NIS2- og DORA-dokumentation for FairSSL ACME og API

Det meste er certifikatdata, som i forvejen bliver offentlige i CT-logs, når certifikatet udstedes. Persondata er kun fakturering, kontaktpersoner, login og ACME-klienternes IP-adresser. Data om jeres interne miljø bliver hos jer, ud over det installationsscriptet melder tilbage.

• Websites, kontrolpanel, API, ACME-server og database kører hos Amazon Web Services EMEA SARL i AWS-regionen eu-central-1 (Frankfurt, Tyskland). Krypterede sikkerhedskopier af databasen ligger i eu-north-1 (Stockholm, Sverige).
• Vi arbejder aktivt på at flytte drifts- og forretningssystemer, der er hostet eller ejet uden for EU, til tjenester, der både er hostet og ejet i EU. Certifikatudstederne (CA'erne) følger det valgte produkt og er ikke en del af flytningen.
• Automatiske system-mails sendes via Lettermint B.V. (Holland), og data behandles og opbevares i EU.
• Datamindskning er en kontrol i sig selv (NIS2 artikel 21, stk. 2, GDPR artikel 25 og 32): ved ACME har FairSSL aldrig jeres private nøgle, og jeres interne miljø ses kun gennem det, installationsscriptet melder tilbage. Det giver en lav risikoprofil for fortrolighed. Kravene til tilgængelighed under DORA ændres ikke af det.

Til informationsregistret efter DORA artikel 28, stk. 3, og gennemførelsesforordning (EU) 2024/2956. Jeres direkte leverandør er FairSSL A/S, CVR-nr. 33075782, Danmark: forhandler af TLS-certifikater, ACME-server og API til certifikatstyring. Tabellen viser FairSSL's underdatabehandlere, de samme som på listen over underleverandører. Certifikatudstederne DigiCert, GlobalSign og Sectigo er selvstændigt ansvarlige under egne aftaler; de og vores andre leverandører står i privatlivspolitikken. Om tjenesten understøtter en kritisk eller vigtig funktion hos jer, er jeres vurdering.

• Alle ændringer sker gennem versionsstyring, og hver udrulning til production er sporbar i historikken.
• Administrativ adgang er begrænset til nøglepersoner med rollebaseret adgang (RBAC) og mindst mulige rettigheder.
• Sikkerhedsopdateringer til systemer og afhængigheder installeres løbende.
• Vi varsler kunden uden unødig forsinkelse og senest inden for 48 timer, hvis en sikkerhedshændelse har påvirket kundens data eller tjenesten. Sætningen står også i salgsbetingelserne. En sårbarhed, der lukkes uden at have påvirket data eller tjenesten, er ikke en hændelse i NIS2's forstand (artikel 6, nr. 6 og 15).
• Kunden er ansvarlig for backup af egne systemer og data, også før FairSSL udfører installation eller fjernassistance.
• FairSSL A/S har hos If erhvervsansvars-, produktansvars- og professionel ansvarsforsikring for IT-virksomheder. Forsikringsbevis kan fås på anmodning.
• FairSSL har ikke en ISO 27001-certificering. Kontrollerne er kortlagt til ISO/IEC 27001:2022 bilag A og CIS Controls v8.1. En uafhængig erklæring, fx ISAE 3000, kan indgå i en kundeaftale for kundens regning efter nærmere aftale.

Kontrollerne, I selv styrer i kontrolpanelet. Standardværdien står i sidste kolonne.

• Ved ACME laver jeres ACME-klient den private nøgle på jeres egen server, og nøglen bliver der. ACME-serveren modtager kun certifikatanmodningen (CSR) og har ingen funktion, der tager imod en privat nøgle.
• Bestiller I et certifikat uden ACME, kan FairSSL's CSR-service lave nøgle og CSR for jer. Nøglen gemmes krypteret med AES-256, med en nøgle afledt af ordren og en adgangskode til download. Adgangskoden opbevares krypteret adskilt fra nøglen, og download kræver både linket og adgangskoden.
• En kørsel hver time sletter nøglen 48 timer efter første download, og senest 60 dage efter den blev lavet (30 dage, hvis ordren annulleres eller certifikatet tilbagekaldes). I kan også selv slette den med linket og adgangskoden. Hver sletning logges på ordren.
• Vil I ikke have, at FairSSL nogensinde har jeres private nøgle, så lav nøglen selv eller brug ACME.

• ACME er en åben standard (RFC 8555), som alle større CA'er og ACME-klienter understøtter.
• Et skifte til en anden udbyder kræver en ny konto og EAB hos den nye udbyder, validering af domænerne, eventuelt nye DNS- og CAA-poster og den nye udbyders URL i jeres ACME-klient.
• Installerede certifikater virker til de udløber, også hvis FairSSL ikke længere leverer. Certifikaterne opbevares hos jer og hos den CA, der har udstedt dem.
• Oversigten over jeres certifikater og ACME-klienter kan hentes via monitorerings-API'et, så I har jeres inventar uden for FairSSL.

• fairssl.dk og fairssl.se scannes ugentligt af DigiCerts eksterne sårbarhedsscanning uden login. Seneste rapport kan fås på anmodning. ACME-serveren svarer på fairssl.dk/acme på samme servere som fairssl.dk.
• CA'erne revideres årligt efter WebTrust for CAs eller ETSI EN 319 411. Revisionen dækker CA'ernes drift og udstedelse, ikke FairSSL.
• Sikkerhedshenvendelser og sårbarheder sendes til info@fairssl.dk. Kontakten står også i /.well-known/security.txt (RFC 9116) på fairssl.dk og fairssl.se.

RTS (EU) 2024/1774 artikel 7 om håndtering af kryptografiske nøgler kræver, at finansielle virksomheder fornyer certifikater før udløb (stk. 5) og fører et register over certifikater og enheder, der opbevarer certifikater (stk. 4).

• Stk. 5: ACME-klienten fornyer automatisk før udløb, og ARI fortæller klienten, hvornår den skal forny. Advarslen om en klient, der er holdt op med ARI, og overvågningen af udløb fanger en fornyelse, der ikke sker.
• Stk. 4, delvist: kontrolpanelet og monitorerings-API'et giver en oversigt over certifikater og ACME-klienter. Enheder, der opbevarer certifikater (servere, HSM'er, load balancere), registrerer I selv.

DORA artikel 28-30 og hvor på siden I finder svaret:

Tre lag i hver række: hvad produktet hjælper jer med, vores egne kontroller, og hvad der er jeres ansvar.

De spørgsmål, en leverandørvurdering typisk stiller, med vores svar. Hent det også som CSV.