Anexo ï¿½nico se establecen disposiciones de aplicación del Reglamento (UE) n.º 910/2014 en lo que respecta a la vinculación de la fecha y la hora con los datos y al establecimiento de la exactitud de las fuentes de información temporal para el suministro de sellos cua

se establecen disposiciones de aplicación del Reglamento (UE) n.º 910/2014 en lo que respecta a la vinculación de la fecha y la hora con los datos y al establecimiento de la exactitud de las fuentes de información temporal para el suministro de sellos cua

Ver Indice

ANEXO

Vigente

Lista de normas de referencia y especificaciones para los servicios de sello cualificado de tiempo

Se aplican las normas ETSI EN 319 421 V1.3.1 (1) («ETSI EN 319 421 ») y ETSI EN 319 422 V1.1.1 (2) («ETSI EN 319 422 ») con las adaptaciones siguientes:

1. En el caso de ETSI EN 319 421

1) 2.1 Referencias normativas

- [3] ISO/IEC 15408:2022 (partes 1 a 5) «Seguridad de la información, ciberseguridad y protección de la privacidad. Criterios de evaluación para la seguridad de TI».

- [4] ETSI EN 319 401 V3.1.1 (2024-06) «Firmas electrónicas e infraestructuras de confianza (ESI). Requisitos de política general para proveedores de servicios de confianza».

- [5] ETSI EN 319 422 V1.1.1 (2016-03) Firmas e infraestructuras electrónicas (ESI). Protocolo de sellado de tiempo y perfiles de los dispositivos token de sello de tiempo.

- [6] sin efecto.

- [9] Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: «Agreed Cryptographic Mechanisms» («Mecanismos criptográficos acordados», documento en inglés) publicado por la Agencia de la Unión Europea para la Ciberseguridad («ENISA») (3).

- [10] Reglamento de Ejecución (UE) 2024/482 de la Comisión (4), de 31 de enero de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo concerniente a la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC).

- [11] Reglamento de Ejecución (UE) 2024/3144 de la Comisión (5), de 18 de diciembre de 2024, por el que se modifica el Reglamento de Ejecución (UE) 2024/482 en lo que respecta a las normas internacionales aplicables y se corrige dicho Reglamento de Ejecución.

2) 3.1 Términos

- período de validez del certificado: intervalo de tiempo comprendido desde «notBefore» («no antes de») hasta «notAfter» («no después de») inclusive, durante el cual la autoridad de certificación («CA») garantiza que mantendrá información sobre el estado del certificado

3) 3.3 Siglas

- EUCC Esquema europeo de certificación de la ciberseguridad basado en los criterios comunes

4) 6.2 Declaración de prácticas del servicio de confianza

- OVR-6.2-03 La TSA (autoridad de sellado de tiempo) incluirá declaraciones sobre la disponibilidad de su servicio de sellado de tiempo en su declaración de divulgación.

5) 7.3 Seguridad del personal

- OVR-7.3-02 El personal de la TSA en funciones de confianza y, en su caso, sus subcontratistas en funciones de confianza, deberán ser capaces de cumplir el requisito de poseer los conocimientos especializados, la experiencia y las cualificaciones necesarios obtenidos a través de formación y credenciales formales, o de la experiencia real, o de una combinación de ambas cosas.

- OVR-7.3-03 El cumplimiento de los requisitos de OVR-7.3-02 incluirá actualizaciones periódicas (al menos cada doce meses) sobre las nuevas amenazas y las prácticas de seguridad actuales.

6) 7.6.2 Generación de claves de la TSU

- TIS-7.6.2-03 La generación de la(s) clave(s) de la TSU (unidad de sellado de tiempo) se llevará a cabo dentro de un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:

a) los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, tal como se establecen en la norma ISO/IEC 15408 [3] o en los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, versión CC:2022, partes 1 a 5, publicados por los participantes en el Acuerdo sobre el reconocimiento de certificados de criterios comunes en el ámbito de la seguridad informática, y con certificación EAL 4 o superior; o

b) EUCC [10][11] y con certificación EAL 4 o superior; o

c) hasta el 31.12.2030, FIPS PUB 140-3 [7] nivel 3.

Esta certificación se referirá a un objetivo de seguridad o perfil de protección, o a una documentación sobre seguridad y diseño de módulo, que cumpla los requisitos del presente documento, sobre la base de un análisis de riesgos y teniendo en cuenta las medidas de seguridad físicas y otras medidas de seguridad no técnicas.

Si el dispositivo criptográfico seguro cuenta con una certificación EUCC [10][11], dicho dispositivo se configurará y utilizará de conformidad con dicha certificación.

- TIS-7.6.2-04 sin efecto.

- NOTA 3 sin efecto.

- TIS-7.6.2-05A El algoritmo de generación de claves de la TSU, la longitud de clave de firma resultante y el algoritmo de firma utilizado para firmar sellos de tiempo y certificados de clave pública de la TSU, respectivamente, serán conformes con los mecanismos criptográficos acordados aprobados por el Grupo Europeo de Certificación de la Ciberseguridad [9] y publicados por ENISA.

- NOTA 4 sin efecto.

- TIS-7.6.2-06 Una clave de firma de TSU solo se exportará e importará a un dispositivo criptográfico seguro diferente cuando dicha exportación e importación se lleven a cabo de forma segura y de conformidad con la certificación de dichos dispositivos.

7) 7.6.3 Protección de la clave privada de la TSU

- TIS-7.6.3-02 La clave privada de la TSU se custodiará y utilizará en un dispositivo criptográfico seguro que sea un sistema fiable certificado de conformidad con:

a) los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, tal como se establecen en la norma ISO/IEC 15408 [3] o en los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, versión CC:2002, partes 1 a 5, publicados por los participantes en el Acuerdo sobre el reconocimiento de certificados de criterios comunes en el ámbito de la seguridad informática, y con certificación EAL 4 o superior; o

b) el esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC) [10] [11] y con certificación EAL 4 o superior; o

c) hasta el 31.12.2030, FIPS PUB 140-3 [7] nivel 3.

Si el dispositivo criptográfico seguro cuenta con una certificación EUCC [10][11], dicho dispositivo se configurará y utilizará de conformidad con dicha certificación.

- TIS-7.6.3-03 sin efecto.

- NOTA 2 sin efecto.

8) 7.6.7 Fin del ciclo de vida de las claves de las TSU

- TIS-7.6.7-03A La fecha de expiración de las claves privadas de las TSU serán conformes con los mecanismos criptográficos acordados [9].

- NOTA 1 sin efecto.

9) 7.10 Seguridad de la red

- OVR-7.10-05 El escaneado de vulnerabilidades exigido en el REQ-7.8-13 de ETSI EN 319 401 [1] se realizará al menos una vez al trimestre.

- OVR-7.10-06 La prueba de penetración exigida por REQ-7.8-17X de ETSI EN 319 401 [1] se realizará al menos una vez al año.

- OVR-7.10-07 Los cortafuegos estarán configurados de manera que impidan todos los protocolos y accesos que no sean necesarios para el funcionamiento de la TSA.

10) 7.14 Cese y planes de cese de la TSA

- OVR-7.14-01A El plan de cese del TSP cumplirá los requisitos establecidos en los actos de ejecución adoptados en virtud del artículo 24, apartado 5, del Reglamento (UE) n.º 910/2014 [i.4].

2. En el caso de ETSI EN 319 422

1) 2.1 Referencias normativas

- [5] sin efecto.

- [6] sin efecto.

- [8] Grupo Europeo de Certificación de la Ciberseguridad, Subgrupo de Criptografía: «Agreed Cryptographic Mechanisms» («Mecanismos criptográficos acordados», documento en inglés).

- [9] RFC 9110 Semántica del HTTP.

2) 4.1.3 Algoritmos hash que deben utilizarse