Source: https://www.diritto.it/normativa/decreto-del-presidente-del-consiglio-dei-ministri-3032009/
Timestamp: 2018-12-12 14:16:32+00:00
Document Index: 103645160

Matched Legal Cases: ['art. 21', 'art. 3', 'art. 35', 'art. 9', 'art. 32', 'art. 35', 'art. 35', 'art. 35', 'art. 28', 'art. 3', 'art. 31', 'art. 29', 'art. 28', 'art. 28', 'art. 38', 'art. 3', 'art. 36', 'art. 13', 'art. 39', 'art. 31', 'art.34', 'art. 10', 'art. 20', 'art. 14', 'art. 10', 'art. 31', 'art. 39', 'art. 29', 'art. 3', 'art. 3', 'art. 3', 'art. 47', 'art. 37']

Home » Normativa » Decreto del Presidente del Consiglio dei Ministri
G.U. 6/6/2009 n. 129
d) compromissione della chiave privata: la sopravvenuta assenza di affidabilita’ nelle caratteristiche di sicurezza della chiave crittografica privata;
f) evidenza informatica: una sequenza di simboli binari (bit) che puo’ essere elaborata da una procedura informatica;
l) registro dei certificati: la combinazione di uno o piu’ archivi informatici, tenuto dal certificatore, contenente tutti i certificati emessi;
m) riferimento temporale: informazione, contenente la data e l’ora, che viene associata ad uno o piu’ documenti informatici.
1. Il presente decreto stabilisce, ai sensi degli articoli 20, 24 comma 4, 27, 28, 29, 30 e 32 del codice, le regole tecniche per la generazione, apposizione e verifica delle firme elettroniche qualificate e per la validazione temporale, nonche’ per lo
svolgimento delle attivita’ dei certificatori qualificati.
2. Le disposizioni di cui al titolo II si applicano ai certificatori che rilasciano al pubblico certificati qualificati in conformita’ al codice.
5. Ai prodotti sviluppati o commercializzati in uno degli Stati membri dell’Unione europea e dello spazio economico europeo in
conformita’ alle norme nazionali di recepimento della direttiva 1999/93/CE del Parlamento Europeo e del Consiglio, pubblicata nella Gazzetta Ufficiale dell’Unione europea, Serie L, n. 13 del 19 gennaio 2000, e’ consentito di circolare liberamente nel mercato interno.
Titolo II – Regole tecniche di base
3. Il documento informatico, sottoscritto con firma digitale o altro tipo di firma elettronica qualificata, non produce gli effetti di cui all’art. 21, comma 2, del codice, se contiene macroistruzioni codici eseguibili, tali da attivare funzionalita’ che possano modificare gli atti, i fatti o i dati nello stesso rappresentati.
Caratteristiche generali delle chiavi per la creazione e la verificadella firma
1. Una coppia di chiavi per la creazione e la verifica della firma puo’ essere attribuita ad un solo titolare.
b) chiavi di certificazione, destinate alla generazione e verifica delle firme apposte o associate ai certificati qualificati, alle informazioni sullo stato di validita’ del certificato ovvero alla sottoscrizione dei certificati relativi a chiavi di marcatura temporale;
5. Non e’ consentito l’uso di una coppia di chiavi per funzioni diverse da quelle previste, per ciascuna tipologia, dal comma 4, salvo che, con riferimento esclusivo alle chiavi di cui al medesimo comma 4, lettera b), il CNIPA non ne autorizzi l’utilizzo per altri scopi.
6. Le caratteristiche quantitative e qualitative delle chiavi sono tali da garantire un adeguato livello di sicurezza in rapporto allo stato delle conoscenze scientifiche e tecnologiche, in conformita’ con quanto indicato dal CNIPA nella deliberazione di cui all’art. 3, comma 2.
1. La generazione della coppia di chiavi e’ effettuata mediante dispositivi e procedure che assicurano, in rapporto allo stato delle conoscenze scientifiche e tecnologiche, l’unicita’ e un adeguato livello di sicurezza della coppia generata, nonche’ la segretezza della chiave privata.
b) l’utilizzo di algoritmi che consentano l’equiprobabilita’ di generazione di tutte le coppie possibili;
3. La generazione delle chiavi di sottoscrizione effettuata autonomamente dal titolare, avviene all’interno del dispositivo sicuro per la generazione delle firme, che e’ rilasciato o indicato dal certificatore.
4. Il certificatore e’ tenuto ad assicurarsi che il dispositivo sicuro per la generazione delle firme, da lui fornito o indicato, presenti le caratteristiche e i requisiti di sicurezza di cui all’art. 35 del codice e all’art. 9 del presente decreto.
5. Il titolare e’ tenuto ad utilizzare esclusivamente il dispositivo sicuro per la generazione delle firme fornito dal certificatore, ovvero un dispositivo scelto tra quelli indicati dal certificatore stesso.
1. E’ vietata la duplicazione della chiave privata e dei dispositivi che la contengono.
2. Per fini particolari di sicurezza, e’ consentito che le chiavi di certificazione vengano esportate, purche’ cio’ avvenga con modalita’ tali da non ridurre il livello di sicurezza e di riservatezza delle chiavi stesse.
a) assicura la custodia del dispositivo di firma in conformita’ all’art. 32, comma 1, del codice, in ottemperanza alle indicazioni fornite dal certificatore;
d) mantiene in modo esclusivo la conoscenza o la disponibilita’ di almeno uno dei dati per la creazione della firma.
a) l’impossibilita’ di intercettazione o recupero di qualsiasi informazione, anche temporanea, prodotta durante l’esecuzione della procedura;
b) il trasferimento della chiave privata, in condizioni di massima sicurezza, nel dispositivo di firma in cui verra’ utilizzata.
2. Il sistema di generazione e’ isolato, dedicato esclusivamente a questa attivita’ ed adeguatamente protetto.
3. L’accesso al sistema e’ controllato e ciascun utente preventivamente identificato per l’accesso fisico e autenticato per l’accesso logico. Ogni sessione di lavoro e’ registrata nel giornale di controllo.
4. Il sistema e’ dotato di strumenti di controllo della propria configurazione che consentano di verificare l’autenticita’ e l’integrita’ del software installato e l’assenza di programmi non previsti dalla procedura e di dati residuali provenienti dalla generazione di coppie di chiavi precedenti che possano inficiare l’equiprobabilita’ della generazione di quelle successive.
1. In aggiunta a quanto previsto all’art. 35 del codice, la generazione della firma avviene all’interno di un dispositivo sicuro per la generazione delle firme, cosi’ che non sia possibile l’intercettazione della chiave privata utilizzata.
3. Il CNIPA, nell’ambito dell’attivita’ di cui agli articoli 29 e 31 del codice, valuta l’adeguatezza tecnologica della modalita’ di gestione dei codici personali anche in relazione al dispositivo di firma utilizzato.
4. La certificazione di sicurezza dei dispositivi sicuri per la creazione di una firma prevista dall’art. 35 del codice e’ effettuata secondo criteri non inferiori a quelli previsti:
a) dal livello EAL 4+ in conformita’ ai Profili di Protezione indicati nella decisione della Commissione europea 14 luglio 2003 e successive modificazioni;
b) dal livello EAL 4+ della norma ISO/IEC 15408, in conformita’ ai Profili di Protezione o traguardi di sicurezza giudicati adeguati ai sensi dell’art. 35, commi 5 e 6 del codice, e successive modificazioni.
5. La certificazione di sicurezza di cui al comma 4 puo’ inoltre essere effettuata secondo i criteri previsti dal livello di valutazione E3 e robustezza HIGH dell’ITSEC, o superiori, con un traguardo di sicurezza giudicato adeguato dal CNIPA nell’ambito dell’attivita’ di cui agli articoli 29 e 31 del codice.
7. La personalizzazione del dispositivo sicuro per la generazione delle firme puo’ prevedere, per l’utilizzo nelle procedure di firma, la registrazione, nel dispositivo sicuro per la generazione delle firme, del certificato elettronico relativo alla chiave pubblica del certificatore la cui corrispondente privata e’ stata utilizzata per sottoscrivere il certificato qualificato relativo alle chiavi di sottoscrizione del titolare.
8. La personalizzazione del dispositivo sicuro per la generazione delle firme e’ registrata nel giornale di controllo.
a) presenta almeno sinteticamente lo stato di aggiornamento delle informazioni di validita’ dei certificati di certificazione presenti nell’elenco pubblico;
b) visualizza le informazioni presenti nel certificato qualificato, in attuazione di quanto stabilito nell’art. 28, comma 3, del codice, nonche’ le estensioni obbligatorie nel certificato qualificato (qcStatements), indicate nel provvedimento di cui all’art. 3, comma 2;
3. Il CNIPA, ai sensi dell’art. 31 del codice, accerta la conformita’ dei sistemi di verifica di cui al comma 1 alle norme del codice e alle presenti regole tecniche.
i) copia di una polizza assicurativa a copertura dei rischi dell’attivita’ e dei danni causati a terzi.
2. Il CNIPA rende accessibili, in via telematica, le informazioni di cui al comma 1, lettere a), b), d), e), g) al fine di rendere pubbliche le informazioni che individuano il certificatore qualificato. Tali informazioni sono utilizzate, da chi le consulta, solo per le finalita’ consentite dalla legge.
a) si accerta dell’autenticita’ della richiesta;
2. Il certificato qualificato e’ generato con un sistema conforme a quanto previsto dall’art. 29.
3. Il termine del periodo di validita’ del certificato qualificato e’ anteriore al termine del periodo di validita’ del certificato delle chiavi di certificazione utilizzato per verificarne l’autenticita’.
4. L’emissione dei certificati qualificati e’ registrata nel giornale di controllo specificando il riferimento temporale relativo alla registrazione.
2. Le informazioni personali contenute nel certificato ai sensi di quanto previsto nell’art. 28 del codice sono utilizzabili unicamente per identificare il titolare della firma digitale, per verificare la firma del documento informatico, nonche’ per indicare eventuali qualifiche specifiche del titolare.
4. Le informazioni e le qualifiche di cui all’art. 28, comma 3, lettera a) del Codice, codificate secondo le modalita’ indicate dalla delibera del CNIPA prevista ai sensi dell’art. 38, comma 4, del presente decreto, sono inserite d’ufficio dal certificatore nel certificato qualificato, nel caso in cui l’organizzazione di appartenenza abbia autorizzato la richiesta di emissione del certificato medesimo. In quest’ultimo caso l’organizzazione richiedente assume l’impegno di richiedere la revoca del certificato qualificato qualora venga a conoscenza della variazione delle informazioni contenute nello stesso.
5. Il certificatore determina il periodo di validita’ dei certificati qualificati anche in funzione della robustezza crittografica delle chiavi impiegate.
6. Il CNIPA, ai sensi dell’art. 3, comma 2, determina il periodo massimo di validita’ del certificato qualificato in funzione degli algoritmi e delle caratteristiche delle chiavi.
1. Fatto salvo quanto previsto dall’articolo 36 del codice, il certificato qualificato e’ revocato o sospeso dal certificatore, ove quest’ultimo abbia notizia della compromissione della chiave privata o del dispositivo sicuro per la generazione delle firme.
2. La richiesta di cui al comma 1 e’ successivamente confermata utilizzando una delle modalita’ previste dal certificatore.
3. La revoca dei certificati e’ annotata nel giornale di controllo con la specificazione della data e dell’ora della pubblicazione della nuova lista.
1. Salvo i casi di motivata urgenza, il certificatore che intende revocare un certificato qualificato ne da’ preventiva comunicazione al titolare, specificando i motivi della revoca nonche’ la data e l’ora a partire dalla quale la revoca e’ efficace.
1. La richiesta di revoca e’ inoltrata al certificatore munita della sottoscrizione del titolare e con la specificazione della sua decorrenza.
2. Le modalita’ di inoltro della richiesta sono indicate dal certificatore nel manuale operativo di cui al successivo art. 36.
3. Il certificatore verifica l’autenticita’ della richiesta e procede alla revoca entro il termine richiesto. Sono considerate autentiche le richieste inoltrate con le modalita’ previste dal precedente comma 2.
4. Se il certificatore non ha la possibilita’ di accertare in tempo utile l’autenticita’ della richiesta, procede alla sospensione del certificato.
1. La richiesta di revoca da parte del terzo interessato da cui derivano i poteri di firma del titolare e’ inoltrata al certificatore munita di sottoscrizione e con la specificazione della sua decorrenza.
2. In caso di cessazione o modifica delle qualifiche o del titolo inserite nel certificato su richiesta del terzo interessato, la richiesta di revoca di cui al comma 1 e’ inoltrata non appena il terzo venga a conoscenza della variazione di stato.
3. Se il certificatore non ha la possibilita’ di accertare in tempo utile l’autenticita’ della richiesta, procede alla sospensione del certificato.
1. La sospensione del certificato qualificato e’ effettuata dal certificatore mediante l’inserimento del suo codice identificativo in una delle liste dei certificati revocati e sospesi (CRL/CSL).
6. La cessazione dello stato di sospensione del certificato, che sara’ considerato come mai sospeso, e’ tempestivamente comunicata al titolare e all’eventuale terzo interessato specificando la data e l’ora a partire dalla quale il certificato ha cambiato stato.
1. Salvo casi d’urgenza, che il certificatore e’ tenuto a motivare contestualmente alla comunicazione conseguente alla sospensione di cui al comma 2, il certificatore che intende sospendere un certificato qualificato ne da’ preventiva comunicazione al titolare e all’eventuale terzo interessato specificando i motivi della sospensione e la sua durata.
2. Se la sospensione e’ causata da una richiesta di revoca motivata dalla possibile compromissione della chiave privata, il certificatore procede tempestivamente alla pubblicazione della sospensione.
1. La richiesta di sospensione e’ inoltrata al certificatore munita della sottoscrizione del titolare e con la specificazione della sua durata.
2. Il certificatore verifica l’autenticita’ della richiesta e procede alla sospensione entro il termine richiesto. Sono considerate autentiche le richieste inoltrate con le modalita’ previste dal precedente comma 1.
1. La richiesta di sospensione da parte del terzo interessato, da cui derivano i poteri di firma del titolare, e’ inoltrata al certificatore munita di sottoscrizione e con la specificazione della sua durata.
1. La procedura di sostituzione delle chiavi, generate dal certificatore in conformita’ all’art. 13 del presente decreto, assicura che non siano stati emessi certificati qualificati con data di scadenza posteriore al periodo di validita’ del certificato relativo alla coppia sostituita.
1. La revoca del certificato relativo ad una coppia di chiavi di certificazione e’ consentita solo nei seguenti casi:
2. La revoca e’ comunicata entro ventiquattro ore al CNIPA e resa nota a tutti i titolari di certificati qualificati sottoscritti con la chiave privata la cui corrispondente chiave pubblica e’ contenuta nel certificato revocato.
3. La revoca di certificati di cui al comma 1, pubblicati dal CNIPA nell’elenco pubblico dei certificatori di cui all’art. 39, e’ resa nota attraverso il medesimo elenco.
1. I sistemi operativi dei sistemi di elaborazione utilizzati nelle attivita’ di certificazione per la generazione delle chiavi, la generazione dei certificati qualificati e la gestione del registro dei certificati qualificati, devono essere stati oggetto di opportune personalizzazioni atte a innalzarne il livello di sicurezza (hardening).
2. Ai sensi dell’art. 31 del codice, il CNIPA verifica l’idoneita’ delle personalizzazioni di cui al comma 1 e indica al certificatore eventuali azioni correttive.
2. L’entrata e l’uscita dai locali protetti e’ registrata sul giornale di controllo.
3. L’accesso ai sistemi di elaborazione e’ consentito, limitatamente alle funzioni assegnate, esclusivamente al personale autorizzato, identificato attraverso un’opportuna procedura di riconoscimento da parte del sistema al momento di apertura di ciascuna sessione.
1. Le liste dei certificati revocati e sospesi sono rese pubbliche.2. I certificati qualificati, su richiesta del titolare, possono essere accessibili alla consultazione del pubblico nonche’ comunicati a terzi, al fine di verificare le firme digitali, esclusivamente nei casi consentiti dal titolare del certificato e nel rispetto del decreto legislativo 30 giugno 2003, n. 196.
3. Le liste pubblicate dei certificati revocati e sospesi, nonche’ i certificati qualificati eventualmente resi accessibili alla consultazione del pubblico, sono utilizzabili da chi le consulta per le sole finalita’ di applicazione delle norme che disciplinano la verifica e la validita’ della firma digitale.
b) descrizione dell’infrastruttura di sicurezza fisica rilevante ai fini dell’attivita’ di certificatore;
c) allocazione dei servizi e degli uffici negli immobili rilevanti ai fini dell’attivita’ di certificatore;
d) descrizione delle funzioni del personale e sua allocazione ai fini dell’attivita’ di certificatore;
g) descrizione delle procedure utilizzate nell’attivita’ di certificatore;
m) procedura di continuita’ operativa del servizio di pubblicazione delle liste di revoca e sospensione;
2. Il piano per la sicurezza, sottoscritto dal legale rappresentante del certificatore, e’ consegnato al CNIPA in busta sigillata o inviato, cifrato ai fini di riservatezza, in base alle indicazioni fornite dal CNIPA.
1. Il giornale di controllo e’ costituito dall’insieme delle registrazioni effettuate anche automaticamente dai dispositivi installati presso il certificatore, allorche’ si verificano le condizioni previste dal presente decreto.
3. A ciascuna registrazione e’ apposto un riferimento temporale.
1. Entro un anno dall’avvio dell’attivita’ di certificazione, il certificatore dichiara la conformita’ del proprio sistema di qualita’ alle norme ISO 9000, successive modifiche o a norme equivalenti.
2. Il manuale della qualita’ e’ depositato presso il CNIPA e reso disponibile presso il certificatore.
2. Non e’ possibile attribuire al medesimo soggetto piu’ funzioni tra quelle previste dal comma 1.
3. Ferma restando la responsabilita’ del certificatore, l’organizzazione dello stesso puo’ prevedere che alcune delle suddette responsabilita’ siano affidate ad altre organizzazioni. In questo caso il responsabile della sicurezza o altro dipendente appositamente designato gestisce i rapporti con tali figure professionali.
1. Il personale cui sono attribuite le funzioni previste dall’art.34 del presente decreto deve aver maturato una esperienza professionale nelle tecnologie informatiche e delle telecomunicazioni almeno quinquennale.
2. Per ogni aggiornamento apportato al sistema di certificazione e’ previsto un apposito addestramento.
1. Il manuale operativo definisce le procedure applicate dal certificatore che rilascia certificati qualificati nello svolgimento della sua attivita’.
2. Il manuale operativo e’ depositato presso il CNIPA e pubblicato a cura del certificatore in modo da essere consultabile per via telematica.
e) definizione delle responsabilita’ e delle eventuali limitazioni agli indennizzi;
g) modalita’ di identificazione e registrazione degli utenti;
h) modalita’ di generazione delle chiavi per la creazione e la verifica della firma;
i) modalita’ di emissione dei certificati;
l) modalita’ di inoltro delle richieste e della gestione di sospensione e revoca dei certificati;
m) modalita’ di sostituzione delle chiavi;
n) modalita’ di gestione del registro dei certificati;
o) modalita’ di accesso al registro dei certificati;
p) modalita’ per l’apposizione e la definizione del riferimento temporale;
q) modalita’ di protezione dei dati personali;
r) modalita’ operative per l’utilizzo del sistema di verifica delle firme di cui all’art. 10, comma 1 del presente decreto;
s) modalita’ operative per la generazione della firma digitale.
1. I riferimenti temporali realizzati dai certificatori accreditati in conformita’ con quanto disposto dal titolo IV sono opponibili ai terzi ai sensi dell’art. 20, comma 3, del codice.
b) il riferimento temporale ottenuto attraverso la procedura di conservazione dei documenti in conformita’ alle norme vigenti, ad opera di un pubblico ufficiale o di una pubblica amministrazione;
d) il riferimento temporale ottenuto attraverso l’utilizzo della marcatura postale elettronica ai sensi dell’art. 14 , comma 1, punto 1.4 della Convenzione postale universale, come modificata dalle decisioni adottate dal XXIII Congresso dell’Unione postale universale, recepite dal Regolamento di esecuzione emanato con il decreto del Presidente della Repubblica 12 gennaio 2007, n. 18.
1. Il certificatore accreditato genera un certificato qualificato per ciascuna delle chiavi di firma elettronica o qualificata utilizzate dal CNIPA per la sottoscrizione dell’elenco pubblico dei certificatori, lo pubblica nel proprio registro dei certificati e lo rende accessibile per via telematica al fine di verificare la validita’ delle chiavi utilizzate dal CNIPA Tali informazioni sono utilizzate, da chi le consulta, solo per le finalita’ consentite dalla legge.
2. Il certificatore accreditato garantisce l’interoperabilita’ del prodotto di verifica di cui all’art. 10 del presente decreto con i documenti informatici sottoscritti mediante firma digitale ad opera del CNIPA, nell’ambito delle attivita’ di cui all’art. 31 del codice.
3. Il certificatore accreditato mantiene copia della lista, sottoscritta dal CNIPA, dei certificati relativi alle chiavi di certificazione di cui all’art. 39, comma 1, lettera e) del presente decreto, che rende accessibile per via telematica per la specifica finalita’ della verifica delle firme digitali.
4. I certificatori accreditati, al fine di ottenere e mantenere il riconoscimento di cui all’art. 29, comma 1 del codice, svolgono la propria attivita’ in conformita’ con quanto previsto dalla Deliberazione CNIPA, 17 febbraio 2005, n. 4, recante regole per il riconoscimento e la verifica del documento informatico e successive modificazioni.
Titolo III – Certificatori accreditati
2. L’elenco pubblico e’ sottoscritto e reso disponibile per via telematica dal CNIPA al fine di verificare le firme digitali e diffondere i dati dei certificatori accreditati. Tali informazioni sono utilizzate, da chi le consulta, solo per le finalita’ consentite dalla legge. Il CNIPA stabilisce il formato dell’elenco pubblico attraverso propria Deliberazione.
3. L’elenco pubblico e’ sottoscritto dal Presidente del CNIPA o dai soggetti da lui designati, mediante firma elettronica o qualificata.
4. Nella Gazzetta Ufficiale della Repubblica Italiana e’ dato avviso:
d) della revoca dei certificati utilizzati per la sottoscrizione dell’elenco pubblico sopravvenuta per ragioni di sicurezza
1. Il certificatore indica nel manuale operativo i formati del documento informatico e le modalita’ operative a cui il titolare deve attenersi per evitare le conseguenze previste dall’art. 3, comma 3.
1. Il certificatore, su richiesta del titolare o del terzo interessato, e’ tenuto a inserire nel certificato qualificato eventuali limitazioni d’uso.
2. La modalita’ di rappresentazione dei limiti d’uso e di valore di cui all’articolo 28, comma 3, del codice e’ definita dal CNIPA con il provvedimento di cui all’art. 3, comma 2 del presente decreto.
2. Il CNIPA con il provvedimento di cui all’art. 3, comma 2, del presente decreto stabilisce le regole di interoperabilita’ per la verifica della marca temporale, anche associata al documento informatico cui si riferisce.
Titolo IV – Regole per la validazione temporale mediante marca temporale
1. Una evidenza informatica e’ sottoposta a validazione temporale mediante generazione e applicazione di una marca temporale alla relativa impronta.
3. L’evidenza informatica da sottoporre a validazione temporale puo’ essere costituita da un insieme di impronte.
d) identificativo del certificato relativo alla chiave di verificadella marca temporale;
2. La marca temporale puo’ inoltre contenere un codice identificativo dell’oggetto a cui appartiene l’impronta di cui al comma 1, lettera g).
2. Al fine di limitare il numero di marche temporali generate con la medesima coppia, le chiavi di marcatura temporale sono sostituite ed un nuovo certificato e’ emesso, in relazione alla robustezza delle chiavi crittografiche utilizzate, dopo non piu’ di tre mesi di utilizzazione, indipendentemente dalla durata del loro periodo di validita’ e senza revocare il corrispondente certificato. Detto periodo e’ indicato nel manuale operativo e ritenuto congruente alla presente disposizione dal CNIPA.
2. Il riferimento temporale contenuto nella marca temporale e’ specificato con riferimento al Tempo Universale Coordinato (UTC).
1. Qualsiasi anomalia o tentativo di manomissione che possa modificare il funzionamento del sistema di validazione temporale in modo da renderlo incompatibile con i requisiti previsti dal presente decreto, ed in particolare con quello di cui all’art. 47, comma 1, e’ annotato sul giornale di controllo e causa il blocco del sistema medesimo.
2. Il blocco del sistema di validazione temporale puo’ essere rimosso esclusivamente con l’intervento di personale espressamente autorizzato.
3. La verifica della conformita’ ai requisiti di sicurezza specificati nel presente articolo deve essere effettuata secondo criteri di sicurezza almeno equivalenti al livello EAL 3 della norma ISO/IEC 15408 o superiori. Sono ammessi livelli di valutazione internazionalmente riconosciuti come equivalenti, tra i quali quelli previsti dal livello di valutazione E2 e robustezza dei meccanismi HIGH dell’ITSEC.
2. La marca temporale e’ valida per il periodo di conservazione stabilito o concordato con il certificatore di cui al comma 1.
3. L’evidenza informatica puo’ essere sostituita da una o piu’ impronte, calcolate con funzioni di hash scelte dal certificatore tra quelle stabilite ai sensi dell’articolo 3 del presente decreto.
1. La firma digitale, ancorche’ sia scaduto, revocato o sospeso il relativo certificato qualificato del sottoscrittore, e’ valida se alla stessa e’ associabile un riferimento temporale opponibile ai terzi che colloca la generazione di detta firma digitale in un momento precedente alla sospensione, scadenza o revoca del suddetto certificato.
1. Qualora il certificatore qualificato cessi la propria attivita’ senza indicare un certificatore sostitutivo ai sensi dell’art. 37, comma 2, del codice e senza garantire la conservazione e la disponibilita’ della documentazione prevista dal codice e dal presente decreto, il CNIPA, nell’ambito dei poteri di vigilanza e controllo previsti dall’articolo 31 del codice, si rende depositario di quest’ultima.
2. Dall’entrata in vigore del presente decreto e’ abrogato il decreto del Presidente del Consiglio dei Ministri 13 gennaio 2004, recante le regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici, pubblicato nella Gazzetta Ufficiale 27 aprile 2004, n. 98.
Il presente decreto sara’ inviato ai competenti organi di controllo e pubblicato nella Gazzetta Ufficiale della Repubblica italiana.