Reglering och efterlevnad

Ja, det görs en åtskillnad mellan huruvida undertecknarna har godkänt användarvillkoren för Schweiz eller EU eller båda. All data behandlas också av Swisscom (Schweiz) AG för Swisscom IT Services Finance SE i Wien.

Distinguished Name innehåller antingen personens förnamn, efternamn och födelseland / registrering eller hemland eller en pseudonym med ett serienummer som unikt kan spåras till en person av registret. Organisationsnamn är endast tillåtna i speciella fall

Schweiz är inte i EU och har därför inte infört EU-lagstiftning, den så kallade General Data Protection Regulation (GDPR). I verkligheten är GDPR också tillämplig om företagen är baserade i Schweiz och erbjuder tjänster inom EU.

Swisscom är därför föremål för samma datahanteringsskyldigheter som alla andra organisationer som måste följa GDPR:

• få samtycke från den person vars uppgifter behandlas
• Garanti för "integritet efter design" och "integritet som standard"
• utse en dataskyddsombud
• skapa en lista över bearbetningsaktiviteter
• rapportera brott mot dataskyddet till tillsynsmyndigheten
• göra en konsekvensbedömning av sekretess

Alla applikationer som rör dataskydd och används för databehandling, t.ex. även RA-appen måste vara GDPR-kompatibel. Swisscom ger information om detta på sina sidor:

Schweiz: www.swisscom.com/signing-service

Österrike: www.swisscom.at

med motsvarande dataskyddsdeklarationer enligt GDPR.

Schweiz har alltid varit och betraktas som ett säkert tredjeland enligt art. 45 GDPR (dataöverföring baserad på ett adekvat beslut), dvs de vanliga auktorisationerna som med andra tredjeländer (t.ex. USA) är inte nödvändiga. Tack vare sin dataskyddslag och den pågående anpassningen till GDPR har Schweiz en "adekvat skyddsnivå för överföring av personuppgifter" i enlighet med EU-kriterier, dvs. det måste faktiskt behandlas som ett EU-land vid överföring av uppgifter:

https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/adequacy-protection-personal-data-non-eu-countries_en

Dataskyddskraven som ska demonstreras och granskas gäller också registreringsmyndighetens aktiviteter – en uppgift som en leverantör av betrodstjänster och leverantörer av certifieringstjänster. Således måste RA-appen som en del av registreringsprocessen säkerställa dataskydd och integritet. RA-appen i sig lagrar inga personuppgifter permanent. Ingen data kan exporteras heller. Så snart identifieringen har slutförts överförs uppgifterna signerade av RA-agenten som så kallat bevis. Dessa bevis lagras på Swisscoms RA-tjänst under strikta säkerhetsvillkor (t.ex. 4-ögons åtkomst). Endast ett fåtal personer har tillgång till dessa uppgifter och får endast vidarebefordra dem baserat på ett domstolsbeslut eller får kontrollera kvaliteten på identifieringen. Enligt lagen har Swisscom obegränsat ansvar för korrekt utförande av signaturen och därmed också identifieringen.

RA Master Agents har webbåtkomst till en portal där de kan se alla personer som identifierats av RA Agents med deras efternamn, förnamn, utgångsdatum för ID-dokument och mobilnummer. ID-dokument och foton (så kallade "bevis") är inte tillgängliga eller exporterbara.

Swisscom är juridiskt skyldigt att registrera personuppgifter för signaturen. Det ansvarar därför för dessa uppgifter. Detta innebär att Swisscom inte kan spela rollen som databehandlare, även om de t.ex. får information om anställda från ett kundföretag för signaturen. Swisscom har ett lagligt mandat som telekom- eller posttjänstleverantörer. Dessutom har Swisscom ett juridiskt avtalsförhållande med undertecknarna med användarvillkoren. I detta avtal accepterar undertecknaren också användningen av data.

Med RA-appen överför Swisscom inspelningen av identitetsuppgifter till en extern tjänsteleverantör, vilket i kontrakten kallas ”RA-byrån”. GDPR kräver i detta fall ett orderhanteringsavtal. RA-byrån måste därför uppfylla skyldigheterna för databehandling av order.

I rent schweiziska projekt krävs också överensstämmelse med databehandlingsförordningen för GDPR. Det finns två skäl till detta:

• Å ena sidan kan det sällan garanteras att personer som identifierats i Schweiz inte är EU-medborgare som omfattas av GDPR: s marknadsprincip.
• Å andra sidan kan RA-appen inte användas på ett sådant sätt att endast personer för Schweiz identifieras, dvs att databehandling av order alltid sker för Swisscom IT Services Finance SE också i Wien.

Det finns projekt där Swisscom förlitar sig på lagligt erkända och granskade identifieringsförfaranden med tredje part. Ett typiskt exempel är en bank som utför en närvaroidentifiering av en person som en del av sin KYC-process. I det här fallet får Swisscom en kopia av bankens data för sina egna affärsändamål (signatur). Beställningsuppgifter är inte nödvändiga här, eftersom det finns två parter som ansvarar för uppgifterna. Omvänt tillämpas inte heller den gemensamma kontrollprincipen för GDPR här, eftersom uppmärksamheten hos uppgifter inte tjänar samma affärsändamål och båda parter inte agerar ansvarsfullt i betydelsen av ett gemensamt affärssyfte. Banken agerar för sitt affärsändamål, t.ex. att öppna ett konto, och Swisscom eftersträvar sitt affärsmässiga syfte att utfärda underskrifter. I det här fallet innehåller dock våra avtal om ”delegering av registeraktivitet” också ett minimum av bestämmelser om hur man ska gå vidare när det gäller dataskydd och GDPR.

Vid fjärrsignatur behåller och hanterar Swisscom nycklarna till signaturcertifikaten i förtroende. Vid en personlig signatur genereras signaturcertifikaten endast för signaturen och förlorar sin giltighet efter ca. 10 minuter. Företagscertifikat för tätningar är giltiga i upp till 3 år. Enligt lagen måste den privata nyckeln lagras på en (kvalificerad) skapande enhet för signatur. Minnet för detta är en enhet som huvudsakligen är utformad för nyckellagring, HSM (Hardware Security Module). Det är föremål för strikta regler, granskning, när det gäller säkerhetsstandarder och tillgång till den här enheten. Underskrifter i EU och Schweiz är föremål för särskilt höga säkerhetsstandarder, som endast är tillgängliga från några få HSM-tillverkare världen över.

Adobe är en amerikansk amerikansk leverantör av programvara som kan visa PDF-dokument. Den mest framträdande och utbredda produkten är den så kallade “Adobe Acrobat Reader”. Detta möjliggör verifiering av certifikatbaserade signaturer. Huruvida en signatur är giltig och därmed visas med en grön bock beror på många aspekter:

• Adobe har sin egen uppsättning regler som klassificerar utfärdande certifikatutfärdare från leverantörer av certifiering eller certifieringstjänster som "pålitliga". Dessa listas i en så kallad Adobe Trust List (AATL). Även om det inte ingår i tjänstebeskrivningen strävar Swisscom alltid efter att listas här. Dessutom måste de börsnoterade företagen betala årliga avgifter för denna post och arkivera i sin egenbedömning. Enligt Adobe anses eIDAS-tjänsteleverantörer vara pålitliga om de också har ingått ett avtal med Adobe.
• Adobe erbjuder en mängd olika inställningar som kan leda till en helt annan validering: Till exempel, istället för Adobes förtroendelista kan Microsoft Windows förtroendelista också användas, som vanligtvis bara upprätthåller betaltjänstleverantörer som också utfärdar SSL- eller e-postcertifikat . Kontrollen kan dock också baseras på en tid som ges av datorklockan och inte på tidsstämpeln i dokumentet.

Det betyder att du inte kan lita på giltigheten av en signatur i Adobe, men du får information om huruvida ändringar har gjorts i dokumentet sedan signaturen ställdes in och hur signaturcertifikatet ser ut.

Båda ska vara IT-personer som är bekanta med applikationen. Det behöver inte vara en person med den officiella rollen "Sekretesspolicy". Swisscom vill helt enkelt behålla 4-ögonprincipen här. Rollerna är: Att kunna ge information om administrationen av användarapplikationen (vem som har åtkomst, vad kan en administratör manipulera, var kan det finnas ett problem, SSL-anslutning till Swisscom) och om ämnen som virusskydd, åtkomstkontroll i allmänhet etc. hos den person som ansvarar för säkerheten.

Å ena sidan kan ett internt företag bli en Swisscom-återförsäljarpartner för andra företag om det finns en enorm volym planerad. I det här fallet går betalningsflödet direkt endast genom detta enskilda företag. Ett företag kan också ta ett fullständigt ansvar för driften av abonnentapplikationen. Även då kommer fakturor bara att gå igenom detta företag. Det kan sedan identifiera anställda i de andra företagen.

Om alla företag vill driva abonnentapplikationen självständigt (med eget ansvar och ansvar) och också vill tillhandahålla RA-agenter själva krävs ett separat avtal för varje företag.

Varje år investerar Swisscom stora summor i pågående revisioner. För att kunna placera erbjudandet från en betaltjänstleverantör på marknaden till ett rimligt pris erbjuds denna tjänst dock i standardiserad form. Det betyder särskilt:

• Kunden måste följa standardbeställningsprocessen med de standardkontraktsdokument som släpps av revisorerna.
• Ytterligare bedömningar från deltagare och granskning och godkännande av egna kontraktstexter ingår inte i erbjudandet.

Många aspekter av betaltjänstleverantören är inte bara föremål för villkoren för utförandet av tjänsten utan också i specificeringen av viktiga skyldigheter, ansvarsregler och samarbetstjänster i avtalshandlingarna. Därför är dessa kontraktshandlingar också föremål för granskning eller överlämnas också till de statliga organen för bedömning av överensstämmelse. Därför kan inga ändringar av det rättsliga systemet accepteras, inte heller kan avtalsenliga bifogningar av deltagaren accepteras, särskilt om de är föremål för utländsk, tillämplig lag.

Om det ändå är nödvändigt att anpassa avtalstexter, lägga till avtalsbestämmelser (t.ex. din egen uppförandekod, dataskyddsdeklaration, NDA, etc.), bearbeta särskilda bedömningsfrågeformulär eller om du till och med har upptäckt fel eller otydliga formuleringar, vänligen rapportera dessa till vår produkthantering.

Om några fel eller tvetydigheter är uppenbara initieras en motsvarande förändringsprocess av produkthantering och implementeras så snabbt som möjligt.

För utvärdering av andra frågor bildas ett bearbetningsteam som använder relevanta experter (t.ex. juridisk avdelning, säkerhetsansvarig, efterlevnadsansvarig etc.) och gör en utvärdering av begäran. En projektspecifik avgift på 6000 CHF betalas för detta. Om expertteamet inte kunde utarbeta en lösning direkt, kommer det att förbereda ett svar och ett erbjudande som presenterar och utvärderar ytterligare steg från Swisscom.

Nej, endast för driften av signaturansökan krävs ingen certifiering och ingen granskning. Inom ramen för en “konfigurations- och godkännandedeklaration” gör kunden en självdeklaration för att driva signaturapplikationen ordentligt, dvs att inte byta hash för ett dokument och faktiskt visa det dokument som ska signeras till kunden (WYSIWYS = ”Vad du ser är vad du signerar”). Datatrafik mellan signaturapplikationen och Swisscom bör krypteras och grundläggande skydd mot virus och attacker bör garanteras som med alla andra system. En officiell granskning med certifiering kan bara vara nödvändig om systemet har sin egen identifiering, särskilt i förhållande till sin egen autentiseringsmetod. I Schweiz kan identifiering med Swisscom-autentiseringsmetoder hanteras på ett förenklat sätt med hjälp av ett lämpligt ”implementeringskoncept” som kunden lämnat in och godkänts av Swisscom; inom EU är en allmän revision vanligtvis nödvändig. Som regel måste en autentiseringsmetod alltid certifieras, eftersom detta bör säkerställa "ensam kontroll" till signeringscertifikatet (kallat "ensam kontroll" i ETSI-sammanhanget).

I princip måste företaget utse representanter. Dessa företrädare bör antingen vara de registrerade företrädarna enligt handels- eller företagsregistret eller anställda med lämpliga fullmakter undertecknade av de registrerade företrädarna. I vilket fall som helst måste personerna identifieras personligen med vår RA-app. I Schweiz är det bara företag som är registrerade i UID-registret som kan beställa sälar. Med förseglingen fungerar SSL-åtkomstcertifikatet mellan kundens signaturapplikation och Swisscom som autentisering av företaget. Åtkomstintyget måste därför överlämnas av organisationens representant. Med den avancerade tätningen räcker enkel leverans; med det kvalificerade sigillet äger rum en gemensam överlämningsceremoni där åtkomstcertifikatet genereras gemensamt. Den privata nyckeln måste lagras på en kryptodel (FIPS 140-2 nivå 2 minimum).

I princip har Swisscom obegränsat ansvar enligt lagen för felaktig utfärdande av kvalificerade certifikat. När det gäller avancerade certifikat kan detta ansvar begränsas. Swisscom är också obligatoriskt försäkrat för detta ändamål. I händelse av fel i signaturapplikationen (t.ex. utbyte av en hash av ett dokument) eller fel i identifiering av tredjepartsregister kommer Swisscom i sin tur att hålla dessa tredje parter ansvariga. För att undvika riskerna med ansvar ställs höga krav på emitterings- och kontraktsprocessen och det krävs i allmänhet en möjlighet att granska de inblandade tredje parter.

Schweizisk lagstiftning, det vill säga den schweiziska federala lagen om elektroniska signaturer (ZertES/SCSE), ger de krav som organisationer måste uppfylla för att bli erkända som en certifieringstjänst. Det ackrediterade ackrediteringsorganet för ackreditering av Swisscom som en certifieringstjänst i Schweiz är KPMG (ackrediteringsnr SCESm 0071). Den utfärdar ett certifikat för bedömning av överensstämmelse (tillgängligt på www.swisscom.com/signing-service). Swiss Accreditation Service SAS har en lista över ackrediterade certifieringstjänster: Länk

Med ikraftträdandet av förordningen om elektronisk identifiering och Trust Services för elektroniska transaktioner inom Europeiska unionens inre marknad (eIDAS) har grunden skapats för lagligt giltig elektronisk kommunikation och säker elektronisk identifiering i hela Europa. Med hjälp av trust services såsom elektroniska signaturer, förseglingar, tidsstämplar, leveranstjänster och certifikat för autentisering kan företag, förvaltningar och privatpersoner utbyta digitala dokument som erbjudanden, order, kontrakt etc. inom EU på en enhetlig rättslig grund . Således ersätter den nya EU-förordningen den nationella lagstiftningen om underskrifter och underskrifter.

Enligt denna förordning (EG) nr 910/2014 / EU (eIDAS-förordningen) har nationella betrodda listor en konstituerande effekt. Med andra ord, en betaltjänstleverantör och trust services den tillhandahåller kommer endast att vara kvalificerade om de visas i de betrodda listorna. Följaktligen kommer användarna (medborgare, företag eller offentliga förvaltningar) att dra nytta av den rättsliga effekten som är associerad med en viss kvalificerad förtroendestjänst endast om den senare listas (som kvalificerad) i de betrodda listorna.

Swisscoms dotterbolag i Österrike ”Swisscom IT Services Finance SE”, Wien har inkluderats i listan över förtroende med kvalificerade certifikat och förseglingar:

https://webgate.ec.europa.eu/tl-browser/#/tl/AT

Swisscom IT Services Finance SE har gett Swisscom (Schweiz) Ltd i uppdrag att driva tillitstjänsten och har också delegerat registermyndighetsverksamheten till Swisscom (Schweiz) Ltd. Swisscom (Schweiz) Ltd. erbjuder därmed tjänsten till marknaden och accepterar även avtalshandlingar på uppdrag av Swisscom IT Services Finance SE.

Swisscom kan bara bekräfta att de kan utfärda kvalificerade signaturer i båda rättssystemen i enlighet med eIDAS-förordningen i EU och ZertES-lagen i Schweiz. De kvalificerade schweiziska signaturerna erkänns endast som kvalificerade i Schweiz och eIDAS-kvalificerade signaturer i EU.

Om den kvalificerade signaturen överensstämmer för ett avtal måste alltid verifieras av en advokat. Swisscom får inte tillhandahålla någon juridisk information i detta avseende. Detta är inte bara relaterat till signaturen utan även till andra punkter som kan komma överens i kontrakt. Exempelvis kan kravet på ”retur med rekommenderad post” innebära att en elektronisk signatur inte alls kan utföras, eftersom det är obligatoriskt med en pappersväg.

I både EU: s och Schweiz rättssystem gäller omvänd bevisbördan (och i Tyskland även prima facie-bevis jämfört med visuella bevis) i princip för kvalificerade underskrifter. Detta innebär att en motpart måste bevisa att den kvalificerade signaturen inte utfördes ordentligt om den ifrågasätts. Och naturligtvis kan Swisscom tillhandahålla KPMG-certifierade verifieringar för att bevisa att den kvalificerade signaturen har utförts på rätt sätt.

Lagringsperioderna för identitetsverifiering och aktivitetsjournalen och därmed också bevisperioderna är 11 år i Schweiz och 35 år i EU. Swisscom använder i allmänhet ETSI (LTV) för långsiktig validering.

Långvarig validering innebär att en signatur valideras på ett sådant sätt att den förblir giltig under lång tid. LTV-valideringen tillåter endast validering så länge rootcertifikatet för tidsstämpeln inte har gått ut. Det är därför tillrådligt att tidsstämpla dokumenten igen före utgången om långvariga bevis ska bevaras, så att signaturbevisens integritet och meningsfullhet fortsätter att säkerställas.

I princip bör PDF-dokument också hanteras i säkra arkiv. En situation kan uppstå om 5, 10 eller 20 år då signaturalgoritmerna "knäcks", dvs. integriteten eller äktheten kunde inte längre garanteras. Bra arkiveringssystem ger därför regelbunden avgång, t.ex. med en tidsstämpel, som alltid använder den senaste algoritmen och därmed säkerställer dokumentets integritet.

Webben erbjuder olika länkar med optimerade procedurer för detta, t.ex. ”Archisig”. Tyska BSI har också publicerat en teknisk riktlinje ”Bevarande av bevisvärdet av kryptografiskt signerade dokument”. Det är specifikationen av tekniska säkerhetskrav för långvarig bevarande av bevisvärdet för kryptografiskt signerade elektroniska dokument och data tillsammans med tillhörande elektroniska administrativa data (metadata).

En mellanvara definierad för dessa ändamål (TR-ESOR mellanvara) i den mening som avses i denna riktlinje omfattar alla de moduler och gränssnitt som används för att säkra och upprätthålla äktheten och för att bevisa integriteten hos de lagrade dokumenten och data.

Erfarenheten har visat att övergångsperioder kan vara från 3 månader till 2 år.

Nej.

Efter uppsägning av avtalet kommer befintliga giltiga certifikat att återkallas.

Det sätt på vilket ett sådant ”avstängningsscenario” ska göras regleras i lag: CP / CPS för certifieringstjänsten eller betrodstjänsten beskriver exakta procedurer. Det måste finnas en avstängningsplan och den anmälda tillsynsmyndigheten eller OFCOM kommer vanligtvis att utse en efterträdare som kan erbjuda tjänsten till kunderna. Denna efterträdare får normalt också certifikatåterkallningslistan och därmed listan över certifikatens giltighet, förutsatt att Swisscom inte själv publicerar dem. Listan kommer att fortsätta att fungera i flera år, så att signaturernas giltighet kan fortsätta att verifieras. Beviset för registreringarna för tjänsten måste sparas enligt lagringsperioderna även efter upphörande över 11 eller till och med 35 år, Swisscom eller en utsedd efterträdare måste upprätta ett arkivsystem för detta, så att denna information också kan användas i juridiska förhandlingar. . Identifieringarna som tillhandahålls kan inte längre användas med en möjlig efterträdare, dvs nya registreringar är nödvändiga i detta fall.

Elektroniska signaturer kan presenteras som bevis i tvister. Som regel, med undantag av den kvalificerade signaturen, är de föremål för gratis bedömning av bevis. Eftersom ”enkla” och ”avancerade” elektroniska signaturer knappast eller bara grovt definieras i lag är det domstolens ansvar att acceptera en sådan signatur eller inte. Den part som vill presentera dessa underskrifter som giltiga måste tillhandahålla relevanta bevis. När det gäller Swisscom är det till hjälp att de avancerade signaturerna också är föremål för en mycket strikt revision enligt ETSI-standarden för "NCP +" -underskrifter och därmed kan sådana revisionsrapporter användas. I fallet med en kvalificerad underskrift ska omvända bevis gälla. Eftersom den kvalificerade signaturen exakt bestäms av lagen och till exempel både Schweiz och Österrike erbjuder validerare för giltigheten av sådana signaturer på nätet, anses dessa signaturer vara giltiga tills en part visar annat och därmed också bevisar att tillsynsmyndigheten eller OFCOM såväl som revisorerna inte har uppfyllt sina skyldigheter. Efter 11 år i Schweiz eller 35 år i Österrike kan bevis också orsaka svårigheter inom det kvalificerade området, eftersom dokumenten för registrering måste förstöras. Ändå är signaturen fortfarande synlig som "kvalificerad".

I samband med ett bevis efter många år bör det också noteras att elektroniskt arkiverade dokument bör tidsstämplas upprepade gånger från tid till annan. Det kan hända att algoritmer inte längre är lika robusta. En tidsstämpel förseglar dokumentet med de senaste algoritmerna och skyddar dokumentets integritet, inklusive signaturer.

Kvalificerade eIDAS-signaturer betraktas endast som "kvalificerade" i EU (och EES) -området och ZertES / SigE-signaturer anses också vara kvalificerade endast i schweizisk jurisdiktion. Detta innebär att när en tredje stat väljer lagen kan dessa signaturer inte längre uppnå sin "kvalificerade" effekt eller, om nödvändigt, bli. inte ens känd igen.

Schweiz (QES), ZertES:

CP / CPS föreskriver att identifieringen och den lagrade dokumentationen kan användas i högst 5 år, kortare om giltighetstiden för det presenterade ID-kortet / passet slutar före femårsperioden eller om identifieringsförfarandet från revisorn tillåter inte fem år.

Lagringsperioden i enlighet med artikel 11.1 i förordningen om SigE / ZertES (aktivitetsjournal) gäller: "De erkända leverantörerna ska behålla registreringarna som rör deras verksamhet och de underlag som rör dem i elva år." Swisscom förstår också denna period som en lagringsperiod för de handlingar som lämnas in i ID-processen, särskilt en kopia av ID.

1 års reserv tillsattes som en "säkerhetsbuffert" för att undvika att Swisscom RA-byråer kunde beräkna de 11 åren annorlunda, vilket skulle innebära att Swisscom inte längre skulle ha dokumentation i specifika fall, särskilt vid tillämpningen av artikel 17 i SigE / ZertES (obegränsat ansvar).

• Som en sammanfattning är arkiveringstiden 17 år, vilket också anges i användarvillkoren.

Europa, (QES), eIDAS:

Detta är samma motivering och härledning som i fallet med QES i Schweiz endast med skillnaden att den lagliga lagringstiden i Österrike är 30 år. Artikel 10.1 i SVG (Signature and Trust Services Act) har följande lydelse:

Åtkomsträttigheter och lagringsperiod

10. (1) På begäran av domstolar eller andra myndigheter ska en kvalificerad TSP ge tillgång till dokumentationen i enlighet med artikel 24.2 lit. h eIDAS-VO och dess certifikatdatabas.

(2) […].

(3) Dokumentationen tillhandahålls av den kvalificerade TSP i 30 år, beräknat från det datum som kvalificerat certifikat infördes i slutet av giltigheten eller, i avsaknad av sådana, 30 år från det datum då relevant information om de utfärdade uppgifterna och mottagen av kvalificerad VDA under sin verksamhet uppstår.

• Som en sammanfattning är arkiveringstiden 36 år, vilket också framgår av eIDAS användarvillkor.

Avancerade signaturer (eIDAS, ZertES)

CP / CPS föreskriver att identifieringen och den arkiverade dokumentationen kan användas i högst 5 år, kortare om giltighetstiden för det inlämnade kortet slutar före femårsperioden eller om identifieringsförfarandet inte tillåter 5 år.

Det finns inga lagliga lagringsperioder inom området AES, eftersom lagringsperioderna inte regleras av lag. ETSI-standarderna föreskriver dock en period på 7 år. Denna information härrör från ETSI-direktivet EN 319 411-01:

6.4.6 Registrerar arkiv

Följande särskilda krav gäller:

OBS: ETSI TS 101 533-1 [i.13] föreslår bestämmelser om hur man bevarar digitala dataobjekt.

a) TSP ska behålla följande i minst sju år efter att alla certifikat baserade på dessa register upphör att vara giltiga:
i) logg över alla händelser som rör livscykeln för nycklar som hanteras av CA, inklusive alla ämnesnyckelpar

genereras av CA (se avsnitt 6.4.5, punkt g));

ii) dokumentation som identifierats i avsnitt 6.3.4.

1 års reserv tillkom som en ”säkerhetsbuffert” för att undvika att Swisscom RA-byråer kunde beräkna de 11 åren på olika sätt.

• Som en sammanfattning är arkiveringstiden 13 år, vilket också avslöjas i användarvillkoren för eIDAS.

När det gäller personliga certifikat utfärdar Swisscom endast kortvariga certifikat (så kallade "one-shot" -certifikat) som har en livslängd på 10 minuter och används endast för en signaturbegäran. Sannolikheten att certifikatet äventyrades under dessa tio minuter är praktiskt taget obefintlig. Därefter är certifikatet ogiltigt och kan inte äventyras. Tack vare den långsiktiga valideringen förblir signaturerna med detta certifikat giltiga och kan också valideras under perioder efter utgången.

Om hela CA (dvs. rotcertifikatet) för certifierings- och tillitstjänsten har äventyrats finns det en process som Swisscom beskriver i sin CP / CPS (se Nedladdningsområde – Repository).

Om en undertecknande tappar sitt autentiseringsmedium eller upptäcker att hans identitet har fastställts felaktigt måste vårt supportteam informeras omedelbart. I ett avtalsförhållande med en av våra partners, vänligen kontakta den partner som du har gett din signatur eller identifikation med. Han kommer sedan att vidta ytterligare steg för att blockera denna identifiering. Om ett tätningsintyg har äventyrats, använd kontaktuppgifterna på https://www.swisscom.ch/de/business/enterprise/angebot/security/digital_certificate_service.html#tab-revozierung .

1. Kontrakt muntligt avslutat: Mycket svårt att bevisa (endast med vittnesmål från andra personer)
2. Signerad med enkel signatur, t.ex. en skannad signaturbild: Samma problem. Processen för generering av denna signatur måste analyseras i domstol och på grund av svagheten i proceduren kommer vittnen från andra personer eller andra tips att spela en viktig regel för att bevisa fullmakten.
3. AES: för att verifiera en giltig signatur måste parterna åter gå till domstol. Domstolen kommer att be en specialist undersöka Swisscoms avancerade elektroniska signatur. På grund av revisionerna som Swisscom utfört kan specialisten dra nytta av det. Ändå är AES mer svag som QES, t.ex. vad gäller sättet att identifiera/registrera personer, arkiveringstid (endast 7 år) och 1-faktor autentisering för signaturen i motsats till en 2-faktor autentisering (alltså en stulen mobil smartphone kan användas för en signatur)
4. QES: verifieringen av en giltig signatur kan göras direkt via https://validator.ch eller https://www.signatur.rtr.at/de/vd/Pruefung.html Parterna behöver inte gå till domstol vid tvivel. Endast om någon tvivlar generellt på den granskade förtroendetjänsten och detta kommer att vara ett hårt bevis…. QES -signaturbevis och loggar kommer att lagras så länge som föreskrivs för alla kommersiella och skattedokument i företagsregistret: mer än 10 år i Schweiz och 35 år i EU.

På grund av GDPR -reglerna och det faktum att dotterbolag inte automatiskt ingår i något databehandlingsavtal måste vi teckna ett extra RA Agency -kontrakt med varje dotterbolag.

Vi rekommenderar användning av PAdES LTA -standarden (se ETSI TS 103 172) för långsiktig validering. Hitta fler tips här: https://github.com/SCS-CBU-CED-IAM/AIS/wiki/PAdES-Long-Term-Validation . PDF -filer ska överensstämma med PDF/A -standarden.

Vid fjärrsignatur hanterar Swisscom dina nycklar för signaturcertifikaten i förtroende. Med en personlig signatur genereras signaturcertifikaten endast för signaturen och förlorar sin giltighet efter ca. 10 minuter. Härmed undviker vi anmälan av en kompromiss med certifikatet av undertecknaren, dvs ett certifikat kan inte äventyras. Förfarandet har flera fördelar:

Slutanvändaren behöver inte kontakta Swisscom (t.ex. ett användarkonto för att återkalla certifikat).

Mottagarna av undertecknade dokument behöver inte hantera återkallelse listor och OCSP (online certifikat giltighetskontroll).

Säkerhetsproblem med applikationer som bara är beroende av regelbundna uppdateringar av listor för återkallelse undviks.

OCSP -frågor leder till tidsfördröjningar för mottagaren.

Dessutom ger ett korttidscertifikat alltid ett positivt svar-en OCSP-fråga kan bara någonsin ge ett negativt svar.

Viktigt! Signaturen som gjordes med QES är naturligtvis fortfarande giltig, oavsett certifikat.

Kortsiktiga certifikat utfärdas baserat på registreringar av registreringstjänsten, dvs de bygger på stark autentisering. Ett korttidscertifikat genereras endast om det finns autentisering (release) i 2FA-proceduren.

Exempel på analogi i pappersmiljön: Jag skriver kontrakt med en bläckpenna. Bläcket i pennan är tomt efter signaturen. Kontraktet är givetvis giltigt.

När du signerar med en QES gäller följande bevisarkivperioder:

Lagringstiderna för identifieringsbevis och aktivitetstidskrift för EU -signaturer i Österrike (där vi är ackrediterade) är 35 år och 10 år i Schweiz.

På grund av PAdES B LTA-standarden kan signaturer också valideras långt efter utgången på grundval av korttidscertifikat.

Algoritmerna för haschning (kontrollsumbildning) och kryptering av hash följer rekommendationerna från ETSI -standarden ETSI TS 119 312, som i sin tur också följer NIS -standarderna. Dessa algoritmer har vissa antaganden om perioder på 1-> 6 år där de är stabila. Men utvecklingen (t.ex. sprickbildning av algoritmer) kan också snabbt leda till förändringar här. Swisscom Trust Services, till exempel, byter nu sin rot -CA igen för att uppfylla kraven> 6 år. En ny upplaga av specifikationen väntas igen i höst.

För långsiktig validering är det därför nödvändigt att regelbundet säkerställa integritet utifrån de senaste algoritmerna, t.ex. årlig tidsstämpling av alla dokument eller användning av lämpliga arkiveringslösningar. Nyckelord ”bevarande av bevisvärde”-se DIN 31647: 2015-05.

Enligt eIDAS-förordningen måste TSP:er vara ackrediterade nationellt och följa de nationella lagar, regler och förordningar som ges av det nationella tillsynsorganet så långt som ingen annan EU-omfattande förordning har fastställt vissa regler, som EU-kommissionens genomförandebeslut t.ex. för ADES-standarderna eller säkerhetsnivåerna för eID eller vissa regler från själva eIDAS-förordningen. Genom detta har varje land olika nationella standarder för sina TSP:er; till exempel i Tyskland måste BSI godkänna vissa aspekter, eller i Frankrike institutet ANSII. I vissa länder, till exempel, är videoidentifiering helt tillåten. I andra förbjudna, och i tredje länder, endast tillåtet med kortvariga certifikat.

Men EU-förordningen eIDAS förutser att alla kvalificerade elektroniska signaturer från alla nationellt ackrediterade TSP i alla EU-länder måste accepteras av alla EU-medlemmar. Således kan en TSP ackrediterad i Frankrike sälja sina QES baserat på de franska reglerna och förordningarna i Tyskland, och en österrikisk TSP, såsom Swisscom, behöver bara följa upp de österrikiska reglerna och förordningarna och kan sälja sina kvalificerade signaturer i andra EU-länder . EU:s betrodda lista är standardankaret och bekräftar att en kvalificerad signatur utfärdad av en av de TSP:er som är listade där måste accepteras.

Med version 2 av eIDAS-regelverket kommer EU-länderna att försöka harmonisera allt mer delarna av ackrediteringen, t.ex. sättet att registrera sig för en tjänst, och de vill till och med skapa en EU e-plånbok som bas för framtiden identifiering för någon pålitlig tjänst.