—

ETSI EN 319 401 V3.1.1 (2024-06), Semnături electronice și infrastructuri de încredere (ESI); Cerințe de politică generală pentru prestatorii de servicii de încredere.

—

ETSI EN 319 421 V1.3.1 (2025-07), Semnături electronice și infrastructuri (ESI); Cerințe de politică și de securitate pentru prestatorii de servicii de încredere care emit mărci temporale.

—

ISO 14721: 2025, Practici ale sistemelor de date spațiale – Model de referință pentru un sistem deschis de arhivare a informațiilor (OAIS).

—

ACM-ECGG, Grupul european pentru certificarea securității cibernetice, Subgrupul privind criptografia: „Mecanisme criptografice convenite”, publicat de Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA).

—

CIR (UE) 2024/482, Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei (1).

—

CIR (UE) 2024/3144, Regulamentul de punere în aplicare (UE) 2024/3144 al Comisiei (2).

—

ISO/IEC 15408:2022 (părțile 1-5), „Securitatea informațiilor, securitatea cibernetică și protecția vieții private – Criterii de evaluare pentru securitatea IT”.

—

FIPS PUB 140-3 (2019) „Cerințe de securitate pentru modulele criptografice”.

—

Se aplică cerințele specificate în CEN/TS 18170, clauza 6.1.

—

Se aplică cerințele specificate în CEN/TS 319 401, clauza 5.

—

Prestatorul de servicii de încredere de arhivare electronică stabilește proceduri de notificare a organismului de supraveghere cu privire la orice modificare survenită în prestarea serviciului calificat de arhivare electronică și cu privire la intenția sa de a înceta aceste activități, în conformitate cu cerințele comerciale și cu actele cu putere de lege și normele administrative relevante, inclusiv în conformitate cu cerințele prevăzute în actele de punere în aplicare adoptate în temeiul articolului 24 alineatul (5) din Regulamentul (UE) nr. 910/2014 [i.2].

—

Prestatorul de servicii de încredere de arhivare electronică transmite notificări organismului de supraveghere competent cel puțin:

—

Se aplică cerințele specificate în CEN/TS 18170, clauza 6.2.

—

Abonații și părțile care se bazează pe serviciul de încredere de arhivare electronică sunt informați într-un mod clar, cuprinzător și ușor accesibil, într-un spațiu accesibil publicului și în mod individual, cu privire la termenele și condițiile precise, înainte de a intra într-o relație contractuală.

—

Se aplică cerințele specificate în CEN/TS 18170, clauza 7.3.

—

Personalul prestatorului de servicii de încredere de arhivare electronică cu roluri de încredere și, dacă este cazul, subcontractanții săi cu roluri de încredere trebuie să fie în măsură să îndeplinească cerința privind „cunoștințele de specialitate, experiența și calificările” prin formare și acreditări oficiale, prin experiență efectivă sau printr-o combinație a celor două. Acest lucru presupune inclusiv actualizări periodice (cel puțin o dată la 12 luni) cu privire la noile amenințări și la practicile actuale în materie de securitate.

—

Sistemul de arhivare trebuie să garanteze confidențialitatea datelor și a documentelor pe parcursul ciclului de viață al arhivei, de la depunerea acesteia până la eliminarea sa.

—

Se aplică cerințele specificate în ETSI EN 319 401, subclauza 7.5 „Controale criptografice”.

—

Originea datelor care trebuie arhivate în sistemul electronic de arhivare este stabilită de prestatorii de servicii de încredere de arhivare electronică. Dacă aceștia utilizează semnături sau sigilii electronice în acest scop, semnăturile sau sigiliile electronice respective trebuie să fie calificate.

—

Atunci când prestatorul de servicii de încredere de arhivare electronică aplică o semnătură digitală pe un obiect sau pe o înregistrare digitală (sau pe o parte a acestora), cheia de semnătură privată a acestuia este păstrată și utilizată fie în cadrul unui dispozitiv calificat de creare a semnăturii sau a sigiliului electronic, fie în cadrul unui dispozitiv criptografic securizat care este un sistem credibil certificat în conformitate cu:

—

Această certificare se referă la un obiectiv de securitate sau un profil de protecție ori la un proiect de modul și o documentație de securitate care îndeplinesc cerințele prezentului document, pe baza unei analize a riscurilor și ținând seama de măsurile de securitate fizice și de altă natură fără caracter tehnic.

—

În cazul în care dispozitivul criptografic securizat beneficiază de o certificare EUCC [IR (UE) 2024/482, CIR (UE) 2024/3144], dispozitivul respectiv se configurează și se utilizează în conformitate cu certificarea respectivă.

—

Prestatorul de servicii de încredere de arhivare electronică monitorizează soliditatea algoritmilor criptografici care au fost utilizați în trecut și care sunt utilizați în continuare. În cazul în care se consideră că unul dintre algoritmii sau parametrii utilizați nu mai este adecvat prin raportare la ceea ce se definește în gestionarea riscurilor, prestatorul de servicii de încredere de arhivare electronică fie actualizează politica de arhivare aferentă, fie creează un nou profil de arhivare pentru a gestiona pachetele de informații de arhivare și pentru a defini și a pune în aplicare măsurile adecvate.

—

Evaluarea algoritmilor criptografici și a utilizării lor de către prestatorul de servicii de încredere de arhivare electronică este conformă cu documentul „Mecanisme criptografice convenite”, aprobat de Grupul european pentru certificarea securității cibernetice și publicat de ENISA (ACM-ECCG).

—

Componentele tehnice ale serviciilor de încredere de arhivare electronică se autentifică reciproc, înainte de a comunica, pe baza tehnicilor criptografice.

—

Se aplică cerințele specificate în ETSI EN 319 401, subclauza 7.8 „Securitatea rețelelor”.

—

Scanarea pentru a detecta vulnerabilitățile prevăzută de REQ-7.8-13 din ETSI EN 319 401 se efectuează cel puțin o dată pe trimestru.

—

Testul de penetrare prevăzut de REQ-7.8-17X din ETSI EN 319 401 se efectuează cel puțin o dată pe an.

—

Firewall-urile trebuie configurate astfel încât să se împiedice toate protocoalele și accesările care nu sunt necesare pentru desfășurarea activității prestatorului de servicii de încredere de arhivare electronică.

—

Se aplică cerințele specificate în ETSI EN 319 401 subclauza 7.10 „Colectarea dovezilor”, inclusiv pentru evenimente critice și necritice (a se vedea subclauza 13.2).

—

Se aplică cerințele specificate în CEN/TS 18170, clauza 7.13.

—

Planul prestatorului de servicii de încredere de arhivare electronică în caz de încetare a serviciilor respectă cerințele prevăzute în actele de punere în aplicare adoptate în temeiul articolului 24 alineatul (5) din Regulamentul (UE) nr. 910/2014.

—

Se aplică cerințele specificate în CEN/TS 18170, clauza 13.3.1.

—

Atunci când utilizează mărci temporale, prestatorul de servicii de încredere de arhivare electronică trebuie să utilizeze o marcă temporală calificată.