Kommissionens genomförandeförordning (EU) 2025/1942 av den 29 september 2025 om tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) nr 910/2014 vad gäller referensstandarder för kvalificerade tjänster för validering av kvalificerade elektroniska underskrifter och av kvalificerade elektroniska stämplar

2.1

Normativa hänvisningar

—

[i.11] Ogiltig.

—

EUCC European Common Criteria-based cybersecurity certification scheme, den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering.

—

ANMÄRKNING 10 Se Etsi EN 319 102-1 [3] för vägledning och Etsi TS 119 172-4 [8] för ytterligare vägledning om fall med EU-kvalificerade underskrifter eller stämplar.

—

OVR-6.1-02 Förklaringen om praxis för valideringstjänsten för underskrifter ska ha den uppbyggnad som anges i bilaga A.

—

OVR-6.1-03 Förklaringen om praxis för valideringstjänsten för underskrifter ska innehålla en förteckning över eller hänvisningar till de policyer för valideringstjänster för underskrifter som stöds (t.ex. med hjälp av OID:n) och kortfattade beskrivningar av dessa.

—

OVR-6.3-02 I säkerhetspolicyn ska de säkerhets- och integritetskontroller som används för att skydda personuppgifter dokumenteras.

—

OVR-7.2-02 Den personal i betrodda roller som arbetar för tillhandahållaren av valideringstjänster för underskrifter och, i tillämpliga fall, underleverantörer i betrodda roller, ska kunna uppfylla kravet på expertkunskap, erfarenhet och kvalifikationer genom formell utbildning och meriter, eller faktisk erfarenhet, eller en kombination av dessa.

—

OVR-7.2-03 Överensstämmelse med OVR-7.2-02 ska omfatta regelbundna (minst var tolfte månad) uppdateringar om nya hot och aktuella säkerhetsrutiner.

—

OVR-7.5-02 [CONDITIONAL] När valideringsrapporter undertecknas ska det öppna underskriftscertifikat för tillhandahållaren av valideringstjänster för underskrifter som motsvarar den privata underskriftsnyckeln för tillhandahållaren utfärdas av en tillförlitlig certifikatutfärdare i enlighet med NCP+-certifikatpolicyn enligt Etsi EN 319 411-1 [12]. Det bör utfärdas i enlighet med en lämplig certifikatpolicy som anges i Etsi EN 319 411-2 [i.17].

—

OVR-7.5-03 [CONDITIONAL] När valideringsrapporter undertecknas ska den privata underskriftsnyckeln för tillhandahållaren av valideringstjänster lagras och användas inom en krypteringshårdvara som utgör ett tillförlitligt system som certifierats i enlighet med

—

OVR-7.5-04 ogiltig.

—

OVR-7.5-06 En privat underskriftsnyckel för en tillhandahållare av valideringstjänster för underskrifter får endast exporteras och importeras till en annan krypteringshårdvara om denna export och import genomförs på ett säkert sätt och i enlighet med certifieringen av de aktuella hårdvaruenheterna.

—

OVR-7.7-02 För att säkerställa att de system som används för att utveckla tillämpningen för validering av underskrifter har lämpliga säkerhetsåtgärder och anpassas till specifika tillämpningsmiljöer ska en tillämpningsmiljö som underhålls med aktuella säkerhetskorrigeringar användas.

—

OVR-7.7-03 Följande krav som anges i Etsi TS 119 101 [1], klausul 5.2 ska tillämpas på tillämpningen för validering av underskrifter: GSM 1.3.

—

OVR-7.8-02 Om fjärråtkomst till system där konfidentiella uppgifter lagras eller behandlas är tillåtet ska en formell policy antas och beskrivas som en del i uppfyllandet av de krav som ställs i OVR-6.3-02.

—

OVR-7.8-04 Den sårbarhetsskanning som krävs enligt REQ-7.8-13 i Etsi EN 319 401 [1] ska utföras minst en gång per kvartal.

—

OVR-7.8-05 Det penetrationstest som krävs enligt REQ-7.8-17X i Etsi EN 319 401 [1] ska utföras minst en gång om året.

—

OVR-7.8-06: Brandväggar ska konfigureras så att de förhindrar alla protokoll och åtkomster som inte krävs för driften av tillhandahållaren av valideringstjänster för underskrifter.

—

OVR-7.12-02 Tillhandahållarens avvecklingsplan ska uppfylla kraven i de genomförandeakter som antagits i enlighet med artikel 24.5 i förordning (EU) nr 910/2014 [i.1].

—

OVR-7.14-01 De krav som anges i Etsi EN 319 401 [2], klausul 7.14 ska tillämpas.

—

VPR-8.1-07 Valideringstillämpningen ska uppfylla kraven i Etsi TS 119 101 [1], klausulerna 7.4 SIA 1–SIA 4.

—

VPR-8.1-11 [CONDITIONAL] När valideringstjänsten för underskrifter syftar till att validera kvalificerade elektroniska underskrifter eller kvalificerade elektroniska stämplar i enlighet med artikel 32.1 (respektive artikel 40) i förordning (EU) nr 910/2014) [i.1] ska valideringsprocessen uppfylla kraven i Etsi TS 119 172-4 [8].

—

SVP-8.2-03 Svaret på underskriftsvalideringen ska innehålla OID:t för policyn för validering av underskrifter.

—

SVR-8.4-02 Valideringsrapporten ska överensstämma med Etsi TS 119 102-2 [9].

—

SVR-8.4-07 [CONDITIONAL] När en policy för validering av underskrifter inte behandlas fullständigt av tjänsten för validering av underskrifter ska rapporten, utöver uppgifter om validerade begränsningar innehålla uppgifter om begränsningar som har ignorerats eller åsidosatts.

—

SVR-8.4-15 Valideringsrapporten ska tydligt ange varifrån varje existensbevis kommer (från själva underskriften, från klienten, från servern).

—

SVR-8.4-16 Valideringsrapporten ska vara försedd med en valideringsrapportsunderskrift som ska utgöras av den digitala underskriften för tillhandahållaren av valideringstjänster för underskrifter.

—

SVR-8.4-17 [CONDITIONAL] När valideringsrapporter undertecknas ska formatet och målet för underskriften överensstämma med Etsi TS 119 102-2 [9].

—

OVR-9-05 [CONDITIONAL] När en policy för en valideringstjänst för underskrifter utformas med en policy för betrodda tjänster som fastställs i detta dokument som grund ska en riskbedömning utföras för att utvärdera verksamhetskraven och fastställa vilka säkerhetskrav som ska ingå i policyn för den angivna gruppen och tillämpligheten.

—

OVR-9-06 [CONDITIONAL] När en policy för en valideringstjänst för underskrifter utformas med en policy för betrodda tjänster som fastställs i detta dokument som grund ska policyn godkännas och ändras i enlighet med en fastställd översynsprocess, inklusive fördelning av ansvaret för att upprätthålla policyn.

—

OVR-9-07 [CONDITIONAL] När en policy för en valideringstjänst för underskrifter utformas med en policy för betrodda tjänster som fastställs i detta dokument som grund ska det finnas en fastställd översynsprocess för att säkerställa att policyn stöds av förklaringarna om praxis.

—

OVR-9-08 [CONDITIONAL] När en policy för en valideringstjänst för underskrifter utformas med en policy för betrodda tjänster som fastställs i detta dokument som grund ska tillhandahållaren av betrodda tjänster göra de policyer som tillhandahållaren stöder tillgängliga för sin användargrupp.

—

OVR-9-09 [CONDITIONAL] När en policy för en valideringstjänst för underskrifter utformas med en policy för betrodda tjänster som fastställs i detta dokument som grund ska ändringar som tillhandahållaren av betrodda tjänster gör i policyerna göras tillgängliga för mottagarna.

—

VPR-B-02 [CONDITIONAL] Om tillhandahållaren av valideringstjänsten för underskrifter är en tillhandahållare av kvalificerade valideringstjänster ska genomförandet överensstämma med Etsi TS 119 172-4 [8].

—

ANMÄRKNING 2 ogiltig.

—

OVR-B-04 [CONDITIONAL] Om tillhandahållaren av valideringstjänster för underskrifter är en kvalificerad tillhandahållare av valideringstjänster för underskrifter ska testerna i OVR-B-03 utföras för olika användningsfall, positiva och negativa.

—

VPR-B-11 [CONDITIONAL] Om tillhandahållaren av valideringstjänster för underskrifter är en kvalificerad tillhandahållare av valideringstjänster för underskrifter ska tillhandahållaren kontrollera hashberäkningen (antingen utföra beräkningen på serversidan eller kontrollera klienten om beräkning på klientsidan tillåts).

—

ANMÄRKNING 5 ogiltig.

—

ANMÄRKNING 6 ogiltig.

—

VPR-B-15 [CONDITIONAL] Om tillhandahållaren av valideringstjänster för underskrifter är en kvalificerad tillhandahållare av valideringstjänster för underskrifter ska valideringsrapporten för att uppfylla kraven i VPR-B-13–VPR-B-14 överensstämma Etsi TS 119 102-2 [9].

—

VPR-B-16 [CONDITIONAL] Om tillhandahållaren av valideringstjänster för underskrifter är en kvalificerad tillhandahållare av valideringstjänster för underskrifter ska genomförandet överensstämma med Agreed Cryptographic Mechanisms som godkänts av den europeiska gruppen för cybersäkerhetscertifiering och offentliggjorts av Enisa [10] för användning av lämpliga kryptografiska tekniker vid tillhandahållandet av kvalificerade valideringstjänster för kvalificerade elektroniska underskrifter.

—

För att säkerställa att samtliga villkor i artiklarna 32.1 och 40 i förordning (EU) nr 910/2014 [i.1] kontrolleras krävs en korrekt valideringsalgoritm. Den ger samma deterministiska resultat för underskrifter som för stämplar som ska valideras. Policyn för validering av underskrifter är avgörande för denna uppgift. Etsi TS 119 172-4 [8], baserad på den valideringsalgoritm som anges i Etsi EN 319 102-1 [3], har utfärdats med detta i åtanke.

—

[1] Etsi EN 319 102-1 V1.4.1 (2024-06) Electronic Signatures and Trust Infrastructures (ESI); Procedures for Creation and Validation of AdES Digital Signatures; Part 1: Creation and Validation.

—

Alla hänvisningar till ”Etsi TS 119 102-1 [1]” ska förstås som hänvisningar till ”Etsi EN 319 102-1 [1]”.

—

[2] Etsi TS 119 612 V2.3.1 (2024-11) Electronic Signatures and Infrastructures (ESI); Trusted Lists.

—

[13] Etsi TS 119 101 V1.1.1 (2016-03) Electronic Signatures and Infrastructures (ESI); Policy and security requirements for applications for signature creation and signature validation

—

i) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationCheckingConstraints inte användas.

—

ii) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska eitherCheck anges för RevocationCheckingConstraints i enlighet med vad som anges i Etsi TS 119 172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.1.

—

iii) Om ett slutmottagarcertifikat representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119 172-1 [3], klausul A.4.2.1, tabell A.2 rad m2.2 inte användas.

—

iv) Om ett slutmottagarcertifikat inte representerar ett tillitsankare ska RevocationFreshnessConstraints enligt Etsi TS 119 172-1 [3], klausul A.4.2.1, tabell A.2 rad (m)2.2 användas, med ett maximalt värde på 24 timmar för underskriftscertifikatet. Inget värde ska anges för ReclocationFreshnessConstraints för andra certifikat än underskriftscertifikatet, inklusive certifikat som stöder tidsstämpling.

—

REQ-4.4.2-03 Om någon av de kontroller som anges i REQ-4.4.2-01 ger negativt resultat gäller följande: