—

le capacità funzionali e tecniche della piattaforma del registro elettronico e il suo utilizzo durante l’intera prestazione della registrazione di dati in un registro elettronico qualificato come servizio fiduciario qualificato;

—

i meccanismi specifici di autenticazione dell’origine dei dati utilizzati durante la prestazione del servizio;

—

i meccanismi specifici di ordinamento cronologico sequenziale dei dati utilizzati durante la prestazione del servizio;

—

se del caso, il collegamento crittografico utilizzato per garantire la sequenza delle registrazioni di dati;

—

se del caso, il meccanismo di consenso che garantisce il carattere definitivo e l’integrità delle registrazioni di dati e delle transazioni conservate nel registro, compreso qualsiasi margine temporale supplementare fino al raggiungimento del carattere definitivo e dell’integrità;

—

i meccanismi specifici di integrità dei dati utilizzati per prestare il servizio;

—

REQ-6.2-03 Prima di avviare una relazione contrattuale gli abbonati e le parti facenti affidamento sul servizio fiduciario sono informati in modo chiaro, completo e facilmente accessibile, in uno spazio accessibile al pubblico e individualmente, di termini e condizioni precisi, compresi gli elementi sopraelencati;

—

REQ-6.3-04X Il prestatore di servizi fiduciari stabilisce procedure per notificare all’organismo di vigilanza eventuali modifiche nella prestazione del servizio fiduciario, conformemente ai requisiti commerciali e alle disposizioni legislative e regolamentari pertinenti. Il prestatore di servizi fiduciari effettua la notifica all’organismo di vigilanza almeno:

—

REQ-7.2-04X Il personale del prestatore di servizi fiduciari in ruoli di fiducia è in grado di soddisfare il requisito in materia di «competenze, esperienza e qualifiche» mediante formazione e credenziali formali, o effettiva esperienza, o una combinazione di entrambe.

—

REQ-7.2-05X Sono compresi aggiornamenti periodici (almeno ogni 12 mesi) sulle nuove minacce e sulle attuali pratiche di sicurezza;

—

REQ-7.5-01X Sono predisposti adeguati controlli di sicurezza per la gestione di qualsiasi chiave crittografica, algoritmo crittografico e dispositivo crittografico durante tutto il loro ciclo di vita, seguendo, se del caso, un approccio di agilità crittografica.

—

REQ-7.5-02 Per prestare i suoi servizi fiduciari, il prestatore di servizi fiduciari seleziona e utilizza tecniche crittografiche adeguate conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA [1].

—

REQ-7.5-03 I fornitori di registri elettronici qualificati stabiliscono l’origine delle registrazioni di dati nel registro elettronico. A tal fine utilizzano firme elettroniche avanzate basate su certificati qualificati o sigilli elettronici avanzati basati su certificati qualificati creati dagli utenti del servizio conformemente alle norme e specifiche seguenti:

—

REQ-7.5-04 I fornitori di registri elettronici qualificati garantiscono l’ordine cronologico sequenziale univoco delle registrazioni di dati nel registro elettronico. A tal fine utilizzano collegamenti crittografici, basati su elenchi di hash o alberi di hash, utilizzando funzioni crittografiche di hash, conformemente alle specifiche e alle norme seguenti:

—

REQ-7.5-05 I fornitori di registri elettronici qualificati garantiscono l’integrità delle registrazioni di dati nel registro elettronico qualificato. A tal fine utilizzano firme elettroniche avanzate basate su certificati qualificati o sigilli elettronici avanzati basati su certificati qualificati, conformemente alle norme e specifiche seguenti:

—

REQ-7.5-06 Qualora siano utilizzati meccanismi di firma digitale, le chiavi di firma private del fornitore di registri elettronici qualificati sono detenute e utilizzate all’interno di un dispositivo crittografico sicuro che è un sistema affidabile certificato conformemente a quanto segue:

—

REQ-7.8-14X La scansione delle vulnerabilità richiesta dal requisito REQ-7.8-13 è eseguita almeno una volta a trimestre.

—

REQ-7.8-18X Il test di penetrazione richiesto dal requisito REQ-7.8-17X è eseguito almeno una volta all’anno.

—

REQ-7.8-21X Anche i firewall devono essere configurati in modo da bloccare tutti i protocolli e gli accessi non necessari per il funzionamento del prestatore di servizi fiduciari;

—

REQ-7.9.1-02X Le attività di monitoraggio tengono conto della sensibilità delle informazioni raccolte o analizzate;

—

REQ-7.12-02 A Il piano di cessazione del prestatore di servizi fiduciari è conforme ai requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 [i.1].