسيط مادى لحفظ وتداول الكتابة الإلكترونية، ومنها الأقراص المدمجة أو الأقراص الضوئية أو الأقراص الممغنطة أو الذاكرة الإلكترونية أو أى وسيط آخر مماثل.

٢٠- أداة التوقيع الإلكترونى:

وسيط إلكترونى مؤمن يُستخدم فى عملية إنشاء وتثبيت التوقيع الإلكترونى على المحرر الإلكترونى، ويشمل هذا التعريف الكروت الذكية والشرائح الإلكترونية المنفصلة، أو غير ذلك من وسائط أو أنظمة تتطابق معه من حيث تحقيق الوظائف المطلوبة، وفقاً للمعايير التقنية والفنية المحددة فى هذه اللائحة.

٢١- منظومة تكوين بيانات إنشاء التوقيع الإلكتروني:

مجموعة عناصر مترابطة ومتكاملة، تحتوى على وسائط إلكترونية وبرامج حاسب آلى يتم بواسطتها تكوين بيانات إنشاء التوقيع الإلكترونى باستخدام المفتاح الشفرى الجذري، ويشمل ذلك بيانات إنشاء الختم الالكترونى .

٢٢- شهادة فحص بيانات إنشاء التوقيع الإلكترونى:

شهادة تصدرها الهيئة بنتيجة الفحص والتحقق من صحة بيانات إنشاء التوقيع الإلكتروني، بما فى ذلك الختم الإلكترونى.

٢٣- شهادة فحص التوقيع الإلكتروني:

شهادة تصدرها الهيئة بنتيجة فحصها لصحة وسلامة التوقيع الإلكترونى، بما فى ذلك الختم الإلكترونى.

٢٤- شهادة اعتماد جهات التصديق الإلكترونى الأجنبية:

شهادة تصدرها الهيئة باعتماد جهات التصديق الإلكترونى الأجنبية، وما تصدره هذه الجهات من شهادات التصديق الإلكترونى النظيرة للشهادات الصادرة داخل جمهورية مصر العربية.

٢٥- بصمة شهادة السلطة الجذرية العليا للتصديق الإلكترونى:

هى بصمة متفردة تتكون من أحرف وأرقام ورموز، تنتج من عملية حسابية أحادية الاتجاه، يتم إجراؤها على محتويات شهادة السلطة الجذرية العليا للتصديق الإلكترونى الموقعة ذاتياً، تكون ذات مرجعية وموثوقية ودلالة على تلك الشهادة، ولا تسمح باسترجاع محتويات الشهادة بصورة منفصلة.

٢٦- الهيئة:

هيئة تنمية صناعة تكنولوجيا المعلومات.

٢٧- الوزارة المختصة:

الوزارة المختصة بشئون الاتصالات وتكنولوجيا المعلومات.

٢٨- الوزير المختص:

الوزير المختص بشئون الاتصالات وتكنولوجيا المعلومات.

٢٩- القانون:

القانون رقم ١٥ لسنة ٢٠٠٤ بتنظيم التوقيع الإلكترونى وبإنشاء هيئة تنمية صناعة تكنولوجيا المعلومات.(٢)(٣)

مادة (٢)

تكون منظومة تكوين بيانات إنشاء التوقيع الإلكتروني مؤمنة متى استوفت ما يأتي:

(أ) الطابع المتفرد لبيانات إنشاء التوقيع الإلكتروني.

(ب) سرية بيانات إنشاء التوقيع الإلكتروني.

(ج) عدم قابلية الاستنتاج أو الاستنباط لبيانات إنشاء التوقيع الإلكتروني.

(د) حماية التوقيع الإلكتروني من التزوير, أو التقليد, أو التحريف, أو الاصطناع أو غير ذلك من صور التلاعب, أو من إمكان إنشائه من غير الموقع.

(هـ) عدم إحداث أي إتلاف بمحتوى أو مضمون المحرر الإلكتروني المراد توقيعه.

(و) ألا تحول هذه المنظومة دون علم الموقع علما تاما بمضمون المحرر الإلكتروني قبل توقيعه له.

(ز) أن تربط التوقيع الالكتروني بالمحرر الالكتروني بطريقة متفردة تمنع إجراء أي تعديل بعد عملية التوقيع دون اكتشافة.(٣)

مادة (٣)

يجب أن تتضمن منظومة تكوين بيانات إنشاء التوقيع الإلكترونى المؤمنة الضوابط الفنية والتقنية اللازمة، وعلى الأخص ما يلى:

(أ) أن تكون المنظومة مستندة إلى تقنية شفرة المفتاحين العام والخاص وإلى المفتاح الشفرى الجذرى الخاص بالجهة المرخص لها والذى تصدره لها الهيئة، وذلك كله وفقاً للمعايير الفنية والتقنية المشار إليها فى الفقرة (أ) من الملحق الفنى والتقنى المرفق بهذه اللائحة.

(ب) أن تكون التقنية المستخدمة فى إنشاء مفاتيح الشفرة الجذرية لجهات التصديق الإلكترونى من التى تستعمل مفاتيح تشفير بأطوال لا تقل عن ٤٠٩٦ حرف إلكترونى (bit).

(ج) أن تكون أجهزة التأمين الإلكترونى (Hardware Security Modules) المستخدمة معتمدة طبقاً للضوابط الفنية والتقنية المشار إليها فى الفقرة (ب) من الملحق الفنى والتقنى المرفق بهذه اللائحة.

(د) أن يتم استخدام أدوات توقيع إلكترونى غير قابلة للنسخ ومحمية بكود سري، تحتوى على عناصر متفردة للموقع وهى بيانات إنشاء التوقيع الإلكترونى وشهادة التصديق الإلكتروني، ويتم تحديد مواصفات أداة التوقيع الإلكترونى وأنظمتها، وفقاً للمعايير الفنية والتقنية المبينة فى الفقرة (ج) من الملحق الفنى والتقنى المرفق بهذه اللائحة.

(هـ) أن تضمن المنظومة لجميع أطراف التعامل إتاحة البيانات الخاصة بالتحقق من صحة التوقيع الإلكتروني، وارتباطه بالموقع دون غيره، وأن تضمن أيضًا عملية الإدراج الفورى والإتاحة اللحظية لقوائم الشهادات الموقوفة أو الملغاة، وذلك فور التحقق من توافر أسباب تستدعى إيقاف الشهادة، على أن يتم هذا التحقق خلال فترة محددة ومعلومة للمستخدمين، حسب القواعد والضوابط التى يضعها مجلس إدارة الهيئة.(٣)

مادة (٤)

يشترط لإثبات البصمة الزمنية الإلكترونية توافر ما يلى:

(أ) أن تربط التاريخ والوقت بالمحرر الإلكترونى بطريقة تمنع إمكانية تغيير البيانات دون اكتشافها.

(ب) أن يستند إلى مصدر زمنى دقيق معتمد من السلطة الجذرية العليا للتصديق الإلكتروني.

(ج) يُجرى إنشاءه بواسطة السلطة الجذرية العليا للتصديق الإلكترونى أو من إحدى الجهات المرخص لها من قبل الهيئة، وفقًا للضوابط الفنية والتقنية المنصوص عليها فى الفقرة (أ) من الملحق الفنى والتقنى المرفق بهذه اللائحة.(٣)

مادة (٥)

لمجلس إدارة الهيئة أن يضع نظم وقواعد أخرى لمنظومة تكوين بيانات إنشاء التوقيع الإلكتروني؛ لمواكبة التطورات التقنية والتكنولوجية.(٣)

مادة (٦)

الهيئة هى السلطة الجذرية العليا للتصديق الإلكترونى فى جمهورية مصر العربية، وتتولى إصدار المفاتيح الشفرية الجذرية الخاصة للجهات المرخص لها بإصدار شهادات التصديق الإلكتروني. وتتحقق الهيئة قبل منح ترخيص مزاولة نشاط تقديم خدمات التوقيع الإلكترونى من أن منظومة تكوين بيانات إنشاء التوقيع الإلكترونى لدى الجهة المرخص لها مؤمنًة طبقاً للمادة (٢) من هذه اللائحة، ومتضمنًة الضوابط الفنية والتقنية والنظم والقواعد المبينة فى المادتين (٣، ٥) من هذه اللائحة. وتعتبر المنظومة بعد منح الترخيص وطوال مدة نفاذ مفعوله، مؤمنة وفعالة ما لم يثبت العكس.(٣)

مادة (٧)

تقدم الهيئة، بناءً على طلب كل ذى شأن، خدمة الفحص والتحقق من صحة بيانات إنشاء التوقيع الإلكترونى والختم الإلكترونى نظير مقابل يحدد فئاته مجلس إدارة الهيئة، ويجوز للهيئة أن تعهد للغير بتقديم هذه الخدمة تحت إشرافها. وفى جميع الأحوال، تصدر الهيئة شهادة فحص بيانات إنشاء التوقيع الإلكتروني. (٣)

مادة (٨)

تقدم الهيئة، بناءٍ على طلب كل ذى شأن، خدمة فحص التوقيع الإلكتروني، الختم الإلكتروني، البصمة الزمنية الإلكترونية، نظير مقابل يحدد فئاته مجلس إدارة الهيئة، وتتحقق الهيئة فى سبيل القيام بذلك مما يأتي:

(أ) سلامة شهادة التصديق الإلكترونى وتوافقها مع بيانات إنشاء التوقيع الإلكترونى أو الختم الإلكتروني.

(ب) إمكان تحديد مضمون المحرر الإلكترونى محل الفحص بدقة.

(ج) سهولة العلم بشخص الموقع أو منشئ الختم.

(د ) توافر الشروط الواردة فى المادة (٤) من هذه اللائحة؛ وذلك لفحص البصمة الزمنية الإلكترونية. (٣)

مادة (٩)

مع عدم الإخلال بالشروط المنصوص عليها فى القانون، تتحقق حجية الإثبات المقررة للكتابة الإلكترونية والمحررات الإلكترونية الرسمية أو العرفية لمنشئها، إذا توافرت الضوابط الفنية والتقنية الآتية:

(أ) أن يكون متاحاً فنياً تحديد وقت وتاريخ إنشاء الكتابة الإلكترونية أو المحررات الإلكترونية الرسمية أو العرفية، وأن تتم هذه الإتاحة من خلال نظام حفظ إلكترونى مستقل وغير خاضع لسيطرة منشئ هذه الكتابة أو تلك المحررات، أو لسيطرة المعنى بها.

(ب) أن يكون متاحاً فنياً تحديد مصدر إنشاء الكتابة الإلكترونية أو المحررات الإلكترونية الرسمية أو العرفية ودرجة سيطرة مُنشئها على هذا المصدر وعلى الوسائط المستخدمة فى إنشائها.

(ج) فى حالة إنشاء وصدور الكتابة الإلكترونية أو المحررات الإلكترونية الرسمية أو العرفية بدون تدخل بشري، جزئى أو كلي، فإن حجيتها تكون متحققة متى أمكن التحقق من وقت وتاريخ إنشائها ومن عدم العبث بهذه الكتابة أو تلك المحررات. (٣)

مادة (١٠)

يتحقق من الناحية الفنية والتقنية، ارتباط التوقيع الإلكترونى بالموقع وحده دون غيره متى استند هذا التوقيع إلى منظومة تكوين بيانات إنشاء توقيع إلكترونى مؤمنة على النحو الوارد فى المواد (٢، ٣، ٥) من هذه اللائحة، وتوافرت إحدى الحالتين الآتيتين:

(أ) أن يكون هذا التوقيع مرتبطاً بشهادة تصديق إلكترونى معتمدة ونافذة المفعول صادرة من جهة تصديق إلكترونى مرخص لها أو معتمدة.

(ب) أن يتم التحقق من صحة التوقيع الإلكترونى طبقاً للمادة (٨) من هذه اللائحة. (٣)

مادة (١١)

تتحقق من الناحية الفنية والتقنية، سيطرة الموقع وحده دون غيره، على الوسيط الإلكترونى المستخدم فى عملية تثبيت التوقيع الإلكترونى عن طريق حيازة الموقع أو تحكمه فى أداة حفظ المفتاح الشفرى الخاص.(٣)

مادة (١٢)

مع عدم الإخلال بما هو منصوص عليه فى المواد (٢، ٣، ٥) من هذه اللائحة، يتم من الناحية الفنية والتقنية، كشف أى تعديل أو تبديل فى بيانات المحرر الإلكترونى الموقع إلكترونياً، باستخدام تقنية شفرة المفتاحين العام والخاص، وبمضاهاة شهادة التصديق الإلكترونى وبيانات إنشاء التوقيع الإلكترونى بأصل هذه الشهادة وتلك البيانات، أو بأى وسيلة مشابهة. (٣)

مادة (١٣)

يجب أن يتوافر لدى طالب الحصول على الترخيص بمزاولة نشاط تقديم خدمات التوقيع الإلكترونى المتطلبات التالية:

(أ) نظام تأمين للمعلومات وحماية البيانات وخصوصيتها، بمستوى حماية لا تقل عن المستوى المذكور فى المعايير والقواعد، المشار إليها فى الفقرة (د) من الملحق الفنى والتقنى المرفق بهذه اللائحة.

(ب) دليل إرشادى يتضمن ما يلى:

١- إصدار شهادات التصديق الإلكتروني.

٢- إدارة المفاتيح الشفرية.

٣- إدارة الأعمال الداخلية.

٤- إدارة التأمين والكوارث.

وذلك وفقاً للمعايير الفنية والتقنية المذكورة فى الفقرة (هـ) من الملحق الفنى والتقنى المرفق بهذه اللائحة.

(ج) منظومة تكوين بيانات إنشاء التوقيع الإلكترونى مؤمنة وفقاً للضوابط الفنية والتقنية المنصوص عليها فى المواد (٢، ٣، ٥) من هذه اللائحة.

(د) نظام لتحديد تاريخ ووقت إصدار الشهادات، وإيقافها، وتعليقها، وإعادة تشغيلها ، وإلغائها.

(هـ) نظام للتحقق من الأشخاص المصدر لهم شهادات التصديق الإلكتروني، والتحقق من صفاتهم المميزة.

(و) المتخصصون من ذوى الخبرة الحاصلين على المؤهلات الضرورية لأداء الخدمات المرخص بها.

(ز) نظام حفظ بيانات إنشاء التوقيع الإلكترونى وشهادات التصديق الإلكترونى طوال المدة التى تحددها الهيئة فى الترخيص، وتبعاً لنوع الشهادة المصدرة، وذلك فيما عدا مفاتيح الشفرة الخاصة التى تصدرها للموقع فلا يتم حفظها إلا بناء على طلب من الموقع وبموجب عقد مستقل يتم إبرامه بين المرخص له والموقع ووفقاً للقواعد الفنية والتقنية لحفظ هذه المفاتيح التى يضعها مجلس إدارة الهيئة.

(ح) نظام للحفاظ على السرية الكاملة للأعمال المتعلقة بالخدمات التى يرخص بها، وللبيانات الخاصة بالعملاء.

(ط) نظام لإيقاف الشهادة فى حالة ثبوت توافر حالة من الحالات الآتية:

١- العبث ببيانات الشهادة أو انتهاء مدة صلاحيتها.

٢- سرقة أو فقد المفتاح الشفرى الخاص أو أداة التوقيع الإلكترونى، أو عند الشك فى حدوث ذلك.

٣- عدم التزام الشخص المصدر له شهادة التصديق الإلكترونى ببنود العقد المبرم مع المرخص له. ويكون نظام إيقاف الشهادات وفقاً للقواعد والضوابط التى يضعها مجلس إدارة الهيئة.

(ك) نظام يتيح وييسر للهيئة التحقق من صحة بيانات إنشاء التوقيع الإلكتروني، وبخاصة فى إطار أعمال الفحص والتحقق من جانب الهيئة.(٣)

مادة (١٤)

فى جميع الأحوال، يلتزم المرخص له بعدم إبرام أى عقد مع العملاء إلا بعد اعتماد نموذج هذا العقد من الهيئة، طبقاً للقواعد والضوابط التى يضعها مجلس إدارة الهيئة فى هذا الشأن لضمان حقوق ذوى الشأن. (٣)

مادة (١٥)

على طالب الترخيص بمزاولة نشاط تقديم خدمات التوقيع الإلكتروني، أن يقدم الضمانات والتأمينات التى يحددها مجلس إدارة الهيئة، لتغطية أى أضرار أو أخطار تتعلق بذوى الشأن، وذلك فى حالة إنهاء الترخيص لأى سبب، أو لتغطية أى إخلال من جانبه لالتزاماته الواردة فى الترخيص. (٣)

مادة (١٥مكرراً)

للهيئة منح ترخيص خاص لجهة التصديق الإلكتروني الحكومية لإصدار شهادات تصديق إلكتروني يقتصر التعامل بها على تسيير العمل الداخلي في الجهات الحكومية وبين بعضها البعض بذات الشروط المنصوص عليها في القانون وهذه الائحة، مع مراعاة ما يلي:

"للهيئة أن تقر استخدام تكنولوجيا وطنية بديلة لأجهزة أو أنظمة التشفير لتقديم خدمات التوقيع الإلكتروني، وما يترتب على ذلك من إعفاء تلك الأجهزة والأنظمة من شرط الحصول على شهادات المعايير الدولية المنصوص عليها في الملحق الفني الفقرة (ب) والفقرة (ج) من هذه اللائحة، وذلك مع اشتراط توافق تلك الأجهزة أو الأنظمة مع كافة المتطلبات والمواصفات المذكورة في تلك المعايير".

أن يتم التصديق على المفاتيح الشفرية الجذرية الخاصة بجهة التصديق الإلكتروني الحكومية بواسطة الهيئة.(١)

مادة (١٦)

تُّتبع الإجراءات الآتية ، للحصول على الترخيص بمزاولة نشاط تقديم خدمات التوقيع الإلكترونى

(أ) التقدم بالطلب على النماذج التى تعدها الهيئة فى هذا الشأن مصحوباً بالبيانات والمستندات الدالة على توافر الشروط والأحكام المنصوص عليها فى المواد (٣، ٥، ١٣، ١٥) من هذه اللائحة.

(ب) تقوم الهيئة بعد تسلمها لكافة المستندات والبيانات المطلوبة، وفقاً للبند (أ) من طالب الترخيص بفحصها والتأكد من سلامتها، وتبت الهيئة فى طلب الحصول على الترخيص خلال مدة لا تتجاوز ستين يوماً من تاريخ استيفاء طالب الترخيص لجميع ما تطلبه الهيئة منه، ما لم تخطر الهيئة طالب الترخيص بمد هذه المدة، وفى حالة انقضاء هذه المدة دون إصدار الترخيص يعتبر الطلب مرفوضاً.

(ج) يحدد مجلس إدارة الهيئة مقابل إصدار وتجديد الترخيص وقواعد وإجراءات اقتضائه ، ويلتزم المرخص له بسداد هذا المقابل عند منح الترخيص.

(د) تمنح الهيئة الترخيص طبقاً للإجراءات والقواعد والضمانات المنصوص عليها فى القانون وفى هذه اللائحة ، وما يقره مجلس إدارة الهيئة من قواعد فى هذا الشأن. (٣)

مادة (١٧)

للهيئة منح ترخيص خاص لجهة التصديق الإلكترونى الحكومية، لمزاولة أنشطة خدمات التوقيع الإلكتروني، يقتصر التعامل بها على تسيير العمل الداخلى فى الجهات الحكومية وبين بعضها البعض، بذات الشروط المنصوص عليها فى القانون وهذه اللائحة، مع مراعاة أن يتم التصديق على المفاتيح الشفرية الجذرية الخاصة بجهة التصديق الإلكترونى الحكومية بواسطة الهيئة.

وللهيئة منح ترخيص خاص لبعض الجهات الحكومية الأخرى لتقديم خدمات التوقيع الإلكترونى، وفقاً للشروط والضوابط التى يصدر بها قرار من مجلس إدارة الهيئة ، مع مراعاة أن يتم التصديق على المفاتيح الشفرية الجذرية الخاصة بهذه الجهات بواسطة الهيئة.(٣)

مادة (١٨)

تقوم الهيئة بالتفتيش على الجهات المرخص لها ، للتحقق من مدى التزامها بالترخيص . (٣)

مادة (١٩)

يُحدد فى الترخيص التزامات المرخص له ، وفقاً للقانون وهذه اللائحة والقرارات الصادرة من مجلس إدارة الهيئة فى هذا الشأن .(٣)

مادة (٢٠)

ينشأ جدول خاص بالهيئة تُقيد فيه الجهات المرخص لها، ويُعطى لكل جهة رقم مسلسل ، ويحدد فيه نوع الترخيص الممنوح لها، ويتضمن بيانات عن هذه الجهة ورأس مالها وأعضاء مجلس إدارتها والمديرين بها وفروعها ومكاتبها وغير ذلك من البيانات التى يحددها مجلس إدارة الهيئة.(٣)

مادة (٢٠ مكرراً)

تتحدد النسختان الأساسية والاحتياطية لبصمتي شهادتي التصديق الإلكتروني الجذرية الموقعتين ذاتياً بالأحرف والأرقام والرموز المبينة بالشكلين رقمي (١, ٢) من مرفق البصمات, وتستخدم البصمة من الكافة للتيقن والتثبت من صحة وسلامة شهادة التصديق الإلكتروني الجذرية الموقعة ذاتياً والمتاحة عبر شبكة المعلومات الدولية.(٢)

مادة (٢١)

تكون الهيئة هى الجهة المختصة بتقديم المشورة الفنية وأعمال الخبرة بشأن المنازعات التى تنشأ بين الأطراف المعنية بأنشطة التوقيع الإلكترونى والمعاملات الإلكترونية وتكنولوجيا المعلومات ، على أن يتم التنسيق مع الجهات المعنية فيما يتعلق بأعمال الخبرة .(٣)

مادة (٢٢)

يجب أن تشتمل نماذج شهادات التصديق الإلكترونى التى يصدرها المرخص له على البيانات الآتية، وذلك على نحو متوافق مع المعايير المحددة فى الفقرة (أ) من الملحق الفنى والتقنى المرفق بهذه اللائحة:

١- ما يفيد صلاحية هذه الشهادة للاستخدام فى التوقيع الإلكترونى.

٢- موضوع الترخيص الصادر للمرخص له، موضحاً فيه نطاقه ورقمه وتاريخ إصداره وفترة سريانه.

٣- اسم وعنوان الجهة المصدرة للشهادة ومقرها الرئيسى وكيانها القانونى والدولة التابعة لها (إن وجدت).

٤- اسم الموقع الأصلى أو اسمه المستعار أو اسم شهرته، وذلك فى حالة استخدامه لأحدهما.

٥-صفة الموقع.

٦- المفتاح الشفرى العام لحائز الشهادة المناظر للمفتاح الشفرى الخاص به.

٧- تاريخ بدء صلاحية الشهادة وتاريخ انتهائها.

٨- رقم مسلسل للشهادة.

٩- التوقيع الإلكترونى لجهة إصدار الشهادة.

١٠-عنوان الموقع الإلكترون (Web Site) المخصص لقائمة الشهادات الموقوفة أو الملغاة.

ويجوز أن تشتمل الشهادة على أى من البيانات الآتية عند الحاجة

١- ما يفيد اختصاص الموقع والغرض الذى تستخدم فيه الشهادة.

٢- حد قيمة التعاملات المسموح بها بالشهادة.

٣- مجالات استخدام الشهادة.(٣)

مادة (٢٣)

تتحدد النسختان الخاصتان ببصمتى شهادتى السلطة الجذرية العليا للتصديق الإلكترونى الموقعتين ذاتياً بالأحرف والأرقام والرموز المبينة بالشكلين رقمى (١، ٢) من مرفق البصمات الوارد فى الفقرة (و) من الملحق الفنى والتقنى المرفق بهذه اللائحة، وتستخدم البصمة من الكافة للتيقن والتثبت من صحة وسلامة شهادة التصديق الإلكترونى الجذرية الموقعة ذاتياً والمتاحة عبر شبكة المعلومات الدولية على الموقع التالي(٣)

مادة (٢٤)

للهيئة اعتماد الجهات الأجنبية المختصة بإصدار شهادات التصديق الإلكتروني، فى إحدى الحالات الآتية:

(أ) أن يتوافر لدى الجهة الأجنبية القواعد والاشتراطات المبينة فى هذه اللائحة بالنسبة للجهات التى ترخص لها الهيئة بمزاولة نشاط إصدار شهادات التصديق الإلكتروني.

(ب) أن يكون لدى الجهة الأجنبية وكيل فى جمهورية مصر العربية مرخص له من قبل الهيئة بإصدار شهادات التصديق الإلكتروني، ويتوافر لديه كل المقومات المطلوبة للتعامل بشهادات التصديق الإلكتروني، ويكفل تلك الجهة فيما تصدره من شهادات تصديق إلكترونى وفيما هو مطلوب من اشتراطات وضمانات.

(ج) أن تكون الجهة الأجنبية ضمن الجهات التى وافقت جمهورية مصر العربية بموجب اتفاقية دولية نافذة فيها على اعتمادها باعتبارها جهة أجنبية مختصة بإصدار شهادات التصديق الإلكتروني.

(د) أن تكون الجهة الأجنبية ضمن الجهات المعتمدة أو المرخص لها بإصدار شهادات تصديق إلكترونى من قبل جهة الترخيص فى بلدها، وبشرط أن يكون هناك اتفاقاً بين جهة الترخيص الأجنبية وبين الهيئة على ذلك.

ويكون اعتماد تلك الجهات الأجنبية، بناءً على طلب مقدم منها أو من ذوى الشأن على النماذج التى تعدها الهيئة، كما يكون للهيئة فى الحالات المشار إليها فى البنود (أ، ج، د) من هذه المادة، اعتماد تلك الجهات من تلقاء نفسها.

وفى حالة التقدم بطلب للاعتماد، تقوم الهيئة بعد تسلمها للمستندات والبيانات المطلوبة بفحصها والتأكد من سلامتها ويبت مجلس إدارة الهيئة فى طلب الاعتماد خلال مدة لا تجاوز ستين يوماً من تاريخ استيفاء الجهة الأجنبية لكل ما تطلبه الهيئة، وفى حالة انقضاء هذه المدة دون إصدار الاعتماد، يعتبر الطلب مرفوضاً، ما لم تخطر الهيئة كتابة الجهة الطالبة بمد هذه المدة.

ويصدر قرار اعتماد الجهة الأجنبية من مجلس إدارة الهيئة بعد سداد المقابل الذى يحدده المجلس للاعتماد، ويحدد فى القرار مدة الاعتماد وأحوال تجديده، وللهيئة دائماً، بقرار مسبب، الحق فى إلغاء الاعتماد أو وقفه.(٣)

مادة (٢٥)

للجهات الأجنبية المعتمدة أن تطلب من الهيئة اعتماد أنواع أو فئات شهادات التصديق الإلكترونى التى تصدرها، ويكون ذلك وفقاً للقواعد والضوابط التى يضعها مجلس إدارة الهيئة فى هذا الشأن، وكذلك تحديد المقابل لاعتماد هذه الشهادات، ويحدد مجلس إدارة الهيئة عند اعتماده لأنواع وفئات الشهادات الأجنبية ما يناظرها من شهادات تصديق إلكترونى صادرة من الجهات المرخص لها فى جمهورية مصر العربية.(٣)

مادة (٢٦)

مع عدم الإخلال بالعقوبات المنصوص عليها فى المادة (٢٣) من القانون، يلتزم المرخص له بجميع أحكام الترخيص الصادر له من الهيئة، وفى حالة مخالفة المرخص لأى منها أو توقفه عن مزاولة النشاط المرخص، أو اندماج منشأته فى جهة أخرى ، أو تنازله عن الترخيص للغير، دون الحصول على موافقة كتابية مسبقة من الهيئة على أى من هذه الأفعال المشار إليها، يجوز للهيئة، بقرار مسبب، عندئذ إلغاء الترخيص أو وقفه لحين التدارك أو التصحيح.

ويجوز للهيئة فى حالتى الإلغاء أو الوقف أن تتخذ التدابير المناسبة فى هذا الشأن لحماية حقوق ذوى الشأن.(٣)

مادة (٢٧)

تصدر الهيئة دليل اعتماد منتجات وتطبيقات وأدوات التوقيع الإلكترونى المستخدمة داخل جمهورية مصر العربية.(٣)

الملحق الفني والتقني

يعمل بالمعايير الفنية والتقنية المنصوص عليها في هذا الملحق ، وتنشر أية تعديلات أو إضافات لاحقة يقرها مجلس إدارة الهيئة في الوقائع المصرية وذلك بعد اعتمادها من الوزير المختص.(٣)

الفقرة أ

PKI Technology

- The profiles for PKI operational management protocols must be based on PKIX (X٥٠٩-based PKI).

- Public Key Infrastructure and Certificate Revocation List (CRL) profile must be based on X.٥٠٩ ٥٢٨٠ and its update

- Time stamp service (TSP) profile must be according to the RFC ٣١٦١ and its update

- Online Certificate Status Protocol (OCSP) profile must be according to the RFC ٦٩٦٠and its updates

- At least one of the following algorithms must be deployed.

* Symmetric algorithms (AES, ٣DES, CAST٦, BLOWFISH, TWOFISH, IDEA.)

* Asymmetric algorithms (DSA, RSA, ELGamal)

* Hash algorithms (SHA٢ with ٢٢٤/٢٥٦/٣٨٤/٥١٢bit output )

- Minimum RSA/DSA key lengths must be at least ٢٠٤٨ bits. Increasing the length to ٤٠٩٦ bits is recommended with a view to guaranteeing Long term security levels.

- A baseline Certificate Policy for service providers issuing qualified certificates should be written according to the IETF (Internet Engineering Task Force) PKIX framework RFC ٣٦٤٧.

-electronic signature supports LTV(long Term Verification)that may be technically implemented through electronic signature standards e.g( XAdES(XML Advanced EIectronic Signature) BaseIine ProfiIe CAdES (CMS Advanced EIectronic Signature) BaseIine ProfiIe PAsES(PDF Advanced Electronic Signature) Baseline Profile)

الفقرة ب

Hardware Security Modules

- For e-signature creation and verification product and in trustworthy hardware devices used as secure signature creation devices, it isrequired to have concurrent acceptance and usage of FIPS ١٤٠-٢level ٣or higher, or CC EAL٥+ or higher.

الفقرة ج

Electronic signature creation devices

The creation devices are able to store private e-signature keys for its holder without delivering the key to the outside world. Therefore, the calculation of the signature algorithm as well as its storage is performed in a highly secure environment inside a creation device. Thus, it is required to have creation devices which use the most advanced security standard available in the market.

Feature Details

Supported operating systems Windows server ٢٠٠٨/R٢, Windows Server ٢٠١٢ and٢٠١٢ R٢, Mac OS, Linux, Windows ٨, Windows ١٠

API & Standards PKCS#١١, Microsoft CAPI, PC/SC, X.٥٠٩ v٣ certificate

On-board security algorithms Symmetric: ٣DES (ECB, CBC), AES (١٢٨, ١٩٢, ٢٥٦ bits) Hash: SHA-٢٥٦, SHA-٣٨٤, SHA-٥١٢ RSA: up to RSA ٢٠٤٨ bits (and optionally up to ٤٠٩٦ bits) Elliptic curves: P-٢٥٦, ECDSA, ECDH On-card asymmetric key pair generation (RSA up to RSA٢٠٤٨ & Elliptic curves

Security certifications FIPS ١٤٠-٢ level ٣ or higher or CC EALS+ or higher

الفقرة د

Security Standards

Information Security Management Standard (ISMS) as ISO/IEC ٢٧٠٠١ and its guidance ISO ٢٧٠٠٢ (recommended)

الفقرة هـ

Operation Standards

ETSI (The European Telecommunications Standards Institute) ETSI EN٣١٩ ٤١١-١ v١.٢.٢(٢٠١٨-٠٤) Policy requirements for certification authorities issuing qualified certificates, specifically Chapter ٥,٦ which covers the following parts:

- Certification practice statement

- Key management life cycle

- Certificate Management life cycle

- CA management and operation

- Or equivalent standard

الفقرة و

الشكل رقم (۱) بصمة شهادة السلطة الجذرية العليا للتصديق الإلكترونى الموقعة ذاتياً والتي تنتهي صلاحيتها في ٢٠٣٩/٦/٢٨

Certificate Serial Number (S/N): la b٦ bd a٨ fa Id f٧ ٥d Subject Key Identifier: ٦c٠c١eae٨e٨cecacda٩٣d٣d٨٣١٥cadf٣١٠٤٤d٣٣٣ Certificate Thumbprint: d٠ed٨٣a٨٤٣٧a٨c٠٩e٦ce٢٤٣٨٦٤٠٥c٦f٣٤٢٠f٢fc٠

الشكل رقم (۲): بصمة شهادة السلطة الجذرية العليا للتصديق الإلكترونى الموقعة ذاتياً والتي تنتهي صلاحيتها في ٢٠٢١/١٢/١٦

Certificate Serial Number (S/N): • In Decimal format: ٣١٦١٠٦٨٠٨٣٥٨٨٤٩٩٣٥٥٥٨٣٠١٧٩٣٩٥٩٠١٦٦٧١٤٧٨٨٩٤٨٤٠١١١١ • In Hexadecimal format: ٣٧ ٥e b٨ ٣٢ b٤ aa a٥ d٥ ٧٩ ٠١ ٦٥ af ٩c ٤٠ a٢ cf ٩٣ a٤ ٤٩ ٢f Certificates fingerprint(s): SHA-٢٥٦:٩٥B٧-A٥B٧-A٥١٣-٨AD٨-٩٣٧F-٤٨٥٥-٧٩A٧-٥BDC-٢C٠٧-٥F٩١ -A٨٥١-E٤٤٦-C٣٥E-B٧٥B-٨٥٦A-١٦٨٤-٠٥٤٩

ــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــــ

(١)تضاف مادة جديدة برقم (١٥مكرراً) للقرار الوزاري رقم ١٠٩ لسنة ٢٠٠٥ وذلك وفقاً للقرار رقم ٧ لسنة ٢٠٠٧ المنشور بتاريخ ١٤/١/٢٠٠٧.

(٢)يضاف بند جديد للمادة الأولى برقم (٢٧) للقرار الوزارى رقم ١٠٩ لسنة ٢٠٠٥.

وتضاف مادة جديدة برقم (٢٠ مكررًا) للقرار الوزارى رقم ١٠٩ لسنة ٢٠٠٥ وذلك وفقاً للقرار رقم ٣٠٧ لسنة ٢٠١٠ المنشور بتاريخ ٢١/١١/٢٠١٠.

(٣)تعدل اللائحة التنفيذية للقانون ١٥ لسنة ٢٠٠٤ بقرار وزير الإتصالات وتكنولوجيا المعلومات رقم ٣٦١ لسنة ٢٠٢٠ المنشور بتاريخ ٢٣ / ٤ / ٢٠٢٠.

(٤)بتعديل اللائحة التنفيذية للقانون رقم ١٥ لسنة٢٠٠٤ بتنظيم التوقيع الالكترونى و بإنشاء هيئة تنمية صناعة تكنولوجيا المعلومات وفقا للقرار رقم ٤٦٧ لسنة ٢٠٢٤ المنشور بتاريخ ٢/٧/٢٠٢٤.

ملاحظة من مؤسسة المستشار عاطف الحصوة: هذا نص تشريعي رسمي للاطلاع، ولا يُغني عن استشارة قانونية تتناول وقائع حالتك. احجز استشارة.