Якісні характеристики засобів ЕЦП і даних, які використовуються при його створенні, встановлюються національним законодавством держав - членів Європейського Союзу. Зокрема, такі вимоги встановлені законодавствами Ірландії, Німеччині і Австрії. У загальних рисах ці вимоги зводяться до необхідності захисту ключів, вживаних при створенні ЕЦП, від неправомірного їх використання третіми особами, які не володіють законними правами на них, а також від підробки. Що ж до засобів ЕЦП, то вони не повинні в процесі створення підпису змінювати зміст електронного документа або перешкоджати доступу власника підпису до даних, що містяться в електронному документі. Крім того, засоби ЕЦП повинні бути захищені від несанкціонованого доступу до них з боку третіх осіб.
Особливої уваги заслуговує питання доступності засобів шифрування і, зокрема, засобів ЕЦП. Зокрема, певним лібералізмом відрізняється регламентація порядку використання засобів ЕЦП в Німеччині. Відповідно до Принципів німецької політики в області шифрування, розроблених Федеральним Урядом, від 2 червня 1999 року, «Федеральний Уряд не має наміру забороняти вільну доступність засобів шифрування в Германії».
У Великобританії Законом «Про електронні комунікації» передбачено ліцензування діяльності, пов’язаної з шифруванням. Таке ліцензування здійснюється Державним секретарем (the Secretary of State), що створює і веде спеціальний реєстр, в якому міститься інформація про органи, що надають послуги в області шифрування інформації. Для отримання ліцензії необхідна відповідність ряду вимог технічного характеру, що встановлюються Державним секретарем. Вони стосуються якісних характеристик засобів ЕЦП. В цілому у Великобританії встановлені жорсткіші вимоги до засобів ЕЦП, ніж у Німеччині.
Законодавства зарубіжних держав регламентують діяльність системи засвідчувальних центрів. Зокрема, в Європейському Союзі Директивою засвідчувальний центр визначається як «орган або юридична або фізична особа, яка видає сертифікат або надає інші послуги, пов’язані з електронним цифровим підписом». Під сертифікатом розуміється «електронне посвідчення, за допомогою якого відбувається ідентифікація засобів перевірки підпису особи і підтвердження її особи». Крім того, Директива використовує поняття кваліфікованого сертифікату, тобто виданого відповідно до вимог закону та інших нормативно-правових актів.
Директива також встановлює вимоги до змісту сертифікату. Відповідно до Додатку № 1 до Директиви кваліфікований сертифікат повинен містити:
а) повідомлення, що даний сертифікат є кваліфікованим;
б) повідомлення засвідчувального центру і держави, що даний сертифікат діє;
в) ім’я особи, що звернулася за отриманням сертифікату відкритого ключа ЕЦП, або його псевдонім, який служить з метою ідентифікації особи;
г) місце для вказівки специфічних рис особи, яка звернулася для видачі сертифікату відкритого ключа ЕЦП, що використовується у разі потреби з метою визначення особи;
д) інформацію про засоби перевірки підписів, які відповідають засобам ЕЦП, що знаходяться під контролем особи, охочої отримати сертифікат відкритого ключа ЕЦП;
е) повідомлення про початок і кінець терміну дії сертифікату відкритого ключа ЕЦП;
ж) унікальний номер сертифікату;
з) розширену ЕЦП засвідчувального центру;
и) у разі потреби – обмеження території дії сертифікату;
к) у разі потреби – обмеження ціни операції, для якої може застосовуватися сертифікат.
Директива встановлює також ряд вимог до діяльності засвідчувальних центрів. Зокрема, даний центр винен:
а) довести наявність необхідної надійності для надання послуг з сертифікації;
б) забезпечити швидке і безпечне надання послуг з реєстрації, а також безпечне і негайне відкликання сертифікату відкритого ключа ЕЦП;
в) забезпечити точне визначення дати і часу видачі або відкликання сертифікату відкритого ключа ЕЦП;
г) перевірити відповідними засобами відповідно до права окремих держав особу і, у разі потреби, специфічні риси особи, яка звернулася за отриманням сертифікату відкритого ключа ЕЦП;
д) надати роботу персоналу, що володіє спеціальними знаннями, досвідом і кваліфікацією, особливо знаннями в області управління, технології і застосування ЕЦП, а також ґрунтовними знаннями в області процедур забезпечення достатньої безпеки;
е) дотримуватися в подальшому необхідних процедур управління та інших норм;
ж) застосовувати системи, що користуються довірою, і продукти, захищені від внесення змін, що забезпечують технічний і криптографічний захист відповідних процедур;
з) прийняти заходи проти фальсифікації сертифікатів, а у випадках, коли виробляються засоби і елементи ЕЦП, забезпечити конфіденційність даних при їх виробництві;
и) володіти достатньою кількістю фінансових коштів для роботи відповідно до вимог Директиви; мати змогу нести ризик відповідальності за збитки, наприклад в результаті укладення відповідних договорів страхування;
к) вказати всю відповідну інформацію про кваліфікований сертифікат і про термін його дії, для того, щоб, особливо в судовому процесі, можна було довести сертифікацію;
л) не дозволяти зберігання і копіювання засобів та елементів ЕЦП особам, які надають послуги з управління ключами ЕЦП;
м) інформувати власників сертифікатів про умови застосування сертифікату відкритого ключа ЕЦП, про існування вільної системи ліцензування засвідчувальних центрів, про процедури оскарження та погодження.
В цілому законодавства держав-членів ЄС, таких як Ірландія, Німеччина, Австрія, повторюють (деколи навіть структурно), за винятком деяких незначних змін в деталях, вимоги Директиви. У Німеччині і Австрії федеральними урядами прийняті відповідні ухвали про ЕЦП на виконання національних законодавчих актів. Національні законодавчі акти держав – членів ЄС по-різному регулюють процедуру ліцензування засвідчувальних центрів. Наприклад, Закон Ірландії «Про електронну комерцію» встановлює обов’язковість ліцензування діяльності засвідчувальних центрів. Таке ліцензування здійснюється міністром громадських підприємств (Minister for Public Enterprise). Закони Німеччини і Австрії «Про цифровий підпис» встановлюють добровільний порядок ліцензування засвідчвальних центрів. Істотною специфікою володіє також законодавство Великобританії. Закон «Про електронні комунікації» не передбачає діяльність центрів по посвідченню відкритих ключів ЕЦП, він лише говорить про посвідчення самого ЕЦП. Коротке нормативно-правове регулювання діяльності засвідчувальних центрів згідно цього закону зводиться до наступного:
а) передбачена сертифікація не відкритого ключа ЕЦП, а самого підпису;
б) особа може засвідчити підпис після того, як зробить заяву, що підпис, засоби його створення і перевірки, а також засоби і процеси зв’язку, що відносяться до ЕЦП, дійсно підтверджують незмінність даних і (або) умов зв’язку.
Таким чином, законодавство Великобританії дає можливість сторонам самим здійснювати посвідчення ЕЦП. Закон Індії «Про інформаційні технології» встановлює обов’язковість ліцензування діяльності засвідчувальних центрів одним уповноваженим державним органом – Керівником засвідчувальних центрів (Controller of Certifying Authorities). Ліцензія може бути видана засвідчувальному центру у разі задоволення вимог з кваліфікації і чисельності кадрів, фінансових ресурсів, інфраструктури. При здійсненні діяльності засвідчувальний центр зобов’язаний [16, с.25]:
а) використовувати програмне і апаратне забезпечення та процеси, захищені від неправомірного привласнення і зловживання;
б) забезпечити оптимальний ступінь надійності своїх послуг, достатній для їх надання;
в) дотримуватися захищених процесів для забезпечення конфіденційності ЕЦП, що завіряються;
г) дотримувати інші стандарти, встановлені іншими нормативно-правовими актами.
Закон Індії не встановлює вимог до змісту сертифікату. У США федеральне законодавство не регулює діяльність засвідчувальних центрів, але їх нормативно-правове регулювання здійснюється законодавством окремих штатів, хоча й не всіх. Зокрема, питання, пов’язані з інфраструктурою ЕЦП, регламентовані в таких штатах, як Айова, Міннесота, Міссурі, Род-айленд, Юта, Вермонт, Вашингтон. Законодавства зарубіжних держав не завжди встановлюють відповідальність за порушення режиму застосування ЕЦП. Норми про відповідальність можуть міститися в інших нормативно-правових актах, зокрема, кодифікованих (кримінальні, адміністративні кодекси і т.п.). Для держав - членів ЄС загальне регулювання відповідальності за порушення законодавства про ЕЦП здійснюється на основі Директиви.
Правове регулювання відповідальності за законом Індії «Про інформаційні технології» володіє значною специфікою. Зокрема, цей закон перераховує різні види злочинів в області застосування електронного цифрового підпису і встановлює різні види покарань. Тим самим він структурно нагадує кодифікований кримінальний акт. Суб’єктами перерахованих злочинів можуть бути як сторони по операції, що здійснюють застосування ЕЦП, так і засвідчувальний центр. Як приклад таких злочинів можна назвати: спотворення відомостей засвідчувальним центром для отримання ліцензії; порушення конфіденційності даних; обман при публікації сертифікату; публікація сертифікату з метою шахрайства. Як покарання передбачаються різні терміни позбавлення волі. Міжнародним регіональним законодавством ЄС і національними законодавствами держав-членів ЄС передбачається ряд випадків обмеження відповідальності засвідчувальних центрів. Зокрема, відповідно до Директиви, а також законодавств Ірландії, Німеччині, Австрії визначена можливість обмеження відповідальності. Таке обмеження може бути здійснене шляхом встановлення певного переліку операцій, при здійсненні яких можливе використання сертифікату, або на підставі вказівки суми операції, для якої застосовується сертифікат. При спричиненні стороні збитків у разі використання сертифікату в операції з сумою, яка перевищує вказану в сертифікаті, засвідчувальний центр відповідальності не несе. Федеральний закон Австрії також встановлює, що засвідчувальний центр не несе відповідальності перед іншими особами, якщо він доведе, що порушення обов’язків відбулося не з вини самого засвідчувального центру або його співробітників. Потерпілий, відповідно до закону, може посилатися на ту обставину, що обов’язки, встановлені законом, були порушені або мало місце недотримання вимог закону і прийнятих на його виконання інших нормативно-правових актів в області безпеки, а також якщо не були здійснені належні заходи. При цьому вказані обставини повинні привести до виникнення збитків у потерпілої сторони. Федеральний закон США «Про електронні підписи в глобальній і національній торгівлі», так само, як і Федеральний закон Німеччини, не містить яких-небудь положень про відповідальність, що випливає з правовідносин між партнерами по операції у зв’язку з неналежним застосуванням ЕЦП. Відповідальність, пов’язана із застосуванням ЕЦП, регулюється законодавством штатів. Зокрема, в Законі штату Юта (1996 р.) встановлюється відповідальність засвідчувального центру за невиконання або неналежне виконання зобов’язань. Відповідно до нього засвідчувальний центр несе відповідальність в межах, встановлених у сертифікаті відкритого ключа ЕЦП.
Згідно ст.46-3-308 Закону штату Юта засвідчувальний центр, за деякими виключеннями, не відповідає за [16, с.24]:
а) будь-який збиток, заподіяний фальшивим або сфальсифікованим підписом власника сертифікату відкритого ключа ЕЦП, якщо засвідчувальний центр діяв відповідно до вимог Закону;
б) спотворення в сертифікаті, помилку при його видачі при перевищенні меж відповідальності засвідчувального центру, вказаних в сертифікаті.
Із засвідчувального центру не можуть бути стягнуті штрафні санкції.
