Regulamento e Conformidade

No caso de uma assinatura remota, a Swisscom mantém e gerencia as chaves dos certificados de assinatura em confiança. No caso de uma assinatura pessoal, os certificados de assinatura são gerados apenas para a assinatura e perdem a validade após aprox. 10 minutos. Os certificados da empresa para selos são válidos por até 3 anos. De acordo com a lei, a chave privada deve ser armazenada em um dispositivo de criação de assinatura (qualificado). A memória para este é um dispositivo projetado principalmente para armazenamento de chaves, o HSM (Hardware Security Module). Está sujeito a rigorosa regulamentação, auditoria, ao nível das normas de segurança e acesso a este dispositivo. As assinaturas na UE e na Suíça estão sujeitas a padrões de segurança particularmente elevados, que só estão disponíveis em alguns fabricantes de HSM em todo o mundo.

Existem projetos nos quais a Swisscom conta com procedimentos de identificação legalmente reconhecidos e auditados com terceiros. Um exemplo típico é um banco que realiza a identificação de presença de uma pessoa como parte de seu processo KYC. Nesse caso, a Swisscom recebe uma cópia dos dados do banco para seus próprios fins comerciais (assinatura). O processamento dos dados do pedido não é necessário aqui, pois há duas partes responsáveis pelos dados. Por outro lado, o Princípio de Controladoria Conjunta do GDPR também não é aplicado aqui, já que a capacidade de resposta dos dados não atende ao mesmo objetivo comercial e ambas as partes não agem de forma responsável no sentido de um objetivo comercial comum. O banco atua com seu objetivo comercial, por exemplo, abrir uma conta, e a Swisscom prossegue com seu objetivo comercial de emissão de assinaturas. No entanto, neste caso, nossos contratos sobre “delegação de atividade de registro” também contêm um mínimo de disposições sobre como proceder em relação à proteção de dados e ao GDPR.

A Swisscom é legalmente obrigada a registrar os dados pessoais para a assinatura. Portanto, é responsável por esses dados. Isso significa que a Swisscom não pode desempenhar o papel de processador de dados, mesmo que receba, por exemplo, dados de funcionários de uma empresa cliente para a assinatura. A Swisscom tem um mandato legal como o de operadoras de telecomunicações ou serviços postais. Além disso, a Swisscom tem uma relação contratual legal com os signatários com os termos de uso. Nesse acordo, o signatário também aceita o uso de dados.

Com o aplicativo RA, a Swisscom transfere a gravação de dados de identidade para um provedor de serviços externo, que é referido nos contratos como “agência RA”. O GDPR requer, neste caso, um contrato de processamento de pedidos. A agência de RA deve, portanto, cumprir as obrigações de processamento de dados do pedido.

A conformidade com o processamento de dados de pedidos GDPR também é exigida em projetos puramente suíços. Há duas razões para isso:

• Por outro lado, raramente pode ser garantido que as pessoas identificadas na Suíça não são cidadãos da UE que estão sujeitas ao princípio de mercado do RGPD,
• Por outro lado, o aplicativo RA não pode ser usado de forma que apenas as pessoas da Suíça sejam identificadas, ou seja, o processamento de dados do pedido sempre ocorre para a Swisscom IT Services Finance SE em Viena também.

Os requisitos de proteção de dados a serem demonstrados e auditados também se aplicam às atividades da autoridade de registro – uma tarefa de um provedor de serviços de confiança e de um provedor de serviços de certificação. Assim, o aplicativo RA, como parte do processo de registro, deve garantir a proteção e privacidade dos dados. O RA-App em si não armazena nenhum dado pessoal permanentemente. Nenhum dado pode ser exportado. Assim que a identificação for concluída, os dados são transferidos assinados pelo agente de RA como as chamadas evidências. Esta evidência é armazenada no serviço de RA da Swisscom sob estritas condições de segurança (por exemplo, acesso de 4 olhos). Apenas algumas pessoas têm acesso a esses dados e só podem repassá-los com base em uma ordem judicial ou têm permissão para verificar a qualidade da identificação. De acordo com a lei, a Swisscom tem responsabilidade ilimitada pela boa execução da assinatura e, portanto, também pela identificação.

Os Agentes Master RA têm acesso à web a um portal no qual podem visualizar todas as pessoas identificadas pelos Agentes RA com seu sobrenome, nome, data de validade do documento de identidade e número de telefone celular. Os documentos de identidade e fotos (as chamadas “provas”) não são acessíveis ou exportáveis.

Como parte de suas auditorias contínuas, a Swisscom deve garantir que todos os requisitos estritos de proteção de dados necessários para a emissão de assinaturas digitais sejam cumpridos, tanto em relação à autoridade de certificação na Suíça quanto em relação ao organismo de avaliação de conformidade em Áustria. Isso significa que, além da autodeclaração, os prestadores de serviços de confiança e os serviços de certificação são obrigados pela legislação e pelas normas internacionais aplicadas, como o ETSI 319 401, a demonstrar e auditar a proteção de dados adequada para todos os dados pessoais.

A Suíça não faz parte da UE e, portanto, não introduziu legislação da UE, o chamado Regulamento Geral de Proteção de Dados (GDPR). Na realidade, o GDPR também é aplicável se as empresas estiverem sediadas na Suíça e oferecerem serviços na UE.

A Swisscom está, portanto, sujeita às mesmas obrigações de tratamento de dados que todas as outras organizações que devem cumprir o GDPR:

• obter o consentimento da pessoa cujos dados são processados
• Garantia de “privacidade desde a concepção” e “privacidade por defeito”
• nomear um representante de proteção de dados
• criar uma lista de atividades de processamento
• relatar violações de proteção de dados à autoridade supervisora
• realizar uma avaliação do impacto da privacidade

Todos os aplicativos que dizem respeito à proteção de dados e são usados para processamento de dados, por exemplo, também o RA-App deve ser compatível com GDPR. Swisscom fornece informações sobre isso em suas páginas:

Suíça: www.swisscom.com/signing-service

Áustria: www.swisscom.at

com as declarações de proteção de dados correspondentes de acordo com o GDPR.

A Suíça sempre foi e é considerada um país terceiro seguro de acordo com o art. 45 GDPR (transferência de dados com base em uma decisão de adequação), ou seja, as autorizações usuais como acontece com outros países terceiros (por exemplo, os EUA) não são necessárias. Graças à sua Lei de Proteção de Dados e à adaptação em curso ao RGPD, a Suíça tem um "nível adequado de proteção para a transferência de dados pessoais" de acordo com os critérios da UE, ou seja, deve ser tratada como um país da UE ao transferir dados:

https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en

O Nome Distinto contém o nome, o sobrenome e o país de nascimento / registro ou país de origem da pessoa, ou um pseudônimo com um número de série que pode ser rastreado exclusivamente até uma pessoa pelo registro. Nomes de organizações são permitidos apenas em casos especiais

Sim, é feita uma distinção entre os signatários concordarem com os termos de uso da Suíça ou da UE ou ambos. Todos os dados também são processados pela Swisscom (Schweiz) AG para a Swisscom IT Services Finance SE em Viena.

Adobe é um fornecedor americano de software que pode exibir documentos PDF. O produto mais proeminente e difundido é o chamado “Adobe Acrobat Reader”. Isso permite a verificação de assinaturas baseadas em certificado. Se uma assinatura é válida e, portanto, exibida com uma marca verde depende de muitos aspectos:

• A Adobe tem seu próprio conjunto de regras, que classifica as CAs emissoras de provedores de confiança ou provedores de serviços de certificação como “confiáveis”. Eles estão listados em uma chamada Adobe Trust List (AATL). Mesmo que não esteja incluído na descrição do serviço, a Swisscom sempre se esforça para ser listada aqui. Além disso, as empresas listadas devem pagar taxas anuais por esta inscrição e registrar em sua autoavaliação. De acordo com a Adobe, os provedores de serviços de confiança eIDAS são considerados confiáveis se também celebraram um contrato com a Adobe.
• A Adobe oferece uma variedade de configurações que podem levar a uma validação completamente diferente: por exemplo, em vez da lista confiável da Adobe, a lista confiável do Microsoft Windows também pode ser usada, que normalmente mantém apenas provedores de serviços confiáveis que também emitem certificados SSL ou de e-mail . No entanto, a verificação também pode ser baseada em uma hora fornecida pelo relógio do computador e não na hora do documento.

Isso significa que você não pode confiar na validade de uma assinatura na Adobe, mas obtém informações sobre se foram feitas alterações no documento desde que a assinatura foi definida e como é a aparência do certificado de assinatura.

Ambos devem ser profissionais de TI familiarizados com o aplicativo. Não precisa ser uma pessoa com a função oficial de “Representante de Privacidade”. A Swisscom simplesmente deseja manter o princípio dos 4 olhos aqui. As funções são: Ser capaz de fornecer informações sobre a administração do aplicativo do usuário (quem tem acesso, o que um administrador poderia manipular, onde pode haver um obstáculo, conexão SSL para Swisscom) e sobre tópicos como proteção contra vírus, controle de acesso em geral, etc. para o responsável pela segurança.

Por outro lado, uma empresa interna pode se tornar um parceiro revendedor da Swisscom para outras empresas, caso haja um grande volume planejado. Nesse caso, o fluxo de pagamento passa diretamente apenas por essa empresa individual. Uma empresa também pode assumir total responsabilidade pela operação do aplicativo de assinante. Mesmo assim, as faturas só passarão por esta empresa. Ele pode então identificar funcionários de outras empresas.

Se todas as empresas desejam operar o aplicativo de assinante de forma independente (com sua própria responsabilidade e responsabilidade) e também desejam fornecer agentes de RA, um contrato separado é necessário para cada empresa.

Todos os anos, a Swisscom investe grandes somas em auditorias em andamento. No entanto, para poder colocar no mercado a oferta de um prestador de serviços de confiança a um preço razoável, este serviço é oferecido de forma padronizada. Isso significa em particular:

• O cliente deve aderir ao processo de pedido padrão com os documentos de contrato padrão divulgados pelos auditores.
• As avaliações posteriores pelos participantes e o exame e aceitação dos textos do próprio contrato não estão incluídos na oferta.

Muitos aspectos do provedor de serviços de confiança estão sujeitos não apenas às condições na execução do serviço, mas também na especificação de obrigações importantes, regulamentos de responsabilidade e serviços de cooperação nos documentos do contrato. Portanto, esses documentos contratuais também estão sujeitos a auditoria ou também são submetidos aos órgãos estaduais de avaliação da conformidade. Portanto, não podem ser aceitas alterações ao sistema jurídico, nem podem ser aceitos invólucros contratuais do participante, especialmente se eles estiverem sujeitos a legislação estrangeira aplicável.

Se, no entanto, for necessário adaptar os textos contratuais, adicionar regulamentos contratuais (por exemplo, seu próprio Código de Conduta, Declaração de Proteção de Dados, NDA, etc.), processar questionários de avaliação especiais ou se você ainda tiver descoberto erros ou formulações pouco claras, por favor, informe-os para nossa gestão de produtos.

Se houver erros ou ambigüidades aparentes, um processo de mudança correspondente é iniciado pelo gerenciamento de produto e implementado o mais rápido possível.

Para a avaliação de outras questões, é formada uma equipe de processamento que conta com os especialistas relevantes (por exemplo, departamento jurídico, oficial de segurança, oficial de conformidade, etc.) e realiza uma avaliação da solicitação. Uma taxa específica de projeto de CHF 6.000 é devida para isso. Se a equipa de especialistas não conseguiu encontrar uma solução directamente, preparará uma resposta e uma oferta, que apresentará e avaliará os próximos passos da Swisscom.

Não, apenas para a operação do aplicativo de assinatura, nenhuma certificação e nenhuma auditoria são necessárias. No âmbito de uma "declaração de configuração e aceitação", o cliente faz uma autodeclaração para operar o aplicativo de assinatura corretamente, ou seja, para não trocar o hash de um documento e realmente exibir o documento a ser assinado para o cliente (WYSIWYS = “O que você vê é o que você assina”). O tráfego de dados entre o aplicativo de assinatura e a Swisscom deve ser criptografado e a proteção básica contra vírus e ataques deve ser garantida como em qualquer outro sistema. Uma auditoria oficial com certificação só pode ser necessária se o sistema possuir identificação própria, principalmente em relação ao seu próprio método de autenticação. Na Suíça, a identificação com os métodos de autenticação da Swisscom pode ser tratada de maneira simplificada por meio de um “conceito de implementação” adequado apresentado pelo cliente e aprovado pela Swisscom; na UE, é geralmente necessária uma auditoria oficial. Como regra, um método de autenticação deve sempre ser certificado, pois isso deve garantir “controle exclusivo” ao certificado de assinatura (denominado “controle exclusivo” no contexto ETSI).

Em princípio, a empresa deve nomear representantes. Esses representantes devem ser representantes registrados de acordo com o registro comercial ou empresarial, ou funcionários com procuração apropriada assinada pelos representantes registrados. Em qualquer caso, as pessoas devem estar pessoalmente identificadas com nosso RA-App. Na Suíça, apenas empresas registradas no Registro UID podem solicitar selos. Com o selo, o certificado de acesso SSL entre o aplicativo de assinatura no cliente e a Swisscom serve como autenticação da empresa. O certificado de acesso deve, portanto, ser entregue pelo representante da organização. Com o selo avançado, a entrega simples é suficiente; com o selo qualificado, ocorre uma cerimônia de entrega conjunta na qual o certificado de acesso é gerado em conjunto. A chave privada deve ser armazenada em um dispositivo criptográfico (FIPS 140-2 nível 2 mínimo).

Em princípio, a Swisscom tem responsabilidade ilimitada perante a lei pela emissão incorreta de certificados qualificados. No caso de certificados avançados, essa responsabilidade pode ser limitada. A Swisscom também é segurada obrigatoriamente para esse fim. No caso de erros no aplicativo de assinatura (por exemplo, a troca de um hash de um documento) ou erros na identificação por registros de terceiros, a Swisscom, por sua vez, responsabilizará esses terceiros. A fim de evitar os riscos de responsabilidade, altas demandas são colocadas no processo de emissão e contratação e a possibilidade de auditoria dos terceiros envolvidos é geralmente necessária.

A legislação suíça, ou seja, o Swiss Federal Electronic Signature Act (ZertES/SCSE), fornece os requisitos que as organizações devem cumprir para serem reconhecidas como um serviço de certificação. O organismo de acreditação acreditado para a acreditação da Swisscom como serviço de certificação na Suíça é a KPMG (Accreditation No. SCESm 0071). Emite um certificado de avaliação de conformidade (disponível em www.swisscom.com/signing-service). O Swiss Accreditation Service SAS mantém uma lista de serviços de certificação acreditados: Link

Com a entrada em vigor do Regulamento sobre Identificação Eletrónica e Trust Services para Transações Eletrónicas no Mercado Interno da União Europeia (eIDAS), foi criada a base para comunicações eletrónicas legalmente válidas e identificação eletrónica segura em toda a Europa. Com a ajuda de trust services como assinaturas eletrônicas, selos, carimbos de data / hora, serviços de entrega e certificados para autenticação, empresas, administrações e particulares podem trocar documentos digitais como ofertas, pedidos, contratos etc. dentro da União Europeia em uma base legal uniforme . Assim, o novo regulamento da UE substitui a lei de assinatura nacional e os regulamentos de assinatura.

Ao abrigo do presente Regulamento (CE) n.º 910/2014 / UE (Regulamento eIDAS) , as listas aprovadas nacionais têm um efeito constitutivo. Em outras palavras, um provedor de serviços de confiança e os trust services que ele fornece serão qualificados apenas se aparecerem nas listas confiáveis. Consequentemente, os utilizadores (cidadãos, empresas ou administrações públicas) beneficiarão dos efeitos jurídicos associados a um determinado serviço de confiança qualificado apenas se este último estiver listado (como qualificado) nas Listas aprovadas.

A subsidiária da Swisscom na Áustria “Swisscom IT Services Finance SE”, Viena foi incluída nesta lista de confiança com certificados e selos qualificados:

https://webgate.ec.europa.eu/tl-browser/#/tl/AT

Swisscom IT Services Finance SE encarregou a Swisscom (Suíça) Ltd de operar o serviço de confiança e também delegou as atividades da autoridade de registro à Swisscom (Suíça) Ltd. A Swisscom (Suíça) Ltd., portanto, oferece o serviço ao mercado e também aceita documentos contratuais em nome da Swisscom IT Services Finance SE.

A Swisscom pode apenas confirmar que pode emitir assinaturas qualificadas em ambos os sistemas jurídicos, de acordo com o Regulamento eIDAS da UE e a Lei ZertES da Suíça. As assinaturas suíças qualificadas são reconhecidas apenas como qualificadas na Suíça e as assinaturas qualificadas eIDAS na UE.

A conformidade da assinatura qualificada com qualquer contrato deve ser sempre verificada por um advogado. A Swisscom não pode fornecer nenhuma informação legal a esse respeito. Isso não está relacionado apenas à assinatura, mas também a outros pontos que podem ser acordados em contratos. Por exemplo, o requisito de “devolução por correio registado” pode significar que uma assinatura eletrónica não pode ser executada de todo, uma vez que uma rota de papel postal é obrigatória.

Nos sistemas jurídicos da UE e da Suíça, a inversão do ônus da prova (e na Alemanha também a evidência prima facie em comparação com a evidência visual) se aplica, em princípio, a assinaturas qualificadas. Isso significa que a parte contrária deve provar que a assinatura qualificada não foi devidamente executada se for contestada. E, é claro, a Swisscom pode fornecer verificações certificadas pela KPMG para provar que a assinatura qualificada foi devidamente executada.

Os períodos de retenção para verificação de identidade e diário de atividades e, portanto, também os períodos de prova são de 11 anos na Suíça e 35 anos na UE. A Swisscom geralmente usa o padrão de validação de longo prazo do ETSI (LTV).

Validação de longo prazo significa validar uma assinatura de forma que ela permaneça válida por um longo tempo. A validação do LTV permite a validação apenas enquanto o certificado raiz do carimbo de data / hora não tiver expirado. Portanto, é aconselhável marcar a data e hora dos documentos novamente antes da expiração se a evidência de longo prazo deve ser preservada, de modo que a integridade e o significado da evidência de assinatura continue a ser garantida.

Em princípio, os documentos PDF também devem ser gerenciados em arquivos seguros. Pode surgir uma situação em 5, 10 ou 20 anos em que os algoritmos de assinatura são “quebrados”, ou seja, a integridade ou autenticidade não podem mais ser garantidas. Bons sistemas de arquivamento, portanto, permitem demissões regulares, por exemplo, com um carimbo de data / hora, que sempre usa o algoritmo mais recente e, portanto, garante a integridade do documento.

A web oferece diversos links com procedimentos otimizados para isso, por exemplo, “Archisig”. O BSI alemão também publicou uma diretriz técnica “Preservação do valor probatório de documentos assinados criptograficamente”. É a especificação dos requisitos técnicos de segurança para a preservação a longo prazo do valor probatório de documentos e dados eletrônicos assinados criptograficamente, juntamente com os dados administrativos eletrônicos associados (metadados).

Um middleware definido para esses fins (middleware TR-ESOR) no sentido desta diretriz compreende todos os módulos e interfaces que são usados para proteger e manter a autenticidade e para provar a integridade dos documentos e dados armazenados.

A experiência mostra que os períodos de transição podem durar de 3 meses a 2 anos.

Não.

Após a rescisão do contrato, os certificados de selo válidos existentes serão revogados.

A forma como esse cenário de “desligamento” deve ser feito é regulamentada por lei: O CP / CPS do serviço de certificação ou serviço de confiança descreve os procedimentos exatos. Deve haver um plano de encerramento, e a autoridade supervisora notificada ou OFCOM geralmente nomeará um sucessor que poderá oferecer o serviço aos clientes. Normalmente, esse sucessor também receberá a Lista de Revogação de Certificados e, portanto, a lista de validade dos certificados, desde que a Swisscom não os publique ela mesma. A lista continuará a operar por anos, para que a validade das assinaturas possa continuar a ser verificada. As evidências sobre os registros para o serviço devem ser mantidas de acordo com os períodos de retenção, mesmo após o encerramento por mais de 11 ou mesmo 35 anos, a Swisscom ou um sucessor designado deve estabelecer um sistema de arquivamento para isso, de modo que esta informação também possa ser usada em negociações jurídicas . As identificações fornecidas não podem mais ser utilizadas com um possível sucessor, ou seja, novos registros são necessários neste caso.

As assinaturas eletrônicas podem ser apresentadas como prova em litígios. Em regra, com exceção da assinatura qualificada, estão sujeitos à livre apreciação das provas. Visto que assinaturas eletrônicas “simples” e “avançadas” dificilmente ou apenas aproximadamente definidas por lei, é responsabilidade do tribunal aceitar tal assinatura ou não. A parte que deseja apresentar essas assinaturas como válidas deve fornecer as provas pertinentes. No caso da Swisscom, é útil que as assinaturas avançadas também estejam sujeitas a uma auditoria muito rigorosa de acordo com o padrão ETSI para assinaturas “NCP +” e, portanto, tais relatórios de auditoria podem ser usados. No caso de assinatura qualificada, será aplicável a reversão da prova. Uma vez que a assinatura qualificada é determinada com precisão por lei e, por exemplo, a Suíça e a Áustria oferecem validadores para a validade de tais assinaturas na web, essas assinaturas são consideradas válidas até que uma parte prove o contrário e, assim, também prove que a autoridade supervisora ou OFCOM bem como os auditores não cumpriram com as suas obrigações. Depois de 11 anos na Suíça ou 35 anos na Áustria, a prova também pode causar dificuldades no campo qualificado, pois os documentos para registro têm que ser destruídos. No entanto, a assinatura ainda é visível como “qualificada”.

No contexto de uma evidência após muitos anos, deve-se observar também que os documentos arquivados eletronicamente devem receber carimbos de data / hora repetidamente de vez em quando. Pode acontecer que os algoritmos não sejam mais tão robustos. Um carimbo de data / hora sela o documento com os algoritmos mais recentes, protegendo a integridade do documento, incluindo assinaturas.

As assinaturas eIDAS qualificadas são consideradas apenas "qualificadas" na área da UE (e EEE), e as assinaturas ZertES / SigE também são consideradas qualificadas apenas na jurisdição suíça. Isso significa que quando um terceiro estado escolhe a lei, essas assinaturas não podem mais alcançar seu efeito “qualificado” ou, se necessário, se tornar. nem mesmo reconhecido.

Suíça (QES), ZertES:

A CP / CPS prevê que a identificação e a documentação arquivada possam ser utilizadas por um período máximo de 5 anos, menor se a validade do documento de identidade / passaporte apresentado terminar antes do período de cinco anos ou se o procedimento de identificação por parte de o auditor não permite 5 anos.

O período de retenção de acordo com o artigo 11.1 da Portaria da SigE / ZertES (diário de atividades) se aplica: “Os prestadores reconhecidos devem manter os registros relativos às suas atividades e os documentos comprovativos relativos a eles por onze anos.” A Swisscom também entende esse período como um período de retenção para os documentos enviados no processo de identidade, em particular uma cópia da identidade.

A reserva de 1 ano foi adicionada como um "amortecedor de segurança" para evitar que as agências de RA da Swisscom possam calcular os 11 anos de forma diferente, o que significaria que a Swisscom não teria mais documentação em casos específicos, especialmente na aplicação do Artigo 17 do SigE / ZertES (responsabilidade ilimitada).

• Em resumo, o tempo de arquivamento é de 17 anos, também divulgados nos termos de uso.

Europa, (QES), eIDAS:

Esta é a mesma justificativa e derivação como no caso do QES na Suíça, apenas com a diferença de que na Áustria o período de retenção legal é de 30 anos. O artigo 10.1 do SVG (Assinatura e Lei Trust Services) fornece:

Direitos de acesso e período de retenção

10. (1) A pedido dos tribunais ou de outras autoridades, um PST qualificado deve conceder acesso à documentação em conformidade com o artigo 24.º, n.º 2, lit. h eIDAS-VO e seu banco de dados de certificados.

(2) […].

(3) A documentação é fornecida pelo TSP qualificado por 30 anos, calculado a partir da data do certificado qualificado inserido no final da validade ou, na ausência de tal, 30 anos a partir da data em que as informações relevantes sobre os dados foram emitidos e recebidos pela VDA habilitada no curso de suas atividades.

• Em resumo, o tempo de arquivamento é de 36 anos, que também são divulgados nos Termos de Uso do eIDAS.

Assinaturas avançadas (eIDAS, ZertES)

A CP / CPS prevê que a identificação e a documentação arquivada possam ser utilizadas por um período máximo de 5 anos, menor se o prazo de validade do cartão apresentado terminar antes do período de cinco anos ou se o procedimento de identificação não permitir 5 anos.

Não há prazos legais de retenção na área da AES, pois os prazos de retenção não são regulamentados por lei. No entanto, os padrões ETSI prevêem um período de 7 anos. Esta informação é derivada da Diretiva ETSI EN 319 411-01:

6.4.6 Arquivo de registros

Os seguintes requisitos específicos se aplicam:

NOTA: ETSI TS 101 533-1 [i.13] sugere disposições sobre como preservar objetos de dados digitais.

a) O TSP deve reter o seguinte por pelo menos sete anos após qualquer certificado baseado nesses registros deixar de ser válido:
i) registro de todos os eventos relacionados ao ciclo de vida das chaves gerenciadas pela CA, incluindo quaisquer pares de chaves de assunto

gerado pelo CA (vide cláusula 6.4.5, item g));

ii) documentação conforme identificado na cláusula 6.3.4.

A reserva de 1 ano foi adicionada como uma “reserva de segurança” para evitar que as agências de RA da Swisscom pudessem calcular os 11 anos de forma diferente.

• Em resumo, o tempo de arquivamento é de 13 anos, que também são divulgados nos Termos de Uso do eIDAS.

No caso de certificados pessoais, a Swisscom emite apenas certificados de curto prazo (os chamados certificados “one-shot”) que têm uma vida útil de 10 minutos e são usados apenas para um pedido de assinatura. A probabilidade de o certificado ter sido comprometido durante esses 10 minutos é praticamente inexistente. Depois disso, o certificado é inválido e não pode ser comprometido. Graças à validação de longo prazo, as assinaturas com este certificado permanecem válidas e também podem ser validadas por períodos de tempo após a expiração.

Se toda a CA (ou seja, o certificado raiz) da certificação e do serviço de confiança foi comprometida, existe um processo que a Swisscom descreve em seu CP / CPS (ver Área de Downloads – Repository).

Se um signatário perder seu meio de autenticação ou descobrir que sua identidade foi determinada incorretamente, nossa equipe de suporte deve ser informada imediatamente. Numa relação contratual com um dos nossos parceiros, contacte o parceiro com quem forneceu a sua assinatura ou identificação. Ele então tomará outras medidas para bloquear essa identificação. Se um certificado de selo foi comprometido, use os detalhes de contato fornecidos em https://www.swisscom.ch/de/business/enterprise/angebot/security/digital_certificate_service.html#tab-revozierung .

1. Contrato encerrado oralmente: Muito difícil de comprovar (apenas com testemunho de outras pessoas)
2. Assinado por assinatura simples, por exemplo, uma imagem de assinatura digitalizada: Mesmo problema. O processo de geração desta assinatura deve ser analisado em juízo e devido à fragilidade do procedimento testemunha de outras pessoas ou outras pistas desempenhará uma regra importante para a prova da procuração.
3. AES: para verificação da validade da assinatura as partes devem recorrer novamente ao tribunal. O tribunal pedirá a um especialista para investigar a assinatura eletrônica avançada da Swisscom. Devido às auditorias realizadas pela Swisscom, o especialista pode se beneficiar com isso. No entanto, o AES é mais fraco como o QES, por exemplo, no que diz respeito à forma de identificar / registrar pessoas, o tempo de arquivamento (apenas 7 anos) e a autenticação de 1 fator para a assinatura em contraste com a autenticação de 2 fatores (portanto, um celular roubado smartphone pode ser usado para uma assinatura)
4. QES: a verificação de uma assinatura válida pode ser feita diretamente via https://validator.ch ou https://www.signatur.rtr.at/de/vd/Pruefung.html As partes não devem ir ao tribunal em caso de dúvida. Só se alguém duvidar geralmente do serviço de confiança auditado e isso será uma prova concreta…. As evidências e registros da assinatura QES serão armazenados pelo tempo previsto para todos os documentos comerciais e fiscais no registro comercial: mais de 10 anos na Suíça e 35 anos na UE.

Devido aos regulamentos do GDPR e ao fato de que as subsidiárias não fazem parte automaticamente de nenhum acordo de processamento de dados, precisamos assinar com cada subsidiária um contrato de Agência RA extra.

Recomendamos o uso do padrão PAdES LTA (consulte ETSI TS 103 172) para fins de validação de longo prazo. Encontre mais dicas aqui: https://github.com/SCS-CBU-CED-IAM/AIS/wiki/PAdES-Long-Term-Validation . Os PDFs devem estar em conformidade com o padrão PDF / A.

No caso de uma assinatura remota, a Swisscom gerencia suas chaves para os certificados de assinatura em confiança. Com uma assinatura pessoal, os certificados de assinatura são gerados apenas para a assinatura e perdem a validade após aprox. 10 minutos. Assim, evitamos a notificação de um comprometimento do certificado pelo signatário, ou seja, um certificado não pode ser comprometido. O procedimento tem várias vantagens:

O usuário final não precisa entrar em contato com a Swisscom (por exemplo, uma conta de usuário para revogar certificados).

Os destinatários dos documentos assinados não precisam lidar com listas de revogação e OCSP (verificação de validade do certificado online).

Os problemas de segurança com aplicativos que dependem apenas de atualizações regulares da lista de revogação são evitados.

As consultas OCSP levam a atrasos para o destinatário.

Além disso, um certificado de curto prazo sempre fornece uma resposta positiva – uma consulta OCSP só pode fornecer uma resposta negativa.

Importante, a assinatura que foi feita com o QES ainda é válida, independentemente do certificado.

Os certificados de curto prazo são emitidos com base em registros do serviço de registro, ou seja, são baseados em autenticação forte. Um certificado de curto prazo só é gerado se houver autenticação (liberação) no procedimento 2FA.

Exemplo de analogia no ambiente de papel: eu assino um contrato com uma caneta de tinta. A tinta da caneta está vazia após a assinatura. O contrato continua válido, é claro.

Ao assinar com um QES, os seguintes períodos de arquivamento de evidências se aplicam:

Os períodos de retenção para as evidências de identificação e o diário de atividades para assinaturas da UE na Áustria (onde somos credenciados) são de 35 anos e 10 anos na Suíça.

Devido ao padrão PAdES B LTA, as assinaturas também podem ser validadas muito tempo após o vencimento com base em certificados de curto prazo.

Os algoritmos de hashing (formação de checksum) e criptografia do hash seguem as recomendações do padrão ETSI ETSI TS 119 312, que por sua vez também segue os padrões NIS. Esses algoritmos têm certas suposições sobre períodos de 1 a 6 anos nos quais são estáveis. No entanto, desenvolvimentos (por exemplo, quebra de algoritmos) também podem levar rapidamente a mudanças aqui. Swisscom Trust Services, por exemplo, agora está alterando sua CA raiz novamente para cumprir os requisitos> 6 anos. Uma nova edição da especificação é esperada novamente neste outono.

Para validação de longo prazo, é portanto necessário garantir regularmente a integridade com base nos algoritmos mais recentes, por exemplo, carimbo de data / hora anual de todos os documentos ou uso de soluções de arquivamento apropriadas. Palavra-chave “preservação de valor probatório” – ver DIN 31647: 2015-05.

De acordo com o regulamento eIDAS, os TSPs devem ser credenciados nacionalmente e seguir as leis, regras e regulamentos nacionais fornecidos pelo órgão de supervisão nacional, na medida em que nenhum outro regulamento da UE tenha estabelecido algumas regras, como as decisões de implementação da comissão da UE , por exemplo, para os padrões ADES ou os níveis de segurança do eID ou algumas regras do próprio regulamento eIDAS. Com isso, cada país tem padrões nacionais diferentes para seus TSPs; por exemplo, na Alemanha, o BSI deve aprovar alguns aspectos, ou na França, o instituto ANSII. Em alguns países, por exemplo, a identificação por vídeo é totalmente permitida. Em outros proibidos, e em terceiros países, permitidos apenas com certificados de curta duração.

Mas o regulamento da UE eIDAS prevê que todas as assinaturas eletrônicas qualificadas de qualquer TSP credenciado nacionalmente em qualquer país da UE devem ser aceitas por todos os membros da UE. Assim, um TSP credenciado na França pode vender seu QES com base nas regras e regulamentos franceses na Alemanha, e um TSP austríaco, como a Swisscom, tem apenas que seguir as regras e regulamentos austríacos e pode vender suas assinaturas qualificadas em outros países da UE . A lista de confiança da UE é a âncora padrão e confirma que uma assinatura qualificada emitida por um dos TSPs listados deve ser aceita.

Com a versão 2 do regulamento eIDAS, os países da UE tentarão harmonizar cada vez mais as partes do credenciamento, por exemplo, a maneira de se registrar para um serviço, e até querem criar uma carteira eletrônica da UE como base para futuros identificação para qualquer serviço confiável.