2.1

Referințe normative

—

[i.11] necompletat.

—

Sistemul european de certificare a securității cibernetice bazat pe criterii comune EUCC.

—

NOTA 10: A se vedea ETSI EN 319 102-1 [3] pentru orientări și ETSI TS 119 172-4 [8] pentru orientări suplimentare privind semnătura sau sigiliul calificat UE.

—

OVR-6.1-02 Declarația privind practicile referitoare la serviciul de validare a semnăturilor (SVS) trebuie structurată în conformitate cu anexa A.

—

OVR-6.1-03 Declarația privind practicile referitoare la SVS trebuie să enumere sau să facă trimitere la politicile SVS compatibile (de exemplu, prin intermediul OID) și să le descrie pe scurt.

—

OVR-6.3-02 Politica de securitate trebuie să documenteze controalele de securitate și confidențialitate puse în aplicare pentru a proteja datele cu caracter personal.

—

OVR-7.2-02 Personalul prestatorului serviciului de validare a semnăturilor (SVSP) cu roluri de încredere și, dacă este cazul, subcontractanții săi cu roluri de încredere trebuie să fie în măsură să îndeplinească cerința privind „cunoștințele de specialitate, experiența și calificările” prin formare și acreditări oficiale sau prin experiență efectivă sau printr-o combinație a celor două.

—

OVR-7.2-03 Conformitatea cu OVR-7.2-02 include actualizări periodice (cel puțin o dată la 12 luni) privind noile amenințări și practicile actuale în materie de securitate.

—

OVR-7.5-02 [CONDIȚIONAT] La semnarea rapoartelor de validare, certificatul de semnătură publică al SVSP corespunzător cheii private de semnătură a SVSP se eliberează de către o AC de încredere, în conformitate cu politica de certificare a NCP + certificat, astfel cum se specifică în ETSI EN 319 411-1 [12]. Acesta ar trebui să fie eliberat în conformitate cu o politică de certificare corespunzătoare specificată în ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [CONDIȚIONAT] La semnarea rapoartelor de validare, cheia de semnătură privată a SVSP este păstrată și utilizată într-un dispozitiv criptografic securizat care este un sistem de încredere certificat în conformitate cu:

—

OVR-7.5-04 – necompletat.

—

OVR-7.5-06A Cheia de semnătură privată a unui PSP este exportată și importată într-un alt dispozitiv criptografic securizat numai în cazul în care acest export și import sunt efectuate în condiții de siguranță și în conformitate cu certificarea dispozitivelor respective.

—

OVR-7.7-02 Pentru a se asigura că sistemele utilizate pentru dezvoltarea aplicației aplică măsuri de securitate adecvate și se adaptează la medii de aplicare specifice, SVA utilizează un mediu de aplicare care este menținut cu soluții de securitate actualizate.

—

OVR-7.7-03 Următoarele cerințe specificate în ETSI TS 119 101 [1] clauza 5.2 se aplică SVA: GSM 1.3.

—

OVR-7.8-02 Dacă accesul de la distanță la sistemele de stocare sau prelucrare a datelor confidențiale este permis, se adoptă și se descrie o politică oficială ca parte a elementelor impuse de OVR-6.3-02.

—

OVR-7.8-04 Scanarea vulnerabilității solicitată de REQ-7.8-13 din ETSI EN 319 401 [1] se efectuează cel puțin o dată pe trimestru.

—

OVR-7.8-05 Testul de penetrare prevăzut de REQ-7.8-17X din ETSI EN 319 401 [1] se efectuează cel puțin o dată pe an.

—

OVR-7.8-06: Firewall-urile trebuie configurate astfel încât să se prevină toate protocoalele și accesările care nu sunt necesare pentru desfășurarea activității SVSP.

—

OVR-7.12-02 Planul privind încetarea activității TSP respectă cerințele prevăzute în actele de punere în aplicare adoptate în temeiul articolului 24 alineatul (5) din Regulamentul (UE) nr. 910/2014 [i.1].

—

OVR-7.14-01 Se aplică cerințele specificate în ETSI EN 319 401 [2] clauza 7.14.

—

VPR-8.1-07 Cererea de validare (SVA) trebuie să respecte cerințele din ETSI TS 119 101 [1], clauza 7.4 SIA 1-SIA 4.

—

VPR-8.1-11 [CONDIȚIONAT] Atunci când SVS vizează validarea semnăturilor electronice calificate sau a sigiliilor electronice calificate în conformitate cu articolul 32 alineatul (1) (sau, respectiv, articolul 40) din Regulamentul (UE) nr. 910/2014 [i.1], procesul de validare trebuie să respecte cerințele ETSI TS 119 172-4 [8].

—

SVP-8.2-03 Răspunsul de validare a semnăturii trebuie să conțină OID al politicii SVS.

—

SVR-8.4-02 Raportul de validare este conform cu ETSI TS 119 102-2 [9].

—

SVR-8.4-07 [CONDIȚIONAT] Atunci când o politică de validare a semnăturii nu este complet prelucrată de SVS, raportul trebuie, pe lângă raportarea privind constrângerile validate, să raporteze cu privire la constrângerile care au fost ignorate sau depășite.

—

SVR-8.4-15 Raportul de validare trebuie să indice în mod clar originea fiecărei tehnologii PoE (din interiorul semnăturii, de la client, de la server).

—

SVR-8.4-16 Raportul de validare conține o semnătură a raportului de validare, care este semnătura digitală a SVSP.

—

SVR-8.4-17 [CONDIȚIONAT] La semnarea rapoartelor de validare, formatul și obiectivul semnăturii trebuie să fie conforme cu ETSI TS 119 102-2 [9].

—

OVR-9-05 [CONDIȚIONAT] Atunci când se elaborează o politică SVS pe baza unei politici privind serviciile de încredere definite în prezentul document, se efectuează o evaluare a riscurilor pentru a evalua cerințele operaționale și a determina cerințele de securitate care trebuie incluse în politica pentru comunitatea și domeniul de aplicabilitate menționate.

—

OVR-9-06 [CONDIȚIONAT] Atunci când se elaborează o politică SVS privind o politică de servicii de încredere definită în prezentul document, politica este aprobată și modificată în conformitate cu un proces de revizuire definit, care include responsabilitățile pentru menținerea politicii.

—

OVR-9-07 [CONDIȚIONAT] Atunci când se elaborează o politică SVS referitoare la o politică privind serviciile de încredere definită în prezentul document, trebuie să existe un proces de revizuire definit pentru a se asigura că politica este susținută de declarațiile privind practicile.

—

OVR-9-08 [CONDIȚIONAT] Atunci când elaborează o politică SVS referitoare la o politică privind serviciile de încredere definită în prezentul document, prestatorul de servicii de încredere pune politicile sprijinite de TSP la dispoziția comunității sale de utilizatori.

—

OVR-9-09 [CONDIȚIONAT] Atunci când se elaborează o politică SVS referitoare la o politică privind serviciile de încredere definită în prezentul document, revizuirile politicilor sprijinite de TSP sunt puse la dispoziția abonaților.

—

VPR-B-02 [CONDIȚIONAT] În cazul în care SVSP este un prestator al serviciului de validare a semnăturilor calificat (QSVSP), punerea în aplicare trebuie să fie conformă cu ETSI TS 119 172-4 [8].

—

Nota 2 – necompletată.

—

OVR-B-04 [CONDIȚIONAT] În cazul în care SVSP este un QSVSP, testele din OVR-B-03 trebuie să verifice diferite cazuri de utilizare, pozitive și negative.

—

VPR-B-11 [CONDIȚIONAT] În cazul în care SVSP este un QSVSP, SVSP controlează calculul hash (fie efectuează calculul în ceea ce privește serverul, fie controlează clientul dacă acest lucru este permis în ceea ce privește clientul).

—

Nota 5 – necompletată.

—

Nota 6 – necompletată.

—

VPR-B-15 [CONDIȚIONAT] În cazul în care SVSP este un QSVSP, pentru a satisface cerințele de la VPR-B-13 la VPR-B-14, raportul de validare trebuie să fie conform cu ETSI TS 119 102-2 [9].

—

VPR-B-16 [CONDIȚIONAT] În cazul în care SVSP este un QSVSP, punerea în aplicare respectă mecanismele criptografice convenite, aprobate de Grupul european pentru certificarea securității cibernetice și publicate de ENISA [10] pentru utilizarea unor tehnici criptografice adecvate atunci când furnizează servicii calificate de validare pentru QES.

—

pentru a se asigura că sunt verificate toate condițiile impuse de articolul 32 alineatul (1) și articolul 40 din Regulamentul (UE) nr. 910/2014 [i.1], este necesar un algoritm de validare corect. Acesta oferă același rezultat determinist pentru o semnătură sau un sigiliu supus validării. Politica de validare a semnăturilor este esențială în acest scop. ETSI TS 119 172-4 [8] a fost emis din această perspectivă, pe baza algoritmului de validare specificat în ETSI EN 319 102-1 [3].

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) „Semnături electronice și infrastructuri de încredere (ESI); Proceduri pentru crearea și validarea semnăturilor digitale AdES; Partea 1: Creare și validare”.

—

Toate trimiterile la „ETSI TS 119 102-1 [1]” se interpretează ca trimiteri la „ETSI EN 319 102-1 [1]”.

—

[2] ETSI TS 119.612 V2.3.1 (2024-11) „Semnături electronice și infrastructuri (ESI); Listele sigure”.

—

[13] ETSI TS 119.101 V1.1.1 (2016-03) „Semnături electronice și infrastructuri (ESI); Cerințe de politică și de securitate pentru cererile de creare și validare a semnăturii”.

—

(i) în cazul în care un certificat al entității finale reprezintă o ancoră de încredere, nu se utilizează RevocationCheckingConstraints;

—

(ii) în cazul în care un certificat al entității finale nu reprezintă o ancoră de încredere, RevocationCheckingConstraints se setează la „eitherCheck”, astfel cum este definit în ETSI TS 119 172-1 [3], clauza A.4.2.1, tabelul A.2 rândul (m)2.1;

—

(iii) în cazul în care un certificat al entității finale reprezintă o ancoră de încredere, nu se utilizează RevocationFreshnessConstraints definit în ETSI TS 119 172-1 [3], clauza A.4.2.1, tabelul A.2 rândul (m)2.2;

—

(iv) în cazul în care un certificat al entității finale nu reprezintă o ancoră de încredere, RevocationFreshnessConstraints definit în ETSI TS 119 172-1 [3], clauza A.4.2.1, tabelul A.2 rândul (m)2.2 trebuie utilizat cu o valoare maximă de 24 de ore pentru certificatul de semnare. Nu se stabilește nicio valoare pentru RevocationFreshnessConstraints pentru alte certificate decât certificatul de semnare, inclusiv pentru certificatele compatibile cu marcaje temporale.

—

REQ-4.4.2-03 În cazul în care oricare dintre verificările specificate în REQ-4.4.2-01 eșuează, atunci: