—

[1] ETSI EN 319 401 V3.1.1 (2024-06) «Ηλεκτρονικές υπογραφές και υποδομές (ESI)· Απαιτήσεις γενικής πολιτικής για παρόχους υπηρεσιών εμπιστοσύνης».

—

[2] ETSI TS 119 612 (V2.3.1) «Ηλεκτρονικές Υπογραφές και Υποδομές (ESI)· Κατάλογοι εμπιστοσύνης».

—

[5] FIPS PUB 140-3 (2019) «Απαιτήσεις ασφάλειας για κρυπτογραφικά δομοστοιχεία».

—

[6] Εκτελεστικός κανονισμός (ΕΕ) 2024/482 της Επιτροπής (1) για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά την έγκριση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC).

—

[7] Εκτελεστικός κανονισμός (ΕΕ) 2024/3144 της Επιτροπής (2) για την τροποποίηση του εκτελεστικού κανονισμού (ΕΕ) 2024/482 όσον αφορά τα εφαρμοστέα διεθνή πρότυπα και για τη διόρθωση του εν λόγω εκτελεστικού κανονισμού.

—

[8] Ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας, υποομάδα για την κρυπτογραφία: «Συμφωνημένοι κρυπτογραφικοί μηχανισμοί» που δημοσιεύτηκε από τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (στο εξής: ENISA) (3).

—

[9] ETSI TS 119 172-4 V1.1.1 (2021-05) «Ηλεκτρονικές υπογραφές και υποδομές (ESI)· Πολιτικές υπογραφών: Μέρος 4: Κανόνες εφαρμογής υπογραφής (πολιτική επικύρωσης) για τις ευρωπαϊκές εγκεκριμένες ηλεκτρονικές υπογραφές/σφραγίδες με τη χρήση καταλόγων εμπιστοσύνης».

—

[10] ISO/IEC 15408:2022 (μέρη 1 έως 5) «Ασφάλεια πληροφοριών, κυβερνοασφάλεια και προστασία της ιδιωτικότητας – Κριτήρια αξιολόγησης για την ασφάλεια της τεχνολογίας πληροφοριών»

—

ασφαλής κρυπτογραφική διάταξη: διάταξη που διατηρεί το ιδιωτικό κλειδί του χρήστη, προστατεύει το κλειδί αυτό από έκθεση σε κίνδυνο και εκτελεί λειτουργίες υπογραφής ή αποκρυπτογράφησης για λογαριασμό του χρήστη.

—

OVR-6.4-08A [WTS][WOS] Η αναμενόμενη περίοδος διατήρησης των αποδεικτικών στοιχείων συμμορφώνεται με τους συμφωνημένους κρυπτογραφικούς μηχανισμούς που εγκρίνει η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και δημοσιεύει ο ENISA [8].

—

ΣΗΜΕΙΩΣΗ 3 άκυρο.

—

OVR-6.5-04A Οι χρησιμοποιούμενοι αλγόριθμοι κρυπτογράφησης συμμορφώνονται με τους συμφωνημένους κρυπτογραφικούς μηχανισμούς που εγκρίνει η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και δημοσιεύει ο ENISA [8].

—

ΣΗΜΕΙΩΣΗ 1 άκυρο.

—

OVR-7.2-02 Τα μέλη του προσωπικού του παρόχου υπηρεσιών πληρωμών που έχουν αναλάβει ρόλους εμπιστοσύνης και, κατά περίπτωση, οι υπεργολάβοι τους που έχουν αναλάβει ρόλους εμπιστοσύνης, είναι σε θέση να πληρούν την απαίτηση για «εξειδικευμένες γνώσεις, πείρα και προσόντα» μέσω τυπικής κατάρτισης και διαπιστευτηρίων, ή πραγματικής πείρας, ή συνδυασμού των δύο.

—

OVR-7.2-03 Η συμμόρφωση με το OVR-7.2-02 περιλαμβάνει τακτικές ενημερώσεις (τουλάχιστον κάθε 12 μήνες) σχετικά με τις νέες απειλές και τις τρέχουσες πρακτικές ασφάλειας.

—

OVR-7.5-05 [ΥΠΟ ΟΡΟΥΣ] Με την υπογραφή από τον πάροχο υπηρεσιών πληρωμών (μέρους) των αποδεικτικών στοιχείων διαφύλαξης, το ιδιωτικό κλειδί υπογραφής του παρόχου υπηρεσιών πληρωμών διατηρείται και χρησιμοποιείται εντός ασφαλούς κρυπτογραφικής διάταξης που συνιστά αξιόπιστο σύστημα το οποίο είναι πιστοποιημένο σύμφωνα με:

Η πιστοποίηση αυτή αφορά στόχο ασφάλειας ή προφίλ προστασίας, ή σχεδιασμό δομοστοιχείου και τεκμηρίωση ασφάλειας, που πληροί τις απαιτήσεις του παρόντος εγγράφου, βάσει ανάλυσης κινδύνου και λαμβανομένων υπόψη φυσικών και άλλων μη τεχνικών μέτρων ασφάλειας.

Εάν η ασφαλής κρυπτογραφική διάταξη διαθέτει πιστοποίηση EUCC [6][7], τότε η διάταξη αυτή διαμορφώνεται και χρησιμοποιείται σύμφωνα με την εν λόγω πιστοποίηση.

—

OVR-7.5-06 [ΥΠΟ ΟΡΟΥΣ] άκυρο.

—

OVR-7.5-07 [ΥΠΟ ΟΡΟΥΣ] Με την υπογραφή από τον πάροχο υπηρεσιών πληρωμών (μέρους) των αποδεικτικών στοιχείων διαφύλαξης, τυχόν αντίγραφα ασφάλειας των ιδιωτικών κλειδιών υπογραφής του παρόχου υπηρεσιών πληρωμών προστατεύονται με την ασφαλή κρυπτογραφική διάταξη ώστε να διασφαλίζεται η ακεραιότητα και ο εμπιστευτικός χαρακτήρας τους, προτού αυτά αποθηκευτούν εκτός της εν λόγω διάταξης.

—

OVR-7.5-08 Το ιδιωτικό κλειδί υπογραφής ενός παρόχου υπηρεσιών πληρωμών εξάγεται και εισάγεται σε διαφορετική ασφαλή κρυπτογραφική διάταξη μόνον όταν η εν λόγω εξαγωγή και εισαγωγή πραγματοποιούνται με ασφάλεια και σύμφωνα με την πιστοποίηση των εν λόγω διατάξεων.

—

OVR-7.8-03 Η σάρωση τρωτών σημείων που απαιτείται από το REQ-7.8-13 του ETSI EN 319 401 [1] εκτελείται τουλάχιστον μία φορά ανά τρίμηνο.

—

OVR-7.8-04 Η δοκιμή παρείσδυσης που απαιτείται από τη REQ-7.8-17X του ETSI EN 319 401 [1] εκτελείται τουλάχιστον μία φορά ετησίως.

—

OVR-7.8-05 Τα τείχη προστασίας διαμορφώνονται έτσι ώστε να αποτρέπονται όλα τα πρωτόκολλα και οι προσβάσεις που δεν απαιτούνται για τη λειτουργία του παρόχου υπηρεσιών πληρωμών.

—

OVR-7.14-03A Η αξιολόγηση των αλγορίθμων κρυπτογράφησης στις OVR-7.14.01 και OVR-7.14.02 συμμορφώνεται με τους συμφωνημένους κρυπτογραφικούς μηχανισμούς που εγκρίνει η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και δημοσιεύει ο ENISA [8].

—

ΣΗΜΕΙΩΣΗ άκυρο.

—

OVR-7.12-01A Το σχέδιο τερματισμού του παρόχου υπηρεσιών εμπιστοσύνης συμμορφώνεται με τις απαιτήσεις που ορίζονται στις εκτελεστικές πράξεις που εκδίδονται σύμφωνα με το άρθρο 24 παράγραφος 5 του κανονισμού (ΕΕ) αριθ. 910/2014 [i.2].

—

OVR-7.17-01 Ισχύουν οι απαιτήσεις που ορίζονται στο ETSI EN 319 401 [1], σημείο 7.14.

—

OVR-A-02 [PDS][PDS+PGD]

—

OVR-A-03 [PDS][PDS+PGD] Οι χρονοσφραγίδες που χρησιμοποιούνται στα αποδεικτικά στοιχεία διαφύλαξης είναι εγκεκριμένες χρονοσφραγίδες σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 910/2014 [i.2].

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) «Ηλεκτρονικές υπογραφές και υποδομές εμπιστοσύνης (ESI)· Διαδικασίες για τη δημιουργία και την επικύρωση ψηφιακών υπογραφών AdES· Μέρος 1: Δημιουργία και επικύρωση».

—

Όλες οι αναφορές στο «ETSI TS 119 102-1 [1]» νοούνται ως αναφορές στο «ETSI EN 319 102-1 [1]».

—

[2] ETSI TS 119 612 (V2.3.1) «Ηλεκτρονικές Υπογραφές και Υποδομές (ESI)· Κατάλογοι εμπιστοσύνης».

—

[13] ETSI TS 119 101 V1.1.1 (2016-03) «Ηλεκτρονικές υπογραφές και υποδομές (ESI)· Απαιτήσεις πολιτικής και ασφάλειας για τις αιτήσεις δημιουργίας υπογραφής και επικύρωσης υπογραφής».

—

i) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη αντιπροσωπεύει άγκυρα εμπιστοσύνης, δεν χρησιμοποιούνται οι περιορισμοί «RevocationCheckingConstraints».

—

ii) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη δεν αντιπροσωπεύει άγκυρα εμπιστοσύνης, οι περιορισμοί «RevocationCheckingConstraints» ορίζονται ως «eitherCheck», όπως καθορίζεται στο ETSI TS 119 172-1 [3], σημείο A.4.2.1, πίνακας A.2 σειρές ιγ) 2.1.

—

iii) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη αντιπροσωπεύει άγκυρα εμπιστοσύνης, δεν χρησιμοποιούνται οι περιορισμοί «RevocationFreshnessConstraints» που καθορίζονται στο ETSI TS 119 172-1 [3], σημείο A.4.2.1 πίνακας A.2 σειρές ιγ) 2.2.

—

iv) Εάν ένα πιστοποιητικό οντότητας-τελικού αποδέκτη δεν αντιπροσωπεύει άγκυρα εμπιστοσύνης, χρησιμοποιούνται οι περιορισμοί «RevocationFreshnessConstraints» που καθορίζονται στο ETSI TS 119 172-1 [3], σημείο Α.4.2.1, πίνακας Α.2 σειρές ιγ) 2.2, με μέγιστη τιμή 0 για το πιστοποιητικό υπογραφής, ώστε να διασφαλιστεί ότι οι πληροφορίες για την ανάκληση γίνονται δεκτές μόνο εάν έχουν εκδοθεί μετά τον βέλτιστο χρόνο υπογραφής. Δεν ορίζεται καμία τιμή για τους περιορισμούς «RevocationFreshnessConstraints» όταν πρόκειται για άλλα πιστοποιητικά εκτός του πιστοποιητικού υπογραφής, συμπεριλαμβανομένων των πιστοποιητικών που υποστηρίζουν χρονοσφραγίδες.

—

REQ-4.3-02 Οι αιτήσεις επικύρωσης υπογραφής συμμορφώνονται με το ETSI TS 119 101 [13].

—

REQ-4.4.2-03 Εάν οποιοσδήποτε από τους ελέγχους που προσδιορίζονται στη REQ-4.4.2-01 αποτύχει, τότε: