—

ETSI EN 319 401 V3.1.1 (2024-06), «Electronic Signatures and Trust Infrastructures (ESI)»; «General Policy Requirements for Trust Service Providers».

—

ETSI EN 319 421 V1.3.1 (2025-07), «Electronic Signatures and Infrastructures (ESI)»; «Policy and Security Requirements for Trust Service Providers issuing Time-Stamps».

—

ISO 14721:2025, «Space Data System Practices — Reference model for an open archival information system (OAIS)».

—

ACM-ECCG; gruppo europeo per la certificazione della cibersicurezza, sottogruppo sulla crittografia: «Agreed Cryptographic Mechanisms» (meccanismi crittografici concordati) pubblicati dall’Agenzia dell’Unione europea per la cibersicurezza (ENISA).

—

Regolamento (UE) 2024/482; regolamento di esecuzione (UE) 2024/482 della Commissione (1).

—

Regolamento (UE) 2024/3144; regolamento di esecuzione (UE) 2024/3144 della Commissione (2).

—

ISO/IEC 15408:2022 (parti da 1 a 5), «Information security, cybersecurity and privacy protection – Evaluation criteria for IT security».

—

FIPS PUB 140-3 (2019) «Security Requirements for Cryptographic Modules»;

—

Si applicano i requisiti della norma CEN/TS 18170, punto 6.1.

—

Si applicano i requisiti della norma ETSI EN 319 401, punto 5.

—

L’EATSP stabilisce procedure per notificare all’organismo di vigilanza eventuali modifiche nella prestazione del servizio fiduciario di archiviazione elettronica e l’intenzione di cessare tali attività, conformemente ai requisiti commerciali e alle disposizioni legislative e regolamentari pertinenti, anche conformemente ai requisiti degli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014 [i.2].

—

L’EATSP effettua la notifica all’organismo di vigilanza competente almeno:

—

Si applicano i requisiti della norma CEN/TS 18170, punto 6.2.

—

Prima di avviare una relazione contrattuale gli abbonati e le parti facenti affidamento sul servizio fiduciario di archiviazione elettronica sono informati in modo chiaro, completo e facilmente accessibile, in uno spazio accessibile al pubblico e individualmente, di termini e condizioni precisi;

—

Si applicano i requisiti della norma CEN/TS 18170, punto 7.3.

—

Il personale dell’EATSP in ruoli di fiducia e, se del caso, i subcontraenti dell’EATSP in ruoli di fiducia sono in grado di soddisfare il requisito in materia di «competenze, esperienza e qualifiche» mediante formazione e credenziali formali, o effettiva esperienza, o una combinazione di entrambe. Sono compresi aggiornamenti periodici (almeno ogni 12 mesi) sulle nuove minacce e sulle attuali pratiche di sicurezza;

—

Il sistema di archiviazione deve garantire la riservatezza dei dati e dei documenti durante l’intero ciclo di vita dell’archivio, dal deposito all’eliminazione.

—

Si applicano i requisiti specificati nella norma ETSI EN 319 401, sottopunto 7.5 «Controlli crittografici».

—

L’origine dei dati da archiviare nel sistema di archiviazione elettronica è stabilita dall’EATSP. Se a tal fine sono utilizzati firme elettroniche o sigilli elettronici, tali firme elettroniche o sigilli elettronici sono qualificati.

—

Quando l’EATSP appone una firma digitale su (parte di) un oggetto o una registrazione digitale, la chiave di firma privata dell’EATSP è conservata e utilizzata all’interno di un dispositivo qualificato per la creazione di una firma elettronica o di un sigillo elettronico o di un dispositivo crittografico sicuro che è un sistema affidabile certificato conformemente:

—

Tale certificazione riguarda un obiettivo di sicurezza o un profilo di protezione, o la progettazione di un modulo e la documentazione di sicurezza, che soddisfano i requisiti del presente documento, sulla base di un’analisi dei rischi e tenendo conto delle misure di sicurezza fisiche e di altre misure di sicurezza non tecniche.

—

Se il dispositivo crittografico sicuro beneficia di una certificazione EUCC (regolamento (UE) 2024/482, regolamento (UE) 2024/3144), tale dispositivo è configurato e utilizzato conformemente a tale certificazione.

—

L’EATSP monitora la resistenza dell’algoritmo crittografico che è stato ed è utilizzato. Nel caso in cui si ritenga che uno degli algoritmi o dei parametri utilizzati diventi inadeguato come definito nella gestione dei rischi, l’EATSP aggiorna la relativa politica di archiviazione o crea un nuovo profilo di archiviazione per gestire i pacchetti di archiviazione (Archive Information Package, AIP) e definire ed eseguire misure adeguate.

—

La valutazione degli algoritmi crittografici e il loro utilizzo da parte dell’EATSP sono conformi ai meccanismi crittografici concordati approvati dal gruppo europeo per la certificazione della cibersicurezza e pubblicati dall’ENISA (ACM-ECCG).

—

I componenti tecnici dell’EATS si autenticano reciprocamente sulla base di tecniche crittografiche prima di comunicare;

—

Si applicano i requisiti specificati nella norma ETSI EN 319 401, sottopunto 7.8 «Sicurezza della rete».

—

La scansione delle vulnerabilità richiesta dal requisito REQ-7.8-13 della norma ETSI EN 319 401 è eseguita almeno una volta a trimestre.

—

Il test di penetrazione richiesto dal requisito REQ-7.8-17X della norma ETSI EN 319 401 è eseguito almeno una volta all’anno.

—

I firewall sono configurati in modo da bloccare tutti i protocolli e gli accessi non richiesti per il funzionamento dell’EATSP;

—

Si applicano i requisiti specificati nella norma ETSI EN 319 401, sottopunto 7.10 «Raccolta di prove», anche per gli eventi critici e non critici (cfr. sottopunto 13.2);

—

Si applicano i requisiti della norma CEN/TS 18170, punto 7.13.

—

Il piano di cessazione dell’EATSP è conforme ai requisiti stabiliti negli atti di esecuzione adottati a norma dell’articolo 24, paragrafo 5, del regolamento (UE) n. 910/2014;

—

Si applicano i requisiti della norma CEN/TS 18170, punto 13.3.1.

—

Quando utilizza la marcatura temporale, l’EATSP utilizza una marcatura temporale qualificata.