通知第41/2017/TT-BTTTT号关于国家机关电子文件使用数字签名的规定

通知

关于国家机关电子文件使用数字签名的规定

________

依据2005年11月29日《电子交易法》；

根据二零零六年六月二十九日《信息技术法》；

根据二零零七年二月十五日第26/2007/NĐ-CP号政府法令关于《电子交易法》中有关数字签名和数字签名认证服务的实施细则；二零一一年十一月二十三日第106/2011/NĐ-CP号政府法令对二零零七年二月十五日第26/2007/NĐ-CP号政府法令的部分条款进行修改补充；二零一三年十一月十三日第170/2013/NĐ-CP号政府法令对二零零七年二月十五日第26/2007/NĐ-CP号政府法令及二零一一年十一月二十三日第106/2011/NĐ-CP号政府法令的部分条款进行修改补充；

根据二零零七年四月十日国务院第64/2007/NĐ-CP号法令关于国家机关应用信息技术的规定；

根据二零一三年一月三日政府第01/2013/号法令关于实施档案法若干条款的规定；

根据2017年2月17日由政府发布的第17/2017/NĐ-CP号法令，规定工信部职能、任务、权限和组织结构；

信息通信部部长发布本通知，规定国家机关电子文件使用数字签名。

第一章

总则

第一条 调整范围

一、本通知规定电子文件的数字签名、数字签名验证；国家机关电子文件数字签名软件、数字签名验证软件的技术要求和功能。

二、本通知不涉及包含国家机密信息的电子文件使用数字签名的规定。

第二条 适用对象

一、本通知适用于使用国家机关电子文件数字签名的各机关、组织（包括：各部、相当于部级的机关、属于政府的机关、各级人民委员会、使用国家预算资金的事业单位）及相关组织和个人。

二、鼓励其他机关、组织采用。

条3. 术语解释

在本通知中，下列术语定义如下：

一、“机关、组织数字证书”是指由提供数字签名认证服务的组织根据法律规定颁发给机关、组织负责人的数字证书。

二、“个人数字证书”是指由提供数字签名认证服务的组织根据法律规定颁发给国家职务人员或机关、组织有权限人员的数字证书。

三、“印章私钥”是指与机关、组织数字证书相对应的私钥。

四、“个人私钥”是指与个人数字证书相对应的私钥。

五、“机关、组织数字签名”是指使用印章私钥生成的数字签名。

六、“个人数字签名”是指使用个人私钥生成的数字签名。

七、“数字签名软件”是指具有在电子文件上进行数字签名功能的软件程序。

八、“数字签名验证软件”是指具有验证电子文件上数字签名有效性的软件程序。

九、“带有数字签名的电子文件的真实性”是指通过数字签名与电子文件绑定，能够确定签署人或机关、组织签署电子文件的电子文件。

十、“带有数字签名的电子文件的完整性”是指在交换、处理和存储过程中内容未被更改的带有数字签名的电子文件。

十一、“在线证书状态检查系统”（OCSP）是指提供服务以确定证书当前状态的系统。

十二、“密钥存储设备”是指物理上包含租户密钥和证书的设备。

条 4. 使用数字签名的电子文件的原则

1. 数字签名必须附在签署后的电子文件上。

2. 签署的电子文件在整个交换、处理和存储过程中必须保持真实性和完整性。

条 5. 个人私钥和公章私钥的管理

1. 具有数字签名权限的人负责安全保管个人私钥。

2. 机关、组织的主要负责人负责将公章私钥的管理和使用交由文书人员，按照规定执行。

3. 存储公章私钥的设备必须安全存放于机关、组织的办公地点。

第二章

关于国家机关电子文件上的数字签名和验证的规定

条 6. 在电子文件上进行数字签名

1. 数字签名通过数字签名软件实现；成功或不成功的数字签名操作必须通过该软件通知。

2. 在电子文件上进行数字签名

a) 对于规定具有电子文件数字签名权限的人，通过数字签名软件，使用个人私钥进行电子文件的数字签名；

b) 对于规定机关、组织对电子文件进行数字签名的情况，通过数字签名软件，由被分配使用的文书人员使用机关、组织的公章私钥进行电子文件的数字签名；

3. 在电子文件上显示具有数字签名权限的人和机关、组织的数字签名信息，按照内务部的规定执行。

4. 具有数字签名权限的人和机关、组织的信息必须在数字签名软件附带的数据中进行管理。管理内容按照第1条第4款，2011年11月23日政府第106/2011/NĐ-CP号法令的规定。

条 7. 验证电子文件上的数字签名

1. 验证电子文件上的数字签名按以下步骤进行：

a) 使用相应的公钥解码数字签名；

b) 检查并验证附在电子文件上的证书中的签名人信息；检查和验证签名人信息按照本通知第8条的规定执行；

c) 检查签署的电子文件的完整性。

2. 当签发人证书信息在签署时仍然有效，数字签名是由与证书上的公钥相对应的私钥生成，并且电子文件保持完整时，电子文件上的数字签名是有效的。

3. 在电子文件上进行数字签名的签名人和机关、组织的信息必须在数字签名验证软件附带的数据中进行管理。管理内容按照第1条第4款，2011年11月23日政府第106/2011/NĐ-CP号法令的规定。

条 8. 验证证书的有效性

1. 在签署时验证证书有效性按照以下步骤进行：

a) 通过在签署时公布的撤销证书列表（CRL）或在线证书状态协议（OCSP）在线模式验证证书的有效性；

b) 必须验证到提供原始数字签名认证服务的机构（根CA）。

2. 当满足以下所有标准时，证书有效：

a) 在签署时有效；

b) 符合证书的使用范围和签名人法律责任；

c) 在签署时证书的状态仍为活动状态。

3. 当不符合本条第2款中的任一标准时，证书无效。

条 9. 电子签名文本附带存储信息

1. 电子签名文本附带存储信息包括：

a) 对于发出的文本：

- 签署时的数字证书；

- 签署时数字证书撤销清单（由数字签名认证服务提供商提供）；

- 签署时数字签名认证服务提供商的认证制度；

- 签署人的责任信息；

- 签署时的有效时间戳。

b) 对于收到的文本：

- 与电子文本上数字签名相对应的数字证书；

- 签署时数字证书撤销清单（由数字签名认证服务提供商提供）；

- 签署时数字签名认证服务提供商的认证制度；

- 签署人的责任信息；

- 接收时的有效时间戳。

3. 电子文本附带存储信息由数字签名软件和符合电子文本保存期限规定的数字签名验证软件管理。

条 10. 撤销电子签名文本附带存储信息

1. 电子签名文本附带存储信息与电子文本同时被撤销。

2. 撤销电子签名文本附带存储信息不得影响其他电子文本，并确保系统的正常运行。

3. 撤销电子签名文本附带存储信息通过软件进行。

第三章

数字签名软件和数字签名验证软件的技术要求和功能

条 11. 数字签名软件的技术要求和功能

数字签名软件是独立软件或软件的一部分（模块），满足以下要求：

1. 符合本通知附件中规定的技术标准和技术规范；

2. 具备在电子文本上签署数字签名的功能，符合本通知第6条第2、3、4款的规定；

3. 具备检查数字证书有效性的功能，符合本通知第8条的规定；

4. 具备管理电子签名文本附带存储信息的功能，符合本通知第9条的规定；

5. 具备撤销电子签名文本附带存储信息的功能，符合本通知第10条的规定；

6. 具备以文字或符号形式向数字签名者通报电子文本签署成功与否的功能；

7. 支持安装和集成数字签名认证机构颁发的原始数字证书，以便在数字签名软件中对电子文本上的数字证书有效性进行检查；

8. 在签署时添加时间戳。

条 12. 数字签名验证软件的技术要求和功能

数字签名验证软件是独立软件或软件的一部分（模块），具备以下功能，用于检查电子文本上的数字签名，满足以下要求：

1. 符合本通知附件中规定的技术标准和技术规范；

2. 具备检查电子文本上数字签名的功能，符合本通知第7条第1、2、3款的规定；

3. 具备管理电子签名文本附带存储信息的功能，符合本通知第9条的规定；

4. 具备撤销电子签名文本附带存储信息的功能，符合本通知第10条的规定；

5. 支持安装和集成数字签名认证服务提供商颁发的原始数字证书，以便在数字签名验证软件中对电子文本上的数字签名进行检查；

6. 具备向验证者通报数字签名检查结果为有效或无效的功能；

7. 在接收电子文本时添加时间戳。

第四章 实施细则

组织实施

条 13. 数字签名认证服务提供组织的责任

1. 在数字签名认证服务提供组织的电子网站（网站）上完整、准确、及时更新并公布以下所有信息，并确保该网站每天24小时每周7天运行（以支持确定电子文件上的数字签名的有效性）

a) 与暂停、收回数字证书和被收回的用户数字证书有关的信息；

b) 用户数字证书的信息，有效或已失效的数字证书清单；

c) 数字签名认证服务提供组织的认证规则。

2. 公布与数字签名认证服务提供组织相关的技术规范（包括文档和工具）以及数字签名标准；向软件开发者提供数字签名认证服务提供组织的原始证书，以便集成到数字签名验证软件中。

3. 鼓励数字签名认证服务提供组织提供在线证书状态检查服务（OCSP）。

4. 提供时间戳服务。

条 14. 使用数字签名的机关、组织的责任

1. 应用本通知第11条和第12条规定的数字签名软件和数字签名验证软件。

2. 按照国务院令第64号令2007年4月10日发布的《关于加强信息安全保障工作的若干意见》第8条第3款的规定，建立网络连接，确保安全、保密和高可用性。

3. 组织管理具有数字签名功能和数字签名验证功能的软件产品（按版本），并存储与相应电子签名文件相关的附加信息，以符合软件支持的数字签名技术标准和规范，确保在使用存储的电子签名文件时的可用性、兼容性和安全性。

条 15. 使用数字签名的机关、组织负责人的责任

1. 执行国务院令第64号令2007年4月10日发布的《关于加强信息安全保障工作的若干意见》第8条第1款规定的负责人职责。

2. 定期检查，确保其机关、组织内数字签名和数字证书的管理和使用符合本通知和其他相关规定的执行情况。

3. 根据组织结构、业务需求和电子交易中的信息安全要求，提出个人数字证书和机关、组织数字证书的发放、收回和暂停建议。

4. 当需要将正在使用的存储的电子签名文件转换为新的文本文件格式（出于信息安全原因或硬件、软件过时的原因）时，必须制定方案并由信息技术专业机构批准，确保兼容性和电子签名的有效性。

条16. 过渡条款

自本通知生效之日起12个月内，正在使用不符合本通知规定的技术要求和功能的数字签名软件和数字签名验证软件的机关、组织应升级和补充这些软件，以满足规定的要求。

条 17. 实施条款

1. 国家电子认证中心负责牵头，会同法制司及相关单位指导和支持实施本通知内容的技术工作。

2. 各省、自治区、直辖市的信息产业局，各部、相当于部级的机构和政府直属机构的专业信息技术部门有责任：

a) 宣传本通知规定的实施；

b) 每年向国家信息产业部（国家电子认证中心）报告机关、组织使用数字签名签署电子文件的情况。

条 18. 生效日期

1. 本通知自2018年2月5日起生效。

2. 办公室主任、国家电子认证中心主任、机关、组织和个人等相关人员对本通知的执行负有责任。

4. 在执行过程中，如遇困难或问题，机关、组织和个人应及时反映给国家信息产业部（国家电子认证中心）进行审查和解决。/

 附 录

技术标准目录

关于数字签名和电子签名文件格式
(附随本通知发布1第4号 19 月 12 （2017年工业和信息化部部长发布）