Certyfikat do CSIRE – czym jest i który wybrać do integracji?

Certyfikat do CSIRE służy do zabezpieczania komunikacji między systemami informatycznymi uczestników rynku energii a Centralnym Systemem Informacji Rynku Energii. Czym różnią się certyfikaty mTLS, Signing i Encryption oraz który z nich wybrać do integracji z CSIRE? Sprawdź, na co zwrócić uwagę przy wyborze certyfikatu i jak uzyskać go zgodnie z wymaganiami technicznymi.

Czym jest certyfikat do CSIRE i od kiedy jest wymagany?

Certyfikat do Centralnego Systemu Informacji Rynku Energii (CSIRE) to cyfrowe narzędzie bezpieczeństwa wykorzystywane w procesach związanych z dostępem do systemu i wymianą danych. Sam CSIRE służy do gromadzenia oraz udostępniania informacji o rynku energii elektrycznej uprawnionym uczestnikom, w tym sprzedawcom energii i operatorom systemów dystrybucyjnych (OSD).

Dobór certyfikatu do CSIRE zależy przede wszystkim od modelu integracji oraz roli, jaką ma on pełnić w komunikacji z systemem. Poszczególne rodzaje certyfikatów służą do realizacji odmiennych zadań, takich jak uwierzytelnianie połączenia, podpisywanie komunikatów czy szyfrowanie danych. Przed rozpoczęciem integracji należy więc zweryfikować wymagania techniczne OIRE i ustalić, które rozwiązania są potrzebne w danym przypadku.

Termin, od którego wymagane są certyfikaty do CSIRE, zależy od harmonogramu wdrożenia systemu oraz sposobu integracji danego podmiotu. W przypadku komunikacji przez własną integrację AS4 odpowiednie certyfikaty muszą być dostępne przed rozpoczęciem wymiany danych. Istotne znaczenie mają również terminy określające obowiązek przystąpienia do CSIRE oraz zmiany wymagań technicznych dotyczących certyfikatów.

Najważniejsze daty, podmioty objęte wymaganiami oraz związane z nimi obowiązki przedstawiono w poniższej tabeli.

Do czego służą certyfikaty do CSIRE?

Certyfikaty wykorzystywane w integracji z CSIRE pomagają sprawdzić, kto łączy się z systemem, potwierdzić autentyczność przesyłanych komunikatów oraz zabezpieczyć dane przed odczytaniem przez nieuprawnione osoby. W zależności od rodzaju i wymagań technicznych służą do uwierzytelniania systemów, potwierdzania pochodzenia komunikatów, ochrony ich integralności lub zapewniania poufności przesyłanych informacji. W rezultacie ograniczają ryzyko nieuprawnionego dostępu, podszywania się pod inne systemy i modyfikacji danych podczas ich przekazywania.

Najważniejsze funkcje certyfikatów w CSIRE to:

• uwierzytelnianie systemów – potwierdzają tożsamość aplikacji wysyłającej i odbierającej dane w warstwie transportowej, zapobiegając podszywaniu się nieuprawnionych podmiotów pod węzły komunikacyjne,
• ochrona integralności i potwierdzanie pochodzenia komunikatów – pozwalają na cyfrowe podpisanie struktury komunikatu XML. Dzięki temu odbiorca (np. CSIRE) ma pewność, od kogo pochodzi wiadomość i czy nie została ona zmodyfikowana podczas przesyłania,
• szyfrowanie danych – zabezpieczają treść wiadomości przed odczytem przez nieuprawnione osoby i systemy, chroniąc poufność przesyłanych informacji rynkowych.

Certyfikat SSL/TLS służy do uwierzytelniania serwera i szyfrowania połączenia między systemami, np. podczas przesyłania danych przez internet. W kontekście integracji z CSIRE może to być niewystarczające, ponieważ wymagane są certyfikaty spełniające pełen profil bezpieczeństwa OIRE.

WAŻNE: Zgodnie z wymogami PSE dotyczącymi integracji z CSIRE certyfikaty muszą pochodzić od kwalifikowanego dostawcy usług zaufania (QTSP).

Jakie certyfikaty są wykorzystywane w komunikacji z CSIRE?

W komunikacji z Centralnym Systemem Informacji Rynku Energii wykorzystuje się trzy podstawowe rodzaje certyfikatów:

• Certyfikat CSIRE do szyfrowania wiadomości
• Certyfikat CSIRE do podpisywania wiadomości
• Certyfikat CSIRE (mTLS) do uwierzytelnienia witryn internetowych (QWAC)

Certyfikat CSIRE (mTLS) do uwierzytelnienia witryn internetowych (QWAC)

Certyfikat CSIRE (mTLS) do uwierzytelnienia witryn internetowych (QWAC) służy do wzajemnego uwierzytelnienia obu stron połączenia sieciowego, czyli zarówno serwera CSIRE, jak i systemu informatycznego uczestnika rynku energii. W przeciwieństwie do tradycyjnego protokołu TLS, gdzie tylko serwer legitymuje się swoim certyfikatem, w architekturze mTLS certyfikat klienta pełni rolę cyfrowego dowodu tożsamości systemu zewnętrznego. Po jego zastosowaniu system CSIRE weryfikuje dokument i upewnia się, że zapytanie pochodzi od uprawnionego i zarejestrowanego w bazie OIRE podmiotu rynkowego, np. konkretnego sprzedawcy lub dystrybutora.

Certyfikat mTLS do CSIRE wymusza dwukierunkową, autonomiczną weryfikację kryptograficzną w relacji maszyna–maszyna (M2M). Jest potrzebny w integracji CSIRE na etapie ustanawiania bezpiecznego połączenia w warstwie transportowej, niezależnie od późniejszego szyfrowania samych komunikatów biznesowych.

Wskazówka EuroCert: Certyfikat uwierzytelniający mTLS przeznaczony jest dla organizacji realizujących komunikację z CSIRE i wymagających uwierzytelniania systemów informatycznych, w szczególności dla Operatorów Systemów Dystrybucyjnych, sprzedawców energii, podmiotów odpowiedzialnych za bilansowanie, innych uczestników rynku posiadających własną integrację AS4 oraz dla integratorów IT realizujących wdrożenia CSIRE.

Certyfikat CSIRE do podpisywania wiadomości (Signing)

Certyfikat CSIRE do podpisywania wiadomości (Signing) służy do kryptograficznego podpisywania komunikatów XML przesyłanych protokołem AS4. W ten sposób zabezpiecza wiadomości wymieniane między co najmniej dwoma systemami informatycznymi. W integracji opartej na standardzie AS4 podpis cyfrowy może być wykorzystywany do weryfikacji pochodzenia komunikatu i kontroli jego integralności. Dzięki temu system odbierający może sprawdzić, czy wiadomość została podpisana przy użyciu klucza prywatnego odpowiadającego certyfikatowi oraz czy podpisane dane nie zostały zmienione po złożeniu podpisu.

Podpisywanie komunikatów ma szczególne znaczenie w automatycznej komunikacji między uczestnikami rynku energii a CSIRE. Pozwala weryfikować wiadomości bez konieczności ręcznego potwierdzania każdej operacji przez pracownika.

Certyfikat do podpisywania komunikatów XML musi odpowiadać profilowi technicznemu wymaganemu przez OIRE. Znaczenie mają nie tylko wystawca i okres ważności certyfikatu, lecz także jego przeznaczenie, parametry kryptograficzne oraz zgodność z wymaganiami dotyczącymi formatu i weryfikacji podpisu.

Wskazówka EuroCert: Certyfikat do podpisywania komunikatów XML (Signing) jest przeznaczony dla uczestników rynku energii posiadających własną integrację z CSIRE i wykorzystujących komunikację XML/AS4.

Certyfikat CSIRE do szyfrowania wiadomości (Encryption)

Certyfikat CSIRE do szyfrowania wiadomości (Encryption) służy do ochrony poufności danych wymienianych między systemami informatycznymi. W przypadku komunikacji wykorzystującej standard AS4 szyfrowanie pozwala zabezpieczyć treść wiadomości tak, aby mogła ją odczytać wyłącznie strona dysponująca odpowiednim kluczem deszyfrującym. Ogranicza to ryzyko ujawnienia informacji osobom nieuprawnionym podczas ich przesyłania i przetwarzania.

W mechanizmie szyfrowania asymetrycznego klucz publiczny odbiorcy służy do zaszyfrowania danych lub klucza symetrycznego używanego do szyfrowania wiadomości. Odbiorca wykorzystuje odpowiadający mu klucz prywatny, aby odzyskać zaszyfrowane dane. Certyfikat szyfrujący pełni inną funkcję niż certyfikat podpisujący. Ponadto szyfrowanie samo w sobie nie potwierdza, kto utworzył wiadomość.

Klucz prywatny wykorzystywany do odszyfrowywania wiadomości należy przechowywać w kontrolowanym środowisku, ograniczając dostęp do niego nieupoważnionych osób. Ponadto rekomendujemy przygotowanie procedur tworzenia kopii zapasowych, rotacji i wymiany kluczy. Konkretne rozwiązania powinny być zgodne z polityką bezpieczeństwa organizacji i wymaganiami technicznymi OIRE.

Wskazówka EuroCert: Certyfikat do szyfrowania komunikatów XML (Encryption) jest przeznaczony dla uczestników rynku energii posiadających własną integrację z CSIRE i wykorzystujących komunikację XML/AS4.

Jaki certyfikat wybrać do integracji z CSIRE?

Wybór właściwego certyfikatu zależy przede wszystkim od przyjętego modelu integracji z systemem CSIRE, roli organizacji na rynku energii oraz wymogów architektonicznych posiadanego oprogramowania.

Podczas planowania zakupu warto zwrócić uwagę na następujące aspekty:

• wystawienie certyfikatu przez kwalifikowanego dostawcę usług zaufania,
• odpowiednie przeznaczenie certyfikatu: do uwierzytelniania połączenia mTLS, podpisywania komunikatów (Signing) lub szyfrowania ich treści (Encryption),
• zgodność algorytmów kryptograficznych z aktualną specyfikację OIRE,
• parametry klucza, w tym długość i sposób użycia dopasowane do danej funkcji, 
• dane zawarte w certyfikacie, 
• ważność certyfikatu i jego status, 
• przeznaczenie certyfikatu do środowiska testowego lub produkcyjnego.

W praktyce bowiem różne potrzeby mogą mieć podmioty integrujące własny system z CSIRE, a inne organizacje korzystające z pośrednictwa Nadawcy Fizycznego.

Certyfikaty dla firm integrujących własne systemy z CSIRE

Podmioty, które decydują się na budowę lub wdrożenie własnej bezpośredniej integracji ze środowiskiem CSIRE (wymiana M2M poprzez własny węzeł AS4), potrzebują pełnego wsparcia na wszystkich poziomach bezpieczeństwa. Przy bezpośredniej integracji należy zapewnić certyfikaty wymagane dla przyjętej konfiguracji węzła AS4. Zależnie od wymagań i ustawień mogą być potrzebne certyfikaty mTLS, Signing i Encryption.

Jeżeli konfiguracja wymaga zastosowania wszystkich trzech rodzajów certyfikatów, warto rozważyć zakup dedykowanego zestawu. Takie rozwiązanie ułatwia dopasowanie certyfikatów do wymagań integracji i zarządzanie terminami ich odnowienia u jednego dostawcy.

Certyfikaty dla podmiotów korzystających z Nadawcy Fizycznego

Część uczestników rynku energii realizuje obowiązki informacyjne za pośrednictwem Nadawcy Fizycznego, czyli zewnętrznego dostawcy rozwiązań IT lub operatora. Wybierają go zamiast bezpośredniego połączenia własnego systemu z CSIRE. W tym modelu zazwyczaj to Nadawca Fizyczny odpowiada za utrzymanie węzła AS4 i zabezpieczenie połączenia bezpośrednio z CSIRE. Zakres obowiązków, certyfikatów i odpowiedzialności zależy od modelu świadczenia usługi oraz ustaleń z Nadawcą Fizycznym.

W zależności od przyjętej architektury i umowy z dostawcą, podmiot przekazujący dane może potrzebować własnych certyfikatów do uwierzytelnienia komunikacji w relacji z samym Nadawcą Fizycznym lub do potwierdzania autorstwa komunikatów na poziomie źródłowym. Wówczas warto zdecydować się na zakup certyfikatów dedykowanych podmiotom korzystającym z usług Nadawcy Fizycznego.

Jakie certyfikaty mogą być potrzebne w Twoim modelu integracji z CSIRE?  – tabela

Jeżeli integrujesz własny system bezpośrednio z CSIRE, sprawdź wymagania dotyczące certyfikatów dla swojego węzła AS4. Jeżeli korzystasz z Nadawcy Fizycznego, ustal z dostawcą, które zabezpieczenia zapewnia on w ramach usługi, a które musisz wdrożyć samodzielnie.Poniższa tabela wskazuje, kiedy wybrać dany certyfikat w zależności od scenariusza.

Ważne: Nie należy przypisywać certyfikatów Signing i Encryption automatycznie do konkretnego modelu integracji. Przed zakupem zweryfikuj wymagania techniczne OIRE oraz zakres odpowiedzialności określony w umowie z Nadawcą Fizycznym. Tabela nie określa również terminów uzyskania certyfikatów. Należy je ustalić na podstawie aktualnego harmonogramu wdrożenia i wymagań operatora.

Jak uzyskać certyfikat potrzebny do CSIRE?

Aby uzyskać certyfikat do integracji z CSIRE, należy wybrać odpowiedni rodzaj certyfikatu, złożyć zamówienie i przejść procedurę weryfikacji danych. Szczegółowe wymagania zależą od rodzaju certyfikatu oraz wybranego sposobu jego wydania. Poniżej opisano krok po kroku standardowy proces wydania certyfikatu do CSIRE.

1. Wybierz odpowiedni certyfikat – określ swoje potrzeby, w tym to, czy Twój system wymaga pojedynczego certyfikatu (np. mTLS, Signing lub Encryption), czy pełnego pakietu do integracji bezpośredniej. Dostępne rozwiązania znajdziesz w sklepie EuroCert.
2. Złóż i opłać zamówienie – wybierz odpowiedni rodzaj certyfikatu do CSIRE oraz opłać zamówienie w sklepie online EuroCert. Następnie otrzymasz informacje dotyczące dalszej procedury i wymaganych dokumentów.
3. Przekaż dane organizacji – wypełnij formularz zgłoszeniowy i przekaż dokumenty niezbędne do weryfikacji tożsamości podmiotu. W zależności od procedury wymagane może być podpisanie dokumentacji kwalifikowanym podpisem elektronicznym osoby uprawnionej do reprezentacji podmiotu zgodnie z dokumentami.
4. Przygotuj dane potrzebne do wydania certyfikatu – wygeneruj plik CSR (Certificate Signing Request) zawierający klucz publiczny lub uzgodnij z przedstawicielem EuroCert inną procedurę bezpiecznego wygenerowania pary kluczy.
5. Odbierz certyfikat – po pomyślnej weryfikacji EuroCert wydaje certyfikat w bezpiecznym formacie. Otrzymane pliki należy zaimportować i skonfigurować w systemie odpowiedzialnym za komunikację z CSIRE. W przypadku jakichkolwiek wątpliwości skonsultuj się z działem technicznym EuroCert.

WAŻNE: Czas wydania certyfikatu zależy od jego rodzaju, kompletności dokumentacji oraz przebiegu procesu weryfikacji. Certyfikaty przeznaczone do integracji z CSIRE można zamówić w kategorii Certyfikaty do CSIRE w sklepie EuroCert.

Certyfikat do CSIRE – czym jest i który wybrać do integracji? – podsumowanie

Wybór certyfikatu do CSIRE zależy od sposobu komunikacji z systemem oraz architektury integracji. Przykładowo certyfikat mTLS służy do wzajemnego uwierzytelniania stron połączenia, certyfikat Signing umożliwia weryfikację pochodzenia i integralności podpisanych komunikatów XML a certyfikat Encryption chroni poufność przesyłanych danych.

Każdy z tych certyfikatów pełni inną funkcję, dlatego nie należy traktować ich jako zamienników. Jeżeli Twoja organizacja korzysta z własnego węzła AS4 i integruje się bezpośrednio z CSIRE, sprawdź, czy potrzebujesz wszystkich trzech rodzajów certyfikatów. W przypadku współpracy z Nadawcą Fizycznym zakres wymaganych rozwiązań zależy od przyjętej architektury i ustaleń z dostawcą. Przed zakupem zweryfikuj aktualne wymagania OIRE i Techniczne Standardy Systemów Informacyjnych (TSSI).