2.1

Κανονιστικές παραπομπές

—

[i.11] άκυρο.

—

EUCC Ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων

—

ΣΗΜΕΙΩΣΗ 10 Βλ. ETSI EN 319 102-1 [3] για οδηγίες και ETSI TS 119 172-4 [8] για πρόσθετες οδηγίες σχετικά με την περίπτωση της εγκεκριμένης υπογραφής ή σφραγίδας της ΕΕ.

—

OVR-6.1-02 Η δήλωση πρακτικών SVS διαρθρώνεται σύμφωνα με το παράρτημα Α.

—

OVR-6.1-03 Η δήλωση πρακτικών SVS απαριθμεί τις υποστηριζόμενες πολιτικές SVS ή παραπέμπει σε αυτές (π.χ. μέσω αναγνωριστικού αντικειμένου) και τις περιγράφει εν συντομία.

—

OVR-6.3-02 Η πολιτική ασφάλειας τεκμηριώνει τους ελέγχους ασφάλειας και ιδιωτικότητας που εφαρμόζονται για την προστασία των δεδομένων προσωπικού χαρακτήρα.

—

OVR-7.2-02 Τα μέλη του προσωπικού του SVSP που έχουν αναλάβει ρόλους εμπιστοσύνης και, κατά περίπτωση, οι υπεργολάβοι τους που έχουν αναλάβει ρόλους εμπιστοσύνης, είναι σε θέση να πληρούν την απαίτηση για «εξειδικευμένες γνώσεις, πείρα και προσόντα» μέσω τυπικής κατάρτισης και διαπιστευτηρίων, ή πραγματικής πείρας, ή συνδυασμού των δύο.

—

OVR-7.2-03 Η συμμόρφωση με το OVR-7.2-02 περιλαμβάνει τακτικές ενημερώσεις (τουλάχιστον κάθε 12 μήνες) σχετικά με τις νέες απειλές και τις τρέχουσες πρακτικές ασφάλειας.

—

OVR-7.5-02 [ΥΠΟ ΟΡΟΥΣ] Όταν υπογράφονται εκθέσεις επικύρωσης, το δημόσιο πιστοποιητικό υπογραφής του SVSP που αντιστοιχεί στο ιδιωτικό κλειδί υπογραφής του SVSP εκδίδεται, από αξιόπιστη αρχή πιστοποίησης, σύμφωνα με την πολιτική πιστοποιητικών (NCP+), όπως ορίζεται στο ETSI EN 319 411-1 [12]. Θα πρέπει να εκδίδεται σύμφωνα με κατάλληλη πολιτική πιστοποιητικών που ορίζεται στο ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [ΥΠΟ ΟΡΟΥΣ] Όταν υπογράφονται εκθέσεις επικύρωσης, το ιδιωτικό κλειδί υπογραφής του SVSP διατηρείται και χρησιμοποιείται εντός ασφαλούς κρυπτογραφικής διάταξης που συνιστά αξιόπιστο σύστημα πιστοποιημένο σύμφωνα με:

—

OVR-7.5-04 άκυρο.

—

OVR-7.5-06 Το ιδιωτικό κλειδί υπογραφής ενός SVSP εξάγεται και εισάγεται σε διαφορετική ασφαλή κρυπτογραφική διάταξη μόνον όταν η εν λόγω εξαγωγή και εισαγωγή πραγματοποιούνται με ασφάλεια και σύμφωνα με την πιστοποίηση των εν λόγω διατάξεων.

—

OVR-7.7-02 Προκειμένου να διασφαλιστεί ότι τα συστήματα στα οποία αναπτύσσεται η εφαρμογή εφαρμόζουν κατάλληλα μέτρα ασφάλειας και προσαρμόζονται σε ειδικά περιβάλλοντα εφαρμογών, η SVA χρησιμοποιεί περιβάλλον εφαρμογής που συντηρείται με επικαιροποιημένες διορθωτικές ρυθμίσεις ασφάλειας.

—

OVR-7.7-03 Όσον αφορά την SVA ισχύουν οι ακόλουθες απαιτήσεις που ορίζονται στο ETSI EN 119 101 [1], σημείο 5.2: GSM 1.3.

—

OVR-7.8-02 Εάν επιτρέπεται η εξ αποστάσεως πρόσβαση σε συστήματα αποθήκευσης ή επεξεργασίας εμπιστευτικών δεδομένων, εγκρίνεται επίσημη πολιτική η οποία περιγράφεται ως μέρος των στοιχείων που απαιτούνται από την OVR-6.3-02.

—

OVR-7.8-04 Η σάρωση τρωτών σημείων που απαιτείται από τη REQ-7.8-13 του ETSI EN 319 401 [1] εκτελείται τουλάχιστον μία φορά ανά τρίμηνο.

—

OVR-7.8-05 Η δοκιμή παρείσδυσης που απαιτείται από τη REQ-7.8-17X του ETSI EN 319 401 [1] εκτελείται τουλάχιστον μία φορά ετησίως.

—

OVR-7.8-06: Τα τείχη προστασίας διαμορφώνονται έτσι ώστε να αποτρέπονται όλα τα πρωτόκολλα και οι προσβάσεις που δεν απαιτούνται για τη λειτουργία του SVSP.

—

OVR-7.12-02 Το σχέδιο τερματισμού του παρόχου υπηρεσιών εμπιστοσύνης συμμορφώνεται με τις απαιτήσεις που ορίζονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 24 παράγραφος 5 του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1].

—

OVR-7.14-01 Ισχύουν οι απαιτήσεις που ορίζονται στο ETSI EN 319 401 [2], σημείο 7.14.

—

VPR-8.1-07 Η αίτηση επικύρωσης (SVA) συμμορφώνεται με τις απαιτήσεις του ETSI TS 119 101 [1], σημείο 7.4 SIA 1 έως SIA 4.

—

VPR-8.1-11 [ΥΠΟ ΟΡΟΥΣ] Όταν η SVS αποσκοπεί στην επικύρωση εγκεκριμένων ηλεκτρονικών υπογραφών ή εγκεκριμένων ηλεκτρονικών σφραγίδων σύμφωνα με το άρθρο 32 παράγραφος 1 (ή το άρθρο 40 αντίστοιχα) του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1], η διαδικασία επικύρωσης ακολουθεί τις απαιτήσεις του ETSI TS 119 172-4 [8].

—

SVP-8.2-03 Η απάντηση επικύρωσης υπογραφής φέρει το αναγνωριστικό αντικειμένου της πολιτικής SVS.

—

SVR-8.4-02 Η έκθεση επικύρωσης συμμορφώνεται με το ETSI TS 119 102-2 [9].

—

SVR-8.4-07 [ΥΠΟ ΟΡΟΥΣ] Όταν η πολιτική επικύρωσης υπογραφής δεν διεκπεραιώνεται πλήρως στο πλαίσιο της SVS, η έκθεση, πέραν της αναφοράς σχετικά με επικυρωμένους περιορισμούς, αναφέρει τους περιορισμούς που αγνοήθηκαν ή παρακάμφθηκαν.

—

SVR-8.4-15 Η έκθεση επικύρωσης αναφέρει σαφώς την προέλευση κάθε απόδειξης ύπαρξης (PoE) (από το εσωτερικό της υπογραφής, από τον πελάτη, από τον εξυπηρετητή).

—

SVR-8.4-16 Η έκθεση επικύρωσης φέρει υπογραφή έκθεσης επικύρωσης, η οποία είναι η ψηφιακή υπογραφή του SVSP.

—

SVR-8.4-17 [ΥΠΟ ΟΡΟΥΣ] Όταν υπογράφονται οι εκθέσεις επικύρωσης, ο μορφότυπος και ο στόχος της υπογραφής συμμορφώνονται με το ETSI TS 119 102-2 [9].

—

OVR-9-05 [ΥΠΟ ΟΡΟΥΣ] Κατά τη χάραξη πολιτικής SVS με βάση πολιτική υπηρεσίας εμπιστοσύνης που ορίζεται στο παρόν έγγραφο, διενεργείται εκτίμηση κινδύνου για την αξιολόγηση των επιχειρηματικών απαιτήσεων και τον καθορισμό των απαιτήσεων ασφάλειας που πρέπει να συμπεριληφθούν στην πολιτική για τη δηλωμένη κοινότητα και δυνατότητα εφαρμογής.

—

OVR-9-06 [ΥΠΟ ΟΡΟΥΣ] Κατά τη χάραξη πολιτικής SVS με βάση πολιτική υπηρεσίας εμπιστοσύνης που ορίζεται στο παρόν έγγραφο, η πολιτική εγκρίνεται και τροποποιείται σύμφωνα με καθορισμένη διαδικασία επανεξέτασης, συμπεριλαμβανομένων των ευθυνών για τη διατήρηση της πολιτικής.

—

OVR-9-07 [ΥΠΟ ΟΡΟΥΣ] Κατά τη χάραξη πολιτικής SVS με βάση πολιτική υπηρεσίας εμπιστοσύνης που ορίζεται στο παρόν έγγραφο, πρέπει να υπάρχει καθορισμένη διαδικασία επανεξέτασης ώστε να διασφαλίζεται ότι η πολιτική υποστηρίζεται από τις δηλώσεις πρακτικών.

—

OVR-9-08 [ΥΠΟ ΟΡΟΥΣ] Κατά τη χάραξη πολιτικής SVS με βάση πολιτική υπηρεσίας εμπιστοσύνης που ορίζεται στο παρόν έγγραφο, ο πάροχος υπηρεσιών εμπιστοσύνης καθιστά διαθέσιμες τις πολιτικές που υποστηρίζονται από τον πάροχο υπηρεσιών εμπιστοσύνης στην κοινότητα χρηστών του.

—

OVR-9-09 [ΥΠΟ ΟΡΟΥΣ] Κατά τη χάραξη πολιτικής SVS με βάση πολιτική υπηρεσίας εμπιστοσύνης που ορίζεται στο παρόν έγγραφο, οι αναθεωρήσεις των πολιτικών που υποστηρίζονται από τον πάροχο υπηρεσιών εμπιστοσύνης τίθενται στη διάθεση των συνδρομητών.

—

VPR-B-02 [ΥΠΟ ΟΡΟΥΣ] Εάν ο SVSP είναι εγκεκριμένος πάροχος υπηρεσιών επικύρωσης υπογραφής (στο εξής: QSVSP), η υλοποίηση συμμορφώνεται με το ETSI TS 119 172-4 [8].

—

ΣΗΜΕΙΩΣΗ 2 άκυρο.

—

OVR-B-04 [ΥΠΟ ΟΡΟΥΣ] Εάν ο SVSP είναι QSVSP, με τις δοκιμές στην OVR-B-03 ελέγχονται διαφορετικές περιπτώσεις χρήσης, θετικές και αρνητικές.

—

VPR-B-11 [ΥΠΟ ΟΡΟΥΣ] Εάν ο SVSP είναι QSVSP, ο SVSP ελέγχει τον υπολογισμό κατακερματισμού (είτε εκτελεί τον υπολογισμό στην πλευρά του εξυπηρετητή είτε ελέγχει τον πελάτη εάν επιτρέπεται από την πλευρά του πελάτη).

—

ΣΗΜΕΙΩΣΗ 5 άκυρο.

—

ΣΗΜΕΙΩΣΗ 6 άκυρο.

—

VPR-B-15 [ΥΠΟ ΟΡΟΥΣ] Εάν ο SVSP είναι QSVSP, προκειμένου να πληρούνται οι VPR-B-13 έως VPR-B-14, η έκθεση επικύρωσης συμμορφώνεται με το ETSI TS 119 102-2 [9].

—

VPR-B-16 [ΥΠΟ ΟΡΟΥΣ] Εάν ο SVSP είναι QSVSP, η υλοποίηση συμμορφώνεται με τους συμφωνημένους κρυπτογραφικούς μηχανισμούς που εγκρίνει η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και δημοσιεύει ο ENISA [10] για τη χρήση κατάλληλων κρυπτογραφικών τεχνικών κατά την παροχή εγκεκριμένων υπηρεσιών επικύρωσης εγκεκριμένων ηλεκτρονικών υπογραφών.

—

Προκειμένου να διασφαλιστεί ότι επαληθεύονται όλες οι προϋποθέσεις που απαιτούνται από το άρθρο 32 παράγραφος 1 και το άρθρο 40 του κανονισμού (ΕΕ) αριθ. 910/2014 [i.1], απαιτείται ορθός αλγόριθμος επικύρωσης. Ο εν λόγω αλγόριθμός παρέχει το ίδιο προσδιοριστικό αποτέλεσμα για την υπογραφή ή τη σφραγίδα που υποβάλλεται προς επικύρωση. Η πολιτική επικύρωσης υπογραφής είναι ζωτικής σημασίας για τον σκοπό αυτόν. Το ETSI TS 119 172-4 [8], με βάση τον αλγόριθμο επικύρωσης που καθορίζεται στο ETSI EN 319 102-1 [3], εκδόθηκε με την προοπτική αυτή.

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) «Ηλεκτρονικές υπογραφές και υποδομές εμπιστοσύνης (ESI)· Διαδικασίες για τη δημιουργία και την επικύρωση ψηφιακών υπογραφών AdES· Μέρος 1: Δημιουργία και επικύρωση».

—

Όλες οι αναφορές στο «ETSI TS 119 102-1 [1]» νοούνται ως αναφορές στο «ETSI EN 319 102-1 [1]».

—

[2] ETSI TS 119 612 V2.3.1 (2024-11) «Ηλεκτρονικές υπογραφές και υποδομές (ESI)· Κατάλογοι εμπιστοσύνης».

—

[13] ETSI TS 119 101 V1.1.1 (2016-03) «Ηλεκτρονικές υπογραφές και υποδομές (ESI)· Απαιτήσεις πολιτικής και ασφάλειας για τις αιτήσεις δημιουργίας υπογραφής και επικύρωσης υπογραφής».

—

i) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη αντιπροσωπεύει άγκυρα εμπιστοσύνης, δεν χρησιμοποιούνται οι περιορισμοί «RevocationCheckingConstraints».

—

ii) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη δεν αντιπροσωπεύει άγκυρα εμπιστοσύνης, οι περιορισμοί «RevocationCheckingConstraints» ορίζονται ως «eitherCheck», όπως καθορίζεται στο ETSI TS 119 172-1 [3], σημείο A.4.2.1, πίνακας A.2 σειρές ιγ) 2.1.

—

iii) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη αντιπροσωπεύει άγκυρα εμπιστοσύνης, δεν χρησιμοποιούνται οι περιορισμοί «RevocationFreshnessConstraints» που καθορίζονται στο ETSI TS 119 172-1 [3], σημείο A.4.2.1 πίνακας A.2 σειρές ιγ) 2.2.

—

iv) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη δεν αντιπροσωπεύει άγκυρα εμπιστοσύνης, χρησιμοποιούνται οι περιορισμοί «RevocationFreshnessConstraints» που καθορίζονται στο ETSI TS 119 172-1 [3], σημείο Α.4.2.1, πίνακας Α.2 σειρές ιγ) 2.2, με μέγιστη τιμή 24 ώρες για το πιστοποιητικό υπογραφής. Δεν ορίζεται καμία τιμή για τους περιορισμούς «RevocationFreshnessConstraints» όταν πρόκειται για άλλα πιστοποιητικά εκτός του πιστοποιητικού υπογραφής, συμπεριλαμβανομένων των πιστοποιητικών που υποστηρίζουν χρονοσφραγίδες.

—

REQ-4.4.2-03 Εάν οποιοσδήποτε από τους ελέγχους που προσδιορίζονται στη REQ-4.4.2-01 αποτύχει, τότε: