REGOLAMENT TA’ IMPLIMENTAZZJONI TAL-KUMMISSJONI (UE) 2025/1946
tad-29 ta’ Settembru 2025
li jistabbilixxi regoli għall-applikazzjoni tar-Regolament (UE) Nru 910/2014 tal-Parlament Ewropew u tal-Kunsill fir-rigward ta’ servizzi kwalifikati ta’ preservazzjoni għall-firem elettroniċi kwalifikati u għas-siġilli elettroniċi kwalifikati
IL-KUMMISSJONI EWROPEA,
Wara li kkunsidrat it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea,
Wara li kkunsidrat ir-Regolament (UE) Nru 910/2014 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Lulju 2014 dwar l-identifikazzjoni elettronika u s-servizzi fiduċjarji għal tranżazzjonijiet elettroniċi fis-suq intern u li jħassar id-Direttiva 1999/93/KE (1), u b’mod partikolari l-Artikolu 34(2) u l-Artikolu 40 tiegħu,
Billi:
|
(1)
|
Servizzi kwalifikati ta’ preservazzjoni għall-firem elettroniċi kwalifikati u għas-siġilli elettroniċi kwalifikati jiżguraw l-integrità fit-tul, l-awtentiċità, il-prova tal-eżistenza u l-aċċessibbiltà tal-evidenza tal-preservazzjoni ta’ dawk il-firem elettroniċi u s-siġilli elettroniċi. Dan jippermetti t-turija tal-validità legali tagħhom tul perjodi taż-żmien estiżi u jiggarantixxi li jkunu jistgħu jiġu vvalidati irrispettivament mill-bidliet teknoloġiċi futuri. Dawn is-servizzi jiġu pprovduti b’mod indipendenti, jew bħala parti minn servizz fiduċjarju kwalifikat ieħor bħal servizzi ta’ arkivjar elettroniku kwalifikat.
|
|
(2)
|
Il-preżunzjoni tal-konformità stabbilita fl-Artikolu 34(1a) u fl-Artikolu 40 tar-Regolament (UE) Nru 910/2014 jenħtieġ li tapplika biss meta s-servizzi kwalifikati ta’ preservazzjoni għall-firem elettroniċi kwalifikati u għas-siġilli elettroniċi kwalifikati jkunu konformi mal-istandards stabbiliti f’dan ir-Regolament. Dawn l-istandards jenħtieġ li jkunu jirriflettu prattiki stabbiliti u jiġu rikonoxxuti b’mod wiesa’ fis-setturi rilevanti. Jenħtieġ li dawn jiġu adattati biex jinkludu kontrolli addizzjonali li jiżguraw is-sigurtà u l-affidabbiltà tas-servizz fiduċjarju kwalifikat, kif ukoll il-kapaċità li jiġu vverifikati l-istatus kwalifikat u l-validità teknika tal-firem u tas-siġilli maż-żmien.
|
|
(3)
|
Jekk fornitur tas-servizzi fiduċjarju josserva r-rekwiżiti stabbiliti fl-Anness ta’ dan ir-Regolament, il-korpi superviżorji jenħtieġ li jassumu l-konformità mar-rekwiżiti rilevanti tar-Regolament (UE) Nru 910/2014 u jqisu kif xieraq dik il-preżunzjoni waqt l-għoti jew il-konferma tal-istatus kwalifikat tas-servizz fiduċjarju. Iżda fornitur kwalifikat tas-servizzi fiduċjarji xorta jista’ jistrieħ fuq prattiki oħra biex juri l-konformità mar-rekwiżiti tar-Regolament (UE) Nru 910/2014.
|
|
(4)
|
Il-Kummissjoni tivvaluta regolarment teknoloġiji, prattiki, standards jew speċifikazzjonijiet tekniċi ġodda. F’konformità mal-Premessa 75 tar-Regolament (UE) 2024/1183 tal-Parlament Ewropew u tal-Kunsill (2), il-Kummissjoni jenħtieġ li tirrieżamina u taġġorna dan ir-Regolament, jekk ikun meħtieġ, biex iżżommu konformi mal-iżviluppi globali, teknoloġiji, standards jew speċifikazzjonijiet tekniċi ġodda, u biex issegwi l-aqwa prattiki fis-suq intern.
|
|
(5)
|
Ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill (3) u, meta rilevanti, id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill (4) japplikaw għall-attivitajiet tal-ipproċessar tad-data personali skont dan ir-Regolament.
|
|
(6)
|
Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat f’konformità mal-Artikolu 42(1) tar-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (5) u ta l-opinjoni tiegħu fis-6 ta’ Ġunju 2025.
|
|
(7)
|
Il-miżuri previsti f’dan ir-Regolament huma f’konformità mal-opinjoni tal-kumitat stabbilit bl-Artikolu 48 tar-Regolament (UE) Nru 910/2014,
|
ADOTTAT DAN IR-REGOLAMENT:
Artikolu 1
Standards ta’ referenza u speċifikazzjonijiet
L-istandards ta’ referenza u l-ispeċifikazzjonijiet imsemmija fl-Artikolu 34(2) u fl-Artikolu 40 tar-Regolament (UE) Nru 910/2014 huma stabbiliti fl-Anness ta’ dan ir-Regolament.
Artikolu 2
Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.
Dan ir-Regolament għandu jorbot fl-intier tiegħu u japplika direttament fl-Istati Membri kollha.
Magħmul fi Brussell, id-29 ta’ Settembru 2025.
Għall-Kummissjoni
Il-President
Ursula VON DER LEYEN
(1)
ĠU L 257, 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj.
(2) Ir-Regolament (UE) 2024/1183 tal-Parlament Ewropew u tal-Kunsill tal-11 ta’ April 2024 li jemenda r-Regolament (UE) Nru 910/2014 fir-rigward tal-istabbiliment tal-Qafas Ewropew għall-Identità Diġitali (ĠU L, 2024/1183, 30.4.2024, ELI: http://data.europa.eu/eli/reg/2024/1183/oj).
(3) Ir-Regolament (EU) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas-27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU L 119, 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(4) Id-Direttiva 2002/58/KE tal-Parlament Ewropew u tal-Kunsill tat-12 ta’ Lulju 2002 dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika) (ĠU L 201, 31.7.2002, p. 37, ELI: http://data.europa.eu/eli/dir/2002/58/oj).
(5) Ir-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (ĠU L 295, 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
ANNESS
Lista tal-istandards ta’ referenza u l-ispeċifikazzjonijiet imsemmija fl-Artikolu 2
L-istandards ETSI TS 119 511 V1.1.1 (2019-06) (“ETSI TS 119 511
”), u ETSI TS 119 172-4 V1.1.1 (2021-05) (“ETSI TS 119 172-4”) japplikaw bl-adattamenti li ġejjin:
|
1.
|
Għal ETSI TS 119 511
|
(1)
|
2.1 Referenzi normattivi:
|
—
|
[1] ETSI EN 319 401 V3.1.1 (2024-06) “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ Politika Ġenerali għall-Fornituri tas-Servizzi Fiduċjarji”.
|
|
—
|
[2] ETSI TS 119 612 (V2.3.1) “Firem u Infrastrutturi Elettroniċi (ESI); Listi ta’ Fiduċja”.
|
|
—
|
[5] FIPS PUB 140-3 (2019) “Rekwiżiti tas-Sigurtà għall-Moduli Kriptografiċi”.
|
|
—
|
[6] Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/482 (1) li jistabbilixxi r-regoli għall-applikazzjoni tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill fir-rigward tal-adozzjoni tal-iskema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà bbażata fuq il-Kriterji Komuni (EUCC).
|
|
—
|
[7] Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/3144 (2) li jemenda r-Regolament ta’ Implimentazzjoni (UE) 2024/482 fir-rigward tal-istandards internazzjonali applikabbli u li jikkoreġi dak ir-Regolament ta’ Implimentazzjoni.
|
|
—
|
[8] Il-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà, Sottogrupp dwar il-Kriptografija: “Agreed Cryptographic Mechanisms” ippubblikati mill-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (“ENISA”) (3).
|
|
—
|
[9] ETSI TS 119 172-4 V1.1.1 (2021-05) “Firem u Infrastrutturi Fiduċjarji Elettroniċi (ESI); Politiki dwar il-Firem; Parti 4: Regoli dwar l-applikabbiltà tal-firma (politika tal-validazzjoni) għall-firem/siġilli elettroniċi kwalifikati Ewropej bl-użu tal-listi ta’ fiduċja”.
|
|
—
|
[10] ISO/IEC 15408:2022 (Partijiet 1 sa 5) “Informazzjoni, iċ-ċibersigurtà u l-protezzjoni tal-privatezza – Kriterji tal-evalwazzjoni għas-sigurtà tal-IT”
|
|
|
(2)
|
3.1 Termini
|
—
|
apparat kriptografiku sigur: apparat li jżomm il-kjavi privata tal-utent, jipproteġi lil din il-kjavi mill-kompromess u jwettaq funzjonijiet ta’ ffirmar jew dekriptaġġ f’isem l-utent.
|
|
|
(3)
|
6.4 Profili tal-preservazzjoni
|
—
|
OVR-6.4-08A [WTS][WOS] It-tul tal-evidenza mistennija għandha tkun f’konformità mal-Mekkaniżmi Kriptografiċi Miftiehma approvati mill-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà u ppubblikati mill-ENISA [8].
|
|
|
(4)
|
6.5 Politika tal-evidenza tal-preservazzjoni
|
—
|
OVR-6.5-04A L-algoritmi kriptografiċi użati għandhom ikunu f’konformità mal-Mekkaniżmi Kriptografiċi Miftiehma approvati mill-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà u ppubblikati mill-ENISA [8].
|
|
|
(5)
|
7.2 Riżorsi umani
|
—
|
OVR-7.2-02 Il-persunal tal-PSP bi rwoli ta’ fiduċja, u jekk applikabbli s-subkuntratturi tiegħu bi rwoli fdati, għandu jkun jista’ jissodisfa r-rekwiżit ta’ “għarfien espert, esperjenza u kwalifiki” b’taħriġ u kredenzjali formali, jew b’esperjenza reali, jew b’taħlita tat-tnejn.
|
|
—
|
OVR-7.2-03 Il-konformità ma’ OVR-7.2-02 għandha tinkludi aġġornamenti regolari (imqar kull 12-il xahar) dwar theddid ġdid u prattiki attwali tas-sigurtà.
|
|
|
(6)
|
7.5 Kontrolli kriptografiċi
|
—
|
OVR-7.5-05 [KUNDIZZJONALI] Meta l-PSP jiffirma (parti minn) evidenza tal-preservazzjoni, il-kjavi tal-iffirmar privata tal-PSP għandha tinżamm u tintuża f’apparat kriptografiku sigur li jkun sistema affidabbli ċċertifikata f’konformità ma’:
|
(a)
|
Il-Kriterji Komuni għall-Evalwazzjoni tas-Sigurtà tat-Teknoloġija tal-Informazzjoni, kif stabbiliti f’ISO/IEC 15408 [10] jew fil-Kriterji Komuni għall-Evalwazzjoni tas-Sigurtà tat-Teknoloġija tal-Informazzjoni, il-verżjoni CC:2022, il-Partijiet 1 sa 5, ippubblikati mill-parteċipanti tal-Arranġament dwar ir-Rikonoxximent taċ-Ċertifikati tal-Kriterji Komuni fil-qasam tas-Sigurtà tal-IT, u ċċertifikati għal EAL 4 jew ogħla; jew
|
|
(b)
|
EUCC [6][7] u ċċertifikat għal EAL 4 jew ogħla; jew
|
|
(c)
|
sal-31.12.2030, FIPS PUB 140-3 [5] livell 3.
|
Din iċ-ċertifikazzjoni għandha tkun għal mira tas-sigurtà jew profil tal-protezzjoni, jew għal dokumentazzjoni tad-disinn u tas-sigurtà tal-modulu, li tkun tissodisfa r-rekwiżiti ta’ dan id-dokument, abbażi ta’ analiżi tar-riskju u b’kunsiderazzjoni ta’ miżuri tas-sigurtà fiżiċi u miżuri mhux tekniċi oħrajn.
Jekk l-apparat kriptografiku sigur jibbenefika minn ċertifikazzjoni tal-EUCC [6][7], dan l-apparat għandu jiġi kkonfigurat u użat f’konformità ma’ dik iċ-ċertifikazzjoni.
|
|
—
|
OVR-7.5-06 [KUNDIZZJONALI] null.
|
|
—
|
OVR-7.5-07 [KUNDIZZJONALI] Meta l-PSP jiffirma (parti minn) evidenza tal-preservazzjoni, kwalunkwe kopja ta’ riżerva tal-kjavi privati tal-iffirmar tal-PSP għandha tkun protetta biex ikunu żgurati l-integrità u l-kunfidenzjalità tagħha mill-apparat kriptografiku sigur qabel ma tinħażen barra minn dak l-apparat.
|
|
—
|
OVR-7.5-08 Kjavi tal-iffirmar privata ta’ PSP għandha tiġi esportata u importata biss f’apparat kriptografiku sigur differenti meta dik l-esportazzjoni u dik l-importazzjoni jiġu implimentati b’mod sigur u f’konformità maċ-ċertifikazzjoni ta’ dawk l-apparati.
|
|
|
(7)
|
7.8 Sigurtà tan-network
|
—
|
OVR-7.8-03 L-iskennjar għall-vulnerabbiltajiet mitlub minn REQ-7.8-13 ta’ ETSI EN 319 401 [1] għandu jsir imqar darba kull trimestru.
|
|
—
|
OVR-7.8-04 It-test tal-penetrazzjoni mitlub minn REQ-7.8-17X ta’ ETSI EN 319 401 [1] għandu jsir imqar darba fis-sena.
|
|
—
|
OVR-7.8-05 Il-firewalls għandhom jiġu kkonfigurati biex iwaqqfu l-protokolli u l-aċċessi kollha mhux meħtieġa għall-operazzjoni tal-PSP.
|
|
|
(8)
|
7.14 Monitoraġġ kriptografiku
|
—
|
OVR-7.14-03A L-evalwazzjoni tal-algoritmi kriptografiċi f’OVR-7.14.01 u f’OVR-7.14.02 għandha tkun f’konformità mal-Mekkaniżmi Kriptografiċi Miftiehma approvati mill-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà u ppubblikati mill-ENISA [8].
|
|
|
(9)
|
7.12 Terminazzjoni tat-TSP u pjanijiet tat-terminazzjoni
|
—
|
OVR-7.12-01A Il-pjan tat-terminazzjoni tat-TSP għandu jkun f’konformità mar-rekwiżiti stabbiliti fl-atti ta’ implimentazzjoni adottati skont l-Artikolu 24(5) tar-Regolament (UE) Nru 910/2014 [i.2].
|
|
|
(10)
|
7.17 Katina tal-provvista
|
—
|
OVR-7.17-01 Għandhom japplikaw ir-rekwiżiti speċifikati f’ETSI EN 319 401 [1], il-klawżola 7.14.
|
|
|
(11)
|
Anness A (normattiv): Servizz tal-preservazzjoni kwalifikat għall-QES kif definit fl-Artikolu 34 tar-Regolament (UE) Nru 910/2014
|
—
|
OVR-A-02 [PDS][PDS+PGD]
|
(a)
|
is-servizz tal-preservazzjoni għandu jippreserva l-informazzjoni kollha meħtieġa għall-verifika tal-istatus kwalifikat tal-firma jew tas-siġill elettroniku li ma jkunx disponibbli għall-pubbliku sa tmiem il-perjodu tal-preservazzjoni;
|
|
(b)
|
is-servizz tal-preservazzjoni għandu jiżgura li, fi kwalunkwe ħin partikolari tul il-perjodu tal-preservazzjoni, l-informazzjoni ppreservata tkun tali li, meta tingħata bħala input għall-proċess speċifikat fil-klawżola 4.4 tal-ETSI TS 119 172-4 [9], l-output ta’ dan il-proċess jiddetermina b’mod ċar jekk il-firma jew is-siġill diġitali kienx, waqt il-preservazzjoni tiegħu, teknikament xieraq biex jimplimenta firma elettronika kwalifikata tal-UE jew siġill elettroniku kwalifikat tal-UE.
|
|
|
—
|
OVR-A-03 [PDS][PDS+PGD] It-timbri tal-ħin użati fl-evidenza tal-preservazzjoni għandhom ikunu timbri tal-ħin kwalifikati skont ir-Regolament (UE) Nru 910/2014 [i.2].
|
|
|
|
2.
|
Għal ETSI TS 119 172-4
|
(1)
|
2.1 Referenzi normattivi:
|
—
|
[1] ETSI EN 319 102-1 V1.4.1 (2024-06) “Firem u Infrastrutturi Fiduċjarji Elettroniċi (ESI); Proċeduri għall-Ħolqien u l-Validazzjoni tal-Firem Diġitali AdES; Parti 1: Ħolqien u Validazzjoni”.
|
|
—
|
Ir-referenzi kollha għal “ETSI TS 119 102-1 [1]” għandhom jinftiehmu bħala referenzi għal “ETSI EN 319 102-1 [1]”.
|
|
—
|
[2] ETSI TS 119 612 (V2.3.1) “Firem u Infrastrutturi Elettroniċi (ESI); Listi ta’ Fiduċja”.
|
|
—
|
[13] ETSI TS 119 101 V1.1.1 (2016-03) “Firem u Infrastrutturi Elettroniċi (ESI); Rekwiżiti ta’ politika u tas-sigurtà għall-applikazzjonijiet għall-ħolqien tal-firem u għall-validazzjoni tal-firem”.
|
|
|
(2)
|
4.2 Limitazzjonijiet tal-validazzjoni u proċeduri tal-validazzjoni, ir-rekwiżiti tal-validazzjoni ta’ RED-4.2-03, it-taqsima “Limitazzjonijiet tal-validazzjoni 509”, il-punt c):
|
—
|
(i) Jekk ċertifikat ta’ entità finali jkun jirrappreżenta ankra ta’ fiduċja, RevocationCheckingConstraints ma għandhiex tintuża.
|
|
—
|
(ii) Jekk ċertifikat ta’ entità finali ma jkunx jirrappreżenta ankra ta’ fiduċja, RevocationCheckingConstraints għandha tiġi ssettjata għal “eitherCheck” kif definit f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.1.
|
|
—
|
(iii) Jekk ċertifikat ta’ entità finali jkun jirrappreżenta ankra ta’ fiduċja, RevocationFreshnessConstraints kif definita f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.2 ma għandhiex tintuża.
|
|
—
|
(iv) Jekk ċertifikat ta’ entità finali ma jkunx jirrappreżenta ankra ta’ fiduċja, RevocationFreshnessConstraint definita f’ETSI TS 119 172-1 [3], il-klawżola A.4.2.1, it-tabella A.2, ir-ringieli (m)2.2, għandha tintuża b’valur massimu ta’ 0 għaċ-ċertifikat tal-iffirmar, filwaqt li jkun żgurat li l-informazzjoni dwar ir-revoka tiġi aċċettata biss jekk tkun inħarġet wara l-aħjar ħin tal-firma. Ma għandu jiġi stabbilit l-ebda valur għal RevocationFreshnessConstraints għal ċertifikati għajr iċ-ċertifikat tal-iffirmar, inkluż ċertifikati li jappoġġaw it-timbri tal-ħin.
|
|
|
(3)
|
4.3 Rekwiżiti dwar il-validazzjoni tal-firma u l-prattiki ta’ verifika tar-regoli dwar l-applikabbiltà
|
—
|
REQ-4.3-02 L-applikazzjonijiet tal-validazzjoni tal-firem għandhom ikunu f’konformità ma’ ETSI TS 119 101 [13].
|
|
|
(4)
|
4.4 Proċess tal-verifika tal-applikabbiltà teknika (jew ir-regoli tagħha)
|
—
|
REQ-4.4.2-03 Jekk kwalunkwe kontroll speċifikat f’REQ-4.4.2-01 ma jaħdimx,:
|
—
|
il-firma għandha tiġi ddeterminata teknikament bħala indeterminata, jiġifieri la bħala firma elettronika kwalifikata tal-UE, u lanqas bħala siġill elettroniku kwalifikat tal-UE;
|
|
—
|
ir-riżultat ta’ hawn fuq u r-riżultati tal-proċessi, tal-proċessi intermedji kollha għandhom jiġu riflessi fir-rapport tal-verifika tar-regoli dwar l-applikabbiltà tal-firma.
|
|
|
|
(1)
ĠU L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj.
(2)
ĠU L, 2024/3144, 19.12.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/3144/oj.
(3)
https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en.
