REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2024/2981 AL COMISIEI

din 28 noiembrie 2024

de stabilire a normelor de aplicare a Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului în ceea ce privește certificarea portofelelor europene pentru identitatea digitală

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE (1), în special articolul 5c alineatul (6),

întrucât:

(1)

În temeiul articolului 5c din Regulamentul (UE) nr. 910/2014, certificarea portofelelor europene pentru identitatea digitală („portofelele”) se face în conformitate cu cerințele funcționale, de securitate cibernetică și privind protecția datelor, pentru a asigura un nivel ridicat de securitate și încredere în portofelele respective. Aceste cerințe privind certificarea trebuie armonizate între statele membre pentru a preveni fragmentarea pieței și cu scopul de a construi un cadru solid.

(2)	Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (2) și, după caz, Directiva 2002/58/CE a Parlamentului European și a Consiliului (3) se aplică activităților de prelucrare a datelor cu caracter personal efectuate în temeiul prezentului regulament.

(3)

Comisia evaluează periodic noile tehnologii, practici, standarde sau specificații tehnice. Pentru a asigura cel mai înalt nivel de armonizare între statele membre în ceea ce privește dezvoltarea și certificarea portofelelor, specificațiile tehnice prevăzute în prezentul regulament au ca fundament activitatea desfășurată pe baza Recomandării (UE) 2021/946 a Comisiei din 3 iunie 2021 privind un set de instrumente comun al Uniunii pentru o abordare coordonată în direcția unui cadru european al identității digitale (4) și, în special, arhitectura și cadrul de referință care fac parte din acest set de instrumente. În conformitate cu considerentul 75 din Regulamentul (UE) 2024/1183 al Parlamentului European și al Consiliului (5), Comisia ar trebui să revizuiască și să actualizeze prezentul regulament de punere în aplicare, dacă este necesar, pentru a îl menține aliniat la evoluțiile mondiale și la arhitectura și cadrul de referință, precum și pentru a respecta cele mai bune practici de pe piața internă.

(4)

Pentru a atesta respectarea cerințelor de securitate cibernetică incluse în cadrul de certificare, certificarea soluțiilor pentru portofel ar trebui să se refere, în măsura în care sunt disponibile și relevante, la sistemele europene de certificare a securității cibernetice instituite în temeiul Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului (6). În absența unor astfel de sisteme sau în cazul în care acestea acoperă doar parțial cerințele de securitate cibernetică, prezentul regulament stabilește cerințele generale aplicabile sistemelor naționale de certificare, care cuprind cerințe funcționale, de securitate cibernetică și privind protecția datelor.

(5)

În temeiul articolului 5a alineatul (11) din Regulamentul (UE) nr. 910/2014, portofelele trebuie să fie certificate pe baza unui nivel de asigurare ridicat, astfel cum se prevede în Regulamentul (UE) nr. 910/2014, precum și în Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei (7). Acest nivel de asigurare trebuie atins prin soluția globală pentru portofel. În temeiul prezentului regulament, unele componente ale soluției pentru portofel pot fi certificate la un nivel de asigurare mai scăzut, cu condiția ca acest lucru să fie justificat în mod corespunzător și fără a aduce atingere nivelului de asigurare ridicat atins de soluția globală.

(6)

Toate sistemele naționale de certificare ar trebui să desemneze un proprietar de sistem, care va fi responsabil de dezvoltarea și menținerea sistemului de certificare. Proprietarul de sistem poate fi un organism de evaluare a conformității, un organism sau o autoritate guvernamentală, o asociație profesională, un grup de organisme de evaluare a conformității sau orice organism adecvat și poate fi diferit de organismul care operează sistemul național de certificare.

(7)

Obiectul certificării ar trebui să includă componentele software ale soluției pentru portofel, cum ar fi instanța portofelului. Aplicație criptografică securizată pentru portofel (wallet secure cryptographic application – „WSCA”, dispozitivul criptografic securizat pentru portofel (wallet secure cryptographic device – „WSCD”) și platformele pe care sunt executate aceste componente software, deși fac parte din mediul de operare, ar trebui incluse în obiectul certificării numai atunci când sunt furnizate de soluția pentru portofel. În alte cazuri, în special atunci când aceste dispozitive și platforme sunt furnizate de utilizatorii finali, furnizorii ar trebui să stabilească ipoteze privind mediul de operare al soluției pentru portofel, inclusiv privind aceste dispozitive și platforme, și să pună în aplicare măsuri pentru a confirma că aceste ipoteze sunt verificate în practică. Pentru a asigura protecția activelor critice prin componentele hardware și elementele de software de sistem utilizate pentru a gestiona și a proteja cheile criptografice create, stocate sau prelucrate de WSCD, WSCD trebuie să respecte standarde înalte de certificare, astfel cum se reflectă în standardele internaționale precum criteriile comune („EUCC”), instituite prin Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei (8), evaluarea EAL4 și analiza metodică avansată a vulnerabilității, comparabilă cu AVA_VAN.5. Aceste standarde de certificare ar trebui utilizate cel târziu la certificarea conformității portofelelor în urma adoptării unui sistem european de certificare a securității cibernetice în temeiul Regulamentului (UE) 2019/881.

(8)

Pentru ca portofelele să fie complet mobile, securizate și ușor de utilizat, ar trebui să fie disponibile soluții inviolabile standardizate și certificate, cum ar fi elemente de securitate integrate, dispozitive externe precum cardurile inteligente sau platforme SIM integrate în dispozitivele mobile. Este important să se asigure accesul în timp util la elemente de securitate integrate pentru mijloacele și portofelele naționale de identificare electronică și să se coordoneze eforturile statelor membre în acest domeniu. Prin urmare, Grupul de cooperare privind identitatea digitală europeană instituit în temeiul articolului 46e alineatul (1) din Regulamentul (UE) nr. 910/2014 (denumit în continuare „Grupul de cooperare”) ar trebui să instituie un subgrup specific în acest scop. În urma consultării părților interesate relevante, acest subgrup ar trebui să convină asupra unei foi de parcurs comune pentru accesul la elementele de securitate integrate, care să fie luată în considerare de Comisie pentru raportul de revizuire a Regulamentului (UE) nr. 910/2014. În plus, pentru a facilita adoptarea portofelului la nivel național, Comisia ar trebui, în cooperare cu statele membre, să elaboreze și să actualizeze în permanență un manual pentru cazurile de utilizare ca parte a arhitecturii și a cadrului de referință.

(9)

Ca obiect al certificării sistemelor naționale de certificare ar trebui incluse, de asemenea, procesele care sunt utilizate pentru furnizarea și operarea soluției pentru portofel, chiar dacă definirea sau executarea proceselor respective este subcontractată unor părți terțe. Pentru a demonstra că procesele respectă cerințele sistemelor de certificare, se permite utilizarea ca dovadă a informațiilor privind asigurarea încrederii, cu condiția să se utilizeze o analiză a dependenței menită să stabilească dacă informațiile privind asigurarea încrederii sunt suficiente. Informațiile privind asigurarea încrederii se prezintă sub numeroase forme diferite, inclusiv rapoarte și certificate de conformitate, care pot fi private, naționale, europene sau internaționale, având la bază standarde sau specificații tehnice. Obiectivul analizei dependenței este de a evalua calitatea informațiilor privind asigurarea încrederii disponibile cu privire la componentele portofelului.

(10)

În conformitate cu procedurile instituite în acest scop, Grupul de cooperare ar trebui să fie în măsură să emită avize și recomandări privind proiectele de sisteme naționale de certificare care îi sunt prezentate. Aceste sisteme naționale de certificare ar trebui să fie specifice arhitecturii portofelului și ar trebui să existe profiluri caracteristice fiecărei arhitecturi specifice suportate.

(11)

Pentru a asigura o înțelegere comună și o abordare armonizată a evaluării riscurilor celor mai critice care ar putea afecta furnizarea și operarea portofelelor, ar trebui întocmit un registru al riscurilor și al amenințărilor care ar trebui luate în considerare atunci când se concep soluții pentru portofel, indiferent de arhitectura lor specifică. Obiectivele de securitate cibernetică descrise în Regulamentul (UE) nr. 910/2014, cum ar fi confidențialitatea, integritatea și disponibilitatea soluției pentru portofel, precum și confidențialitatea aferentă utilizatorilor și datelor, ar trebui să fie luate în considerare atunci când se identifică riscurile care ar trebui incluse în registru. Luarea în considerare în mod corespunzător a riscurilor și a amenințărilor incluse în acest registru al riscurilor ar trebui să facă parte din cerințele impuse de sistemele naționale de certificare. Pentru a ține pasul cu evoluția continuă a peisajului amenințărilor, registrul riscurilor ar trebui întreținut și actualizat periodic, în colaborare cu Grupul de cooperare.

(12)

Atunci când își instituie sistemele de certificare, proprietarii de sistem ar trebui să efectueze o evaluare a riscurilor pentru a evalua mai în detaliu și a completa lista riscurilor și a amenințărilor din registru cu riscuri și amenințări specifice pentru arhitectura sau implementarea soluției pentru portofel. Evaluarea riscurilor ar trebui să analizeze modul în care riscurile și amenințările relevante pot fi gestionate în mod corespunzător. Furnizorii de portofele ar trebui să completeze evaluarea riscurilor aferente sistemului pentru a identifica orice riscuri și amenințări specifice pentru implementarea sistemului respectiv și să propună măsuri de gestionare adecvate în vederea evaluării de către organismul de certificare.

(13)

Pentru a demonstra că arhitectura unei soluții pentru portofel respectă cerințele de securitate aplicabile, fiecare sistem sau profil cu arhitectură specifică ar trebui să conțină cel puțin o descriere a arhitecturii soluției pentru portofel, o listă a cerințelor de securitate aplicabile arhitecturii soluției pentru portofel, un plan de evaluare pentru a confirma că o soluție pentru portofel bazată pe această arhitectură îndeplinește cerințele respective și o evaluare a riscurilor. Sistemele naționale de certificare ar trebui să le impună furnizorilor de portofele să demonstreze modul în care proiectarea soluției pentru portofel pe care o furnizează corespunde arhitecturii de referință și să prezinte în detaliu controalele de securitate și planurile de validare aferente soluției pentru portofel specifice. Sistemele naționale de certificare ar trebui, de asemenea, să prevadă o activitate de evaluare a conformității pentru a se verifica dacă proiectarea portofelului reflectă în mod corespunzător arhitectura de referință a profilului selectat. Sistemele naționale de certificare ar trebui să respecte cerințele prevăzute la articolul 51 din Regulamentul (UE) 2019/881, cu excepția literelor (e) și (f), în ceea ce privește jurnalizarea.

(14)

Referitor la certificarea produselor, ar trebui să se permită utilizarea certificatelor de conformitate emise în cadrul sistemului UE de certificare a securității cibernetice bazat pe EUCC, precum și a certificatelor de conformitate emise în cadrul sistemelor naționale de certificare în contextul Acordului de recunoaștere reciprocă SOG-IS (Grupul înalților funcționari pentru securitatea sistemelor informatice). În plus, ar trebui să se permită utilizarea altor sisteme naționale de certificare pentru componente ale produselor mai puțin sensibile, cum ar fi cele instituite în conformitate cu standardul CEN EN 17640 privind metodologia pentru evaluarea de securitate cibernetică cu timp predefinit pentru produsele TIC.

(15)

Ar trebui utilizată marca de încredere a portofelului UE pentru identitatea digitală („marca de încredere”) pentru a indica în mod clar, simplu și recognoscibil că un portofel a fost furnizat în conformitate cu Regulamentul (UE) nr. 910/2014. Prin urmare, aceasta ar trebui să fie considerată o marcă de conformitate în cazul unei soluții pentru portofel certificate în cadrul sistemelor naționale de certificare. Sistemele naționale de certificare nu ar trebui să definească nicio altă marcă de conformitate.

(16)	Pentru a descuraja frauda, sistemele naționale de certificare ar trebui să definească acțiunile care trebuie întreprinse în cazul în care certificarea în cadrul sistemului este invocată în mod fraudulos.

(17)

Pentru a asigura o gestionare eficientă a notificărilor vulnerabilităților, furnizorii de soluții pentru portofel și sistemul de identificare electronică în cadrul căruia sunt furnizate acestea ar trebui să definească și să implementeze procese de evaluare a gravității și a impactului potențial al vulnerabilităților. Sistemele naționale de certificare ar trebui să stabilească un prag pentru notificarea organismului de certificare. O astfel de cerință privind notificarea nu ar trebui să afecteze criteriile stabilite de legislația privind protecția datelor și de autoritățile de protecție a datelor din statele membre pentru notificarea încălcărilor securității datelor cu caracter personal. S-ar putea stabili eventuale sinergii între notificarea obligatorie a încălcării sau compromiterii soluțiilor pentru portofel și notificarea încălcărilor securității datelor cu caracter personal în temeiul Regulamentului (UE) 2016/679. Evaluarea de către organismul de certificare a unui raport de analiză a impactului vulnerabilității nu ar trebui să aducă atingere evaluării de către o autoritate de protecție a datelor a impactului asupra protecției datelor, efectuată în temeiul articolelor 35 și 36 din Regulamentul (UE) 2016/679.

(18)

Furnizorii de soluții pentru portofel și sistemul de identificare electronică în cadrul căruia sunt furnizate acestea ar trebui să notifice proprietarului de sistem toate justificările excepțiilor de la evaluarea vulnerabilității care trebuie efectuată pentru evaluarea WSCD și WSCA, astfel cum se prevede în anexa IV.

(19)

Anularea unui certificat de conformitate ar putea avea consecințe grave, cum ar fi revocarea tuturor unităților de portofel implementate. Prin urmare, organismele de certificare ar trebui să ia în considerare anularea numai dacă o vulnerabilitate neremediată este susceptibilă să afecteze în mod semnificativ fiabilitatea soluției pentru portofel sau fiabilitatea unei alte soluții pentru portofel.

(20)

Ar trebui instituit un proces specific pentru actualizarea sistemelor naționale de certificare cu scopul de a gestiona tranziția între versiuni succesive ale sistemelor, în special în ceea ce privește acțiunile care trebuie întreprinse de titularul certificatului în legătură cu viitoarele evaluări, întreținerea, recertificarea și evaluările speciale.

(21)	Pentru a facilita transparența, furnizorii de portofele ar trebui să facă publice informații de securitate cu privire la soluția pentru portofel pe care o furnizează.

(22)

În cazul în care sistemele naționale de certificare se bazează pe informații privind asigurarea încrederii provenite din alte sisteme sau surse de certificare, ar trebui efectuată o analiză a dependenței pentru a verifica dacă documentația privind asigurarea încrederii, de exemplu rapoartele privind asigurarea încrederii și certificatele de conformitate, este disponibilă și adecvată pentru soluția pentru portofel și pentru sistemul de identificare electronică în cadrul căruia este furnizată aceasta. Această analiză a dependenței ar trebui să se bazeze pe evaluarea riscurilor aferentă soluției pentru portofel și sistemului de identificare electronică în cadrul căruia este furnizată aceasta. Evaluarea ar trebui să stabilească dacă documentația privind asigurarea încrederii disponibilă pentru o anumită soluție pentru portofel și sistemul de identificare electronică în cadrul căruia este furnizată aceasta sunt adecvate pentru a oferi o asigurare corespunzătoare nivelului de evaluare specific. Evaluarea ar trebui, de asemenea, să actualizeze analiza dependenței sau să o reevalueze integral, dacă acest lucru este necesar.

(23)

Organismele de certificare ar trebui să emită certificate de conformitate în cadrul sistemelor naționale de certificare, împreună cu un raport de certificare accesibil publicului, astfel cum este menționat la articolul 5d alineatul (2) litera (a) din Regulamentul (UE) nr. 910/2014. Raportul de evaluare a certificării aferent ar trebui să fie pus la dispoziția Grupului de cooperare.

(24)

Sistemele naționale de certificare ar trebui să instituie o evaluare anuală a supravegherii pentru a se asigura că procesele legate de gestionarea și întreținerea portofelelor funcționează în mod eficace, și anume că acestea funcționează astfel cum se prevede în politicile care instituie procesele. Evaluarea bienală a vulnerabilității este o cerință care decurge din Regulamentul (UE) nr. 910/2014, menită să asigure că soluția pentru portofel continuă să acopere în mod corespunzător riscurile și amenințările în materie de securitate cibernetică identificate în registrul riscurilor, inclusiv orice evoluție din peisajul amenințărilor. Noțiunile de „evaluare a supravegherii”, „evaluare de recertificare” și „evaluare specială” ar trebui să respecte standardul EN ISO/IEC 17021-1:2015.

(25)

Un ciclu de certificare se încheie odată cu expirarea certificatului de conformitate sau cu eliberarea unui nou certificat de conformitate, dacă se obține un rezultat satisfăcător în urma unei evaluări de recertificare. Evaluarea de recertificare ar trebui să includă o evaluare a tuturor componentelor obiectului certificării, inclusiv o evaluare a eficacității și, după caz, o evaluare a vulnerabilității. În timpul recertificării, ar trebui să fie posibilă reutilizarea rezultatelor evaluărilor anterioare privind componentele care nu s-au schimbat.

(26)

Atunci când se adoptă un sistem european de certificare a securității cibernetice, sistemele naționale de certificare cu același domeniu de aplicare ar trebui să înceteze să emită certificări după o perioadă de tranziție definită, astfel cum se menționează la articolul 57 alineatul (1) din Regulamentul (UE) 2019/881.

(27)

Sistemele naționale de certificare ar trebui să se bazeze pe cadrele existente și să reutilizeze dovezile, după caz, pentru a asigura armonizarea și interoperabilitatea. Statele membre pot încheia acorduri pentru reutilizarea transfrontalieră a sistemelor de certificare sau a unor părți ale acestora. În colaborare cu Grupul de cooperare, Comisia Europeană și ENISA ar trebui să sprijine statele membre în dezvoltarea și întreținerea sistemelor lor naționale de certificare, asigurând schimbul de cunoștințe și bune practici.

(28)	Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (9) și a emis un aviz la 30 septembrie 2024.

(29)	Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului menționat la articolul 48 alineatul (1) din Regulamentul (UE) nr. 910/2014,

ADOPTĂ PREZENTUL REGULAMENT:

CAPITOLUL I

DISPOZIȚII GENERALE

Articolul 1

Obiect și domeniu de aplicare

Prezentul regulament stabilește standarde de referință, precum și specificații și proceduri menite să construiască un cadru solid pentru certificarea portofelelor, urmând să fie actualizat periodic pentru a le menține aliniate la evoluțiile tehnologiei și ale standardelor și la activitatea desfășurată pe baza Recomandării (UE) 2021/946 privind un set de instrumente comun al Uniunii pentru o abordare coordonată în direcția unui cadru european al identității digitale, în special la arhitectura și cadrul de referință.

Articolul 2

Definiții

În sensul prezentului regulament, se aplică următoarele definiții:

1.	„soluție pentru portofel” înseamnă o combinație de software, hardware, servicii, setări și configurații, inclusiv instanțe ale portofelului, una sau mai multe aplicații criptografice securizate pentru portofel și unul sau mai multe dispozitive criptografice securizate pentru portofel;

2.	„proprietar de sistem” înseamnă o organizație care este responsabilă de dezvoltarea și întreținerea unui sistem de certificare;

3.	„obiectul certificării” înseamnă produsele, procesele și serviciile sau o combinație a acestora cărora li se aplică cerințele specificate;

4.	„aplicație criptografică securizată pentru portofel” înseamnă o aplicație care gestionează active critice prin faptul că este legată de funcțiile criptografice și necriptografice furnizate de dispozitivul criptografic securizat pentru portofel și utilizează aceste funcții;

5.	„instanță a portofelului” înseamnă aplicația instalată și configurată pe dispozitivul sau în mediul unui utilizator de portofel, care face parte dintr-o unitate de portofel și pe care utilizatorul portofelului o utilizează pentru a interacționa cu unitatea de portofel;

„dispozitiv criptografic securizat pentru portofel” înseamnă un dispozitiv inviolabil care oferă un mediu legat de aplicația criptografică securizată pentru portofel și care este utilizat de aceasta pentru a proteja activele critice și pentru a furniza funcții criptografice pentru executarea securizată a operațiunilor critice;

7.	„registru al riscurilor” înseamnă o evidență a informațiilor relevante pentru procesul de certificare cu privire la riscurile identificate;

8.	„furnizor de portofel” înseamnă o persoană fizică sau juridică care furnizează soluții pentru portofel;

9.	„organism de certificare” înseamnă un organism terț de evaluare a conformității care operează sisteme de certificare;

10.

„unitate de portofel” înseamnă o configurație unică a unei soluții pentru portofel care include instanțe ale portofelului, aplicații criptografice securizate pentru portofel și dispozitive criptografice securizate pentru portofel, furnizată de un furnizor de portofel unui utilizator individual al portofelului;

11.

„active critice” înseamnă active din cadrul unei unități de portofel sau legate de o astfel de unitate care au o importanță atât de extraordinară încât, în cazul în care disponibilitatea, confidențialitatea sau integritatea lor este compromisă, acest lucru ar avea un efect foarte grav, de slăbire a capacității de a recurge la unitatea de portofel;

12.	„utilizator al portofelului” înseamnă un utilizator care deține controlul asupra unității de portofel;

13.	„incident” înseamnă un incident astfel cum este definit la articolul 6 punctul 6 din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului (10);

14.	„politică de divulgare încorporată” înseamnă un set de norme, încorporat de către furnizorul său într-un atestat electronic al atributelor, care precizează condițiile pe care un beneficiar al portofelului trebuie să le îndeplinească pentru a avea acces la atestatul electronic al atributelor.

CAPITOLUL II

SISTEME NAȚIONALE DE CERTIFICARE

Articolul 3

Instituirea unor sisteme naționale de certificare

(1) Statele membre desemnează câte un proprietar de sistem pentru fiecare sistem național de certificare.

(2) Obiectul certificării definit în sistemele naționale de certificare îl constituie furnizarea și operarea soluțiilor pentru portofel și a sistemelor de identificare electronică în cadrul cărora sunt furnizate acestea.

(3) În conformitate cu Regulamentul de punere în aplicare (UE) 2015/1502, obiectul certificării în cadrul sistemelor naționale de certificare include următoarele elemente:

(a)	componentele software, inclusiv setările și configurațiile unei soluții pentru portofel și ale sistemului de identificare electronică în cadrul căruia este furnizată aceasta;

(b)

componentele hardware și platformele pe care rulează sau se bazează componentele software menționate la punctul (b) pentru operațiuni critice, în cazurile în care acestea sunt furnizate direct sau indirect de soluția pentru portofel și de sistemul de identificare electronică în cadrul căruia este furnizată aceasta și în cazul în care trebuie să atingă nivelul de asigurare dorit pentru componentele software respective. În cazul în care componentele hardware și platformele nu sunt furnizate de furnizorul de portofel, sistemele naționale de certificare formulează ipoteze pentru evaluarea componentelor hardware și a platformelor, în temeiul cărora poate fi asigurată rezistența împotriva atacatorilor cu potențial ridicat de atac în conformitate cu Regulamentul de punere în aplicare (UE) 2015/1502, și specifică activitățile de evaluare pentru a confirma aceste ipoteze, astfel cum se menționează în anexa IV;

(c)

procesele care sprijină furnizarea și operarea soluției pentru portofel, inclusiv procesul de integrare a utilizatorului, astfel cum este menționat la articolul 5a din Regulamentul (UE) nr. 910/2014, acoperind cel puțin înscrierea, gestionarea mijloacelor electronice și organizarea în temeiul secțiunilor 2.1, 2.2 și 2.4 din anexa I la Regulamentul de punere în aplicare (UE) 2015/1502.

(4) Sistemele naționale de certificare includ o descriere a arhitecturii specifice a unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta. În cazul în care sistemele naționale de certificare acoperă mai multe arhitecturi specifice, acestea includ un profil pentru fiecare arhitectură specifică.

(5) Pentru fiecare profil, sistemele naționale de certificare stabilesc cel puțin următoarele:

(a)	arhitectura specifică a unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta;

(b)	controalele de securitate asociate nivelurilor de asigurare prevăzute la articolul 8 din Regulamentul (UE) nr. 910/2014;

(c)	un plan de evaluare întocmit în conformitate cu secțiunea 7.4.1 din standardul EN ISO/IEC 17065:2012;

(d)

cerințele de securitate necesare pentru a aborda riscurile și amenințările în materie de securitate cibernetică enumerate în registrul riscurilor prevăzut în anexa I la prezentul regulament, până la nivelul de asigurare necesar, și pentru a îndeplini, după caz, obiectivele definite la articolul 51 din Regulamentul (UE) 2019/881;

(e)	o cartografiere care corelează controalele menționate la litera (b)de la prezentul alineat cu componentele arhitecturii;

(f)

o descriere a modului în care controalele de securitate, cartografierea, cerințele de securitate și planul de evaluare menționate la literele (b)-(c) le permit furnizorilor de soluții pentru portofel și sistemului de identificare electronică în cadrul căruia sunt furnizate acestea să abordeze în mod adecvat riscurile și amenințările în materie de securitate cibernetică identificate în registrul riscurilor menționat la litera (d), până la nivelul de asigurare necesar, pe baza unei evaluări a riscurilor menită să evalueze mai în detaliu și să completeze riscurile și amenințările enumerate în registrul riscurilor cu riscuri și amenințări specifice arhitecturii.

(6) Planul de evaluare menționat la alineatul (5) litera (c) enumeră activitățile de evaluare care trebuie incluse în evaluarea unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta.

(7) Activitatea de evaluare menționată la alineatul (6) le impune furnizorilor de soluții pentru portofel și sistemului de identificare electronică în cadrul căruia sunt furnizate acestea să furnizeze informații care îndeplinesc cerințele enumerate în anexa II.

Articolul 4

Cerințe generale

(1) Sistemele naționale de certificare prevăd cerințe funcționale, de securitate cibernetică și privind protecția datelor, utilizând, în cazul în care sunt disponibile și aplicabile, următoarele sisteme de certificare:

(a)	sistemele europene de certificare a securității cibernetice instituite în temeiul Regulamentului (UE) 2019/881, inclusiv EUCC;

(b)	sistemele naționale de certificare a securității cibernetice care fac obiectul EUCC, în conformitate cu articolul 49 din Regulamentul de punere în aplicare (UE) 2024/482.

(2) În plus, în cazul în care sunt disponibile și aplicabile, sistemele naționale de certificare pot face referire la:

(a)	alte sisteme naționale de certificare relevante;

(b)	standarde internaționale, europene și naționale;

(c)	specificații tehnice care respectă cerințele stabilite în anexa II la Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului (11).

(3) Sistemele naționale de certificare:

(a)	specifică elementele enumerate în secțiunea 6.5 din standardul EN ISO/IEC 17067:2013;

(b)	sunt implementate sub formă de sisteme de tip 6, în conformitate cu secțiunea 5.3.8 din standardul EN ISO/IEC 17067:2013.

(4) Sistemele naționale de certificare trebuie să respecte următoarele cerințe:

(a)	numai furnizorii menționați la articolul 5a alineatul (2) din Regulamentul (UE) nr. 910/2014 sunt eligibili pentru a li se emite certificate în cadrul sistemelor naționale de certificare;

(b)	numai marca de încredere se utilizează ca marcă de conformitate;

(c)	furnizorii de soluții pentru portofel și sistemul de identificare electronică în cadrul căruia sunt furnizate acestea includ trimiteri la Regulamentul (UE) nr. 910/2014 și la prezentul regulament atunci când se referă la sistem;

(d)

furnizorii de soluții pentru portofel și sistemul de identificare electronică în cadrul căruia sunt furnizate acestea completează evaluarea riscurilor efectuată de sistem, astfel cum se menționează la articolul 3 alineatul (5) litera (f), pentru a identifica riscurile și amenințările specifice implementării acestora și propun măsuri de gestionare adecvate pentru toate riscurile și amenințările relevante;

(e)	se stabilesc responsabilitățile și eventualele acțiuni în justiție și se includ trimiteri la legislația națională aplicabilă, care definește responsabilitățile și posibilele acțiuni în justiție în cazul în care certificarea în cadrul sistemului este utilizată în mod fraudulos.

(5) Evaluarea menționată la alineatul (4) litera (d) este comunicată organismului de certificare în vederea evaluării.

Articolul 5

Gestionarea incidentelor și a vulnerabilităților

(1) Sistemele naționale de certificare conțin cerințe privind gestionarea incidentelor și a vulnerabilităților în conformitate cu alineatele (2)-(9).

(2) Titularul certificatului de conformitate a unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta notifică organismului său de certificare, fără întârzieri nejustificate, orice încălcare sau compromitere a soluției pentru portofel sau a sistemului de identificare electronică în cadrul căruia este furnizată aceasta care este susceptibilă să îi afecteze capacitatea de a respecta cerințele sistemului național de certificare.

(3) Titularul unui certificat de conformitate instituie, menține și aplică o politică și proceduri de gestionare a vulnerabilităților, luând în considerare procedurile prevăzute în standardele europene și internaționale existente, inclusiv în standardul EN ISO/IEC 30111:2019.

(4) Titularul certificatului de conformitate notifică organismului de certificare emitent vulnerabilitățile și modificările care afectează soluția pentru portofel, pe baza unor criterii definite privind impactul acestor vulnerabilități și modificări.

(5) Titularul certificatului de conformitate întocmește un raport de analiză a impactului vulnerabilității pentru toate vulnerabilitățile care afectează componentele software ale soluției pentru portofel. Raportul conține următoarele informații:

(a)	impactul vulnerabilității asupra soluției pentru portofel certificate;

(b)	riscurile posibile asociate proximității sau posibilității unui atac;

(c)	dacă vulnerabilitatea poate fi remediată prin mijloace disponibile;

(d)	în cazul în care vulnerabilitatea poate fi remediată prin mijloace disponibile, modalitățile posibile de remediere a vulnerabilității.

(6) În cazul în care notificarea este cerută în temeiul alineatului (4), titularul certificatului de conformitate transmite raportul de analiză a impactului vulnerabilității organismului de certificare menționat la alineatul (5), fără întârzieri nejustificate.

(7) Titularul unui certificat de conformitate instituie, menține și aplică o politică de gestionare a vulnerabilităților care îndeplinește cerințele prevăzute în anexa I la Regulamentul privind reziliența cibernetică (12).

(8) Sistemele naționale de certificare stabilesc cerințe de divulgare a vulnerabilităților aplicabile organismelor de certificare.

(9) Titularul unui certificat de conformitate divulgă și înregistrează toate vulnerabilitățile cunoscute public și remediate în soluția pentru portofel sau într-unul dintre registrele online menționate în anexa V.

Articolul 6

Întreținerea sistemelor naționale de certificare

(1) Sistemele naționale de certificare conțin un proces de revizuire periodică a funcționării lor. Acest proces are drept scop să confirme caracterul adecvat al acestora și să identifice aspectele care necesită îmbunătățiri, ținând seama de feedbackul părților interesate.

(2) Sistemele naționale de certificare includ dispoziții privind întreținerea acestora. Acest proces include cel puțin următoarele cerințe:

(a)	norme privind guvernanța definiției și a cerințelor sistemelor naționale de certificare;

(b)	stabilirea unor termene pentru emiterea certificatelor în urma adoptării versiunilor actualizate ale sistemelor naționale de certificare, atât pentru noile certificate de conformitate, cât și pentru cele emise anterior;

(c)

o revizuire periodică a sistemelor naționale de certificare, pentru a se asigura faptul că cerințele sistemelor naționale de certificare sunt aplicate în mod consecvent, ținând seama cel puțin de următoarele aspecte:

—	cererile de clarificare adresate proprietarului de sistem în legătură cu cerințele sistemului național de certificare;

—	feedbackul de la actorii afectați și alte părți interesate;

—	capacitatea de reacție a proprietarului de sistem național de certificare la solicitările de informații;

(d)	normele pentru monitorizarea documentelor de referință și a procedurilor pentru evoluția versiunilor de referință ale sistemelor naționale de certificare, care să includă cel puțin perioadele de tranziție;

(e)	un proces menit să asigure faptul că sunt acoperite cele mai recente riscuri și amenințări în materie de securitate cibernetică, astfel cum sunt enumerate în registrul riscurilor prevăzut în anexa I la prezentul regulament;

(f)	un proces pentru gestionarea altor modificări ale sistemelor naționale de certificare.

(3) Sistemele naționale de certificare cuprind cerințe pentru efectuarea de evaluări ale unor produse actual certificate, într-un anumit termen de la revizuirea sistemului sau după emiterea unor noi specificații sau standarde ori a unor versiuni noi ale acestora, pe care soluția pentru portofel și sistemul de identificare electronică în cadrul căruia este furnizată aceasta trebuie să le respecte.

CAPITOLUL III

CERINȚE REFERITOARE LA PROPRIETARII DE SISTEM

Articolul 7

Cerințe generale

(1) Proprietarii de sistem dezvoltă și întrețin sisteme naționale de certificare și reglementează operațiunile acestora.

(2) Proprietarii de sistem își pot subcontracta integral sau parțial sarcinile unui terț. În cazul subcontractării sarcinilor unei părți private, proprietarii de sistem stabilesc obligațiile și responsabilitățile tuturor părților prin contract. Proprietarii de sistem rămân responsabili pentru toate activitățile subcontractate desfășurate de subcontractanții lor.

(3) Proprietarii de sistem își desfășoară activitățile de monitorizare, după caz, cel puțin pe baza următoarelor informații:

(a)	informații provenind de la organismele de certificare, organismele naționale de acreditare și autoritățile relevante de supraveghere a pieței;

(b)	informații rezultate din auditurile și investigațiile proprii sau ale unei alte autorități;

(c)	plângeri și contestații primite în temeiul articolului 15.

(4) Proprietarii de sistem informează Grupul de cooperare cu privire la revizuirile sistemelor naționale de certificare. În notificarea respectivă se furnizează informații adecvate pentru ca Grupul de cooperare să emită recomandări adresate proprietarilor de sistem și avize privind sistemele naționale de certificare actualizate.

CAPITOLUL IV

CERINȚE REFERITOARE LA FURNIZORII DE SOLUȚII PENTRU PORTOFEL ȘI LA SISTEMUL DE IDENTIFICARE ELECTRONICĂ ÎN CADRUL CĂRUIA SUNT FURNIZATE ACESTEA

Articolul 8

Cerințe generale

(1) Sistemele naționale de certificare conțin cerințe de securitate cibernetică bazate pe o evaluare a riscurilor pentru fiecare arhitectură specifică suportată. Aceste cerințe de securitate cibernetică vizează gestionarea riscurilor și amenințărilor identificate în materie de securitate cibernetică, astfel cum sunt menționate în registrul riscurilor prevăzut în anexa I.

(2) În conformitate cu articolul 5a alineatul (23) din Regulamentul (UE) nr. 910/2014, sistemele naționale de certificare impun ca soluțiile pentru portofel și sistemele de identificare electronică în cadrul cărora sunt furnizate acestea să fie rezistente împotriva atacatorilor cu potențial ridicat de atac pentru asigurarea unui nivel de asigurare ridicat, astfel cum se menționează în Regulamentul de punere în aplicare (UE) 2015/1502.

(3) Sistemele naționale de certificare stabilesc criterii de securitate, care includ următoarele cerințe:

(a)	Regulamentul privind reziliența cibernetică, după caz, sau cerințe care îndeplinesc obiectivele de securitate prevăzute la articolul 51 din Regulamentul (UE) 2019/881;

(b)	instituirea și punerea în aplicare a unor politici și proceduri privind gestionarea riscurilor asociate operării unei soluții pentru portofel, inclusiv identificarea și evaluarea riscurilor și atenuarea riscurilor identificate;

(c)	instituirea și punerea în aplicare a unor politici și proceduri legate de gestionarea modificărilor și de gestionarea vulnerabilităților în conformitate cu articolul 5 din prezentul regulament;

(d)	instituirea și punerea în aplicare a unor politici și proceduri de gestionare a resurselor umane, inclusiv cerințe privind expertiza, fiabilitatea, experiența, formarea în domeniul securității și calificările personalului implicat în dezvoltarea sau operarea soluției pentru portofel;

(e)

cerințe referitoare la mediul de operare al soluției pentru portofel, inclusiv sub formă de ipoteze privind securitatea dispozitivelor și a platformelor pe care funcționează componentele software ale soluției pentru portofel, inclusiv WSCD și, după caz și dacă este relevant, cerințe de evaluare a conformității pentru a confirma că ipotezele respective sunt verificate pe dispozitivele și platformele relevante;

(f)

pentru fiecare ipoteză care nu este susținută de un certificat de conformitate sau de alte informații privind asigurarea încrederii acceptabile, o descriere a mecanismului pe care furnizorul de portofel îl utilizează pentru a asigura îndeplinirea ipotezei, precum și o justificare potrivit căreia mecanismul este suficient pentru a asigura verificarea ipotezei;

(g)	instituirea și punerea în aplicare a unor măsuri menite să asigure că se utilizează o versiune actual certificată a soluției pentru portofel.

(4) Sistemele naționale de certificare prevăd cerințe funcționale privind mecanismele de actualizare pentru fiecare componentă software a soluției pentru portofel și pentru sistemul de identificare electronică în cadrul căruia este furnizată aceasta pentru operațiunile enumerate în anexa III.

(5) Sistemele naționale de certificare prevăd obligația ca următoarele informații și documente să fie furnizate sau puse în alt mod la dispoziția organismului de certificare de către solicitantul certificării:

(a)

dovezi referitoare la informațiile menționate în anexa IV punctul 1, printre care, dacă este necesar, detalii privind soluția pentru portofel și codul său sursă, inclusiv:

—	informații privind arhitectura: pentru fiecare componentă a soluției pentru portofel (inclusiv componentele produsului, procesului și serviciului), o descriere a proprietăților sale de securitate esențiale, inclusiv a dependențelor sale externe;

—

controale și niveluri de asigurare: pentru fiecare control de securitate al soluției pentru portofel, o descriere a controlului și a nivelului de asigurare necesar, pe baza anexei la Regulamentul de punere în aplicare (UE) 2015/1502, care prevede o serie de specificații tehnice și proceduri care se aplică diferitelor controale realizate prin mijloacele de identificare electronică;

—

cartografierea prin corelarea controalelor cu componentele arhitecturii: o descriere a modului în care sunt realizate controalele portofelului utilizând diferitele componente ale soluției pentru portofel, pe baza unei justificări care explică de ce este necesar un anumit nivel de asigurare, precum și a modului în care controlul este realizat la nivelul corespunzător al tuturor aspectelor de securitate necesare;

—

explicarea și justificarea acoperirii riscurilor: o justificare a:

—	cartografierii prin corelarea controalelor cu componentele;

—	caracterului adecvat al planului de evaluare propus pentru a acoperi în mod corespunzător toate controalele;

—	acoperirii asigurate de controalele riscurilor și amenințărilor în materie de securitate cibernetică identificate în registrul riscurilor, completată de controale ale riscurilor și amenințărilor specifice implementării, la nivelul de asigurare adecvat;

(b)	informațiile enumerate în anexa V;

(c)	o listă completă a certificatelor de conformitate și a altor informații privind asigurarea încrederii utilizate ca dovezi în cursul activităților de evaluare;

(d)	orice alte informații relevante pentru activitățile de evaluare.

CAPITOLUL V

CERINȚE REFERITOARE LA ORGANISMELE DE CERTIFICARE

Articolul 9

Cerințe generale

(1) Organismele de certificare sunt acreditate de organismele naționale de acreditare desemnate în temeiul Regulamentului (CE) nr. 765/2008 al Parlamentului European și al Consiliului (13) în conformitate cu standardul EN ISO/IEC 17065:2012, cu condiția să respecte cerințele prevăzute în sistemele naționale de certificare în conformitate cu alineatul (2).

(2) În scopul acreditării, organismele de certificare trebuie să respecte toate cerințele următoare în materie de competență:

(a)	cunoștințe detaliate și tehnice privind arhitecturile relevante ale unei soluții pentru portofel și ale sistemului de identificare electronică în cadrul căruia este furnizată aceasta, precum și privind amenințările și riscurile relevante pentru arhitecturile respective;

(b)	cunoașterea soluțiilor de securitate disponibile și a proprietăților acestora în conformitate cu anexa la Regulamentul de punere în aplicare (UE) 2015/1502;

(c)	cunoașterea activităților desfășurate în temeiul certificatelor de conformitate aplicate componentelor soluției pentru portofel și sistemului de identificare electronică în cadrul căruia este furnizată aceasta, ca făcând obiectul certificării;

(d)	cunoștințe detaliate privind sistemul național de certificare aplicabil instituit în conformitate cu capitolul II.

(3) Organismele de certificare își desfășoară activitățile de supraveghere în special pe baza următoarelor informații:

(a)	informații provenind de la organismele naționale de acreditare și de la autoritățile relevante de supraveghere a pieței;

(b)	informații rezultate din auditurile și investigațiile proprii sau ale unei alte autorități;

(c)	plângeri și contestații primite în temeiul articolului 15.

Articolul 10

Subcontractarea

Organismele de certificare pot subcontracta activitățile de evaluare unor terți, astfel cum se prevede la articolul 13. În cazul în care activitățile de evaluare sunt subcontractate, sistemele naționale de certificare stabilesc următoarele:

toți subcontractanții organismului de certificare care desfășoară activități de evaluare îndeplinesc, după caz și în funcție de activitățile care urmează să fie desfășurate, cerințele standardelor armonizate precum EN ISO/IEC 17025:2017 pentru testare, EN ISO/IEC 17020:2012 pentru inspecție, EN ISO/IEC 17021-1:2015 pentru audit și EN ISO/IEC 17029: 2019 pentru validare și verificare;

2.	organismele de certificare își asumă responsabilitatea pentru toate activitățile de evaluare externalizate altor organisme și demonstrează că au luat măsuri adecvate în cursul acreditării acestora, inclusiv bazându-se pe propria acreditare a subcontractanților lor, după caz;

3.	în ce măsură este necesar un acord prealabil cu privire la externalizare de la proprietarii de sistem sau de la clientul a cărui soluție pentru portofel este certificată în cadrul sistemului de certificare.

Articolul 11

Notificarea organismului de supraveghere

Organismele de certificare notifică organismului de supraveghere menționat la articolul 46a alineatul (1) din Regulamentul (UE) nr. 910/2014 emiterea, suspendarea și anularea certificatelor de conformitate ale unei soluții pentru portofel și ale sistemului de identificare electronică în cadrul căruia este furnizată aceasta.

Articolul 12

Gestionarea incidentelor și a vulnerabilităților

(1) Organismele de certificare suspendă, fără întârzieri nejustificate, certificatul de conformitate al unei soluții pentru portofel și al sistemului de identificare electronică în cadrul căruia este furnizată aceasta după ce confirmă că încălcarea sau compromiterea notificată a securității are un impact asupra conformității cu cerințele sistemelor naționale de certificare a soluției pentru portofel sau a sistemului de identificare electronică în cadrul căruia este furnizată aceasta.

(2) Organismele de certificare anulează certificatul de conformitate care a fost suspendat în urma unei încălcări sau a unei compromiteri a securității care nu a fost remediată în timp util.

(3) Organismele de certificare anulează certificatele de conformitate în cazul în care o vulnerabilitate identificată nu a fost remediată proporțional cu gravitatea și impactul său potențial în timp util, în conformitate cu articolul 5c alineatul (4) și cu articolul 5e alineatul (2) din Regulamentul (UE) nr. 910/2014.

CAPITOLUL VI

ACTIVITĂȚI DE EVALUARE A CONFORMITĂȚII

Articolul 13

Activități de evaluare

(1) Sistemele naționale de certificare conțin metode și proceduri care trebuie utilizate de organismele de evaluare a conformității atunci când își desfășoară activitățile de evaluare în conformitate cu standardul EN ISO/IEC 17065:2012, care acoperă cel puțin următoarele aspecte:

(a)	metodele și procedurile de desfășurare a activităților de evaluare, inclusiv a celor legate de WSCD, astfel cum sunt prevăzute în anexa IV;

(b)	auditul implementării soluției pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta, pe baza registrului riscurilor prevăzut în anexa I și completat, dacă este necesar, cu riscuri specifice implementării;

(c)	activități de testare funcțională, bazate, atunci când sunt disponibile și adecvate, pe serii de teste definite în conformitate cu specificațiile sau standardele tehnice;

(d)	evaluarea existenței și a caracterului adecvat al proceselor de întreținere, inclusiv cel puțin gestionarea versiunilor, gestionarea actualizărilor și gestionarea vulnerabilităților;

(e)	evaluarea eficacității operaționale a proceselor de întreținere, inclusiv cel puțin gestionarea versiunilor, gestionarea actualizărilor și gestionarea vulnerabilităților;

(f)	analiza dependenței transmisă de furnizorul de portofel, inclusiv o metodologie de evaluare a acceptabilității informațiilor privind asigurarea încrederii, care include elementele prevăzute în anexa VI;

(g)

evaluarea vulnerabilității, la nivelul corespunzător, inclusiv:

—	o revizuire a proiectării soluției pentru portofel și, după caz, a codului său sursă;

—	testarea rezistenței soluției pentru portofel împotriva atacatorilor cu potențial ridicat de atac pentru nivelul de asigurare „ridicat” în temeiul secțiunii 2.2.1 din anexa la Regulamentul de punere în aplicare (UE) 2015/1502;

(h)	evaluarea evoluțiilor din mediul de amenințări și a impactului acestora asupra acoperirii riscurilor de către soluția pentru portofel, pentru a stabili ce activități de evaluare sunt necesare pentru diferitele componente ale soluției pentru portofel.

(2) Sistemele naționale de certificare trebuie să prevadă o evaluare pentru a stabili dacă implementarea soluțiilor pentru portofel și a sistemului de identificare electronică în cadrul căruia sunt furnizate aceste soluții pentru portofel corespund arhitecturii prevăzute la articolul 3 alineatul (5) litera (a), precum și o evaluare menită să stabilească dacă planul de evaluare propus împreună cu implementarea corespunde planului de evaluare menționat la articolul 3 alineatul (5) litera (c).

(3) Sistemele naționale de certificare stabilesc norme de eșantionare pentru a evita repetarea unor activități de evaluare identice și pentru a se concentra asupra activităților specifice unei anumite variante. Aceste norme de eșantionare permit efectuarea de teste funcționale și teste de securitate numai pe un eșantion de variante ale unei componente-țintă a unei soluții pentru portofel și ale sistemului de identificare electronică în cadrul căruia este furnizată aceasta și pe un eșantion de dispozitive-țintă. Sistemele naționale de certificare prevăd că toate organismele de certificare au obligația de a justifica utilizarea eșantionării.

(4) Sistemele naționale de certificare trebuie să impună evaluarea de către organismul de certificare a WSCA pe baza metodelor și procedurilor prevăzute în anexa IV.

Articolul 14

Activitățile de certificare

(1) Sistemele naționale de certificare instituie o activitate de atestare în scopul emiterii unui certificat de conformitate, în conformitate cu secțiunea V litera (a) a standardului EN ISO/IEC 17067:2013, Tabelul 1, incluzând următoarele aspecte:

(a)	conținutul certificatului de conformitate, astfel cum este prevăzut în anexa VII;

(b)	modul în care rezultatele evaluării trebuie prezentate în raportul public de certificare, incluzând cel puțin un rezumat al planului preliminar de audit și de validare, astfel cum se prevede în anexa VIII;

(c)	conținutul rezultatelor evaluării prezentate în raportul de evaluare a certificării, inclusiv elementele prevăzute în anexa VIII.

(2) Raportul de evaluare a certificării ar trebui să fie pus la dispoziția Grupului de cooperare și a Comisiei.

Articolul 15

Plângeri și contestații

Sistemele naționale de certificare cuprind proceduri sau trimiteri la legislația națională aplicabilă care definesc mecanismul de depunere și tratare în mod eficace a plângerilor și a contestațiilor legate de modul în care implementează sistemul de certificare sau legate de un certificat de conformitate emis. Aceste proceduri includ informarea reclamantului cu privire la evoluția procedurilor și la decizia luată, precum și informarea reclamantului cu privire la dreptul la o cale de atac eficientă. Sistemele naționale de certificare impun obligația ca toate plângerile și contestațiile care nu au fost soluționate sau care nu pot fi soluționate de organismul de certificare să fie trimise proprietarului de sistem spre evaluare și soluționare.

Articolul 16

Activități de supraveghere

(1) Sistemele naționale de certificare impun organismelor de certificare să desfășoare activități de supraveghere constând în evaluarea supravegherii proceselor, în combinație cu teste sau inspecții aleatorii.

(2) Sistemele naționale de certificare conțin cerințe pentru proprietarii de sistem de a monitoriza respectarea de către organismele de certificare a obligațiilor care le revin în temeiul Regulamentului (UE) nr. 910/2014 și în temeiul sistemelor naționale de certificare, după caz.

(3) Sistemele naționale de certificare conțin cerințe pentru organismele de certificare de a monitoriza următoarele aspecte:

(a)	respectarea de către titularii unui certificat de conformitate emis în cadrul sistemelor naționale de certificare a obligațiilor care le revin în ceea ce privește certificarea în temeiul Regulamentului (UE) nr. 910/2014 și în temeiul sistemelor naționale de certificare;

(b)	respectarea de către soluția pentru portofel certificată a cerințelor prevăzute de sistemele naționale de certificare.

Articolul 17

Consecințele nerespectării

Sistemele naționale de certificare stabilesc consecințele nerespectării de către soluțiile pentru portofel certificate și sistemul de identificare electronică în cadrul căruia sunt furnizate acestea a cerințelor prevăzute în prezentul regulament. Aceste consecințe includ următoarele aspecte:

1.	obligația organismului de certificare de a informa titularul certificatului de conformitate și de a solicita titularului certificatului de conformitate să aplice măsuri de remediere;

2.	obligația organismului de certificare de a informa alte autorități relevante de supraveghere a pieței în cazul în care nerespectarea se referă la legislația relevantă a Uniunii;

3.	condițiile de desfășurare a acțiunilor de remediere de către titularul certificatului de conformitate;

4.	condițiile pentru suspendarea unui certificat de conformitate de către organismul de certificare și pentru restabilirea certificatului de conformitate după remedierea nerespectării;

5.	condițiile de anulare a unui certificat de conformitate de către organismul de certificare;

6.	consecințele nerespectării de către organismul de certificare a cerințelor sistemului național de certificare.

CAPITOLUL VII

CICLUL DE VIAȚĂ AL CERTIFICĂRII

Articolul 18

Ciclul de viață al certificării

(1) Validarea certificatelor de conformitate emise în cadrul sistemelor naționale de certificare face obiectul unor activități de evaluare periodice de către organismul de certificare, desfășurate în conformitate cu cerințele prevăzute în anexa IX.

(2) Sistemele naționale de certificare prevăd un proces de recertificare a unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta, la cererea titularului certificatului de conformitate depusă înainte de expirarea certificatului de conformitate inițial. Acest proces de recertificare include o evaluare completă a soluției pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta, inclusiv o evaluare a vulnerabilității, în conformitate cu principiile stabilite în anexa IX.

(3) Sistemele naționale de certificare prevăd un proces pentru gestionarea modificărilor unei soluții pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta. Acest proces include norme care stabilesc dacă o modificare trebuie să facă obiectul unei evaluări speciale, astfel cum se menționează la alineatul (4), sau al verificării eficacității operaționale a proceselor de întreținere, astfel cum se menționează în anexa IV.

(4) Sistemele naționale de certificare prevăd un proces de evaluare specială în conformitate cu standardul EN ISO/IEC 17065:2012. Acest proces pentru evaluările speciale include o gamă de activități care trebuie desfășurate pentru a aborda problema specifică în urma căreia s-a inițiat evaluarea specială.

(5) Sistemele naționale de certificare stabilesc norme privind anularea unui certificat de conformitate.

CAPITOLUL VIII

PĂSTRAREA EVIDENȚELOR ȘI PROTECȚIA INFORMAȚIILOR

Articolul 19

Păstrarea evidențelor

(1) Sistemele naționale de certificare stabilesc cerințe pentru organismele de certificare privind un sistem de evidențe pentru toate informațiile relevante produse în legătură cu activitățile de evaluare a conformității pe care le desfășoară, inclusiv date trimise și primite de furnizorii de soluții pentru portofel și de sistemele de identificare electronică în cadrul cărora sunt furnizate acestea. Evidențele acestor informații se stochează în mod securizat. Evidențele pot fi păstrate în format electronic și rămân accesibile atât timp cât se prevede în dreptul Uniunii sau în dreptul intern și timp de cel puțin cinci ani după anularea sau expirarea certificatului de conformitate relevant.

(2) Sistemele naționale de certificare stabilesc cerințe pentru titularul certificatului de conformitate de a stoca următoarele informații într-o manieră securizată în sensul prezentului regulament și timp de cel puțin cinci ani de la anularea sau expirarea certificatului de conformitate relevant:

(a)	evidențele informațiilor furnizate organismului de certificare sau oricăruia dintre subcontractanții săi în cursul procesului de certificare;

(b)	specimene ale componentelor hardware care au fost incluse în domeniul de aplicare al certificării soluției pentru portofel.

(3) Sistemele naționale de certificare impun titularului certificatului de conformitate să pună informațiile menționate la alineatul (1), la cerere, la dispoziția organismului de certificare sau a organismului de supraveghere menționat la articolul 46a alineatul (1) din Regulamentul (UE) nr. 910/2014.

Articolul 20

Protecția informațiilor

În cadrul sistemelor naționale de certificare, toate persoanele sau organizațiile cărora li se acordă acces la informații cu ocazia executării activităților din cadrul sistemului național de certificare au obligația de a asigura securitatea și protecția secretelor comerciale și a altor informații confidențiale, precum și de a proteja drepturile de proprietate intelectuală și de a lua măsurile tehnice și organizatorice necesare și adecvate pentru a asigura această confidențialitate.

CAPITOLUL IX

DISPOZIȚII FINALE

Articolul 21

Tranziția la un sistem european de certificare a securității cibernetice

Prezentul regulament face obiectul unei revizuiri la adoptarea primului sistem european de certificare a securității cibernetice a soluției pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta, cu obiectivul de a ține seama de contribuția unui astfel de sistem european de certificare a securității cibernetice la certificarea globală a soluțiilor pentru portofel și a sistemelor de identificare electronică în cadrul cărora sunt furnizate acestea.

Articolul 22

Intrarea în vigoare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.

Adoptat la Bruxelles, 28 noiembrie 2024.

Pentru Comisie

Președinta

Ursula VON DER LEYEN

(1) JO L 257, 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.

(2) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(3) Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO L 201, 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).

(4) JO L 210, 14.6.2021, p. 51, ELI: http://data.europa.eu/eli/reco/2021/946/oj.

(5) Regulamentul (UE) 2024/1183 al Parlamentului European și al Consiliului din 11 aprilie 2024 de modificare a Regulamentului (UE) nr. 910/2014 în ceea ce privește instituirea cadrului european pentru identitatea digitală (JO L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).

(6) Regulamentul (UE) 2019/881 al Parlamentului European și al Consiliului din 17 aprilie 2019 privind ENISA (Agenția Uniunii Europene pentru Securitate Cibernetică) și privind certificarea securității cibernetice pentru tehnologia informației și comunicațiilor și de abrogare a Regulamentului (UE) nr. 526/2013 (Regulamentul privind securitatea cibernetică) (JO L 151, 7.6.2019, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(7) Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (JO L 235, 9.9.2015, p. 7, ELI: http://data.europa.eu/eli/reg_impl/2015/1502/oj).

(8) Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei din 31 ianuarie 2024 de stabilire a normelor de aplicare a Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului în ceea ce privește adoptarea sistemului european de certificare a securității cibernetice bazat pe criterii comune (EUCC) (JO L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg/2024/482/oj).

(9) Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(10) Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de modificare a Regulamentului (UE) nr. 910/2014 și a Directivei (UE) 2018/1972 și de abrogare a Directivei (UE) 2016/1148 (Directiva NIS 2) (JO L 333, 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(11) Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului din 25 octombrie 2012 privind standardizarea europeană, de modificare a Directivelor 89/686/CEE și 93/15/CEE ale Consiliului și a Directivelor 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE și 2009/105/CE ale Parlamentului European și ale Consiliului și de abrogare a Deciziei 87/95/CEE a Consiliului și a Deciziei nr. 1673/2006/CE a Parlamentului European și a Consiliului (JO L 316, 14.11.2012, p. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(12) Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 (Regulamentul privind reziliența cibernetică) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(13) Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului din 9 iulie 2008 de stabilire a cerințelor de acreditare și de supraveghere a pieței în ceea ce privește comercializarea produselor și de abrogare a Regulamentului (CEE) nr. 339/93 (JO L 218, 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

ANEXA I

REGISTRUL RISCURILOR LA CARE SUNT EXPUSE PORTOFELELE EUROPENE PENTRU IDENTITATEA DIGITALĂ

Introducere

Registrul riscurilor descrie principalele riscuri și amenințări la adresa securității și a vieții private care se aplică în cazul portofelelor și care trebuie abordate în mod corespunzător în fiecare arhitectură și măsură de implementare a portofelelor. Riscurile de nivel ridicat (secțiunea I) sunt legate de utilizarea portofelelor de către utilizatori și beneficiari și sunt asociate cu amenințări directe care vizează activele din portofele. În plus, sunt identificate câteva riscuri la nivel de sistem (secțiunea II) pentru portofele, care ar fi ocazionate, de regulă, de un cumul de amenințări la adresa întregului sistem de portofel.

Tipul de risc	Identificatorul riscului	Titlurile riscurilor conexe
Riscuri de nivel ridicat la adresa portofelelor	R1	Crearea sau utilizarea unei identități electronice existente
	R2	Crearea sau utilizarea unei identități electronice false
	R3	Crearea sau utilizarea de atribute false
	R4	Furt de identitate
	R5	Furt de date
	R6	Divulgare de date
	R7	Manipularea datelor
	R8	Pierdere de date
	R9	Tranzacție neautorizată
	R10	Manipularea tranzacțiilor
	R11	Repudiere
	R12	Divulgare de date referitoare la tranzacții
	R13	Perturbarea serviciului
	R14	Supraveghere
Riscuri legate de sistem	SR1	Supraveghere nediferențiată
	SR2	Prejudicierea reputației
	SR3	Neconformitate juridică

Registrul identifică și amenințări tehnice (secțiunea III) la adresa implementării soluției pentru portofel. Aceste amenințări sunt legate de riscurile de nivel ridicat, în sensul că fiecare dintre ele ar putea fi utilizată pentru a genera numeroase riscuri de nivel ridicat.

Tipul de amenințare

Identificatorul amenințării

Titlurile amenințărilor conexe

Subcategorii de amenințări

Amenințare tehnică

TT1

Atacuri fizice

1.1.

Furt

1.2.	Scurgeri de informații

1.3.	Manipulare frauduloasă

TT2

Erori și configurări greșite

2.1.	Erori comise în cursul gestionării unui sistem informatic

2.2.	Erori la nivel de aplicație sau erori de utilizare

2.3.	Erori produse în procesul de dezvoltare și configurări de sistem greșite

TT3

Utilizarea de resurse nefiabile

3.1.	Utilizarea eronată sau configurarea eronată a componentelor portofelului

TT4

Defecțiuni și situații de indisponibilitate a serviciului

4.1.	Defecțiuni sau disfuncționalități ale echipamentelor, dispozitivelor sau sistemelor

4.2.	Pierdere de resurse

4.3.	Pierdere a serviciilor de asistență

TT5

Acțiuni rău-intenționate

5.1.	Interceptare de informații

5.2.	Phishing și spoofing

5.3.	Reluarea mesajelor

5.4.	Atac prin forță brută

5.5.	Vulnerabilități la nivel de software

5.6.	Atacuri prin intermediul lanțului de aprovizionare

5.7.

Malware

5.8.	Predicție de numere aleatorii

În ultimul rând, registrul enumeră amenințările directe la adresa portofelelor, iar fiecare dintre aceste amenințări este asociată cu un set (neexhaustiv) de riscuri (secțiunea IV).

SECȚIUNEA I

Riscuri de nivel ridicat la adresa portofelelor

R1. Crearea sau utilizarea unei identități electronice existente

Crearea sau utilizarea unei identități electronice existente este definită drept crearea unei identități electronice într-un portofel care există în realitate și care este atribuit unui alt utilizator. În esență, acest risc creează riscuri de furt de identitate (R4) și de tranzacții neautorizate (R9).

R2. Crearea sau utilizarea unei identități electronice false

Crearea sau utilizarea unei identități electronice false este definită drept crearea unei identități electronice într-un portofel care nu există în realitate.

R3. Crearea sau utilizarea de atribute false

Crearea sau utilizarea de atribute false este definită drept crearea sau utilizarea de atribute care nu pot fi validate pentru a fi emise de către pretinsul furnizor și care nu pot prezenta încredere.

R4. Furt de identitate

Furtul de identitate este definit drept dobândirea neautorizată a unității de portofel sau pierderea unor factori de autentificare, ceea ce face posibilă asumarea identității unei alte persoane.

R5. Furt de date

Furtul de date este definit drept extragerea neautorizată de date. Furtul de date este asociat la rândul său cu amenințări, precum interceptarea datelor (captarea neautorizată a datelor în tranzit) și decriptarea datelor (decodarea neautorizată a datelor criptate), care ar putea conduce, în unele cazuri, la divulgarea de date (R6).

R6. Divulgare de date

Divulgarea de date este definită ca divulgarea datelor cu caracter personal către un destinatar neautorizat, inclusiv a unor categorii speciale de date cu caracter personal. Riscul de încălcare a vieții private este foarte similar dacă este privit mai mult din punctul de vedere al vieții private decât al securității.

R7. Manipularea datelor

Manipularea datelor este definită drept modificarea neautorizată a datelor.

R8. Pierdere de date

Pierderea de date este definită drept situația în care datele stocate în portofel sunt pierdute prin utilizare frauduloasă sau prin acțiuni rău-intenționate. Deseori, acesta este un risc secundar riscului de manipulare a datelor (R7) sau de perturbare a serviciului (R13) și descrie o situație în care o parte din date sau datele în totalitatea lor nu mai pot fi restabilite.

R9. Tranzacție neautorizată

Tranzacțiile neautorizate sunt definite drept activități operaționale desfășurate fără ca utilizatorul portofelului să-și fi dat acordul pentru acestea sau fără să aibă cunoștință de acestea. În numeroase cazuri, o tranzacție neautorizată poate conduce la riscul de furt de identitate (R4) sau de divulgare de date (R6). Există o legătură și cu tranzacțiile neautorizate, cum ar fi utilizarea abuzivă a cheilor criptografice.

R10. Manipularea tranzacțiilor

Manipularea tranzacțiilor este definită drept modificarea neautorizată a operațiunilor în portofel. Manipularea tranzacțiilor este un atac la adresa integrității și are legătură cu o încălcare a integrității datelor.

R11. Repudiere

Repudierea este definită drept situația în care o parte interesată poate nega că a întreprins o acțiune sau a participat la o tranzacție, iar alte părți interesate nu dispun de dovezi adecvate pentru a o contrazice.

R12. Divulgare de date referitoare la tranzacții

Divulgarea de date referitoare la tranzacții este definită drept divulgarea de informații referitoare la o tranzacție între părțile interesate.

R13. Perturbarea serviciului

Perturbarea serviciului este definită drept o întrerupere sau o degradare a funcționării normale a portofelului. Un anumit tip de perturbare a serviciului este blocarea utilizatorului, definită ca incapacitatea unui utilizator de a accede la contul sau portofelul propriu.

R14. Supraveghere

Supravegherea sau monitorizarea este definită drept urmărirea sau observarea neautorizată a activităților, a comunicațiilor sau a datelor unui utilizator al portofelului. Supravegherea este adesea legată de inferență, care este definită drept deducerea de informații sensibile sau cu caracter personal din date aparent inofensive.

SECȚIUNEA II

Riscuri legate de sistem

Aceste riscuri nu sunt utilizate în lista amenințărilor, deoarece sunt, de regulă, consecința unor amenințări multiple, repetate într-un mod care amenință întregul sistem.

SR1. Supraveghere nediferențiată

Supravegherea nediferențiată este definită drept urmărirea sau observarea activităților unui număr mare de utilizatori prin intermediul comunicațiilor sau al datelor din portofelul lor. Deseori, supravegherea nediferențiată este asociată cu riscul de supraveghere (R14) și inferența la scară globală, care descriu o situație în care informații referitoare la un număr mare de utilizatori sunt combinate pentru a deduce date sensibile sau cu caracter personal despre utilizatori sau pentru a identifica tendințe statistice care pot fi utilizate pentru a pregăti noi atacuri.

SR2. Prejudicierea reputației

Prejudicierea reputației este definită drept atingerea adusă reputației unei organizații sau a unui organism guvernamental. Prejudicierea reputației rezultă și din alte riscuri atunci când o încălcare sau un incident este relatat de mass-media și prezintă organizația într-o lumină negativă. Prejudicierea reputației poate ocaziona și alte riscuri, cum ar fi pierderea încrederii ca urmare a îndoielilor rezonabile ale utilizatorului și pierderea ecosistemului, atunci când se prăbușește întregul ecosistem.

SR3. Neconformitate juridică

Neconformitatea juridică este definită drept situația în care nu pot fi respectate acte cu putere de lege, norme administrative sau standarde relevante. În contextul portofelului, întrucât securitatea și protejarea vieții private în cadrul soluției constituie cerințe legale, toate amenințările ar putea conduce la o anumită formă de neconformitate juridică.

SECȚIUNEA III

Amenințări tehnice

Nu toate amenințările tehnice sunt legate de riscuri specifice la care sunt expuse portofelele, deoarece multe dintre acestea sunt mijloace care ar putea fi utilizate pentru a lansa atacuri care corespund mai multor riscuri diferite.

TT1. Atacuri fizice

1.1. Furt

Furtul este definit drept furtul de dispozitive, care ar putea perturba buna funcționare a portofelului (în cazul în care dispozitivul este furat, iar unitatea de portofel nu este protejată în mod corespunzător). Acesta poate genera numeroase riscuri, inclusiv furtul de identitate (R4), furtul de date (R5) și tranzacțiile neautorizate (R9).

1.2. Scurgeri de informații

Scurgerile de informații sunt definite drept acces neautorizat la informații, divulgarea de informații către un destinatar neautorizat sau partajarea neautorizată de informații după accesul fizic la portofel. Consecința poate fi în special divulgarea de date (R6) sau furtul de date (R5).

1.3. Manipularea frauduloasă

Manipularea frauduloasă este definită ca o încălcare a integrității uneia sau mai multor componente ale unității de portofel sau a componentelor pe care se bazează unitatea de portofel, de exemplu, dispozitivul utilizatorului sau sistemul de operare al acestui dispozitiv. Consecința poate fi în special manipularea datelor (R7), pierderea de date (R8) și manipularea tranzacțiilor (R10). Atunci când manipularea frauduloasă vizează componente software, aceasta poate conduce la numeroase riscuri.

TT2. Erori și configurări greșite

2.1. Erori comise în cursul gestionării unui sistem informatic

Erorile comise în cursul gestionării unui sistem informatic sunt definite drept scurgeri de informații, partajare de informații sau prejudicii cauzate de utilizarea abuzivă a activelor informatice de către utilizatori (insuficienta informare cu privire la caracteristicile aplicației) sau de configurarea sau gestionarea necorespunzătoare a activelor informatice.

2.2. Erori la nivel de aplicație sau erori de utilizare

Erorile la nivel de aplicație sau erorile de utilizare sunt definite drept disfuncționalități ale aplicației cauzate de o eroare survenită în aplicația propriu-zisă sau de o eroare comisă de unul dintre utilizatori (utilizatorii portofelului și beneficiarii).

2.3. Erori produse în procesul de dezvoltare și configurări de sistem greșite

Erorile produse în procesul de dezvoltare și configurările de sistem greșite sunt definite drept disfuncționalități sau vulnerabilități cauzate de active informatice sau procese operaționale care au fost dezvoltate sau configurate în mod necorespunzător (specificații inadecvate ale produselor informatice, utilizabilitate inadecvată, interfețe nesecurizate, fluxuri necorespunzătoare de politici și proceduri, erori de proiectare).

TT3. Utilizarea de resurse nefiabile

Utilizarea de resurse nefiabile este definită drept o activitate care cauzează prejudicii neintenționate ca urmare a unor relații de încredere incorect definite, cum ar fi acordarea de încredere unui furnizor terț fără un grad de asigurare suficient de ridicat.

3.1. Utilizarea eronată sau configurarea greșită a componentelor portofelului

O utilizare sau o configurare greșită a componentelor portofelului este definită drept aducerea unor prejudicii neintenționate componentelor portofelului din cauza unei utilizări greșite sau a unei configurări greșite de către utilizatorii portofelului sau de către dezvoltatori insuficient de bine pregătiți sau din cauza neadaptării la schimbările din situația amenințărilor, de regulă utilizarea unor componente terțe vulnerabile sau a unor platforme de executare (runtime) terțe vulnerabile.

TT4. Defecțiuni și situații de indisponibilitate a serviciului

4.1. Defecțiuni sau disfuncționalități ale echipamentelor, dispozitivelor sau sistemelor

O defecțiune sau o disfuncționalitate a echipamentelor este definită drept aducerea unor prejudicii neintenționate activelor informatice din cauza unei defecțiuni sau disfuncționalități a echipamentelor, inclusiv a infrastructurii furnizorului și a dispozitivelor utilizatorului.

4.2. Pierdere de resurse

Pierderea de resurse este definită drept o indisponibilitate a serviciului sau o disfuncționalitate cauzată de indisponibilitatea unor resurse precum piesele de schimb.

4.3. Pierderea serviciilor de asistență

Pierderea serviciilor de asistență este definită drept o indisponibilitate a serviciului sau o disfuncționalitate cauzată de indisponibilitatea serviciilor de asistență necesare pentru buna funcționare a sistemului, inclusiv indisponibilitatea conectivității la rețea a infrastructurii furnizorului și a dispozitivului utilizatorului.

TT5. Acțiuni rău-intenționate

5.1. Interceptare de informații

Interceptarea de informații este definită drept captarea de informații care au fost securizate în mod necorespunzător în cursul transmisiei, inclusiv prin atacuri de tip man-in-the-middle.

5.2. Phishing și spoofing

Phishing-ul este definit drept captarea de informații furnizate de utilizator în urma unei interacțiuni înșelătoare, asociată adesea cu spoofing-ul (falsificarea) unor mijloace de comunicații și a unor site-uri web legitime. Aceste amenințări sunt îndreptate împotriva utilizatorului și contribuie, de regulă, la riscuri precum furtul de identitate (R4) și la tranzacțiile neautorizate (R9), adesea prin furtul de date (R5) sau divulgarea de date (R6).

5.3. Reluarea mesajelor

Reluarea mesajelor este definită drept reutilizarea mesajelor interceptate anterior pentru a efectua tranzacții neautorizate, adesea la nivel de protocol. Această amenințare tehnică contribuie în principal la riscul de tranzacții neautorizate, care poate conduce ulterior la alte riscuri, în funcție de tranzacție.

5.4. Atac prin forță brută

Atacul prin forță bruscă este definit drept o încălcare a securității, în numeroase cazuri a confidențialității, prin efectuarea unui număr mare de interacțiuni până când răspunsurile furnizează informații valoroase.

5.5. Vulnerabilități la nivel de software

Amenințarea legată de vulnerabilitățile la nivel software este o încălcare a securității prin exploatarea unei vulnerabilități la nivel de software survenite în componentele portofelului sau în componentele software și hardware utilizate la implementarea portofelului, inclusiv vulnerabilitățile publicate și vulnerabilitățile nepublicate (de ziua 0).

5.6. Atacuri prin intermediul lanțului de aprovizionare:

Un atac prin intermediul lanțului de aprovizionare este definit drept o încălcare a securității prin atacuri comise împotriva furnizorului de la care se aprovizionează furnizorul portofelului sau de la care se aprovizionează utilizatorii acestuia pentru a permite noi atacuri asupra portofelului propriu-zis.

5.7. Malware

Programele malware (software rău-intenționat) sunt definite drept o încălcare a securității prin aplicații rău-intenționate care efectuează acțiuni nedorite și ilicite ce vizează portofelul.

5.8. Predicție de numere aleatorii

Predicția de numere aleatorii este definită drept crearea unor condiții favorabile lansării de atacuri prin forță bruscă prin predicția parțială sau completă de numere generate aleatoriu.

SECȚIUNEA IV

Amenințări la adresa portofelelor

Această ultimă secțiune prezintă un set de scenarii tipice de amenințare specifice portofelelor, care sunt puse în corespondență cu principalele riscuri de nivel ridicat asociate acestora, enumerate mai sus. Această listă indică amenințările care trebuie abordate, dar nu constituie o listă exhaustivă a amenințărilor, care depinde în mare măsură de arhitectura soluției pentru portofel selectate și de evoluția mediului amenințărilor. În plus, în evaluarea riscurilor și în măsurile propuse, furnizorul portofelului poate fi răspunzător numai pentru componentele care intră în domeniul de aplicare al certificării (*).

ID Identificator	Descrierea amenințării Descrierea amenințării identificate (*)	Titlul riscului Riscuri conexe
TR1	Un atacator poate revoca pseudonime fără un motiv justificat.	Crearea sau utilizarea unei identități electronice false (R2)
TR2	Un atacator poate emite identități electronice inventate, care nu există.	Crearea sau utilizarea unei identități electronice false (R2)
TR3	Un atacator poate începe să emită date de identificare personală (DIP) neautorizate.	Crearea sau utilizarea unei identități electronice false (R2)
TR4	Un atacator poate determina un administrator să introducă un furnizor de DIP greșit pe lista de încredere a furnizorilor de DIP.	Crearea sau utilizarea unei identități electronice false (R2)
TR5	Un atacator poate eluda serviciul de dovedire a identității de la distanță.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR6	Un atacator poate eluda serviciul fizic de dovedire a identității.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR7	Un atacator poate eluda serviciile de dovedire a identității legate de utilizarea unui certificat (calificat) la distanță.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR8	Un atacator poate avea acces la un portofel care nu este legat de o persoană.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR9	Un atacator poate păcăli controalele tehnice și procedurale pentru a crea DIP greșite.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR10	Un atacator poate activa un portofel nou pe un dispozitiv criptografic securizat pentru portofel (WSCD) care nu este valabil.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false (R2)
TR11	Un atacator poate eluda serviciile de dovedire a identității legate de utilizarea unui mijloc de identificare electronică (eID) existent.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR12	Un atacator poate eluda verificarea de către furnizorul de DIP a faptului că portofelul este controlat de utilizator și poate obține emiterea unor DIP către un portofel compromis aflat sub controlul atacatorului.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR13	Un atacator poate introduce DIP valabile într-o unitate de portofel care nu este valabilă.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR14	Un furnizor de DIP poate emite identități inventate în cazul în care identitatea este legată de o persoană existentă.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR15	Un atacator poate corela DIP cu portofelul greșit, deoarece furnizorul de DIP nu este în măsură să coreleze DIP cu portofelul corect.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR16	Un atacator poate obține ca utilizatorul să aprobe activarea unei noi unități de portofel/instanțe a portofelului care să fie sub controlul atacatorului și să antreneze ulterior inclusiv controlul atestatelor.	Crearea sau utilizarea unei identități electronice existente (R1)/Crearea sau utilizarea unei identități electronice false/ (R2) Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR17	Un atacator poate emite DIP ale unui alt stat pentru a accesa datele/activele digitale ale cetățenilor vizați.	Crearea sau utilizarea unei identități electronice existente (R1)/Furt de identitate (R4)/Tranzacție neautorizată (R9)
TR18	Un atacator poate păcăli controalele tehnice și procedurale pentru a crea atestate electronice (calificate) ale atributelor false.	Crearea sau utilizarea de atribute false (R3)
TR19	Un atacator poate prezenta atestate electronice (calificate) ale atributelor care nu i-au fost emise în mod valabil.	Crearea sau utilizarea de atribute false (R3)
TR20	Un atacator poate ataca mecanismul de corelare criptografică al portofelului între DIP și un atestat electronic (calificat) al atributelor care nu ar trebui să îi fie emis.	Crearea sau utilizarea de atribute false (R3)
TR21	Un atacator poate utiliza un atestat electronic (calificat) al atributelor într-un portofel, deși contrapartea fizică a atestatului electronic (calificat) al atributelor a expirat sau nu este valabilă.	Crearea sau utilizarea de atribute false (R3)
TR22	Un atacator poate eluda verificarea de către furnizorul de atestate electronice (calificate) ale atributelor a faptului că portofelul se află sub controlul utilizatorului și poate obține emiterea unui atestat electronic (calificat) al atributelor într-un portofel compromis, aflat sub controlul atacatorului.	Crearea sau utilizarea de atribute false (R3)
TR23	Un atacator poate contraface atestate electronice ale atributelor.	Crearea sau utilizarea de atribute false (R3)
TR24	Un atacator poate insera într-un portofel atestate electronice contrafăcute ale atributelor.	Crearea sau utilizarea de atribute false (R3)
TR25	Portofelul poate prezenta atribute unui beneficiar fără aprobarea unui utilizator.	Divulgare de date (R6)
TR26	DIP, atestatele electronice (calificate) ale atributelor sau pseudonimele pot fi prezentate unui beneficiar greșit.	Divulgare de date (R6)
TR27	Un atacator poate iniția o reînnoire rău-intenționată a atestatelor electronice ale atributelor.	Divulgare de date (R6)
TR28	Un atacator poate obține din partea unui utilizator aprobarea în mod eronat a unei cereri de atestat electronic al atributelor (prin phishing sau altă modalitate).	Divulgare de date (R6)
TR29	Un atacator poate divulga în mod neautorizat atributele din portofel și îl poate identifica pe utilizatorul portofelului în situații în care identificarea nu este cerută/permisă.	Divulgare de date (R6)
TR30	Un atacator poate păcăli controalele tehnice și procedurale pentru a extrage date.	Divulgare de date (R6)
TR31	O cerere poate fi divulgată în mod neautorizat unui atacator.	Divulgare de date (R6)
TR32	Un atacator poate obține informații cu privire la politica de divulgare încorporată aplicabilă atributelor și poate prezenta atribute conținute în cererea în curs din partea unităților de portofel.	Divulgare de date (R6)
TR33	Un atacator poate extrage jurnale sau părți din jurnale.	Divulgare de date (R6)
TR34	Un atacator poate ști dacă un portofel este instalat pe același dispozitiv ca cel pe care îl utilizează și el sau pe un alt dispozitiv și poate obține informații cu privire la acesta.	Divulgare de date (R6)
TR35	Un atacator poate obține un factor de cunoaștere utilizat pentru autentificarea utilizatorului în aplicația criptografică securizată pentru portofel (WSCA).	Divulgare de date (R6)
TR36	Atestatul electronic al atributelor referitor la o persoană care este prezentat în tranzacții multiple cu un beneficiar sau între diferiți beneficiari permite, în mod neintenționat, corelarea tranzacțiilor multiple respective cu persoana relevantă.	Divulgare de date (R6)
TR37	O listă publică de revocări de atestate/beneficiari poate conține informații cu privire la utilizarea de către utilizator a atestatului său (de exemplu, localizarea, adresa IP...).	Divulgare de date (R6)
TR38	Neputând dovedi că utilizatorul și-a dat consimțământul cu privire la atributele partajate, beneficiarii pot aduce atingere integrității jurnalelor.	Divulgare de date (R6)
TR39	Un atacator îi poate urmări în mod ilegal pe utilizatorii portofelelor folosind identificatori unici/trasabili.	Divulgare de date (R6)/Supraveghere (R14)
TR40	Un beneficiar constituit din mai multe unități/entități care are fiecare dreptul să solicite/să prelucreze doar anumite elemente, fiecare dintr-un alt domeniu, poate solicita și prelucra date chiar dacă nu are un temei legal în acest sens.	Divulgare de date (R6)/Tranzacție neautorizată (R9)
TR41	Un atacator poate submina verificările de integritate și autenticitate efectuate de portofel cu privire la DIP, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR42	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări cu privire la integritatea și autenticitatea atributelor solicitate, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR43	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări ale tuturor atributelor solicitate care aparțin aceluiași utilizator, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR44	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări menite să determine dacă DIP sunt valabile și sunt emise de un furnizor de DIP de încredere, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR45	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări menite să determine dacă un atestat electronic calificat al atributelor este valabil și este emis de un prestator de servicii de încredere (TSP) calificat, care s-a înregistrat în vederea emiterii atestatului electronic calificat al atributelor, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR46	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări menite să determine dacă DIP au fost revocate de către furnizorul de DIP, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR47	Un atacator poate să eludeze sau să submineze efectuarea, de către portofel, de verificări menite să determine dacă atestatul electronic (calificat) al atributelor a fost revocat de către furnizorul de atestate electronice (calificate) ale atributelor, astfel încât să obțină întotdeauna rezultate pozitive.	Manipularea datelor (R7)
TR48	Un atacator poate aduce modificări conținutului datelor de rezervă și de recuperare care ar trebui să se afle sub controlul exclusiv al utilizatorului.	Manipularea datelor (R7)/Pierdere de date (R8)
TR49	Un atacator poate modifica istoricul tranzacțiilor din jurnalele de activitate referitor la o anumită instanță a portofelului.	Manipularea datelor (R7)/Pierdere de date (R8)
TR50	Un atacator poate intercepta datele transmise în timpul conexiunii dintre portofel și beneficiari.	Furt de date (R5)/Divulgare de date (R6)
TR51	Un atacator poate convinge un utilizator să partajeze, cu atacatorul sau cu o parte terță, date cu caracter personal (și anume, DIP, atestate electronice ale atributelor, pseudonime, semnături electronice, jurnale și alte date) pe care utilizatorul nu avea intenția să le partajeze.	Furt de date (R5)/Divulgare de date (R6)
TR52	Un atacator poate citi istoricul tranzacțiilor referitoare la o anumită instanță a portofelului din jurnalele de activitate.	Furt de date (R5)/Divulgare de date (R6)
TR53	Un atacator poate exporta sau extrage material-cheie criptografic din WSCD.	Furt de date (R5)/Divulgare de date (R6)/Tranzacție neautorizată (R9)
TR54	Un atacator poate citi conținutul datelor de rezervă și de recuperare care ar trebui să se afle sub controlul exclusiv al utilizatorului.	Furt de date (R5)/Divulgare de date (R6)
TR55	Un atacator poate eluda metoda de autentificare a utilizatorului pentru a folosi un pseudonim generat de o unitate de portofel.	Furt de identitate (R4)
TR56	Un atacator poate propune utilizatorilor o aplicație care imită un anumit portofel legitim.	Furt de identitate (R4)
TR57	Un atacator poate exporta date din portofel, inclusiv DIP, atestate electronice (calificate) ale atributelor sau jurnale.	Furt de identitate (R4)
TR58	Un atacator poate exporta un material de legătură criptografic.	Furt de identitate (R4)
TR59	Un atacator poate asuma identități cu ajutorul cheilor criptografice ale portofelului.	Furt de identitate (R4)
TR60	Un atacator poate duplica unitatea de portofel personală a unui alt utilizator pe dispozitivul său personal și o poate utiliza.	Furt de identitate (R4)/Crearea sau utilizarea unei identități electronice existente (R1)
TR61	Autoritățile unui alt stat pot solicita utilizatorului să prezinte și/sau să partajeze toate datele din portofel atunci când acesta se află la o distanță apropiată, de exemplu, atunci când trece frontiera statului respectiv.	Furt de date (R4)/Supraveghere (R14)
TR62	Utilizatorii nu își pot transfera jurnalele de tranzacții după defectarea unui dispozitiv al utilizatorului, ceea ce are drept rezultat pierderea trasabilității tranzacțiilor anterioare pe noul portofel.	Repudiere (R11)
TR63	Utilizatorii nu își pot recupera jurnalele de tranzacții după defectarea unui dispozitiv al utilizatorului, ceea ce are drept rezultat pierderea trasabilității tranzacțiilor anterioare pe noul portofel.	Repudiere (R11)
TR64	Beneficiarii pot întâmpina dificultăți atunci când trebuie să dovedească acordarea consimțământului pentru semnături electronice la distanță.	Repudiere (R11)
TR65	Un atacator poate inunda conexiunea (conexiunile) cu cereri în timpul conexiunii cu beneficiarii.	Perturbarea serviciului (R13)
TR66	Un atacator poate inunda un serviciu de furnizare de informații privind statutul cu conexiuni către beneficiari.	Perturbarea serviciului (R13)
TR67	Un atacator poate face ca prezentarea atributelor să apară ca fiind contestată/refuzată, deși aceasta indică faptul că este valabilă.	Perturbarea serviciului (R13)
TR68	Un atacator poate revoca un document DIP fără un motiv justificat.	Perturbarea serviciului (R13)
TR69	Un atacator poate revoca un document DIP fără consimțământul utilizatorului.	Perturbarea serviciului (R13)
TR70	Un atacator poate revoca un atestat electronic (calificat) al atributelor fără un motiv justificat.	Perturbarea serviciului (R13)
TR71	Un atacator poate revoca un atestat electronic (calificat) al atributelor fără consimțământul utilizatorului.	Perturbarea serviciului (R13)
TR72	Un atacator poate lansa mai multe cereri de identificare fără ca acestea să fie recunoscute ca cereri orfane intenționate.	Perturbarea serviciului (R13)
TR73	Un atacator poate trimite mai multe cereri fără nicio tranzacție ulterioară.	Perturbarea serviciului (R13)
TR74	Un atacator poate permite unui beneficiar să solicite identificarea fără o identificare corespunzătoare (ca răspuns la solicitare) și fără control total.	Perturbarea serviciului (R13)
TR75	Un atacator poate trimite un răspuns la o cerere după expirarea intervalului alocat pentru procesarea sa sau alte situații similare care conduc la o perturbare a serviciului.	Perturbarea serviciului (R13)
TR76	Un beneficiar poate trimite mai multe cereri care nu sunt valabile.	Perturbarea serviciului (R13)
TR77	Un atacator poate trimite mai multe cereri care nu sunt valabile unui furnizor de portofel.	Perturbarea serviciului (R13)
TR78	Un atacator poate face imposibilă revocarea de către un stat membru a unui furnizor de DIP care nu este de încredere de pe lista furnizorilor de DIP de încredere.	Perturbarea serviciului (R13)
TR79	Un atacator poate împiedica suspendarea sau revocarea unui portofel.	Perturbarea serviciului (R13)
TR80	Un atacator poate bloca efectuarea de tranzacții de către beneficiari, utilizatori și/sau furnizorul de DIP.	Perturbarea serviciului (R13)
TR81	Un atacator poate dezactiva un WSCD sau îl poate face indisponibil.	Perturbarea serviciului (R13)
TR82	Un atacator poate împiedica furnizorul de DIP să revoce sau să suspende DIP.	Perturbarea serviciului (R13)/Tranzacție neautorizată (R9)
TR83	Un beneficiar poate deduce datele de identitate ale utilizatorului în afară de datele care i-au fost partajate de către acesta.	Supraveghere (R14)
TR84	Un grup de beneficiari sau de furnizori de DIP care acționează în coluziune poate deduce datele de identitate ale utilizatorului în afară de datele pe care le cunoaște deja.	Supraveghere (R14)
TR85	Un atacator poate urmări și reface traseul unui utilizator utilizând datele de identificare personală ale utilizatorului în situații în care identificarea utilizatorului nu este necesară.	Supraveghere (R14)
TR86	Un atacator poate combina o prezentare „contrafăcută” de combinații de atestate electronice (calificate) ale atributelor.	Manipularea tranzacțiilor (R10)
TR87	Un atacator poate activa/prelua portofelul de la distanță (de exemplu, o aplicație bancară în care este integrată o cerere de autentificare sau de atestat) fără consimțământul explicit sau controlul exclusiv al utilizatorului, în situații în care utilizatorul nu este conștient de prezența beneficiarului (de exemplu, dacă doarme) sau nu îl poate vedea pe beneficiar.	Manipularea tranzacțiilor (R10)
TR88	Atacatorii pot modifica metadatele unei cereri (denumirea serviciului, utilizări etc.).	Manipularea tranzacțiilor (R10)
TR89	Atacatorii pot aduce modificări informațiilor de răspuns (starea serviciului, cheia de unică folosință etc.).	Manipularea tranzacțiilor (R10)
TR90	Atacatorii pot aduce modificări informațiilor privind atributele ale unei cereri (prin generarea unui număr excesiv de cereri etc.).	Manipularea tranzacțiilor (R10)
TR91	Un beneficiar poate relua elemente dintr-o sesiune anterioară într-o altă sesiune.	Manipularea tranzacțiilor (R10)
TR92	Un atacator poate înlocui sau modifica DIP în cursul transferului acestora de la furnizorul de DIP către unitatea de portofel.	Manipularea tranzacțiilor (R10)
TR93	Un atacator poate înlocui sau modifica DIP în cursul transferului acestora dinspre unitatea de portofel către beneficiarul online.	Manipularea tranzacțiilor (R10)
TR94	Un atacator poate înlocui sau modifica DIP în cursul transferului acestora dinspre unitatea de portofel către beneficiarul offline.	Manipularea tranzacțiilor (R10)
TR95	Un atacator poate emite un document DIP fără consimțământul utilizatorului.	Tranzacție neautorizată (R9)
TR96	Un atacator poate utiliza politici de divulgare încorporate care au fost revocate sau nu sunt valabile, eventual fără ca beneficiarii să aibă cunoștință de această utilizare.	Tranzacție neautorizată (R9)
TR97	Un atacator poate induce în eroare portofelul, astfel încât acesta să verifice semnături electronice care nu sunt relevante.	Tranzacție neautorizată (R9)
TR98	Un atacator poate utiliza portofelul astfel încât acesta să scape de sub controlul utilizatorului.	Tranzacție neautorizată (R9)
TR99	Un atacator poate convinge un utilizator să autentifice și să aprobe tranzacții cu un atacator sau cu o parte terță neautorizată.	Tranzacție neautorizată (R9)
TR100	Un atacator poate determina un utilizator să semneze electronic fără a prezenta conținutul utilizatorului sau după ce i-a prezentat un conținut incorect.	Tranzacție neautorizată (R9)
TR101	Un atacator poate eluda controlul, de către furnizorul portofelului, al accesului la contul utilizatorului.	Tranzacție neautorizată (R9)
TR102	Un atacator poate asuma identitatea unor beneficiari pe durata conexiunii cu beneficiari.	Tranzacție neautorizată (R9)/Divulgare de date (R6)
TR103	Utilizatorul din conexiunea dintre beneficiar și browser poate fi diferit de utilizatorul din conexiunea dintre beneficiar și portofel.	Tranzacție neautorizată (R9)/Divulgare de date (R6)/Furt de identitate (R4)
TR104	Un atacator poate convinge utilizatorul să-și revoce portofelul fără niciun motiv.	Tranzacție neautorizată (R9)/Perturbarea serviciului (R13)
TR105	Un atacator poate comite atacuri de tip man-in-the-middle.	Tranzacție neautorizată (R9)/Divulgare de date (R6)/Supraveghere (R14)
TR106	Un atacator poate prezenta atribute care nu sunt valabile sau care au fost revocate dintr-un portofel care nu se conectează cu regularitate la rețea.	Efectul asupra diferitelor riscuri
TR107	Un atacator poate fura informații de la un utilizator prin falsificarea (spoofing-ul) unui portofel.	Efectul asupra diferitelor riscuri
TR108	Un atacator poate asuma identitatea utilizatorului reluând/imitând o cerere de date (de exemplu, autentificare), făcând ca aceasta să apară ca fiind valabilă.	Efectul asupra diferitelor riscuri
TR109	Un atacator poate relua, în relația cu un utilizator, o politică de divulgare încorporată cu scopul de a imita o cerere aprobată.	Efectul asupra diferitelor riscuri
TR110	Un atacator poate exploata lipsa de informații a utilizatorilor portofelelor sau întârzierile nejustificate în urma unei încălcări sau compromiteri a securității.	Efectul asupra diferitelor riscuri
TR111	Un atacator poate modifica o instanță a portofelului legitimă instalată anterior pentru a-i adăuga caracteristici rău-intenționate.	Efectul asupra diferitelor riscuri
TR112	Un atacator poate modifica o instanță a portofelului legitimă și o poate propune utilizatorilor drept legitimă.	Efectul asupra diferitelor riscuri
TR113	Un atacator poate păcăli mecanismul propriu-zis de autentificare a utilizatorului pentru a eluda autentificarea utilizatorului portofelului.	Efectul asupra diferitelor riscuri
TR114	Un atacator poate introduce un cod rău-intenționat sau elemente de tip backdoor în codul portofelului în cursul implementării acestuia pe dispozitivul utilizatorului.	Efectul asupra diferitelor riscuri
TR115	Un atacator poate introduce un cod rău-intenționat sau elemente de tip backdoor în codul portofelului în cursul dezvoltării acestuia.	Efectul asupra diferitelor riscuri
TR116	Un atacator poate manipula în mod fraudulos generarea de numere aleatorii pentru a le reduce suficient entropia astfel încât să facă posibile atacuri.	Efectul asupra diferitelor riscuri
TR117	Un atacator poate manipula în mod fraudulos dispozitivele utilizatorului din lanțul de aprovizionare pentru a include un cod sau configurații care nu îndeplinesc condițiile de utilizare a portofelului.	Efectul asupra diferitelor riscuri
TR118	Un atacator poate activa o unitate de portofel în timp ce acesta utilizează un WSCD care a fost uzurpat în urma unui atac de spoofing și care este controlat de atacatori.	Efectul asupra diferitelor riscuri
TR119	Un atacator poate citi informațiile trimise către WSCA și/sau WSCD.	Efectul asupra diferitelor riscuri
TR120	Un atacator poate trimite informații arbitrare către WSCA.	Efectul asupra diferitelor riscuri
TR121	Un atacator poate fura informații prin interceptarea comunicațiilor dintre WSCA și WSCD.	Efectul asupra diferitelor riscuri
TR122	Un atacator poate trimite informații arbitrare către WSCD.	Efectul asupra diferitelor riscuri
TR123	Un atacator poate trimite informații către WSCD, eludând WSCA.	Efectul asupra diferitelor riscuri
TR124	Un atacator poate recurge la phishing pentru a atrage utilizatori către un fals portofel și o falsă aplicație web de gestionare a DIP.	Efectul asupra diferitelor riscuri
TR125	Un atacator poate înlocui cheile portofelului cu alte chei pentru a crea mesaje care să fie utilizate într-un alt atac.	Efectul asupra diferitelor riscuri
TR126	Un atacator poate modifica sau distruge cheile portofelului, consecința fiind că unele dintre funcțiile portofelului devin inutilizabile.	Efectul asupra diferitelor riscuri
TR127	Un atacator poate controla un program malware pentru a accesa datele stocate în portofel.	Efectul asupra diferitelor riscuri
TR128	Un atacator poate avea acces la dovezi generate în portofel.	Efectul asupra diferitelor riscuri
TR129	Furnizorii portofelelor pot avea acces la obiecte din portofel.	Efectul asupra diferitelor riscuri
TR130	Furnizorii portofelelor pot avea acces la dovezi generate în portofel.	Efectul asupra diferitelor riscuri
TR131	Un atacator poate fura un dispozitiv pentru portofel deblocat.	Efectul asupra diferitelor riscuri
TR132	Un atacator poate manipula sistemul pentru a împiedica înregistrarea în jurnal a anumitor evenimente.	Efectul asupra diferitelor riscuri
TR133	Un atacator poate intercepta comunicarea dintre instanța portofelului și WSCA sau poate relua/imita un utilizator (de exemplu, prin piratarea mecanismului de autentificare).	Efectul asupra diferitelor riscuri

ANEXA IV

METODE ȘI PROCEDURI PENTRU ACTIVITĂȚILE DE EVALUARE

1. Auditul implementării unei soluții pentru portofel

O activitate de evaluare a conformității constă în selectarea unor activități specifice de evaluare.

Sistemele naționale de certificare trebuie să specifice o activitate de evaluare în vederea examinării informațiilor furnizate, care să cuprindă cel puțin următoarele:

(a)	o analiză a informațiilor furnizate pentru a confirma că acestea sunt adecvate pentru una dintre arhitecturile specificate în sistemele naționale de certificare

(b)	o analiză a acoperirii riscurilor și amenințărilor în materie de securitate cibernetică identificate în registrul riscurilor din anexa I prin controalele de securitate descrise.

Analiza menționată la literele (a)-(b) trebuie să se bazeze pe argumentele și justificarea oferite de furnizorul portofelului.

2. Activități de evaluare legate de dispozitivul criptografic securizat pentru portofel

Nu este necesar ca operațiunile critice, inclusiv calculele criptografice, să fie implementate integral în WSCD. Cu toate acestea, atunci când este exploatată drept componentă a soluției pentru portofel, partea implementată în WSCD trebuie să garanteze protecția operațiunilor critice pe care le efectuează împotriva atacurilor din partea atacatorilor cu potențial ridicat de atac, în conformitate cu Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei (1).

WSCD sau o parte a acestuia poate face obiectul certificării atunci când este furnizat de titularul sau solicitantul certificatului sau poate să nu intre în domeniul de aplicare al certificării atunci când este integrat într-un dispozitiv furnizat de utilizatorul final. În plus, sistemele naționale de certificare trebuie să specifice activitățile de evaluare pentru verificarea caracterului adecvat al WSCD în următoarele două cazuri:

(a)	atunci când WSCA depinde de un anumit WSCD (și anume, dacă este necesar să fie evaluată ca produs compozit bazat pe WSCD), pentru evaluarea WSCA este necesar să se asigure accesul la informații suplimentare legate de certificarea WSCD, în special la raportul tehnic de evaluare, printre altele;

(b)

atunci când o arhitectură considerată ca făcând parte din sistem utilizează mai multe WSCD sau în cazul în care unele dintre operațiunile legate de active critice sunt efectuate în afara WSCD, sistemele naționale de certificare prevăd activități de evaluare pentru a garanta că soluția de ansamblu oferă nivelul preconizat de securitate.

Drept condiție prealabilă pentru certificarea în cadrul sistemelor naționale de certificare, WSCD este evaluat în raport cu cerințele privind nivelul de asigurare ridicat stabilite în Regulamentul de punere în aplicare (UE) 2015/1502.

(a)

Atunci când sunt îndeplinite condițiile de la articolul 3 alineatul (3) litera (b), evaluarea WSCD sau a unei părți a acestuia trebuie să cuprindă o evaluare a vulnerabilității, astfel cum este descrisă în EN ISO/IEC 15408-3:2022 la nivelul AVA_VAN.5, în conformitate cu anexa I la Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei (2), cu excepția cazului în care se justifică în mod corespunzător organismului de certificare că, datorită caracteristicilor de securitate ale WSCA, este posibil să se aplice un nivel de evaluare mai scăzut concomitent cu menținerea aceluiași nivel general de asigurare ridicat prevăzut în Regulamentul de punere în aplicare (UE) 2015/1502.

În plus, în documentația referitoare la fiecare arhitectură specifică, sistemele naționale de certificare trebuie să formuleze ipoteze pentru această evaluare a WSCD în cadrul cărora să se poate asigura rezistența împotriva atacatorilor cu potențial ridicat de atac în conformitate cu Regulamentul de punere în aplicare (UE) 2015/1502 și să specifice activitățile de evaluare avute în vedere pentru a confirma aceste ipoteze și a confirma, după eliberarea certificatului, că ipotezele sunt verificate în continuare. Sistemele naționale trebuie să prevadă și obligația candidaților la certificare de a perfecționa aceste ipoteze pentru punerea lor concretă în aplicare și să descrie măsurile luate pentru a garanta că ipotezele sunt verificate pe parcursul întregului ciclu de viață al certificării.

În toate cazurile, sistemele naționale de certificare trebuie să includă o activitate de evaluare pentru a verifica dacă informațiile privind asigurarea încrederii disponibile pentru WSCD sunt adecvate scopului soluției pentru portofel, printr-o analiză a informațiilor privind asigurarea încrederii, cum ar fi obiectivul de securitate pentru certificatele EUCC, inclusiv următoarele activități:

(a)	verificarea caracterului adecvat al sferei evaluării, ceea ce înseamnă, de exemplu, pentru certificatele EUCC, să se verifice dacă obiectivul de securitate se declară conform cu unul dintre profilurile de protecție recomandate în EUCC;

(b)	verificarea compatibilității ipotezelor privind mediul de operare cu soluția pentru portofel, ceea ce, pentru certificatele EUCC, de exemplu, înseamnă că aceste ipoteze pot fi găsite în obiectivul de securitate;

(c)	verificarea compatibilității recomandărilor din ghidul utilizatorului sau din documentația pentru utilizatori cu condițiile în care WSCD urmează să fie utilizat în soluția pentru portofel;

(d)	verificarea faptului că ipotezele formulate în sistemul național de certificare cu privire la WSCD sunt confirmate și luate în considerare în informațiile privind asigurarea încrederii.

În cazurile în care unele verificări nu sunt pe deplin concludente, sistemele naționale de certificare trebuie să prevadă că organismele de certificare au obligația de a specifica cerințe compensatorii pentru aplicația criptografică securizată pentru portofel (WSCA) bazată pe WSCD, care să fie incluse ulterior în evaluarea WSCA. Dacă acest lucru nu este posibil, sistemele naționale de certificare trebuie să considere că WSCD nu este adecvat, ceea ce înseamnă că soluția pentru portofel nu primește certificat de conformitate.

3. Activități de evaluare legate de aplicația criptografică securizată pentru portofel (WSCA)

1.	Sistemele naționale de certificare trebuie să prevadă obligația ca WSCA, ca parte a unei soluții pentru portofel, să fie evaluată cel puțin în raport cu cerințele privind un nivel de asigurare ridicat, stabilit în Regulamentul de punere în aplicare (UE) 2015/1502.

Această evaluare trebuie să cuprindă o evaluare a vulnerabilității, descrisă în EN ISO/IEC 15408-3:2022 la nivelul AVA_VAN.5, stabilit în anexa I la Regulamentul de punere în aplicare (UE) 2024/482, cu excepția cazului în care se justifică în mod corespunzător organismului de certificare că, datorită caracteristicilor de securitate ale WSCA, este posibil să se aplice un nivel de evaluare mai scăzut concomitent cu menținerea aceluiași nivel general de asigurare ridicat, prevăzut în Regulamentul de punere în aplicare (UE) 2015/1502.

În cazul în care WSCA nu este furnizată de către furnizorul portofelului, sistemele naționale de certificare trebuie să formuleze ipoteze pentru această evaluare a WSCA în cadrul cărora să se poate asigura rezistența împotriva atacatorilor cu potențial ridicat de atac în conformitate cu Regulamentul de punere în aplicare (UE) 2015/1502 și să specifice activitățile de evaluare avute în vedere pentru a confirma aceste ipoteze și a confirma, după eliberarea certificatului, că ipotezele sunt verificate în continuare. Sistemele naționale trebuie să prevadă și obligația candidaților la certificare de a perfecționa aceste ipoteze pentru implementarea lor concretă și să descrie măsurile luate pentru a garanta că ipotezele sunt verificate pe parcursul întregului ciclu de viață al certificării.

În toate cazurile, sistemele naționale de certificare trebuie să includă o activitate de evaluare pentru a verifica dacă informațiile privind asigurarea încrederii disponibile pentru WSCA sunt adecvate scopului soluției pentru portofel, printr-o analiză a informațiilor privind asigurarea încrederii, cum ar fi obiectivul de securitate pentru certificatele EUCC, inclusiv următoarele activități:

(a)	verificarea caracterului adecvat al sferei evaluării, ceea ce înseamnă, de exemplu, pentru certificatele EUCC, să se verifice dacă obiectivul de securitate se declară conform cu unul dintre profilurile de protecție recomandate în EUCC;

(b)	verificarea compatibilității ipotezelor privind mediul de operare cu soluția pentru portofel, ceea ce, pentru certificatele EUCC, de exemplu, înseamnă că aceste ipoteze pot fi găsite în obiectivul de securitate;

(c)	verificarea compatibilității recomandărilor din ghidul utilizatorului sau din documentația pentru utilizatori cu condițiile în care urmează să fie utilizată WSCA în soluția pentru portofel;

(d)	verificarea faptului că ipotezele formulate în sistemul național de certificare cu privire la WSCA sunt confirmate și luate în considerare în informațiile privind asigurarea încrederii.

5.	Sistemele naționale de certificare trebuie să prevadă obligația ca evaluarea WSCA să acopere toate măsurile de securitate implementate de această WSCA.

4. Activități de evaluare legate de dispozitivul utilizatorului final

Dat fiind că registrul riscurilor, prevăzut în anexa I la prezentul regulament, identifică riscurile care sunt direct legate de securitatea dispozitivului utilizatorului final, sistemele naționale de certificare trebuie să precizeze cerințele de securitate pentru dispozitivele utilizatorului final. Totuși, întrucât aceste dispozitive sunt furnizate de utilizatorul final, și nu de furnizorul portofelului, cerințele în cauză trebuie să fie acoperite de ipoteze.

Pentru fiecare ipoteză, soluția pentru portofel trebuie să includă un mecanism de verificare, în cazul fiecărei unități de portofel, a conformității cu ipoteza a dispozitivului de bază al utilizatorului final. Aceste mecanisme trebuie să fie considerate drept controale de securitate și să facă obiectul unor activități de evaluare care să demonstreze atât caracterul adecvat, cât și eficacitatea lor la nivelul de asigurare potrivit.

În continuare sunt prezentate două exemple:

(a)

un dispozitiv al utilizatorului final poate include un WSCD certificat, fapt care trebuie demonstrat. De regulă, acest lucru s-ar realiza prin utilizarea unui mecanism criptografic pentru a verifica prezența în WSCD-ul certificat a unui secret criptografic care este disponibil numai în dispozitivul WSCD-ului certificat. În acest caz, respectivul secret criptografic ar trebui considerat un activ critic și ar trebui să fie acoperit de certificarea WSCD și/sau a WSCA;

(b)

o cerință tipică pentru dispozitivele utilizatorilor finali ar fi că dispozitivele trebuie să primească actualizări de securitate. Această cerință fiind legată de instanța portofelului, mecanismul utilizat pentru a verifica disponibilitatea actualizărilor de securitate trebuie să facă obiectul numai al unor activități de evaluare la un nivel de asigurare corespunzător pentru instanța portofelului, având în vedere îndeosebi probabilitatea integrării sale în instanța portofelului.

5. Activități de evaluare legate de instanța portofelului

Evaluarea instanței portofelului trebuie să țină seama în principal de următoarele două probleme:

(a)	este probabil ca instanța portofelului să existe într-un set de variante ale aceleiași aplicații de bază, fiecare variantă fiind specializată într-o anumită categorie de dispozitive ale utilizatorilor finali;

(b)	diferitele variante ale instanței portofelului vor necesita, probabil, actualizări frecvente pentru a urmări dezvoltarea platformei-suport de securitate, de exemplu atunci când sunt identificate vulnerabilități care necesită modificări ale aplicațiilor.

Evaluarea instanței portofelului trebuie să ia în considerare aceste probleme specifice. Una dintre consecințele imediate este că s-ar putea ca acest cadru de criterii comune să nu fie adecvat în toate cazurile. De aceea, dacă este necesar, se iau în considerare metodologii de evaluare alternative. Sistemele naționale de certificare au în vedere utilizarea metodologiei EN 17640: 2018 pentru următoarele:

(a)	ca parte a sistemului propriu-zis;

(b)	prin sisteme naționale bazate pe metodologia respectivă;

(c)	prin sisteme naționale bazate pe principii similare, dar constituite înainte de elaborarea metodologiei EN 17640: 2018.

Mai mult, deoarece efectuarea unei evaluări dedicate complete a fiecărei variante are o valoare adăugată limitată, sistemele naționale de certificare trebuie să aibă în vedere specificarea criteriilor care permit efectuarea eșantionării, pentru a evita repetarea unor activități de evaluare identice și pentru a se concentra asupra activităților care sunt specifice unei anumite variante. Sistemele naționale de certificare trebuie să oblige toate organismele de certificare să justifice utilizarea eșantionării.

Sistemele naționale de certificare trebuie să includă actualizări ale instanței portofelului în procesul general de management al schimbării indicat pentru soluția pentru portofel. Acestea trebuie să stabilească și norme privind procedurile care trebuie efectuate de furnizorul portofelului pentru fiecare actualizare (de exemplu, analiza impactului schimbărilor asupra controalelor de securitate) și norme privind activitățile de evaluare care trebuie desfășurate de organismul de certificare cu privire la actualizări în condițiile specificate (de exemplu, evaluarea eficacității operaționale a unui control de securitate modificat). Procesul de management al schimbării este unul dintre procesele a căror eficacitate operațională trebuie verificată anual în conformitate cu articolul 18 alineatul (3).

6. Activități de evaluare legate de serviciile și procesele utilizate pentru furnizarea și exploatarea soluției pentru portofel

Pentru evaluarea serviciilor și a proceselor care joacă un rol în furnizarea și exploatarea soluției pentru portofel și a sistemului de identificare electronică în cadrul căruia este furnizată aceasta, echipa de evaluare trebuie să colecteze dovezi prin desfășurarea de activități de evaluare care pot include activități de audit, inspecție, verificare și validare.

Organismul de certificare trebuie să confirme caracterul suficient și adecvat al dovezilor, astfel încât să ofere o asigurare suficientă că serviciile și procesele îndeplinesc cerințele de certificare, confirmând următoarele:

(a)	acuratețea informațiilor prezentate în descrierea proceselor și a serviciilor;

(b)	caracterul adecvat al proiectării și al controalelor proceselor și serviciilor avute în vedere pentru a permite îndeplinirea criteriilor de evaluare;

(c)	eficacitatea operațională a implementării acestor controale pe parcursul unei perioade specificate înainte de evaluare.

Acuratețea descrierii și eficacitatea operațională a implementării controalelor pot fi considerate obiective de verificare, în sensul ISO/IEC 17000: 2020, a declarațiilor corespunzătoare ale furnizorului de portofel (și anume, confirmarea corectitudinii evenimentelor care au avut deja loc sau a rezultatelor care au fost deja obținute), în timp ce caracterul adecvat al proiectării și al controalelor serviciilor și proceselor pentru îndeplinirea criteriilor de evaluare poate fi considerat drept obiectiv de validare, în sensul ISO/IEC 17000: 2020, a declarației corespunzătoare a furnizorului de portofel (și anume, confirmarea plauzibilității în ceea ce privește o utilizare viitoare preconizată sau rezultatul preconizat).

Întrucât exploatarea unei soluții pentru portofel nu este autorizată înainte de certificarea soluției, eficacitatea operațională nu poate fi confirmată pe baza exploatării efective a soluției. Prin urmare, aceasta trebuie confirmată cu ajutorul dovezilor colectate în cursul testărilor sau al proiectelor pilot.

5.	Este posibil să existe deja sisteme naționale de certificare pentru servicii și procese specifice, de exemplu, pentru integrarea utilizatorilor. Sistemele naționale de certificare trebuie să ia în considerare utilizarea unor astfel de sisteme, după caz.

7. Activități de evaluare legate de serviciile TIC utilizate pentru furnizarea și exploatarea soluției pentru portofel

Este posibil ca unele arhitecturi ale portofelelor să se bazeze pe servicii TIC dedicate, inclusiv pe servicii de cloud pentru furnizarea și exploatarea unei soluții pentru portofel, și ca aceste servicii să găzduiască date sensibile, precum și operațiuni sensibile. În acest caz, sistemele naționale de certificare trebuie să precizeze cerințele de securitate pentru aceste servicii TIC.

Există deja numeroase sisteme de certificare pentru serviciile TIC, serviciile de cloud și alte surse de informații privind asigurarea încrederii, inclusiv cele enumerate în anexa II. Dacă acestea sunt disponibile și aplicabile, sistemele naționale de certificare trebuie să se bazeze pe respectivele mecanisme existente, prin intermediul unuia dintre următoarele mecanisme:

(a)	impunând obligația de a utiliza un anumit sistem sau un set de sisteme selectate, prin specificarea condițiilor în care serviciile TIC sau de cloud urmează să fie evaluate utilizând aceste sisteme;

(b)	lăsând la latitudinea furnizorului de portofel alegerea evaluării și utilizarea activității de analiză a dependențelor pentru a analiza caracterul adecvat al informațiilor privind asigurarea încrederii obținute prin aceste evaluări.

3.	În ambele cazuri, sistemele naționale de certificare trebuie să specifice activitățile de evaluare suplimentare necesare pentru analizarea sau completarea informațiilor obținute prin intermediul acestor sisteme.

(1) Regulamentul de punere în aplicare (UE) 2015/1502 al Comisiei din 8 septembrie 2015 de stabilire a unor specificații și proceduri tehnice minime pentru nivelurile de asigurare a încrederii ale mijloacelor de identificare electronică în temeiul articolului 8 alineatul (3) din Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă (JO L 235, 9.9.2015, p. 7, ELI: http://data.europa.eu/eli/reg_impl/2015/1502/oj).

(2) Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei din 31 ianuarie 2024 de stabilire a normelor de aplicare a Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului în ceea ce privește adoptarea sistemului european de certificare a securității cibernetice bazat pe criterii comune (EUCC) (JO L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).