Sikkerhedskrav for fjernstyrede kvalificerede e-signaturer og segl i EU

1)

2.1 Normative referencer (Normative references) — [1] ETSI EN 319 401 V3.1.1 (2024-06): »Elektroniske signaturer og infrastrukturer (ESI) Generelle policykrav til trust service-udbydere« — [7] Den Europæiske Cybersikkerhedscertificeringsgruppe, undergruppen for kryptografi: »Agreed Cryptographic Mechanisms«, offentliggjort af Den Europæiske Unions Agentur for Cybersikkerhed (»ENISA«) .

2)

6.1 Offentliggørelses- og registeransvar (Publication and repository responsibilities) — OVR-6.1-04: Oplysningerne i OVR-6.1-01 ovenfor skal være offentligt og internationalt tilgængelige.

3)

6.4.4 Personalekontrolforanstaltninger (Personnel controls) — OVR-6.4.4-02: Udbydere af serversigneringsapplikationstjenester (SSASP'er) skal i betroede roller engagere personale og, hvis det er relevant, underleverandører, der har opnået den nødvendige ekspertviden, erfaring og kvalifikation gennem formel uddannelse og eksaminer eller faktisk erfaring eller en kombination af de to. — OVR-6.4.4-03: Overholdelse af OVR-6.4.4-02 skal omfatte regelmæssige (mindst hver 12. måned) opdateringer om nye trusler og aktuel sikkerhedspraksis.

4)

6.4.9 Afbrydelse af tjenester hos udbydere af serversigneringsapplikationstjenester (SSASP service termination) — OVR-6.4.9-02: Udbydere af serversigneringsapplikationstjenesters plan i tilfælde af virksomhedsafbrydelse skal være i overensstemmelse med de gennemførelsesretsakter, der er vedtaget i henhold til [i.1].

5)

6.5.5 Netværkssikkerhedskontroller (Network security controls) — OVR-6.5.5-02: Den sårbarhedsscanning, der kræves i REQ-7.8-13 i ETSI EN 319 401 [1], skal udføres mindst én gang pr. kvartal. — OVR-6.5.5-03: Firewalls skal være konfigurerede til at forhindre alle protokoller og al adgang, der ikke er nødvendige for tillidstjenesteudbyderens (TSP'ens) drift.

6)

6.8.5 Kryptografiske kontroller (Cryptographic controls) — OVR-6.8.5-01: Der skal være indført passende sikkerhedskontroller til forvaltning af alle kryptografiske teknikker hos udbyderen af serversigneringsapplikationstjenesten og i hele deres livscyklus. — OVR-6.8.5-02: For så vidt angår OVR-6.8.5-01 udvælger og anvender udbyderen af serversigneringsapplikationstjenesten passende kryptografiske teknikker, der er i overensstemmelse med de aftalte kryptografiske mekanismer, der er godkendt af Den Europæiske Cybersikkerhedscertificeringsgruppe og offentliggjort af ENISA [7].

7)

Bilag A, afsnit A.3 Generelle krav (General requirements) — OVR-A.3-02 [EUSPv2]: Tillidstjenesteudbyderens erklæring om praksis skal indeholde en henvisning til certificeringen af det anvendte kvalificerede elektroniske signatur-/seglgenereringssystem i overensstemmelse med kravene i bilag II til forordning (EU) nr. 910/2014 [i.1].