CPS PA PKIoverheid v2.0 - Logius

5.4.1 Bewijs van conformiteit CSPEen CSP dient bij toetreding tot de PKI voor de overheid een bewijs van conformiteit aan de PolicyAuthority te overleggen. Een onafhankelijke externe auditor zal de werkwijze van de CSP toetsenaan de TTP.nl criteria en de aanvullende eisen die zijn opgenomen in het Programma van Eisen.In geval van goedkeuring geeft de auditor na beoordeling een conformiteitcertificaat af; ditcertificaat heeft een geldigheidsduur van drie jaar. De CSP overlegt een kopie van hetconformiteitcertificaat aan de PA, evenals kopieën van de audit- en controlerapporten. Gezien hetbewijs van conformiteit een geldigheidsduur van drie jaar heeft, dient de CSP na toetreding tot dePKI voor de overheid ééns in de drie jaar een herbeoordeling te laten uitvoeren.Tevens is de CSP verplicht zich jaarlijks te laten beoordelen door een onafhankelijke externeauditor middels een controle-audit. Belangrijke tussentijdse wijzigingen die van invloed kunnen zijnop de CSP-dienstverlening meldt de CSP bij de auditor. De auditor voert desgewenst ad hoc eencontrolebeoordeling van de CSP uit.Op basis van uitgevoerde audits dienen door de CSP jaarlijks 3 de volgende documenten te wordenoverhandigd aan de Policy Authority:• Bewijs van conformiteit aan ETSI TS 101 456 c.q. TTP.NL certificatie;• Goedkeurende auditverklaring voor de PKIo-eisen van de PKI voor de overheid;• Goedkeurende verklaring dat aan de op ETSI TS 102 042 gebaseerde eisen van de CPservices is voldaan voor zover deze van ETSI TS 101 456 afwijken 4 .Nadere verplichtingen van de CSP jegens de Policy Authority in dit verband zijn opgenomen in hetProgramma van Eisen, deel 2: Toetreding tot en Toezicht binnen de PKI voor de overheid.5.4.2 Procedurele afspraken CSPGedurende het proces van toelating van de CSP tot de PKI voor de overheid is de Policy Authorityhet aanspreekpunt voor de CSP. Derhalve benoemt de CSP de contactpersonen en draagt de PAvervolgens zorg voor het met zekerheid identificeren van de (vertegenwoordigers van de) CSP.Tevens stelt de PA vast dat de CSP in het bezit is van de private sleutel die hoort bij de voorverificatie aangeboden publieke sleutel.Voor de procedures voor het totstandkomen, het vernieuwen en intrekken van CSP-certificatenwordt verwezen naar hoofdstuk 6 van dit document.5.4.3 ContractenBZK en een CSP sluiten een contract dan wel werkafspraak over het deelnemen van debetreffende CSP aan de PKI voor de overheid. Inhoudelijk betekent dit dat de CSP verplicht is haardiensten te verlenen binnen de door BZK gestelde voorwaarden, met name de voorwaarden zoalsgesteld in het Programma van Eisen. De PA is hierbij het aanspreekpunt voor de CSP.Bepalingen omtrent aansprakelijkheid van BZK jegens een CSP zijn opgenomen in de contractentussen BZK en de CSP. De eisen waaraan de aansprakelijkheid van de CSP moet voldoen zijngeformuleerd in het Programma van Eisen, deel 3: Certificate Policies.De CSP sluit overeenkomsten met abonnees en vertrouwende partijen. In deze overeenkomstenwordt ook de aansprakelijkheid van de CSP jegens abonnees en vertrouwende partijen geregeld.De eisen waaraan deze aansprakelijkheid moet voldoen zijn opgenomen in de Algemenebepalingen van het Programma van Eisen, deel 3: Certificate Policies.3 De termijn start op het moment dat de overeenkomst met BZK, niet zijnde de overeenkomst voorvoorlopige toetreding, door beide partijen is ondertekend.4 Deze verklaring hoeft uiteraard alleen te worden ingeleverd wanneer de CSP is toegetreden om servicescertificaten uit te geven.CPS Policy Authority PKIoverheidversie: 2.0 pagina: 13 van 25datum: 14-12-2005 doc.nr.: PKI00085