Anexo �nico Disposiciones de aplicación del Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo en lo que respecta a la gestión de dispositivos cualificados de creación de firma electrónica a distancia y de dispositivos cualificados

Lista de normas de referencia y especificaciones para la gestión de dispositivos cualificados de creación de firma electrónica a distancia y de dispositivos cualificados de creación de sello electrónico a distancia

La norma ETSI TS 119 431-1 V1.3.1 (2024-12) (en lo sucesivo, «ETSI TS 119 431-1») se aplica a efectos de evaluar la conformidad con la versión 2 de la política de servicio de aplicación de firma en servidor de la UE de conformidad con el anexo A de dicha norma, con las siguientes adaptaciones:

1) 2.1 Referencias normativas

- [1] ETSI EN 319 401 V3.1.1 (2024-06): «Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers» [«Firmas electrónicas e infraestructuras de confianza (ESI); Requisitos de política general para prestadores de servicios de confianza», documento en inglés].

- [7] Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: «Agreed Cryptographic Mechanisms» («Mecanismos criptográficos acordados», documento en inglés) publicado por la Agencia de la Unión Europea para la Ciberseguridad («ENISA») (1).

2) 6.1 Responsabilidades de publicación y repositorio

- OVR-6.1-04: La información indicada en OVR-6.1-01 deberá estar a disposición del público y a escala internacional.

3) 6.4.4 Controles del personal

- OVR-6.4.4-02: Los proveedores de servicio de aplicación de firma en servidor (SSASP) emplearán en funciones de confianza personal y, en su caso, subcontratistas que posean los conocimientos especializados, la experiencia y las cualificaciones necesarios obtenidos a través de formación y credenciales formales, o de la experiencia, o de una combinación de ambas cosas.

- OVR-6.4.4-03: El cumplimiento de los requisitos de OVR-6.4.4-02 incluirá actualizaciones periódicas (al menos cada doce meses) sobre las nuevas amenazas y las prácticas de seguridad actuales.

4) 6.4.9 Cese del servicio de los proveedores de servicio de aplicación de firma en servidor

- OVR-6.4.9-02: El plan de cese de los proveedores de servicio de aplicación de firma en servidor cumplirá lo dispuesto en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.o 910/2014 [i.1].

5) 6.5.5 Controles de seguridad de las redes

- OVR-6.5.5-02: El escaneado de vulnerabilidades exigido en el REQ-7.8-13 de ETSI EN 319 401 [1] se realizará al menos una vez al trimestre.

- OVR-6.5.5-03: Los cortafuegos estarán configurados de manera que impidan todos los protocolos y accesos que no sean necesarios para el funcionamiento del prestador de servicios de confianza.

6) 6.8.5 Controles criptográficos

- OVR-6.8.5-01: Se establecerán controles de seguridad adecuados para la gestión de toda técnica criptográfica del proveedor de servicio de aplicación de firma en servidor a lo largo de su ciclo de vida.

- OVR-6.8.5-02: Por lo que se refiere a OVR-6.8.5-01, el proveedor de servicio de aplicación de firma en servidor seleccionará y utilizará técnicas criptográficas adecuadas conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad y publicados por la ENISA [7].

7) Anexo A, sección A.3 Requisitos generales

- OVR-A.3-02 [EUSPv2]: La declaración de prácticas del prestador de servicios de confianza (TSP) incluirá la referencia a la certificación del dispositivo cualificado de creación de firma electrónica (QSCD) empleado de conformidad con los requisitos del anexo II del Reglamento (UE) n.o 910/2014 [i.1].