—

ETSI EN 319 401 V3.1.1 (2024-06), „ Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers “ (Elektronické podpisy a infrastruktury (ESI); Obecné politické požadavky na poskytovatele služeb vytvářejících důvěru).

—

ETSI EN 319 421 V1.3.1 (2025-07), „ Electronic Signatures and Infrastructures (ESI); Policy and Security Requirements for Trust Service Providers issuing Time-Stamps “ (Elektronické podpisy a infrastruktury (ESI); Politické a bezpečnostní požadavky na poskytovatele služeb vytvářejících důvěru vydávající certifikáty; Část 1: Obecné požadavky).

—

ISO 14721:2025, „ Space Data System Practices — Reference model for an open archival information system (OAIS) “ (Postupy pro systém přenosu dat z kosmického prostoru – Referenční model pro otevřený archivační informační systém (OAIS)).

—

ACM-ECCG, Evropská skupina pro certifikaci kybernetické bezpečnosti, podskupina pro šifrování: „Dohodnuté kryptografické mechanismy“ zveřejněné Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA).

—

Prováděcí nařízení Komise (EU) 2024/482 (1).

—

Prováděcí nařízení Komise (EU) 2024/3144 (2).

—

ISO/IEC 15408:2022 (části 1 až 5), „ Information security, cybersecurity and privacy protection – Evaluation criteria for IT security “ (Informační bezpečnost, kybernetická bezpečnost a ochrana soukromí – Kritéria pro hodnocení bezpečnosti IT).

—

FIPS PUB 140-3 (2019), „ Security Requirements for Cryptographic Modules “ (Bezpečnostní požadavky na kryptografické moduly).

—

Použijí se požadavky stanovené v normě CEN/TS 18170, bodě 6.1.

—

Použijí se požadavky stanovené v normě ETSI EN 319 401, bodě 5.

—

Poskytovatel služby elektronické archivace vytvářející důvěru (EATSP) zavede postupy, kterými se orgánu dohledu oznamují veškeré změny v poskytování služby elektronické archivace vytvářející důvěru a záměr ukončit tyto činnosti, a to v souladu s podnikatelskými požadavky a příslušnými právními předpisy, též v souladu s požadavky prováděcích aktů přijatých podle čl. 24 odst. 5 nařízení (EU) č. 910/2014 [i.2].

—

EATSP informuje příslušný orgán dohledu alespoň:

—

Použijí se požadavky stanovené v normě CEN/TS 18170, bodě 6.2.

—

Účastníci a strany spoléhající se na službu elektronické archivace vytvářející důvěru musí být před uzavřením smluvního vztahu jasným, úplným a snadno přístupným způsobem, ve veřejně přístupném prostoru a jednotlivě informováni o přesných podmínkách.

—

Použijí se požadavky stanovené v normě CEN/TS 18170, bodě 7.3.

—

Pracovníci EATSP na důvěryhodných pozicích a v příslušných případech jeho subdodavatelé na důvěryhodných pozicích musí být schopni splnit požadavek na „odborné znalosti, zkušenosti a kvalifikaci“ prostřednictvím formální odborné přípravy a osvědčení, skutečných zkušeností, nebo kombinace obojího. To zahrnuje pravidelné (alespoň každých dvanáct měsíců) aktualizace pokrývající nové hrozby a aktuální bezpečnostní postupy.

—

Systém archivace musí zaručit důvěrnost dat a dokumentů během celého životního cyklu archivu od uložení až po skartaci.

—

Použijí se požadavky stanovené v normě ETSI EN 319 401, bodě 7.5 „Kryptografická opatření“.

—

EATSP určí původ dat, která mají být archivována v elektronickém archivačním systému. Pokud k tomu používá elektronické podpisy nebo elektronické pečetě, musí být tyto elektronické podpisy nebo elektronické pečetě kvalifikované.

—

Pokud EATSP digitálně podepíše digitální předmět nebo záznam (nebo jeho část), musí být soukromý podpisový klíč EATSP uchováván a používán buď v rámci kvalifikovaného prostředku pro vytváření elektronických podpisů nebo pečetí, nebo v zabezpečeném kryptografickém prostředku, který je důvěryhodným systémem certifikovaným:

—

Tato certifikace musí odpovídat bezpečnostnímu cíli nebo profilu ochrany nebo dokumentaci návrhu modulu a jeho bezpečnosti, které splňují požadavky tohoto dokumentu, vycházet z analýzy rizik a přihlížet k fyzickým a jiným netechnickým bezpečnostním opatřením.

—

Pokud je bezpečný kryptografický prostředek certifikován podle systému EUCC (prováděcí nařízení Komise (EU) 2024/482, prováděcí nařízení Komise (EU) 2024/3144), musí být tento prostředek nakonfigurován a používán v souladu s touto certifikací.

—

EATSP monitoruje sílu kryptografických algoritmů, které se používaly a používají. V případě domněnky, že jeden z použitých algoritmů nebo parametrů přestane být vhodným, jak je definováno v řízení rizik, EATSP buď aktualizuje příslušnou politiku archivace, nebo vytvoří nový profil archivace, aby mohl nakládat s balíčky archivních informací (AIP) a definovat a provést vhodná opatření.

—

Hodnocení kryptografických algoritmů a způsobu jejich používání, které provádí EATSP, musí být v souladu s dohodnutými kryptografickými mechanismy přijatými Evropskou skupinou pro certifikaci kybernetické bezpečnosti a zveřejněnými agenturou ENISA (ACM-ECCG).

—

Technické komponenty služby elektronické archivace vytvářející důvěru (EATS) se před komunikací navzájem autentizují na základě kryptografických technik.

—

Použijí se požadavky stanovené v normě ETSI EN 319 401, bodě 7.8 „Bezpečnost sítí“.

—

Skenování zranitelností podle požadavku REQ-7.8-13 normy ETSI EN 319 401 se provádí nejméně jednou za čtvrtletí.

—

Penetrační test podle požadavku REQ-7.8-17X normy ETSI EN 319 401 se provádí nejméně jednou ročně.

—

Firewally musí být nakonfigurovány tak, aby blokovaly všechny protokoly a přístupy, které nejsou nutné pro provoz EATSP.

—

Použijí se požadavky uvedené v bodě 7.10 „Sběr důkazů“ normy ETSI EN 319 401, a to i pro kritické a nekritické události (viz bod 13.2).

—

Použijí se požadavky stanovené v normě CEN/TS 18170, bodě 7.13.

—

Plán ukončení činnosti EATSP musí splňovat požadavky stanovené v prováděcích aktech přijatých podle čl. 24 odst. 5 nařízení (EU) č. 910/2014.

—

Použijí se požadavky stanovené v normě CEN/TS 18170, bodě 13.3.1.

—

Používá-li EATSP časová razítka, použije kvalifikované časové razítko.