               EUROPESE COMMISSIE
            Brussel, 2.10.2018
            COM(2018) 664 final
            2018/0339(NLE)
            Voorstel voor een
            BESLUIT VAN DE RAAD
            inzake het standpunt dat namens de Europese Unie moet worden ingenomen in de deskundigengroep inzake de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg van de Economische Commissie voor Europa van de Verenigde Naties

               TOELICHTING

               1.Onderwerp van het voorstel

               Dit voorstel betreft het besluit tot vaststelling van het standpunt dat namens de Unie moet worden ingenomen in de deskundigengroep inzake de AETR van de Economische Commissie voor Europa van de Verenigde Naties (VN/ECE) in verband met de beoogde wijziging van de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg (AETR) met betrekking tot de aansluiting op TACHOnet van niet-EU-partijen bij de AETR.

               2.Achtergrond van het voorstel

               2.1.De AETR

               De Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg ("de overeenkomst") heeft tot doel het wetgevingskader van de partijen bij de overeenkomst betreffende de rij- en rusttijden van beroepschauffeurs te harmoniseren, evenals de overeenkomstige technische voorschriften voor de constructie en installatie van de tachograaf. De overeenkomst is op 5 januari 1976 in werking getreden.

               Alle lidstaten zijn partij bij de overeenkomst
                  1
               .

               2.2.De deskundigengroep inzake de AETR

               De deskundigengroep inzake de AETR is een technische groep die is opgericht door het Inland Transport Committee van de VN/ECE, met als doel wijzigingsvoorstellen voor de overeenkomst op te stellen. Wijzigingsvoorstellen voor de overeenkomst worden unaniem door de deskundigen van de groep aangenomen en daarna ter goedkeuring ingediend bij de SC.1 (VN/ECE-werkgroep inzake wegvervoer); de SC.1 stemt bij eenvoudige meerderheid van de aanwezige overeenkomstsluitende partijen.

               2.3.De beoogde handeling van de deskundigengroep inzake de AETR

               Tijdens zijn 19e zitting, op 15 oktober 2018, moet de deskundigengroep inzake de AETR beslissen over de indiening bij de SC.1 van een voorstel tot wijziging van de AETR betreffende de aansluiting van niet-EU-partijen bij de AETR op TACHOnet ("de beoogde handeling").

               Het doel van de beoogde handeling is de technische vereisten te definiëren voor de aansluiting van niet-EU-partijen bij de AETR op TACHOnet via het eDelivery-platform, dat door de Europese Commissie is ontwikkeld.

               De beoogde handeling is bindend voor de partijen in overeenstemming met artikel 13, lid 1, van de overeenkomst, waarin het volgende is bepaald: "Alle nieuwe bepalingen van deze Overeenkomst, met inbegrip van zijn bijlage en de aanhangsels 1B en 2, die betrekking hebben op de invoering van een digitaal controleapparaat, worden verbindend voor landen die Overeenkomstsluitende Partij zijn bij deze Overeenkomst uiterlijk vier jaar na de datum van inwerkingtreding van de desbetreffende wijzigingen die voortvloeien uit de in artikel 21 omschreven procedure".

               3.Namens de Unie in te nemen standpunt

               TACHOnet is het Europese systeem voor de elektronische uitwisseling van informatie over tachograafkaarten tussen de lidstaten. Het is een essentieel instrument om de handhaving te waarborgen van regels inzake rij- en rusttijden in het wegvervoer zoals vastgesteld in Verordening (EU) nr. 561/2006
                  2
               . De belangrijkste doelstelling van TACHOnet is te controleren of aan één bestuurder niet twee of meer kaarten zijn afgegeven door verschillende lidstaten.

               De lidstaten zijn verplicht zich op TACHOnet aan te sluiten in overeenstemming met artikel 31, lid 2, van Verordening (EU) nr. 165/2014
                  3
                en met de technische vereisten die zijn vastgesteld in Verordening (EU) 2016/68
                  4
               .

               De regels inzake rij- en rusttijden zijn ook van toepassing op niet-EU-partijen bij de AETR (Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg). Om de handhaving van de regels inzake rij- en rusttijden in die landen te waarborgen, is het van essentieel belang dat ook zij zijn aangesloten op TACHOnet. Niet-EU-partijen bij de AETR mogen echter niet rechtstreeks op TACHOnet worden aangesloten. Rechtstreekse aansluitingen worden opgezet via het TESTA-netwerk (Beveiligde trans-Europese diensten voor telematica tussen overheidsdiensten), waarvan de toegang is beperkt tot autoriteiten en instellingen van de EU, de lidstaten van de EU, de EVA-landen, Zwitserland en landen die tot de EU toetreden. Niet-EU-landen die niet tot de EU toetreden of die geen lid zijn van de EVA, moeten op TACHOnet worden aangesloten via een land dat al op TESTA is aangesloten, d.w.z. via een indirecte aansluiting. Dergelijke indirecte aansluitingen zijn gebaseerd op bilaterale overeenkomsten tussen niet-EU-partijen bij de AETR en het land dat in de aansluiting voorziet.

               Andorra, Armenië, Azerbeidzjan, Bosnië en Herzegovina, Georgië, Liechtenstein, Moldavië, Servië en Oekraïne zijn de negen niet-EU-partijen bij de AETR die momenteel indirect op TACHOnet zijn aangesloten via knooppunten in Frankrijk, Kroatië, Polen, Roemenië en Zwitserland.

               Technisch probleem en voorgestelde oplossing

               Het directoraat-generaal Informatica van de Commissie (DIGIT) heeft onlangs geoordeeld dat indirecte aansluitingen niet voldoen aan de minimale veiligheidsnormen van de Commissie. Het deel van het netwerk dat is opgezet tussen de lidstaat en het derde land moet immers niet beveiligd zijn. Bovendien is een eventuele aanval op dat deel van het netwerk mogelijk niet zichtbaar voor de Commissie. Dat verhoogt het risico op inbreuken op het beveiligingssysteem.

               Indirecte aansluitingen moeten daarom worden afgesloten en vervangen door een alternatief instrument waarmee niet-EU-partijen bij de AETR zich op TACHOnet kunnen aansluiten.

               eDelivery is een overkoepelend platform dat is opgericht met steun van het CEF-programma (Connecting Europe Facility) en dat een dergelijke aansluitmogelijkheid biedt. De aansluiting gebeurt via internet, waarbij gebruik wordt gemaakt van standaard beveiligingstechnologie zoals PKI (publieke-sleutelinfrastructuur) om de authenticiteit, de integriteit en de vertrouwelijkheid van de uitgewisselde informatie te waarborgen. Wederzijds vertrouwen bij de elektronische uitwisseling van informatie is aldus gegarandeerd. eDelivery wordt aangeboden door DIGIT.

               eDelivery is al met succes gebruikt voor de levering van verschillende EU-brede diensten, zoals PEPPOL (Pan-European Public Procurement On-line) en e-Codex (elektronische verbinding tussen rechtsbeoefenaars in de hele EU). Het systeem zou aan TACHOnet kunnen worden aangepast.

               Hoewel DIGIT geen specifieke termijnen heeft opgegeven voor het afsluiten van indirecte aansluitingen, zou de aanpassing van eDelivery aan TACHOnet ongeveer één jaar duren. Bijgevolg moet de AETR onverwijld worden gewijzigd om eDelivery zo snel mogelijk operationeel te maken.

               Plichten van nationale autoriteiten voor het gebruik van TACHOnet

               Door zich via eDelivery aan te sluiten op TACHOnet nemen de aangesloten partijen bepaalde plichten op zich om een correct gebruik van het systeem en van de met hun tegenhangers uitgewisselde informatie te waarborgen. Die plichten hebben betrekking op:

               a) Beveiliging

               Nationale autoriteiten moeten de geheime sleutels en de overeenkomstige digitale certificaten beschermen door:

               -
                     onrechtmatig gebruik van de geheime sleutels te vermijden;

               -
                     de geheime sleutels niet door te sturen of mee te delen aan derden;

               -
                     de vertrouwelijkheid, de integriteit en de beschikbaarheid te waarborgen van de geheime sleutels die voor TACHOnet zijn aangemaakt, opgeslagen en gebruikt;

               -
                     de geheime sleutel niet langer te gebruiken nadat de geldigheidsduur is verstreken of het certificaat is ingetrokken;

               -
                     vervallen sleutels meteen te vernietigen;

               -
                     misbruik van de geheime sleutels te voorkomen door om de intrekking van het bijbehorende certificaat te verzoeken als de geheime sleutel of de activeringsgegevens ervan zijn aangetast.

               b) Gegevensbescherming

               De bescherming van persoonsgegevens moet worden gewaarborgd. Aangezien niet-EU-partijen bij de AETR niet gebonden zijn door de Europese wetgeving inzake gegevensbescherming, moet de naleving van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens worden gewaarborgd. Dat verdrag vormt het internationale referentiekader op het gebied van de bescherming van persoonsgegevens.

               c) Technische aspecten

               Vóór ze worden aangesloten, moeten de partijen een specifieke reeks tests uitvoeren. Zij moeten ook een minimaal dienstverleningsniveau garanderen zodat TACHOnet niet wordt verstoord door storingen op nationaal niveau.

               Rechtsinstrument

               De technische vereisten voor de aansluiting van niet-EU-partijen bij de AETR op TACHOnet moeten worden opgenomen in het passende internationale kader, namelijk de AETR.

               Binnen de deskundigengroep inzake de AETR van de VN/ECE wordt momenteel onderhandeld over een wijziging van de overeenkomst, voornamelijk over de toepassing van de EU-wetgeving inzake de slimme tachograaf door niet-EU-partijen bij de AETR en over de toetreding van de EU tot de AETR
                  5
               . De technische en juridische vereisten voor de aansluiting op TACHOnet van niet-EU-partijen bij de AETR moeten formeel door de EU worden ingediend bij het secretariaat van de AETR als een nieuw aanhangsel van de overeenkomst. Dat nieuwe aanhangsel zal worden besproken op de volgende vergadering van de deskundigengroep inzake de AETR en in de werkgroep inzake wegvervoer, samen met de elementen van het standpunt van de EU die reeds zijn overgemaakt aan het secretariaat van de AETR in 2016.

               4.Rechtsgrondslag

               4.1.Procedurele rechtsgrondslag

               4.1.1.Beginselen

               Artikel 218, lid 9, van het Verdrag betreffende de werking van de Europese Unie (VWEU) voorziet in de vaststelling van besluiten tot bepaling van "de standpunten die namens de Unie worden ingenomen in een krachtens een overeenkomst opgericht lichaam, wanneer dit lichaam handelingen met rechtsgevolgen vaststelt, met uitzondering van handelingen tot aanvulling of wijziging van het institutionele kader van de overeenkomst".

               Artikel 218, lid 9, VWEU is van toepassing ongeacht of de Unie lid is van het lichaam of partij is bij de overeenkomst
                  6
               .

               Het begrip "handelingen met rechtsgevolgen" omvat handelingen die rechtsgevolgen hebben uit hoofde van de op het betrokken lichaam toepasselijke volkenrechtelijke bepalingen. Onder dit begrip vallen tevens instrumenten die volkenrechtelijk niet bindend zijn, maar die een "beslissende invloed [kunnen hebben] op de inhoud van de regelgeving die de wetgever van de Unie vaststelt"
                  7
               .

               4.1.2.Toepassing op het onderhavige geval

               De deskundigengroep inzake de AETR is een lichaam dat is opgericht door het Inland Transport Committee van de VN/ECE.

               De handeling die de deskundigengroep inzake de AETR moet indienen bij de SC.1 is een handeling met rechtsgevolgen. De beoogde handeling zal overeenkomstig artikel 13 van de AETR uit hoofde van het volkenrecht bindend zijn.

               De beoogde handeling strekt niet tot aanvulling of wijziging van het institutionele kader van de overeenkomst.

               De procedurele rechtsgrondslag voor het voorgestelde besluit is derhalve artikel 218, lid 9, VWEU.

               4.2.Materiële rechtsgrondslag

               4.2.1.Beginselen

               De materiële rechtsgrondslag voor een overeenkomstig artikel 218, lid 9, VWEU te nemen besluit wordt in de eerste plaats bepaald door de doelstelling en de inhoud van de beoogde handeling ten aanzien waarvan namens de Unie een standpunt wordt ingenomen. Wanneer de beoogde handeling een tweeledige doelstelling heeft of bestaat uit twee componenten, waarvan er een kan worden gezien als hoofddoelstelling of overwegende component, terwijl de andere doelstelling of de andere component slechts ondergeschikt is, moet het overeenkomstig artikel 218, lid 9, VWEU te nemen besluit op één materiële rechtsgrondslag worden gebaseerd, namelijk die welke vereist is gelet op de hoofddoelstelling of de overwegende component.

               4.2.2.Toepassing op het onderhavige geval

               De hoofddoelstelling en de inhoud van de beoogde handeling hebben betrekking op vervoer.

               De materiële rechtsgrondslag voor het voorgestelde besluit is derhalve artikel 91 VWEU.

               4.3.Conclusie

               De rechtsgrondslag voor het voorgestelde besluit is artikel 91 VWEU in samenhang met artikel 218, lid 9, VWEU.

               2018/0339 (NLE)

               Voorstel voor een

               BESLUIT VAN DE RAAD

               inzake het standpunt dat namens de Europese Unie moet worden ingenomen in de deskundigengroep inzake de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg van de Economische Commissie voor Europa van de Verenigde Naties

               DE RAAD VAN DE EUROPESE UNIE,

               Gezien het Verdrag betreffende de werking van de Europese Unie en met name artikel 91, juncto artikel 218, lid 9,

               Gezien het voorstel van de Europese Commissie,

               Overwegende hetgeen volgt:

               (1)De Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg (AETR) is op 5 januari 1976 in werking getreden.

               (2)In het kader van de AETR heeft de Economische Commissie voor Europa van de Verenigde Naties een deskundigengroep opgericht. Die groep is bevoegd om voorstellen tot wijziging van de AETR op te stellen en in te dienen bij de werkgroep inzake wegvervoer.

               (3)Tijdens zijn 19e zitting, op 15 oktober 2018, moet de deskundigengroep inzake de AETR een besluit vaststellen over de indiening van een voorstel tot wijziging van de AETR bij de werkgroep inzake wegvervoer van de VN/ECE.

               (4)Het is passend het standpunt te bepalen dat namens de Unie moet worden ingenomen in de deskundigengroep inzake de AETR, aangezien de wijziging van de AETR bindend zal zijn voor de Unie.

               (5)In zijn arrest van 31 maart 1971 in zaak 22/70, AETR, heeft het Hof van Justitie van de Europese Unie erkend dat de arbeidsvoorwaarden van bemanningen van motorrijtuigen in het internationale vervoer over de weg een exclusieve externe bevoegdheid van de Unie is. Sindsdien is die bevoegdheid uitgeoefend in tal van rechtshandelingen die door de wetgever van de Unie zijn vastgesteld, onder meer Verordening (EG) nr. 561/2006 van het Europees Parlement en de Raad
                  8
                en Verordening (EU) nr. 165/2014 van het Europees Parlement en de Raad
                  9
               . Aangezien de inhoud van de AETR onder het toepassingsgebied van Verordening (EG) nr. 561/2006 valt, berust de bevoegdheid tot het onderhandelen over en het sluiten van de overeenkomst en de wijzigingen ervan uitsluitend bij de Unie.

               (6)De volgende vergadering van de deskundigengroep inzake de AETR vindt plaats op 15 oktober 2018, die van de werkgroep inzake wegvervoer op 16 oktober 2018. De deskundigengroep en de werkgroep zijn voornemens om tijdens die vergaderingen voorstellen van de overeenkomstsluitende partijen te bestuderen; als de voorstellen door de deskundigengroep worden aanvaard, kunnen die, nadat een procedure voor de wijziging van de AETR is opgestart en afgesloten, leiden tot een wijziging van de AETR. Zodra de voorstellen door de deskundigengroep zijn aanvaard, zijn de lidstaten van de Unie, als partijen bij de AETR, in een tweede fase verplicht samen te werken om het mechanisme voor de herziening van de AETR in werking te doen treden, in overeenstemming met Verordening (EEG) nr. 2829/77
                  10
                van de Raad en de in artikel 4, lid 3, VEU vastgestelde plicht tot loyale samenwerking, mits de Raad een besluit neemt overeenkomstig artikel 218, lid 6, voor zover van toepassing. De voorgestelde wijzigingen van de AETR zullen pas van kracht worden als de herziening van de AETR is afgerond.

               (7)Volgens Verordening (EU) nr. 165/2014 zijn de lidstaten verplicht om hun nationale elektronische registers van bestuurderskaarten onderling te verbinden via het TACHOnet-berichtensysteem of, bij gebruik van een compatibel systeem, te waarborgen dat de uitwisseling van elektronische gegevens met alle andere lidstaten mogelijk is via het TACHOnet-berichtensysteem. TACHOnet is een platform voor de uitwisseling van informatie over bestuurderskaarten tussen de lidstaten, zodat kan worden gewaarborgd dat een bestuurder niet meer dan één kaart heeft.

               (8)Om tot een pan-Europese harmonisatie op het gebied van elektronische uitwisseling van informatie over bestuurderskaarten te komen, moet TACHOnet door alle partijen bij de AETR worden gebruikt als enig platform.

               (9)Momenteel wordt de aansluiting op het TACHOnet-berichtensysteem ofwel rechtstreeks tot stand gebracht via TESTA (trans-Europese diensten voor telematica tussen overheidsdiensten), ofwel indirect via een lidstaat die al op TESTA is aangesloten. Aangezien TESTA beperkt is tot de lidstaten en de instellingen van de Unie, moeten niet-EU-partijen bij de AETR zich indirect op TACHOnet aansluiten.

               (10)De Commissie heeft onlangs de indirecte aansluitingen op het TACHOnet-berichtensysteem geëvalueerd en geconcludeerd dat zij niet hetzelfde beveiligingsniveau bieden als TESTA. Met name de authenticiteit, de integriteit en de vertrouwelijkheid van de informatie die via indirecte aansluitingen wordt uitgewisseld, kunnen niet voldoende worden gewaarborgd. Indirecte aansluitingen op TACHOnet moeten daarom worden vervangen door beveiligde aansluitingen.

               (11)eDelivery is een door de Commissie ontworpen netwerk van verbindingsknooppunten voor elektronische communicatie, waarbij iedere deelnemer op nationaal niveau een knooppunt vormt met standaard overbrengingsprotocollen en beveiligingsprincipes. eDelivey is een flexibel instrument dat kan worden aangepast aan elke specifieke dienst.

               (12)eDelivery maakt gebruik van op grote schaal toegepaste beveiligingstechnologie zoals PKI (publieke-sleutelinfrastructuur) om de authenticiteit, de integriteit en de vertrouwelijkheid van de uitgewisselde informatie te waarborgen. Niet-EU-partijen bij de AETR moeten toegang tot TACHOnet krijgen via eDelivery.

               (13)De partijen bij de AETR moeten een specifieke procedure volgen om de digitale certificaten en de respectieve digitale toegangssleutels tot TACHOnet te ontvangen.

               (14)De aansluiting op TACHOnet via eDelivery houdt in dat de partijen bij de AETR moeten waarborgen dat de elektronische toegangssleutels en -certificaten beveiligd zijn en niet kunnen worden gebruikt door onbevoegden. Zij moeten ook waarborgen dat de sleutels bij vervallen certificaten niet langer worden gebruikt.

               (15)De bescherming van persoonsgegevens die via TACHOnet ter beschikking van de partijen staan, moet worden gewaarborgd in overeenstemming met het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Verdrag van Straatsburg van 21 januari 1981).

               (16)Nationale autoriteiten die zijn aangesloten op TACHOnet, moeten bepaalde technische maatregelen nemen om te waarborgen dat TACHOnet volgens hoge prestatienormen functioneert. De Commissie moet tests opstellen om na te gaan of die prestatieniveaus worden gehaald en die tests in samenwerking met de nationale bevoegde autoriteiten uitvoeren.

               (17)Aangezien de Europese Unie geen overeenkomstsluitende partij bij de AETR is en haar status haar belet de voorgestelde wijzigingen mee te delen, moeten de lidstaten, handelend in het belang van de Unie, de voorgestelde wijzigingen meedelen aan de deskundigengroep in de geest van loyale samenwerking ter bevordering van de verwezenlijking van de doelstellingen van de Unie.

               (18)Het standpunt van de Unie moet tot uitdrukking worden gebracht door de gezamenlijk optredende lidstaten van de Unie die lid zijn van de deskundigengroep inzake de AETR en van de werkgroep inzake wegvervoer,

               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

               Artikel 1

               Het standpunt dat namens de Unie moet worden ingenomen op de 15e zitting van de deskundigengroep inzake de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg (AETR), is in te stemmen met de voorgestelde wijzigingen van de AETR zoals uiteengezet in het document dat aan dit besluit is gehecht.

               Artikel 2

               Het in artikel 1 bedoelde standpunt wordt tot uitdrukking gebracht door de gezamenlijk optredende lidstaten van de Unie die lid zijn van de AETR.

               Over formele en kleine wijzigingen van het in lid 1 bedoelde standpunt kan overeenstemming worden bereikt zonder dat het standpunt hoeft te worden gewijzigd.

               Artikel 3

               Dit besluit is gericht tot de lidstaten.

               Gedaan te Brussel,

                     Voor de Raad

                     De voorzitter

                     (1)

                        Oostenrijk (geratificeerd op 11/6/1975), België (geratificeerd op 30/12/1977), Bulgarije (geratificeerd op 12/5/1995), Kroatië (geratificeerd op 3/8/1992), Cyprus (geratificeerd op 5/9/2003), Tsjechië (geratificeerd op 22/6/1993), Denemarken (geratificeerd op 30/12/1977), Estland (geratificeerd op 3/5/1993), Finland (geratificeerd op 16/2/1999), Frankrijk (geratificeerd op 9/1/1978), Duitsland (geratificeerd op 9/7/1975), Griekenland (geratificeerd op 11/1/1974), Hongarije (geratificeerd op 22/10/1999), Ierland (geratificeerd op 28/8/1979), Italië (geratificeerd op 28/12/1978), Letland (geratificeerd op 14/1/1994), Litouwen (geratificeerd op 3/6/1998), Luxemburg (geratificeerd op 30/12/1977), Malta (geratificeerd op 24/9/2004), Nederland (geratificeerd op 30/12/1977), Polen (geratificeerd op 14/7/1992), Portugal (geratificeerd op 20/9/1973), Roemenië (geratificeerd op 8/12/1994), Slowakije (geratificeerd op 28/5/1993), Slovenië (geratificeerd op 6/8/1993), Spanje (geratificeerd op 3/1/1993), Zweden (geratificeerd op 24/8/1973), Verenigd Koninkrijk (geratificeerd op 4/1/1978).

                     (2)

                        Verordening (EG) nr. 561/2006 van het Europees Parlement en de Raad van 15 maart 2006 tot harmonisatie van bepaalde voorschriften van sociale aard voor het wegvervoer, tot wijziging van Verordeningen (EEG) nr. 3821/85 en (EG) nr. 2135/98 van de Raad en tot intrekking van Verordening (EEG) nr. 3820/85 van de Raad (PB L 102 van 11.4.2006, blz.1).

                     (3)

                        Verordening (EU) nr. 165/2014 van het Europees Parlement en de Raad van 4 februari 2014 betreffende tachografen in het wegvervoer, tot intrekking van Verordening (EEG) nr. 3821/85 van de Raad betreffende het controleapparaat in het wegvervoer en tot wijziging van Verordening (EG) nr. 561/2006 van het Europees Parlement en de Raad tot harmonisatie van bepaalde voorschriften van sociale aard voor het wegvervoer (PB L 60 van 28.2.2014, blz. 1).

                     (4)

                        Uitvoeringsverordening (EU) 2016/68 van de Commissie van 21 januari 2016 betreffende gemeenschappelijke procedures en specificaties die nodig zijn voor de onderlinge verbinding van elektronische registers van bestuurderskaarten (PB L 15 van 22.1.2016, blz. 51).

                     (5)

                        Standpunt van de EU dat is vastgesteld bij Besluit (EU) 2016/1877 van de Raad van 17 oktober 2016 en bij het secretariaat van de AETR is ingediend door de Republiek Slowakije.

                     (6)

                        Arrest van het Hof van Justitie van 7 oktober 2014, Duitsland/Raad, C-399/12, ECLI:EU:C:2014:2258, punt 64.

                     (7)

                        Arrest van het Hof van Justitie van 7 oktober 2014, Duitsland/Raad, C-399/12, ECLI:EU:C:2014:2258, punten 61 en 64.

                     (8)

                        Verordening (EG) nr. 561/2006 van het Europees Parlement en de Raad van 15 maart 2006 tot harmonisatie van bepaalde voorschriften van sociale aard voor het wegvervoer, tot wijziging van Verordeningen (EEG) nr. 3821/85 en (EG) nr. 2135/98 van de Raad en tot intrekking van Verordening (EEG) nr. 3820/85 van de Raad (PB L 102 van 11.4.2006, blz. 1).

                     (9)

                        Verordening (EU) nr. 165/2014 van het Europees Parlement en de Raad van 4 februari 2014 betreffende tachografen in het wegvervoer en tot wijziging van Verordening (EG) nr. 561/2006 van het Europees Parlement en de Raad tot harmonisatie van bepaalde voorschriften van sociale aard voor het wegvervoer (PB L 60 van 28.2.2014, blz. 1).

                     (10)

                        Verordening (EEG) nr. 2829/77 van de Raad van 12 december 1977 met betrekking tot de inwerkingtreding van de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg (AETR) (PB L 334 van 24.12.1977, blz. 11).

    ---documentbreak---

               EUROPESE COMMISSIE
            Brussel, 2.10.2018
            COM(2018) 664 final
            BIJLAGE
            bij Voorstel voor een
            BESLUIT VAN DE RAAD
            inzake het standpunt dat namens de Europese Unie moet worden ingenomen in de deskundigengroep inzake de Europese Overeenkomst nopens de arbeidsvoorwaarden voor de bemanningen van motorrijtuigen in het internationale vervoer over de weg van de Economische Commissie voor Europa van de Verenigde Naties

               Aanhangsel 4

               TACHOnet-specificaties

               1.Toepassingsgebied en doel

               1.1.In dit aanhangsel worden de voorwaarden uiteengezet voor de aansluiting op TACHOnet via eDelivery van de overeenkomstsluitende partijen bij de AETR.

               1.2.Overeenkomstsluitende partijen die via eDelivery op TACHOnet zijn aangesloten, houden zich aan de bepalingen van dit aanhangsel.

               2.Definities

               (a)"overeenkomstsluitende partij" of "partij": elke overeenkomstsluitende partij bij de AETR;

               (b)"eDelivery": de door de Europese Commissie ontwikkelde dienst die het mogelijk maakt gegevens via elektronische middelen tussen derden over te brengen en die bewijs verschaft met betrekking tot de verwerking van de overgebrachte gegevens, met inbegrip van het bewijs van verzending en ontvangst van de gegevens, en die de overgebrachte gegevens beschermt tegen elk risico van onrechtmatige wijziging;

               (c)"TACHOnet": het systeem voor de elektronische uitwisseling van informatie over bestuurderskaarten tussen de overeenkomstsluitende partijen, zoals bedoeld in artikel 31, lid 2, van Verordening (EU) nr. 165/2014;

               (d)"centraal knooppunt": het informatiesysteem waarmee TACHOnet-berichten tussen de vragende en antwoordende partijen kunnen worden verstuurd;

               (e)"vragende partij": de overeenkomstsluitende partij die via TACHOnet een verzoek of mededeling verstuurt, welke vervolgens via het centraal knooppunt wordt verzonden naar de geschikte antwoordende partij;

               (f)"antwoordende partij": de overeenkomstsluitende partij waaraan het verzoek of de mededeling via TACHOnet is gericht;

               (g)"autoriteit die de kaarten afgeeft": de instantie die door een overeenkomstsluitende partij is gemachtigd voor de afgifte en het beheer van tachograafkaarten.

               3.Algemene verantwoordelijkheden

               3.1.Geen van de overeenkomstsluitende partijen mag namens een andere partij een overeenkomst voor de toegang tot TACHOnet sluiten of de andere overeenkomstsluitende partij op enige andere wijze vertegenwoordigen op grond van dit aanhangsel. Geen van de overeenkomstsluitende partijen mag optreden als subcontractant van de andere overeenkomstsluitende partij voor de in dit aanhangsel bedoelde verrichtingen.

               3.2.De overeenkomstsluitende partijen verschaffen via TACHOnet toegang tot hun nationaal register van bestuurderskaarten, op de wijze en met het dienstverleningsniveau zoals beschreven in subaanhangsel 4.6.

               3.3.De overeenkomstsluitende partijen stellen elkaar onverwijld in kennis van storingen of fouten die onder hun verantwoordelijkheid vallen en die de normale werking van TACHOnet in gevaar kunnen brengen.

               3.4.Elke partij benoemt een contactpersoon voor TACHOnet en stelt het AETR-secretariaat daarvan in kennis. Elke wijziging van het contactpunt moet schriftelijk aan het AETR-secretariaat worden meegedeeld.

               4.Tests voor de aansluiting op TACHOnet

               4.1.Een overeenkomstsluitende partij wordt op TACHOnet aangesloten nadat met succes verbindings-, integratie- en prestatietests zijn uitgevoerd volgens de instructies en onder het toezicht van de Europese Commissie.

               4.2.Als de voorafgaande tests mislukken, kan de Europese Commissie de testfase tijdelijk opschorten. De tests worden hernomen zodra de overeenkomstsluitende partij de Europese Commissie in kennis heeft gesteld van de vaststelling van de nodige technische verbeteringen op nationaal niveau, waardoor de voorafgaande tests met succes kunnen worden uitgevoerd.

               4.3.De voorafgaande tests mogen maximaal zes maanden duren.

               5.Trust-architectuur

               5.1.De vertrouwelijkheid, de integriteit en de onweerlegbaarheid van de TACHOnet-berichten worden gewaarborgd door de trust-architectuur van TACHOnet.

               5.2.De trust-architectuur van TACHOnet is gebaseerd op een door de Europese Commissie opgezette publieke-sleutelinfrastructuur (PKI) waarvan de vereisten zijn opgenomen in de subaanhangsels 4.8 en 4.9.

               5.3.De volgende entiteiten zijn betrokken bij de trust-architectuur van TACHOnet:

               a)certificaatautoriteit, die verantwoordelijk is voor de aanmaak van de digitale certificaten die door de registratieautoriteit worden afgegeven aan de nationale autoriteiten van de overeenkomstsluitende partijen (via door hen aangestelde betrouwbare koeriers), en voor het opzetten van de technische infrastructuur voor de uitgave, de intrekking en de verlenging van digitale certificaten;

               b)domeineigenaar, die verantwoordelijk is voor de werking van het in subaanhangsel 4.1 bedoelde centrale knooppunt en voor de validering en de coördinatie van de trust-architectuur van TACHOnet;

               c)registratieautoriteit, die verantwoordelijk is voor de registratie en de goedkeuring van de verzoeken tot uitgave, intrekking en verlenging van digitale certificaten en voor de identiteitscontrole van de betrouwbare koeriers;

               d)betrouwbare koerier, de door de nationale autoriteiten aangestelde persoon die verantwoordelijk is voor de overhandiging van de publieke sleutel aan de registratieautoriteit en voor het verkrijgen van het overeenkomstige certificaat dat door de certificaatautoriteit wordt aangemaakt;

               e)nationale autoriteit van de overeenkomstsluitende partij, die:

               i)de geheime sleutels en de overeenkomstige publieke sleutels aanmaakt die worden opgenomen in de certificaten die door de certificaatautoriteit worden aangemaakt;

               ii)
                     de digitale certificaten opvraagt bij de certificaatautoriteit;

               iii)
                     de betrouwbare koerier aanstelt.

               5.4.De certificaatautoriteit en de registratieautoriteit worden aangesteld door de Europese Commissie.

               5.5.Elke overeenkomstsluitende partij die op TACHOnet wordt aangesloten, moet in overeenstemming met subaanhangsel 4.9 verzoeken om de uitgave van een digitaal certificaat voor de ondertekening en versleuteling van een TACHOnet-bericht.

               5.6.Een certificaat kan worden ingetrokken in overeenstemming met subaanhangsel 4.9.

               6.Gegevensbescherming en vertrouwelijkheid

               6.1.In overeenstemming met de gegevensbeschermingswetten op internationaal en nationaal niveau en in het bijzonder het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, stellen de partijen alle nodige technische en organisatorische maatregelen vast om de veiligheid van de TACHOnet-gegevens te waarborgen en de wijziging, het verlies en de onrechtmatige verwerking van of de onrechtmatige toegang tot dergelijke gegevens te voorkomen (met name de authenticiteit, vertrouwelijkheid, traceerbaarheid, integriteit, beschikbaarheid en onweerlegbaarheid van de gegevens en de beveiliging van de berichten).

               6.2.Elke partij beschermt haar eigen nationale systeem tegen illegaal gebruik, kwaadaardige code, virussen, inbraak in computers, schendingen en geknoei met gegevens en andere soortgelijke daden van derden. De partijen stemmen ermee in commercieel redelijke inspanningen te leveren om de overdracht te vermijden van virussen, tijdbommen, wormen of soortgelijke items of computerprogramma's die de systemen van andere partijen kunnen verstoren.

               7.Kosten

               7.1.De overeenkomstsluitende partijen dragen zelf de ontwikkelings- en werkingskosten die nodig zijn om hun gegevenssystemen en -procedures te laten voldoen aan de verplichtingen van dit aanhangsel.

               7.2.De in subaanhangsel 4.1 genoemde diensten van het centrale knooppunt zijn gratis.

               8.Uitbesteding

               8.1.De partijen mogen de diensten waarvoor zij volgens dit aanhangsel verantwoordelijk zijn, uitbesteden.

               8.2.Uitbesteding ontslaat de partij niet van de verantwoordelijkheid uit hoofde van dit aanhangsel, met inbegrip van de verantwoordelijkheid voor een geschikt dienstverleningsniveau in overeenstemming met subaanhangsel 4.6.

               Subaanhangsel 4.1

               Algemene aspecten van TACHOnet

               1.Algemene omschrijving

               TACHOnet is een elektronisch systeem voor de uitwisseling van informatie over bestuurderskaarten tussen de overeenkomstsluitende partijen van de AETR. TACHOnet verstuurt informatieverzoeken van vragende partijen naar antwoordende partijen, en verstuurt de antwoorden van de laatsten naar de eersten. Overeenkomstsluitende partijen die zijn aangesloten op TACHOnet, moeten hun nationale registers van bestuurderskaarten aansluiten op het systeem.

               2.Architectuur

               Het TACHOnet-berichtensysteem bestaat uit de volgende onderdelen:

               2.1.een centraal knooppunt, waarin een verzoek van een vragende partij wordt ontvangen, gevalideerd en verwerkt door dat naar de antwoordende partijen door te sturen. In het centrale knooppunt worden de reacties van de antwoordende partijen afgewacht, worden alle antwoorden geconsolideerd en wordt het geconsolideerde antwoord naar de vragende partij gestuurd;

               2.2.de nationale systemen van de partijen, die worden uitgerust met een interface waarmee vragen naar het centrale knooppunt kunnen worden verzonden en de antwoorden daarop kunnen worden ontvangen. Om berichten met het centrale knooppunt uit te wisselen, kunnen de nationale systemen propriëtaire of commerciële software gebruiken.

               3.Beheer

               3.1.Het centrale knooppunt wordt beheerd door de Europese Commissie, die verantwoordelijk is voor de technische exploitatie en het onderhoud ervan.

               3.2.In het centrale knooppunt worden gegevens niet langer dan zes maanden bewaard, behalve de in subaanhangsel 4.7 genoemde logbestanden en statistische gegevens.

               3.3.De persoonsgegevens in het centrale knooppunt zijn niet toegankelijk, behalve voor gemachtigd personeel van de Europese Commissie en als dat noodzakelijk is voor controle, onderhoud en het oplossen van problemen.

               3.4.Elke overeenkomstsluitende partij is verantwoordelijk voor:

               3.4.1.het opzetten en beheren van zijn nationaal systeem, met inbegrip van de interface met het centrale knooppunt;

               3.4.2.de installatie en het onderhoud van het nationale systeem, zowel hardware als propriëtaire of commerciële software;

               3.4.3.de goede interoperabiliteit tussen het nationale systeem en het centrale knooppunt, met inbegrip van het beheer van foutmeldingen van het centrale knooppunt;

               3.4.4.alle maatregelen die moeten worden genomen om de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie te waarborgen;

               3.4.5.de werking van het nationale systeem overeenkomstig de dienstverleningsniveaus in subaanhangsel 4.6.

               Subaanhangsel 4.2

               Functies van TACHOnet

               1.Het TACHOnet-berichtensysteem heeft de volgende functies:

               1.1.Check Issued Cards (CIC) (controle van afgegeven kaarten): de vragende partij kan een CIC-verzoek naar één of alle antwoordende partijen sturen om na te gaan of een aanvrager van een kaart reeds een door de antwoordende partijen afgegeven bestuurderskaart bezit. De antwoordende partijen beantwoorden het verzoek door een CIC-antwoord te sturen;

               1.2.Check Card Status (CCS) (controle van de kaartstatus): de vragende partij kan de antwoordende partij om bijzonderheden vragen over een kaart die door die laatste is afgegeven door een CCS-verzoek te sturen. De antwoordende partij beantwoordt de vraag door een CCS-antwoord te sturen;

               1.3.Modify Card Status (MCS) (wijzig kaartstatus): de vragende partij kan de antwoordende partij via een MCS-verzoek op de hoogte brengen van een wijziging van de status van een kaart die door de antwoordende partij is afgegeven. De antwoordende partij antwoordt met een MCS-bevestiging;

               1.4.Issued Card Driving Licence (ICDL) (kaart afgegeven voor een rijbewijs): de vragende partij kan de antwoordende partij via een ICDL-verzoek ervan op hoogte brengen dat de eerste een kaart heeft afgegeven voor een rijbewijs dat is afgegeven door de laatste. De antwoordende partij antwoordt met een ICDL-antwoord.

               2.TACHOnet bevat ook andere soorten berichten die geschikt worden geacht voor het efficiënt functioneren, bijvoorbeeld foutmeldingen.

               3.Nationale systemen herkennen de kaartstatussen die zijn vermeld in tabel 1 wanneer gebruik wordt gemaakt van een van de functies die zijn beschreven in punt 1. De partijen zijn echter niet verplicht om een administratieve procedure in te voeren waarbij alle vermelde statussen worden gebruikt.

               4.Als een partij een antwoord of bericht ontvangt waarin een status wordt vermeld die niet in haar administratieve procedure wordt gebruikt, wordt de status van het ontvangen bericht door het nationale systeem omgezet in de overeenkomstige waarde van de administratieve procedure. Als de status van het bericht wordt vermeld in tabel 1, mag de antwoordende partij het bericht niet afwijzen.

               5.De kaartstatus in tabel 1 mag niet worden gebruikt om na te gaan of een bestuurderskaart geldig is voor het besturen van voertuigen. Als een partij via de CCS-functie informatie opvraagt uit het register van de nationale autoriteit die de kaart heeft afgegeven, moet het antwoord het specifieke veld "geldig voor het besturen van een voertuig" bevatten. De nationale administratieve procedures moeten zo zijn opgesteld dat CCS-antwoorden altijd de toepasselijke waarde "geldig voor het besturen van een voertuig" bevatten.

               Tabel 1

               Kaartstatussen

                        Card Status (kaartstatus)

                        Definitie

                        Toepassing

                        De autoriteit die de kaarten afgeeft (card issuing authority, CIA) heeft een verzoek ontvangen om een bestuurderskaart af te geven. Die informatie is geregistreerd en opgeslagen in de gegevensbank met de gegenereerde zoeksleutels.

                        Goedgekeurd

                        De CIA heeft de aanvraag voor de tachograafkaart goedgekeurd.

                        Afgewezen

                        De CIA heeft de aanvraag niet goedgekeurd.

                        Op naam

                        De tachograafkaart is gepersonaliseerd.

                        Verzonden

                        De nationale autoriteit heeft de bestuurderskaart naar de desbetreffende bestuurder of het afgevende agentschap gestuurd.

                        Overhandigd

                        De nationale autoriteit heeft de bestuurderskaart overhandigd aan de desbetreffende bestuurder.

                        In beslag genomen

                        De bevoegde autoriteit heeft de bestuurderskaart van de bestuurder afgenomen.

                        Geschorst

                        De bestuurderskaart is tijdelijk van de bestuurder afgenomen.

                        Ingetrokken

                        De CIA heeft besloten de bestuurderskaart in te trekken. De kaart is definitief ongeldig gemaakt.

                        Ingeleverd

                        De tachograafkaart is naar de CIA teruggestuurd met de verklaring dat ze niet langer nodig is.

                        Verloren

                        De tachograafkaart is als verloren aangegeven bij de CIA.

                        Gestolen

                        De tachograafkaart is als gestolen aangegeven bij de CIA. Een gestolen kaart wordt als verloren beschouwd.

                        Defect

                        De tachograafkaart is als defect aangegeven bij de CIA.

                        Verlopen

                        De geldigheidsperiode van de tachograafkaart is verstreken.

                        Vervangen

                        De tachograafkaart, die als verloren, gestolen of defect is opgegeven, is vervangen door een nieuwe kaart. De gegevens op de nieuwe kaart zijn dezelfde, behalve de vervangingsindex van het kaartnummer, die met één is vermeerderd.

                        Verlengd

                        De tachograafkaart is verlengd omdat de administratieve gegevens zijn gewijzigd of de geldigheidsduur is verstreken. Het nummer van de nieuwe kaart is hetzelfde, behalve de vervangingsindex van het kaartnummer, die met één is vermeerderd.

                        Wordt ingewisseld

                        De CIA die een bestuurderskaart heeft afgegeven, heeft een bericht ontvangen dat de procedure voor de inwisseling van die kaart voor een bestuurderskaart die is afgegeven door de CIA van een andere partij, is begonnen.

                        Ingewisseld

                        De CIA die een bestuurderskaart heeft afgegeven, heeft een bericht ontvangen dat de procedure voor de inwisseling van die kaart voor een bestuurderskaart die is afgegeven door de CIA van een andere partij, is voltooid.

               Subaanhangsel 4.3

               Bepalingen voor berichten van TACHOnet

               1.Algemene technische vereisten

               1.1.Het centrale knooppunt beschikt over zowel synchrone als asynchrone interfaces voor de uitwisseling van berichten. De partijen kunnen kiezen voor de technologie die het best communiceert met hun eigen toepassingen.

               1.2.Alle berichten die tussen het centrale knooppunt en de nationale systemen worden uitgewisseld, moeten in UTF-8 worden opgesteld.

               1.3.De nationale systemen moeten berichten met Griekse of Cyrillische lettertekens kunnen ontvangen en verwerken.

               2.XML-structuur van berichten en XML-schemadefinitie (XSD)

               2.1.De algemene structuur van XML-berichten beantwoordt aan het formaat dat is vastgesteld door de XSD-schema's van het centrale knooppunt.

               2.2.Het centrale knooppunt en de nationale systemen sturen en ontvangen berichten die voldoen aan het XSD-schema voor berichten.

               2.3.De nationale systemen kunnen alle berichten verzenden, ontvangen en verwerken die overeenstemmen met een van de in subaanhangsel 4.2 genoemde functies.

               2.4.De XML-berichten bevatten minstens de minimumeisen in tabel 2.

               Tabel 2

               Minimumeisen voor de inhoud van XML-berichten

                        Gemeenschappelijke header

                        Verplicht

                        Version (versie)

                        De officiële versie van de XML-specificaties wordt bepaald door de namespace die is gedefinieerd in de XSD van het bericht en in het attribuut version in de header van een XML-bericht. Het versienummer ("n.m") wordt gedefinieerd als een vaste waarde in elke release van het XML-schemadefinitiebestand (XSD).

                        Ja

                        Test Identifier (identificatiecode van de test)

                        Facultatieve identificatiecode voor tests. De initiator van de test vult de identificatiecode in; iedereen die aan de workflow deelneemt, stuurt dezelfde identificatiecode door/terug. Tijdens de productie wordt de identificatiecode genegeerd en niet gebruikt.

                        Nee

                        Technical Identifier (technische identificatiecode)

                        Een UUID die elk afzonderlijk bericht op een unieke wijze identificeert. De afzender genereert een UUID en vult dat attribuut met gegevens. Die gegevens worden niet gebruikt in zakelijke omstandigheden.

                        Ja

                        Workflow Identifier (identificatiecode workflow)

                        De identificatiecode van de workflow is een UUID die wordt gegenereerd door de vragende partij. Vervolgens wordt die identificatiecode in alle berichten gebruikt om de workflow te correleren.

                        Ja

                        Sent at (verzonden op)

                        De datum en het tijdstip (UTC) waarop het bericht is verzonden.

                        Ja

                        Timeout (onderbreking)

                        Facultatief datum- en tijdattribuut (in UTC-formaat). Het knooppunt bepaalt die waarde alleen voor doorgestuurde vragen. Daardoor wordt de antwoordende partij verwittigd van het tijdstip waarop het verzoek verloopt. Deze waarde is niet vereist in MS2TCN_<x>_Req en alle antwoordberichten. De waarde is facultatief, zodat dezelfde headerdefinitie kan worden gebruikt voor alle soorten berichten, ongeacht of het attribuut timeoutValue is vereist.

                        Nee

                        From (van)

                        ISO 3166-1 Alpha 2-code van de partij die het bericht verzendt of "EU".

                        Ja

                        To (aan)

                        ISO 3166-1 Alpha 2-code van de partij waaraan het bericht wordt verzonden of "EU".

                        Ja

               Subaanhangsel 4.4

               Transliteratie- en NYSIIS-diensten (New York State Identification and Intelligence System)

               1.Het NYSIIS-algoritme van het centrale knooppunt wordt gebruikt om de namen van alle bestuurders in het nationale register te coderen.

               2.Als een kaart via de CIC-functie wordt gezocht, worden de NYSIIS-sleutels als voornaamste zoekmechanisme gebruikt.

               3.Daarnaast kunnen de partijen een algoritme op maat gebruiken om aanvullende resultaten terug te sturen.

               4.In de zoekresultaten wordt aangegeven welk zoekmechanisme (NYSIIS of op maat) is gebruikt om een record te vinden.

               5.Als een partij ervoor kiest ICDL-berichten op te slaan, worden de in het bericht vervatte NYSIIS-sleutels geregistreerd als onderdeel van de ICDL-gegevens. Als een partij de ICDL-gegevens zoekt, gebruikt zij de NYSIIS-sleutels van de naam van de aanvrager.

               Subaanhangsel 4.5

               Beveiligingseisen

               1.Voor de uitwisseling van berichten tussen het centrale knooppunt en de nationale systemen wordt HTTPS gebruikt.

               2.De nationale systemen gebruiken de in de subaanhangsels 4.8 en 4.9 bedoelde digitale certificaten voor de veilige verzending van berichten tussen het nationale systeem en het centrale knooppunt.

               3.De nationale systemen gebruiken ten minste certificaten met het hash-algoritme SHA-2 (SHA-256) voor de handtekening en een publieke sleutel met een lengte van 2048 bits.

               Subaanhangsel 4.6

               Dienstverleningsniveaus

               1.Nationale systemen voldoen aan de volgende minimale dienstverleningsniveaus:

               1.1.zij zijn 24 uur per dag en 7 dagen per week beschikbaar;

               1.2.hun beschikbaarheid wordt gecontroleerd door een hartslagbericht vanuit het centrale knooppunt;

               1.3.de beschikbaarheidsgraad bedraagt 98 %, overeenkomstig de volgende tabel (de cijfers zijn afgerond op de dichtstbijzijnde geschikte eenheid):

                        Een beschikbaarheid van

                        betekent een onbeschikbaarheid van

                        Dagelijks

                        Maandelijks

                        Jaarlijks

                        98 %

                        0,5 uur

                        15 uur

                        7,5 dag

               De partijen worden aangespoord om zich aan de dagelijkse beschikbaarheidsgraad te houden, hoewel wordt erkend dat voor bepaalde noodzakelijke activiteiten, zoals onderhoud van het systeem, een wachttijd van meer dan 30 minuten nodig is. De maandelijkse en jaarlijkse beschikbaarheidsgraden zijn echter bindend;

               1.4.zij beantwoorden ten minste 98 % van de verzoeken die in een kalendermaand worden doorgestuurd;

               1.5.zij beantwoorden verzoeken binnen 10 seconden;

               1.6.de algemene vraag-time-out (de tijd dat de verzoeker op een antwoord wacht) bedraagt niet meer dan 20 seconden;

               1.7.zij kunnen zes verzoeken per seconde behandelen;

               1.8.de nationale systemen mogen niet meer dan twee verzoeken per seconde naar het TACHOnet-knooppunt sturen;

               1.9.elk nationaal systeem moet eventuele technische problemen in het centrale knooppunt of de nationale systemen van andere partijen kunnen opvangen. Daaronder vallen onder andere maar niet uitsluitend:

               a)verbroken verbinding met het centrale knooppunt;

               b)geen antwoord op een verzoek;

               c)ontvangst van antwoorden na een bericht-time-out;

               d)ontvangst van ongevraagde berichten;

               e)ontvangst van ongeldige berichten.

               2.Het centrale knooppunt:

               2.1.heeft een beschikbaarheidsgraad van 98 %;

               2.2.brengt nationale systemen op de hoogte van fouten via een antwoordbericht of een speciale foutmelding. De nationale systemen ontvangen op hun beurt die specifieke foutmeldingen en beschikken over een escalatieworkflow om alle nodige maatregelen te treffen om de gemelde fout te corrigeren.

               3.Onderhoud

               Indien technisch mogelijk brengen de partijen ten minste één week vóór de start van een routine-onderhoud de andere partijen en de Europese Commissie via de webtoepassing op de hoogte van dat onderhoud.

               Subaanhangsel 4.7

               Logbestanden en statistieken van de door het centrale knooppunt verzamelde gegevens

               1.Om de privacy te garanderen zijn de gegevens die voor statistische doeleinden worden gebruikt anoniem. Gegevens voor het identificeren van een specifieke kaart, bestuurder of rijbewijs zijn niet beschikbaar voor statistische doeleinden.

               2.Via logbestanden worden alle transacties gevolgd met het oog op toezicht en het verwijderen van bugs en om statistieken over deze transacties te kunnen opstellen.

               3.Persoonsgegevens worden niet langer dan zes maanden in de logbestanden bewaard. Statistische gegevens worden voor onbepaalde tijd bewaard.

               4.De statistische gegevens voor de rapportage bevatten:

               a)de vragende partij;

               b)de antwoordende partij;

               c)het soort bericht;

               d)de statuscode van het antwoord;

               e)de datum en het tijdstip van de berichten;

               f)de responstijd.

               Subaanhangsel 4.8

               Algemene bepalingen betreffende digitale sleutels en certificaten voor TACHOnet

               1.Het directoraat-generaal Informatica van de Europese Commissie (DIGIT) stelt een PKI-dienst
                  1
                ("CEF PKI-dienst" genoemd) ter beschikking van de overeenkomstsluitende partijen bij de AETR om zich via eDelivery te kunnen aansluiten op TACHOnet (voortaan de nationale autoriteiten).

               2.De procedure voor het aanvragen en intrekken van digitale certificaten, evenals de gedetailleerde voorwaarden voor het gebruik ervan, zijn beschreven in het aanhangsel.

               3.Gebruik van certificaten

               3.1.Zodra het certificaat is uitgegeven, gebruikt de nationale autoriteit
                  2
                het alleen voor TACHOnet. Het certificaat kan worden gebruikt om:

               a)de oorsprong van de gegevens te authenticeren;

               b)gegevens te versleutelen;

               c)de opsporing van integriteitsinbreuken van gegevens te waarborgen.

               3.2.Elk gebruik van het certificaat dat niet uitdrukkelijk is goedgekeurd als onderdeel van het toegestane gebruik, is verboden.

               4.De overeenkomstsluitende partijen:

               a)beschermen hun geheime sleutel tegen onrechtmatig gebruik;

               b)sturen de geheime sleutels niet door of delen die niet mee aan derden, zelfs als vertegenwoordigers;

               c)waarborgen de vertrouwelijkheid, de integriteit en de beschikbaarheid van de geheime sleutels die voor TACHOnet zijn aangemaakt, opgeslagen en gebruikt;

               d)gebruiken de geheime sleutel niet langer nadat de geldigheidsduur is verstreken of het certificaat is ingetrokken, behalve om versleutelde gegevens te bekijken (bv. om e-mails te ontsleutelen). Vervallen sleutels worden vernietigd of op zodanige wijze bewaard dat zij niet kunnen worden gebruikt;

               e)bezorgen de registratieautoriteit de identiteit van de vertegenwoordigers die gemachtigd zijn om de intrekking van de aan de organisatie afgegeven certificaten te vragen (intrekkingsverzoeken bevatten een intrekkingswachtwoord en gegevens over de gebeurtenissen die tot de intrekking hebben geleid);

               f)voorkomen misbruik van de geheime sleutel door om de intrekking van het bijbehorende certificaat te verzoeken als de geheime sleutel of de activeringsgegevens zijn aangetast;

               g)hebben de verantwoordelijkheid en de plicht om tot de intrekking van een certificaat te verzoeken onder de omstandigheden die zijn vermeld in het certificatiebeleid (certification policies, CP) en de certificatiepraktijkverklaring (certification practices statement, CPS) van de certificaatautoriteit;

               h)brengen de registratieautoriteit onverwijld op de hoogte van verlies, diefstal of mogelijke aantasting van AETR-sleutels die voor TACHOnet worden gebruikt.

               5.Aansprakelijkheden

               Onverminderd de aansprakelijkheid van de Europese Commissie in strijd met de in de toepasselijke wetgeving van de Europese Unie of nationale wetgeving vervatte voorschriften, of betreffende haar aansprakelijkheid voor aangelegenheden die uit hoofde van die wetgeving niet mogen worden uitgesloten, is de Europese Commissie niet verantwoordelijk of aansprakelijk voor:

               a)de inhoud van het certificaat, die uitsluitend bij de houder van het certificaat ligt. Het is de verantwoordelijkheid van de houder van het certificaat om de nauwkeurigheid van de inhoud van het certificaat te controleren;

               b)het gebruik van het certificaat door de houder ervan.

               Subaanhangsel 4.9

               Beschrijving van de PKI-dienst voor TACHOnet

               1.Inleiding

               Een PKI (publieke-sleutelinfrastructuur) is een reeks rollen, principes, procedures en systemen voor het aanmaken, beheren, verdelen en intrekken van digitale certificaten
                  3
               . De CEF PKI-dienst van eDelivery maakt de uitgave en het beheer mogelijk van digitale certificaten die worden gebruikt om de vertrouwelijkheid, de integriteit en de onweerlegbaarheid te waarborgen van de informatie die tussen toegangspunten wordt uitgewisseld.

               De PKI-dienst van eDelivery is gebaseerd op de Trust Center Services TeleSec Shared Business CA (certificaatautoriteit) waarop het certificatiebeleid (CP) en de certificatiepraktijkverklaring (CPS) van TeleSec Shared Business CA van T-Systems International GmbH
                  4
                van toepassing zijn.

               De PKI-dienst geeft certificaten uit die geschikt zijn voor de beveiliging van verschillende bedrijfsprocessen binnen en buiten ondernemingen, organisaties, openbare autoriteiten en instellingen waarvoor een gemiddeld beveiligingsniveau is vereist om de authenticiteit, de integriteit en de betrouwbaarheid van de eindentiteit te bewijzen.

               2.Aanvraagprocedure voor certificaten

               2.1.Taken en verantwoordelijkheden

               2.1.1."Organisatie" of "nationale autoriteit" die het certificaat aanvraagt

               2.1.1.1.De nationale autoriteit vraagt de certificaten aan in het kader van het TACHOnet-project.

               2.1.1.2.De nationale autoriteit:

               (a)vraagt de certificaten aan bij de CEF PKI-dienst;

               (b)genereert de geheime sleutels en de overeenkomstige publieke sleutels die worden opgenomen in de door de certificaatautoriteit uitgegeven certificaten;

               (c)downloadt het goedgekeurde certificaat;

               (d)ondertekent en stuurt het volgende terug naar de registratieautoriteit:

               (i)het identificatieformulier met de contactpersonen en betrouwbare koeriers,

               (ii)de ondertekende individuele volmacht
                  5
               .

               2.1.2.Betrouwbare koerier

               2.1.2.1.De nationale autoriteit stelt een betrouwbare koerier aan.

               2.1.2.2.De betrouwbare koerier:

               (a)overhandigt de publieke sleutel aan de registratieautoriteit tijdens een persoonlijke identificatie- en registratieprocedure;

               (b)ontvangt het overeenkomstige certificaat van de registratieautoriteit.

               2.1.3.Domeineigenaar

               2.1.3.1.De domeineigenaar is DG MOVE.

               2.1.3.2.De domeineigenaar:

               (a)valideert en coördineert het TACHOnet-netwerk en de trust-architectuur van TACHOnet, met inbegrip van de validering van de procedures voor de uitgave van certificaten;

               (b)exploiteert het centrale knooppunt van TACHOnet en coördineert de activiteiten van de partijen met betrekking tot de werking van TACHOnet;

               (c)voert samen met de nationale autoriteiten de aansluitingstest van TACHOnet uit.

               2.1.4.Registratieautoriteit

               2.1.4.1.De registratieautoriteit is het Joint Research Centre (JRC).

               2.1.4.2.De registratieautoriteit is verantwoordelijk voor de controle van de identiteit van de betrouwbare koerier en voor de registratie en goedkeuring van de verzoeken tot uitgave, intrekking en verlenging van digitale certificaten.

               2.1.4.3.De registratieautoriteit:

               (a)wijst de unieke identificatiecode toe aan de nationale autoriteit;

               (b)authenticeert de identiteit van de nationale autoriteit, haar contactpunten en betrouwbare koeriers;

               (c)communiceert met de CEF-ondersteuning over de authenticiteit van de nationale autoriteit, haar contactpunten en betrouwbare koeriers;

               (d)informeert de nationale autoriteit over de goedkeuring of afkeuring van certificaten.

               2.1.5.Certificaatautoriteit

               2.1.5.1.De certificaatautoriteit is verantwoordelijk voor het verschaffen van de technische infrastructuur voor de aanvraag, de uitgave en de intrekking van digitale certificaten.

               2.1.5.2.De certificaatautoriteit:

               (a)levert de technische infrastructuur voor certificaataanvragen door nationale autoriteiten;

               (b)valideert of verwerpt certificaataanvragen;

               (c)communiceert met de registratieautoriteit desgevraagd over de identiteitsverificatie van de aanvragende autoriteit.

               2.2.Uitgave van certificaten

               2.2.1.De uitgave van certificaten gebeurt volgens de stappen in figuur 1:

               (a)Stap 1: Identificatie van de betrouwbare koerier

               (b)Stap 2: Aanmaken van de aanvraag van het certificaat

               (c)Stap 3: Registratie door de registratieautoriteit

               (d)Stap 4: Aanmaak van het certificaat

               (e)Stap 5: Publicatie van het certificaat

               (f)Stap 6: Aanvaarding van het certificaat

               Figuur 1 - Workflow voor de uitgave van een certificaat

               2.2.2.Stap 1: Identificatie van de betrouwbare koerier

               De identificatie van de betrouwbare koerier verloopt volgens deze procedure:

               (a)de registratieautoriteit stuurt de nationale autoriteit een identificatieformulier voor de contactpersonen en betrouwbare koeriers
                  6
               . Dat formulier bevat ook een volmacht die moet worden ondertekend door de organisatie (AETR-autoriteit);

               (b)de nationale autoriteit stuurt het ingevulde formulier en de ondertekende volmacht terug naar de registratieautoriteit;

               (c)de registratieautoriteit bevestigt de goede ontvangst en volledigheid van het formulier;

               (d)de registratieautoriteit bezorgt een bijgewerkte lijst van contactpersonen en betrouwbare koeriers aan de domeineigenaar.

               2.2.3.Stap 2: Aanmaken van de aanvraag van het certificaat

               2.2.3.1.Het certificaat wordt op dezelfde computer en met dezelfde browser aangevraagd en opgehaald.

               2.2.3.2.De aanvraag van het certificaat wordt aangemaakt volgens deze procedure:

               (a)de organisatie gaat naar de gebruikerswebinterface om het certificaat aan te vragen via de URL

                  https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en

                en vult als gebruikersnaam "sbca/CEF_eDelivery.europa.eu" en als wachtwoord "digit.333" in;

               Figuur 2

               (b)de organisatie klikt aan de linkerzijde van het scherm op "request" en kiest "CEF_TACHOnet" in de vervolgkeuzelijst;

               Figuur 3

               (c)de organisatie vult het aanvraagformulier voor het certificaat onder figuur 4 in met de informatie van tabel 3 en klikt op "Next (soft-PSE)" om te procedure te voltooien;

               Figuur 4

                        Vereiste velden

                        Beschrijving

                        Country

                        C=Country Code, land van de houder van het certificaat, geverifieerd aan de hand van een openbare gids.

                        Restricties: 2 tekens, in overeenstemming met ISO 3166-1 Alpha-2, hoofdlettergevoelig.
                        Voorbeelden: DE, BE, NL.

                        Specifieke gevallen: UK (voor Groot-Brittannië), EL (voor Griekenland).

                        Organisation/Company (O)

                        O=naam van de organisatie van de houder van het certificaat.

                        Master domain (OU1)

                        OU=CEF_eDelivery.europa.eu

                        Area of responsibility (OU2)

                        OU=CEF_TACHOnet

                        Department (OU3)

                        Verplichte waarde per "AREA OF RESPONSIBILITY".

                        De inhoud moet worden gecontroleerd aan de hand van een positieve lijst (witte lijst) wanneer het certificaat wordt aangevraagd. Als de informatie niet met de lijst overeenkomt, wordt de aanvraag verhinderd.

                        Formaat:
                        OU=<TYPE>-<GTC_NUMBER>

                        Waarbij "<TYPE>" wordt vervangen door AP_PROD: Access Point in Production-omgeving.

                        En waarbij <GTC_NUMBER> GTC_OID-1.3.130.0.2018.xxxxxx is, terwijl Ares(2018)xxxxxx het GTC-nummer voor het TACHOnet-project is.

                        Bijv.:

                        AP_PROD-GTC_OID-1.3.130.0.2018.xxxxxx

                        First name (CN)

                        Moet leeg blijven.

                        Last name (CN)

                        Moet beginnen met "GRP", gevolgd door een gewone naam.

                        Formaat:

                        CN=GRP:<AREA OF RESPONSIBILITY>_<TYPE>_<COUNTRY CODE>_<UNIQUE IDENTIFIER>

                        Bijv.:
                        GRP:CEF_TACHOnet_AP_PROD_BE_001

                        E-mail

                        E=

                           CEF-EDELIVERY-SUPPORT@ec.europa.eu

                        E-mail 1 (SAN)

                        Moet leeg blijven.

                        E-mail 2 (SAN)

                        Moet leeg blijven.

                        E-mail 3 (SAN)

                        Moet leeg blijven.

                        Address

                        Moet leeg blijven.

                        Street

                        Het officiële adres van de organisatie of de houder van het certificaat. (Gebruikt voor de volmacht.)

                        Street no.

                        Het officiële adres van de organisatie of de houder van het certificaat. (Gebruikt voor de volmacht.)

                        Zip Code

                        Het officiële adres van de organisatie of de houder van het certificaat. (Gebruikt voor de volmacht.)

                        Let op: Als de postcode NIET uit vijf cijfers bestaat, dit veld open laten en de postcode invullen in het veld "City".

                        City

                        Het officiële adres van de organisatie of de houder van het certificaat. (Gebruikt voor de volmacht.)

                        Let op: Als de postcode NIET uit vijf cijfers bestaat, het veld "ZIP code" open laten en de postcode invullen in het veld "City".

                        Phone no

                        Moet leeg blijven.

                        Identification data

                        Het e-mailadres moet hetzelfde zijn als datgene dat wordt gebruikt om de unieke identificatiecode te registreren.
                           +
                           De naam van de persoon die de organisatie vertegenwoordigt. (Gebruikt voor de volmacht.)

                        + Handelsregisternummer (alleen verplicht voor particuliere organisaties).

                        Ingeschreven bij de lokale rechtbank van (alleen verplicht voor particuliere organisaties in Duitsland en Oostenrijk).

                        Revocation password

                        Verplicht veld gekozen door de aanvrager.

                        Revocation password repetition

                        Nogmaals verplicht veld gekozen door de aanvrager.

               Tabel 3. Alle gegevens van elk vereist veld.

               (d)de gekozen sleutel heeft een lengte van 2048 bits (hoogwaardig);

               Figuur 5

               (e)de organisatie moet het referentienummer opslaan om het certificaat op te kunnen halen;

               Figuur 6

               (f)het CEF-ondersteuningsteam bekijkt nieuwe aanvragen voor certificaten en controleert of de informatie in de aanvraag geldig is, d.w.z. of die voldoet aan de naamgeving zoals gespecificeerd in aanhangsel 5.1: Naamgeving voor certificaten;

               (g)het CEF-ondersteuningsteam controleert of de informatie in de aanvraag in een geldig formaat is ingevuld;

               (h)als niet is voldaan aan punt 5 of 6, stuurt het CEF-ondersteuningsteam een e-mail naar het adres dat is ingevuld in het veld "Identification data" van het aanvraagformulier, met de domeineigenaar in CC, waarin het de organisatie vraagt om de procedure opnieuw te doorlopen. De foute aanvraag wordt geannuleerd.

               (i)Het CEF-ondersteuningsteam stuurt de registratieautoriteit een e-mail over de geldigheid van de aanvraag. In die e-mail wordt het volgende vermeld:

               (1)de naam van de organisatie, in het veld "Organisation (O)" van de aanvraag;

               (2)de gegevens van het certificaat, met inbegrip van de naam van het toegangspunt waarvoor het certificaat wordt uitgegeven, in het veld "Last name (CN)" van de aanvraag;

               (3)het referentienummer van het certificaat;

               (4)het adres en het e-mailadres van de organisatie en de naam van haar vertegenwoordiger.

               Figuur 7 – Procedure voor de aanvraag van een certificaat.

               2.2.4.Stap 3: Registratie door de registratieautoriteit (goedkeuring van het certificaat)

               2.2.4.1.De betrouwbare koerier of het contactpunt maakt via e-mail een afspraak met de registratieautoriteit en identificeert de betrouwbare koerier die zich persoonlijk zal aanmelden.

               2.2.4.2.De organisatie stelt het documentair pakket samen, dat bestaat uit:

               (a)de ingevulde en ondertekende volmacht;

               (b)een kopie van het geldige paspoort van de betrouwbare koerier die zich persoonlijk zal aanmelden. De kopie moet ondertekend zijn door een van de onder stap 1 geïdentificeerde contactpunten van de organisatie;

               (c)het papieren aanvraagformulier voor het certificaat, ondertekend door een van de contactpunten van de organisatie.

               2.2.4.3.De registratieautoriteit ontvangt de betrouwbare koerier nadat zijn identiteit is gecontroleerd aan de ingang van het gebouw. De registratieautoriteit voert de persoonlijke registratie van de aanvraag van het certificaat uit door:

               (a)de betrouwbare koerier te identificeren en te authenticeren;

               (b)het fysieke voorkomen van de betrouwbare koerier te toetsen aan het paspoort dat door deze wordt voorgelegd;

               (c)de geldigheid te controleren van het paspoort dat door de betrouwbare koerier wordt voorgelegd;

               (d)het gevalideerde paspoort dat door de betrouwbare koerier wordt voorgelegd te toetsen aan de kopie van het geldige paspoort van de betrouwbare koerier die is ondertekend door een van de geïdentificeerde contactpunten van de organisatie. De handtekening wordt geauthenticeerd aan de hand van het "identificatieformulier van betrouwbare koeriers en contactpunten";

               (e)de ingevulde en ondertekende volmacht te controleren;

               (f)het papieren aanvraagformulier voor het certificaat en de handtekening te toetsen aan het originele "identificatieformulier voor betrouwbare koeriers en contactpunten";

               (g)het ondertekenende contactpunt op te bellen om te identiteit van de betrouwbare koerier en de inhoud van de aanvraag van het certificaat nogmaals te controleren.

               2.2.4.4.De registratieautoriteit bevestigt aan het CEF-ondersteuningsteam dat de nationale autoriteit inderdaad gemachtigd is om de componenten te exploiteren waarvoor zij de certificaten aanvraagt en dat de overeenkomstige persoonlijke registratieprocedure met succes is doorlopen. De bevestiging wordt verstuurd in een met een "CommiSign"-certificaat beveiligde e-mail, met als bijlage een gescand exemplaar van het geauthenticeerde documentaire pakket en van de ondertekende checklist van de procedure die door de registratieautoriteit is uitgevoerd.

               2.2.4.5.Als de registratieautoriteit de geldigheid van de aanvraag bevestigt, wordt de procedure verdergezet zoals beschreven onder 2.2.4.6 en 2.2.4.7. Zo niet wordt de uitgave van het certificaat verworpen en wordt de organisatie daarvan in kennis gesteld.

               2.2.4.6.Het CEF-ondersteuningsteam keurt de aanvraag van het certificaat goed en stelt de registratieautoriteit in kennis van de goedkeuring van het certificaat.

               2.2.4.7.De registratieautoriteit stelt de organisatie ervan in kennis dat het certificaat kan worden opgehaald via het gebruikersportaal.

               Figuur 8 - Goedkeuring van het certificaat.

               2.2.5.Stap 4: Aanmaak van het certificaat

               Na goedkeuring van de aanvraag van het certificaat, wordt het certificaat aangemaakt.

               2.2.6.Stap 5: Publiceren en ophalen van het certificaat

               2.2.6.1.Nadat de aanvraag van het certificaat is goedgekeurd, ontvangt de registratieautoriteit het certificaat en overhandigt zij een exemplaar daarvan aan de betrouwbare koerier.

               2.2.6.2.De registratieautoriteit deelt de organisatie mee dat de certificaten kunnen worden opgehaald.

               2.2.6.3.De organisatie gaat naar het gebruikersportaal via

                  https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en

                en logt in met gebruikersnaam "sbca/CEF_eDelivery.europa.eu" en wachtwoord "digit.333".

               Figuur 9

               2.2.6.4.De organisatie klikt aan de linkerzijde op de knop "fetch" en vult het referentienummer in dat tijdens de aanvraagprocedure van het certificaat is geregistreerd.

               Figuur 10

               2.2.6.5.De organisatie installeert de certificaten door op de knop "Install" te klikken.

               Figuur 11

               2.2.6.6.Het certificaat wordt geïnstalleerd op het toegangspunt. Aangezien dit implementatiespecifiek is, verwijst de organisatie naar de provider van haar toegangspunt om de beschrijving van deze procedure te ontvangen.

               2.2.6.7.Dit zijn de nodige stappen om het certificaat op het toegangspunt te installeren:

               (a)de geheime sleutel en het certificaat exporteren;

               (b)het sleutelbestand en het trustbestand aanmaken;

               (c)het sleutelbestand en het trustbestand installeren op het toegangspunt.

               Figuur 12 - Ophalen van het certificaat.

               3.Procedure voor de intrekking van certificaten

               3.1.De organisatie dient een aanvraag tot intrekking in via het gebruikerswebportaal.

               3.2.Het CEF-ondersteuningsteam trekt het certificaat in.

               Figuur 13 - Intrekking van het certificaat.

               4.Algemene voorwaarden van de CEF PKI-dienst.

               4.1.Achtergrond

               In zijn hoedanigheid van aanbieder van oplossingen van de bouwsteen eDelivery van de Connecting Europe Facility, stelt DIGIT een PKI-dienst
                  7
                ("CEF PKI-dienst”) ter beschikking van de overeenkomstsluitende partijen bij de AETR. De CEF PKI-dienst wordt gebruikt door de nationale autoriteiten ("eindgebruikers") die aan TACHOnet deelnemen.

               DIGIT is een PKI-huurder binnen de TeleSec Shared Business CA-oplossing ("SBCA") die wordt geëxploiteerd in het trustcentrum van de groep T-Systems International GmbH ("T-Systems"
                  8
               ). DIGIT speelt de rol van hoofdregistrator van het domein "CEF_eDelivery.europa.eu" van de SBCA. In die rol maakt DIGIT subdomeinen van het domein "CEF_eDelivery.europa.eu" aan voor elk project dat de CEF PKI-dienst gebruikt.

               Dit document bevat meer gegevens over de voorwaarden van het subdomein TACHOnet. DIGIT speelt de rol van subregistrator van dit subdomein. In die hoedanigheid is het verantwoordelijk voor de uitgave, intrekking en verlenging van certificaten voor dit project.

               4.2.Uitsluiting van aansprakelijkheid

               De Europese Commissie aanvaardt geen enkele verantwoordelijkheid of aansprakelijkheid met betrekking tot de inhoud van het certificaat, die uitsluitend bij de houder van het certificaat ligt. Het is de verantwoordelijkheid van de houder van het certificaat om de nauwkeurigheid van de inhoud van het certificaat te controleren.

               De Europese Commissie aanvaardt geen enkele verantwoordelijkheid of aansprakelijkheid met betrekking tot het gebruik van het certificaat door de houder, die een derde partij buiten de Europese Commissie is.

               Met deze afwijzing van aansprakelijkheid wordt niet beoogd de aansprakelijkheid van de Europese Commissie te beperken in strijd met de in de toepasselijke nationale wetgeving vervatte voorschriften, noch haar aansprakelijkheid uit te sluiten voor aangelegenheden die uit hoofde van die wetgeving niet mogen worden uitgesloten.

               4.3.Toegestaan/verboden gebruik van certificaten

               4.3.1.Toegestaan gebruik van certificaten

               Zodra het certificaat is afgegeven, gebruikt de houder
                  9
                het certificaat alleen voor TACHOnet. Het certificaat kan worden gebruikt om:

               ·de oorsprong van de gegevens te authenticeren;

               ·gegevens te versleutelen;

               ·de opsporing van integriteitsinbreuken van gegevens te waarborgen.

               4.3.2.Verboden gebruik van certificaten

               Elk gebruik van het certificaat dat niet uitdrukkelijk is goedgekeurd als onderdeel van het toegestane gebruik, is verboden.

               4.4.Aanvullende verplichtingen van de houder van het certificaat

               De gedetailleerde voorwaarden van de SBCA zijn gedefinieerd door T-Systems in het certificatiebeleid (CP) en de certificatiepraktijkverklaring (CPS) van de SBCA-dienst
                  10
               . Dit document bevat beveiligingsspecificaties en richtsnoeren betreffende technische en organisatorische aspecten en beschrijft de activiteiten van de trustcentrumexploitant in de rol van certificaatautoriteit (CA) en registratieautoriteit (RA), evenals de gedelegeerde derde partij van de registratieautoriteit (RA).

               Alleen partijen die gemachtigd zijn om deel te nemen aan TACHOnet, kunnen een certificaat aanvragen.

               Betreffende de aanvaarding van certificaten is punt 4.4.1 van het certificatiebeleid en de certificatiepraktijkverklaring (CP/CPS) van de SBCA van toepassing; bovendien worden de gebruiksvoorwaarden en bepalingen die zijn beschreven in het onderhavige document, geacht te zijn aangenomen door de organisatie waaraan het certificaat is afgegeven ("O=") zodra het certificaat een eerste keer wordt gebruikt.

               Betreffende de publicatie van het certificaat is punt 2.2 van de CP/CPS van de SBCA van toepassing.

               Alle houders van een certificaat moeten aan de volgende vereisten voldoen:

               (1)zij beschermen hun geheime sleutel tegen onrechtmatig gebruik;

               (2)zij sturen de geheime sleutels niet door of delen die niet mee aan derden, zelfs als vertegenwoordigers;

               (3)zij blijven de geheime sleutel niet gebruiken nadat de geldigheidsperiode is verstreken of nadat het certificaat is ingetrokken, behalve om versleutelde gegevens te bekijken (bv. om e-mails te ontsleutelen);

               (4)de houder van het certificaat is verantwoordelijk voor het kopiëren of doorsturen van de sleutels naar de eindentiteit(en);

               (5)de houder van het certificaat moet de eindentiteit/alle eindentiteiten verplichten om aan deze voorwaarden te voldoen, met inbegrip van de CP/CPS van de SBCA, wanneer zij de geheime sleutel gebruiken;

               (6)de houder van het certificaat moet de vertegenwoordigers identificeren die gemachtigd zijn om de intrekking van de aan de organisatie afgegeven certificaten te vragen, met opgave van de gegevens over de gebeurtenissen die tot de intrekking hebben geleid en het intrekkingswachtwoord;

               (7)voor certificaten die zijn toegekend aan groepen personen en functies en/of rechtspersonen, moet de houder van het certificaat nadat een persoon de groep of eindentiteiten heeft verlaten (bv. bij stopzetting van de arbeidsovereenkomst) misbruik van de geheime sleutel voorkomen door het certificaat in te trekken;

               (8)de houder van het certificaat is verantwoordelijk en vraagt de intrekking van het certificaat aan onder de omstandigheden als bedoeld in punt 4.9.1 van de CP/CPS van de SBCA.

               Wat betreft de verlenging of hersleuteling van certificaten is punt 4.6 of 4.7 van de CP/CPS van de SBCA van toepassing.

               Wat betreft de wijziging van een certificaat is punt 4.8 van de CP/CPS van de SBCA van toepassing.

               Wat betreft de intrekking van een certificaat is punt 4.9 van de CP/CPS van de SBCA van toepassing.

               5.Identificatieformulier met contactpersonen en betrouwbare koeriers (voorbeeld)

                        Ik, [naam en adres van de vertegenwoordiger van de organisatie], verklaar dat de volgende gegevens gebruikt moeten worden in het kader van de aanvraag, de aanmaak en de ophaling van digitale certificaten van publieke sleutels voor toegangspunten tot TACHOnet die de vertrouwelijkheid, de integriteit en de onweerlegbaarheid van de TACHOnet-berichten ondersteunen:

                        Informatie over de contactpersoon:

                        Informatie over de betrouwbare koerier:

                        Plaats, datum, stempel van de onderneming of zegel van de organisatie:

                        Handtekening van de gemachtigde vertegenwoordiger:

               6.Documenten

               6.1.Individuele volmacht (voorbeeld)

               Een voorbeeld van de individuele volmacht die moet worden ondertekend en door de betrouwbare koerier moet worden voorgelegd tijdens de persoonlijke registratie bij de registratieautoriteit, kunt u hier vinden:

               6.2.Papieren aanvraagformulier voor een certificaat (voorbeeld)

               Een voorbeeld van het papieren aanvraagformulier voor een certificaat dat moet worden ondertekend en door de betrouwbare koerier moet worden voorgelegd tijdens de persoonlijke registratie bij de registratieautoriteit, kunt u hier vinden:

               7.Woordenlijst

               De belangrijkste termen die in dit subaanhangsel worden gebruikt, zijn gedefinieerd onder CEF Definitions op de portaalsite CEF Digital:

                  https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/CEF+Definitions

               De belangrijkste acroniemen die in deze beschrijving van componenten worden gebruikt, zijn gedefinieerd in het deel CEF Glossary op de portaalsite CEF Digital:

                  https://ec.europa.eu/cefdigital/wiki/pages/viewpage.action?spaceKey=CEFDIGITAL&title=CEF+Glossary

                     (1)

                        Een PKI (publieke-sleutelinfrastructuur) is een reeks rollen, principes, procedures en systemen voor het aanmaken, beheren, verdelen en intrekken van digitale certificaten.

                     (2)

                        Geïdentificeerd door de attribuutwaarde "O=" in de Subject Distinguished Name van het uitgegeven certificaat.

                     (3)

                  https://nl.wikipedia.org/wiki/Public_key_infrastructure

                     (4)

                        De recentste versie van het CP en de CPS kan worden gedownload van
                  https://www.telesec.de/en/sbca-en/support/download-area/

                     (5)

                        Een volmacht is een juridisch document waarbij de organisatie de Europese Commissie, vertegenwoordigd door de geïdentificeerde ambtenaar die verantwoordelijk is voor de CEF PKI-dienst, machtigt om namens haar TeleSec Shared Business CA van T-Systems International GmbH te verzoeken om een certificaat aan te maken. Zie ook punt 6.

                     (6)

                        Zie punt 5.

                     (7)

                        Een PKI (publieke-sleutelinfrastructuur) is een reeks rollen, principes, procedures en systemen voor het aanmaken, beheren, verdelen en intrekken van digitale certificaten.

                     (8)

                        De betrouwbare trustcentrumexploitant, gevestigd in het trustcentrum van T-Systems, vervult ook de taak van interne registratieautoriteit.

                     (9)

                        Geïdentificeerd door de attribuutwaarde "O=" in de Subject Distinguished Name van het afgegeven certificaat.

                     (10)

                        De recentste versie van de CP/CPS van de SBCA van T-Systems is beschikbaar op
                  https://www.telesec.de/en/sbca-en/support/download-area/