[1]

ETSI EN 319 401 V3.2.1 (2026-01): »Podpisy elektroniczne i infrastruktura zaufania (ESI); Ogólne wymagania polityki dla dostawców usług zaufania«;

[2]

Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa, podgrupa ds. kryptografii: »Uzgodnione mechanizmy kryptograficzne« opublikowane przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (»ENISA«);

[3]

FIPS PUB 140-3 (2019) »Wymogi bezpieczeństwa dotyczące modułów kryptograficznych«;

[4]

rozporządzenie wykonawcze Komisji (UE) 2024/482 (1);

[5]

rozporządzenie wykonawcze Komisji (UE) 2024/3144 (2);

[6]

ISO/IEC 15408:2022 (części 1-5): »Bezpieczeństwo informacji, cyberbezpieczeństwo i ochrona prywatności - Kryteria oceny zabezpieczeń informatycznych«.

-

bezpieczne urządzenie kryptograficzne: urządzenie, które przechowuje prywatny klucz użytkownika, chroni ten klucz przed kompromitacją i wykonuje funkcje podpisywania lub odszyfrowywania w imieniu użytkownika.

-

Pkt 4.2.2.2 »Weryfikacja atrybutów na podstawie źródeł autentycznych« nie ma zastosowania.

-

REQ-EAASP-4.2.2.3-02: Dostawca usług w zakresie elektronicznego poświadczania atrybutów (EAASP) uwierzytelnia instancję EUDIW (europejski portfel tożsamości cyfrowej), wdrażając mechanizmy wzajemnego uwierzytelniania wykorzystujące ważny certyfikat dostępu.

-

REQ-EAASP-4.2.2.3-03: EAASP waliduje jednostkę EUDIW oraz weryfikuje czy instancja EUDIW została cofnięta.

-

Pkt 4.3.2. »EUDIW Specific« nie ma zastosowania.

-

REQ-EAASP-6.1-02: EAASP dokumentuje mechanizm unieważniania w oświadczeniu na temat praktyk w zakresie EAAS.

-

REQ-EAASP-6.3-02: EAASP ustanawia procedury powiadamiania organu nadzoru o wszelkich zmianach w świadczeniu usługi zaufania w zakresie elektronicznego poświadczenia atrybutów oraz o zamiarze zaprzestania tej działalności, zgodnie z wymogami biznesowymi oraz odpowiednimi przepisami ustawowymi i wykonawczymi, w tym zgodnie z wymogami aktów wykonawczych przyjętych na podstawie art. 24 ust. 5 rozporządzenia (UE) nr 910/2014. EAASP powiadamia organ nadzoru co najmniej:

-

REQ-EAASP-7.5.2-05: nieważny

-

REQ-EAASP-7.5.2-06: nieważny

-

REQ-EAASP-7.5.3-01A: W celu zarządzania wszelkimi kluczami kryptograficznymi, algorytmami kryptograficznymi i urządzeniami kryptograficznymi w całym ich cyklu życia wprowadza się odpowiednie środki kontroli bezpieczeństwa, w stosownych przypadkach zgodnie z podejściem opartym na zręczności kryptograficznej.

-

REQ-EAASP-7.5.3-01B: W celu świadczenia usług zaufania EAASP wybiera i stosuje odpowiednie techniki kryptograficzne zgodne z uzgodnionymi mechanizmami kryptograficznymi zatwierdzonymi przez Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa i opublikowanymi przez ENISA [2].

-

REQ-EAASP-7.5.3-02: EAASP zapewnia, aby bezpieczne urządzenie kryptograficzne, którego używa do podpisu cyfrowego lub pieczęci EAA, było kwalifikowanym urządzeniem do składania podpisu lub pieczęci oraz aby wszystkie inne podpisy cyfrowe lub pieczęcie wykorzystywane do świadczenia odpowiedniej usługi zaufania w zakresie elektronicznego poświadczenia atrybutów lub jej części były tworzone za pomocą bezpiecznego urządzenia kryptograficznego, które jest wiarygodnym systemem certyfikowanym zgodnie z:

Certyfikacja ta dotyczy celu lub profilu zabezpieczeń lub projektu modułu i dokumentacji bezpieczeństwa, które spełniają wymogi niniejszego dokumentu, w oparciu o analizę ryzyka i z uwzględnieniem fizycznych i innych nietechnicznych środków bezpieczeństwa.

Jeżeli bezpieczne urządzenie kryptograficzne korzysta z certyfikacji EUCC [4][5], urządzenie to musi być skonfigurowane i używane zgodnie z tą certyfikacją.

-

REQ-EAASP-7.5.5-01: nieważny

-

REQ-EAASP-7.5.5-02: nieważny

-

REQ-EAASP-7.5.5-04: nieważny

-

REQ-EAASP-7.9-02: Działania monitorujące muszą uwzględniać wrażliwość wszelkich gromadzonych lub analizowanych informacji.

-

REQ-EAASP-7.12-04: Plan zakończenia działalności EAASP musi spełniać wymogi określone w aktach wykonawczych przyjętych na podstawie art. 24 ust. 5 rozporządzenia (UE) nr 910/2014 [i.1].

-

REQ-ASIP-6.1.1.2-04-01 [WARUNKOWO]: w przypadku gdy attributeVerificationResult to albo http://uri.etsi.org/19478/VerificationResult/Match, albo http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, attributeVerificationResult może zawierać element attributeValue;

-

REQ-ASIP-6.1.1.2-04-02 [WARUNKOWO]: w przypadku gdy odesłany attributeVerificationResult to http://uri.etsi.org/19478/VerificationResult/Match, a attributeVerificationResult zawiera element attributeValue, element attributeValue musi zawierać wartość podaną w żądaniu;

-

REQ-ASIP-6.1.1.2-04-03 [WARUNKOWO]: w przypadku gdy odesłany attributeVerificationResult to http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, a attributeVerificationResult zawiera element attributeValue, element attributeValue musi zawierać wartość atrybutu przechowywaną w źródle autentycznym;

-

REQ-ASIP-6.1.1.2-06-04-01 [WARUNKOWO]: w przypadku gdy fragmentVerificationResult to albo http://uri.etsi.org/19478/VerificationResult/Match, albo http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, attributeVerificationResult może zawierać element fragmentValue;

-

REQ-ASIP-6.1.1.2-06-04-02 [WARUNKOWO]: w przypadku gdy odesłany fragmentVerificationResult to http://uri.etsi.org/19478/VerificationResult/Match, a attributeVerificationResult zawiera element fragmentValue, element fragmentValue musi zawierać wartość podaną w żądaniu;

-

REQ-ASIP-6.1.1.2-06-04-03 [WARUNKOWO]: w przypadku gdy odesłany fragmentVerificationResult to http://uri.etsi.org/19478/VerificationResult/MatchWithVariation, a attributeVerificationResult zawiera element fragmentValue, element fragmentValue musi zawierać wartość fragmentu atrybutu przechowywaną w źródle autentycznym;

-

REQ-ASIP-6.2.3.2.1-08-04: Element AttributeVerificationResponse może obejmować dokładnie jeden z elementów bezpośrednio podrzędnych spośród TextValue, XMLValue lub AttributeProperties.