2.1

Riferimenti normativi

—

[i.11] vuoto.

—

EUCC Sistema europeo di certificazione della cibersicurezza basato sui criteri comuni

—

NOTA 10 Cfr. ETSI EN 319 102-1 [3] per orientamenti ed ETSI TS 119 172-4 [8] per ulteriori orientamenti per la firma o il sigillo qualificati dell’UE.

—

OVR-6.1-02 La dichiarazione sulla pratica dell’SVS è strutturata come nell’allegato A.

—

OVR-6.1-03 La dichiarazione sulla pratica dell’SVS elenca le politiche di SVS supportate (ad esempio attraverso OID) o vi fa riferimento, descrivendole brevemente.

—

OVR-6.3-02 La politica di sicurezza documenta i controlli di sicurezza e di tutela della vita privata effettuati per proteggere i dati personali.

—

OVR-7.2-02 Il personale dell’SVSP in ruoli di fiducia e, se del caso, i subcontraenti dell’SVSP in ruoli di fiducia sono in grado di soddisfare il requisito in materia di «competenze, esperienza e qualifiche» mediante formazione e credenziali formali, o effettiva esperienza, o una combinazione di entrambe.

—

OVR-7.2-03 La conformità al requisito OVR-7.2-02 comprende aggiornamenti periodici (almeno ogni 12 mesi) sulle nuove minacce e sulle attuali pratiche di sicurezza.

—

OVR-7.5-02 [CONDIZIONALE] Quando le relazioni di convalida sono firmate, il certificato di firma pubblica dell’SVSP corrispondente alla chiave di firma privata dell’SVSP è rilasciato da una CA affidabile, conformemente alla politica di certificazione NCP+ come specificato nella norma ETSI EN 319 411-1 [12]. Il certificato dovrebbe essere rilasciato conformemente a una politica di certificazione appropriata specificata nella norma ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [CONDIZIONALE] Quando le relazioni di convalida sono firmate, la chiave di firma privata dell’SVSP è detenuta e utilizzata all’interno di un dispositivo crittografico sicuro che è un sistema affidabile certificato conformemente a quanto segue:

—

OVR-7.5-04 vuoto.

—

OVR-7.5-06 La chiave di firma privata di un SVSP è esportata e importata in un altro dispositivo crittografico sicuro solo se l’esportazione e l’importazione sono effettuate in modo sicuro e conformemente alla certificazione di tali dispositivi.

—

OVR-7.7-02 Per garantire che i sistemi su cui è sviluppata l’applicazione applichino misure di sicurezza adeguate e si adattino a specifici ambienti di applicazione, la SVA utilizza un ambiente di applicazione mantenuto con correzioni di sicurezza aggiornate.

—

OVR-7.7-03 I requisiti seguenti specificati nella norma ETSI TS 119 101 [1], punto 5.2, si applicano alla SVA: GSM 1.3.

—

OVR-7.8-02 Se è consentito l’accesso remoto a sistemi di archiviazione o trattamento di dati riservati, è adottata e descritta una politica formale come parte degli elementi richiesti da OVR-6.3-02.

—

OVR-7.8-04 La scansione delle vulnerabilità richiesta dal requisito REQ-7.8-13 della norma ETSI EN 319 401 [1] è eseguita almeno una volta a trimestre.

—

OVR-7.8-05 Il test di penetrazione richiesto dal requisito REQ-7.8-17X della norma ETSI EN 319 401 [1] è eseguito almeno una volta all’anno.

—

OVR-7.8-06 I firewall sono configurati in modo da impedire tutti i protocolli e gli accessi non richiesti per il funzionamento dell’SVSP.

—

OVR-7.12-02 Il piano di cessazione del TSP è conforme ai requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 [i.1].

—

OVR-7.14-01 Si applicano i requisiti specificati nella norma ETSI EN 319 401 [2], punto 7.14.

—

VPR-8.1-07 La domanda di convalida (SVA) è conforme ai requisiti indicati nella norma ETSI TS 119 101 [1], punto 7.4, da SIA 1 a SIA 4.

—

VPR-8.1-11 [CONDIZIONALE] Quando l’SVS intende convalidare firme elettroniche qualificate o sigilli elettronici qualificati conformemente all’articolo 32, paragrafo 1 (o rispettivamente all’articolo 40) del regolamento (UE) n. 910/2014 [i.1], il processo di convalida segue i requisiti della norma ETSI TS 119 172-4 [8].

—

SVP-8.2-03 La risposta di convalida della firma reca l’OID della politica di SVS.

—

SVR-8.4-02 La relazione di convalida è conforme alla norma ETSI TS 119 102-2 [9].

—

SVR-8.4-07 [CONDIZIONALE] Quando una politica di convalida della firma non è elaborata completamente dall’SVS, la relazione, oltre a riferire sui vincoli convalidati, riporta i vincoli che sono stati ignorati o annullati.

—

SVR-8.4-15 La relazione di convalida indica chiaramente l’origine di ciascun PoE (dalla firma, dal client, dal server).

—

SVR-8.4-16 La relazione di convalida reca una firma della relazione di convalida, corrispondente alla firma digitale dell’SVSP.

—

SVR-8.4-17 [CONDIZIONALE] Quando le relazioni di convalida sono firmate, il formato e l’obiettivo della firma sono conformi alla norma ETSI TS 119 102-2 [9].

—

OVR-9-05 [CONDIZIONALE] Quando una politica di SVS è basata su una politica in materia di servizi fiduciari definita nel presente documento, è effettuata una valutazione dei rischi per valutare i requisiti commerciali e determinare i requisiti di sicurezza da includere nella politica per la comunità e l’applicabilità dichiarate.

—

OVR-9-06 [CONDIZIONALE] Quando una politica SVS è basata su una politica in materia di servizi fiduciari definita nel presente documento, tale politica è approvata e modificata conformemente a un processo di revisione definito, che comprende le responsabilità per il mantenimento della politica.

—

OVR-9-07 [CONDIZIONALE] Quando una politica di SVS è basata su una politica in materia di servizi fiduciari definita nel presente documento, esiste un processo di revisione definito per garantire che la politica sia supportata dalle dichiarazioni sulle pratiche.

—

OVR-9-08 [CONDIZIONALE] Quando una politica di SVS è basata su una politica in materia di servizi fiduciari definita nel presente documento, il TSP mette a disposizione della propria comunità di utenti le politiche supportate.

—

OVR-9-09 [CONDIZIONALE] Quando una politica di SVS è basata su una politica in materia di servizi fiduciari definita nel presente documento, le revisioni delle politiche supportate dal TSP sono messe a disposizione degli abbonati.

—

VPR-B-02 [CONDIZIONALE] Se l’SVSP è un QSVSP l’attuazione è conforme alla norma ETSI TS 119 172-4 [8].

—

NOTA 2 vuota.

—

OVR-B-04 [CONDIZIONALE] Se l’SVSP è un QSVSP, le prove nel requisito OVR-B-03 verificano diversi casi d’uso, positivi e negativi.

—

VPR-B-11 [CONDIZIONALE] Se l’SVSP è un QSVSP, l’SVSP controlla il calcolo hash (eseguendo il calcolo sul lato server o controllando il client se è consentito dal lato client).

—

NOTA 5 vuota.

—

NOTA 6 vuota.

—

VPR-B-15 [CONDIZIONALE] Se l’SVSP è un QSVSP, al fine di soddisfare i requisiti da VPR-B-13 a VPR-B-14 la relazione di convalida è conforme alla norma ETSI TS 119 102-2 [9].

—

VPR-B-16 [CONDIZIONALE] Se l’SVSP è un QSVSP, l’attuazione è conforme ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dell’ENISA [10] per l’uso di tecniche crittografiche adeguate nella fornitura di servizi di convalida qualificati di firme elettroniche qualificate.

—

per garantire la verifica di tutte le condizioni prescritte all’articolo 32, paragrafo 1, e all’articolo 40 del regolamento (UE) n. 910/2014 [i.1], è necessario un algoritmo di convalida corretto. Esso fornisce lo stesso risultato deterministico per una firma o un sigillo sottoposti a convalida. La politica di convalida delle firme è fondamentale a tale scopo. La norma ETSI TS 119 172-4 [8], basata sull’algoritmo di convalida specificato nella norma ETSI EN 319 102-1 [3], è stata pubblicata in tale prospettiva.

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) «Electronic Signatures and Trust Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation».

—

Tutti i riferimenti a «ETSI TS 119 102-1 [1]» si intendono fatti a «ETSI EN 319 102-1 [1]».

—

[2] ETSI TS 119 612 V2.3.1 (2024-11) «Electronic Signatures and Infrastructures (ESI); Trusted Lists».

—

[13] ETSI TS 119 101 V1.1.1 (2016-03) «Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation».

—

i) se un certificato dell’entità finale rappresenta un’ancora di fiducia, non sono utilizzati i RevocationCheckingConstraints;

—

ii) se un certificato dell’entità finale non rappresenta un’ancora di fiducia, i RevocationCheckingConstraints sono impostati su «eitherCheck» come definito nella norma ETSI TS 119 172-1 [3], punto A.4.2.1, tabella A.2, righe m)2.1;

—

iii) se un certificato dell’entità finale rappresenta un’ancora di fiducia, non sono utilizzati i RevocationFreshnessConstraints definiti nella norma ETSI TS 119 172-1 [3], punto A.4.2.1, tabella A.2, righe m)2.2;

—

iv) se un certificato dell’entità finale non rappresenta un’ancora di fiducia, i RevocationFreshnessConstraints definiti nella norma ETSI TS 119 172-1 [3], punto A.4.2.1, tabella A.2, righe m)2.2 sono utilizzati con un valore massimo di 24 ore per il certificato di firma. Per i certificati diversi dal certificato di firma, compresi i certificati attestanti validazioni temporali, non sono fissati valori per i RevocationFreshnessConstraints.

—

REQ-4.4.2-03 Se uno dei controlli specificati nel requisito REQ-4.4.2-01 non dà esito positivo, allora: