-

możliwości funkcjonalnych i technicznych platformy rejestru elektronicznego i jej wykorzystania przez cały okres świadczenia usługi rejestrowania danych w kwalifikowanym rejestrze elektronicznym jako kwalifikowanej usługi zaufania,

-

konkretnych mechanizmów uwierzytelniania pochodzenia danych stosowanych podczas świadczenia usługi,

-

konkretnych mechanizmów sekwencyjnego porządkowania chronologicznego stosowanych podczas świadczenia usługi,

-

w stosownych przypadkach, połączenia kryptograficznego wykorzystywanego do zapewnienia sekwencji wpisów danych,

-

w stosownych przypadkach mechanizmu konsensusu zapewniającego ostateczność i integralność wpisów danych oraz transakcji przechowywanych w rejestrze, z uwzględnieniem ewentualnego czasu ostrożności potrzebnego do osiągnięcia ostateczności i integralności,

-

konkretnych mechanizmów zapewniania integralności danych stosowanych podczas świadczenia usługi.

-

REQ-6.2-03 Przed nawiązaniem stosunku umownego abonenci i strony ufające korzystające z usługi zaufania są informowani, w sposób jasny, wyczerpujący i łatwo dostępny, w publicznie dostępnej przestrzeni i indywidualnie, o dokładnych warunkach korzystania z usługi, w tym o kwestiach wymienionych powyżej.

-

REQ-6.3-04X Dostawca usług zaufania ustanawia procedury powiadamiania organu nadzoru o wszelkich zmianach w świadczeniu usługi zaufania, zgodnie z wymogami biznesowymi oraz odpowiednimi przepisami ustawowymi i wykonawczymi. Dostawca usług zaufania powiadamia organ nadzoru co najmniej:

-

REQ-7.2-04X Personel dostawcy usług zaufania pełniący zaufane funkcje musi być w stanie spełnić wymóg „posiadania wiedzy eksperckiej, doświadczenia i kwalifikacji” zdobytych w ramach formalnego szkolenia i dokumentów uwierzytelniających lub doświadczenia, lub obu tych elementów.

-

REQ-7.2-05X Obejmuje to regularne (co najmniej raz na 12 miesięcy) aktualizacje dotyczące nowych zagrożeń i obecnych praktyk w zakresie bezpieczeństwa.

-

REQ-7.5-01X W celu zarządzania wszelkimi kluczami kryptograficznymi, algorytmami kryptograficznymi i urządzeniami kryptograficznymi w całym ich cyklu życia wprowadza się odpowiednie środki kontroli bezpieczeństwa, w stosownych przypadkach zgodnie z podejściem opartym na zręczności kryptograficznej.

-

REQ-7.5-02 W celu świadczenia usług zaufania dostawca usług zaufania wybiera i stosuje odpowiednie techniki kryptograficzne zgodne z uzgodnionymi mechanizmami kryptograficznymi zatwierdzonymi przez Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa i opublikowanymi przez ENISA [1].

-

REQ-7.5-03 Dostawcy kwalifikowanych rejestrów elektronicznych ustalają pochodzenie wpisów danych w rejestrze elektronicznym. W tym zakresie stosują oni zaawansowane podpisy elektroniczne oparte na kwalifikowanych certyfikatach lub zaawansowane pieczęcie elektroniczne oparte na kwalifikowanych certyfikatach utworzonych przez użytkowników usługi zgodnie z następującymi normami i specyfikacjami:

-

REQ-7.5-04: Dostawcy kwalifikowanych rejestrów elektronicznych zapewniają niepowtarzalne sekwencyjne uporządkowanie chronologiczne wpisów danych w rejestrze elektronicznym. W tym zakresie wykorzystują połączenia kryptograficzne oparte na listach skrótów lub drzewach skrótów, wykorzystując kryptograficzne funkcje skrótu, zgodnie z następującymi specyfikacjami i normami:

-

REQ-7.5-05 Dostawcy kwalifikowanych rejestrów elektronicznych zapewniają integralność wpisów danych zapisanych w kwalifikowanym rejestrze elektronicznym. W tym zakresie stosują oni zaawansowane podpisy elektroniczne oparte na kwalifikowanych certyfikatach lub zaawansowane pieczęcie elektroniczne oparte na kwalifikowanych certyfikatach, zgodnie z następującymi normami i specyfikacjami:

-

REQ-7.5-06 W przypadku stosowania mechanizmów podpisu cyfrowego prywatne klucze podpisu dostawcy kwalifikowanego rejestru elektronicznego są przechowywane i używane w bezpiecznym urządzeniu kryptograficznym, które jest wiarygodnym systemem certyfikowanym zgodnie z:

-

REQ-7.8-14X Wymagany w pkt REQ-7.8-13 skan podatności przeprowadza się co najmniej raz na kwartał.

-

REQ-7.8-18X Wymagany w pkt REQ-7.8-17X test penetracyjny przeprowadza się co najmniej raz w roku.

-

REQ-7.8-21X: Zapory sieciowe należy również skonfigurować tak, aby uniemożliwić wszelkie protokoły i dostępy, które nie są wymagane do funkcjonowania dostawcy usług zaufania.

-

REQ-7.9.1-02X Działania monitorujące uwzględniają wrażliwość wszelkich gromadzonych lub analizowanych informacji.

-

REQ-7.12-02 A Plan zakończenia działalności dostawcy usług zaufania musi spełniać wymogi określone w aktach wykonawczych przyjętych na podstawie art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 [i.1].