—

ETSI EN 319 401 V3.1.1 (2024-06), Elektronische handtekeningen en vertrouwensinfrastructuren (ESI); Algemene beleidseisen voor verleners van vertrouwensdiensten.

—

ETSI EN 319 421 V1.3.1 (2025-07) Elektronische handtekeningen en infrastructuren (ESI); Beleids- en beveiligingseisen voor verleners van vertrouwensdiensten die tijdstempels afgeven.

—

ISO 14721:2025, Space Data System Practices — Reference model for an open archival information system (OAIS).

—

ACM-ECCG, European Cybersecurity Certification Group, Sub-group on Cryptography: “Agreed Cryptographic Mechanisms”, gepubliceerd door het Agentschap van de Europese Unie voor cyberbeveiliging (“Enisa”).

—

CIR (EU) 2024/482, Uitvoeringsverordening (EU) 2024/482 van de Commissie (1).

—

CIR (EU) 2024/3144, Uitvoeringsverordening (EU) 2024/3144 van de Commissie (2).

—

ISO/IEC 15408:2022 (delen 1 tot en met 5) “Informatiebeveiliging, cyberbeveiliging en privacybescherming — Evaluatiecriteria voor IT-beveiliging”.

—

FIPS PUB 140-3 (2019) “Beveiligingseisen voor cryptografische modules”.

—

De voorwaarden van CEN/TS 18170, punt 6.1, zijn van toepassing.

—

De voorwaarden van ETSI EN 319 401, punt 5, zijn van toepassing.

—

De verlener van vertrouwensdiensten voor elektronische archivering (EATSP) stelt procedures vast om het toezichthoudend orgaan in kennis te stellen van wijzigingen in de verlening van de vertrouwensdienst voor elektronische archivering en van het voornemen om die activiteiten te beëindigen, conform de bedrijfsvereisten en de relevante wet- en regelgeving, waaronder de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen [i.2].

—

De EATSP licht het bevoegde toezichthoudende orgaan ten minste op de volgende momenten in:

—

De voorwaarden van CEN/TS 18170, punt 6.2, zijn van toepassing.

—

Abonnees en partijen die gebruikmaken van de vertrouwensdienst voor elektronische archivering worden, voordat zij een overeenkomst aangaan, op duidelijke, volledige en gemakkelijk toegankelijke wijze, in een publiekelijk toegankelijke ruimte en individueel, in kennis gesteld van de precieze voorwaarden.

—

De voorwaarden van CEN/TS 18170, punt 7.3, zijn van toepassing.

—

Het personeel van de EATSP in vertrouwensrollen, en indien van toepassing, zijn onderaannemers in vertrouwensrollen, is in staat om aan de eis van “deskundigheid, ervaring en kwalificaties” te voldoen, door middel van formele opleiding en referenties, of feitelijke ervaring, of een combinatie van beide. Dit gaat gepaard met regelmatig bijgewerkte informatie (ten minste elke twaalf maanden) over nieuwe dreigingen en actuele beveiligingspraktijken.

—

Het archiveringssysteem moet de vertrouwelijkheid van gegevens en documenten waarborgen gedurende de levenscyclus van het archief, van de deponering tot de schrapping.

—

De in ETSI EN 319 401, subpunt 7.5 “Cryptografische controles” bedoelde vereisten zijn van toepassing.

—

De oorsprong van de in het elektronische archiveringssysteem te archiveren gegevens wordt door de EATSP vastgesteld. Indien daartoe elektronische handtekeningen of elektronische zegels worden gebruikt, moeten die elektronische handtekeningen of elektronische zegels gekwalificeerd zijn.

—

Indien de EATSP (een deel van) een digitaal voorwerp of bestand digitaal ondertekent, wordt de privésleutel voor ondertekening van de EATSP bewaard en gebruikt in een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen of zegels of in een beveiligd cryptografisch apparaat dat een betrouwbaar systeem is dat is gecertificeerd overeenkomstig:

—

Dit certificaat dient voor een beveiligingsdoelstelling of beveiligingsprofiel, of voor een moduleontwerp en beveiligingsdocumentatie, wat voldoet aan de eisen van onderhavig document, op basis van een risicoanalyse en rekening houdend met fysieke en andere niet-technische beveiligingsmaatregelen.

—

Indien het beveiligd cryptografisch apparaat een EUCC-certificering (IR (EU) 2024/482, CIR (EU) 2024/3144) heeft, dan wordt dit apparaat geconfigureerd en gebruikt in overeenstemming met dat certificaat.

—

De EATSP monitort de sterkte van het cryptografisch algoritme dat werd en wordt gebruikt. Indien een van de gebruikte algoritmen of parameters niet geschikt wordt geacht conform het risicobeheer, actualiseert de EATSP het desbetreffende archiveringsbeleid of wordt een nieuw archiveringsprofiel opgezet om de AIP’s te verwerken en passende maatregelen vast te stellen en uit te voeren.

—

De evaluatie van de cryptografische algoritmen en het gebruik ervan door de EATSP is in overeenstemming met de door de Europese Groep voor cyberbeveiligingscertificering goedgekeurde en door Enisa gepubliceerde Agreed Cryptographic Mechanisms (ACM-ECCG).

—

Technische componenten van de EATS authenticeren elkaar op basis van cryptografische technieken alvorens te communiceren.

—

De in ETSI EN 319 401, subpunt 7.8 “Netwerkbeveiliging” bedoelde vereisten zijn van toepassing.

—

De door REQ-7.8-13 van ETSI EN 319 401 aangevraagde kwetsbaarheidsscan wordt ten minste eenmaal per kwartaal uitgevoerd.

—

De penetratietest op grond van REQ-7.8-17X van ETSI EN 319 401 wordt ten minste jaarlijks uitgevoerd.

—

Firewalls worden geconfigureerd om alle protocollen en toegangen die niet vereist zijn voor de bedrijfsvoering van de EATSP te verhinderen.

—

De vereisten van ETSI EN 319 401, subpunt 7.10 “Bewijsvergaring”, zijn van toepassing, ook voor kritieke en niet-kritieke gebeurtenissen (zie subpunt 13.2).

—

De voorwaarden van CEN/TS 18170, punt 7.13, zijn van toepassing.

—

Het beëindigingsplan van de EATSP voldoet aan de overeenkomstig artikel 24, lid 5, van Verordening (EU) nr. 910/2014 vastgestelde uitvoeringshandelingen.

—

De voorwaarden van CEN/TS 18170, punt 13.3.1, zijn van toepassing.

—

Bij het gebruik van tijdstempels gebruikt de EATSP een gekwalificeerd tijdstempel.