—

[3] ISO/IEC 15408:2022 (partes 1 a 5) — «Information security, cybersecurity and privacy protection — Evaluation criteria for IT security» (Segurança da informação, cibersegurança e proteção da privacidade — Critérios de avaliação da segurança informática).

—

[4] ETSI EN 319 401 V3.1.1 (2024-06) «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [Assinaturas eletrónicas e infraestruturas de confiança (ESI); requisitos de política geral para os prestadores de serviços de confiança].

—

[5] ETSI EN 319 422 V1.1.1 (2016-03) «Electronic Signatures Infrastructures (ESI); Time-stamping protocol and time-stamp token profiles» [Assinaturas eletrónicas e infraestruturas (ESI); perfis de protocolo de validação cronológica e de fichas de selos temporais].

—

[6] Nulo e sem efeito.

—

[9] Grupo Europeu para a Certificação da Cibersegurança, subgrupo para a criptografia: «Agreed Cryptographic Mechanisms» (Mecanismos criptográficos acordados), publicado pela Agência da União Europeia para a Cibersegurança (ENISA) (3).

—

[10] Regulamento de Execução (UE) 2024/482 da Comissão (4), de 31 de janeiro de 2024, que estabelece regras de execução do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho no respeitante à adoção do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC).

—

[11] Regulamento de Execução (UE) 2024/3144 da Comissão (5), de 18 de dezembro de 2024, que altera o Regulamento de Execução (UE) 2024/482 no respeitante às normas internacionais aplicáveis e que retifica esse regulamento de execução.

—

Período de validade do certificado: intervalo de tempo entre «notBefore» (não antes) e «notAfter» (não depois), inclusive, durante o qual a autoridade de certificação (CA) garante que conserva informações sobre o estado de validade do certificado.

—

EUCC: Sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns.

—

OVR-6.2-03 A autoridade de validação cronológica (TSA) deve incluir declarações sobre a disponibilidade do seu serviço de validação cronológica na respetiva declaração de divulgação da TSA.

—

OVR-7.3-02 O pessoal da TSA com funções de confiança e, se aplicável, os seus subcontratantes com funções de confiança devem ser capazes de cumprir o requisito de dispor de conhecimentos especializados, experiência e qualificações adquiridos por meio de formação formal e credenciais, de experiência ou de uma combinação de ambas.

—

OVR-7.3-03 A conformidade com o OVR-7.3-02 deve incluir atualizações regulares (pelo menos a cada 12 meses) sobre as novas ameaças e as atuais práticas de segurança.

—

TIS-7.6.2-03 A geração da(s) chave(s) da TSU deve ser realizada num dispositivo criptográfico seguro que seja um sistema fiável certificado em conformidade com:

Esta certificação refere-se a uma meta de segurança ou a um perfil de proteção, ou a uma documentação de segurança e conceção de módulos, que cumpra os requisitos do presente documento, com base numa análise de risco e tendo em conta as medidas de segurança físicas e outras medidas de segurança não técnicas.

Se o dispositivo criptográfico seguro possuir uma certificação EUCC [10] [11], esse dispositivo deve ser configurado e utilizado em conformidade com essa certificação.

—

TIS-7.6.2-04 nulo e sem efeito.

—

NOTA 3 nula e sem efeito.

—

TIS-7.6.2-05A O algoritmo de geração de chaves da TSU, o tamanho da chave de assinatura resultante e o algoritmo de assinatura utilizado para assinar selos temporais e certificados de chave pública da TSU, respetivamente, devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança [9] e publicados pela ENISA.

—

NOTA 4 nula e sem efeito.

—

TIS-7.6.2-06 A chave de assinatura de uma TSU só deve ser exportada e importada para um dispositivo criptográfico seguro diferente se essa exportação e importação forem implementadas de forma segura e em conformidade com a certificação desses dispositivos.

—

TIS-7.6.3-02 A chave privada da TSU deve ser conservada e utilizada num dispositivo criptográfico seguro que seja um sistema fiável certificado em conformidade com:

Esta certificação refere-se a uma meta de segurança ou a um perfil de proteção, ou a uma documentação de segurança e conceção de módulos, que cumpra os requisitos do presente documento, com base numa análise de risco e tendo em conta as medidas de segurança físicas e outras medidas de segurança não técnicas.

Se o dispositivo criptográfico seguro possuir uma certificação EUCC [10] [11], esse dispositivo deve ser configurado e utilizado em conformidade com essa certificação.

—

TIS-7.6.3-03 nulo e sem efeito.

—

NOTA 2 nula e sem efeito.

—

TIS-7.6.7-03A A data de expiração das chaves privadas da TSU deve estar em conformidade com os mecanismos criptográficos acordados [9].

—

NOTA 1 nula e sem efeito.

—

OVR-7.10-05 A análise das vulnerabilidades solicitada pelo REQ-7.8-13 da norma ETSI EN 319 401 [1] deve ser efetuada pelo menos uma vez por trimestre.

—

OVR-7.10-06 O teste de penetração solicitado pelo REQ-7.8-17X da norma ETSI EN 319 401 [1] deve ser efetuado pelo menos uma vez por ano.

—

OVR-7.10-07 As barreiras de segurança devem ser configuradas de modo a impedir todos os protocolos e acessos não necessários para a operação da TSA.

—

OVR-7.14-01A O plano de cessação do prestador de serviços de confiança (TSP) deve cumprir os requisitos estabelecidos nos atos de execução adotados nos termos do artigo 24.o, n.o 5, do Regulamento (UE) n.o 910/2014 [i.4].

—

[5] Nulo e sem efeito.

—

[6] Nulo e sem efeito.

—

[8] Grupo Europeu para a Certificação da Cibersegurança, subgrupo para a criptografia: «Agreed Cryptographic Mechanisms» (Mecanismos criptográficos acordados).

—

[9] RFC 9110 «HTTP Semantics» (Semântica do HTTP).

—

Aplica-se a seguinte cláusula:

Os algoritmos de dispersão utilizados para efetuar a dispersão das informações a assinar com a data/hora, a duração prevista do selo temporal e as funções de dispersão selecionadas em relação ao tempo devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

Os algoritmos de assinatura das fichas de selos temporais a suportar devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

Os tamanhos de chave do algoritmo de assinatura para o algoritmo de assinatura selecionado devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA.

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

Os algoritmos de dispersão para os dados do selo temporal a suportar, a duração prevista do selo temporal e as funções de dispersão selecionadas em relação ao tempo devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

Os algoritmos de dispersão utilizados para efetuar a dispersão das informações a assinar com a data/hora e os algoritmos de assinatura das fichas de selos temporais devem estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

O tamanho de chave para o algoritmo de assinatura selecionado para o certificado da TSU deve estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

Aplica-se a seguinte cláusula:

A chave pública da TSU e a assinatura do certificado da TSU devem utilizar os algoritmos conformes com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

NOTA nula e sem efeito.

—

O cliente e o servidor da validação cronológica devem suportar o protocolo de validação cronológica via HTTPS [9], tal como definido na cláusula 3.4 do RFC 3161 do IETF [1].

—

Aplica-se a seguinte cláusula:

A chave pública da TSU e a assinatura do certificado da TSU devem utilizar algoritmos em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA [8].

—

Se uma ficha de selo temporal for classificada pela TSA como um selo temporal qualificado em conformidade com o Regulamento (UE) n.o 910/2014 [i.2], deve incluir uma instância da extensão «qcStatements» no campo da extensão da ficha de selo temporal com a sintaxe definida na cláusula 3.2.6 do RFC 3739 do IETF [i.3].

—

A extensão «qcStatements» deve incluir uma instância da declaração «esi4-qtstStatement-1», tal como definido no anexo B.

—

A extensão «qcStatements» não deve ser assinalada como crítica.