Spezifikationen für Konformitätsbewertungsberichte

Die in Artikel 7 Absatz 1 genannten Konformitätsbewertungsberichte müssen folgende Anforderungen erfüllen:

1.

Ihnen ist eine eindeutige Zertifizierungsentscheidung gemäß Abschnitt 7.6 der Norm ETSI EN 319403-1 v2.3.1 (im Folgenden „ETSI EN 319403-1” ) beigefügt, in der bestätigt wird, ob der bewertete Vertrauensdiensteanbieter und die bewerteten qualifizierten Vertrauensdienste, die dieser erbringt oder erbringen will, den Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 entsprechen.

2.

Sie enthalten den Namen des qualifizierten Vertrauensdiensteanbieters und gegebenenfalls seine Registriernummer gemäß der amtlichen Eintragung, seine amtliche Postanschrift und seine E-Mail-Adresse sowie gegebenenfalls dieselben Informationen für alle Tochterunternehmen, verbundenen juristischen Personen, Auftragnehmer und Unterauftragnehmer, die Vertrauensdienstkomponenten im Rahmen der Erbringung der qualifizierten Vertrauensdienste durch den qualifizierten Vertrauensdiensteanbieter betreiben.

3.

Sie enthalten eine detaillierte Beschreibung des Umfangs der Bewertung des qualifizierten Vertrauensdiensteanbieters, einschließlich der spezifischen qualifizierten Vertrauensdienste, die Gegenstand der Bewertung sind.

4.

Sie enthalten hinreichende Nachweise dafür, dass der Vertrauensdiensteanbieter und die von ihm erbrachten Vertrauensdienste die in der Verordnung (EU) Nr. 910/2014 und in Artikel 21 der Richtlinie (EU) 2022/2555 festgelegten Anforderungen erfüllen.

5.

Sie enthalten den Namen der Konformitätsbewertungsstelle und gegebenenfalls ihre Registriernummer gemäß der amtlichen Eintragung, ihre amtliche Postanschrift und ihre E-Mail-Adresse.

6.

Sie enthalten folgende Angaben:

a)

den Namen und das Land der nationalen Akkreditierungsstelle, die die Konformitätsbewertungsstelle akkreditiert hat,

b)

die Namen der natürlichen Personen, die seitens der Konformitätsbewertungsstelle an der Durchführung der Konformitätsbewertung beteiligt sind, und ihre jeweilige Rolle bei dieser Bewertung,

c)

den Verweis auf die offizielle Website der nationalen Akkreditierungsstelle mit Zugriff auf die Akkreditierungsurkunde, die der Konformitätsbewertungsstelle von der nationalen Akkreditierungsstelle ausgestellt wurde,

d)

gegebenenfalls das digitale Akkreditierungssymbol,

e)

das Konformitätsbewertungssystem, für das die Konformitätsbewertungsstelle gemäß Artikel 2 Absatz 1 akkreditiert wurde,

f)

Konformitätsbewertungsuntersuchungen der durchgeführten Konformitätsbewertung, die Gründe für ihre Auswahl und die angewandte Methodik, einschließlich Stichprobenmethode und Prüfverfahren,

g)

das akkreditierte Konformitätsbewertungssystem und einschlägige Unterlagen oder einen Verweis auf den Ort, an dem dieses Konformitätsbewertungssystem und einschlägige Unterlagen verfügbar sind.

7.

Sie enthalten zumindest eine qualifizierte elektronische Signatur, wenn der Bericht in elektronischer Form vorgelegt wird, oder eine handschriftliche Unterschrift, wenn der Bericht in Papierform vorgelegt wird, sowie Namen und Funktion der verantwortlichen Person(en), die befugt ist/sind, die Zertifizierungsentscheidung im Namen der Konformitätsbewertungsstelle zu treffen.

8.

Sie müssen einen qualifizierten Vertrauensdiensteanbieter betreffen.

9.

Darin sind gemäß ETSI TS 119612 v.2.4.1 Abschnitt 5.5.3 die digitalen Identitäten der Dienste je Art des qualifizierten Vertrauensdienstes aufgeführt, deren Konformität mit den Anforderungen der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 bestätigt wird, und sie enthalten folgende Informationen:

a)

falls der qualifizierte Vertrauensdienst nicht auf Public-Key-Infrastrukturtechnik beruht, eine als URI ausgedrückte Kennung, die den qualifizierten Vertrauensdienst eindeutig identifiziert;

b)

falls der qualifizierte Vertrauensdienst auf Public-Key-Infrastrukturtechnik beruht, zumindest Folgendes:

—

den Inhaberschlüssel-Identifikator (Subject Key Identifier) gemäß IETF RFC 5280,

—

die Base64-PEM-Darstellung des zugehörigen digitalen X.509v3-Zertifikats,

—

gegebenenfalls eine Angabe, ob bestimmte Sätze oder Teilsätze von End-Entitäts-Zertifikaten, die von oder im Rahmen der digitalen Identität des Dienstes ausgestellt wurden, von der Zertifizierungsentscheidung ausgenommen oder ausdrücklich davon erfasst werden und anhand welcher Kriterien sie ermittelt werden können,

—

eine Angabe, ob sich die digitale Identität des Dienstes auf eine End-Entität oder eine Zertifizierungsbehörde bezieht und ob es sich um ein Ausstellungs-, Zwischen- oder Wurzelzertifikat handelt,

—

eine Beschreibung, wie die digitale Identität des Dienstes im Zusammenhang mit dem entsprechenden qualifizierten Vertrauensdienst verwendet wird.

10.

Sie enthalten gegebenenfalls eine detaillierte Beschreibung der funktionalen Hierarchie der Public-Key-Infrastruktur je Art des qualifizierten Vertrauensdienstes und für alle gemäß Nummer 11 ermittelten digitalen Identitäten der Dienste, die mindestens Folgendes umfasst:

a)

die Veranschaulichung der Hierarchie der Public-Key-Infrastruktur mit Angabe der Wurzelzertifizierungsbehörden, der zwischengeschalteten Zertifizierungsbehörden, der ausstellenden Zertifizierungsbehörden und der Zertifizierungswege zwischen ihnen;

b)

die Angabe jeder in Buchstabe a genannten Zertifizierungsbehörde mittels des Inhaberschlüssel-Identifikators gemäß IETF RFC 5280;

c)

für jede nach Buchstabe b angegebene ausstellende Zertifizierungsbehörde die Liste der verschiedenen Regelungssätze für die Zertifikate, die jede dieser Zertifizierungsbehörden ausstellt, sowie für jeden Satz:

—

Kriterien, die die Zertifikate des Satzes eindeutig identifizieren, d. h. entweder eine Liste der Kennungen der Zertifikatsregelungen, die dem Inhalt der Zertifikatsregelungserweiterung gemäß IETF RFC 5280 entsprechen, oder andere Kriterien, die in den gemäß Artikel 22 Absatz 5 der Verordnung (EU) Nr. 910/2014 erlassenen Durchführungsrechtsakten festgelegt worden sind,

—

eine Angabe, ob die Zertifikate des Satzes qualifiziert oder nichtqualifiziert sind,

—

eine Angabe, ob die Zertifikate des Satzes entweder für elektronische Signaturen oder elektronische Siegel oder für die Website-Authentifizierung oder für keinen dieser Zwecke bestimmt sind, und im letzteren Fall, für welche anderen Zwecke sie verwendet werden sollen,

—

eine Angabe, ob der private Schlüssel, der dem in den Zertifikaten der Geräte zertifizierten öffentlichen Schlüssel entspricht, sich in einer lokalen oder entfernten qualifizierten Signatur- oder Siegelerstellungseinheit befindet.

11.

Sie enthalten gemäß Nummer 2 Folgendes:

a)

eine erschöpfende Liste von Dritten, einschließlich Unterauftragnehmern, die Komponenten qualifizierter Vertrauensdienste oder Dienstkomponenten bereitstellen, mit Angabe ihres Namens gemäß Nummer 2 sowie der Standorte, an denen die betreffenden Komponentendienste betrieben werden;

b)

eine Angabe, ob und in welchem Umfang diese Dritten und diese Standorte einer Konformitätsbewertung unterzogen wurden.

12.

Sie beschreiben gegebenenfalls den Inhalt des Listeneintrags, der entsprechend dem Ergebnis der Bewertung in die betreffende nationale Vertrauensliste aufzunehmen oder dort zu aktualisieren ist.

13.

Sie enthalten eine erschöpfende Liste der ordnungsgemäß gekennzeichneten internen Dokumente öffentlicher und qualifizierter Vertrauensdiensteanbieter, einschließlich Versionen, die Gegenstand der Konformitätsbewertung waren, mit zumindest den folgenden Unterlagen gemäß Nummer 8, von denen eine Kopie entweder zusammen mit dem Konformitätsbewertungsbericht vorzulegen oder der zuständigen Aufsichtsstelle auf Verlangen auf andere Weise zur Verfügung zu stellen ist:

a)

die Erklärung über die Verfahren, die der qualifizierte Vertrauensdiensteanbieter zur Erbringung der qualifizierten Vertrauensdienste anwendet;

b)

das Regelwerk für die Anwendbarkeit der qualifizierten Vertrauensdienste auf eine bestimmte Gemeinschaft oder eine bestimmte Anwendungskategorie mit gemeinsamen Sicherheitsanforderungen ( „Regelungen für qualifizierte Vertrauensdienste” );

c)

die Vertrags- und Geschäftsbedingungen in Bezug auf die Nutzerverträge;

d)

den Beendigungsplan des qualifizierten Vertrauensdienstes;

e)

die Dokumentation in Bezug auf die Risikobewertung, mit der nachgewiesen werden soll, dass die Anforderungen des Artikels 24 Absatz 2 Buchstaben fa und fb der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 erfüllt sind;

f)

den Plan für die Meldung von Sicherheitsverletzungen, mit dem nachgewiesen werden soll, dass die Anforderungen des Artikels 24 Absatz 2 Buchstaben fa und fb der Verordnung (EU) Nr. 910/2014 und des Artikels 21 der Richtlinie (EU) 2022/2555 erfüllt sind;

g)

die Liste aller internen Dokumente, die die wirksame Umsetzung der Verfahren belegen, die der qualifizierte Vertrauensdiensteanbieter zur Erbringung der qualifizierten Vertrauensdienste erklärt hat und verwendet;

h)

Gründungsurkunde und Satzung bzw. Gesellschaftsvertrag des qualifizierten Vertrauensdiensteanbieters im Einklang mit den geltenden nationalen Rechtsvorschriften sowie die folgenden Elemente:

—

Erklärung über die Geschäftstätigkeiten, die nicht mit der Erbringung von Vertrauensdiensten zusammenhängen,

—

Organisationsplan,

—

Angaben zur Eigentümerstruktur,

—

soweit zutreffend und verfügbar, den Bericht des Rechnungsprüfers für die letzten beiden Geschäftsjahre des Unternehmens oder ab seiner Gründung bis zur Unterzeichnung des Konformitätsbewertungsberichts, je nachdem, welcher Zeitraum kürzer ist;

i)

den Nachweis, dass der qualifizierte Vertrauensdiensteanbieter gemäß geltendem nationalen Recht über ausreichende Finanzmittel verfügt und gegebenenfalls eine angemessene Haftpflichtversicherung in Bezug auf die Erbringung der qualifizierten Vertrauensdienste abgeschlossen hat;

j)

die Liste der Normen bzw. Standards, denen der Betrieb entsprechen soll;

k)

die Liste der Normen bzw. Standards, nach denen die Projekte geprüft, evaluiert, zertifiziert oder als konform bewertet werden, mit Einzelheiten zum jeweils zugrunde liegenden Prüf-, Evaluierungs-, Zertifizierungs- oder Bewertungssystem;

l)

die Liste der qualifizierten elektronischen Signaturerstellungseinheiten oder qualifizierten elektronischen Siegelerstellungseinheiten und deren Zertifizierungsangaben, wenn der qualifizierte Vertrauensdiensteanbieter solche Geräte an seine Nutzer ausliefert oder ihnen zur Verfügung stellt;

m)

die Liste der Geräte, einschließlich Hardware-Sicherheitsmodulen oder sicherer kryptografischer Geräte, die der qualifizierte Vertrauensdiensteanbieter als vertrauenswürdiges System oder Produkt verwendet, um seine eigenen Schlüssel zu schützen, und Angaben zu ihrer Zertifizierung, falls der qualifizierte Vertrauensdiensteanbieter solche Geräte verwendet, um die Prozesse zur Unterstützung der von ihm erbrachten qualifizierten Vertrauensdienste abzusichern.

14.

Sie enthalten eine Bewertung der Erfüllung der Anforderungen an einschlägige qualifizierte Vertrauensdienste gemäß der Verordnung (EU) Nr. 910/2014 und gegebenenfalls gemäß den betreffenden Durchführungsrechtsakten und delegierten Rechtsakten, die für diesen qualifizierten Vertrauensdienst gelten und auf folgender Grundlage erlassen wurden:

—

Artikel 24 Absatz 1c der Verordnung (EU) Nr. 910/2014 in Bezug auf die Überprüfung der Identität und der Attribute der Personen, denen das qualifizierte Zertifikat oder die qualifizierte elektronische Bescheinigung ausgestellt werden soll;

—

Artikel 24 Absatz 5 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Anforderungen an qualifizierte Vertrauensdiensteanbieter, die qualifizierte Vertrauensdienste erbringen;

—

Artikel 28 Absatz 6 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Ausstellung qualifizierter Zertifikate für elektronische Signaturen;

—

Artikel 38 Absatz 6 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Ausstellung qualifizierter Zertifikate für elektronische Siegel;

—

Artikel 45 Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Ausstellung qualifizierter Zertifikate für die Website-Authentifizierung;

—

Artikel 33 Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Validierungsdienst für qualifizierte elektronische Signaturen;

—

Artikel 33 Absatz 2 und Artikel 40 der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Validierungsdienst für qualifizierte elektronische Siegel;

—

Artikel 34 Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Bewahrungsdienst für qualifizierte elektronische Signaturen;

—

Artikel 34 Absatz 2 und Artikel 40 der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Bewahrungsdienst für qualifizierte elektronische Siegel;

—

Artikel 42 Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Erstellung qualifizierter elektronischer Zeitstempel;

—

Artikel 44 Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Erbringung qualifizierter Dienste für die Zustellung elektronischer Einschreiben;

—

Artikel 29a Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Dienst zur Verwaltung qualifizierter elektronischer Fernsignaturerstellungseinheiten;

—

Artikel 29a Absatz 2 und Artikel 39a der Verordnung (EU) Nr. 910/2014 in Bezug auf den qualifizierten Dienst zur Verwaltung qualifizierter elektronischer Fernsiegelerstellungseinheiten;

—

Artikel 45j Absatz 2 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Erbringung qualifizierter elektronischer Archivierungsdienste;

—

Artikel 45d Absatz 5 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Ausstellung qualifizierter elektronischer Attributsbescheinigungen;

—

Artikel 45l Absatz 3 der Verordnung (EU) Nr. 910/2014 in Bezug auf die Aufzeichnung elektronischer Daten in einem elektronischen Journal.

15.

Sie enthalten eine Bewertung der Erfüllung der Anforderungen an qualifizierte Vertrauensdiensteanbieter und die betreffenden qualifizierten Vertrauensdienste, die gemäß Artikel 21 der Richtlinie (EU) 2022/2555 und den gemäß Artikel 21 Absatz 5 der Richtlinie erlassenen Durchführungsrechtsakten für diesen qualifizierten Vertrauensdienst gelten.

16.

Sie enthalten eine Erklärung, aus der gegebenenfalls hervorgeht, dass keine Nichtkonformitäten vorliegen, und zwar unabhängig von deren Kritikalität; wird in dem Bericht eine Nichtkonformität festgestellt, so wird dem Bericht ein vom qualifizierten Vertrauensdiensteanbieter vorgelegter und von der Konformitätsbewertungsstelle gebilligter Plan mit Abhilfemaßnahmen und deren zeitlicher Planung sowie eine Beschreibung der geplanten Bewertungsaufgaben beigefügt, deren Durchführung die Konformitätsbewertungsstelle zusagt, um zu beurteilen, ob diese Nichtkonformitäten behoben wurden.

17.

Sie enthalten, soweit angemessen und erforderlich, einen Hinweis auf Verbesserungsmöglichkeiten in Bezug auf die Erfüllung der einschlägigen Anforderungen durch den qualifizierten Vertrauensdiensteanbieter und die von ihm erbrachten qualifizierten Vertrauensdienste.

18.

Sie enthalten für jede Stufe der Konformitätsbewertung, einschließlich Dokumentationsprüfung, Durchführungsbewertung und Vor-Ort-Inspektionen, jeweils Angaben über den Zeitraum, auf den sich die Bewertung bezieht, und die Zeit (in Personentagen), die die Konformitätsbewertungsstelle für die Durchführung der Bewertung benötigt hat.

19.

In dem die jeweilige Anforderung betreffenden Bericht werden die während der Bewertung durchgeführten detaillierten Konformitätsbewertungskontrollen mit den Kontrollzielen aufgeführt, oder es wird darin auf gesondert vorliegende Bewertungsberichte verwiesen, in denen diese Informationen enthalten sind, sofern solche gesonderten Bewertungsberichte

a)

von gemäß der Verordnung (EU) Nr. 910/2014 akkreditierten Konformitätsbewertungsstellen erstellt werden,

b)

von den Konformitätsbewertungsstellen, die den Konformitätsbewertungsbericht erstellen, bestätigt werden.

20.

Sie enthalten den Umfang, die Beschreibung und die Ergebnisse eines signifikanten Satzes von Tests oder Produktionsstichproben und deren Bewertung für alle relevanten und anwendbaren Arten von Outputs aus den bewerteten qualifizierten Vertrauensdiensten.

21.

Sie enthalten die folgenden Fristangaben:

a)

die Frist für die Durchführung der nächsten Überwachungskonformitätsbewertung,

b)

die Frist für die Durchführung der nächsten Konformitätsbewertung gemäß Artikel 20 Absatz 1 der Verordnung (EU) Nr. 910/2014.

22.

Sie enthalten eine ausdrückliche Erklärung, aus der hervorgeht, dass die Zertifizierungsdokumente, einschließlich des Konformitätsbewertungsberichts, auch für eine Verwendung durch die zuständige nationale Aufsichtsbehörde bestimmt sind.