BILAG II

TEKNISKE STANDARDER FOR SAMMENKOBLING

Med henblik på at gøre sammenkoblingen af EU's emissionshandelssystem og Schweiz' emissionshandelssystem operationel skal der være indført en foreløbig løsning senest i maj 2020 eller så hurtigt som muligt derefter. Parterne samarbejder om snarest muligt at erstatte den foreløbige løsning med en permanent registersammenkobling.

I de tekniske standarder for sammenkobling beskrives:

— kommunikationsforbindelsens arkitektur

— sikkerheden ved dataoverførsel

— listen over funktioner (transaktioner, afstemning osv.)

— definitionen af webtjenester

— kravene til journalføring af data

— de operationelle arrangementer (calldesk og support)

— planen for aktivering af kommunikation og testproceduren

— proceduren for sikkerhedstest.

I de tekniske standarder for sammenkobling angives det, at administratorerne skal træffe rimelige foranstaltninger for at sikre, at SSTL og EUTL samt forbindelsen er i drift 24 timer om dagen, syv dage om ugen, og at eventuelle driftsafbrydelser for SSTL og EUTL samt forbindelsen holdes på et minimum.

I de tekniske standarder for sammenkobling angives det, at kommunikationen mellem SSTL og EUTL udgøres af sikker udveksling af webtjeneste-meddelelser baseret på følgende teknologier (1):

— webtjenester, der anvender Simple Object Access Protocol (SOAP) eller tilsvarende

— hardwarebaseret VPN (Virtual Private Network)

— XML (Extensible Markup Language)

— digital signatur

— network time-protokoller.

I de tekniske standarder for sammenkobling angives yderligere sikkerhedskrav for det schweiziske register, SSTL, EU-registret og EUTL, som dokumenteres i en plan for sikkerhedsstyring. I de tekniske standarder for sammenkobling angives det navnlig, at:

— begge parter, hvis der er mistanke om, at sikkerheden for det schweiziske register, SSTL, EU-registret eller EUTL er blevet kompromitteret, straks skal underrette den anden part og suspendere forbindelsen mellem SSTL og EUTL

— parterne, i tilfælde af et brud på sikkerheden, forpligter sig til omgående at dele oplysningerne med hinanden. Hvis de tekniske oplysninger foreligger, deles en rapport, der beskriver hændelsen (dato, årsag, virkning og afhjælpning), mellem administratoren af det schweiziske register og Unionens centrale administrator senest 24 timer efter sikkerhedsbruddet.

Den procedure for sikkerhedstest, der er beskrevet i de tekniske standarder for sammenkobling, udføres, inden kommunikationsforbindelsen mellem SSTL og EUTL etableres, og når en ny version eller frigivelse af SSTL eller EUTL er påkrævet.

De tekniske standarder for sammenkobling skal omhandle to testmiljøer ud over produktionsmiljøet: et testmiljø for udviklere og et godkendelsesmiljø.

Parterne dokumenterer gennem administratoren af det schweiziske register og Unionens centrale administrator, at der er udført en uafhængig sikkerhedsvurdering af deres systemer inden for de foregående 12 måneder i overensstemmelse med de sikkerhedskrav, der er anført i de tekniske standarder for sammenkobling. Sikkerhedstest og navnlig penetrationstest gennemføres for alle nye og større softwarefrigivelser i overensstemmelse med de sikkerhedskrav, der er anført i de tekniske standarder for sammenkobling. Penetrationstesten udføres ikke af softwareudvikleren eller af softwareudviklerens underkontrahent.