Kommissionens genomförandeförordning (EU) 2025/1929 av den 29 september 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller bindningen av datum och tidpunkt till uppgifter och fastställande av korrektheten hos tidskällor för tillhandahållande av kvalificerade elektroniska tidsstämplingar

—

[3] ISO/IEC 15408:2022 (delarna 1–5) Information security, cybersecurity and privacy protection – Evaluation criteria for IT security.

—

[4] Etsi EN 319 401 V3.1.1 (2024–06) Electronic Signatures and Infrastructures (ESI); General Policy Requirements for Trust Service Providers.

—

[5] Etsi EN 319 422 V1.1.1 (2016–03) Electronic Signatures and Infrastructures (ESI); Time-stamping protocol and time-stamp token profiles.

—

[6] ogiltig.

—

[9] Europeiska gruppen för cybersäkerhetscertifiering, undergruppen för kryptografi: Agreed Cryptographic Mechanisms, offentliggjord av Europeiska unionens cybersäkerhetsbyrå (Enisa) (3).

—

[10] Kommissionens genomförandeförordning (EU) 2024/482 (4) av den 31 januari 2024 om fastställande av tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) 2019/881 vad gäller antagande av den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering (EUCC).

—

[11] Kommissionens genomförandeförordning (EU) 2024/3144 (5) av den 18 december 2024 om ändring av genomförandeförordning (EU) 2024/482 vad gäller tillämpliga internationella standarder och om rättelse av den genomförandeförordningen.

—

giltighetsperiod för certifikat: tidsintervall från notBefore till och med notAfter, under vilket certifikatutfärdaren garanterar att denne kommer att lagra information om certifikatets status.

—

EUCC European Common Criteria-based cybersecurity certification scheme, den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering.

—

OVR-6.2–03 Utfärdaren av tidsstämplingar ska i sin informationsförklaring ange tillgänglighetsuppgifter för sin tjänst för tidsstämpling.

—

OVR-7.3–02 Den personal i betrodda roller som arbetar för utfärdaren av tidsstämplingar och, i tillämpliga fall, underleverantörer i betrodda roller, ska kunna uppfylla kravet på expertkunskap, erfarenhet och kvalifikationer genom formell utbildning och meriter, eller faktisk erfarenhet, eller en kombination av dessa.

—

OVR-7.3–03 Överensstämmelse med OVR-7.3–02 ska omfatta regelbundna (minst var tolfte månad) uppdateringar om nya hot och aktuella säkerhetsrutiner.

—

TIS-7.6.2–03 Tidsstämplingsenhetens nyckelgenerering ska ske inom en krypteringshårdvara som utgör ett tillförlitligt system som certifierats i enlighet med

Denna certifiering ska avse ett säkerhetsmål eller en skyddsprofil, eller en modulkonstruktion och säkerhetsdokumentation, som uppfyller kraven i detta dokument, på grundval av en riskanalys och med beaktande av fysiska och andra icke-tekniska säkerhetsåtgärder.

Om krypteringshårdvaran omfattas av en EUCC [10][11]-certifiering ska hårdvaran konfigureras och användas i enlighet med den certifieringen.

—

TIS-7.6.2–04 ogiltig.

—

ANMÄRKNING 3 ogiltig.

—

TIS-7.6.2–05A Tidsstämplingsenhetens algoritm för nyckelgenerering, längden på de underskriftsnycklar som genereras samt underskriftsalgoritmen som används för att underteckna tidsstämplingarna respektive för att underteckna tidsstämplingsenhetens certifikat för öppna nycklar ska överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering [9] och offentliggjorts av Enisa.

—

ANMÄRKNING 4 ogiltig.

—

TIS-7.6.2–06 En underskriftsnyckel från en tidsstämplingsenhet får endast exporteras och importeras till en annan krypteringshårdvara om denna export och import genomförs på ett säkert sätt och i enlighet med certifieringen av de aktuella hårdvaruenheterna.

—

TIS-7.6.3–02 Tidsstämplingsenhetens privata nyckel ska lagras och användas inom en krypteringshårdvara som utgör ett tillförlitligt system som certifierats i enlighet med

Denna certifiering ska avse ett säkerhetsmål eller en skyddsprofil, eller en modulkonstruktion och säkerhetsdokumentation, som uppfyller kraven i detta dokument, på grundval av en riskanalys och med beaktande av fysiska och andra icke-tekniska säkerhetsåtgärder.

Om krypteringshårdvaran omfattas av en EUCC [10][11]-certifiering ska hårdvaran konfigureras och användas i enlighet med den certifieringen.

—

TIS-7.6.3–03 ogiltig.

—

ANMÄRKNING 2 ogiltig.

—

TIS-7.6.7–03A Utgångsdatumet för tidsstämplingsenhetens privata nycklar ska överensstämma med Agreed Cryptographic Mechanisms [9].

—

ANMÄRKNING 1 ogiltig.

—

OVR-7.10–05 Den sårbarhetsskanning som krävs enligt REQ-7.8–13 i Etsi EN 319 401 [1] ska utföras minst en gång per kvartal.

—

OVR-7.10–06 Det penetrationstest som krävs enligt REQ-7.8–17X i Etsi EN 319 401 [1] ska utföras minst en gång om året.

—

OVR-7.10–07 Brandväggar ska konfigureras så att de förhindrar alla protokoll och åtkomster som inte krävs för utfärdaren av tidsstämplingars drift.

—

OVR-7.14–01A Tillhandahållarens avvecklingsplan ska uppfylla kraven i de genomförandeakter som antagits i enlighet med artikel 24.5 i förordning (EU) nr 910/2014 [i.4].

—

[5] ogiltig.

—

[6] ogiltig.

—

[8] Europeiska gruppen för cybersäkerhetscertifiering, undergruppen för kryptografi: Agreed Cryptographic Mechanisms.

—

[9] RFC 9110 HTTP-semantik.

—

Följande klausul ska tillämpas:

De hashalgoritmer som används för att hasha den information som ska tidsstämplas, förväntad varaktighet för tidsstämplingen och valda hashfunktioner kontra tid ska överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

De underskriftsalgoritmer för tidsstämplingstoken som ska stödjas ska överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

Nyckellängderna för den valda underskriftsalgoritmen ska överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa.

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

De hashalgoritmer för tidsstämplingsuppgifter som ska stödjas, förväntad varaktighet för tidsstämplingen och valda hashfunktioner kontra tid ska överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

De hashalgoritmer som används för att hasha den information som ska tidsstämplas och underskriftsalgoritmerna för tidsstämplingstoken överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

Den valda underskriftsalgoritmen för tidsstämplingsenhetscertifikatet ska ha en nyckellängd som överensstämmer med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Följande klausul ska tillämpas:

Tidsstämplingsenhetens öppna nycklar och certifikatunderskrift ska använda algoritmer som överensstämmer med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

ANMÄRKNING ogiltig.

—

Tidsstämplingsklienten och tidsstämplingsservern ska stödja tidsstämplingsprotokollet via HTTPS [9] i enlighet med vad som anges i klausul 3.4 i IETF RFC 3161 [1].

—

Följande klausul ska tillämpas:

Tidsstämplingsenhetens öppna nycklar och certifikatunderskrift ska använda algoritmer som överensstämmer med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [8].

—

Om utfärdaren av tidsstämplingar anger att en tidsstämplingstoken är en kvalificerad elektronisk tidsstämpling i enlighet med förordning (EU) nr 910/2014 [i.2] ska den innehålla en förekomst av qcStatements-tillägget i tilläggsfältet för tidsstämplingstoken med den syntax som anges i IETF RFC 3739 [i.3], klausul 3.2.6.

—

qcStatements-tillägget ska innehålla en förekomst av ” esi4-qtstStatement-1 ” i enlighet med bilaga B.

—

qcStatements-tillägget ska inte markeras som kritiskt.