Policy for digital fartskriver i Norge

Policy for digital fartskriver i Norge for Statens vegvesen (MSA) Statens vegvesen kortutstedelse (CIA) Leverandør av korttjenester (CP) Leverandør av MSCA-tjenester (MSCA) Versjon 2.4 30.9.2010 Statens vegvesen Vegdirektoratet

INNHOLDSFORTEGNELSE 1 INNLEDNING... 6 1.1 OVERSIKT OVER ROLLER OG ANSVARSFORDELING... 6 1.2 POLICYENS OMFANG OG AVGRENSNING... 7 1.3 GODKJENNING AV POLICY... 8 1.4 TILGJENGELIGHET... 8 1.5 LESEANVISNING... 8 2 ENDRINGER AV DENNE POLICYEN... 9 2.1 ENDRINGER SOM IKKE KREVER HØRINGSPERIODE... 9 2.2 ENDRINGER SOM KREVER HØRINGSPERIODE... 9 2.2.1 Høringsperiode... 9 2.2.2 Varsel om vedtatte endringer... 9 3 POLICY FOR MSA... 10 3.1 OPPGAVER OG ANSVAR... 10 3.2 MSAS ANSVAR OVERFOR BERØRTE PARTER... 10 3.2.1 Overfor ERCA... 10 3.2.2 Overfor CIA... 10 3.2.3 Overfor CP... 11 3.2.4 Overfor MSCA... 11 3.3 REVISJON AV CIA... 11 3.3.1 Godkjennelse... 11 3.3.2 Revisjon... 11 3.3.3 Tiltak som iverksettes som et resultat av mangler... 11 3.4 GODKJENNELSE OG REVISJON AV CP OG MSCA... 11 3.4.1 Godkjennelse... 11 3.4.2 Revisjon... 11 3.4.3 Tiltak som iverksettes som et resultat av mangler... 12 3.5 OVERFØRING AV ANSVAR TIL NY CP ELLER MSCA... 12 3.6 TERMINERING AV DIGITAL FARTSKRIVER... 12 4 POLICY FOR KORTUTSTEDER (CIA)... 14 4.1 OPPGAVER OG ANSVAR... 14 4.2 CIA ANSVAR OVERFOR BERØRTE PARTER... 14 4.2.1 Overfor MSA... 14 4.2.2 Overfor CP... 14 4.2.3 Overfor andre berørte parter... 14 4.3 PRACTICE STATEMENT OG SYSTEM FOR INFORMASJONSSIKKERHET (ISMS)... 14 4.4 GODKJENNELSE OG REVISJON... 15 4.4.1 Godkjennelse... 15 4.4.2 Revisjon... 15 4.5 SØKNADSPROSEDYRE... 15 4.5.1 Utforming av søknadsprosedyre og søknadsskjema... 15 4.5.2 Fartskriverkortenes gyldighetsperiode... 15 4.5.3 Behandling av søknad om fartskriverkort... 15 4.5.4 Behandling av søknad om fornyelseskort... 16 DIFAS policy v. 2.4 Side 2 av 46

4.5.5 Behandling av søknad om erstatningskort... 16 4.5.6 Behandling av søknad om utskifting av sjåførkort... 17 4.6 DATAUTVEKSLING... 17 4.6.1 Datautveksling med CP... 17 4.6.2 Datautveksling med andre land... 18 4.7 FARTSKRIVERKORT REGISTRERT SOM IKKE GYLDIG... 18 4.8 BEHANDLING AV INNLEVERTE OG RETURNERTE FARTSKRIVERKORT... 18 4.9 KRAV VED SØKNAD OG BRUK AV FARTSKRIVERKORT... 19 4.9.1 Søknad om fartskriverkort... 19 4.9.2 Bruk av fartskriverkort og PIN-kode... 19 4.10 YTTERLIGERE KRAV TIL INFORMASJONSSIKKERHET... 20 4.10.1 Klassifisering og sikring av informasjon... 20 4.10.2 Kommunikasjon og driftsadministrasjon... 20 4.10.3 Tilgangskontroll... 20 4.10.4 Datalagring... 21 4.10.5 Arkivering... 21 4.10.6 Organisatorisk sikkerhet... 21 4.10.7 Personellsikkerhet... 22 4.10.8 Systemutvikling og vedlikehold... 22 4.10.9 Kontinuitetsrutiner og katastroferapportering... 22 5 POLICY FOR LEVERANDØR AV KORTTJENESTER (CP)... 23 5.1 OPPGAVER OG ANSVAR... 23 5.2 ANSVAR OVERFOR BERØRTE PARTER... 23 5.2.1 Overfor MSA... 23 5.2.2 Overfor CIA... 23 5.2.3 Overfor MSCA... 23 5.3 PRACTICE STATEMENT OG SYSTEM FOR INFORMASJONSSIKKERHET (ISMS)... 24 5.4 GODKJENNELSE OG REVISJON... 24 5.4.1 Godkjennelse... 24 5.4.2 Revisjon... 24 5.5 HÅNDTERING AV FARTSKRIVERKORT... 24 5.5.1 Råkort... 24 5.5.2 Personalisering av fartskriverkort... 24 5.5.3 Kvalitet ved personalisering... 25 5.5.4 Forsendelse av fartskriverkort til kortbrukeren... 25 5.5.5 PIN-kode... 25 5.5.6 Makulering av fartskriverkort og PIN-koder... 26 5.6 HÅNDTERING AV KRYPTOGRAFISKE NØKLER... 26 5.6.1 RSA-nøkler... 26 5.6.2 Bevegelsesensornøkkel for verkstedskort (Km WC )... 27 5.7 HÅNDTERING AV SERTIFIKATFORESPØRSEL OG SERTIFIKATER... 27 5.7.1 Sertifikatforespørsel... 27 5.7.2 Sertifikat... 27 5.8 DATAUTVEKSLING... 27 5.8.1 Datautveksling CIA... 28 5.8.2 Datautveksling MSCA... 28 5.9 YTTERLIGERE KRAV TIL INFORMASJONSSIKKERHET... 28 5.9.1 Risikoanalyse... 28 DIFAS policy v. 2.4 Side 3 av 46

5.9.2 Sikkerhetspolicy... 28 5.9.3 Klassifisering og sikring av informasjon... 28 5.9.4 Kommunikasjon og driftsadministrasjon... 29 5.9.5 Tilgangskontroll... 29 5.9.6 Produksjonsstyring - produksjonslogger... 29 5.9.7 Datalagring... 30 5.9.8 Arkivering... 30 5.9.9 Organisatorisk sikkerhet... 30 5.9.10 Personellsikkerhet... 31 5.9.11 Underleverandør... 31 5.9.12 Fysisk og miljømessig sikkerhet... 31 5.9.13 Systemutvikling, vedlikehold og testprosedyrer... 32 5.9.14 Kontinuitetsrutiner og katastroferapportering... 32 5.10 OVERFØRING AV ANSVAR TIL NY CP... 33 5.11 TERMINERING AV DIGITAL FARTSKRIVER... 33 6 POLICY FOR LEVERANDØR AV MSCA-TJENESTER (MSCA)... 35 6.1 OPPGAVER OG ANSVAR... 35 6.2 ANSVAR OVERFOR BERØRTE PARTER... 35 6.2.1 Overfor MSA... 35 6.2.2 Overfor CP... 35 6.2.3 Overfor ERCA... 35 6.3 PRACTICE STATEMENT OG SYSTEM FOR INFORMASJONSSIKKERHET (ISMS)... 35 6.4 GODKJENNELSE OG REVISJON... 36 6.4.1 Godkjennelse... 36 6.4.2 Revisjon... 36 6.5 GENERERING OG FORVALTNING AV ROTNØKLER OG ROTSERTIFIKAT... 36 6.5.1 Forvaltning av rotnøkler og rotsertifikat inkl. bevegelsesensornøkkel... 36 6.5.2 ERCA rotnøkkel... 36 6.5.3 MSA rotnøkler... 36 6.5.4 Bevegelsesensornøkler... 38 6.5.5 Kompromittering av kryptografiske nøkler... 38 6.5.6 MSA rotsertifikat... 38 6.6 HÅNDTERING AV SERTIFIKATER OG SERTIFIKATFORESPØRSEL FOR FARTSKRIVERKORT 38 6.6.1 Sertifikatforespørsel fra CP... 38 6.6.2 Utstedelse av sertifikater... 39 6.6.3 Revokering av sertifikater... 39 6.7 DATAUTVEKSLING... 39 6.7.1 Datautveksling ERCA... 39 6.7.2 Datautveksling CP... 39 6.8 YTTERLIGERE KRAV TIL INFORMASJONSSIKKERHET... 39 6.8.1 Risikoanalyse... 39 6.8.2 Sikkerhetspolicy... 39 6.8.3 Klassifisering og sikring av informasjon... 40 6.8.4 Kommunikasjon og driftsadministrasjon... 40 6.8.5 Tilgangskontroll... 40 6.8.6 Produksjonsstyring - produksjonslogger... 41 6.8.7 Datalagring... 41 DIFAS policy v. 2.4 Side 4 av 46

6.8.8 Arkivering... 41 6.8.9 Organisatorisk sikkerhet... 41 6.8.10 Personellsikkerhet... 42 6.8.11 Underleverandør... 43 6.8.12 Fysisk og miljømessig sikkerhet... 43 6.8.13 Systemutvikling, vedlikehold og testprosedyrer... 44 6.8.14 Kontinuitetsrutiner og katastrofeplanlegging... 44 6.9 OVERFØRING AV ANSVAR TIL NY MSCA... 44 6.10 TERMINERING AV DIGITAL FARTSKRIVER... 45 7 REFERANSER... 46 FIGURLISTE Figur 1: Sammenheng mellom de enkelte rollene i digital fartskriver... 7 DIFAS policy v. 2.4 Side 5 av 46

1 Innledning Med digital fartskriver som begrep menes den samlingen av system, utstyr, lover og forskrifter som er nødvendig for å implementere forordning (EF) nr. 2135/98 (2135/98/EF) og forordning (EF) nr. 1360/2002 (1360/2002/EF) i Norge. Utstyret som skal monteres i kjøretøy som benyttes til vegtransport som er underlagt kjøre- og hviletidsreglene, er en kjøretøyenhet, en bevegelsesensor og en tilslutningskabel. I tillegg benyttes fartskriverkort av typen smartkort i kjøretøyenheten Digital fartskriver inneholder et sikkerhetssystem basert på kryptografiske nøkler og sertifikater. Det finnes et rotnivå som er felles for hele Europa, et nivå for medlemsstater og til slutt et nivå for fartskriversystemets utstyr. Fordi Norges system for digital fartskriver er en del av det totale systemet, må det stilles riktige krav til kvalitet, sikkerhet og kontroll i Norge for å ikke sette det totale systemets sikkerhet på spill. Dette dokumentet er en policy for sikkerhet i forbindelse med forvaltning av digital fartskriver i Norge. Det inneholder retningslinjer og regler for bruk ved utstedelse av fartskriverkort og andre aktuelle arbeidsprosesser, og for implementering i tilhørende systemer. Policyen er i overensstemmelse med følgende kravdokument som er utstedt av EUkommisjonen gjennom Digital Tachograph Root Certificate Authority, Joint Research Centre, ISPRA, Italia: Digital Tachograph System, European Root Policy (ERCA policy) Mer informasjon om digital fartskriver for de parter som er involvert i implementeringen av digital fartskriver finnes i Generell beskrivelse og definisjoner for digital fartskriver i Norge. Dette dokumentet gir en oversikt over aktuelt regelverk og tilgjengelig dokumentasjon, samt beskrivelse av de ulike roller, ansvarsforhold og arbeidsprosesser som inngår. 1.1 Oversikt over roller og ansvarsfordeling Statens vegvesen er ansvarlig for digital fartskriver i Norge og innehar rollen som MSA (Member State Authority). MSA er ansvarlig for denne policyen. MSA utpeker: Kortutsteder (CIA Card Issuing Authority) Leverandør av korttjenester (CP Card Personaliser), heretter kalt kortleverandør Leverandør av MSCA-tjenester (MSCA Member State Certification Authority) DIFAS policy v. 2.4 Side 6 av 46

Ansvarlig for digital fartskriver i Norge MSA Statens vegvesen Kortutsteder CIA Statens vegvesen Avtale Avtale Kortleverandør CP Foretak med avtale med MSA Leverandør av MSCA-tjenester MSCA Foretak med avtale med MSA Figur 1: Sammenheng mellom de enkelte rollene i digital fartskriver Kortutsteder (CIA) er Statens vegvesen. CIA har ansvar for utstedelse av fartskriverkort, med tilhørende prosesser og systemer. Kortleverandør (CP) skal ha avtale med MSA om personalisering og forsendelse av fartskriverkort. Leverandør av MSCA-tjenester (MSCA) skal ha avtale med MSA om generering og forvaltning av rotnøkler og rotsertifikat, og generering av sertifikat for fartskriverkort. 1.2 Policyens omfang og avgrensning Denne policyen omfatter og stiller krav til rollene MSA (Statens vegvesen) CIA (Statens vegvesen) CP (ekstern leverandør) MSCA (ekstern leverandør) Denne policyen omfatter ikke forhold knyttet direkte til kjøretøyenheter eller bevegelsesensorer. DIFAS policy v. 2.4 Side 7 av 46

1.3 Godkjenning av policy De deler av denne policyen som omfattes av ERCA policy kapittel 5.3, skal godkjennes av ERCA. Hvis MSA foretar endringer i denne policy og fastslår at endringene har vesentlig betydning og berører de punkter som omfattes av ERCA policy, skal MSA sende aktuelle deler av den reviderte policyen til ERCA for ny godkjenning. 1.4 Tilgjengelighet Denne policyen er offentlig tilgjengelig. 1.5 Leseanvisning Alle berørte parter (MSA, CIA, CP og MSCA) bør lese dokumentet Generell beskrivelse og definisjoner for digital fartskriver i Norge og hele denne policyen. Alle berørte parter skal forholde seg til følgende kapitler i denne policyen i tillegg til kapitlet om sin egen rolle kapittel 1 kapittel 2 kapittel 3 Alle krav er nummererte med et kapittelnummer avsluttet med en bokstav. Bokstaven begynner med a for det første kravet, b for det neste osv. Eks.: Krav nummer 5.2.a er første krav i kapittel 5.2 osv DIFAS policy v. 2.4 Side 8 av 46

2 Endringer av denne policyen 2.a MSA kan vedta endringer i denne policyen. 2.1 Endringer som ikke krever høringsperiode 2.1.a De eneste endringene som kan gjøres i denne policyen uten høringsperiode er redaksjonelle endringer endringer av organisatoriske benevnelser endringer som kun berører MSA og CIA 2.1.b Alle berørte parter varsles umiddelbart. 2.2 Endringer som krever høringsperiode 2.2.1 Høringsperiode 2.2.a Øvrige forslag til endringer i denne policyen skal sendes på høring med høringsfrist på 15 dager til berørte parter (CIA, CP, MSCA). 2.2.2 Varsel om vedtatte endringer 2.2.b Endringer som MSA anser ikke i vesentlig grad vil påvirke berørte parter, skal varsles til berørte parter minst 30 dager før endringen trer i kraft. 2.2.c Endringer som MSA anser i vesentlig grad påvirker berørte parter, skal varsles minst 60 dager før endringen trer i kraft. DIFAS policy v. 2.4 Side 9 av 46

3 Policy for MSA 3.1 Oppgaver og ansvar 3.1.a MSA er ansvarlig for digital fartskriver i Norge. 3.1.b MSA er ansvarlig for å vedlikeholde denne policyen o informere berørte parter om denne policyen o påse at aktuelle deler av denne policyen blir godkjent av ERCA stille nødvendige krav til kortutstedelsesprosessen utpeke CIA o godkjenne CIAs Practice Statement o utføre revisjon av CIAs virksomhet inngå avtale med CP o godkjenne CPs Practice Statement o utføre revisjon av CPs virksomhet inngå avtale med MSCA o godkjenne MSCAs Practice Statement o utføre revisjon av MSCAs virksomhet informere ERCA om hvem som er utpekt som MSCA i Norge etablere og gjennomføre strategi for produksjon og utstedelse av fartskriverkort etablere og håndheve regler og retningslinjer for utstedelse og administrasjon av fartskriverkort etablere og håndheve regler og retningslinjer for bruk av fartskriverkort etablere og håndheve regelverk for verksteder som jobber med digital fartskriver 3.2 MSAs ansvar overfor berørte parter 3.2.1 Overfor ERCA 3.2 a MSA skal følge ERCA policy. 3.2 b MSA er ansvarlig for at aktuelle deler av denne policyen blir godkjent av ERCA. 3.2.c MSA skal uten forsinkelse sørge for at ERCA blir informert dersom det har inntruffet en sikkerhetshendelse slik at rotnøklene (MSA rotnøkler eller Km WC ) er kommet på avveie eller på annen måte er kompromittert, eller dersom det foreligger mistanke om at slike forhold har inntruffet. En sikkerhetshendelse er en handling eller tilstand som kan utsette verdier for risiko i form av manglende konfidensialitet, integritet eller tilgjengelighet. 3.2.d MSA skal gi ERCA den informasjon ERCA har behov for under utredning av sikkerhetshendelser som nevnt i 3.2.c. 3.2.2 Overfor CIA 3.2 e MSA er ansvarlig for å gi CIA nødvendig informasjon for at CIA skal kunne oppfylle sin rolle. DIFAS policy v. 2.4 Side 10 av 46

3.2.3 Overfor CP 3.2 f MSA er ansvarlig for å gi CP nødvendig informasjon for at CP skal kunne oppfylle sin rolle. 3.2.4 Overfor MSCA 3.2 g MSA er ansvarlig for å gi MSCA nødvendig informasjon for at MSCA skal kunne oppfylle sin rolle. 3.2.h MSA er ansvarlig for å formidle informasjon om hvordan MSCA kan kontakte og samarbeide med ERCA. 3.3 Revisjon av CIA 3.3.1 Godkjennelse 3.3.a MSA skal godkjenne CIAs Practice Statement. 3.3.b MSA skal godkjenne endringer av CIAs Practice Statement. 3.3.2 Revisjon 3.3.c MSA er ansvarlig for å gjennomføre revisjon av CIA innen 12 måneder fra oppstart etter godkjent policy. Når revisjonen ikke finner avvik, skal neste revisjon avholdes innen 24 måneder. Når revisjonen finner avvik, skal neste revisjon avholdes innen 12 måneder. 3.3.d Revisjonen skal vurdere i hvilken grad CIA oppfyller sin Practice Statement og dermed denne policyen. 3.3.e Revisjonsrapport på engelsk skal sendes til ERCA. 3.3.3 Tiltak som iverksettes som et resultat av mangler 3.3.f Hvis MSA påpeker brudd eller mangler under revisjonen, skal MSA kreve at passende tiltak for utbedring iverksettes av CIA. MSA skal sette en tidsfrist for ferdigstillelse av tiltak for utbedring. 3.4 Godkjennelse og revisjon av CP og MSCA 3.4.1 Godkjennelse 3.4.a MSA skal godkjenne Practice Statement for CP og MSCA. 3.4.b MSA skal godkjenne endringer av Practice Statement for CP og MSCA. 3.4.2 Revisjon 3.4.c MSA er ansvarlig for å gjennomføre revisjon av CP og MSCA innen 12 måneder fra DIFAS policy v. 2.4 Side 11 av 46

oppstart etter godkjent policy. Når revisjonen ikke finner avvik, skal neste revisjon avholdes innen 24 måneder. Når revisjonen finner avvik, skal neste revisjon avholdes innen 12 måneder. 3.4.d Revisjonen skal vurdere i hvilken grad CP og MSCA oppfyller sin Practice Statement og dermed denne policyen. 3.4.e Revisjonen skal også omfatte underleverandører som MSA har bestemt skal inngå i revisjonen. 3.4.f Revisjonsrapport på engelsk skal sendes til ERCA. 3.4.3 Tiltak som iverksettes som et resultat av mangler 3.4.g Hvis MSA påpeker brudd eller mangler under revisjonen, skal MSA kreve at passende tiltak for utbedring iverksettes av berørt part. MSA skal sette en tidsfrist for ferdigstillelse av tiltak for utbedring. 3.5 Overføring av ansvar til ny CP eller MSCA Årsaker til overføring av ansvar kan for eksempel være at avtaletiden utløper at avtalen heves på grunn av mislighold at virksomheten til leverandør av korttjenester eller leverandør av MSCA-tjenester opphører 3.5.a MSA skal påse at CP og MSCA enten overleverer alle aktuelle og relevante data til MSA og/eller makulerer dem. Det er MSA som avgjør hvilke data som er aktuelle og relevante samt om data skal overleveres og/eller makuleres. 3.5.b MSA skal beslutte om personaliserte fartskriverkort skal sendes til kortbrukere, overføres til den nye CP, eller sendes til CIA. 3.6 Terminering av digital fartskriver Terminering av digital fartskriver kan skje om Norge ikke lenger er ansvarlig for å opprettholde digital fartskriver eller om det flernasjonale systemet av digitale fartskrivere opphører å gjelde, eller av andre grunner. 3.6.a MSA skal påse at alle berørte parter, inkl. kortbrukere, blir informert på en tilfredsstillende måte om terminering. 3.6.b MSA skal påse at CP og MSCA enten overleverer alle aktuelle og relevante data til MSA eller makulerer den. Det er MSA som avgjør om data skal arkiveres eller makuleres. 3.6.c MSA skal påse at ingen fartskriverkort blir sendt fra CP etter at beslutning om terminering er iverksatt. MSA avgjør om personaliserte fartskriverkort skal sendes til MSA DIFAS policy v. 2.4 Side 12 av 46

eller makuleres. 3.6.d MSA skal påse at alle private rotnøkler er makulert og at alle offentlige rotnøkler lagres. DIFAS policy v. 2.4 Side 13 av 46

4 Policy for kortutsteder (CIA) 4.1 Oppgaver og ansvar 4.1.a CIA har som hovedoppgave å utstede fartskriverkort i henhold til denne policyen. 4.1.b CIAs ansvar består i å utforme, implementere og vedlikeholde søknadsprosedyre og søknadsskjema motta, registrere og behandle søknader om fartskriverkort informere korteierne og kortbrukerne om de regler og retningslinjer som er knyttet til bruk av systemet lagre og forvalte nødvendige data om personaliserte fartskriverkort tilgjengeliggjøre for CP riktige og relevante data som underlag for produksjon av fartskriverkort tilgjengeliggjøre nødvendige data om fartskriverkortene for andre berørte parter (nasjonalt og internasjonalt) kommunisere med andre land ved hjelp av TACHOnet eller andre løsninger motta innleverte fartskriverkort og håndtere disse. Sikre at de som skal makuleres blir makulert og at utenlandske kort blir sendt til utstedende myndighet i medlemsstaten utvikle og vedlikeholde IT-system for utstedelse og administrasjon av fartskriverkort utarbeide PS og få den godkjent av MSA 4.2 CIA ansvar overfor berørte parter 4.2.1 Overfor MSA 4.2.a CIA skal følge de krav som MSA stiller i denne policy. 4.2.2 Overfor CP 4.2.b CIA skal følge de krav til datautveksling med CP som finnes i denne policyen og i gjeldende avtale mellom MSA og CP. 4.2.3 Overfor andre berørte parter 4.2.c CIA skal ved behov gjøre data om fartskriverkort tilgjengelig for andre berørte parter som for eksempel kontrollmyndigheter i Norge og andre land som har implementert digital fartskriver (forordning 2135/98/EF) kortutstedere (CIA) i andre medlemsstater EU-kommisjonen 4.3 Practice Statement og system for informasjonssikkerhet (ISMS) 4.3.a CIA skal dokumentere i en Practice Statement, med referanser til denne policyen, hvordan kravene i denne policyen i praksis oppfylles. 4.3.b CIA skal ha et system for informasjonssikkerhet (ISMS). DIFAS policy v. 2.4 Side 14 av 46

4.4 Godkjennelse og revisjon 4.4.1 Godkjennelse 4.4.a CIA skal ikke starte produksjon av fartskriverkort før Practice Statement er godkjent av MSA. 4.4.b CIA skal når det er behov for å endre Practice Statement, sende forslaget til den oppdaterte Practice Statement til MSA for godkjennelse. Den oppdaterte Practice Statement skal ikke tre i kraft før den er godkjent. 4.4.2 Revisjon 4.4.c CIA skal yte nødvendig bistand for at MSA skal kunne utføre revisjon som beskrevet i kapittel 3.3.2. 4.4.d CIA skal innenfor den tidsrammen som angis av MSA, iverksette de tiltak MSA pålegger ved revisjon. 4.5 Søknadsprosedyre 4.5.1 Utforming av søknadsprosedyre og søknadsskjema 4.5.1.a CIA skal utforme en søknadsprosedyre som sikrer at data som er nødvendige for behandling av søknaden blir innhentet. 4.5.1.b CIA skal informere søkeren om aktuelle regler og retningslinjer for eier og bruker av fartskriverkort. 4.5.2 Fartskriverkortenes gyldighetsperiode 4.5.2.a Følgende gyldighetsperioder skal benyttes ved utstedelse av fartskriverkort: Sjåførkort skal ha en gyldighetsperiode på fem år. Verkstedkort skal ha en gyldighetsperiode på ett år. Kontrollkort skal ha en gyldighetsperiode på fem år. Bedriftkort skal ha en gyldighetsperiode på fem år. 4.5.3 Behandling av søknad om fartskriverkort 4.5.3.a CIA skal entydig identifisere fremtidig korteier/kortbruker. 4.5.3.b CIA er ansvarlig for å generere unike kortnumre og holde rede på hvilket fartskriverkort og kortnummer som er utstedt til den enkelte korteier. 4.5.3.1 Sjåførkort 4.5.3.c Sjåførkort skal kun utstedes til personer som har vanlig bosted i Norge. 4.5.3.d CIA skal ved utstedelse, så langt som mulig, påse at søkeren ikke allerede har gyldig sjåførkort. DIFAS policy v. 2.4 Side 15 av 46

4.5.3.e Sjåførkort skal bare utstedes til personer som har førerkort. 4.5.3.2 Verkstedkort 4.5.3.f Verkstedkort skal bare utstedes til godkjente verksteder for digital fartskriver i Norge og skal bare personaliseres på personer (kortbrukere) utpekt av verkstedet (korteier). 4.5.3.3 Kontrollkort 4.5.3.g Kontrollkort skal bare utstedes til Statens vegvesen eller politiet (korteier) og skal bare personaliseres på personer som er utpekt som kortbruker av disse. 4.5.3.4 Bedriftkort 4.5.3.hBedriftkort skal bare utstedes til norske brukere og eiere av kjøretøy utstyrt med digital fartskriver. 4.5.4 Behandling av søknad om fornyelseskort 4.5.4.a Første gyldighetsdato på fornyelseskortet skal normalt ikke være tidligere enn den samme dato det gamle fartskriverkortet utløper. Første gyldighetsdato kan settes tidligere, dersom det gamle fartskriverkortet innleveres. Unntak fra krav om innlevering kan gjøres hvis det gamle fartskriverkortet er meldt tapt eller stjålet jf. 4.5.5, 4.7 og 4.9.2.1 og det tapte kortet nærmer seg utløpsdato. I et slikt tilfelle skal en kopi av tapsmeldingen vedlegges søknad om fornyelse. 4.5.4.b En korteier som har etablert vanlig bosted i Norge og trenger å fornye sitt sjåførkort utstedt i et annet land skal søke om utskifting av kort i henhold til 4.5.6.1 isteden for å søke om fornyelseskort. 4.5.5 Behandling av søknad om erstatningskort 4.5.5.a CIA skal utstede erstatningskort til korteiere som søker om dette når deres fartskriverkort er stjålet, tapt eller har funksjonsfeil. 4.5.5.b CIA skal påse at erstatningskort får samme gyldighetsperiode som det opprinnelige fartskriverkortet. 4.5.5.c Om det opprinnelige fartskriverkortet nærmer seg utløpsdato kan korteieren søke om fornyelseskort i stedet. 4.5.5.d En korteier som har etablert vanlig bosted i Norge og trenger å erstatte sitt sjåførkort utstedt i et annet land, skal søke om utskifting av kort i henhold til 4.5.6.1 isteden for å søke om erstatningskort. 4.5.5.1 Stjålne og tapte kort 4.5.5.e CIA skal sjekke at korteieren har meldt sitt fartskriverkort stjålet eller tapt før et erstatningskort utstedes. DIFAS policy v. 2.4 Side 16 av 46

4.5.5.2 Kort med funksjonsfeil 4.5.5.f CIA skal sørge for at erstatningskort ikke blir levert til korteier før det eksisterende fartskriverkortet er innlevert til CIA. 4.5.6 Behandling av søknad om utskifting av sjåførkort 4.5.6.1 Utskifting ved flytting til Norge 4.5.6.a En korteier som bosetter seg i Norge kan søke om å skifte ut sitt sjåførkort med et nytt sjåførkort utstedt i Norge. 4.5.6.b Utskifting av sjåførkort skal følge reglene for førstegangsutstedelse av fartskriverkort. 4.5.6.c CIA skal sørge for at det nye sjåførkortet ikke blir levert til korteier før det gamle fartskriverkortet er innlevert til CIA. Unntak fra krav om innlevering kan gjøres hvis det gamle sjåførkortet er meldt tapt eller stjålet jf. 4.5.5 og 4.9.2.1. I et slikt tilfelle skal en kopi av tapsmeldingen vedlegges søknad om utskifting, og CIA skal kontrollere med det gamle sjåførkortets CIA at sjåførkortet er registrert tapt eller stjålet. 4.5.6.d CIA skal sende melding til det gamle sjåførkortets CIA om at utskifting er foretatt. 4.5.6.2 Utskifting ved endring av administrative data 4.5.6.e En korteier som endrer administrative data kan søke om å skifte ut sitt fartskriverkort. 4.5.6.f Utskiftning av fartskriverkort skal følge reglene for utstedelse av fornyelseskort. 4.5.6.g CIA skal sørge for at det nye sjåførkortet ikke blir levert til korteier før det eksisterende fartskriverkortet er innlevert til CIA. 4.5.6.h Ved endring av personnummer skal regler for førstegangsutstedelse brukes. 4.6 Datautveksling 4.6.a CIA skal påse at autentisitet, integritet og konfidensialitet sikres for data om fartskriverkort som utveksles med andre parter. 4.6.1 Datautveksling med CP 4.6.b CIA skal gjøre en kortbestilling med alle nødvendige data tilgjengelig for CP samme dag som søknaden er godkjent. 4.6.c CIA skal påse at CP har mottatt kortbestillingen. 4.6.d CIA skal bekrefte til CP at data om personaliserte fartskriverkort er mottatt. DIFAS policy v. 2.4 Side 17 av 46

4.6.2 Datautveksling med andre land 4.6.e CIA skal gjøre nødvendige data om fartskriverkort tilgjengelige for andre land ved f.eks. bruk av TACHOnet. 4.7 Fartskriverkort registrert som ikke gyldig 4.7.a Fartskriverkort som av korteier eller kortbruker er meldt stjålet eller tapt skal registreres av CIA som ikke gyldig. 4.7.b Fartskriverkort som er innlevert til Statens vegvesen eller politiet skal registreres av CIA som ikke gyldig. 4.7.c Fartskriverkort som er tilbakekalt/inndratt/beslaglagt skal registreres av CIA som ikke gyldig. 4.7.d Om CIA får informasjon som påviser at et kort skal tilbakekalles eller inndras, skal CIA registrere fartskriverkortet som ikke gyldig. 4.7.e Dersom et fartskriververksted mister godkjenningen eller opphører å eksistere skal alle verkstedkort innleveres til CIA, og CIA skal registrere verkstedkortene som ikke gyldig. 4.7.f Dersom en bedrift opphører å eksistere skal CIA registrere bedriftkortene som ikke gyldig. 4.7.g CIA kan levere tilbake et innlevert/inndratt/beslaglagt fartskriverkort til korteier/kortbruker dersom CIA lager rutiner og regler for dette. Dette skal inkludere at fartskriverkortet registreres som gyldig. 4.7.h Om CIA får informasjon fra CP om at et distribuert fartskriverkort har en nøkkel som er mistenkt kompromittert eller CIA får informasjon om at kortet har annen alvorlig feil, skal kortet tilbakekalles og CIA registrere fartskriverkortet som ikke gyldig. 4.7.i Korteier kan søke om erstatningskort dersom kortet er tilbakekalt i henhold til 4.7.h og det gamle kortet er innlevert. 4.8 Behandling av innleverte og returnerte fartskriverkort 4.8.a Innleverte fartskriverkort skal behandles og oppbevares på en sikker måte. 4.8.b CIA skal ha dokumenterte rutiner for behandling av innleverte fartskriverkort med funksjonsfeil. 4.8.c CIA er ansvarlig for å makulere innleverte fartskriverkort som er utstedt i Norge, i henhold til fastsatte rutiner. 4.8.d Makulering av fartskriverkort skal gjøres både fysisk og elektronisk. DIFAS policy v. 2.4 Side 18 av 46

4.8.e CIA skal sende innleverte sjåførkort til den CIA som har utstedt det. 4.9 Krav ved søknad og bruk av fartskriverkort 4.9.1 Søknad om fartskriverkort 4.9.a CIA skal informere søkeren (korteier) om at han/hun skal oppgi nøyaktig og fullstendig informasjon i sin søknad om fartskriverkort. 4.9.b CIA skal påse at søknad om fartskriverkort er signert av søkeren (korteier). Søkeren bekrefter gjennom signatur at informasjonen i søknaden er korrekt og at han/hun er kjent med aktuelle deler av gjeldende regler og retningslinjer for eieren og brukeren. 4.9.c CIA skal påse at søknad om verkstedkort også er signert av kortbruker. 4.9.d CIA skal påse at en korteier/kortbruker ikke normalt er eier/bruker av både et verkstedkort og et bedriftkort. Hvis søkeren har behov for begge disse typer, skal CIA påse at en utførlig begrunnelse legges ved søknaden. 4.9.e CIA skal informere om at en korteier kan søke om erstatningskort uten kostnad dersom: han/hun har fått sitt fartskriverkort registrert ikke gyldig på grunn av nøkkelkompromittering hos CP det har skjedd feil i løpet av utstedelsen av fartskriverkortet som søkeren ikke er ansvarlig for 4.9.2 Bruk av fartskriverkort og PIN-kode 4.9.f CIA skal informere søkeren (korteier/kortbruker) om følgende krav: En kortbruker skal bare bruke fartskriverkort han/hun er autorisert til å bruke. En kortbruker kan bare inneha ett gyldig sjåførkort. En kortbruker skal ikke benytte et ødelagt eller ugyldig fartskriverkort. Fartskriverkort, nøkler og sertifikat skal bare brukes i digital fartskriver. Fartskriverkort skal brukes og håndteres slik at uautorisert bruk unngås. PIN-koden skal brukes og håndteres slik at uautorisert bruk unngås. 4.9.2.1 Tap og tyveri av fartskriverkort 4.9.g CIA skal informere korteier/kortbruker om at dersom et fartskriverkort er tapt eller stjålet, skal han/hun melde fra om dette til CIA så fort som mulig. DIFAS policy v. 2.4 Side 19 av 46

4.9.2.2 Fartskriverkort med funksjonsfeil 4.9.h CIA skal informere korteier/kortbruker om at dersom et fartskriverkort har funksjonsfeil, skal han/hun melde fra om dette til CIA så snart som mulig. 4.9.2.3 Fartskriverkort som er tilbakekalt/inndratt/beslaglagt 4.9.i Dersom CIA eller kontrollmyndigheten fatter vedtak om tilbakekalling /inndraging /beslaglegging, skal CIA informere korteier/kortbruker om at han/hun plikter å innlevere kortet snarest mulig. 4.10 Ytterligere krav til informasjonssikkerhet 4.10.1 Klassifisering og sikring av informasjon 4.10.1.a CIA skal forsikre seg om at deres informasjonsaktiva får et passende beskyttelsesnivå for å tilfredsstille de krav som stilles i denne policy. 4.10.1.b All informasjon om personer eller virksomheter som ikke fremkommer visuelt på utstedte fartskriverkort eller sertifikater skal behandles konfidensielt. 4.10.2 Kommunikasjon og driftsadministrasjon 4.10.2.a CIA skal beskytte integriteten til IT-system, IT-sikkerhetsarkitektur og elektronisk lagrede data mot fiendtlig kode. 4.10.2.b CIA skal ha beskyttelsesfunksjoner for å tilfredsstille de krav som stilles i denne policy. Dette inkluderer brannvegg m.m. for å beskytte interne nettverk fra eksterne nettverk (som kan nås av en tredje part). 4.10.2.c CIA skal beskytte virksomhetskritiske data ved kommunikasjon over eksterne nettverk (som kan nåes av en tredje part). 4.10.2.d CIA skal sikre at systemet er tilgjengelig og har riktig funksjonalitet. 4.10.2.e CIA skal ha rutiner for sikkerhetskopiering av viktig informasjon (kortdatabaser etc.) og IT-system. 4.10.2.f CIA skal lagre sikkerhetskopier på et sikkert sted, fysisk avskilt, fra lokalene til det administrative støttesystemet. 4.10.2.g CIA skal påse at sikkerhetskopiene under oppbevaringstiden skal kunne gjenopprette IT-systemet. 4.10.3 Tilgangskontroll 4.10.3.a CIA skal sikre alle nødvendige data om fartskriverkort mot uautorisert tilgang. DIFAS policy v. 2.4 Side 20 av 46

4.10.3.1 Styring av brukertilgang 4.10.3.b CIA skal ha tilgangskontroll og sporbarhet ned på individnivå i sine IT-system. 4.10.3.c Hver brukerkonto skal ha begrensning i rettighet avhengig av rollen som kontoinnehaveren har. 4.10.3.2 Overvåkning av systemtilgang og systembruk 4.10.3.d CIA skal kontrollere tilgang og bruk av vitale IT-system gjennom regelmessig innsamling og analyse av relevant informasjon. Resultatet av denne kontrollen skal lagres som kontrollinformasjon. 4.10.3.e CIA skal påse at slik kontrollinformasjon er integritetsbeskyttet på en hensiktsmessig måte. 4.10.3.f CIA skal gjøre kontrollinformasjonen tilgjengelige for MSA på forespørsel. 4.10.4 Datalagring 4.10.4.a CIA skal lagre nødvendige data om alle fartskriverkort der følgende knytninger finnes: Fartskriverkort (kortnummer) koblet til korteier, kortbruker, ESN og sertifikat Fartskriverkort (kortnummer) og status ( gyldig, ikke gyldig og eventuelle andre status og statusflagg) 4.10.5 Arkivering 4.10.5.a CIA skal arkivere følgende informasjon søknader med vedlegg nødvendige data om fartskriverkortene kontrollinformasjon meldinger om tapte og stjålne fartskriverkort 4.10.5.b CIA skal oppbevare arkivene iht. lover og forskrifter for arkivering. 4.10.5.c CIA skal oppbevare nødvendige arkiver slik at det dekker to ganger gyldighetstiden for korttypen med lengst livstid. 4.10.5.d CIA skal sikre at arkivet er tilgjengelig og beholder sin integritet under hele lagringstiden selv om CIA får avbrudd eller legges ned. 4.10.5.e CIA skal påse at arkivert informasjon sikres mot uautorisert tilgang. 4.10.5.f CIA skal gjøre arkivert informasjon tilgjengelig for MSA på forespørsel. 4.10.6 Organisatorisk sikkerhet 4.10.6.a CIA skal ha en rollebasert organisasjon. DIFAS policy v. 2.4 Side 21 av 46

4.10.6.b CIA skal definere og dokumentere ansvar for minst tre forskjellige tiltrodde roller. Forslag til tiltrodde roller er: 1. Saksbehandler; den som registrerer og behandler søknader. 2. Systemadministrator; den som administrerer DIFAS støttesystem. 3. Informasjonssikkerhetsansvarlig; den som er ansvarlig for sikkerheten i systemet og Practice Statement (sikkerhetsrutiner). 4.10.6.c CIA skal utnevne minst en person til hver definert tiltrodd rolle og samme person skal ikke ha mer enn en tiltrodd rolle. 4.10.7 Personellsikkerhet 4.10.7.a Personer i tiltrodde roller skal ha rett kompetanse for aktuell rolle ikke ha andre plikter som kan komme i konflikt med aktuell rolle 4.10.7.b CIA skal påse at personell i tiltrodde roller og andre berørte personer skal være bevisst trusler, risikoer og gjeldende sikkerhetsrutiner (for eksempel katastroferapportering i henhold til 4.10.9) innen sitt ansvarsområde. 4.10.8 Systemutvikling og vedlikehold 4.10.8.a CIA skal i sine utviklingsprosjekter dokumentere hvordan de kan sikre utstyr og ITsystem. 4.10.8.b CIA skal ha prosedyrer for endrings- og versjonshåndtering. 4.10.8.c CIA skal ha nødvendige testprosedyrer for å kontrollere IT-systemene og endringer i disse før de settes i produksjon. 4.10.9 Kontinuitetsrutiner og katastroferapportering 4.10.9.a CIA skal ha etablerte og dokumenterte kontinuitetsrutiner som skal inkludere, men ikke begrenses til hendelser som kompromittering av nøkler tap av data på grunn av f.eks. tyveri, brann, maskinvare- eller programvarefeil andre typer av feil og avbrudd i IT-system 4.10.9.b CIA skal ha en katastrofeplan, dvs. etablerte og dokumenterte rutiner for å forebygge og minimere effektene av katastrofer. 4.10.9.c CIA skal ha etablerte og dokumenterte rutiner for rapportering til MSA ved eventuelle katastrofer. DIFAS policy v. 2.4 Side 22 av 46

5 Policy for leverandør av korttjenester (CP) 5.1 Oppgaver og ansvar 5.1. a CPs hovedoppgave er å personalisere og sende fartskriverkort og PIN-koder. CPs ansvar består blant annet i å anskaffe EF-typegodkjente råkort kommunisere med CIA o motta/hente nødvendige data for personalisering av fartskriverkort o tilgjengeliggjøre data for personaliserte fartskriverkort (sertifikat og ESN) samt statusmelding o ved forespørsel tilgjengeliggjøre status på produksjon av bestilt fartskriverkort kommunisere med MSCA o tilgjengeliggjøre sertifikatforespørsel o ta imot sertifikat foreta nøkkelgenerering for fartskriverkort håndtere ERCA offentlig nøkkel (EUR.PK), bevegelsesensornøkkel (Km WC ) og rotsertifikat (MS.C) personalisere fartskriverkort visuelt personalisere fartskriverkort elektronisk sende fartskriverkort til angitt mottaker generere og sende PIN-koder for verkstedkort foreta kvalitetskontroll inkl. nødvendige tester av personaliseringen foreta produksjonsmakulering av fartskriverkort og PIN-koder foreta eventuell annen makulering av fartskriverkort på oppdrag av CIA (det skal inngås en separat avtale for en slik tjeneste) utarbeide PS og få den godkjent av MSA 5.1.b CP skal ha klart definerte og atskilte prosesser hvis produksjon av fartskriverkort skjer for flere medlemsstater. 5.2 Ansvar overfor berørte parter 5.2.1 Overfor MSA 5.2.a CP skal følge de krav som MSA stiller i denne policy. 5.2.b CP er ansvarlig for at eventuelle underleverandører følger denne policy. 5.2.c CP skal orientere MSA om bruk av eventuelle underleverandører. 5.2.2 Overfor CIA 5.2.d CP skal følge de regler som gjelder for datautveksling med CIA. 5.2.3 Overfor MSCA 5.2.e CP skal følge de regler som gjelder for datautveksling med MSCA. DIFAS policy v. 2.4 Side 23 av 46

5.3 Practice Statement og system for informasjonssikkerhet (ISMS) 5.3.a CP skal dokumentere i en Practice Statement, med referanser til denne policyen, hvordan kravene i denne policyen i praksis oppfylles. 5.3.b CP skal ha et system for informasjonssikkerhet (ISMS) i henhold til standarden ISO 17799 eller tilsvarende standard. 5.4 Godkjennelse og revisjon 5.4.1 Godkjennelse 5.4.a CP skal ikke starte produksjon før Practice Statement er godkjent av MSA. 5.4.b CP skal når det er behov for å endre Practice Statement, sende forslaget til den oppdaterte Practice Statement til MSA for godkjennelse. Den oppdaterte Practice Statement skal ikke tre i kraft før den er godkjent. 5.4.2 Revisjon 5.4.c CP skal yte nødvendig bistand for at MSA skal kunne utføre revisjon som beskrevet i kapittel 3.4.2. 5.4.d CP skal innenfor den tidsrammen som angis av MSA, iverksette de tiltak MSA pålegger ved revisjon. 5.5 Håndtering av fartskriverkort 5.5.1 Råkort 5.5.a CP skal bare bruke typegodkjente råkort. 5.5.2 Personalisering av fartskriverkort 5.5.b CP skal personalisere fartskriverkort både visuelt og elektronisk. 5.5.2.1 Visuell personalisering 5.5.c CP skal personalisere fartskriverkort visuelt iht. "Beskrivelse av fartskriverkort for digital fartskriver i Norge". 5.5.2.2 Elektronisk personalisering 5.5.d CP skal personalisere fartskriverkort elektronisk iht. "Beskrivelse av fartskriverkort for digital fartskriver i Norge". 5.5.e CP er ansvarlig for at fartskriverkortets private nøkkel (card.sk) legges inn i fartskriverkortet uten at den har forlatt miljøet for nøkkelgenerering. Dette miljøet må DIFAS policy v. 2.4 Side 24 av 46

garantere at ingen personer, uten unntak, kan få kontroll over den genererte private nøkkelen uten at det oppdages. Generering av nøkler direkte i kortets chip oppfyller dette krav. 5.5.f CP skal sette Km WC inn i alle verkstedkort. 5.5.g CP skal sette EUR.PK og MS.C inn i alle fartskriverkort. 5.5.3 Kvalitet ved personalisering 5.5.h Det skal finnes dokumenterte rutiner for å sikre at den visuelle informasjonen og den elektroniske informasjonen stemmer overens med hverandre og samsvarer med riktige korteiere og kortbrukere. 5.5.i Det skal finnes dokumenterte rutiner for å håndtere feil og stopp i produksjons- og forsendelsesprosessen. 5.5.j CP skal ha testprosedyrer for å sikre kvaliteten på de personaliserte fartskriverkortene. 5.5.4 Forsendelse av fartskriverkort til kortbrukeren 5.5.k Alle personaliserte fartskriverkort skal sendes ut raskest mulig, slik at lagringstiden hos CP er kortest mulig håndteres og oppbevares på en sikker måte før det sendes til angitt mottaker (korteier/kortbruker eller CIA) Dette skal dokumenteres i rutiner for personaliserings- og forsendelsesprosessen. 5.5.l Fartskriverkortene kan sendes med vanlig post eller med tilsvarende kvalitet til angitt mottaker (korteier/kortbruker eller CIA). 5.5.m CP skal sende personaliserte fartskriverkort slik at de er tilgjengelige for korteiere/kortbrukere i løpet av maksimalt 5 arbeidsdager fra fartskriverkortbestillingen er tilgjengelig for CP. 5.5.5 PIN-kode 5.5.n CP skal generere PIN-kode for verkstedkort. 5.5.o PIN-koden skal bestå av fire siffer. 5.5.5.1 PIN-kode generering 5.5.p PIN-koder skal genereres i et sikkert system, overføres sikkert til verkstedkort og skrives direkte ut på spesielle konvolutter beregnet for PIN-koder. 5.5.q PIN-kode genereringssystemet skal tilfredsstille kravene i CC EAL4 eller høyere i samsvar med ISO 15408, E3 eller høyere i ITSEC eller en standard med tilsvarende sikkerhetskriterier. 5.5.r PIN-koder skal aldri lagres i klartekst i et datasystem på en slik måte at det tillater DIFAS policy v. 2.4 Side 25 av 46

kobling mellom PIN-kode og kortbruker/kortnr. 5.5.5.2 Forsendelse av PIN-koder 5.5.s PIN-kode skal sendes rekommandert eller med tilsvarende kvalitet til angitt mottaker (kortbruker). 5.5.t PIN-kode skal ikke sendes sammen med det tilhørende fartskriverkortet. PIN-kode skal sendes slik at det er tilgjengelig for kortbrukeren en dag senere enn fartskriverkortet. 5.5.6 Makulering av fartskriverkort og PIN-koder 5.5.u Alle fartskriverkort som blir skadet eller får funksjonsfeil i personaliseringsprosessen, eller av andre grunner ikke er godkjent i personaliseringsprosessen, eller av andre grunner ikke skal sendes til kortbruker, eller er blitt sendt/returnert til CP skal makuleres både fysisk og elektronisk. Makulering bør skje daglig. 5.5.v CP skal personalisere et kort på nytt etter at produksjonsmakulering er foretatt, hvis CIA ikke i mellomtiden har annullert kortbestillingen. 5.5.w CP skal gjenbruke kortnummeret når et fartskriverkort skal personaliseres på nytt etter at produksjonsmakulering er foretatt. 5.5.x Alle konvolutter med PIN-kode som er skadet eller av annen grunn ikke er godkjent under produksjonsprosessen, eller av andre grunner ikke skal sendes til kortbruker, eller er blitt sendt/returnert til CP skal makuleres daglig. 5.6 Håndtering av kryptografiske nøkler 5.6.a CP skal håndtere to typer kryptografiske nøkler: asymmetriske RSA-nøkler og den symmetriske bevegelsesensornøkkelen Km WC. 5.6.1 RSA-nøkler 5.6.1.1 Generering av RSA-nøkler for fartskriverkort 5.6.b Nøklene skal genereres enten av CP eller råkortprodusenten (underleverandør til CP). 5.6.c CP skal sikre at nøkkelgenereringen skjer på en sikker måte og at fartskriverkortenes private nøkkel blir holdt hemmelig. 5.6.d Nøkkelgenerering skal utføres i en sikret maskinenhet som: tilfredsstiller kravene identifisert i FIPS 140-2 (eller 140-1) nivå 3 eller høyere, eller tilfredsstiller kravene identifisert i CEN Workshop Agreement 14167-2, eller DIFAS policy v. 2.4 Side 26 av 46

er et pålitelig system som er sertifisert iht. CC EAL 4 eller høyere i samsvar med ISO 15408, E3 eller høyere i ITSEC eller i en standard med tilsvarende sikkerhetskriterier. 5.6.e Nøkler skal genereres ved bruk av RSA-algoritmen med en nøkkellengde på modulus n=1024 bits. 5.6.f Utstyr for nøkkelgenerering skal ha en slik kvalitet på slumptallene at risikoen for å generere ikke-unike nøkler er ubetydelig. 5.6.1.2 Deponering og arkivering av private nøkler til fartskriverkort 5.6.g Private nøkler til fartskriverkort skal ikke deponeres eller arkiveres. 5.6.1.3 ERCA rotnøkkel 5.6.h CP skal håndtere ERCAs offentlige rotnøkkel (EUR.PK) på en slik måte at autentisitet, integritet og tilgjengelighet opprettholdes til enhver tid. 5.6.2 Bevegelsesensornøkkel for verkstedskort (Km WC ) 5.6.i CP skal påse at autentisitet, integritet og tilgjengelighet av Km WC sikres. 5.6.j Km WC skal lagres i og håndteres fra en sikret maskinenhet som enten: tilfredsstiller kravene identifisert i FIPS 140-2 (eller 140-1) nivå 3 eller høyere, eller er et pålitelig system som er sertifisert iht. CC EAL 4 eller høyere i samsvar med ISO 15408, E3 eller høyere i ITSEC eller i en standard med tilsvarende sikkerhetskriterier. 5.7 Håndtering av sertifikatforespørsel og sertifikater 5.7.1 Sertifikatforespørsel 5.7.a CP skal til hvert fartskriverkort som skal personaliseres, generere en sertifikatforespørsel til MSCA. 5.7.b Sertifikatforespørselen skal inneholde informasjon iht. Beskrivelse av sertifikater i digital fartskriver i Norge. 5.7.2 Sertifikat 5.7.c CP er ansvarlig for at siste gyldighetsdato (EOV) for sertifikat settes lik siste gyldighetsdato for tilsvarende fartskriverkort. Det må ikke settes inn sertifikater med ubegrenset gyldighet i fartskriverkort. 5.8 Datautveksling 5.8.a CP skal påse at autentisitet, integritet og konfidensialitet sikres for data om fartskriverkort (inkludert sertifikatforespørsler) som utveksles med andre parter. DIFAS policy v. 2.4 Side 27 av 46

5.8.1 Datautveksling CIA 5.8.b CP skal løpende og uten forsinkelse gjøre tilgjengelig alle nødvendige data om personaliserte/makulerte fartskriverkort som kreves for å gi CIA en fullstendig database over fartskriverkort, inkludert sertifikater. 5.8.c CP skal bekrefte til CIA at de har mottatt fartskriverkortbestillingen. 5.8.d CP skal påse at CIA har mottatt alle nødvendige data om fartskriverkortene. 5.8.2 Datautveksling MSCA 5.8.e CP skal gjøre en sertifikatforespørsel med alle nødvendige data tilgjengelig for MSCA. 5.8.f CP skal påse at MSCA har mottatt sertifikatforespørsel. 5.8.g CP skal bekrefte at de har mottatt sertifikat fra MSCA. 5.8.h CP skal motta rotnøkler (EUR.PK, Km WC ) og rotsertifikat (MS.C) fra MSCA. 5.9 Ytterligere krav til informasjonssikkerhet 5.9.1 Risikoanalyse 5.9.1.a CP skal utføre og dokumentere en risikoanalyse for virksomheten med digital fartskriver. 5.9.2 Sikkerhetspolicy 5.9.2.a CP skal ha en hensiktsmessig og dokumentert sikkerhetspolicy med beskrivelse av ansvar. 5.9.3 Klassifisering og sikring av informasjon 5.9.3.a Personopplysninger skal håndteres i henhold til personopplysningsloven med tilhørende forskrifter. 5.9.3.b Bedriftinformasjon skal håndteres i henhold til forvaltningsloven med tilhørende forskrifter. 5.9.3.c All informasjon, inklusive nøkler, i forbindelse med digital fartskriver skal håndteres konfidensielt. 5.9.3.d CP skal forsikre seg om at deres informasjonsaktiva får et passende beskyttelsesnivå for å tilfredsstille de krav som stilles i denne policy. 5.9.3.e CP skal påse at deres informasjonsaktiva ikke blir levert til noen annen part enn MSA eller part som er autorisert av MSA. DIFAS policy v. 2.4 Side 28 av 46

5.9.4 Kommunikasjon og driftsadministrasjon 5.9.4.a CP skal beskytte integriteten til IT-system, IT-sikkerhetsarkitektur og elektronisk lagrede data mot fiendtlig kode. 5.9.4.b CP skal ha beskyttelsesfunksjoner for å tilfredsstille de krav som stilles i denne policy. Dette inkluderer brannvegg m.m. for å beskytte interne nettverk fra eksterne nettverk (som kan nås av en tredje part). 5.9.4.c CP skal beskytte virksomhetskritiske data ved kommunikasjon over eksterne nettverk. 5.9.4.d CP skal sikre at systemet er tilgjengelig og har riktig funksjonalitet. 5.9.4.e CP skal ha rutiner for sikkerhetskopiering av viktig data (produksjonsdata) og ITsystem. 5.9.4.f CP skal lagre sikkerhetskopier på et sikkert sted, fysisk avskilt, fra lokalene til produksjonssystemet. 5.9.4.g CP skal påse at sikkerhetskopiene under oppbevaringstiden skal kunne gjenopprette IT-systemene. 5.9.5 Tilgangskontroll 5.9.5.a CP skal sikre alle data mot uautorisert tilgang. 5.9.5.b CP skal ha tilgangskontroll og sporbarhet ned på individnivå. 5.9.5.c Hver brukerkonto skal ha begrensning i rettighet avhengig av rollen som kontoinnehaveren har. 5.9.5.1 Overvåkning av systemtilgang og systembruk 5.9.5.d CP skal kontrollere tilgang og bruk av vitale IT-system gjennom regelmessig innsamling og analyse av relevant informasjon. Resultatet av denne kontrollen skal lagres som kontrollinformasjon. 5.9.5.e CP skal påse at slik kontrollinformasjon er integritetsbeskyttet på en hensiktsmessig måte. 5.9.5.f CP skal gjøre kontrollinformasjonen tilgjengelige for MSA på forespørsel 5.9.6 Produksjonsstyring - produksjonslogger 5.9.6.a CP skal ha funksjoner for å generere og lagre produksjonslogger. 5.9.6.b CP skal påse at produksjonsloggen sikrer sporbarhet i personaliseringen. Produksjonsloggen skal derfor som minimum innholde produksjonsdata koplet til IT-system og tid. Obligatoriske data i produksjonsloggen er, men skal ikke begrenses til, aktiviteter knyttet til DIFAS policy v. 2.4 Side 29 av 46

personalisering generering og utskrift av PIN-kode 5.9.6.c CP skal gjøre produksjonsloggen tilgjengelige for MSA på forespørsel. 5.9.7 Datalagring 5.9.7.a CP skal lagre personaliseringsdata (nødvendige data om fartskriverkort) bare så lenge de behøves for personaliseringsprosessen og til nødvendige deler er overført til CIA. 5.9.7.b CP er ansvarlig for å lagre sertifikatforespørselen til denne er bekreftet mottatt av MSCA. 5.9.8 Arkivering 5.9.8.a CP skal arkivere kontrollinformasjon og produksjonslogger. 5.9.8.b CP skal påse at arkivet er lesbart under hele avtaleperioden. 5.9.8.c Arkivene skal kun være tilgjengelige for CP og MSA. 5.9.9 Organisatorisk sikkerhet 5.9.9.a CP skal ha en rollebasert organisasjon. 5.9.9.b CP skal definere, dokumentere og implementere minst tre forskjellige tiltrodde roller tilsvarende følgende forslag: 1. Personaliseringsoperatør (PO) Personaliseringsoperatøren er den som håndterer den daglige driften av personaliseringssystemene. Dette kan inkludere: a) Utføre daglig drift av personaliseringssystemene. b) Generere nøkler til fartskriverkort (hvis ikke disse finnes på råkortene). c) Sørge for sikker forsendelse av fartskriverkort og PIN-koder. d) Utføre administrative funksjoner og bistå i etterforskning av sikkerhetsbrudd. 2. Systemadministrator (SA) Systemadministratoren er den som håndterer konfigurasjon av systemer, sikkerhetskopiering, daglig drift av IT-systemene og andre systemadministrative oppgaver. Dette kan inkludere: a) Utføre innledende konfigurering av systemet og nettverket, inkludert sikker oppstart og stopp av systemet. b) Utføre innledende konfigurering av alle brukerkontoer. c) Sikkerhetskopiere systemet iht. gjeldende regler. d) Foreta endringer av vertsnavn og/eller nettverksadresse. e) Bistå i etterforskning av sikkerhetsbrudd 3. Informasjonssikkerhetsansvarlig (ISA) DIFAS policy v. 2.4 Side 30 av 46

Informasjonssikkerhetsansvarlig er den som har oversikt over alle sikkerhetsspørsmål for systemene. Rollen er i første rekke overvåkende, men inkluderer visse administrative oppgaver. Dette kan inkludere: a) Tildele sikkerhetsprivilegier og tilgangskontroll for SA-er (og andre roller). b) Tildele passord til alle brukerkontoer. c) Gjennomføre arkivering. d) Kontrollere overvåkningslogger. e) Etterforske sikkerhetsbrudd 5.9.9.c CP skal utnevne minst en person til hver rolle. Samme person skal ikke ha mer enn en rolle. 5.9.10 Personellsikkerhet 5.9.10.a CP skal utarbeide en risikoprofil for de definerte rollene. 5.9.10.b CP skal ved utnevning til de definerte rollene ta hensyn til krav som tilsvarer rollenes risikoprofil. 5.9.10.c Personer i definerte roller skal ha riktig kompetanse for aktuell rolle ikke ha andre plikter som kan komme i konflikt med aktuell rolle ikke, så vidt kjent, tidligere ha vært fristilt fra oppdrag pga. uaktsomhet eller ikke oppfylt pliktene sine 5.9.10.d CP skal påse at personer i definerte roller er bevisst på de trusler og risikoer som finnes dokumentert i risikoanalysen. 5.9.10.e CP skal påse at alle berørte personer kjenner til gjeldende sikkerhetsrutiner, f. eks. kontinuitetsplaner og katastroferapportering. 5.9.11 Underleverandør 5.9.11.a CP er ansvarlig for alle aspekter av CP-rollen, selv om deler legges ut på underleverandør(er). CP skal derfor tydelig definere underleverandør(er)s rolle og ansvar og sikre seg dette gjennom avtale. 5.9.11.b MSA skal avgjøre om underleverandør(er) skal inngå i revisjonen. 5.9.11.c CP skal påse at eventuelle underleverandør(er) følger denne policyen. 5.9.12 Fysisk og miljømessig sikkerhet 5.9.12.1 Lokaler for CP-utstyr og IT-system 5.9.12.a Adgang til lokalene som brukes for personalisering av fartskriverkortene skal begrenses til personer med definerte tiltrodde roller. 5.9.12.b Personer som ikke har en tiltrodd rolle kan likevel gis tilgang til lokalene sammen DIFAS policy v. 2.4 Side 31 av 46