ANNESS

Lista tal-istandards ta’ referenza u l-ispeċifikazzjonijiet għas-servizzi tal-validazzjoni kwalifikati għal firem elettroniċi kwalifikati u għas-servizzi tal-validazzjoni kwalifikati għal siġilli elettroniċi kwalifikati

L-istandards ETSI TS 119 441 V1.2.1 (2023-10) (1) (“ETSI TS 119 441 ”), u ETSI TS 119 172-4 V1.1.1 (2021-05) (2) (“ETSI TS 119 172-4”) japplikaw bl-addatamenti li ġejjin:

Għal ETSI TS 119 441

(1)

2.1

Referenzi normattivi

—	[1] ETSI TS 119 101 V1.1.1 (2016-03) “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ politika u tas-sigurtà għal applikazzjonijiet għall-ħolqien tal-firem u għall-validazzjoni tal-firem”.

—	[2] ETSI EN 319 401 V3.1.1 (2024-06) “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ Politika Ġenerali għall-Fornituri tas-Servizzi Fiduċjarji”.

—	[3] ETSI EN 319 102-1 V1.4.1 (2024-06) “Firem u Infrastrutturi Elettroniċi (ESI); Proċeduri għall-Ħolqien u l-Validazzjoni tal-Firem Diġitali AdES; Parti 1: Ħolqien u Validazzjoni”.

—	[4] ISO/IEC 15408-1:2022 – Sigurtà tal-informazzjoni, ċibersigurtà u protezzjoni tal-privatezza - Kriterji tal-evalwazzjoni għas-sigurtà tal-IT.

—

[5] null.

—	[6] FIPS PUB 140-3 (2019) “Rekwiżiti tas-Sigurtà għall-Moduli Kriptografiċi”.

—

[7] Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/482 (3) li jistabbilixxi r-regoli għall-applikazzjoni tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill fir-rigward tal-adozzjoni tal-iskema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà bbażata fuq il-Kriterji Komuni (EUCC).

—	[8] ETSI TS 119 172-4 V1.1.1 (2021-05) “Firem u Infrastrutturi Elettroniċi (ESI); Politiki dwar il-Firem; Parti 4: Regoli dwar l-applikabbiltà tal-firma (politika tal-validazzjoni) għall-firem/s-siġilli elettroniċi kwalifikati Ewropej bl-użu ta’ listi ta’ fiduċja”.

—	[9] ETSI TS 119 102-2 V1.4.1 (2023-06) “Firem u Infrastrutturi Elettroniċi (ESI); Proċeduri għall-Ħolqien u l-Validazzjoni tal-Firem Diġitali AdES; Parti 2: Rapport dwar il-Validazzjoni tal-Firma”.

—	[10] Il-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà, Sottogrupp dwar il-Kriptografija: “Agreed Cryptographic Mechanisms” ippubblikat mill-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (“ENISA”) (4).

—	[11] Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/3144 (5) li jemenda r-Regolament ta’ Implimentazzjoni (UE) 2024/4822 fir-rigward tal-istandards internazzjonali applikabbli u li jikkoreġi dak ir-Regolament ta’ Implimentazzjoni.

—	[12] ETSI EN 319 411-1 “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ politika u tas-sigurtà għall-Fornituri tas-Servizzi Fiduċjarji li joħorġu ċ-ċertifikati; Parti 1: Rekwiżiti ġenerali”

(2)

2.2 Referenzi informattivi

—	[i.11] null.

(3)

3.3 Abbrevjazzjonijiet

—	L-iskema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà bbażata fuq Kriterji Komuni (EUCC)

(4)

4.3.3 Proċess

—	NOTA 10 Ara ETSI EN 319 102-1 [3] għal gwida u ETSI TS 119 172-4 [8] għal gwida addizzjonali għall-każ tal-firem jew tas-siġilli kwalifikati tal-UE.

(5)

6.1 Dikjarazzjoni tal-prattika tas-Servizz tal-Validazzjoni tal-Firma

—	OVR-6.1-02 Id-dikjarazzjoni tal-prattika tal-SVS għandha tkun strutturata skont l-Anness A.

—	OVR-6.1-03 Id-dikjarazzjoni tal-prattika tal-SVS għandha telenka jew tagħmel referenza għall-politiki tal-SVS appoġġati (eż. permezz tal-OIDs) u tiddeskrivihom fil-qosor.

(6)

6.3 Politika dwar is-sigurtà tal-informazzjoni

—	OVR-6.3-02 Il-politika tas-sigurtà għandha tiddokumenta l-kontrolli tas-sigurtà u tal-privatezza implimentati biex tiġi protetta d-data personali.

(7)

7.2 Riżorsi umani

—	OVR-7.2-02 Il-persunal tal-SVSP fi rwoli ta’ fiduċja, u jekk applikabbli s-sottokuntratturi tiegħu fi rwoli ta’ fiduċja, għandu jkun jista’ jissodisfa r-rekwiżit ta’ “għarfien espert, esperjenza u kwalifiki” permezz ta’ taħriġ u kredenzjali formali, jew esperjenza reali, jew taħlita tat-tnejn.

—	OVR-7.2-03 Il-konformità ma’ OVR-7.2-02 għandha tinkludi aġġornamenti regolari (imqar kull 12-il xahar) dwar theddid ġdid u prattiki attwali tas-sigurtà.

(8)

7.5 Kontrolli kriptografiċi

—

OVR-7.5-02 [KUNDIZZJONALI] Meta jiġu ffirmati rapporti tal-validazzjoni, għandu jinħareġ iċ-ċertifikat ta’ ffirmar pubbliku tal-SVSP li jikkorrispondi għall-kjavi privata tal-iffirmar tal-SVSP, minn CA affidabbli, f’konformità mal-politika taċ-ċertifikat tal-NCP+ kif speċifikat f’ETSI EN 319 411-1 [12]. Dan għandu jinħareġ f’konformità ma’ politika xierqa taċ-ċertifikat speċifikata f’ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [KUNDIZZJONALI] Meta jiġu ffirmati r-rapporti tal-validazzjoni, il-kjavi privata tal-iffirmar tal-SVSP għandha tinżamm u tintuża f’apparat kriptografiku sigur li jkun sistema affidabbli ċċertifikata f’konformità ma’:

(a)

Il-Kriterji Komuni għall-Evalwazzjoni tas-Sigurtà tat-Teknoloġija tal-Informazzjoni, kif stabbiliti fl-ISO/IEC 15408 [4] jew fil-Kriterji Komuni għall-Evalwazzjoni tas-Sigurtà tat-Teknoloġija tal-Informazzjoni, il-verżjoni CC:2022, il-Partijiet 1 sa 5, ippubblikati mill-parteċipanti tal-Arranġament dwar ir-Rikonoxximent taċ-Ċertifikati tal-Kriterji Komuni fil-qasam tas-Sigurtà tal-IT, u ċċertifikati għal EAL 4 jew ogħla; jew

(b)	EUCC [7][11] u ċċertifikati għal EAL 4 jew ogħla; jew

(c)	sal-31.12.2030, FIPS PUB 140-3 [6] livell 3.

Din iċ-ċertifikazzjoni għandha tkun għal mira tas-sigurtà jew profil tal-protezzjoni, jew għal dokumentazzjoni tad-disinn u tas-sigurtà tal-modulu, li tkun tissodisfa r-rekwiżiti ta’ dan id-dokument, abbażi ta’ analiżi tar-riskju u b’kunsiderazzjoni ta’ miżuri tas-sigurtà fiżiċi u miżuri mhux tekniċi oħrajn.

Jekk l-apparat kriptografiku sigur jibbenefika minn ċertifikazzjoni tal-EUCC [7][11], dan l-apparat għandu jiġi kkonfigurat u użat f’konformità ma’ dik iċ-ċertifikazzjoni.

—	OVR-7.5-04 null.

—	OVR-7.5-06 Kjavi tal-iffirmar privata ta’ SVSP għandha tiġi esportata u importata biss f’apparat kriptografiku sigur differenti, meta dawk l-esportazzjoni u l-importazzjoni jiġu implimentati b’mod sigur u f’konformità maċ-ċertifikazzjoni ta’ dawk l-apparati.

(9)

7.7 Sigurtà tal-operazzjoni

—	OVR-7.7-02 Biex ikun żgurat li s-sistemi li fuqhom tiġi żviluppata l-applikazzjoni japplikaw miżuri tas-sigurtà xierqa u jadattaw għal ambjenti tal-applikazzjoni speċifiċi, l-SVA għandha tuża l-ambjent tal-applikazzjoni li jkollu soluzzjonijiet tas-sigurtà aġġornati.

—	OVR-7.7-03 Ir-rekwiżiti li ġejjin speċifikati f’ETSI TS 119 101 [1], il-klawżola 5.2 għandhom japplikaw għall-SVA: GSM 1.3.

(10)

7.8 Sigurtà tan-network

—	OVR-7.8-02 Jekk ikun permess aċċess mill-bogħod għal sistemi li jaħżnu jew jipproċessaw data kunfidenzjali, għandha tiġi adottata u deskritta politika formali bħala parti mill-elementi meħtieġa minn OVR-6.3-02.

—	OVR-7.8-04 L-iskennjar għall-vulnerabbiltajiet mitlub minn REQ-7.8-13 ta’ ETSI EN 319 401 [1] għandu jsir imqar darba kull trimestru.

—	OVR-7.8-05 It-test tal-penetrazzjoni mitlub minn REQ-7.8-17X ta’ ETSI EN 319 401 [1] għandu jsir imqar darba fis-sena.

—	OVR-7.8-06 Il-firewalls għandhom jiġu kkonfigurati biex iwaqqfu l-protokolli u l-aċċessi kollha mhux meħtieġa għall-operazzjoni tal-SVSP.

(11)

7.12 Terminazzjoni tal-proviżjonament tas-Servizz tal-Validazzjoni tal-Firma u l-pjanijiet tat-terminazzjoni

—	OVR-7.12-02 Il-pjan tat-terminazzjoni tat-TSP għandu jikkonforma mar-rekwiżiti stabbiliti fl-atti ta’ implimentazzjoni adottati skont l-Artikolu 24(5) tar-Regolament (UE) Nru 910/2014 [i.1].

(12)

7.14 Katina tal-provvista

—	OVR-7.14-01 Għandhom japplikaw ir-rekwiżiti speċifikati f’ETSI EN 319 401 [2], il-klawżola 7.14.

(13)

8.1 Proċess tal-validazzjoni tal-firma

—	VPR-8.1-07 L-applikazzjoni tal-validazzjoni (SVA) għandha tikkonforma mar-rekwiżiti f’ETSI TS 119 101 [1], il-klawżola 7.4 SIA 1 sa SIA 4.

—

VPR-8.1-11 [KUNDIZZJONALI] Meta l-SVS ikollha l-għan li tivvalida firem elettroniċi kwalifikati jew siġilli elettroniċi kwalifikati bħal f’konformità mal-Artikolu 32(1) (jew l-Artikolu 40 rispettivament) tar-Regolament (UE) Nru 910/2014 [i.1], il-proċess tal-validazzjoni għandu jimxi mar-rekwiżiti ta’ ETSI TS 119 172-4 [8].

(14)

8.2 Protokoll tal-validazzjoni tal-firma

—	SVP-8.2-03 Ir-rispons għall-validazzjoni tal-firma għandu jkollu l-OID tal-politika tal-SVS.

(15)

8.4 Rapport tal-validazzjoni tal-firma

—	SVR-8.4-02 Ir-rapport tal-validazzjoni għandu jikkonforma ma’ ETSI TS 119 102-2 [9].

—	SVR-8.4-07 [KUNDIZZJONALI] Meta politika tal-validazzjoni tal-firma ma tkunx ipproċessata għalkollox mill-SVS, ir-rapport għandu, minbarra jirrapporta dwar limitazzjonijiet ivvalidati, jirrapporta dwar limitazzjonijiet injorati jew megħluba.

—	SVR-8.4-15 Ir-rapport tal-validazzjoni għandu jindika b’mod ċar l-oriġini ta’ kull PoE (mill-firma, mill-klijent, mis-server).

—	SVR-8.4-16 Ir-rapport tal-validazzjoni għandu jkollu firma tar-rapport tal-validazzjoni, li għandha tkun il-firma diġitali tal-SVSP.

—	SVR-8.4-17 [KUNDIZZJONALI] Meta jiġu ffirmati r-rapporti tal-validazzjoni, il-format u l-mira tal-firma għandhom jikkonformaw ma’ ETSI TS 119 102-2 [9].

(16)

9 Qafas għad-definizzjoni tal-politiki tas-servizzi tal-validazzjoni mibni fuq politika tas-servizz fiduċjarju definita f’dan id-dokument:

—

OVR-9-05 [KUNDIZZJONALI] Meta tinbena politika tal-SVS fuq politika tas-servizzi fiduċjarji definita f’dan id-dokument, għandha ssir valutazzjoni tar-riskju biex jiġu evalwati r-rekwiżiti tan-negozju u jiġu ddeterminati r-rekwiżiti tas-sigurtà li jridu jiġu inklużi fil-politika għall-komunità u l-applikabbiltà ddikjarati.

—	OVR-9-06 [KUNDIZZJONALI] Meta tinbena politika tal-SVS fuq politika tas-servizzi fiduċjarji definita f’dan id-dokument, il-politika għandha tiġi approvata u modifikata f’konformità ma’ proċess tar-rieżami definit, inkluż ir-responsabbiltajiet għaż-żamma tal-politika.

—	OVR-9-07 [KUNDIZZJONALI] Meta tinbena politika tal-SVS fuq politika tas-servizzi fiduċjarji definita f’dan id-dokument, għandu jkun hemm proċess tar-rieżami definit biex jiżgura li l-politika tkun appoġġata mid-dikjarazzjonijiet tal-prattiki.

—	OVR-9-08 [KUNDIZZJONALI] Meta tinbena politika tal-SVS fuq politika tas-servizzi fiduċjarji definita f’dan id-dokument, it-TSP għandu jagħmel disponibbli l-politiki appoġġati mit-TSP għall-komunità tal-utenti tiegħu.

—	OVR-9-09 [KUNDIZZJONALI] Meta tinbena politika tal-SVS fuq politika tas-servizzi fiduċjarji definita f’dan id-dokument, ir-reviżjonijiet tal-politiki appoġġati mit-TSP għandhom isiru disponibbli għall-abbonati.

(17)

L-Anness B, Servizz tal-Validazzjoni Kwalifikat (normattiv) għall-QES kif definit mill-Artikolu 33 tar-Regolament (UE) Nru 910/2014:

—	VPR-B-02 [KUNDIZZJONALI] Jekk l-SVSP tkun QSVSP, l-implimentazzjoni għandha tikkonforma ma’ ETSI TS 119 172-4 [8].

—	NOTE 2 null.

—	OVR-B-04 [KUNDIZZJONALI] Jekk l-SVSP tkun QSVSP, it-testijiet f’OVR-B-03 għandhom jivverifikaw każijiet tal-użu differenti, pożittivi u negattivi.

—	VPR-B-11 [KUNDIZZJONALI] Jekk l-SVSP tkun QSVSP, l-SVSP għandha tikkontrolla l-komputazzjoni tal-hash (twettaq il-komputazzjoni fuq in-naħa tas-server jew tikkontrolla l-klijent jekk din tkun permessa fuq in-naħa tal-klijent).

—	NOTE 5 null.

—	NOTE 6 null.

—	VPR-B-15 [KUNDIZZJONALI] Jekk l-SVSP tkun QSVSP, biex tissodisfa VPR-B-13 sa VPR-b-14, ir-rapport tal-validazzjoni għandu jikkonforma ma’ ETSI TS 119 102-2 [9].

—

VPR-B-16 [KUNDIZZJONALI] Jekk l-SVSP tkun QSVSP, l-implimentazzjoni għandha tikkonforma mal-Mekkaniżmi Kriptografiċi Miftiehma approvati mill-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà u ppubblikati mill-ENISA [10] għall-użu ta’ tekniki kriptografiċi xierqa meta jiġu pprovduti servizzi tal-validazzjoni kwalifikati għall-QES.

(18)

L-Anness C (informattiv), L-immeppjar tar-rekwiżiti għar-Regolament (UE) Nru 910/2014, it-taqsima “L-għoti tal-validazzjoni f’konformità mal-Artikolu 32(1)”, it-tieni paragrafu:

—

Biex ikun żgurat li jiġu vverifikati l-kundizzjonijiet kollha meħtieġa mill-Artikoli 32(1) u 40 tar-Regolament (UE) Nru 910/2014 [i.1], hemm bżonn algoritmu tal-validazzjoni korrett. Dan jipprovdi l-istess riżultat deterministiku għal firma jew siġill sottomessi għall-validazzjoni. Il-politika tal-validazzjoni tal-firma hija kruċjali għal dan il-għan. ETSI TS 119 172-4 [8], abbażi tal-algoritmu tal-validazzjoni speċifikat f’ETSI EN 319 102-1 [3], inħareġ b’din il-perspettiva.

Għal ETSI TS 119 172-4

(1)

2.1 Referenzi normattivi:

—	[1] ETSI EN 319 102-1 V1.4.1 (2024-06) “Firem u Infrastrutturi Fiduċjarji Elettroniċi (ESI); Proċeduri għall-Ħolqien u l-Validazzjoni tal-Firem Diġitali AdES; Parti 1: Ħolqien u Validazzjoni”.

—	Ir-referenzi kollha għal “ETSI TS 119 102-1 [1]” għandhom jinftiehmu bħala referenzi għal “ETSI EN 319 102-1 [1]”.

—	[2] ETSI TS 119 612 V2.3.1 (2024-11) “Firem u Infrastrutturi Elettroniċi (ESI); Listi ta’ Fiduċja”.

—	[13] ETSI TS 119 101 V1.1.1 (2016-03) “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ politika u tas-sigurtà għal applikazzjonijiet għall-ħolqien tal-firem u għall-validazzjoni tal-firem”.

(2)

4.2 Limitazzjonijiet tal-validazzjoni u proċeduri tal-validazzjoni, ir-rekwiżiti tal-validazzjoni ta’ RED-4.2-03, it-taqsima “limitazzjonijiet tal-validazzjoni ta’ X 509”, il-punt c):

—	(i) Jekk ċertifikat ta’ entità finali jirrappreżenta ankra ta’ fiduċja, RevocationCheckingConstraints ma għandhiex tintuża.

—	(ii) Jekk ċertifikat ta’ entità finali ma jkunx jirrappreżenta ankra ta’ fiduċja, RevocationCheckingConstraints għandha tiġi ssettjata għal “eitherCheck” kif definit f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.1.

—	(iii) Jekk ċertifikat ta’ entità finali jirrappreżenta ankra ta’ fiduċja, RevocationFreshnessConstraints definita f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.2 ma għandhiex tintuża.

—

(iv) Jekk ċertifikat ta’ entità finali ma jirrappreżentax ankra ta’ fiduċja, RevocationFreshnessConstraints definita f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.2 għandha tintuża b’valur massimu ta’ 24 siegħa għaċ-ċertifikat tal-iffirmar. Ma għandu jiġi stabbilit l-ebda valur għal RevocationFreshnessConstraints għal ċertifikati li mhumiex iċ-ċertifikat tal-iffirmar, inkluż iċ-ċertifikati li jappoġġaw it-timbri tal-ħin.

(3)

4.4 Proċess ta’ verifika tal-applikabbiltà teknika (jew ir-regoli tagħha)

—

REQ-4.4.2-03 Jekk kwalunkwe kontroll speċifikat f’REQ-4.4.2-01 ma jaħdimx,:

(a)	il-proċess jieqaf;

(b)	il-firma għandha tiġi ddeterminata teknikament bħala indeterminata, jiġifieri la bħala firma elettronika kwalifikata tal-UE u lanqas bħala siġill elettroniku kwalifikat tal-UE;

(c)	ir-riżultat ta’ hawn fuq u r-riżultati tal-proċessi intermedji kollha għandhom jiġu riflessi fir-rapport ta’ verifika tar-regoli dwar l-applikabbiltà tal-firma.

(1) ETSI TS 119 441 - Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ politika għat-TSP li jipprovdu servizzi tal-validazzjoni tal-firma, V1.2.1 (2023-10).

(2) ETSI TS 119 172-4 - Firem u Infrastrutturi Elettroniċi (ESI); Politiki dwar il-Firem; Parti 4: Regoli dwar l-applikabbiltà tal-firem (politika tal-validazzjoni) għall-firem/s-siġilli elettroniċi kwalifikati Ewropej bl-użu ta’ listi ta’ fiduċja, V1.1.1 (2021-05).

(3) ĠU L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj.

(4) https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.

(5) ĠU L, 2024/3144, 19.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj.