(EU) 2025/1942Prováděcí nařízení Komise (EU) 2025/1942 ze dne 29. září 2025, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) č. 910/2014, pokud jde o kvalifikované služby ověřování platnosti kvalifikovaných elektronických podpisů a kvalifikované služby ověřování platnosti kvalifikovaných elektronických pečetí

2.1

Normativní odkazy

—

[i.11] neplatné.

—

EUCC Evropský systém certifikace kybernetické bezpečnosti založený na společných kritériích.

—

POZNÁMKA Pokyny – viz norma ETSI EN 319 102-1 [3]; další pokyny pro případ kvalifikovaného podpisu nebo pečetě EU – viz norma ETSI TS 119 172-4 [8].

—

OVR-6.1-02 Prohlášení o postupech služby ověřování platnosti podpisů je strukturováno tak, jak je uvedeno v příloze A.

—

OVR-6.1-03 Prohlášení o postupech služby ověřování platnosti podpisů obsahuje seznam podporovaných politik ověřování platnosti podpisů (např. prostřednictvím identifikátorů objektu) nebo odkaz na ně a jejich stručný popis.

—

OVR-6.3-02 Politika v oblasti bezpečnosti dokumentuje kontroly bezpečnosti a ochrany soukromí zavedené za účelem ochrany osobních údajů.

—

OVR-7.2-02 Pracovníci poskytovatele služby ověřování platnosti podpisů na důvěryhodných pozicích a v příslušných případech jeho subdodavatelé na důvěryhodných pozicích musí být schopni splnit požadavek na „odborné znalosti, zkušenosti a kvalifikaci“ prostřednictvím formální odborné přípravy a pověření nebo skutečných zkušeností nebo kombinace obojího.

—

OVR-7.2-03 Shoda s požadavkem OVR-7.2-02 musí zahrnovat pravidelné aktuální informace (alespoň každých dvanáct měsíců) o nových hrozbách a stávajících bezpečnostních postupech.

—

OVR-7.5-02 [PODMÍNĚNÉ] Při podepisování zpráv o ověření platnosti musí být veřejný podpisový certifikát poskytovatele služby ověřování platnosti podpisů odpovídající soukromému podpisovému klíči poskytovatele služby ověřování platnosti podpisů vydán důvěryhodnou certifikační autoritou v souladu s normalizovanou certifikační politikou NCP+, jak je vymezeno v normě ETSI EN 319 411-1 [12]. Měl by být vydán v souladu s příslušnou certifikační politikou uvedenou v normě ETSI EN 319 411-2 [i.17].

—

OVR-7.5-03 [PODMÍNĚNÉ] Při podepisování zpráv o ověření platnosti je soukromý podpisový klíč poskytovatele služby ověřování platnosti podpisů uchováván a používán v rámci bezpečného kryptografického prostředku, který je důvěryhodným systémem certifikovaným v souladu se:

—

OVR-7.5-04 neplatné.

—

OVR-7.5-06 Soukromý podpisový klíč poskytovatele služby ověřování platnosti podpisů lze exportovat a importovat do jiného bezpečného kryptografického prostředku pouze tehdy, pokud je tento export a import realizován bezpečně a v souladu s certifikací těchto zařízení.

—

OVR-7.7-02 Aby bylo zajištěno, že systémy, na kterých je aplikace vyvíjena, používají vhodná bezpečnostní opatření a přizpůsobují se specifickým aplikačním prostředím, musí aplikace ověřování platnosti podpisů používat aplikační prostředí, které je vždy aktualizováno všemi bezpečnostními opravami.

—

OVR-7.7-03 Na aplikaci ověřování platnosti podpisů se vztahují následující požadavky uvedené v normě ETSI TS 119 101 [1], bodě 5.2: GSM 1.3.

—

OVR-7.8-02 Pokud je povolen vzdálený přístup k systémům uchovávajícím nebo zpracovávajícím důvěrné údaje, musí být jako součást prvků požadovaných v rámci požadavku OVR-6.3-02 přijata a popsána formální politika.

—

OVR-7.8-04 Skenování zranitelnosti požadované v rámci požadavku REQ-7.8-13 normy ETSI EN 319 401 [1] se provádí nejméně jednou za čtvrtletí.

—

OVR-7.8-05 Penetrační test požadovaný v rámci požadavku REQ-7.8-17X normy ETSI EN 319 401 [1] se provádí nejméně jednou ročně.

—

OVR-7.8-06 Firewally musí být nakonfigurovány tak, aby zabránily veškerým protokolům a přístupům, které nejsou nezbytné pro provoz poskytovatele služby ověřování platnosti podpisů.

—

OVR-7.12-02 Plán ukončení činnosti poskytovatele služeb vytvářejících důvěru musí splňovat požadavky stanovené v prováděcích aktech přijatých podle čl. 24 odst. 5 nařízení (EU) č. 910/2014 [i.1].

—

OVR-7.14-01 Uplatňují se požadavky uvedené v normě ETSI EN 319 401 [2], bodě 7.14.

—

VPR-8.1-07 Aplikace ověřování platnosti (SVA) musí splňovat požadavky normy ETSI TS 119 101 [1], bodu 7.4 SIA 1 až SIA 4.

—

VPR-8.1-11 [PODMÍNĚNÉ] Pokud je cílem služby ověřování platnosti podpisů validovat kvalifikované elektronické podpisy nebo kvalifikované elektronické pečetě, jako je tomu v souladu s čl. 32 odst. 1 (resp. článkem 40) nařízení (EU) č. 910/2014 [i.1], musí se postup ověřování platnosti řídit požadavky normy ETSI TS 119 172-4 [8].

—

SVP-8.2-03 Odpověď na ověření platnosti podpisu musí obsahovat identifikátor objektu politiky služby ověřování platnosti podpisu.

—

SVR-8.4-02 Zpráva o ověření platnosti musí být v souladu s normou ETSI TS 119 102-2 [9].

—

SVR-8.4-07 [PODMÍNĚNÉ] Pokud není politika ověřování platnosti podpisu zcela zpracována službou ověřování platnosti podpisu, musí zpráva kromě informací o ověřených omezeních obsahovat i informace o omezeních, která byla ignorována nebo přepsána.

—

SVR-8.4-15 Ve zprávě o ověření platnosti musí být jasně uveden původ každého vstupního bodu (z podpisu, od klienta, od serveru).

—

SVR-8.4-16 Zpráva o ověření platnosti musí být opatřena podpisem zprávy o ověření platnosti, který je digitálním podpisem poskytovatele služby ověřování platnosti podpisů.

—

SVR-8.4-17 [PODMÍNĚNÉ] Pokud jsou zprávy o ověření platnosti podepsány, musí formát a cíl podpisu odpovídat normě ETSI TS 119 102-2 [9].

—

OVR-9-05 [PODMÍNĚNÉ] Při vytváření politiky služby ověřování platnosti podpisů na základě politiky služeb vytvářejících důvěru vymezené v tomto dokumentu se provede posouzení rizik z účelem vyhodnocení obchodních požadavků a stanovení bezpečnostních požadavků, které mají být zahrnuty do politiky pro uvedenou komunitu a použitelnost.

—

OVR-9-06 [PODMÍNĚNÉ] Při vytváření politiky služby ověřování platnosti podpisů na základě politiky služeb vytvářejících důvěru vymezené v tomto dokumentu se tato politika schvaluje a upravuje v souladu s vymezeným procesem přezkumu, včetně odpovědnosti za její udržování.

—

OVR-9-07 [PODMÍNĚNÉ] Při vytváření politiky služby ověřování platnosti podpisů na základě politiky služeb vytvářejících důvěru vymezené v tomto dokumentu musí existovat vymezený proces přezkumu, který zajistí, že politika bude podpořena prohlášeními o postupech.

—

OVR-9-08 [PODMÍNĚNÉ] Při vytváření politiky služby ověřování platnosti podpisů na základě politiky služeb vytvářejících důvěru vymezené v tomto dokumentu zpřístupní poskytovatel služeb vytvářejících důvěru své uživatelské komunitě zásady podporované poskytovatelem služeb vytvářejících důvěru.

—

OVR-9-09 [PODMÍNĚNÉ] Při vytváření politiky služby ověřování platnosti podpisů na základě politiky služeb vytvářejících důvěru vymezené v tomto dokumentu se účastníkům zpřístupní revize zásad podporovaných poskytovatelem služeb vytvářejících důvěru.

—

VPR-B-02 [PODMÍNĚNÉ] Pokud je poskytovatel služby ověřování platnosti podpisů poskytovatelem služby ověřování platnosti kvalifikovaných podpisů, musí být provádění v souladu s normou ETSI TS 119 172-4 [8].

—

POZNÁMKA 2 neplatné.

—

OVR-B-04 [PODMÍNĚNÉ] Pokud je poskytovatel služby ověřování platnosti podpisů poskytovatelem služby ověřování platnosti kvalifikovaných podpisů, musí testy uvedené v OVR-B-03 kontrolovat různé případy použití, a to pozitivní a negativní.

—

VPR-B-11 [PODMÍNĚNÉ] Pokud je poskytovatel služby ověřování platnosti podpisů poskytovatelem služby ověřování platnosti kvalifikovaných podpisů, musí poskytovatel služby ověřování platnosti podpisů řídit hašovací výpočet (buď provádět výpočet na straně serveru, nebo řídit klienta, pokud je výpočet povolen na straně klienta).

—

POZNÁMKA 5 neplatné.

—

POZNÁMKA 6 neplatné.

—

VPR-B-15 [PODMÍNĚNÉ] Pokud je poskytovatel služby ověřování platnosti podpisů poskytovatelem služby ověřování platnosti kvalifikovaných podpisů, musí být validační zpráva v souladu s normou ETSI TS 119 102-2 [9], aby splňovala požadavky VPR-B-13 až VPR-B-14.

—

VPR-B-16 [PODMÍNĚNÉ] Pokud je poskytovatel služby ověřování platnosti podpisů poskytovatelem služby ověřování platnosti kvalifikovaných podpisů, musí být provádění v souladu s dohodnutými kryptografickými mechanismy, které přijala Evropská skupina pro certifikaci kybernetické bezpečnosti a zveřejnila agentura ENISA [10] pro použití vhodných šifrovacích technik při poskytování kvalifikovaných služeb ověřování platnosti kvalifikovaných elektronických podpisů.

—

Aby bylo zajištěno, že jsou ověřeny všechny podmínky požadované v čl. 32 odst. 1 a článku 40 nařízení (EU) č. 910/2014 [i.1], je zapotřebí správný ověřovací algoritmus. Poskytuje stejný deterministický výsledek pro podpis nebo pečeť podrobené ověření platnosti. Politika ověřování platnosti podpisu je pro tento účel klíčová. S ohledem na to byla vydána norma ETSI TS 119 172-4 [8] založená na algoritmu ověřování platnosti stanoveném v normě ETSI EN 319 102-1 [3].

—

[1] ETSI EN 319 102-1 V1.4.1 (2024-06) „Elektronické podpisy a důvěryhodné infrastruktury (ESI); Postupy pro vytváření a ověřování platnosti digitálních podpisů AdES; Část 1: Vytvoření a ověření platnosti“.

—

Všechny odkazy na normu „ETSI TS 119 102-1 [1]“ se považují za odkazy na normu „ETSI EN 319 102-1 [1]“.

—

[2] ETSI TS 119 612 V2.3.1 (2024-11) „Elektronické podpisy a infrastruktury (ESI); Důvěryhodné seznamy“.

—

[13] ETSI TS 119 101 V1.1.1 (2016-03) „Elektronické podpisy a infrastruktury (ESI); Politické a bezpečnostní požadavky na aplikace pro vytváření podpisů a ověřování platnosti podpisů“.

—

i) pokud certifikát koncového subjektu představuje zdroj důvěry, omezení RevocationCheckingConstraints se nepoužijí;

—

ii) pokud certifikát koncového subjektu nepředstavuje zdroj důvěry, nastaví se omezení RevocationCheckingConstraints na hodnotu „eitherCheck“, jak je vymezeno v normě ETSI TS 119 172-1 [3], bodě A.4.2.1, tabulce A.2, řádcích (m)2.1;

—

iii) pokud certifikát koncového subjektu představuje zdroj důvěry, omezení RevocationFreshnessConstraints vymezená v normě ETSI TS 119 172-1 [3], bodě A.4.2.1, tabulce A.2, řádcích (m)2.2 se nepoužijí;

—

iv) pokud certifikát koncového subjektu nepředstavuje zdroj důvěry, omezení RevocationFreshnessConstraints vymezená v normě ETSI TS 119 172-1 [3], bodě A.4.2.1, tabulce A.2, řádcích (m)2.2 se použijí s maximální hodnotou 24 hodin pro podpisový certifikát. Pro jiné certitikáty než podpisový certifikát, včetně certifikátů podporujících časová razítka, se hodnota RevocationFreshnessConstraints nenastavuje.

—

REQ-4.4.2-03 Pokud některá z kontrol uvedených v požadavku REQ-4.4.2-01 selže, pak: