—

ETSI EN 319 401 V3.1.1 (2024-06), «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [Assinaturas eletrónicas e infraestruturas de confiança (ESI); requisitos de política geral para os prestadores de serviços de confiança];

—

ETSI EN 319 421 V1.3.1 (2025-07), «Electronic Signatures and Trust Infrastructures (ESI); Policy and Security Requirements for Trust Service Providers issuing Time-Stamps» [Assinaturas eletrónicas e infraestruturas de confiança (ESI); requisitos de política e de segurança para os prestadores de serviços de confiança que emitem selos temporais];

—

ISO 14721:2025, «Space Data System Practices — Reference model for an open archival Information System (OAIS)» [Práticas dos sistemas de dados espaciais — Modelo de referência para um sistema aberto de arquivo de informação (OAIS)];

—

Grupo Europeu para a Certificação da Cibersegurança, subgrupo para a criptografia (ACM-ECCG): «Agreed Cryptographic Mechanisms» [Mecanismos criptográficos acordados], publicado pela Agência da União Europeia para a Cibersegurança (ENISA);

—

Regulamento de Execução (UE) 2024/482 da Comissão (1);

—

Regulamento de Execução (UE) 2024/3144 da Comissão (2);

—

ISO/IEC 15408:2022 (partes 1 a 5), «Information security, cybersecurity and privacy protection — Evaluation criteria for IT security» [Segurança da informação, cibersegurança e proteção da privacidade — Critérios de avaliação da segurança informática];

—

FIPS PUB 140-3 (2019), «Security Requirements for Cryptographic Modules» [Requisitos de segurança para módulos criptográficos].

—

Aplicam-se os requisitos da norma CEN/TS 18170, cláusula 6.1;

—

Aplicam-se os requisitos da norma ETSI EN 319 401, cláusula 5;

—

O prestador de serviços de confiança de arquivo eletrónico (EATSP) deve estabelecer procedimentos para notificar a entidade supervisora de quaisquer alterações da prestação do serviço de confiança de arquivo eletrónico e da intenção de cessar essas atividades, em conformidade com os requisitos operacionais e as disposições legislativas e regulamentares aplicáveis, nomeadamente em conformidade com os requisitos dos atos de execução adotados nos termos do artigo 24.o, n.o 5, do Regulamento (UE) n.o 910/2014 [i.2];

—

O EATSP deve notificar a entidade supervisora competente pelo menos:

—

Aplicam-se os requisitos da norma CEN/TS 18170, cláusula 6.2;

—

Os assinantes e os utilizadores do serviço de confiança de arquivo eletrónico devem ser informados, de forma clara, exaustiva e facilmente acessível, num espaço de acesso público e individualmente, dos termos e condições exatos, antes de estabelecerem uma relação contratual.

—

Aplicam-se os requisitos da norma CEN/TS 18170, cláusula 7.3;

—

O pessoal do EATSP com funções de confiança e, se aplicável, os seus subcontratantes com funções de confiança devem ser capazes de cumprir o requisito de dispor de conhecimentos especializados, experiência e qualificações adquiridos por meio de formação formal e credenciais, de experiência ou de uma combinação de ambas. Isto inclui atualizações regulares (pelo menos a cada 12 meses) sobre as novas ameaças e as atuais práticas de segurança.

—

O sistema de arquivo deve garantir a confidencialidade dos dados e dos documentos ao longo do ciclo de vida do arquivo, desde o seu depósito até à sua eliminação;

—

Aplicam-se os requisitos especificados na norma ETSI EN 319 401, subcláusula 7.5 «Controlos criptográficos»;

—

A origem dos dados a arquivar no sistema de arquivo eletrónico é determinada pelo EATSP, sendo que se se utilizarem assinaturas eletrónicas ou selos eletrónicos para o efeito, essas assinaturas eletrónicas ou selos eletrónicos devem ser qualificados;

—

Quando o EATSP assinar digitalmente (parte de) um objeto ou registo digital, a chave de assinatura privada do EATSP deve ser mantida e utilizada num dispositivo de criação de assinaturas ou selos eletrónicos qualificados ou num dispositivo criptográfico seguro que seja um sistema fiável certificado em conformidade com:

—

Esta certificação refere-se a uma meta de segurança ou a um perfil de proteção, ou a uma documentação de segurança e conceção de módulos, que cumpra os requisitos do presente documento, com base numa análise de risco e tendo em conta as medidas de segurança físicas e outras medidas de segurança não técnicas;

—

Se o dispositivo criptográfico seguro possuir uma certificação EUCC [Regulamento de Execução (UE) 2024/482 da Comissão e Regulamento de Execução (UE) 2024/3144 da Comissão], deve ser configurado e utilizado em conformidade com essa certificação;

—

O EATSP deve monitorizar a robustez do algoritmo criptográfico que foi e é utilizado. Caso se considere que um dos algoritmos ou parâmetros utilizados tenha deixado de ser adequado, conforme definido na gestão dos riscos, o EATSP deve atualizar a política de arquivo conexa ou criar um novo perfil de arquivo para tratar os pacotes de arquivos de informação e definir e executar as medidas adequadas;

—

A avaliação dos algoritmos criptográficos e da sua utilização pelo EATSP deve estar em conformidade com os mecanismos criptográficos acordados, aprovados pelo Grupo Europeu para a Certificação da Cibersegurança e publicados pela ENISA (ACM-ECCG);

—

Os componentes técnicos do serviço de confiança de arquivo eletrónico (EATS) devem autenticar-se mutuamente com base em técnicas criptográficas antes de comunicarem.

—

Aplicam-se os requisitos especificados na norma ETSI EN 319 401, subcláusula 7.8 «Segurança da rede»;

—

A análise das vulnerabilidades solicitada pelo REQ-7.8-13 da norma ETSI EN 319 401 é efetuada, pelo menos, uma vez por trimestre;

—

O teste de penetração solicitado pelo REQ-7.8-17X da norma ETSI EN 319 401 é efetuado, pelo menos, uma vez por ano;

—

As barreiras de segurança são configuradas de modo a impedir todos os protocolos e acessos não necessários para a operação do EATSP.

—

Aplicam-se os requisitos especificados na norma ETSI EN 319 401, subcláusula 7.10 «Recolha de provas», nomeadamente para eventos críticos e não críticos (ver subcláusula 13.2).

—

Aplicam-se os requisitos da norma CEN/TS 18170, cláusula 7.13;

—

O plano de cessação do EATSP o deve cumprir os requisitos estabelecidos nos atos de execução adotados nos termos do artigo 24.o, n.o 5, do Regulamento (UE) n.o 910/2014.

—

Aplicam-se os requisitos da norma CEN/TS 18170, cláusula 13.3.1;

—

Sempre que utilizar selos temporais, o EATSP deve utilizar um selo temporal qualificado.