ANEXO
Lista de normas y especificaciones de referencia a que se refiere el artículo 2
Se aplican las normas ETSI TS 119 511 V1.1.1 (2019-06) («ETSI TS 119 511») y ETSI TS 119 172-4 V1.1.1 (2021-05) («ETSI TS 119 172-4») con las siguientes adaptaciones:
1.En el caso de ETSI TS 119 511
1)2.1 Referencias normativas
–[1] ETSI EN 319 401 V3.1.1 (2024-06) «Firmas electrónicas e infraestructuras de confianza (ESI). Requisitos de política general para proveedores de servicios de confianza».
–[2] ETSI TS 119 612 (V2.3.1) «Electronic Signatures and Infrastructures (ESI); Trusted Lists» [«Firmas electrónicas e infraestructuras (ESI). Listas de confianza»].
–[5] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules» («Requisitos de seguridad para módulos criptográficos»)
–[6] Reglamento de Ejecución (UE) 2024/482 de la Comisión, de 31 de enero de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo concerniente a la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC).
–[7] Reglamento de Ejecución (UE) 2024/3144 de la Comisión, de 18 de diciembre de 2024, por el que se modifica el Reglamento de Ejecución (UE) 2024/482 en lo que respecta a las normas internacionales aplicables y se corrige dicho Reglamento de Ejecución.
–[8] Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: «Agreed Cryptographic Mechanisms» («Mecanismos criptográficos acordados», documento en inglés) publicado por la Agencia de la Unión Europea para la Ciberseguridad («ENISA»).
–[9] ETSI TS 119 172-4 V1.1.1 (2021-05) «Electronic Signatures and Infrastructures (ESI); Signature Policies; Part 4: Signature applicability rules (validation policy) for European qualified electronic signatures/seals using trusted lists» [«Firmas electrónicas e infraestructuras (ESI). Políticas de firma. Parte 4: Normas de aplicabilidad de la firma (política de validación) para firmas/sellos electrónicos cualificados europeos que utilizan listas de confianza»].
–[10] ISO/IEC 15408: 2022 (partes 1 a 5) «Seguridad de la información, ciberseguridad y protección de la privacidad. Criterios de evaluación para la seguridad de TI».
2)3.1 Términos
–dispositivo criptográfico seguro: dispositivo que custodia la clave privada del usuario, la protege de ser puesta en peligro y realiza funciones de firma o descifrado en nombre del usuario.
3)6.4 Perfiles de conservación
–OVR-6.4-08A [WTS][WOS] La duración prevista de las pruebas será conforme con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [8].
–NOTA 3 sin efecto.
4)6.5 Política de conservación de pruebas
–OVR-6.5-04A Los algoritmos criptográficos utilizados serán conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [8].
–NOTA 1 sin efecto.
5)7.2 Recursos humanos
–OVR-7.2-02 El personal del prestador de servicios de conservación (PSP) en funciones de confianza y, en su caso, sus subcontratistas en funciones de confianza, deberán ser capaces de cumplir el requisito de poseer los conocimientos especializados, la experiencia y las cualificaciones necesarios obtenidos a través de formación y credenciales formales, o de la experiencia real, o de una combinación de ambas cosas.
–OVR-7.2-03 El cumplimiento de los requisitos de OVR-7.2-02 incluirá actualizaciones periódicas (al menos cada doce meses) sobre las nuevas amenazas y las prácticas de seguridad actuales.
6)7.5 Controles criptográficos
–OVR-7.5-05 [CONDICIONAL] Cuando el PSP firme (parte de) una prueba de conservación, la clave de firma privada del PSP se custodiará y utilizará en un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:
a)los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, tal como se establecen en la norma ISO/IEC 15408 [10] o en los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, versión CC:2022, partes 1 a 5, publicados por los participantes en el Acuerdo sobre el reconocimiento de certificados de criterios comunes en el ámbito de la seguridad informática, y con certificación EAL 4 o superior; o
b)EUCC [6][7] y con certificación EAL 4 o superior; o
c)hasta el 31.12.2030, FIPS PUB 140-3 [5] nivel 3.
Esta certificación se referirá a un objetivo de seguridad o perfil de protección, o a una documentación sobre seguridad y diseño de módulo, que cumpla los requisitos del presente documento, sobre la base de un análisis de riesgos y teniendo en cuenta las medidas de seguridad físicas y otras medidas de seguridad no técnicas.
Si el dispositivo criptográfico seguro cuenta con una certificación EUCC [6][7], dicho dispositivo se configurará y utilizará de conformidad con dicha certificación.
–OVR-7.5-06 [CONDICIONAL] sin efecto.
–OVR-7.5-07 [CONDICIONAL] Cuando el PSP firme (parte de) una prueba de conservación, las copias de seguridad de las claves de firma privadas del PSP estarán protegidas para garantizar su integridad y confidencialidad mediante el dispositivo criptográfico seguro antes de almacenarse fuera de dicho dispositivo.
–OVR-7.5-08 Una clave de firma privada de PSP solo se exportará e importará a un dispositivo criptográfico seguro diferente cuando dicha exportación e importación se lleven a cabo de forma segura y de conformidad con la certificación de dichos dispositivos.
7)7.8 Seguridad de la red
–OVR-7.8-03 El escaneado de vulnerabilidades exigido en el REQ-7.8-13 de ETSI EN 319 401 [1] se realizará al menos una vez al trimestre.
–OVR-7.8-04 La prueba de penetración exigida por REQ-7.8-17X de ETSI EN 319 401 [1] se realizará al menos una vez al año.
–OVR-7.8-05 Los cortafuegos estarán configurados de manera que impidan todos los protocolos y accesos que no sean necesarios para el funcionamiento del prestador de servicios de confianza.
8)7.14 Supervisión criptográfica
–OVR-7.14-03A La evaluación de los algoritmos criptográficos de OVR-7.14.01 y OVR-7.14.02 serán conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por ENISA [8].
–NOTA sin efecto.
9)7.12 Cese y planes de cese del TSP
–OVR-7.12-01A El plan de cese del TSP cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.º 910/2014 [i.2].
10)7.17 Cadena de suministro
–OVR-7.17-01 Se aplicarán los requisitos especificados en la norma ETSI EN 319 401 [1], cláusula 7.14.
11)Anexo A (normativo): Servicio cualificado de conservación de firmas electrónicas cualificadas (QES), tal como se establece en el artículo 34 del Reglamento (UE) n.º 910/2014
–OVR-A-02 [PDS][PDS+PGD]
a)el servicio de conservación conservará toda la información necesaria para comprobar la cualificación de la firma o el sello electrónicos que no estaría a disposición del público hasta el final del período de conservación;
b)el servicio de conservación garantizará que, en cualquier momento durante el período de conservación, la información conservada sea tal que, cuando se facilite como entrada en el proceso especificado en la cláusula 4.4 de ETSI TS 119 172-4 [9], el resultado de este proceso determine claramente si la firma o el sello digitales, en el momento de su conservación, eran técnicamente adecuados para implementar una firma electrónica cualificada de la UE o un sello electrónico cualificado de la UE.
–OVR-A-03 [PDS][PDS+PGD] Los sellos temporales utilizados en las pruebas de conservación serán sellos temporales cualificados de conformidad con el Reglamento (UE) n.º 910/2014 [i.2].
2.En el caso de ETSI TS 119 172-4
1)2.1 Referencias normativas
–[1] ETSI EN 319 102-1 V1.4.1 (2024-06) «Firmas electrónicas e infraestructuras de confianza (ESI). Procedimientos para la creación y validación de firmas digitales AdES. Parte 1: Creación y validación».
–Todas las referencias a «ETSI TS 119 102-1 [1]» se entenderán hechas a «ETSI EN 319 102-1 [1]».
–[2] ETSI TS 119 612 (V2.3.1) «Electronic Signatures and Infrastructures (ESI); Trusted Lists» [«Firmas electrónicas e infraestructuras (ESI). Listas de confianza»].
–[13] ETSI TS 119 101 V1.1.1 (2016-03) «Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation» [«Firmas electrónicas e infraestructuras (ESI). Requisitos de política y seguridad para las solicitudes de creación y validación de firmas»].
2)4.2 Restricciones para la validación y procedimientos de validación, requisito REQ-4.2-03, sección «Restricciones para la validación X.509», letra c):
–i) Si un certificado de entidad final representa un ancla de confianza, no se utilizarán las «RevocationCheckingConstraints» («restricciones relativas a la comprobación de la revocación»).
–ii) Si un certificado de entidad final no representa un ancla de confianza, las «RevocationCheckingConstraints» se establecerán en «eitherCheck» («cualquier comprobación»), según se define en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.1.
–iii) Si un certificado de entidad final representa un ancla de confianza, no se utilizarán las «RevocationFreshnessConstraints» («restricciones relativas a la actualidad de la revocación») definidas en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.2.
–iv) Si un certificado de entidad final no representa un ancla de confianza, se utilizarán las «RevocationFreshnessConstraints» definidas en ETSI TS 119 172-1 [3], cláusula A.4.2.1, cuadro A.2, filas (m)2.2, con un valor máximo de 0 para el certificado de firma, garantizando que la información sobre revocación solo se acepte si ha sido emitida después del mejor tiempo de la firma. No se fijará ningún valor para las «RevocationFreshnessConstraints» para los certificados distintos del certificado de firma, incluidos los certificados que admitan sellos de tiempo.
3)4.3 Requisitos relativos a la validación de la firma y prácticas de comprobación de las normas de aplicabilidad
–REQ-4.3-02 Las aplicaciones de validación de firmas deberán ser conformes con ETSI TS 119 101 [13].
4)4.4 Proceso de comprobación de (las normas de) la aplicabilidad técnica
–REQ-4.4.2-03 Si alguno de los controles especificados en REQ-4.4.2-01 no es conforme, entonces:
–el proceso se detiene;
–la firma se considerará técnicamente como indeterminada, es decir, no como una firma electrónica cualificada de la UE ni como un sello electrónico cualificado de la UE;
–el resultado mencionado y los resultados de los procesos de todos los procesos intermedios se reflejarán en el informe de comprobación de las normas de la aplicabilidad de la firma.
