SKVFS 2020:9 Kontrollsystem till kassaregister

2 §En signeringsmodul på separat hårdvara ska vara ansluten till en fysisk port eller direkt på datorns moderkort. I 6–7 kap. finns särskilda bestämmelser om signeringsmodulen.

3 §En virtuell miljö ska ha ett virtualiseringsprogram som utgör dess enda operativsystem. Bestämmelser om virtualiseringsprogrammet finns i 8 §.

En virtuell miljö ska innehålla en virtuell dator för kassaregisterprogram enligt 9 § och en virtuell dator för kontrollprogram och signeringsmodul enligt 10 §. Av 8 § framgår att virtualiseringsprogrammet ska kontrollera de virtuella datorerna.

En virtuell miljö får utöver vad som anges i 3–10 §§ endast ha de funktioner som ska finnas enligt 12 kap.

4 §En virtuell miljö ska ha ett TPM-chip eller annan, av certifieringsorganet godkänd kryptohårdvara, som ska säkerställa att den fysiska datorn enbart kan startas och köras med av tillverkaren installerat virtualiseringsprogram enligt 8 § och installerade virtuella datorer enligt 9–10 §§.

5 §En virtuell miljö ska ha ett ytterhölje som är plomberat. Plomberingen ska ske med plomberingstape eller med annan plombering som ska klara det temperaturområde som den virtuella miljön är avsedd att användas i. Plomberingen ska minst klara temperaturområdet -30 C till +110 C. Plomberingen ska vara utformad på ett sådant sätt att det går att identifiera vem som utfört plomberingen. Om plomberingen bryts ska det ge synliga spår.

6 §Alla portar samt alla in- och utenheter som en virtuell miljö har ska vara plomberade. Plomberingen ska minst uppfylla de krav som anges i 5 §.

Plombering av portar gäller inte för portar som är nödvändiga för kassaregisterprogrammets funktioner eller för kommunikation mellan kontrollserver och kontrollprogram.

7 §Om en virtuell miljö behöver repareras får detta endast utföras av tillverkaren av kontrollsystemet eller av denne utsedd behörig reparatör som då får bryta plomberingar som avses i 5–6 §§. Efter reparation ska datorn omedelbart plomberas av tillverkaren enligt 5–6 §§. Tillverkaren eller en av denne utsedd representant ska föra ett register över de reparationer som gjorts av virtuella miljöer.

8 §För virtualiseringsprogrammet gäller följande.

1. Virtualiseringsprogrammet ska kontrollera de virtuella datorernas tillgång till den gemensamma fysiska datorns resurser.

2. Virtualiseringsprogrammet får inte blockera eller förvanska identitetsinformation som avser den fysiska datorn som de virtuella datorerna begär.

3. Virtualiseringsprogrammet ska tillhandahålla en lokal säker nätverksanslutning mellan de virtuella datorerna.

4. Virtualiseringsprogrammet ska tilldela de virtuella datorerna separata delar av den fysiska datorns arbetsminne. De separata delarna av arbetsminnet i den fysiska datorn ska vara exklusiva för de virtuella datorerna. Virtualiseringsprogrammet ska förhindra att ett program i en virtuell dator kan läsa eller påverka processorns interna temporära arbetsminne (cacheminne) som finns i den fysiska datorn och som den andra virtuella datorn använder.

5. Virtualiseringsprogrammet ska säkerställa att en virtuell dator inte kan läsa eller ändra lagrad information som den andra virtuella datorn ansvarar för.

6. Virtualiseringsprogrammet ska vid uppstart starta de virtuella datorerna.

7. Virtualiseringsprogrammet ska vara låst för användaren.

8. Virtualiseringsprogrammet ska förhindra att de virtuella datorerna kan läsa ut värden från den fysiska processorns time stamp counter (TSC) eller motsvarande räknare.

9 §En virtuell dator för kassaregisterprogram får utöver ett operativsystem endast innehålla de funktioner som ska finnas för ett kassaregisterprogram. Den virtuella miljöns TPM-chip ska genom en lagrad signatur verifiera den virtuella datorn samt de program som körs i den virtuella datorn för kassaregisterprogrammet. Signaturen ska infogas av tillverkaren. Om äktheten inte kan verifieras ska TPM-chipet förhindra att kassaregisterprogrammet startas.

Den virtuella datorns operativsystem ska vara låst för användaren.

10 §En virtuell dator för kontrollprogram och signeringsmodul får utöver ett operativsystem endast innehålla de funktioner som ska finnas för kontrollprogrammet och signeringsmodulen. Den virtuella miljöns TPM-chip ska genom en lagrad signatur validera den virtuella datorn samt de program som körs i den virtuella datorn för kontrollprogrammet och signeringsmodulen. Signaturen ska infogas av tillverkaren. Om signaturen inte kan verifieras ska TPM-chipet förhindra att kontrollprogrammet startas.

Den virtuella datorns operativsystem ska vara låst för användaren.

11 §En dedikerad dator får utöver ett operativsystem endast innehålla de funktioner som ska finnas för ett kontrollprogram, för en signeringsmodul och de funktioner som ska finnas enligt 12 kap.

Operativsystemet ska vara låst för användaren. Signeringsmodulen får vara implementerad som programvara. Signeringsnycklarna ska vara skyddade på ett säkert sätt mot utläsning.

Om ett kontrollprogram är installerat på en dedikerad dator får inte kassaregisterprogramvaran vara installerad på den dedikerade datorn.

12 §En dedikerad dator ska ha ett ytterhölje som är plomberat. Plomberingen ska ske med plomberingstape eller med annan plombering som ska klara det temperaturområde som den dedikerade datorn är avsedd att användas i. Plomberingen ska minst klara temperaturområdet -30 C till +110 C. Plomberingen ska vara utformad på ett sådant sätt att det går att identifiera vem som utfört plomberingen. Om plomberingen bryts ska det ge synliga spår.

13 §Alla portar samt alla in- och utenheter som en dedikerad dator har ska vara plomberade. Plomberingen ska minst uppfylla de krav som anges i 12 §.

Plombering av portar gäller inte för portar som är nödvändiga för kommunikation mellan

• kassaregisterprogram och ett kontrollprogram, och

• kontrollserver och ett kontrollprogram.

14 §Om en dedikerad dator behöver repareras får detta endast utföras av tillverkaren av kontrollsystemet eller av denna utsedd behörig reparatör som då får bryta plomberingar som avses i 12–13 §§. Efter reparation ska datorn omedelbart plomberas enligt 12–13 §§. Tillverkaren eller en av denne utsedd representant ska föra ett register över de reparationer som gjorts av dedikerade datorer.

2 §Ett kontrollprogram ska ha en unik ID-sträng som identifierar kontrollprogrammet. ID-strängen ska bestå av serienummer samt versionsnummer i en sträng på totalt 32 bytes. Tecken för ID-strängen får endast utgöras av a–z, A–Z, 0–9 och bindestreck.

3 §Ett kontrollprogram ska ha tillgång till en realtidsklocka med en sekunds upplösning.

4 §Ett kontrollprogram ska ha ett unikt klientcertifikat med ett serienummer. Kontrollprogrammets ID-sträng ska ingå som en del i klientcertifikatet. Kontrollprogrammet ska använda klientcertifikatet vid kommunikation med kontrollservern.

5 §Ett kontrollprogram får bara kunna exekveras på den fysiska dator där signeringsmodulen är inkopplad. Om signeringsmodulen finns i en virtuell miljö ska kontrollprogrammet exekveras i en virtuell dator enligt bestämmelserna i 4 kap.

6 §Ett kontrollprograms funktioner får endast finnas

1. i en dator där signeringsmodulen utgörs av en separat hårdvara,

2. i en dedikerad dator, eller

3. i en virtuell miljö.

7 §Om ett kontrollprogram är installerat på en dedikerad dator ska datorns fysiska portar vara plomberade om de inte är nödvändiga för kontrollprogrammets kommunikation med kontrollservern eller sammankopplade kassaregister. Plomberingen ska utföras av tillverkaren eller en av denne auktoriserad installatör.

8 §Ett kontrollprogram som är installerat på samma dator som ett kassaregister ska vara startat när kassaregisterprogrammet startar.

9 §Ett kontrollprogram som är installerat på en dedikerad dator ska starta när den dedikerade datorn startas.

10 §Ett kontrollprogram ska vara igång när sammankopplade kassaregister är aktiva. När kontrollprogrammet stängs av ska det logga ut från kontrollservern.

11 §När ett kontrollprogram och sammankopplade kassaregister ska kommunicera ska det ske via en säker anslutning enligt vad som anges i 10 kap 2–3 §§.

12 §Ett kontrollprogram ska skicka statusuppdatering till sammankopplade kassaregister enligt tabellen nedan så fort dess status ändras. Ytterligare statuskoder får användas.

Anslutning till kontrollserver

Kontrollera och återuppta anslutning

Kontroll av signeringsmoduler och kassaregister

16 §Kontrollprogrammet ska skicka kvittokontrolldata för kvitton av typen normal till signeringsmodulen för signering.

Kontrollprogrammet ska skicka data med försäljningsbelopp för kassakvitton till signeringsmodulen för uppdatering av beloppsräknaren enligt 6 kap. 29 § eller 7 kap. 29 §.

17 §Ett kontrollprogram ska ha följande räknare per kassaregister-nummer;

• räknare A, räknare av försäljningsbelopp för kassakvi

• räknare B, räknare av returbelopp för returkvitton

• räknare C, räknare av mervärdesskatt för kassakvitton

• räknare D, räknare av mervärdesskatt för returkvitton

• räknare E, räknare av antal utskrifter av kassakvitton och returkvitton

• räknare F, räknare av antal utskrifter av kvittokopior

• räknare G, räknare av antal utskrifter av övningskvitton

• räknare H, räknare av antal utskrifter av pro forma kvitton

• räknare I, räknare av antal misslyckade anslutningar till kontrollservern

• räknare J, räknare av antal lagrade kvittokontrollposter som inte har levererats till kontrollservern

• räknare K, räknare av antal lagrade aktivitetsloggposter som inte har levererats till kontrollservern

• räknare L, räknare av antal levererade poster som inte har bekräftats av kontrollservern

• räknare M, räknare av antal sekunder som kontrollprogrammet inte har kontakt med kontrollservern.

Räknarna A–I får inte kunna minskas eller nollställas.

18 §Räknare A ska löpande summera försäljningsbelopp för kassakvitton. Räknare A ska börja med värdet 0,00 före första post av försälj-ningsbelopp som läses in i kontrollprogrammet. Formatet för summan ska vara maximalt 16 tecken inklusive decimalkomma och det ska alltid vara två siffror efter decimalkommat.

19 §Räknare B ska löpande summera returbelopp för returkvitton. Formatet för summan ska vara maximalt 14 tecken inklusive decimalkomma och det ska alltid vara två siffror efter decimalkommat.

20 §Räknare C ska löpande summera mervärdesskatt för kassakvitton. Formatet för summan ska vara maximalt 14 tecken inklusive decimalkomma och det ska alltid vara två siffror efter decimalkommat.

21 §Räknare D ska löpande summera mervärdesskatt för returkvitton. Formatet för summan ska vara maximalt 14 tecken inklusive decimalkomma och det ska alltid vara två siffror efter decimalkommat.

22 §Räknare E ska löpande räkna antalet utskrivna kassakvitton och returkvitton. Formatet för antalet ska vara maximalt 12 siffror.

23 §Räknare F ska löpande räkna antalet utskrivna kvittokopior. Formatet för antalet ska vara maximalt 12 siffror.

24 §Räknare G ska löpande räkna antalet utskrivna övningskvitton. Formatet för antalet ska vara maximalt 12 siffror.

25 §Räknare H ska löpande räkna antalet utskrivna pro forma kvitton. Formatet för antalet ska vara maximalt 12 siffror.

26 §Räknare I ska löpande räkna antalet misslyckade försök till anslutningar till kontrollservern. Räknare I ska börja med värdet noll och öka med värdet ett för varje tillfälle. Formatet för antalet ska vara maximalt 12 siffror.

27 §Räknare J ska löpande räkna antalet lagrade kvittokontrollposter som inte har levererats till kontrollservern. Formatet för antalet ska vara maximalt 12 siffror. Räknare J ska efter leverans minskas med de poster som har levererats till kontrollservern.

28 §Räknare K ska löpande räkna antalet lagrade aktivitetsloggposter som inte har levererats till kontrollservern. Formatet för antalet ska vara maximalt 12 siffror. Räknare K ska efter leverans minskas med de poster som har levererats till kontrollservern.

29 §Räknare L ska löpande räkna antalet poster som levererats till kontrollservern men som inte har bekräftats. Formatet för antalet ska vara maximalt 12 siffror. Räknare L ska efter leverans minskas med de poster som har levererats till kontrollservern.

30 §Räknare M ska löpande räkna antalet sekunder som kontrollprogrammet inte har kontakt med kontrollservern. Formatet för värdet ska vara maximalt 12 siffror. Räknare M ska nollställas efter att kontakt återupprättats med kontrollservern.

Kvittodata från kassaregister

Generering av kvittokontrolldata

35 §Följande data utgör stödinformation till kvittokontrolldata.

1. Tidpunkt enligt realtidsklocka då kvittodata togs emot från sammankopplat kassaregister.

2. Kassaregisternummer.

36 §Kontrollprogrammet ska för kvittokontrolldata av typ normal begära att signeringsmodulen genererar en signatur. Informationen som kontrollprogrammet ska skicka till signeringsmodulen för signering är.

1. Kvittokontrolldata enligt 34 § tabell A.

2. Stödinformation enligt 35 §.

3. Värde på transaktionsräknaren enligt 6 kap. 23 § eller 7 kap. 23 §.

4. Uppgift som anger om värdet på initialvektorn motsvarar signa-tur på senaste signerade kontrollpost.

5. Värde på initialvektorn enligt 6 kap. 32 § eller 7 kap. 32 §.

6. Värde på räknare A–F och I–M enligt 17 §.

7. Värde på kvittoräknaren enligt 6 kap. 26 § eller 7 kap. 26 §.

8. Värde på beloppsräknaren enligt 6 kap. 29 § eller 7 kap. 29 §.

Informationen som kontrollprogrammet ska skicka till signerings-modulen ska ske med en textsträng med data enligt vad som anges i rutan nedan. Textsträngen ska fyllas ut med nollor för att bli jämnt delbar med 512 bitar. Den utfyllnad som ska användas är den som anges för standarden för SHA-256.

Icke flyktigt minne

Kontrolldata

Lagring av kontrolldata - kvittokontrollposter

43 §Ett kontrollprogram ska för kvittokontrollposter enligt 39 § infoga följande statuskoder för varje kontrollpost som lagras. När statusen ändras för en kontrollpost ska statuskoden uppdateras. Statuskoden ska skickas till kontrollservern tillsammans med kontrollposten.

Resultatet av verifieringen av den infogade signaturen enligt 8 kap. 17 § ska skickas till kassaregistret tillsammans med löpnumret för kvittokontrollposten av typ normal.

44 §Ett kontrollprogram ska skicka följande kontrolldata till kontroll-servern.

• Kvittokontrollposter enligt 39–42 §§

• Utmaningskontrollposter enligt 15 § 3

• Systemkontrollposter enligt 9 kap. 5 §

• Aktivitetsloggposter enligt 48 §.

45 §När kontrollprogrammet har fått meddelande från kontrollservern att kontrolldata enligt 44 § har mottagits av kontrollservern ska kontrollprogrammet meddela sammankopplat kassaregister att kvitto enligt 34 § A får registreras i kassaregistret och skrivas ut eller skickas till kund.

Meddelandet till kassaregister ska för varje kvitto innehålla texten ”Kvitto får skrivas ut” samt löpnummer och en avstämningskod enligt 8 kap. 32–34 §§.

När kontrollprogrammet inte får kontakt med kontrollservern

47 §Ett kontrollprogram ska löpande generera följande aktivitetsloggar.

• Systemlogg

• Sammankopplingslogg

• Verifieringslogg

• Anslutningslogg

• Logg för felaktiga signaturer

• Logg för uttag av kontrolldata till Skatteverket

• Logg för andra aktiviteter

48 §Aktivitetsloggarna enligt 47 § ska skickas till kontrollservern som aktivitetsloggposter med följande uppgifter

• namn på loggfilen

• händelse enligt 49–62 §§, och

• text till händelserna enligt 49–62 §§.

En aktivitetsloggspost ska innehålla en händelse i en textsträng.

Systemlogg

Sammankopplingslogg

Verifieringslogg

Anslutningslogg

Logg för felaktiga signaturer

Logg för uttag av kontrolldata till Skatteverket

Logg för andra aktiviteter

2 §I ett kontrollsystem ska det finnas en signeringsmodul för varje kassaregister. Flera kassaregister får dela på en gemensam signeringsmodul om den har en signeringsnyckel.

3 §Signeringsmodulens signeringsnycklar, räknare samt funktioner får endast finnas

1. på en separat hårdvara

2. i en dedikerad dator, eller

3. i en virtuell miljö.

Signeringsnycklarna ska vara skyddade på ett säkert sätt mot utläsning. Särskilda bestämmelser om separat hårdvara, dedikerad dator och virtuell miljö finns i 4 kap.

4 §Signeringsmodulens funktioner får inte vara integrerade i ett kassaregisterprogram och får inte utgöra en del av ett kontrollprogram.

5 §En signeringsmoduls program får inte kunna exekveras tillsammans med ett kassaregisterprogram och får inte dela minne med ett kassaregisterprogram. Detta gäller inte för en signeringsmodul som finns i en virtuell miljö.

En signeringsmodul som kan hantera fler än ett sammankopplat kassaregister ska separera kvittodata från kassaregistren genom användning av ett kassaregisternummer.

6 §En signeringsmodul får endast ha de funktioner som anges i dessa föreskrifter. Ytterligare funktioner får dock finnas om dessa är nödvändiga för att säkerställa de krav som anges i dessa föreskrifter.

7 §En signeringsmodul ska ha tillräcklig kapacitet för att kunna lagra den information som anges i dessa föreskrifter.

8 §De data som en signeringsmodul lagrar får bara vara åtkomliga för signeringsmodulens programvara.

9 §En signeringsmodul får endast kunna kommunicera med ett kontrollprogram.

10 §En signeringsmodul får inte kunna ta emot ett nytt kommando från ett kontrollprogram innan den har utfört närmast föregående kommando.

11 §Om ett avbrott eller annat fel uppstår under behandling av en pågående sekvens av kommandon eller om kontrollprogram skickar ett kommando som inte ingår i en pågående sekvens ska signeringsmodulen skicka ett felmeddelande till kontrollprogrammet. När ett felmeddelande skickas ska signeringsmodulen inte utföra det kommando som kontrollprogrammet har skickat och som är anledningen till att felmeddelandet skickades.

12 §En signeringsmodul ska signera sådana data som kontrollprogrammet begär ska signeras.

Vid signeringen ska signeringsmodulen använda sig av en signeringsnyckel enligt 17–19 §§ och en initialvektor enligt 31–33 §§.

13 §Den signeringsfunktion som ska användas är HMAC version SHA–256.

14 §Signeringsmodulen ska använda följande information för att generera en signatur

• data från kontrollprogrammet enligt 5 kap. 36 §, och

• signeringsnyckel.

15 §Signaturen beräknas som; signatur = HMAC (data, signeringsnyckel).

16 §Av 23 § framgår att vid varje signering ska signeringsmodulens transaktionsräknare räknas upp ett steg.

Av 26 § framgår att vid varje signering av poster som innehåller kvittodata från kvitto av typ normal ska signeringsmodulens kvittoräknare räknas upp ett steg.

Av 32 § framgår att vid varje signering ska signeringsmodulens initialvektor uppdateras.

Signeringsnyckel

Signeringsmodulsidentitet

Transaktionsräknare

Kvittoräknare

Beloppsräknare

Initialvektor

2 §I ett kontrollsystem ska det finnas en signeringsmodul för varje kassaregister. Flera kassaregister får dela på en gemensam signeringsmodul om den har en signeringsnyckel.

Interna data och räknare enligt 17–33 §§ får finnas separat i en särskild programvara eller som en del i ett kontrollprogram.

3 §Signeringsmodulens funktioner får endast finnas

1. på en separat hårdvara

2. i en dedikerad dator

3. i en virtuell miljö.

Signeringsnycklarna ska vara skyddade på ett säkert sätt mot utläsning. Särskilda bestämmelser om separat hårdvara, dedikerad dator och virtuell miljö finns i 4 kap.

4 §Signeringsmodulens funktioner får inte vara integrerade i ett kassaregisterprogram.

5 §En signeringsmoduls program får inte kunna exekveras tillsammans med ett kassaregisterprogram och får inte dela minne med ett kassaregisterprogram. Detta gäller inte för en signeringsmodul som finns i en virtuell miljö.

En signeringsmodul som kan hantera fler än ett sammankopplat kassaregister ska separera kvittodata från kassaregistren genom användning av ett kassaregisternummer.

En signeringsmoduls program får kommunicera med ett externt program för att kunna hantera interna data och räknare enligt 17–33 §§.

6 §En signeringsmodul får endast ha de funktioner som anges i dessa föreskrifter. Ytterligare funktioner får dock finnas om dessa är nödvändiga för att säkerställa de krav som anges i dessa föreskrifter.

7 §En signeringsmodul ska ha tillräcklig kapacitet för att kunna lagra den information som anges i dessa föreskrifter.

8 §De data som en signeringsmodul lagrar får bara vara åtkomliga för signeringsmodulens programvara.

9 §En signeringsmodul får endast kunna kommunicera med ett kontrollprogram.

10 §En signeringsmodul får inte kunna ta emot ett nytt kommando från ett kontrollprogram innan den har utfört närmast föregående kommando.

11 §Om ett avbrott eller annat fel uppstår under behandling av en pågående sekvens av kommandon eller om kontrollprogram skickar ett kommando som inte ingår i en pågående sekvens ska signeringsmodulen skicka ett felmeddelande till kontrollprogrammet. När ett felmeddelande skickas ska signeringsmodulen inte utföra det kommando som kontrollprogrammet har skickat och som är anledningen till att felmeddelandet skickades.

12 §En signeringsmodul ska signera sådana data som kontrollprogrammet begär ska signeras.

Vid signeringen ska signeringsmodulen använda sig av en signeringsnyckel enligt 17–19 §§ och en initialvektor enligt 31–33 §§.

13 §Den signeringsfunktion som ska användas är HMAC version SHA–256.

14 §Signeringsmodulen ska använda följande information för att generera en signatur

• data från kontrollprogrammet enligt 5 kap. 36 §, och

• signeringsnyckel.

15 §Signaturen beräknas som; signatur = HMAC (data, signeringsnyckel).

16 §Av 23 § framgår att vid varje signering ska signeringsmodulens transaktionsräknare räknas upp ett steg.

Av 26 § framgår att vid varje signering av poster som innehåller kvittodata från kvitto av typ normal ska signeringsmodulens kvittoräknare räknas upp ett steg.

Av 32 § framgår att vid varje signering ska signeringsmodulens initialvektor uppdateras.

Signeringsnyckel

Signeringsmodulsidentitet

Transaktionsräknare

Kvittoräknare

Beloppsräknare

Initialvektor

2 §En kontrollserver ska vara en fysiskt separat server. I ett kontrollsystem får finnas mer än en kontrollserver för redundans. En kontrollserver som ingår i ett kontrollsystem ska till Skatteverket kunna läsa ut de uppgifter som Skatteverket begär ska läsas ut enligt 12 kap.

3 §En kontrollserver ska ha en slumptalsgenerator för att generera de slumptal som ska användas som signeringsnycklar och initialvektorer i signeringsmoduler och i kontrollservern. Slumptalsgeneratorn ska generera ett slumpmässigt bitmönster om 256 bitar som har en styrka om 256 bitar. Slumptalsgeneratorn ska minst uppfylla kvalitetsmåtten i NIST SP 800–90B eller senare och nyckelstyrkan ska vara testad med NIST SP 800–133.

4 §En kontrollserver ska ha ett unikt servercertifikat. Servercertifikatet ska vara ett giltigt EV-certifikat (extended validation) som anskaffas och installeras av tillverkaren. EV-certifikatet ska ha en livslängd på högst två år och den ska använda en nyckel på minst 2048 bitar.

Ett wildcard-certifikat får användas om det har ett namn som tydligt visar att certifikatet avser tillverkarens kontrollsystem.

5 §En kontrollserver ska ha en aktuell lagrad lista över giltiga signeringsmodulsidentiteter.

6 §En kontrollserver ska ha en aktuell lagrad lista över giltiga ID-strängar för kontrollprogram.

Kontrollservern ska ha en aktuell lista över giltiga klientcertifikat.

7 §En kontrollserver ska ha en aktuell lagrad lista över de kassaregister som har sammankopplats med kontrollservern. Listan ska innehålla uppgifter om kassaregisternummer och digitala fingeravtryck enligt 9 kap. 4 §.

8 §Kontrollserverns funktion ska övervakas på ett sådant sätt att allvarliga fel snabbt kan identifieras och avhjälpas.

9 §Fel på kontrollservern ska kontrollservern rapportera genom automatiska larm till den driftsansvarige, som snarast ska vidta åtgärder för att återställa driften.

10 §Kontrollserverns fysiska skal ska vara plomberat. Fysiska intrång och intrångsförsök ska ge synliga spår.

Plomberingen får vid reparationsbehov brytas av tillverkaren av kontrollservern eller av denne utsedd behörig person. Om plomberingen bryts ska denna återställas av tillverkaren så snart det kan ske.

Kontrollserverns oanvända fysiska portar ska vara plomberade. Om plomberingarna bryts ska det ge synliga spår.

11 §En kontrollserver ska ha ett ändamålsenligt skydd mot skadlig kod. En kontrollserver ska även ha ett ändamålsenligt skydd mot otillåten åtkomst av kontrolldata och signerings- och krypteringsnycklar.

Anslutning till kontrollprogram

Kontroll av signeringsmoduler och kassaregister

Avstängning av en kontrollserver

Inhämtning av kontrollposter

Verifiering av kontrolldata

18 §En kontrollserver ska under minst fem år lagra följande uppgifter.

1. Mottagna kontrolldata enligt 15 §.

2. Uppgifter om signeringsnycklar och vilka kassaregisternummer som de hör ihop med.

3. Servercertifikat enligt 4 §.

4. Uppgifter om giltiga signeringsmodulsidentiteter enligt 5 §.

5. Uppgifter om giltiga ID-strängar enligt 6 §.

6. Uppgifter om kassaregister och digitala fingeravtryck enligt 7 §. I 11 kap. finns bestämmelser som reglerar åtkomst till kontrollservern.

Kvittokontrollposter enligt 5 kap. 39-42 §§ ska krypteras. Kryptering ska göras med en individuell krypteringsnyckel enligt 36 §.

19 §En kontrollserver ska löpande generera följande aktivitetsloggar.

• Systemlogg

• Sammankopplingslogg

• Verifieringslogg

• Anslutningslogg

• Logg för sammankopplade kassaregister

• Logg för felaktiga signaturer

• Logg för uttag av kontrolldata till Skatteverket

• Logg för andra aktiviteter

• Logg för inloggningar på en kontrollserver

En aktivitetsloggspost ska innehålla en händelse i en textsträng.

Systemlogg

Sammankopplingslogg

Verifieringslogg

Anslutningslogg

Logg för sammankopplade kassaregister

Logg för felaktiga signaturer

Logg för uttag av kontrolldata till Skatteverket

Logg för andra aktiviteter

Logg för inloggningar på en kontrollserver

32 §I 13 § finns bestämmelser om kontroll av sammankopplade signeringsmoduler och kassaregister. Vid sådan kontroll ska kontrollservern generera en avstämningskod för varje kassaregisternummer.

33 §En kontrollserver ska använda följande kontrolldata för generering av en avstämningskod. Avstämningskoden ska för varje kvitto skickas till kontrollprogrammet enligt 5 kap. 45–46 §§.

Kontrolldata ska avse kvittokontrolldata för normalkvitto.

34 §Avstämningskoden ska bestå av två delar.

Del 1: Signeringskod, 32 tecken

Del 2: Krypteringskod, 80 tecken

Avgränsning mellan del 1 och del 2 ska göras med tecknet semikolon (;). Den sammanlagda längden ska vara 113 tecken.

Del 1, Signeringskod

Signeringskoden ska skapas med följande steg (1–2).

1. Kontrolldata enligt 33 § ska signeras med algoritmen enligt 39 §.

   Signaturen ska vara på 20 bytes.

2. Resultatet ska konverteras med bas-32 kodning för att skapa signeringskoden.

   Signeringskoden ska bli 32 alfanumeriska tecken i UTF-8 teckenformat.

Del 2, Krypteringskod

Krypteringskoden ska skapas med följande steg (1-3).

1.

Underlaget för generering av krypteringskoden ska bestå av en 304-bitars datapost med följande fält:

2.

Underlaget för generering av krypteringskoden (tabellen ovan) ska krypteras med den symmetriska krypteringsalgoritmen enligt 38 §.

3.

Resultatet ska konverteras med bas-32 kodning och fyllas ut med ”===” för att skapa den krypterade kontrollinformationen. Krypteringskoden ska presenteras i UTF-8 teckenformat.

Individuella krypteringsnycklar

Skatteverkets huvudnyckel

2 §Sammankoppling ska ske av kassaregister, kontrollprogram, signeringsmodul och de i kontrollsystemet ingående kontrollservrarna. Sammankopplingen styrs av kontrollprogrammet och ska genomföras i två steg.

1. Mellan kontrollprogrammet, ett kassaregister och dess signeringsmodul.

2. Mellan kontrollprogrammet och kontrollservern.

Sammankopplingen enligt 1–2 ska göras för varje kassaregister som ska anslutas till kontrollsystemet. Kontrollsystemet får inte hantera kvittodata från kassaregister innan sammankoppling är gjord.

Kontrollprogram – kassaregister och signeringsmodul

Kontrollprogram – kontrollservern

12 §När kontrollprogrammet startas ska det kontrollera att de kassaregister som är anslutna till kontrollsystemet också är sammankopplade med kontrollsystemet. Kontrollen ska göras mot de uppgifter som har lagrats enligt 10 § andra stycket.

Kontroll av sammankopplingen ska ske varje gång ett kassaregister startas.

13 §Kontrollprogrammet ska minst var tjugofjärde timme kontrollera att de kassaregister som är anslutna till kontrollsystemet också är sammankopplade med kontrollsystemet. Kontrollen ska göras mot de uppgifter som har lagrats enligt 10 § andra stycket.

Verifiering av digitalt fingeravtryck

Inte kontakt med kontrollservern

Lagring

17 §Om kontrollservern vid kontroll enligt 12–14 §§ inte godkänner det lagrade digitala fingeravtrycket för ett visst kassaregister får en ny sammankoppling av detta kassaregister endast initieras av tillverkaren eller av tillverkaren auktoriserad återförsäljare av kontrollsystemet.

Vid sådan initiering ska kontrollservern till kontrollprogrammet skicka begäran om ny sammankoppling av det aktuella kassaregisternumret. Vid sammankoppling ska kontrollprogrammet generera en ny systemkontrollpost enligt 5 §. Systemkontrollposten ska skickas till kontrollservern och det digitala fingeravtrycket i systemkontrollposten utgör det nya digitala fingeravtrycket.

2 §Ett kontrollprogram och en kontrollserver ska kommunicera via en anslutning som använder protokollet TLS version 1.2 eller senare.

Ett kontrollprogram och sammankopplade kassaregister ska kommunicera via en anslutning som använder protokollet TLS version 1.2 eller senare.

TLS-anslutningen ska för algoritmuppsättningar och nyckellängder följa rekommendationerna i aktuell utgåva av NIST SP 800-133.

3 §Om ett kontrollprogram och ett sammankopplat kassaregister är installerade på samma fysiska dator behöver kommunikationen inte ske med TLS 1.2.

4 §All data som skickas inom ett kontrollsystem eller tas emot från ett sammankopplat kassaregister ska bekräftas enligt följande.

1. Ett kontrollprogram ska bekräfta data som tas emot från ett kassaregister, en signeringsmodul och en kontrollserver.

2. En signeringsmodul ska bekräfta data som tas emot från ett kontrollprogram.

3. En kontrollserver ska bekräfta data som tas emot från ett kontrollprogram.

2 §De krav som finns i detta kapitel ska uppfyllas av tillverkaren av kontrollsystemet eller i förekommande fall av en av denne anlitad part som tillhandahåller kontrollserverns miljö. Om utomstående parter anlitas ska detta regleras i avtal. Kontrollserverns miljö ska tillhandahållas inom Europeiska ekonomiska samarbetsområdet (EES).

3 §En kontrollservers hölje ska vara tydligt märkt med minst följande information.

• Namn på kontrollsystemet

• Versionsnummer för kontrollserverns programvara

• Beteckning för certifikat för kontrollsystemet

• Beteckning för certifikat för kontrollserverns miljö

• Beteckningen SKVFS 2020:9.

4 §Tillverkaren ska ha dokumenterade rutiner i form av ledningssystem för kontrollserverns miljö. Ledningssystemet ska minst omfatta de åtgärder som anges i 5–12 §§. Ledningssystemet ska kontinuerligt revideras för att svara upp mot de krav och risker som finns.

5 §Det ska finnas en riskanalys som underlag för tillverkarens ledningssystem. Tillverkaren ska initialt och minst en gång per år göra en riskanalys. En riskanalys ska alltid ingå som underlag vid varje ändring av kontrollserverns miljö. En riskanalys behöver dock inte göras om ändringen av kontrollserverns miljö uppenbarligen inte förändrar hotbilden mot miljön (säkerhet och kvalitet).

6 §En riskanalys ska minst omfatta

• intrångsskydd

• behörigheter till en kontrollserver

• behörighet att hantera information i en kontrollserver

• hantering av krypteringsnycklar

• vilka hot som finns mot informationssäkerheten

• tillgångar knutna till kontrollservens miljö.

Med tillgångar avses sådana tillgångar som är kritiska för kontrollserverns miljö.

7 §Tillverkaren ska vidta de skyddsåtgärder för kontrollserverns miljö som i riskanalysen bedömts som nödvändiga för att upprätthålla lämpligt skydd för tillgångar knutna till kontrollservern.

Tillverkaren ska vidta nödvändiga skyddsåtgärder samt bevaka kvarstående risker.

Tillverkaren ska hantera nya och kvarstående risker genom omvärldsbevakning i den omfattning som behövs.

8 §Tillverkaren ska tydligt definiera ansvarsfördelningen för kontrollserverns miljö enligt bestämmelserna i detta kapitel samt fördela ansvaret i roller. För varje roll ska det finnas en riskprofil som tar hänsyn till kraven i 9 §.

9 §Tillverkaren ska se till att de roller som är definierade upprätthålls av personer som har tillräcklig kompetens samt att personerna är lämpliga för sina roller och förstår sitt ansvar för de roller som de tilldelats.

10 §För kontrollserverns miljö ska det finnas rutiner för hantering och rapportering av säkerhetsincidenter och för incidentrapportering. Resultatet av incidenthanteringen ska användas i riskhanteringen.

11 §Kontrollserverns miljö ska skyddas genom behörighetskontroller med spårbarhet ner på individnivå. För att säkerställa spårbarhet ska nödvändiga uppgifter samlas in och lagras. Uppgifterna ska lagras på ett säkert sätt och under sju år.

12 §Det ska finnas ett tydligt regelverk för ändringshantering för kontrollserverns miljö och ändringar ska dokumenteras. Det ska finnas rutiner för ändringshantering avseende exempelvis uppdatering av programvara i en kontrollserver.

Efterlevnaden av rutinerna ska kontrolleras genom interna revisioner. Genomgång av rutinernas lämplighet ska ske kontinuerligt.

13 §Endast särskilt utsedd personal får ha åtkomst till en kontrollserver och endast för administration och drift. Tillverkaren ska säkerställa att varje användares åtkomstmöjligheter är begränsade. Åtkomstmöjligheten ska vara baserade på behörighet, ansvarsområde och tilldelad roll. Behörigheten ska för varje individ vara definierad både vad avser fysisk åtkomst och möjligheten att logga in i systemet. Tillverkaren ska regelbundet analysera insamlade uppgifter med avseende på att säkerställa att ingen obehörig åtkomst eller obehörig användning av data och system har skett.

14 §För att få åtkomst till en kontrollservers funktioner ska minst två personer logga in.

15 §Kontrolldata får endast läsas ut från en kontrollserver till ett av Skatteverket tillhandahållet lagringsmedium enligt vad som är reglerat i 12 kap.

Kontrolldata får dock läsas ut på lagringsmedia som tillhandahålls av ett certifieringsorgan om det avser ett kassaregister som tillhör certifieringsorganet och som används i certifieringsverksamheten.

16 §Det ska finnas en manuellt förd liggare för varje kontrollserver där följande uppgifter löpande ska noteras.

1. Ändringar, service och uppdateringar.

2. Incidenter avseende kontrollserver eller dess miljö.

Uppgifterna i liggaren ska bevaras under minst tre år efter det att de antecknades.

17 §Det ska finnas ett ändamålsenligt brandskydd för den plats där en kontrollserver förvaras. Det ska finnas ett lämpligt system för upptäckt och åtgärd av brand.

18 §Larm för att upptäcka vattenläckor ska finnas för den plats där en kontrollserver förvaras om det där finns rördragningar innehållande vatten eller om det av andra orsaker finns risk för vattenskador.

19 §En kontrollserver ska ha tillgång till reservkraft för el som ska klara serverns drift under minst 48 timmar.

20 §Kontrollservern ska vara placerad i ett säkert utrymme omgärdat av ett ändamålsenligt skalskydd med tillträdesspärrar och inpasseringskontroller.

21 §Brandvägg ska finnas för att förhindra att obehöriga får åtkomst till en kontrollservers data. Det ska finnas rutiner för kontroll av brandvägg.

22 §Viruskontroll ska ske automatiskt. Det ska finnas rutiner för uppföljning av skydd enligt 8 kap. 11 §.

23 §Säkerhetskopiering av kontrolldata och programvara ska utföras regelbundet enligt fastställd instruktion. En säkerhetskopia av data från en kontrollserver ska vara krypterad på ett ändamålsenligt sätt och ska bevaras på ett säkert sätt. Det ska finnas rutiner för kontroll av att säkerhetskopieringen fungerar och att återläsning sker på ett korrekt sätt.

Återställningsfunktionen ska säkerställa att återställning av tidigare backup visar att inga transaktioner förlorats som registrerats efter att den återlästa backupen togs.

24 §En tillverkare ska hantera individuella krypteringsnycklar enligt 8 kap. 36 § på ett säkert sätt.

25 §En individuell krypteringsnyckel får inte kopieras eller lagras utanför en kontrollserver efter det att krypteringsnyckeln är installerad i kontrollservern. Kopior av individuella krypteringsnycklar som har skapats för mellanlagring ska genast förstöras och på ett sådant sätt att de inte kan återskapas. Krypteringsnyckeln får dock kopieras om den bevaras på ett säkert sätt.

26 §Tillverkaren ska genast underrätta certifieringsorganet och Skatteverket om en individuell krypteringsnyckel misstänks vara eller har konstaterats vara röjd. Certifieringsorganet och Skatteverket ska också underrättas om orsaken till detta.

27 §En kontrollserver ska vara i kontinuerlig drift för att kunna ta emot kontrolldata från enligt 9 kap. sammankopplade kassaregister. Detta gäller inte under tid då kontrollservern behöver vara avstängd för nödvändigt underhåll.

28 §En kontrollserver ska ha säkrad tillgång till internet.

29 §I kontrollserverns miljö ska det finnas tillgång till system och hårdvara för att en kontrollserver ska ha sannolik driftsäkerhet på minst 99 procent av tiden.

30 §Regelbunden mätning och uppföljning av nödvändig kapacitet ska genomföras.

31 §Vid utbyte av en kontrollserver ska tillverkaren genast underrätta certifieringsorganet och Skatteverket. Detta gäller även vid installation av ytterligare kontrollservrar.

Tillverkaren ska genast underrätta certifieringsorganet och Skatteverket om någon allvarlig driftstörning uppkommer.

32 §Av 8 kap. 18 § framgår att en kontrollserver under minst fem år ska lagra vissa uppgifter. Uppgifterna ska lagras under fem år även om det företag som uppgifterna avser har upphört att vara anslutet till de tjänster som en kontrollserver ska tillhanda enligt dessa föreskrifter.

Skatteverkets utläsningsfil

Element och parametrar i en utläsningsfil

Formatmallar för utläsningsfiler

Utläsning av kontrolldata

21 §Kvittokontrollposter, systemkontrollposter och utmaningskon-trollposter ska kunna läsas ut och separeras per kassaregisternummer enligt vad som anges i 4-13 §§. Utläsning ska göras till tre separata filer per kassaregisternummer.

22 §Vid utläsning av kontrolldata enligt 4-7 §§ ska filen normal.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Normal ska till filen skrivas en post med data enligt vad som anges i tabellen.

23 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen kopia.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Kvittokopia ska till filen skrivas en post med data enligt vad som anges i tabellen.

24 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen ovning.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Övningskvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

25 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen proforma.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Pro forma kvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

26 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen raknare.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

27 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen system<signeringmodulsidentititet>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

28 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen sammankoppling<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedan-stående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

29 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen verifiering<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

30 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen anslutning.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

31 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen egen.log skapas. Filen ska inledas med en rad med ordet Egen. För varje förändring som loggats enligt 5 kap. 62 § ska till filen skrivas en post med de data som loggats.

32 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen felaktiga_signaturer.log skapas. Filen ska inledas med en rad med orden Felaktiga signaturer. För varje förändring som loggats enligt 5 kap. 60 § ska till filen skrivas en post med de data som loggats.

33 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen kontrolldata.log skapas. Filen ska inledas med en rad med ordet Kontrolldata. För varje förändring som loggats enligt 5 kap. 61 § ska till filen skrivas en post med samma data.

34 §Kvittokontrollposter, systemkontrollposter och utmaningskon-trollposter ska separeras och läsas ut per kassaregisternummer enligt vad som anges i 4-13 §§.

35 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_normal.txt. skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Normal ska till filen skrivas en post med data enligt vad som anges i tabellen.

36 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_kopia.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Kvittokopia ska till filen skrivas en post med data enligt vad som anges i tabellen.

37 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_ovning.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Övningskvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

38 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_proforma.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto av typen Pro forma kvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

39 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_raknare.txt skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje kvitto ska till filen skrivas en post med data enligt vad som anges i tabellen.

40 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen system<signeringmodulsidentititet>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

41 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen sammankoppling<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedan-stående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

42 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen verifiering<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

43 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen anslutning.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

44 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen egen.log skapas. Filen ska inledas med en rad med ordet Egen. För varje förändring som loggats enligt 5 kap. 62 § ska till filen skrivas en post med samma data.

45 §Vid utläsning av kontrolldata enligt 4-7 §§ ska filen kontrolldata.log skapas. Filen ska inledas med en rad med ordet Kontrolldata. För varje förändring som loggats enligt 5 kap. 61 § ska till filen skrivas en post med samma data.

46 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_system<signeringmodulsidentititet>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

47 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_sammankoppling<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

48 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_verifiering<kassaregisternummer>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedan-stående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

49 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_anslutning<kontrollprograms ID-sträng>.log skapas. Filen ska inledas med en rad som anger fältnamn enligt den ordning som anges i tabellen nedan. För varje förändring av nedanstående data ska till filen skrivas en post med data enligt vad som anges i tabellen.

50 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_sammankopplade_kassaregister.log skapas. Filen ska inledas med en rad med orden Sammankopplade kassaregister. För varje förändring av data som loggats enligt 8 kap. 27 § ska till filen skrivas en post med de data som loggats.

51 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_kontrolldata.log skapas. Filen ska inledas med en rad med orden Utläsning av kontrolldata. För varje förändring av data som loggats enligt 8 kap. 29 § ska till filen skrivas en post med de data som loggats.

52 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_egen.log skapas. Filen ska inledas med en rad med ordet Egen. För varje förändring som loggats enligt 8 kap. 30 § ska till filen skrivas en post med de data som loggats.

53 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_felaktiga_signaturer.log skapas. Filen ska inledas med en rad med orden Felaktiga signaturer. För varje förändring som loggats enligt 8 kap. 28 § ska till filen skrivas en post med de data som loggats.

54 §Vid utläsning av kontrolldata enligt 14 § och med i 4-7 §§ angivna parametrar ska filen server_access.log skapas. Filen ska inledas med en rad med ordet Inloggningar. För varje förändring som loggats enligt 8 kap. 31 § ska till filen skrivas en post med den data som loggats.

Granskning och riskbedömning

Lagring av data i kontrollsystem vid tillverkning

ID-sträng för ett kontrollprogram

Data som ska lagras i en kontrollserver

Överensstämmelse

10 §För varje version av kontrollsystem ska tillverkaren validera att kraven och funktionerna i dessa föreskrifter är uppfyllda.

11 §Testdokumentation ska finnas för valideringen. Testdokumentationen ska innehålla beskrivning av testförfarande och testfall samt användningsmiljö. Resultatet av valideringen ska dokumenteras.

12 §Det ska finnas detaljerad dokumentation av ett kontrollsystems mjuk- och hårdvara med funktionsbeskrivningar och avsedd användningsmiljö.

13 §Det ska finnas dokumenterade instruktioner för installation av kontrollsystemets komponenter och programvaror.

14 §Det ska finnas dokumentation (användarhandböcker) avseende ett kontrollsystems alla funktioner. Användarhandböckerna ska vara på svenska eller engelska och åtfölja kontrollsystemets olika delar eller program vid leverans.

15 §Det ska finnas ett register med uppgifter om vilka versioner av kontrollsystem som har funnits och vilka versioner som är i drift.

16 §Tillverkaren ska ha dokumenterade rutiner i form av ledningssystem för produktionsmiljön motsvarande ISO 9001. Ledningssystemet ska dessutom motsvara de krav som anges i 17–25 §§. Ledningssystemet ska vid behov revideras för att svara upp mot de krav och risker som finns.

17 §Det ska finnas en riskanalys som underlag för tillverkarens ledningssystem. Tillverkaren ska initialt och minst en gång per år göra en riskanalys. En riskanalys ska alltid ingå som underlag vid varje ändring av produktionsmiljön. En riskanalys behöver dock inte göras om ändringen av produktionsmiljön uppenbarligen inte förändrar hotbilden mot produktionsmiljön (säkerhet och kvalitet).

18 §En riskanalys ska omfatta

• hantering av signeringsnycklar

• hantering av Skatteverkets huvudnyckel

• produktionsprocessen från utveckling till tillverkning

• vilka hot som finns mot informationssäkerheten

• vilka nödvändiga skyddsåtgärder som behövs för att upprätta lämpligt skydd för tillgångar knutna till produktionsmiljön för kontrollsystem.

Med tillgångar avses sådana tillgångar som är kritiska för kontrollsystemets kvalitet och säkerhet (tillförlitlighet).

19 §Skyddsåtgärder ska vidtas för produktionsmiljön som i riskanalysen bedömts som nödvändiga för att upprätthålla lämpligt skydd för tillgångar knutna till produktion av kontrollsystem.

Nödvändiga skyddsåtgärder ska vidtas och åtgärder ska vidtas för att bevaka kvarstående risker.

Omvärldsbevakning ska vidtas i den omfattning som behövs för att hantera nya och kvarstående risker.

20 §Det ska finnas en tydligt definierad ansvarsfördelning för informationssäkerheten i produktionsmiljön och ansvaret ska vara fördelat i roller. Särskilt ska ansvaret för hantering av ledningssystemet, Skatteverkets huvudnyckel och individuella krypteringsnycklar vara tydligt definierat. För varje roll ska det finnas en riskprofil.

21 §De roller som är definierade ska upprätthållas av personer som har tillräcklig kompetens, är lämpliga för sina roller och att de ska förstå sitt ansvar för de roller som de tilldelats.

22 §Det ska finnas rutiner för hantering av säkerhetsincidenter och för incidentrapportering. Resultatet av incidenthanteringen ska användas i riskhanteringen.

23 §Verksamhetskritisk data och system för utveckling och tillverkning av kontrollsystem ska skyddas från obehörig åtkomst genom behörighetskontroller och spårbarhet ner på individnivå. Varje användares åtkomstmöjligheter ska vara begränsade till vad som är som är nödvändigt för ansvarsområde och tilldelad roll.

För att säkerställa spårbarhet ska nödvändiga uppgifter samlas in och lagras. Datainsamlingen av de nödvändiga uppgifterna ska minst omfatta uppdatering av programvara och utbyte av huvudnyckel. Uppgifterna ska lagras på ett säkert sätt och under så lång tid som bedöms skäligt av certifieringsorganet.

Uppgifter ska regelbundet samlas in och analyseras för att säkerställa att ingen obehörig åtkomst eller obehörig användning av data och system har skett.

24 §Det ska finnas rutiner för ändringshantering för att säkerställa att tillverkade kontrollsystem är i enlighet med den version som bedömdes vid certifieringen.

Det ska finnas rutiner för ändringshantering avseende uppdatering av all operativ programvara i tillverkningsprocessen.

25 §I produktionsmiljön ska tillverkaren ha rutiner för informationssäkerheten. Efterlevnaden av rutinerna ska kontrolleras genom interna revisioner. Genomgång av rutinernas lämplighet ska ske kontinuerligt.

26 §Tillverkaren ska hantera Skatteverkets huvudnyckel på ett säkert sätt under hela dess livslängd.

I produktionsmiljön ska Skatteverkets huvudnyckel förvaras och användas på ett sådant sätt att risken minimeras för att den röjs eller förändras.

27 §Det ska säkerställas att all hantering av Skatteverkets huvudnyckel sker under sådana former att minst två hos tillverkaren anställda personer samtidigt är närvarande. Uppgifter om hantering av Skatteverkets huvudnyckel ska vara spårbara på individnivå.

28 §Tillverkaren ska genast informera certifieringsorganet och Skatteverket om en huvudnyckel misstänks vara eller har konstaterats vara röjd. Certifieringsorganet och Skatteverket ska också informeras om orsaken till detta. Den röjda huvudnyckeln ska förstöras utan dröjsmål och den får inte användas för att generera individuella krypteringsnycklar.

29 §Kopiering av Skatteverkets huvudnyckel får enbart ske i den utsträckning som det är nödvändigt och endast på ett sådant sätt att risken för att nyckeln röjs minimeras. Kopior av huvudnyckeln ska hanteras som originalet. Kopior av huvudnyckeln som behövs för mellanlagring ska förstöras utan dröjsmål och på ett sådant sätt att de inte kan återskapas.

30 §Skatteverkets huvudnyckel ska förstöras om dess giltighet upphör eller om Skatteverket ställer krav på förstöring av en huvudnyckel. Om verksamheten med tillverkning och hantering av kontrollsystem upphör ska tillverkaren förstöra alla huvudnycklar.

Huvudnycklar ska förstöras utan dröjsmål och på sådant sätt att de inte kan återskapas.

31 §Individuella krypteringsnycklar ska genereras och hanteras i tillverkningsmiljön på ett sådant sätt att risken minimeras för att de röjs.

Individuella krypteringsnycklar får inte kopieras eller lagras utanför en kontrollserver efter det att kontrollservern är tillverkad. Kopior av de individuella krypteringsnycklarna som har skapats för mellanlagring eller i tillverkningsprocessen ska förstöras utan dröjsmål och på ett sådant sätt att de inte kan återskapas.

32 §Tillverkaren ska utan dröjsmål informera certifieringsorganet och Skatteverket om en individuell krypteringsnyckel misstänks vara eller har konstaterats vara röjd. Certifieringsorganet och Skatteverket ska också underrättas om orsaken till detta.

33 §Individuella krypteringsnycklar som inte uppfyller kraven i dessa föreskrifter ska förstöras utan dröjsmål och på ett säkert sätt.

2 §Av 39 kap. 8 § andra stycket skatteförfarandelagen (2011:1244) framgår att kassaregister som avses i 39 kap. 2 § samma lag ska vara certifierade.

3 §Bestämmelser om certifiering och om vilka organ som får utföra certifiering finns i 39 kap. 8 § andra stycket skatteförfarandelagen (2011:1244) respektive i 9 kap. 2 § första stycket skatteförfarandeförordningen (2011:1261). Ett kontrollsystem ska certifieras av ett ackrediterat certifieringsorgan.

4 §Av 9 kap. 2 § andra stycket skatteförfarandeförordningen (2011:1261) framgår att certifiering även får utföras av ett organ från ett annat land inom Europeiska ekonomiska samarbetsområdet (EES) eller från ett land utanför EES som Europeiska unionen har träffat avtal med om ömsesidigt erkännande.

5 §Certifieringen ska omfatta tester av funktioner, säkerhet, prestanda, tillförlitlighet och användarmiljö samt krav på tillverkning som anges i denna föreskrift.

6 §Specifikation ska finnas avseende vilka användningsmiljöer som olika kontrollsystem är avsedda att fungera i. Minst en typ av användningsmiljö ska anges. Certifiering görs med hänsyn tagen till modell och angiven användningsmiljö.

7 §Certifieringsorganet ska vid bedömning av säkerhetstesterna använda internationella standarder eller accepterade normativa specifikationer. Tillverkarens egna metoder för bedömning av säkerhetstesterna får användas om dessa ger minst samma säkerhet vid bedömningen.

8 §Certifieringsorganets analys, test och utvärdering av ett kontrollsystem ska omfatta kontroll av att funktionerna är i överensstämmelse med bestämmelserna i dessa föreskrifter.

9 §Certifieringsorganets analys, test och utvärdering av säkerhetsfunktioner ska minst omfatta

• att individuella krypteringsnycklar i en kontrollserver är skyddade enligt bestämmelserna i dessa föreskrifter

• att kontrollsystemets programvaror är skyddade

• en virtuell miljö och en dedikerad dator uppfyller kraven i 4 kap.

• utvärdering om det finns behov att granska separat hårdvara avsedd för signeringsmodul (4 kap. 2 §).

10 §Certifieringsorganet ska kontrollera att det är spårbart

• om individuella krypteringsnycklar i en kontrollserver ändras

• om en programvara i ett kontrollsystem ändras

• om Skatteverkets kontrolldata ändras eller raderas.

11 §Certifieringsorganet ska utvärdera och bedöma tillverkarens sårbarhetsanalys och säkerhetstester samt vid behov utföra egna säkerhetstester. Certifieringsorganet ska vid behov utföra nödvändiga penetrationstester för att identifiera ytterligare sårbarheter i ett kontrollsystem som inte omfattas av tillverkarens sårbarhetsanalys.

12 §Certifieringsorganet ska kontrollera att granskning enligt 13 kap. 2-4 §§ har utförts.

13 §Certifieringsorganet ska revidera tillverkarens produktionsmiljö vartannat år. Vid brister i produktionsmiljön ska revision göras en gång per år.

14 §Certifieringsorganet ska utfärda ett certifikat om kontrollsystemet uppfyller kraven i dessa föreskrifter. Certifikatet får gälla i högst fem år och kan förnyas med ytterligare högst fem år åt gången.

15 §Certifieringsorganet ska bedöma om ändringar i ett certifierat kontrollsystem medför att ett nytt certifikat ska utfärdas.

16 §Certifieringsorganet ska återkalla ett certifikat

• om tillverkaren inte har följt bestämmelserna i dessa föreskrifter

• om tillverkaren har röjt Skatteverkets huvudnyckel

• om tillverkaren på annat sätt har gjort något som innebär att ett kontrollsystem inte skulle ha godkänts vid certifieringen eller inte skulle komma att godkännas vid en förnyad certifiering.

Certifieringsorganet ska även utvärdera om andra åtgärder bör vidtas mot tillverkaren.

17 §Vid återkallande av ett certifikat ska certifieringsorganet utan dröjsmål underrätta Skatteverket om indragningen och orsaken till denna.

2 §Av 39 kap. 8 § andra stycket skatteförfarandelagen (2011:1244) framgår att kassaregister som avses i 39 kap. 2 § samma lag ska vara certifierade.

3 §Bestämmelser om certifiering och om vilka organ som får utföra certifiering finns i 39 kap. 8 § andra stycket skatteförfarandelagen (2011:1244) respektive i 9 kap. 2 § första stycket skatteförfarandeförordningen (2011:1261). Ett kontrollsystems miljö ska certifieras av ett ackrediterat certifieringsorgan.

4 §Av 9 kap. 2 § andra stycket skatteförfarandeförordningen (2011:1261) framgår att certifiering även får utföras av ett organ från ett annat land inom Europeiska ekonomiska samarbetsområdet (EES) eller från ett land utanför EES som Europeiska unionen har träffat avtal med om ömsesidigt erkännande.

5 §Certifieringsorganets bedömning av ledningssystemet för informationssäkerhet ska omfatta administrativ säkerhet, fysisk säkerhet och IT-säkerhet.

6 §Certifieringsorganet ska vid bedömning av tester enligt 5 § använda tillämpliga internationella standarder eller accepterade normativa specifikationer. Andra metoder för bedömning av testerna får användas om dessa ger minst samma säkerhet vid bedömningen.

7 §Certifieringsorganet ska revidera kontrollserverns miljö en gång per år.

8 §Certifieringsorganet ska utfärda ett certifikat om kontrollsystemets miljö uppfyller kraven i dessa föreskrifter. Certifikatet får gälla i högst fem år och kan förnyas med ytterligare högst fem åt gången.

9 §Certifieringsorganet ska återkalla ett certifikat om den som tillhandahåller en kontrollservers miljö

• inte har följt bestämmelserna i 11 kap.

• har röjt uppgifter lagrade i en kontrollserver

• på annat sätt har gjort något som innebär att kontrollserverns miljö inte skulle ha godkänts vid certifieringen eller inte skulle komma att godkännas vid en förnyad certifiering.

10 §Vid återkallande av ett certifikat ska certifieringsorganet utan dröjsmål underrätta Skatteverket om indragningen och orsaken till denna.