—

ETSI EN 319 401 V3.1.1 (2024-06), Elektronski podpisi in infrastrukture zaupanja (ESI) – Splošne zahteve politike za ponudnike storitev zaupanja;

—

ETSI EN 319 421 V1.3.1 (2025-07), Elektronski podpisi in infrastrukture zaupanja (ESI) – Zahteve politike in varnosti za ponudnike storitev zaupanja, ki izdajajo časovne žige;

—

ISO 14721:2025, Prakse sistemov za trajno ohranjanje podatkov – Referenčni model za odprti arhivski informacijski sistem (OAIS);

—

ACM-ECCG, Evropska certifikacijska skupina za kibernetsko varnost, podskupina za kriptografijo: „Dogovorjeni kriptografski mehanizmi“, ki jih je objavila Agencija Evropske unije za kibernetsko varnost (ENISA);

—

Izvedbena uredba Komisije (EU) 2024/482 (1);

—

Izvedbena uredba Komisije (EU) 2024/3144 (2);

—

ISO/IEC 15408:2022 (deli 1 do 5), Informacijska varnost, kibernetska varnost in varstvo zasebnosti – Merila za vrednotenje varnosti IT;

—

FIPS PUB 140-3 (2019), Varnostne zahteve za kriptografske module;

—

uporabljajo se zahteve iz določbe 6.1 standarda CEN/TS 18170;

—

uporabljajo se zahteve iz določbe 5 standarda ETSI EN 319 401;

—

ponudnik storitve zaupanja elektronskega arhiviranja vzpostavi postopke za obveščanje nadzornega organa o vseh spremembah pri zagotavljanju storitve elektronskega arhiviranja in o nameri o prenehanju teh dejavnosti v skladu s poslovnimi zahtevami ter ustreznimi zakoni in predpisi, tudi v skladu z zahtevami izvedbenih aktov, sprejetih v skladu s členom 24(5) Uredbe (EU) št. 910/2014 [i.2];

—

ponudnik storitve zaupanja elektronskega arhiviranja obvesti pristojni nadzorni organ najmanj:

—

uporabljajo se zahteve iz določbe 6.2 standarda CEN/TS 18170;

—

naročniki in stranke, ki se zanašajo na storitev zaupanja elektronskega arhiviranja, so pred sklenitvijo pogodbenega razmerja na jasen, celovit in lahko dostopen način na javno dostopnem mestu ter posamično obveščeni o natančnih pogojih;

—

uporabljajo se zahteve iz določbe 7.3 standarda CEN/TS 18170;

—

osebje ponudnika storitve zaupanja elektronskega arhiviranja v zaupanja vrednih vlogah in, kadar je to ustrezno, podizvajalci v zaupanja vrednih vlogah so sposobni izpolnjevati „strokovno znanje, izkušnje in kvalifikacije“, pridobljene s formalnim usposabljanjem in poverilnicami ali dejanske izkušnje ali kombinacijo obojega. To vključuje redne posodobitve (vsaj na vsakih 12 mesecev) v zvezi z novimi grožnjami in trenutnimi varnostnimi praksami;

—

sistem arhiviranja mora zagotavljati zaupnost podatkov in dokumentov v celotnem življenjskem ciklu arhiva od njegovega deponiranja do odstranitve;

—

uporabljajo se zahteve iz poddoločbe 7.5 „kriptografski nadzor“ standarda ETSI EN 319 401;

—

Izvor podatkov, ki se arhivirajo v sistemu elektronskega arhiviranja, določi ponudnik storitve zaupanja elektronskega arhiviranja; če pri tem uporablja elektronske podpise ali elektronske žige, so ti elektronski podpisi ali elektronski žigi kvalificirani.

—

ko ponudnik storitve zaupanja elektronskega arhiviranja digitalno podpiše (del) digitalnega predmeta ali zapisa, se njegov zasebni ključ za podpisovanje hrani in uporablja v napravi za ustvarjanje kvalificiranega elektronskega podpisa ali žiga ali varni kriptografski napravi, ki je zaupanja vreden sistem, certificiran v skladu s:

—

to certificiranje se izvede za varnostni cilj ali profil zaščite ali zasnovo modula in varnostno dokumentacijo, ki izpolnjuje zahteve tega dokumenta, na podlagi analize tveganja in ob upoštevanju fizičnih in drugih netehničnih varnostnih ukrepov;

—

če je varna kriptografska naprava certificirana po EUCC (Izvedbena uredba Komisije (EU) 2024/482, Izvedbena uredba Komisije (EU) 2024/3144), se ta naprava konfigurira in uporablja v skladu s tem certificiranjem;

—

ponudnik storitve zaupanja elektronskega arhiviranja spremlja moč kriptografskega algoritma, ki se je uporabljal in se uporablja. Če se šteje, da eden od uporabljenih algoritmov ali parametrov ni primeren, kot je opredeljeno v obvladovanju tveganja, ponudnik storitve zaupanja elektronskega arhiviranja posodobi povezano politiko arhiviranja ali ustvari nov profil arhiviranja za ravnanje z arhivskimi informacijskimi paketi ter opredeli in izvede ustrezne ukrepe;

—

ocenjevanje kriptografskih algoritmov in njihova uporaba s strani ponudnika storitve zaupanja elektronskega arhiviranja je v skladu z dogovorjenimi kriptografskimi mehanizmi, ki jih je podprla evropska certifikacijska skupina za kibernetsko varnost in objavila ENISA (ACM-ECCG);

—

tehnične komponente storitve zaupanja elektronskega arhiviranja se pred komunikacijo medsebojno avtenticirajo na podlagi kriptografskih tehnik;

—

uporabljajo se zahteve iz poddoločbe 7.8 „Omrežna varnost“ standarda ETSI EN 319 401;

—

pregled ranljivosti, ki ga zahteva REQ-7.8-13 iz ETSI EN 319 401, se izvede vsaj enkrat na četrtletje;

—

penetracijsko testiranje, ki ga zahteva REQ-7.8-17X iz ETSI EN 319 401, se izvede vsaj enkrat na leto;

—

požarni zidovi se konfigurirajo tako, da se preprečijo vsi protokoli in dostopi, ki niso potrebni za delovanje ponudnika storitve zaupanja elektronskega arhiviranja;

—

uporabljajo se zahteve iz poddoločbe 7.10 „Zbiranje dokazov“ standarda ETSI EN 319 401, tudi za kritične in nekritične dogodke (glej pododdelek 13.2);

—

uporabljajo se zahteve iz določbe 7.13 standarda CEN/TS 18170;

—

načrt za prenehanje zagotavljanja storitve ponudnika storitve zaupanja elektronskega arhiviranja mora izpolnjevati zahteve iz izvedbenih aktov, sprejetih na podlagi člena 24(5) Uredbe (EU) št. 910/2014;

—

uporabljajo se zahteve iz določbe 13.3.1 standarda CEN/TS 18170;

—

pri uporabi časovnih žigov ponudnik storitve zaupanja elektronskega arhiviranja uporabi kvalificiran časovni žig.