—

de functionele en technische capaciteiten van het platform voor elektronische registers en het gebruik ervan tijdens de registratie van gegevens in een gekwalificeerd elektronisch register als gekwalificeerde vertrouwensdienst;

—

de specifieke authenticatiemechanismen van de gegevensoorsprong die bij het verlenen van de dienst worden gebruikt;

—

de specifieke mechanismen voor chronologische ordening die bij het verlenen van de dienst worden gebruikt;

—

indien van toepassing, de cryptografische link om de volgorde van gegevensbestanden te garanderen;

—

indien van toepassing, het consensusmechanisme dat de finaliteit en de integriteit van in het register opgeslagen gegevensbestanden en transacties garandeert, inclusief de waarschuwingstijd totdat finaliteit en integriteit zijn bereikt;

—

de specifieke mechanismen voor gegevensintegriteit die bij het verlenen van de dienst worden gebruikt.

—

REQ-6.2-03 Abonnees en partijen die gebruikmaken van de vertrouwensdienst worden, voordat zij een overeenkomst aangaan, op duidelijke, volledige en gemakkelijk toegankelijke wijze, in een publiekelijk toegankelijke ruimte en individueel, in kennis gesteld van de precieze voorwaarden, inclusief de hierboven genoemde punten.

—

REQ-6.3-04X De verlener van vertrouwensdiensten stelt procedures vast om wijzigingen in de verlening van de vertrouwensdienst aan het toezichthoudend orgaan te melden, conform de zakelijke vereisten en de toepasselijke wet- en regelgeving. De verlener van vertrouwensdiensten licht het toezichthoudende orgaan ten minste op de volgende momenten in:

—

REQ-7.2-04X Het personeel van de verlener van vertrouwensdiensten in vertrouwensrollen is in staat om de eis van “deskundigheid, ervaring en kwalificaties” te vervullen, door middel van formele opleiding en referenties, of feitelijke ervaring, of een combinatie van beide;

—

REQ-7.2-05X Dit gaat gepaard met regelmatig bijgewerkte informatie (ten minste elke twaalf maanden) over nieuwe dreigingen en actuele beveiligingspraktijken.

—

REQ-7.5-01X Er worden passende beveiligingscontroles uitgevoerd voor het beheer van cryptografische sleutels, cryptografische algoritmen en cryptografische apparaten gedurende hun hele levenscyclus, in voorkomend geval volgens een crypto-agility-benadering;

—

REQ-7.5-02 Voor het verlenen van vertrouwensdiensten selecteert en gebruikt de verlener van vertrouwensdiensten geschikte cryptografische technieken in overeenstemming met de door de European Cybersecurity Certification Group goedgekeurde en door Enisa gepubliceerde Agreed Cryptographic Mechanisms [1].

—

REQ-7.5-03 Aanbieders van gekwalificeerde elektronische registers stellen de oorsprong van de gegevensbestanden in het elektronische register vast. Daartoe maken zij gebruik van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten of geavanceerde elektronische zegels op basis van gekwalificeerde certificaten die door de gebruikers van de dienst zijn aangemaakt overeenkomstig de volgende normen en specificaties:

—

REQ-7.5-04 Aanbieders van gekwalificeerde elektronische registers garanderen de unieke chronologische volgorde van de gegevensbestanden in het elektronische register. Daartoe maken zij gebruik van cryptografische links op basis van hashlijsten of hashbomen, met cryptografische hashfuncties, overeenkomstig de volgende specificaties en normen:

—

REQ-7.5-05 Aanbieders van gekwalificeerde elektronische registers garanderen de integriteit van gegevensbestanden in een gekwalificeerd elektronisch register. Daartoe maken zij gebruik van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten of geavanceerde elektronische zegels op basis van gekwalificeerde certificaten overeenkomstig de onderstaande normen en specificaties:

—

REQ-7.5-06 Indien digitale handtekeningmechanismen worden gebruikt, wordt de privésleutel voor ondertekening van de aanbieder van een gekwalificeerd elektronisch register bewaard en gebruikt in een beveiligd cryptografisch apparaat dat een betrouwbaar systeem is dat is gecertificeerd overeenkomstig:

—

REQ-7.8-14X De door REQ-7.8-13 aangevraagde kwetsbaarheidsscan wordt ten minste eenmaal per kwartaal uitgevoerd;

—

REQ-7.8-18X De door REQ-7.8-17X aangevraagde penetratietest wordt ten minste eenmaal per jaar uitgevoerd;

—

REQ-7.8-21X Firewalls worden ook geconfigureerd om alle protocollen en toegangen die niet vereist zijn voor de bedrijfsvoering van de verlener van vertrouwensdiensten te verwijderen.

—

REQ-7.9.1-02X Bij monitoringactiviteiten moet de gevoeligheid van de verzamelde of geanalyseerde informatie in aanmerking worden genomen.

—

REQ-7.12-02A Het beëindigingsplan van de verlener van vertrouwensdiensten voldoet aan de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen [i.1].