—

[1] ETSI EN 319 401 V3.1.1 (2024-06) «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers».

—

[2] ETSI EN 319 411-1 V1.5.1 (2025-04) «Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers issuing certificates; Part 1: General requirements», con gli adeguamenti seguenti:

Il punto 2.1 Riferimenti normativi della norma ETSI EN 319 411-1 V1.5.1 è modificato come segue:

—

[3] ETSI EN 319 412-5 V2.5.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements».

—

[5] ETSI EN 319 412-1 V1.6.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 1: Overview and common data structures».

—

[6] CEN/TS 419261:2015 «Security requirements for trustworthy systems managing certificates and time-stamps».

—

[7] Gruppo europeo per la certificazione della cibersicurezza, sottogruppo sulla crittografia: «Agreed Cryptographic Mechanisms» (meccanismi crittografici concordati) pubblicati dall’Agenzia dell’Unione europea per la cibersicurezza (ENISA) (1).

—

[8] Regolamento di esecuzione (UE) 2024/482 della Commissione (2), recante modalità di applicazione del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio per quanto riguarda l’adozione del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC).

—

[9] Regolamento di esecuzione (UE) 2024/3144 della Commissione (3), che modifica il regolamento di esecuzione (UE) 2024/482 per quanto riguarda le norme internazionali applicabili e che rettifica tale regolamento di esecuzione.

—

[10] ISO/IEC 15408:2022 (parti da 1 a 5): «Information security, cybersecurity and privacy protection – Evaluation criteria for IT security».

—

[11] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules».

—

OVR-5.2-02 La o le CP identificate dalla documentazione del TSP specificano i requisiti relativi ai profili dei certificati da utilizzare.

—

OVR-5.3-01 In caso di modifiche apportate a una CP come descritto al punto 4.2.2 che incidono sull’applicabilità, l’identificativo della politica è modificato.

—

OVR-6.1-02 Le informazioni identificate in DIS-6.1-04 della norma ETSI EN 319 411-1 [2] sono accessibili al pubblico e disponibili a livello internazionale.

—

REG-6.2.2-01A La raccolta di attributi e prove sull’identità del soggetto nonché la loro convalida sono specificate conformemente agli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 1 quater, del regolamento (UE) n. 910/2014 [i.1].

—

REG-6.2.2-02 [QCP-n] e [QCP-n-qscd] L’identità della persona fisica e, se opportuno, eventuali attributi specifici della persona sono verificati conformemente agli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 1 quater, del regolamento (UE) n. 910/2014 [i.1].

—

NOTA 1 vuota.

—

GEN-6.3.3-01 Si applicano i requisiti da GEN-6.3.3-01 a GEN-6.3.3-10 individuati nella norma ETSI EN 319 411-1 [2], punto 6.3.3.

—

GEN-6.3.3-02 [CONDIZIONALE] Se un certificato è rilasciato a una persona fisica identificata in associazione con la persona giuridica, gli attributi del soggetto che identificano l’organizzazione nel certificato rappresentano la persona giuridica o la sottoentità di tale persona giuridica e l’identificativo del soggetto nel certificato è la persona fisica.

—

GEN-6.3.3-03 L’identificativo della CP è [SCELTA]:

—

SDP-6.3.5-02A [CONDIZIONALE] Se gestisce il QSCD per il soggetto, il TSP è un prestatore di servizi fiduciari qualificato che fornisce un servizio fiduciario qualificato per la gestione di un dispositivo qualificato per la creazione di una firma elettronica a distanza, conformemente al regolamento (UE) n. 910/2014 [i.1].

—

SDP-6.3.5-11A Se l’abbonato o soggetto genera le chiavi del soggetto, gli obblighi dell’abbonato (cfr. punto 6.3.4) comprendono:

—

CSS-6.3.10-08 [CONDIZIONALE] Se sono fornite CRL, il TSP preserva l’integrità e la disponibilità dell’ultima CRL almeno per il periodo specificato nella CPS come richiesto in CSS-6.3.10-12.

—

OVR-6.4.4-02 Il personale del TSP in ruoli di fiducia e, se del caso, i subcontraenti del TSP in ruoli di fiducia sono in grado di soddisfare il requisito in materia di «competenze, esperienza e qualifiche» mediante formazione e credenziali formali, o effettiva esperienza, o una combinazione di entrambe.

—

OVR-6.4.4-03 La conformità al requisito OVR-6.4.4-02 comprende aggiornamenti periodici (almeno ogni 12 mesi) sulle nuove minacce e sulle attuali pratiche di sicurezza.

—

OVR-6.4.4-04 Oltre ai ruoli di fiducia individuati nella norma ETSI EN 319 401 [1] (punto 7.2-15), sono supportati i ruoli di fiducia dei funzionari addetti alla registrazione e alla revoca con responsabilità definite nella norma TS 419261 [6]. Nei casi in cui il QTSP è gestito direttamente da uno Stato membro o da un organismo del settore pubblico o per suo conto, tali ruoli di fiducia aggiuntivi possono essere svolti da uno o più rappresentanti formali che agiscono per conto di funzionari addetti alla registrazione e alla revoca operanti presso le amministrazioni locali o regionali.

—

OVR-6.4.9-02 Il piano di cessazione del TSP è conforme ai requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 [i.1].

—

OVR-6.5.1-01A La generazione della coppia di chiavi della CA è effettuata utilizzando un algoritmo conforme ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [7] ai fini della firma della CA.

—

OVR-6.5.1-01B La lunghezza della chiave e l’algoritmo selezionati per la chiave di firma della CA sono conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [7] ai fini della firma della CA.

—

OVR-6.5.1-01C [CONDIZIONALE] Se la CA genera le chiavi del soggetto, le chiavi del soggetto generate dalla CA sono conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [7] ai fini indicati nella CP durante il periodo di validità del certificato.

—

GEN-6.5.2-01 Si applicano tutti i requisiti individuati nella norma ETSI EN 319 411-1 [2], punto 6.5.2, ad eccezione dei requisiti OVR-6.5.2-01, OVR-6.5.2-03 e OVR-6.5.2-04.

—

GEN-6.5.2-02 La generazione della coppia di chiavi del TSP, comprese le chiavi utilizzate dai servizi di revoca e registrazione, è effettuata all’interno di un dispositivo crittografico sicuro, che è un sistema affidabile certificato conformemente a quanto segue:

—

criteri comuni per la valutazione della sicurezza delle tecnologie informatiche, quali definiti nella norma ISO/IEC 15408 [10] o in «Common Criteria for Information Technology Security Evaluation», versione CC:2002, parti da 1 a 5, pubblicato dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security», e certificato a livello EAL 4 o superiore; o

—

sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC) [8][9], e certificato a livello EAL 4 o superiore; o

—

fino al 31.12.2030, FIPS PUB 140-3 [11] livello 3.

Tale certificazione riguarda un obiettivo di sicurezza o un profilo di protezione, o la progettazione di un modulo e la documentazione di sicurezza, che soddisfano i requisiti del presente documento, sulla base di un’analisi dei rischi e tenendo conto delle misure di sicurezza fisiche e di altre misure di sicurezza non tecniche.

Se il dispositivo crittografico sicuro beneficia di una certificazione EUCC [8][9], tale dispositivo è configurato e utilizzato conformemente a tale certificazione.

—

GEN-6.5.2-03 La chiave di firma privata della CA è detenuta e utilizzata all’interno di un dispositivo crittografico sicuro che soddisfa i requisiti di GEN-6.5.2-01 e GEN-6.5.2-02.

—

OVR-6.5.7-02 La scansione delle vulnerabilità richiesta dal requisito REQ-7.8-13 della norma ETSI EN 319 401 [1] è eseguita almeno una volta a trimestre.

—

OVR-6.5.7-03 Il test di penetrazione richiesto dal requisito REQ-7.8-17X della norma ETSI EN 319 401 [1] è eseguito almeno una volta all’anno.

—

OVR-6.5.7-03 I firewall sono configurati in modo da impedire tutti i protocolli e gli accessi non richiesti per il funzionamento del TSP.

—

GEN-6.6.1-05 Il certificato comprende uno degli identificativi della politica individuati in GEN-6.3.3-03 [SCELTA]. Il certificato può comprendere altri OID assegnati dal TSP.

—

[2] ETSI EN 319 412-5 V2.5.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements».

—

[9] Gruppo europeo per la certificazione della cibersicurezza, sottogruppo sulla crittografia, «Agreed Cryptographic Mechanisms» (meccanismi crittografici concordati) pubblicati dall’ENISA.

—

GEN-4.2.2-2 L’algoritmo di firma è selezionato conformemente ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [9].

—

NOTA vuota.

—

GEN-4.2.3.1-3 Se è nota l’esistenza di un numero di registrazione appropriato, l’identità dell’emittente contiene un organizationIdentifier con un valore di tale numero di registrazione quale indicato nel corrispondente registro ufficiale che stabilisce tale numero di registrazione.

—

GEN-4.2.5-2 La chiave pubblica del soggetto è selezionata conformemente ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [9].

—

NOTA vuota.

—

GEN-4.2.6-01 Il numero serialNumber del certificato (come specificato in IETF RFC 5280 [1], punto 4.1.2.2) è unico per ciascun certificato rilasciato dal TSP.

—

[1] ETSI EN 319 401 V3.1.1 (2024-06) «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers».

—

[2] ETSI EN 319 411-1 V1.5.1 (2025-04) «Electronic Signatures and Trust Infrastructures (ESI); Policy and security requirements for trust service providers issuing certificates; Part 1: General requirements», con gli adeguamenti seguenti:

Il punto 2.1 Riferimenti normativi della norma ETSI EN 319 411-1 V1.5.1 è modificato come segue:

—

[3] ETSI EN 319 412-5 V2.5.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements».

—

[5] ETSI EN 319 412-1 V1.6.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 1: Overview and common data structures».

—

[6] CEN/TS 419261:2015 «Security requirements for trustworthy systems managing certificates and time-stamps» (prodotta dal CEN).

—

[7] Gruppo europeo per la certificazione della cibersicurezza, sottogruppo sulla crittografia: «Meccanismi crittografici concordati» pubblicati dall’ENISA.

—

[8] Regolamento di esecuzione (UE) 2024/482 recante modalità di applicazione del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio per quanto riguarda l’adozione del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC).

—

[9] Regolamento di esecuzione (UE) 2024/3144 che modifica il regolamento di esecuzione (UE) 2024/482 per quanto riguarda le norme internazionali applicabili e che rettifica tale regolamento di esecuzione.

—

[10] ISO/IEC 15408:2022 (parti da 1 a 5) «Information security, cybersecurity and privacy protection – Evaluation criteria for IT security».

—

[11] FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules».

—

OVR-5.2-02 La o le CP identificate dalla documentazione del TSP specificano i requisiti relativi ai profili dei certificati da utilizzare.

—

OVR-5.3-01 In caso di modifiche apportate a una CP come descritto al punto 4.2.2 che incidono sull’applicabilità, l’identificativo della politica è modificato.

—

OVR-6.1-02 Le informazioni identificate in DIS-6.1-04 della norma ETSI EN 319 411-1 [2] sono accessibili al pubblico e disponibili a livello internazionale.

—

REG-6.2.2-01A La raccolta di attributi e prove sull’identità del soggetto nonché la loro convalida sono specificate conformemente agli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 1 quater, del regolamento (UE) n. 910/2014 [i.1].

—

REG-6.2.2-03 [QCP-l] e [QCP-l-qscd] L’identità della persona giuridica e, se opportuno, eventuali attributi specifici della persona sono verificati conformemente agli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 1 quater, del regolamento (UE) n. 910/2014 [i.1].

—

NOTA 3 cfr. nota 2.

—

GEN-6.3.3-01 Si applicano i requisiti da GEN-6.3.3-01 a GEN-6.3.3-10 individuati nella norma ETSI EN 319 411-1 [2], punto 6.3.3.

—

GEN-6.3.3-02 L’identificativo della CP è [SCELTA]:

—

SDP-6.3.5-02A [CONDIZIONALE] Se gestisce il QSCD per il soggetto, il TSP è un prestatore di servizi fiduciari qualificato che fornisce un servizio fiduciario qualificato per la gestione di un dispositivo qualificato per la creazione di un sigillo elettronico a distanza, conformemente al regolamento (UE) n. 910/2014 [i.1].

—

SDP-6.3.5-11A Se l’abbonato o soggetto genera le chiavi del soggetto, gli obblighi dell’abbonato (cfr. punto 6.3.4) comprendono:

—

CSS-6.3.10-08 [CONDIZIONALE] Se sono fornite CRL, il TSP preserva l’integrità e la disponibilità dell’ultima CRL almeno per il periodo specificato nella CPS come richiesto in CSS-6.3.10-12.

—

OVR-6.4.4-02 Il personale del TSP in ruoli di fiducia e, se del caso, i subcontraenti del TSP in ruoli di fiducia sono in grado di soddisfare il requisito in materia di «competenze, esperienza e qualifiche» mediante formazione e credenziali formali, o effettiva esperienza, o una combinazione di entrambe.

—

OVR-6.4.4-03 La conformità al requisito OVR-6.4.4-02 comprende aggiornamenti periodici (almeno ogni 12 mesi) sulle nuove minacce e sulle attuali pratiche di sicurezza.

—

OVR-6.4.4-04 Oltre ai ruoli di fiducia individuati nella norma ETSI EN 319 401 [1] (punto 7.2-15), sono supportati i ruoli di fiducia dei funzionari addetti alla registrazione e alla revoca con responsabilità definite nella norma TS 419261 [6]. Nei casi in cui il QTSP è gestito direttamente da uno Stato membro o da un organismo del settore pubblico o per suo conto, tali ruoli di fiducia aggiuntivi possono essere svolti da uno o più rappresentanti formali che agiscono per conto di funzionari addetti alla registrazione e alla revoca operanti presso le amministrazioni locali o regionali.

—

OVR-6.4.9-02 Il piano di cessazione del TSP è conforme ai requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 [i.1].

—

OVR-6.5.1-01A La generazione della coppia di chiavi della CA è effettuata utilizzando un algoritmo conforme ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza pubblicati dall’ENISA [7] ai fini della firma della CA.

—

OVR-6.5.1-01B La lunghezza della chiave e l’algoritmo selezionati per la chiave di firma della CA sono conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza pubblicati dall’ENISA [7] ai fini della firma della CA.

—

OVR-6.5.1-01C [CONDIZIONALE] Se la CA genera le chiavi del soggetto, le chiavi del soggetto generate dalla CA sono conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza pubblicati dall’ENISA [7] ai fini indicati nella CP durante il periodo di validità del certificato.

—

GEN-6.5.2-01 Si applicano tutti i requisiti individuati nella norma ETSI EN 319 411-1 [2], punto 6.5.2, ad eccezione dei requisiti OVR-6.5.2-01, OVR-6.5.2-03 e OVR-6.5.2-04.

—

GEN-6.5.2-02 La generazione della coppia di chiavi del TSP, comprese le chiavi utilizzate dai servizi di revoca e registrazione, è effettuata all’interno di un dispositivo crittografico sicuro, che è un sistema affidabile certificato conformemente a quanto segue:

Tale certificazione riguarda un obiettivo di sicurezza o un profilo di protezione, o la progettazione di un modulo e la documentazione di sicurezza, che soddisfano i requisiti del presente documento, sulla base di un’analisi dei rischi e tenendo conto delle misure di sicurezza fisiche e di altre misure di sicurezza non tecniche.

Se il dispositivo crittografico sicuro beneficia di una certificazione EUCC [8][9], tale dispositivo è configurato e utilizzato conformemente a tale certificazione.

—

GEN-6.5.2-03 La chiave di firma privata della CA è detenuta e utilizzata all’interno di un dispositivo crittografico sicuro che soddisfa i requisiti di GEN-6.5.2-01 e GEN-6.5.2-02.

—

OVR-6.5.7-02 La scansione delle vulnerabilità richiesta dal requisito REQ-7.8-13 della norma ETSI EN 319 401 [1] è eseguita almeno una volta a trimestre.

—

OVR-6.5.7-03 Il test di penetrazione richiesto dal requisito REQ-7.8-17X della norma ETSI EN 319 401 [1] è eseguito almeno una volta all’anno.

—

OVR-6.5.7-03 I firewall sono configurati in modo da impedire tutti i protocolli e gli accessi non richiesti per il funzionamento del TSP.

—

GEN-6.6.1-05 Il certificato comprende uno degli identificativi della politica individuati in GEN-6.3.3-02 [SCELTA].

—

[2] ETSI EN 319 412-2 V2.4.1 «Electronic Signatures and Infrastructures (ESI); Certificate Profiles; Part 2: Certificate Profile for certificates issued to natural persons».

—

LEG-4.2.1-6 L’attributo organizationIdentifier contiene un identificativo dell’organizzazione interessata diverso dal nome dell’organizzazione. Se è nota l’esistenza di un numero di registrazione appropriato, l’attributo organizationIdentifier contiene un valore di tale numero di registrazione quale indicato nel corrispondente registro ufficiale che stabilisce tale numero di registrazione.

—

[2] ETSI EN 319 412-5 V2.5.1 «Electronic Signatures and Trust Infrastructures (ESI); Certificate Profiles; Part 5: QCStatements».

—

[9] Gruppo europeo per la certificazione della cibersicurezza, sottogruppo sulla crittografia: «Meccanismi crittografici concordati» pubblicati dall’ENISA.

—

[i.7] vuoto.

—

GEN-4.2.2-2 L’algoritmo di firma è selezionato conformemente ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [9].

—

NOTA vuota.

—

GEN-4.2.3.1-3 Se è nota l’esistenza di un numero di registrazione appropriato, l’identità dell’emittente contiene un organizationIdentifier con un valore di tale numero di registrazione quale indicato nel corrispondente registro ufficiale che stabilisce tale numero di registrazione.

—

GEN-4.2.5-2 La chiave pubblica del soggetto è selezionata conformemente ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [9].

—

NOTA vuota.

—

GEN-4.2.6-01 Il numero serialNumber del certificato (come specificato in IETF RFC 5280 [1], punto 4.1.2.2) è unico per ciascun certificato rilasciato dal TSP.