ANHANG I VO (EU) 2025/1569

ETSI TS 119471 V1.1.1 (2025-05) mit den folgenden Anpassungen:

(1)

2.1 Normative references (Normative Verweise):

[1]

ETSI EN 319401 V3.2.1 (2026-01): Electronic Signatures and Trust Infrastructures (ESI); General Policy Requirements for Trust Service Providers (Elektronische Signaturen und Infrastrukturen (ESI) – Allgemeine Anforderungen an die Policy für Vertrauensdiensteanbieter);

[2]

Europäische Gruppe für die Cybersicherheitszertifizierung, Untergruppe für Kryptografie: „Agreed Cryptographic Mechanisms” (Vereinbarte kryptografische Mechanismen), veröffentlicht von der Agentur der Europäischen Union für Cybersicherheit ( „ENISA” );

[3]

FIPS PUB 140-3 (2019) – Security Requirements for Cryptographic Modules (Sicherheitsanforderungen an kryptografische Module);

[4]

Durchführungsverordnung (EU) 2024/482 der Kommission⁽¹⁾;

[5]

Durchführungsverordnung (EU) 2024/3144 der Kommission⁽²⁾;

[6]

ISO/IEC 15408:2022 (Teile 1 bis 5): Informationssicherheit, Cybersicherheit und Schutz der Privatsphäre – Evaluationskriterien für IT-Sicherheit.

(2)

3.1 Terms (Begriffe):

Der folgende Begriff wird angefügt:

—

sicheres Kryptomodul: Modul, in dem der private Schlüssel des Nutzers gespeichert ist, es schützt diesen Schlüssel vor Beeinträchtigungen und führt im Namen des Nutzers Signier- oder Entschlüsselungsfunktionen aus.

(3)

4. EAA trust services (EAA-Vertrauensdienste)

—

Abschnitt 4.2.2.2 „Verification of attributes against authentic sources” (Überprüfung von Attributen anhand authentischer Quellen) findet keine Anwendung.

—

REQ-EAASP-4.2.2.3-02: Der EAASP authentifiziert sich gegenüber der EUDI-Brieftascheninstanz mithilfe der Mechanismen zur gegenseitigen Authentifizierung unter Verwendung eines gültigen Zugriffszertifikats.

—

REQ-EAASP-4.2.2.3-03: Der EAASP validiert die EUDI-Einzelbrieftasche und prüft, ob die EUDI-Brieftascheninstanz widerrufen wurde.

—

Abschnitt 4.3.2 „EUDIW Specific” (Speziell für EUDI-Brieftaschen) findet keine Anwendung.

(4)

6.1 EAAS practice statement (EAAS-Praxiserklärung):

—

REQ-EAASP-6.1-02: Der EAASP dokumentiert den Widerrufsmechanismus in der EAAS-Praxiserklärung.

(5)

6.3 Information security policy (Informationssicherheitsregelung):

—

REQ-EAASP-6.3-02: Der EAASP legt im Einklang mit den Geschäftsanforderungen und den einschlägigen Rechts- und Verwaltungsvorschriften, auch den Anforderungen der gemäß Artikel 24 Absatz 5 der Verordnung (EU) Nr. 910/2014 erlassenen Durchführungsrechtsakte, Verfahren zur Unterrichtung der Aufsichtsstelle über Änderungen bei der Erbringung des Vertrauensdienstes für die elektronische Attributsbescheinigung und über die beabsichtigte Einstellung dieser Tätigkeiten fest. Der EAASP unterrichtet die zuständige Aufsichtsstelle davon zumindest

—

einen Monat vor der Durchführung einer Änderung,

—

drei Monate vor der geplanten Einstellung der Erbringung eines Vertrauensdienstes.

(6)

7.5 Cryptographic controls (Kryptografische Kontrollen):

—

REQ-EAASP-7.5.2-05: ungültig

—

REQ-EAASP-7.5.2-06: ungültig

—

REQ-EAASP-7.5.3-01A: Es bestehen angemessene Sicherheitskontrollen in Bezug auf die Verwaltung kryptografischer Schlüssel, kryptografischer Algorithmen und kryptografischer Geräte während ihres gesamten Lebenszyklus, soweit angemessen nach einem Krypto-Agilitätsansatz.

—

REQ-EAASP-7.5.3-01B: Der EAASP muss geeignete Algorithmen auswählen und verwenden, die den von der Europäischen Gruppe für die Cybersicherheitszertifizierung gebilligten und von der ENISA veröffentlichten Vereinbarten kryptografischen Mechanismen entsprechen [2].

—

REQ-EAASP-7.5.3-02: Der EAASP stellt sicher, dass das von ihm für digitale Signaturen oder Siegel eines EEA verwendete sichere Kryptomodul eine qualifizierte Signatur- oder Siegelerstellungseinheit ist und dass alle anderen digitalen Signaturen oder Siegel, die zur Erbringung des entsprechenden Vertrauensdienstes für die elektronische Attributsbescheinigung oder eines Teils davon verwendet werden, mithilfe eines sicheren Kryptomoduls erstellt werden, bei der es sich um ein vertrauenswürdiges System handelt, das zertifiziert ist gemäß

a)

den Gemeinsamen Kriterien für die Evaluierung der IT-Sicherheit, nämlich gemäß den Gemeinsamen Kriterien für die Evaluierung der IT-Sicherheit Version 3.1 (CC3.1, bis zum 31.8.2027) oder Version CC:2022, Teile 1 bis 5, veröffentlicht von den Beteiligten der Anerkennungsvereinbarung für die nach den Gemeinsamen Kriterien ausgestellten Zertifikate auf dem Gebiet der IT-Sicherheit (CCRA), oder gemäß der Norm ISO/IEC 15408 [6], und mit Vertrauenswürdigkeitsstufe der Evaluierung (Evaluation Assurance Levels, EAL) 4 oder höher zertifiziert, oder

b)

dem auf den Gemeinsamen Kriterien beruhenden europäischen System für die Cybersicherheitszertifizierung (EUCC), [4][5], und mit EAL 4 oder höher zertifiziert, oder

c)

FIPS-140-2 Stufe 3 (bis zum 31.8.2027 für bestehende zertifizierte Systeme) oder FIPS PUB 140-3 [3] Stufe 3 (bis zum 31.12.2030).

Diese Zertifizierung erfolgt auf der Grundlage einer Risikoanalyse und unter Berücksichtigung physischer und anderer nicht technischer Sicherheitsmaßnahmen für ein Sicherheitsziel, ein Schutzprofil oder eine Modulentwurfs- und Sicherheitsdokumentation, die den Anforderungen des vorliegenden Dokuments entspricht.

Verfügt das sichere Kryptomodul über eine EUCC[4][5]-Zertifizierung, so ist dieses Modul entsprechend dieser Zertifizierung zu konfigurieren und zu verwenden.

—

REQ-EAASP-7.5.5-01: ungültig

—

REQ-EAASP-7.5.5-02: ungültig

—

REQ-EAASP-7.5.5-04: ungültig

(7)

7.9 Vulnerabilities and Incident management (Schwachstellen und Management von Vorfällen):

—

REQ-EAASP-7.9-02: Überwachungstätigkeiten tragen der Sensibilität aller erfassten oder analysierten Informationen Rechnung.

(8)

7.12 EAASP and EAAS termination and termination plans (EAASP- und EAAS-Beendigung und -Beendigungspläne):

—

REQ-EAASP-7.12-04: Der Beendigungsplan des EAASP muss den Anforderungen entsprechen, die in den gemäß Artikel 24 Absatz 5 der Verordnung (EU) Nr. 910/2014 [i.1] erlassenen Durchführungsrechtsakten festgelegt sind.