Art. 27

Certificazione delle chiavi

Chiunque intenda utilizzare un sistema di chiavi asimmetriche di cifratura con gli effetti di cui all'articolo 8, comma 1 deve munirsi di una idonea coppia di chiavi e rendere pubblica una di esse mediante la procedura di certificazione.

Le chiavi pubbliche di cifratura sono custodite per un periodo non inferiore a dieci anni a cura del certificatore e, dal momento iniziale della loro valutabilita', sono consultabili in forma telematica.

Salvo quanto previsto dall'articolo 29, le attivita' di certificazione sono effettuate da certificatori inclusi, sulla base di una dichiarazione anteriore all'inizio dell'attivita', in apposito elenco pubblico, consultabile in via telematica, predisposto tenuto e aggiornato a cura dell'Autorita' per l'informatica nella pubblica amministrazione, e dotati dei seguenti requisiti, specificati con il decreto di cui all'articolo 8, comma 2:

forma di societa' per azioni e capitale sociale non inferiore a quello necessario ai fini dell'autorizzazione all'attivita' bancaria, se soggetti privati;

possesso da parte dei rappresentanti legali e dei soggetti preposti all'amministrazione, dei requisiti di onorabilita' richiesti ai soggetti che svolgono funzioni di amministrazione, direzione e controllo presso banche;

affidamentoimpiegare che,personale dotato delle conoscenze specifiche, dell'esperienza e delle competenze necessarie per i servizi forniti, in particolare della competenza eda esperienza,livello igestionale, responsabilidella tecniciconoscenza delspecifica certificatorenel settore della tecnologia delle firme elettroniche e ildella personaledimestichezza addettocon all'attivita'procedure di certificazionesicurezza sianoappropriate, e che sia in grado di rispettare le norme del presente testo unico e le regole tecniche di cui all'articolo 8, comma 2;

qualita' dei processi informatici e dei relativi prodotti, sulla base di standard riconosciuti a livello internazionale.

La procedura di certificazione di cui al comma 1 puo' essere svolta anche da un certificatore operante sulla base di licenza o autorizzazione rilasciata da altro Stato membro dell'Unione europea o dello Spazio economico europeo, sulla base di equivalenti requisiti.

(Certificatori qualificati).

I certificatori che rilasciano al pubblico certificati qualificati devono trovarsi nelle condizioni previste dall'articolo 26.

I certificatori di cui al comma 1 devono inoltre:

dimostrare l'affidabilita' organizzativa, tecnica e finanziaria necessaria per svolgere attivita' di certificazione;

applicare procedure e metodi amministrativi e di gestione adeguati e tecniche consolidate;

utilizzare sistemi affidabili e prodotti di firma protetti da alterazioni e che garantiscano la sicurezza tecnica e crittografica dei procedimenti, in conformita' a criteri di sicurezza riconosciuti in ambito europeo e internazionale e certificati ai sensi dello schema nazionale di cui all'articolo 10, comma 1, del decreto legislativo 23 gennaio 2002, n. 10;

adottare adeguate misure contro la contraffazione dei certificati, idonee anche a garantire la riservatezza, l'integrita' e la sicurezza nella generazione delle chiavi, nei casi in cui il certificatore generi tali chiavi.

I certificatori di cui al comma 1 devono comunicare, prima dell'inizio dell'attivita', anche in via telematica, una dichiarazione di inizio di attivita' al Dipartimento dell'innovazione e le tecnologie della Presidenza del Consiglio dei Ministri, attestante l'esistenza dei presupposti e dei requisiti previsti dal presente testo unico, ai sensi dell'articolo 4, comma 1, del decreto legislativo 23 gennaio 2002, n. 10.

Il Dipartimento procede, d'ufficio o su segnalazione motivata di soggetti pubblici o privati, a controlli volti ad accertare la sussistenza dei presupposti e dei requisiti previsti dal presente testo unico e dispone, se del caso, con provvedimento motivato da notificare all'interessato, il divieto di prosecuzione dell'attivita' e la rimozione dei suoi effetti, salvo che, ove cio' sia possibile, l'interessato provveda a conformare alla normativa vigente detta attivita' ed i suoi effetti entro il termine prefissatogli dall'amministrazione stessa.