—

ETSI EN 319 401 V3.1.1 (2024-06) „Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers“;

—

ETSI EN 319 421 V1.3.1 (2025-07) „Electronic Signatures and Trust Infrastructures (ESI); Policy and Security Requirements for Trust Service Providers issuing Time-Stamps“;

—

ISO 14721:2025 „Space Data System Practices — Reference model for an open archival information system (OAIS)“;

—

ACM-ECCG, Euroopa küberturvalisuse sertifitseerimise rühm, krüptograafia alarühm: „Agreed Cryptographic Mechanisms“, avaldanud Euroopa Liidu Küberturvalisuse Amet (ENISA);

—

KRM (EL) 2024/482: komisjoni rakendusmäärus (EL) 2024/482 (1);

—

KRM (EL) 2024/3144: komisjoni rakendusmäärus (EL) 2024/3144 (2);

—

ISO/IEC 15408:2022 (1.–5. osa) „Information security, cybersecurity and privacy protection – Evaluation criteria for IT security“;

—

FIPS PUB 140-3 (2019) „Security Requirements for Cryptographic Modules“.

—

Kehtivad CEN/TS 18170 punktis 6.1 esitatud nõuded.

—

Kehtivad standardi ETSI EN 319 401 punktis 5 esitatud nõuded.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja kehtestab menetlused, et teatada järelevalveasutusele kõigist muudatustest elektroonilise arhiveerimine usaldusteenuse osutamises ja kavatsusest see tegevus lõpetada, järgides talitlusnõudeid ning vastavaid õigusakte, sealhulgas määruse (EL) nr 910/2014 [i.2] artikli 24 lõike 5 kohaselt vastu võetud rakendusaktides esitatud nõudeid.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja teatab pädevale järelevalveasutusele vähemalt:

—

Kehtivad CEN/TS 18170 punktis 6.2 esitatud nõuded.

—

Elektroonilise arhiveerimise usaldusteenuse abonentidele ja selle kasutajatele teatatakse enne lepingulise suhte loomist selgel, arusaadaval ja hõlpsasti mõistetaval viisil avalikus keskkonnas ja eraldi täpsed tingimused.

—

Kehtivad CEN/TS 18170 punktis 7.3 esitatud nõuded.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja usaldusrolle täitvad töötajad ja tema usaldusrolle täitvad alltöövõtjad (kui see on asjakohane) peavad rahuldama erialaste teadmiste, kogemuste ja kvalifikatsiooni nõuet ametliku koolituse ja tõenditega, tegeliku töökogemusega või nende kahe kombinatsiooniga. See hõlmab uute ohtude ja käibivate turvatavade teemalist teadmiste korrapärast (vähemalt iga 12 kuu järel) ajakohastamist.

—

Arhiveerimissüsteem peab tagama andmete ja dokumentide konfidentsiaalsuse kogu arhiivi elutsükli jooksul alates selle arhiveerimisest kuni selle kustutamiseni.

—

Kehtivad standardi ETSI EN 319 401 alapunktis 7.5 „Cryptographic controls“ esitatud nõuded.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja teeb kindlaks elektroonilises arhiivis arhiveeritud andmete päritolu. Kui ta kasutab selleks e-allkirju või e-templeid, siis peavad need e-allkirjad või e-templid olema kvalifitseeritud.

—

Kui elektroonilise arhiveerimise usaldusteenuse osutaja allkirjastab (osaliselt) digitaalobjekti või digitaalse registri, tuleb elektroonilise arhiveerimise usaldusteenuse osutaja privaatset signeerimisvõtit hoida ja kasutada kas kvalifitseeritud e-allkirja või -templi loomise vahendis või turvalises krüptovahendis, mis on usaldusväärne süsteem, mis on sertifitseeritud kooskõlas järgmisega:

—

See sertifitseerimine peab käsitlema vastavust sellisele turvasihile või kaitseprofiilile või moodulprojektile ja turvadokumentatsioonile, mis vastab käesoleva dokumendi nõuetele, tuginedes riskianalüüsile ning võttes arvesse füüsilisi ja muid mittetehnilisi turbemeetmeid.

—

Kui turvalisel krüptoseadmel on EUCC sertifikaat (RM (EL) 2024/482, KRM (EL) 2024/3144), siis konfigureeritakse see seade ja seda kasutatakse vastavalt sellele sertifikaadile.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja jälgib seda, kui tugevad on krüptoalgoritmid, mida kasutati ja kasutatakse. Juhul kui arvatakse, et üks kasutatud algoritmidest või parameetritest on muutunud riskijuhtimise tähenduses sobimatuks, peab elektroonilise arhiveerimise usaldusteenuse osutaja kas vastavat arhiveerimispoliitikat ajakohastama või looma arhiiviinfopakettide käitlemiseks uue arhiveerimisprofiili ning määratlema ja võtma kohased meetmed.

—

Krüptoalgoritmide hindamine ja nende kasutamine elektroonilise arhiveerimise usaldusteenuse osutaja poolt peab olema kooskõlas Euroopa küberturvalisuse sertifitseerimise rühma kinnitatud ja ENISA avaldatud dokumendiga „Agreed Cryptographic Mechanisms“.

—

Elektroonilise arhiveerimise usaldusteenuse tehnilised komponendid peavad enne omavahelist suhtlust üksteist autentima.

—

Kehtivad standardi ETSI EN 319 401 alapunktis 7.8 „Network security“ esitatud nõuded.

—

Standardi ETSI EN 319 401 nõude REQ-7.8-13 kohane nõrkuste skaneerimine tuleb teha vähemalt kord kvartalis.

—

Standardi ETSI EN 319 401 nõude REQ-7.8-17X kohane läbistustest tuleb teha vähemalt kord aastas.

—

Tulemüürid peavad olema konfigureeritud nii, et oleks välistatud kõik protokollid ja juurdepääsud, mis ei ole elektroonilise arhiveerimise usaldusteenuse osutaja tööks vajalikud.

—

Kehtivad standardi ETSI EN 319 401 alapunktis 7.10 „Collection of evidence“ esitatud nõuded, sealhulgas kriitiliste ja mittekriitiliste sündmuste puhul (vt alapunkt 13.2).

—

Kehtivad CEN/TS 18170 punktis 7.13 esitatud nõuded.

—

Elektroonilise arhiveerimise usaldusteenuse osutaja tegevuse lõpetamise kava peab vastama nõuetele, mis on kehtestatud määruse (EL) nr 910/2014 artikli 24 lõike 5 kohaselt vastu võetud rakendusaktidega.

—

Kehtivad CEN/TS 18170 punktis 13.3.1 esitatud nõuded.

—

Ajatempleid kasutades peab elektroonilise arhiveerimise usaldusteenuse osutaja kasutama kvalifitseeritud ajatemplit.