La norme ETSI TS 119 431-1 V1.3.1 (2024-12) (ci-après «ETSI TS 119 431-1») s’applique aux fins de l’évaluation de la conformité avec la politique du service d’application de serveur de signature électronique EU Server Signing Application Service v2 (SSASP), conformément à l’annexe A de ladite norme, moyennant les adaptations suivantes:
1) 2.1 Références normatives
— [1] ETSI EN 319 401 V3.1.1 (2024-06): «Signatures électroniques et infrastructures de confiance; exigences de politique générale applicables des prestataires de services de confiance».
— [7] Groupe européen de certification de cybersécurité, sous-groupe sur la cryptographie: «Agreed Cryptographic Mechanisms», publié par l’Agence de l’Union européenne pour la cybersécurité (ENISA).
2) 6.1 Responsabilités en matière de publication et de répertoire
— OVR-6.1-04: les informations mentionnées au point OVR-6.1-01 sont mises à la disposition du public au niveau international.
3) 6.4.4 Contrôles relatifs au personnel
— OVR-6.4.4-02: les SSASP emploient du personnel intervenant dans des rôles de confiance et, le cas échéant, des sous-traitants intervenant dans des rôles de confiance, qui ont acquis les connaissances spécialisées, l’expérience et les qualifications nécessaires grâce à une formation formelle et à des certificats, ou de manière empirique, ou par une combinaison des deux.
— OVR-6.4.4-03: la conformité au point OVR-6.4.4-02 implique des mises à jour régulières (au moins tous les 12 mois) sur les nouvelles menaces et les pratiques actuelles en matière de sécurité.
4) 6.4.9 Arrêt de service de la SSASP
— OVR-6.4.9-02: le plan d’arrêt de la SSASP satisfait aux exigences énoncées dans les actes d’exécution adoptés en vertu de l’article 24, paragraphe 5, du règlement (UE) no 910/2014 [i.1].
5) 6.5.5 Contrôles de sécurité du réseau
— OVR-6.5.5-02: l’analyse de vulnérabilité requise en vertu du REQ-7.8-13 de la norme ETSI EN 319 401 [1] doit être effectuée au moins une fois par trimestre.
— OVR-6.5.5-03: les pare-feu doivent être configurés de manière à empêcher tous les protocoles et accès non nécessaires au fonctionnement du prestataire de service de confiance.
6) 6.8.5 Contrôles cryptographiques
— OVR-6.8.5-01: des contrôles de sécurité appropriés sont mis en place pour la gestion de toutes les techniques cryptographiques de la SSASP tout au long de leur cycle de vie.
— OVR-6.8.5-02: en ce qui concerne l’OVR-6.8.5-01, la SSASP sélectionne et utilise des techniques cryptographiques appropriées conformes aux mécanismes cryptographiques agréés approuvés par le groupe européen de certification de cybersécurité et publiés par l’ENISA [7].
7) Annexe A, section A.3 Exigences générales
— OVR-A.3-02 [EUSPv2]: la déclaration en matière de pratique du prestataire de services de confiance inclut la référence à la certification du dispositif de création de signature/cachet électronique qualifié employé conformément aux exigences de l’annexe II du règlement (UE) no 910/2014 [i.1].