Il regolamento eIDAS 910/2014/UE.
Impatto sulla normativa italiana.
_________
_________
La vigilanza sui prestatori di servizi qualificati
I prestatori di servizi qualificati
prestatore di servizi fiduciari qualificato: un prestatore di servizi fiduciari che presta uno o più servizi fiduciari qualificati e cui l’organismo di vigilanza assegna la qualifica di prestatore di servizi fiduciari qualificato;
servizio fiduciario qualificato: un servizio fiduciario che soddisfa i requisiti pertinenti stabiliti nel regolamento eIDAS;
nel regolamento eIDAS;
I prestatori di servizi qualificati
servizio fiduciario: un servizio elettronico fornito normalmente dietro remunerazione e consistente nei seguenti elementi:
a) creazione, verifica e convalida di firme elettroniche, sigilli elettronici o validazioni temporali elettroniche, servizi elettronici di recapito certificato e certificati relativi a tali servizi; oppure b) creazione, verifica e convalida di certificati di autenticazione di siti web; o
b) creazione, verifica e convalida di certificati di autenticazione di siti web; o c) conservazione di firme, sigilli o certificati elettronici relativi a tali servizi;
Considerando (25):
I potenziali prestatori di servizi qualificati in Italia
• Il Ministero dell’Interno nell’emissione dei certificati di autenticazione CIE/DDU
• Certificatori accreditati che emettono certificati qualificati
• Certificatori accreditati che emettono certificati di autenticazione CNS (TS/CNS, CRS, ATe, ecc.)
ecc.)
• Gestori di identità del Sistema Pubblico di identità Digitale
• Conservatori accreditati
• Gestori di Posta Elettronica Certificata
I potenziali prestatori di servizi qualificati in Italia per i quali è già prevista la vigilanza
• Il Ministero dell’Interno nell’emissione dei certificati di autenticazione CIE/DDU
• Certificatori accreditati che emettono certificati qualificati - dal 2001
• Certificatori accreditati che emettono certificati di autenticazione CNS (TS/CNS, CRS, ATe, ecc.) - dal 2001
ecc.) - dal 2001
• Gestori di identità del Sistema Pubblico di identità Digitale (avvio previsto nel 1^ Q 2015)
• Conservatori accreditati (in corso di accreditamento)
• Gestori di Posta Elettronica Certificata - dal 2005
La vigilanza sui certificatori che emettono certificati qualificati è operata dal 2001
• Remota:
Attraverso sistemi automatici che verificano la disponibilità dei servizi critici
Verifica della congruità normativa/tecnologica dei certificati emessi
Verifica della congruità normativa/tecnologica delle firme digitali generate
Verifica della congruità normativa/tecnologica delle marche temporali generate
Gestione di lamentele degli utenti
Gestione di lamentele degli utenti
• Onsite:
Basata su apposite Linee guida
Eseguita normalmente ogni 18 mesi a cura dell’Agenzia
Eseguibile in qualunque momento a discrezione dell’Agenzia
Effettuata presso il sito primario e, a campione, presso centri di registrazione
La vigilanza sui certificatori che emettono certificati qualificati è operata dal 2001
Le Linee guida sono state redatte basandosi sugli standard ETSI e facendo riferimento alle indicazioni sulle misure di sicurezza specificate nello ISO/IEC 17799:2005 (Best practices) per attuare i controlli indicati nello Annex A dello ISO/IEC 27001:2005.
Strutturate in 16 capitoli, 9 dedicati alla normativa nazionale ed europea, all’ambito di applicazione, a standard di riferimento ecc., 7 alle modalità di vigilanza.
Ognuno dei 7 capitoli dedicati alla vigilanza sono strutturati:
• il primo paragrafo indica i dispositivi giuridici che specificamente riguardano l’argomento o gli argomenti a cui il capitolo stesso si rivolge;
• attività operative e di supporto che il certificatore deve svolgere per rendere possibile le operazioni di vigilanza;
La vigilanza sui certificatori che emettono certificati qualificati è operata dal 2001
• Ispezioni interne
• Gestione delle chiavi
• Servizi di gestione dei certificati
• Gestione e operatività del sistema di CA
• Servizio di marcatura temporale
• Generazione delle firme e gestione dei documenti firmati
• Auditing effettuato dal certificatore (interno/esterno)
• Sanzioni già presenti (CAD art. 32-bis)
• Coinvolgimento di personale del Garante per la protezione dei dati personali nella vigilanza onsite
• Invio del verbale di vigilanza al Garante per la protezione dei dati personali (AgID)
• Vigilanza anche sui prestatori non qualificati ex post e su segnalazione (AgID)
• Notifica annua riassuntiva delle violazioni al regolamento alla CE e ENISA (AgID)
• Notifica annua riassuntiva delle violazioni al regolamento alla CE e ENISA (AgID)
• Cooperazione con gli altri organismi di vigilanza (AgID)
• Valutazione di incidenti di sicurezza ed eventuale informativa agli organismi di vigilanza negli altri Stati membri interessati e l’ENISA (AgID)
• Obbligo per i prestatori qualificati di sottoporsi ad auditing esterno ogni 24 mesi (QTSP)
Imporre e vigilare sull’utilizzo del sistema di pubblico di prevenzione, sul piano amministrativo, delle frodi nel settore del credito al consumo, con specifico riferimento al furto d’identità, istituito con il DECRETO 19 maggio 2014 , n. 95 .
con il DECRETO 19 maggio 2014 , n. 95 .
