ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot i zakres stosowania

Niniejszym rozporządzeniem ustanawia się europejski program certyfikacji cyberbezpieczeństwa oparty na wspólnych kryteriach (EUCC).

Niniejsze rozporządzenie ma zastosowanie do wszystkich produktów technologii informacyjno-komunikacyjnych („ICT”), w tym ich dokumentacji, które są przedkładane do certyfikacji w ramach EUCC, oraz do wszystkich profili zabezpieczeń, które są przedkładane do certyfikacji w ramach procesu ICT prowadzącego do certyfikacji produktów ICT.

Artykuł 2

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

Artykuł 3

Normy oceny

Do ocen przeprowadzanych w ramach programu EUCC zastosowanie mają następujące normy:

Artykuł 4

Poziomy uzasadnienia zaufania

1. Jednostki certyfikujące wydają certyfikaty EUCC o poziomie uzasadnienia zaufania „istotny” lub „wysoki”.

2. Certyfikaty EUCC o poziomie uzasadnienia zaufania „istotny” odpowiadają certyfikatom, które obejmują poziom AVA_VAN 1 lub 2.

3. Certyfikaty EUCC o poziomie uzasadnienia zaufania „wysoki” odpowiadają certyfikatom, które obejmują poziom AVA_VAN 3, 4 lub 5.

4. Poziom uzasadnienia zaufania potwierdzony w certyfikacie EUCC umożliwia rozróżnienie między zgodnym i rozszerzonym wykorzystaniem komponentów uzasadnienia zaufania określonych we wspólnych kryteriach zgodnie z załącznikiem VIII.

5. Jednostki oceniające zgodność stosują te komponenty uzasadnienia zaufania, od których zależy wybrany poziom AVA_VAN, zgodnie z normami, o których mowa w art. 3.

Artykuł 5

Metody certyfikacji produktów ICT

1. Certyfikację produktu ICT przeprowadza się w odniesieniu do jego celu bezpieczeństwa:

2. Profile zabezpieczeń są certyfikowane wyłącznie do celów certyfikacji produktów ICT należących do określonej kategorii produktów ICT objętych danym profilem zabezpieczeń.

Artykuł 6

Ocena zgodności przez stronę pierwszą

Nie zezwala się na ocenę zgodności przez stronę pierwszą w rozumieniu art. 53 rozporządzenia (UE) 2019/881.

ROZDZIAŁ II

CERTYFIKACJA PRODUKTÓW ICT

Artykuł 7

Kryteria i metody oceny produktów ICT

1. Produkt ICT przedłożony do certyfikacji ocenia się co najmniej zgodnie z następującymi zasadami:

2. W wyjątkowych i należycie uzasadnionych przypadkach jednostka oceniająca zgodność może wnieść o zrezygnowanie z zastosowania odpowiedniego dokumentu odzwierciedlającego stan wiedzy. W takich przypadkach jednostka oceniająca zgodność informuje krajowy organ ds. certyfikacji cyberbezpieczeństwa, podając należyte uzasadnienie swojego wniosku. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia uzasadnienie zastosowania wyjątku i, w uzasadnionych przypadkach, zatwierdza go. Do czasu podjęcia decyzji przez krajowy organ ds. certyfikacji cyberbezpieczeństwa jednostka oceniająca zgodność nie wydaje żadnego certyfikatu. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki powiadamia o zatwierdzeniu wyjątku Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa, która może wydać opinię. Krajowy organ ds. certyfikacji cyberbezpieczeństwa w jak największym stopniu uwzględnia opinię Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa.

3. Certyfikacja produktów ICT na poziomie AVA_VAN 4 lub 5 jest możliwa wyłącznie w następujących scenariuszach:

4. W przypadku gdy jednostka oceniająca zgodność uzna, że zachodzi wyjątkowy i należycie uzasadniony przypadek, o którym mowa w ust. 3 lit. c), powiadamia o zamierzonej certyfikacji krajowy organ ds. certyfikacji cyberbezpieczeństwa, podając uzasadnienie i proponowaną metodykę oceny. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia uzasadnienie zastosowania wyjątku i, w uzasadnionych przypadkach, zatwierdza lub zmienia metodykę oceny, która ma być stosowana przez jednostkę oceniającą zgodność. Do czasu podjęcia decyzji przez krajowy organ ds. certyfikacji cyberbezpieczeństwa jednostka oceniająca zgodność nie wydaje żadnego certyfikatu. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki zgłasza zamierzoną certyfikację Europejskiej Grupie ds. Certyfikacji Cyberbezpieczeństwa, która może wydać opinię. Krajowy organ ds. certyfikacji cyberbezpieczeństwa w jak największym stopniu uwzględnia opinię Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa.

5. W przypadku produktu ICT poddawanego ocenie produktu złożonego, zgodnie z odpowiednimi dokumentami odzwierciedlającymi stan wiedzy, ITSEF, która przeprowadziła ocenę bazowego produktu ICT, przekazuje odpowiednie informacje ITSEF przeprowadzającemu ocenę złożonego produktu ICT.

Artykuł 8

Informacje niezbędne do certyfikacji

1. Wnioskodawca ubiegający się o certyfikację w ramach EUCC dostarcza lub w inny sposób udostępnia jednostce certyfikującej i ITSEF wszelkie informacje niezbędne do działań w zakresie certyfikacji.

2. Informacje, o których mowa w ust. 1, obejmują wszystkie istotne dowody zgodnie z sekcjami „Elementy działania twórcy” w odpowiednim formacie określonym w sekcjach „Treść i prezentacja elementu dowodu” wspólnych kryteriów i wspólnej metodyki oceny w odniesieniu do wybranego poziomu uzasadnienia zaufania i związanych z nim wymogów uzasadnienia zaufania do bezpieczeństwa. Dowody obejmują, w razie potrzeby, szczegółowe informacje na temat produktu ICT i jego kodu źródłowego zgodnie z niniejszym rozporządzeniem, z zastrzeżeniem zabezpieczeń przed nieuprawnionym ujawnieniem.

3. Wnioskodawcy ubiegający się o certyfikację mogą przedstawić jednostce certyfikującej i ITSEF odpowiednie wyniki oceny z wcześniejszej certyfikacji zgodnie z:

4. W przypadku gdy wyniki oceny są istotne dla zadań ITSEF, jednostka ta może ponownie wykorzystać wyniki oceny, pod warunkiem że wyniki te są zgodne z obowiązującymi wymogami, a ich autentyczność jest potwierdzona.

5. W przypadku gdy jednostka certyfikująca zezwala na poddanie produktu certyfikacji produktu złożonego, wnioskodawca ubiegający się o certyfikację udostępnia jednostce certyfikującej i ITSEF wszystkie niezbędne elementy, w stosownych przypadkach, zgodnie z dokumentem odzwierciedlającym stan wiedzy.

6. Wnioskodawcy ubiegający się o certyfikację przekazują również jednostce certyfikującej i ITSEF następujące informacje:

7. Cała odpowiednia dokumentacja, o której mowa w niniejszym artykule, jest przechowywana przez jednostkę certyfikującą, ITSEF i wnioskodawcę przez 5 lat po wygaśnięciu certyfikatu.

Artykuł 9

Warunki wydania certyfikatu EUCC

1. Jednostki certyfikujące wydają certyfikat EUCC, jeżeli spełnione są wszystkie następujące warunki:

2. Wnioskodawca ubiegający się o certyfikację zobowiązuje się:

3. W przypadku produktu ICT poddawanego certyfikacji produktu złożonego, zgodnie z odpowiednimi dokumentami odzwierciedlającymi stan wiedzy, jednostka certyfikująca, która przeprowadziła certyfikację bazowego produktu ICT, przekazuje odpowiednie informacje jednostce certyfikującej przeprowadzającej certyfikację złożonego produktu ICT.

Artykuł 10

Treść i format certyfikatu EUCC

1. Certyfikat EUCC zawiera co najmniej informacje określone w załączniku VII.

2. Zakres i granice certyfikowanego produktu ICT określa się jednoznacznie w certyfikacie EUCC lub sprawozdaniu z certyfikacji, wskazując, czy certyfikowano cały produkt ICT, czy tylko jego części.

3. Jednostka certyfikująca przekazuje wnioskodawcy certyfikat EUCC co najmniej w formie elektronicznej.

4. Jednostka certyfikująca sporządza sprawozdanie z certyfikacji zgodnie z załącznikiem V dla każdego wydanego przez siebie certyfikatu EUCC. Sprawozdanie z certyfikacji opiera się na sprawozdaniu technicznym z oceny wydanym przez ITSEF. W sprawozdaniu technicznym z oceny i sprawozdaniu z certyfikacji wskazuje się szczegółowe kryteria i metody oceny, o których mowa w art. 7, zastosowane na potrzeby oceny.

5. Jednostka certyfikująca przekazuje krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ENISA każdy certyfikat EUCC i każde sprawozdanie z certyfikacji w formie elektronicznej.

Artykuł 11

Znak i etykieta

1. Posiadacz certyfikatu może na certyfikowanym produkcie ICT umieścić znak i etykietę. Znak i etykieta wskazują, że produkt ICT certyfikowano zgodnie z niniejszym rozporządzeniem. Znak i etykietę umieszcza się zgodnie z niniejszym artykułem i załącznikiem IX.

2. Znak i etykietę umieszcza się na certyfikowanym produkcie ICT lub jego tabliczce znamionowej w sposób widoczny, czytelny i trwały. W przypadku gdy nie jest to możliwe lub nie jest to uzasadnione z uwagi na charakter produktu, umieszcza się je na opakowaniu oraz w dokumentach towarzyszących produktowi. W przypadku gdy certyfikowany produkt ICT dostarczany jest w formie oprogramowania, znak i etykietę umieszcza się w sposób widoczny, czytelny i trwały w dokumentacji towarzyszącej lub dokumentacja ta musi być łatwo i bezpośrednio dostępna dla użytkowników za pośrednictwem strony internetowej.

3. Znak i etykieta są określone w załączniku IX i zawierają:

4. Znakowi i etykiecie towarzyszy kod QR wraz z linkiem do strony internetowej zawierającej co najmniej:

Artykuł 12

Okres ważności certyfikatu EUCC

1. Jednostka certyfikująca ustala okres ważności każdego wydanego certyfikatu EUCC, uwzględniając charakterystykę certyfikowanego produktu ICT.

2. Okres ważności certyfikatu EUCC nie może przekraczać 5 lat.

3. Na zasadzie odstępstwa od ust. 2 okres ten może przekraczać 5 lat, pod warunkiem uzyskania uprzedniej zgody krajowego organu ds. certyfikacji cyberbezpieczeństwa. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki powiadamia Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa o udzielonej zgodzie.

Artykuł 13

Przegląd certyfikatu EUCC

1. Na wniosek posiadacza certyfikatu lub z innych uzasadnionych powodów jednostka certyfikująca może podjąć decyzję o przeglądzie certyfikatu EUCC dla produktu ICT. Przegląd przeprowadza się zgodnie z załącznikiem IV. Jednostka certyfikująca określa zakres przeglądu. Jeżeli jest to konieczne do przeprowadzenia przeglądu, jednostka certyfikująca zwraca się do ITSEF o przeprowadzenie ponownej oceny certyfikowanego produktu ICT.

2. Po uzyskaniu wyników przeglądu oraz, w stosownych przypadkach, ponownej oceny jednostka certyfikująca:

3. Jednostka certyfikująca może podjąć decyzję o zawieszeniu, bez zbędnej zwłoki, certyfikatu EUCC zgodnie z art. 30 do czasu podjęcia działań zaradczych przez posiadacza certyfikatu EUCC.

Artykuł 14

Cofnięcie certyfikatu EUCC

1. Bez uszczerbku dla art. 58 ust. 8 lit. e) rozporządzenia (UE) 2019/881 certyfikat EUCC cofa jednostka certyfikująca, która wydała ten certyfikat.

2. Jednostka certyfikująca, o której mowa w ust. 1, powiadamia krajowy organ ds. certyfikacji cyberbezpieczeństwa o cofnięciu certyfikatu. Powiadamia ona również ENISA o takim cofnięciu, aby ułatwić jej wykonywanie zadań na podstawie art. 50 rozporządzenia (UE) 2019/881. Krajowy organ ds. certyfikacji cyberbezpieczeństwa powiadamia inne właściwe organy nadzoru rynku.

3. Posiadacz certyfikatu EUCC może wystąpić o jego cofnięcie.

ROZDZIAŁ III

CERTYFIKACJA PROFILI ZABEZPIECZEŃ

Artykuł 15

Kryteria i metody oceny

1. Profil zabezpieczeń ocenia się co najmniej zgodnie z następującymi zasadami:

2. W wyjątkowych i należycie uzasadnionych przypadkach jednostka oceniająca zgodność może certyfikować profil zabezpieczeń bez zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy. W takich przypadkach informuje ona o tym właściwy krajowy organ ds. certyfikacji cyberbezpieczeństwa i przedstawia uzasadnienie zamierzonej certyfikacji bez zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy oraz proponowaną metodykę oceny. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia to uzasadnienie i, w uzasadnionych przypadkach, zatwierdza zrezygnowanie z zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy oraz zatwierdza lub zmienia, w stosownych przypadkach, metodykę oceny, która ma być stosowana przez jednostkę oceniającą zgodność. Do czasu podjęcia decyzji przez krajowy organ ds. certyfikacji cyberbezpieczeństwa jednostka oceniająca zgodność nie wydaje żadnego certyfikatu w odniesieniu do danego profilu zabezpieczeń. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki powiadamia o zatwierdzonym zrezygnowaniu z zastosowania odpowiednich dokumentów odzwierciedlających stan wiedzy Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa, która może wydać opinię. Krajowy organ ds. certyfikacji cyberbezpieczeństwa w jak największym stopniu uwzględnia opinię Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa.

Artykuł 16

Informacje niezbędne do certyfikacji profili zabezpieczeń

Wnioskodawca ubiegający się o certyfikację profilu zabezpieczeń dostarcza lub w inny sposób udostępnia jednostce certyfikującej i ITSEF wszelkie informacje niezbędne do działań w zakresie certyfikacji. Art. 8 ust. 2, 3, 4 i 7 stosuje się odpowiednio.

Artykuł 17

Wydawanie certyfikatów EUCC dla profili zabezpieczeń

1. Wnioskodawca ubiegający się o certyfikację dostarcza jednostce certyfikującej i ITSEF wszelkie niezbędne kompletne i prawidłowe informacje.

2. Art. 9 i 10 stosuje się odpowiednio.

3. ITSEF ocenia, czy profil zabezpieczeń jest kompletny, spójny, solidny pod względem technicznym i skuteczny w odniesieniu do przewidzianego stosowania i celów bezpieczeństwa kategorii produktu ICT objętej tym profilem zabezpieczeń.

4. Profil zabezpieczeń jest certyfikowany wyłącznie przez:

Artykuł 18

Okres ważności certyfikatu EUCC dla profili zabezpieczeń

1. Jednostka certyfikująca ustala okres ważności każdego certyfikatu EUCC.

2. Okres ważności może odpowiadać maksymalnie całemu cyklowi życia danego profilu zabezpieczeń.

Artykuł 19

Przegląd certyfikatu EUCC dla profili zabezpieczeń

1. Na wniosek posiadacza certyfikatu lub z innych uzasadnionych powodów jednostka certyfikująca może podjąć decyzję o przeglądzie certyfikatu EUCC dla profilu zabezpieczeń. Przegląd przeprowadza się z zastosowaniem warunków określonych w art. 15. Jednostka certyfikująca określa zakres przeglądu. Jeżeli jest to konieczne do przeprowadzenia przeglądu, jednostka certyfikująca zwraca się do ITSEF o przeprowadzenie ponownej oceny certyfikowanego profilu zabezpieczeń.

2. Po uzyskaniu wyników przeglądu oraz, w stosownych przypadkach, ponownej oceny jednostka certyfikująca wykonuje jedną z następujących czynności:

Artykuł 20

Cofnięcie certyfikatu EUCC dla profilu zabezpieczeń

1. Bez uszczerbku dla art. 58 ust. 8 lit. e) rozporządzenia (UE) 2019/881 certyfikat EUCC dla profilu zabezpieczeń cofa jednostka certyfikująca, która wydała ten certyfikat. Art. 14 stosuje się odpowiednio.

2. Certyfikat dla profilu zabezpieczeń wydany zgodnie z art. 17 ust. 4 lit. b) cofa krajowy organ ds. certyfikacji cyberbezpieczeństwa, który zatwierdził ten certyfikat.

ROZDZIAŁ IV

JEDNOSTKI OCENIAJĄCE ZGODNOŚĆ

Artykuł 21

Dodatkowe lub szczególne wymogi obowiązujące jednostkę certyfikującą

1. Jednostka certyfikująca ma zezwolenie krajowego organu ds. certyfikacji cyberbezpieczeństwa na wydawanie certyfikatów EUCC o poziomie uzasadnienia zaufania „wysoki”, jeżeli oprócz spełnienia wymogów określonych w art. 60 ust. 1 rozporządzenia (UE) 2019/881 i w załączniku do tego rozporządzenia, dotyczących akredytacji jednostek oceniających zgodność, jednostka ta wykaże, że:

2. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia, czy jednostka certyfikująca spełnia wszystkie wymogi określone w ust. 1. Ocena ta obejmuje co najmniej ustrukturyzowane wywiady oraz przegląd co najmniej jednej certyfikacji pilotażowej przeprowadzonej przez jednostkę certyfikującą zgodnie z niniejszym rozporządzeniem.

W swojej ocenie krajowy organ ds. certyfikacji cyberbezpieczeństwa może ponownie wykorzystać wszelkie odpowiednie dowody pochodzące z uprzedniego zezwolenia, lub podobnych działań, udzielonego zgodnie z:

3. Krajowy organ ds. certyfikacji cyberbezpieczeństwa sporządza sprawozdanie dotyczące zezwolenia, które podlega wzajemnemu przeglądowi zgodnie z art. 59 ust. 3 lit. d) rozporządzenia (UE) 2019/881.

4. Krajowy organ ds. certyfikacji cyberbezpieczeństwa określa kategorie produktów ICT i profile zabezpieczeń, które obejmuje zezwolenie. Zezwolenie jest ważne przez okres nie dłuższy niż okres ważności akredytacji. Może ono zostać odnowione na wniosek, pod warunkiem że jednostka certyfikująca nadal spełnia wymogi określone w niniejszym artykule. W celu odnowienia zezwolenia nie są wymagane żadne oceny pilotażowe.

5. Krajowy organ ds. certyfikacji cyberbezpieczeństwa cofa zezwolenie dla jednostki certyfikującej, jeżeli przestała ona spełniać warunki określone w niniejszym artykule. Po cofnięciu zezwolenia jednostka certyfikująca zaprzestaje natychmiast promowania się jako jednostka certyfikująca posiadająca zezwolenie.

Artykuł 22

Dodatkowe lub szczególne wymogi obowiązujące ITSEF

1. ITSEF ma zezwolenie krajowego organu ds. certyfikacji cyberbezpieczeństwa na przeprowadzanie oceny produktów ICT podlegających certyfikacji na poziomie uzasadnienia zaufania „wysoki”, jeżeli oprócz spełnienia wymogów określonych w art. 60 ust. 1 rozporządzenia (UE) 2019/881 i w załączniku do tego rozporządzenia, dotyczących akredytacji jednostek oceniających zgodność, ITSEF wykaże, że spełnia wszystkie następujące warunki:

2. Krajowy organ ds. certyfikacji cyberbezpieczeństwa ocenia, czy ITSEF spełnia wszystkie wymogi określone w ust. 1. Ocena ta obejmuje co najmniej ustrukturyzowane wywiady oraz przegląd co najmniej jednej oceny pilotażowej przeprowadzonej przez ITSEF zgodnie z niniejszym rozporządzeniem.

3. W swojej ocenie krajowy organ ds. certyfikacji cyberbezpieczeństwa może ponownie wykorzystać wszelkie odpowiednie dowody pochodzące z uprzedniego zezwolenia, lub podobnych działań, udzielonego zgodnie z:

4. Krajowy organ ds. certyfikacji cyberbezpieczeństwa sporządza sprawozdanie dotyczące zezwolenia, które podlega wzajemnemu przeglądowi zgodnie z art. 59 ust. 3 lit. d) rozporządzenia (UE) 2019/881.

5. Krajowy organ ds. certyfikacji cyberbezpieczeństwa określa kategorie produktów ICT i profile zabezpieczeń, które obejmuje zezwolenie. Zezwolenie jest ważne przez okres nie dłuższy niż okres ważności akredytacji. Może ono zostać odnowione na wniosek, pod warunkiem że ITSEF nadal spełnia wymogi określone w niniejszym artykule. W celu odnowienia zezwolenia nie powinny być wymagane żadne oceny pilotażowe.

6. Krajowy organ ds. certyfikacji cyberbezpieczeństwa cofa zezwolenie dla ITSEF, jeżeli przestała ona spełniać warunki określone w niniejszym artykule. Po cofnięciu zezwolenia ITSEF zaprzestaje promowania się jako ITSEF posiadająca zezwolenie.

Artykuł 23

Notyfikacja jednostek certyfikujących

1. Krajowy organ ds. certyfikacji cyberbezpieczeństwa notyfikuje Komisji jednostki certyfikujące na swoim terytorium, które są właściwe do certyfikacji na poziomie uzasadnienia zaufania „istotny” na podstawie ich akredytacji.

2. Krajowy organ ds. certyfikacji cyberbezpieczeństwa notyfikuje Komisji jednostki certyfikujące na swoim terytorium, które są właściwe do certyfikacji na poziomie uzasadnienia zaufania „wysoki” na podstawie ich akredytacji i decyzji o zezwoleniu.

3. Notyfikując Komisji jednostki certyfikujące, krajowy organ ds. certyfikacji cyberbezpieczeństwa przekazuje co najmniej następujące informacje:

4. Krajowy organ ds. certyfikacji cyberbezpieczeństwa przesyła ENISA kopię notyfikacji, o której mowa w ust. 1 i 2, w celu opublikowania na stronie internetowej poświęconej certyfikacji cyberbezpieczeństwa dokładnych informacji na temat kwalifikowalności jednostek certyfikujących.

5. Krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki analizuje wszelkie informacje dotyczące zmiany statusu akredytacji przekazane przez krajową jednostkę akredytującą. W przypadku cofnięcia akredytacji lub zezwolenia krajowy organ ds. certyfikacji cyberbezpieczeństwa informuje o tym Komisję i może przedłożyć Komisji wniosek zgodnie z art. 61 ust. 4 rozporządzenia (UE) 2019/881.

Artykuł 24

Notyfikacja ITSEF

Określone w art. 23 obowiązki w zakresie notyfikacji dokonywanej przez krajowe organy ds. certyfikacji cyberbezpieczeństwa mają zastosowanie również do ITSEF. W notyfikacji podaje się adres ITSEF, ważną akredytację oraz, w stosownych przypadkach, ważne zezwolenie udzielone tej ITSEF.

ROZDZIAŁ V

MONITOROWANIE, NIEZGODNOŚĆ I NIEPRZESTRZEGANIE PRZEPISÓW

Artykuł 25

Działania monitorujące prowadzone przez krajowy organ ds. certyfikacji cyberbezpieczeństwa

1. Bez uszczerbku dla art. 58 ust. 7 rozporządzenia (UE) 2019/881 krajowy organ ds. certyfikacji cyberbezpieczeństwa monitoruje:

2. Krajowy organ ds. certyfikacji cyberbezpieczeństwa wykonuje swoje działania monitorujące w szczególności na podstawie:

3. Krajowy organ ds. certyfikacji cyberbezpieczeństwa, we współpracy z innymi organami nadzoru rynku, corocznie poddaje kontroli wyrywkowej co najmniej 4 % certyfikatów EUCC zgodnie z oceną ryzyka. Na wniosek właściwego krajowego organu ds. certyfikacji cyberbezpieczeństwa i działając w jego imieniu, jednostki certyfikujące oraz, w razie potrzeby, ITSEF pomagają temu organowi w monitorowaniu zgodności.

4. Krajowy organ ds. certyfikacji cyberbezpieczeństwa wybiera próbę certyfikowanych produktów ICT, które mają zostać poddane kontroli, stosując obiektywne kryteria, w tym:

5. Krajowy organ ds. certyfikacji cyberbezpieczeństwa informuje posiadaczy certyfikatu EUCC o wybranych produktach ICT i kryteriach wyboru.

6. Jednostka certyfikująca, która certyfikowała produkt ICT objęty próbą, na wniosek krajowego organu ds. certyfikacji cyberbezpieczeństwa, z pomocą odpowiedniej ITSEF, przeprowadza dodatkowy przegląd zgodnie z procedurą określoną w sekcji IV.2 załącznika IV i informuje krajowy organ ds. certyfikacji cyberbezpieczeństwa o jego wynikach.

7. Jeżeli krajowy organ ds. certyfikacji cyberbezpieczeństwa ma wystarczające powody, by sądzić, że certyfikowany produkt ICT nie jest już zgodny z niniejszym rozporządzeniem lub z rozporządzeniem (UE) 2019/881, może przeprowadzić dochodzenia lub skorzystać z jakichkolwiek innych uprawnień w zakresie monitorowania określonych w art. 58 ust. 8 rozporządzenia (UE) 2019/881.

8. Krajowy organ ds. certyfikacji cyberbezpieczeństwa informuje zainteresowaną jednostkę certyfikującą i zainteresowaną ITSEF o toczących się dochodzeniach dotyczących wybranych produktów ICT.

9. Jeżeli krajowy organ ds. certyfikacji cyberbezpieczeństwa stwierdzi, że toczące się dochodzenie dotyczy produktów ICT certyfikowanych przez jednostki certyfikujące mające siedzibę w innych państwach członkowskich, informuje o tym krajowe organy ds. certyfikacji cyberbezpieczeństwa odpowiednich państw członkowskich na potrzeby współpracy w dochodzeniach w stosownych przypadkach. Ten krajowy organ ds. certyfikacji cyberbezpieczeństwa powiadamia również Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa o dochodzeniach transgranicznych i ich wynikach.

Artykuł 26

Działania monitorujące prowadzone przez jednostkę certyfikującą

1. Jednostka certyfikująca monitoruje:

2. Jednostka certyfikująca podejmuje działania monitorujące na podstawie:

3. Krajowy organ ds. certyfikacji cyberbezpieczeństwa może opracować zasady okresowego dialogu między jednostkami certyfikującymi a posiadaczami certyfikatów EUCC na potrzeby weryfikacji i sprawozdawczości w zakresie wykonywania zobowiązań podjętych na podstawie art. 9 ust. 2, bez uszczerbku dla działań związanych z innymi właściwymi organami nadzoru rynku.

Artykuł 27

Działania monitorujące prowadzone przez posiadacza certyfikatu

1. Posiadacz certyfikatu EUCC wykonuje następujące zadania w celu monitorowania zgodności certyfikowanego produktu ICT z jego wymogami bezpieczeństwa:

2. Posiadacz certyfikatu EUCC współpracuje z jednostką certyfikującą, ITSEF oraz, w stosownych przypadkach, z krajowym organem ds. certyfikacji cyberbezpieczeństwa w celu wspierania ich działań monitorujących.

Artykuł 28

Konsekwencje niezgodności certyfikowanego produktu ICT lub profilu zabezpieczeń

1. W przypadku gdy certyfikowany produkt ICT lub profil zabezpieczeń jest niezgodny z wymogami określonymi w niniejszym rozporządzeniu i w rozporządzeniu (UE) 2019/881, jednostka certyfikująca informuje posiadacza certyfikatu EUCC o stwierdzonej niezgodności i zwraca się do niego o podjęcie działań zaradczych.

2. W przypadku gdy niezgodność z przepisami niniejszego rozporządzenia może mieć wpływ na zgodność z innymi odpowiednimi przepisami Unii, które przewidują możliwość wykazania domniemania zgodności z wymogami tego aktu prawnego za pomocą certyfikatu EUCC, jednostka certyfikująca niezwłocznie informuje o tym krajowy organ ds. certyfikacji cyberbezpieczeństwa. Krajowy organ ds. certyfikacji cyberbezpieczeństwa niezwłocznie powiadamia o stwierdzonym przypadku niezgodności organ nadzoru rynku odpowiedzialny za takie inne odpowiednie przepisy Unii.

3. Po otrzymaniu informacji, o których mowa w ust. 1, posiadacz certyfikatu EUCC w terminie wyznaczonym przez jednostkę certyfikującą, nieprzekraczającym 30 dni, proponuje jednostce certyfikującej działania zaradcze niezbędne do usunięcia niezgodności.

4. Jednostka certyfikująca może bez zbędnej zwłoki zawiesić certyfikat EUCC zgodnie z art. 30 w nagłych przypadkach lub jeżeli posiadacz certyfikatu EUCC nie współpracuje z nią należycie.

5. Jednostka certyfikująca przeprowadza przegląd zgodnie z art. 13 i 19, oceniając, czy działanie zaradcze rozwiązuje problem niezgodności.

6. Jeżeli posiadacz certyfikatu EUCC nie zaproponuje odpowiednich działań zaradczych w okresie, o którym mowa w ust. 3, certyfikat zostaje zawieszony zgodnie z art. 30 lub cofnięty zgodnie z art. 14 lub 20.

7. Niniejszy artykuł nie ma zastosowania do przypadków podatności mających wpływ na certyfikowany produkt ICT, które należy rozpatrywać zgodnie z rozdziałem VI.

Artykuł 29

Konsekwencje nieprzestrzegania przepisów przez posiadacza certyfikatu

1. Jeżeli jednostka certyfikująca stwierdzi, że:

2. Jeżeli posiadacz certyfikatu EUCC nie zaproponuje odpowiednich działań zaradczych w okresie, o którym mowa w ust. 1, certyfikat zostaje zawieszony zgodnie z art. 30 lub cofnięty zgodnie z art. 14 i art. 20.

3. Ciągłe lub powtarzające się naruszanie przez posiadacza certyfikatu EUCC obowiązków, o których mowa w ust. 1, powoduje cofnięcie certyfikatu EUCC zgodnie z art. 14 lub art. 20.

4. Jednostka certyfikująca informuje krajowy organ ds. certyfikacji cyberbezpieczeństwa o ustaleniach, o których mowa w ust. 1. W przypadku gdy nieprzestrzeganie przepisów ma wpływ na zgodność z innymi odpowiednimi przepisami Unii, krajowy organ ds. certyfikacji cyberbezpieczeństwa niezwłocznie powiadamia o stwierdzonym przypadku nieprzestrzegania przepisów organ nadzoru rynku odpowiedzialny za takie inne odpowiednie przepisy Unii.

Artykuł 30

Zawieszenie certyfikatu EUCC

1. W przypadku gdy niniejsze rozporządzenie odnosi się do zawieszenia certyfikatu EUCC, jednostka certyfikująca zawiesza dany certyfikat EUCC na okres odpowiedni do okoliczności powodujących zawieszenie, nieprzekraczający 42 dni. Bieg okresu zawieszenia rozpoczyna się w dniu następującym po dniu podjęcia decyzji przez jednostkę certyfikującą. Zawieszenie nie wpływa na ważność certyfikatu.

2. Jednostka certyfikująca bez zbędnej zwłoki powiadamia posiadacza certyfikatu i krajowy organ ds. certyfikacji cyberbezpieczeństwa o zawieszeniu oraz podaje przyczyny zawieszenia, wymagane działania, które należy podjąć, oraz okres zawieszenia.

3. Posiadacze certyfikatów powiadamiają nabywców danych produktów ICT o zawieszeniu i powodach zawieszenia przedstawionych przez jednostkę certyfikującą, z wyjątkiem tych części powodów, których ujawnienie stanowiłoby ryzyko dla bezpieczeństwa lub które zawierają informacje szczególnie chronione. Posiadacz certyfikatu również udostępnia publicznie te informacje.

4. W przypadku gdy inne odpowiednie przepisy Unii przewidują domniemanie zgodności na podstawie certyfikatów wydanych zgodnie z przepisami niniejszego rozporządzenia, krajowy organ ds. certyfikacji cyberbezpieczeństwa informuje o zawieszeniu organ nadzoru rynku odpowiedzialny za takie inne odpowiednie przepisy Unii.

5. O zawieszeniu certyfikatu powiadamia się ENISA zgodnie z art. 42 ust. 3.

6. W należycie uzasadnionych przypadkach krajowy organ ds. certyfikacji cyberbezpieczeństwa może zezwolić na przedłużenie okresu zawieszenia certyfikatu EUCC. Całkowity okres zawieszenia nie może przekraczać jednego roku.

Artykuł 31

Konsekwencje nieprzestrzegania przepisów przez jednostkę oceniającą zgodność

1. W przypadku niewywiązywania się z obowiązków przez jednostkę certyfikującą lub przez odpowiednią jednostkę certyfikującą w razie stwierdzenia niewywiązywania się z obowiązków przez ITSEF krajowy organ ds. certyfikacji cyberbezpieczeństwa bez zbędnej zwłoki:

2. Na podstawie środków, o których mowa w ust. 1, jednostka certyfikująca przyjmuje jedną z następujących decyzji w odniesieniu do każdego certyfikatu EUCC, na który ma to wpływ:

3. Na podstawie środków, o których mowa w ust. 1, krajowy organ ds. certyfikacji cyberbezpieczeństwa:

ROZDZIAŁ VI

ZARZĄDZANIE PODATNOŚCIAMI I UJAWNIANIE PODATNOŚCI

Artykuł 32

Zakres zarządzania podatnościami

Niniejszy rozdział ma zastosowanie do produktów ICT, w odniesieniu do których wydano certyfikat EUCC.

Artykuł 33

Procedury zarządzania podatnościami

1. Posiadacz certyfikatu EUCC ustanawia i utrzymuje wszystkie niezbędne procedury zarządzania podatnościami zgodnie z zasadami określonymi w niniejszej sekcji oraz, w razie potrzeby, uzupełnione procedurami określonymi w normie EN ISO/IEC 30111.

2. Posiadacz certyfikatu EUCC utrzymuje i publikuje odpowiednie metody otrzymywania ze źródeł zewnętrznych, w tym od użytkowników, jednostek certyfikujących i ekspertów w obszarze bezpieczeństwa, informacji o podatnościach związanych z jego produktami.

3. W przypadku gdy posiadacz certyfikatu EUCC wykryje potencjalną podatność mającą wpływ na certyfikowany produkt ICT lub otrzyma informacje jej temat, rejestruje ją i przeprowadza analizę skutków podatności.

4. Jeżeli potencjalna podatność wpływa na produkt złożony, posiadacz certyfikatu EUCC informuje posiadacza zależnych certyfikatów EUCC o potencjalnej podatności.

5. Na uzasadniony wniosek jednostki certyfikującej, która wydała certyfikat, posiadacz certyfikatu EUCC przekazuje tej jednostce certyfikującej wszystkie istotne informacje na temat potencjalnych podatności.

Artykuł 34

Analiza skutków podatności

1. Analiza skutków podatności musi odnosić się do celu oceny i oświadczeń o uzasadnieniu zaufania zawartych w certyfikacie Analizę skutków podatności przeprowadza się w terminie odpowiednim z punktu widzenia możliwości wykorzystania i krytyczności potencjalnej podatności certyfikowanego produktu ICT.

2. W stosownych przypadkach dokonuje się obliczenia potencjału ataku zgodnie z odpowiednią metodyką zawartą w normach, o których mowa w art. 3, oraz w odpowiednich dokumentach odzwierciedlających stan wiedzy wymienionych w załączniku I, aby ustalić możliwość wykorzystania podatności. Uwzględnia się poziom AVA_VAN certyfikatu EUCC.

Artykuł 35

Sprawozdanie z analizy skutków podatności

1. Posiadacz sporządza sprawozdanie z analizy skutków podatności, jeżeli z analizy skutków wynika, że podatność ta ma prawdopodobny wpływ na zgodność produktu ICT z jego certyfikatem.

2. Sprawozdanie z analizy skutków podatności zawiera ocenę następujących elementów:

3. Sprawozdanie z analizy skutków podatności zawiera, w stosownych przypadkach, szczegółowe informacje na temat możliwych sposobów wykorzystania podatności. Informacje dotyczące możliwych sposobów wykorzystania podatności są przetwarzane zgodnie z odpowiednimi środkami bezpieczeństwa, aby chronić ich poufność i zapewnić w razie potrzeby ich ograniczone rozpowszechnianie.

4. Posiadacz certyfikatu EUCC bez zbędnej zwłoki przekazuje sprawozdanie z analizy skutków podatności jednostce certyfikującej lub krajowemu organowi ds. certyfikacji cyberbezpieczeństwa zgodnie z art. 56 ust. 8 rozporządzenia (UE) 2019/881.

5. W przypadku gdy w sprawozdaniu z analizy skutków podatności stwierdzono, że podatność nie jest rezydualna w rozumieniu norm, o których mowa w art. 3, i że można jej zaradzić, zastosowanie ma art. 36.

6. W przypadku gdy w sprawozdaniu z analizy skutków podatności stwierdzono, że podatność nie jest rezydualna i że nie można jej zaradzić, certyfikat EUCC zostaje cofnięty zgodnie z art. 14.

7. Posiadacz certyfikatu EUCC monitoruje wszelkie rezydualne podatności w celu zapewnienia, aby nie można było ich wykorzystać w przypadku zmian w środowisku operacyjnym.

Artykuł 36

Zaradzanie podatności

Posiadacz certyfikatu EUCC przedkłada jednostce certyfikującej propozycję odpowiedniego działania zaradczego. Jednostka certyfikująca przeprowadza przegląd certyfikatu zgodnie z art. 13. Zakres tego przeglądu określa się na podstawie propozycji zaradzenia podatności.

Artykuł 37

Informacje udostępniane krajowemu organowi ds. certyfikacji cyberbezpieczeństwa

1. Informacje przekazywane przez jednostkę certyfikującą krajowemu organowi ds. certyfikacji cyberbezpieczeństwa obejmują wszystkie elementy niezbędne krajowemu organowi ds. certyfikacji cyberbezpieczeństwa do zrozumienia skutków podatności, zmiany, jakie należy wprowadzić w produkcie ICT, oraz, o ile są dostępne, wszelkie informacje jednostki certyfikującej na temat szerszych konsekwencji podatności dla innych certyfikowanych produktów ICT.

2. Informacje przekazywane zgodnie z ust. 1 nie mogą zawierać szczegółowych informacji na temat sposobów wykorzystania podatności. Przepis ten pozostaje bez uszczerbku dla uprawnień dochodzeniowych krajowego organu ds. certyfikacji cyberbezpieczeństwa.

Artykuł 38

Współpraca z innymi krajowymi organami ds. certyfikacji cyberbezpieczeństwa

1. Krajowy organ ds. certyfikacji cyberbezpieczeństwa udostępnia odpowiednie informacje otrzymane zgodnie z art. 37 innym krajowym organom ds. certyfikacji cyberbezpieczeństwa i ENISA.

2. Inne krajowe organy ds. certyfikacji cyberbezpieczeństwa mogą podjąć decyzję o dalszej analizie podatności lub, po poinformowaniu posiadacza certyfikatu EUCC, zwrócić się do odpowiednich jednostek certyfikujących o ocenę, czy podatność może mieć wpływ na inne certyfikowane produkty ICT.

Artykuł 39

Podawanie do wiadomości publicznej informacji o podatności

Po cofnięciu certyfikatu posiadacz certyfikatu EUCC ujawnia i rejestruje wszelkie publicznie znane i wyeliminowane podatności w produkcie ICT w europejskiej bazie danych dotyczących podatności, utworzonej zgodnie z art. 12 dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (5), lub w innych repozytoriach internetowych, o których mowa w art. 55 ust. 1 lit. d) rozporządzenia (UE) 2019/881.

ROZDZIAŁ VII

PRZECHOWYWANIE, UJAWNIANIE I OCHRONA INFORMACJI

Artykuł 40

Przechowywanie dokumentów przez jednostki certyfikujące i ITSEF

1. ITSEF i jednostki certyfikujące prowadzą system dokumentacji, który zawiera wszystkie dokumenty sporządzone w związku z każdą przeprowadzoną przez nie oceną i certyfikacją.

2. Jednostki certyfikujące i ITSEF przechowują dokumentację w bezpieczny sposób i przez okres niezbędny do celów niniejszego rozporządzenia oraz przez co najmniej 5 lat po cofnięciu odpowiedniego certyfikatu EUCC. Gdy jednostka certyfikująca wydaje nowy certyfikat EUCC zgodnie z art. 13 ust. 2 lit. c), przechowuje dokumentację cofniętego certyfikatu EUCC wraz z nowym certyfikatem EUCC i tak długo jak w przypadku nowego certyfikatu EUCC.

Artykuł 41

Informacje udostępniane przez posiadacza certyfikatu

1. Informacje, o których mowa w art. 55 rozporządzenia (UE) 2019/881, muszą być dostępne w języku łatwo zrozumiałym dla użytkowników.

2. Posiadacz certyfikatu EUCC przechowuje w bezpieczny sposób przez okres niezbędny do celów niniejszego rozporządzenia i przez co najmniej 5 lat po cofnięciu odpowiedniego certyfikatu EUCC:

3. Gdy jednostka certyfikująca wydaje nowy certyfikat EUCC zgodnie z art. 13 ust. 2 lit. c), posiadacz przechowuje dokumentację cofniętego certyfikatu EUCC wraz z nowym certyfikatem EUCC i tak długo jak w przypadku nowego certyfikatu EUCC.

4. Na wniosek jednostki certyfikującej lub krajowego organu ds. certyfikacji cyberbezpieczeństwa posiadacz certyfikatu EUCC udostępnia dokumentację i kopie, o których mowa w ust. 2.

Artykuł 42

Informacje udostępniane przez ENISA

1. ENISA publikuje na stronie internetowej, o której mowa w art. 50 ust. 1 rozporządzenia (UE) 2019/881, następujące informacje:

2. Informacje, o których mowa w ust. 1, udostępnia się co najmniej w języku angielskim.

3. Jednostki certyfikujące oraz, w stosownych przypadkach, krajowe organy ds. certyfikacji cyberbezpieczeństwa niezwłocznie informują ENISA o swoich decyzjach mających wpływ na treść lub status certyfikatu EUCC, o którym to statusie mowa w ust. 1 lit. b).

4. ENISA zapewnia, aby w informacjach publikowanych zgodnie z ust. 1 lit. a), b) i c) jasno wskazywano wersje certyfikowanego produktu ICT, które są objęte certyfikatem EUCC.

Artykuł 43

Ochrona informacji

Jednostki oceniające zgodność, krajowe organy ds. certyfikacji cyberbezpieczeństwa, ECCG, ENISA, Komisja i wszystkie inne strony zapewniają bezpieczeństwo i ochronę tajemnic handlowych i innych informacji poufnych, w tym tajemnic przedsiębiorstwa, a także ochronę praw własności intelektualnej, oraz wprowadzają niezbędne i odpowiednie środki techniczne i organizacyjne.

ROZDZIAŁ VIII

UMOWY O WZAJEMNYM UZNAWANIU Z PAŃSTWAMI TRZECIMI

Artykuł 44

Warunki

1. Państwa trzecie, które chcą certyfikować swoje produkty zgodnie z niniejszym rozporządzeniem i które chcą, aby taka certyfikacja była uznawana w Unii, zawierają z Unią umowę o wzajemnym uznawaniu.

2. Umowa o wzajemnym uznawaniu obejmuje mające zastosowanie poziomy uzasadnienia zaufania w odniesieniu do certyfikowanych produktów ICT oraz, w stosownych przypadkach, profili zabezpieczeń.

3. Umowy o wzajemnym uznawaniu, o których mowa w ust. 1, można zawierać wyłącznie z państwami trzecimi, które spełniają następujące warunki:

4. Oprócz warunków określonych w ust. 3 umowę o wzajemnym uznawaniu, o której mowa w ust. 1, obejmującą poziom uzasadnienia zaufania „wysoki” można zawrzeć z państwami trzecimi tylko wtedy, gdy spełnione są również następujące warunki:

ROZDZIAŁ IX

WZAJEMNA OCENA JEDNOSTEK CERTYFIKUJĄCYCH

Artykuł 45

Procedura wzajemnej oceny

1. Jednostkę certyfikującą wydającą certyfikaty EUCC o poziomie uzasadnienia zaufania „wysoki” poddaje się wzajemnej ocenie regularnie i co najmniej co 5 lat. Poszczególne typy wzajemnej oceny są wymienione w załączniku VI.

2. Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa sporządza i utrzymuje harmonogram wzajemnych ocen, zapewniając przestrzeganie takiej częstotliwości. Z wyjątkiem należycie uzasadnionych przypadków wzajemne oceny przeprowadza się na miejscu.

3. Wzajemna ocena może opierać się na dowodach zgromadzonych w trakcie poprzednich wzajemnych ocen lub równoważnych procedur jednostki certyfikującej poddanej wzajemnej ocenie lub krajowego organu ds. certyfikacji cyberbezpieczeństwa, pod warunkiem że:

4. W przypadku gdy wzajemna ocena obejmuje domenę techniczną, ocenia się również zainteresowaną ITSEF.

5. Jednostka certyfikująca poddana wzajemnej ocenie oraz, w razie potrzeby, krajowy organ ds. certyfikacji cyberbezpieczeństwa zapewniają, aby wszystkie istotne informacje były udostępniane zespołowi ds. wzajemnej oceny.

6. Wzajemną ocenę przeprowadza zespół ds. wzajemnej oceny utworzony zgodnie z załącznikiem VI.

Artykuł 46

Etapy wzajemnej oceny

1. Na etapie przygotowawczym członkowie zespołu ds. wzajemnej oceny dokonują przeglądu dokumentacji jednostki certyfikującej, obejmującej jej polityki i procedury, w tym wykorzystanie dokumentów odzwierciedlających stan wiedzy.

2. Na etapie wizyty na miejscu zespół ds. wzajemnej oceny ocenia kompetencje techniczne jednostki oraz, w stosownych przypadkach, kompetencje ITSEF, która przeprowadziła co najmniej jedną ocenę produktu ICT objętą wzajemną oceną.

3. Czas trwania etapu wizyty na miejscu może zostać przedłużony lub skrócony w zależności od takich czynników, jak możliwość ponownego wykorzystania istniejących dowodów i wyników z wzajemnej oceny lub liczba ITSEF i domen technicznych, w odniesieniu do których jednostka certyfikująca wydaje certyfikaty.

4. W stosownych przypadkach zespół ds. wzajemnej oceny określa kompetencje techniczne każdej ITSEF, odwiedzając jej laboratorium lub laboratoria techniczne oraz przeprowadzając wywiady z jej oceniającymi w odniesieniu do danej domeny technicznej i powiązanych konkretnych metod ataku.

5. Na etapie opracowywania sprawozdania zespół ds. oceny dokumentuje poczynione ustalenia w sprawozdaniu z wzajemnej oceny wraz z opinią oraz, w stosownych przypadkach, wykazem zaobserwowanych niezgodności, z których każdą klasyfikuje się według poziomu krytyczności.

6. Sprawozdanie z wzajemnej oceny musi najpierw zostać omówione z jednostką certyfikującą poddaną wzajemnej ocenie. Następnie, po omówieniu sprawozdania, jednostka certyfikująca ustala harmonogram środków, które należy wprowadzić w celu zastosowania się do ustaleń.

Artykuł 47

Sprawozdanie z wzajemnej oceny

1. Zespół ds. wzajemnej oceny przekazuje jednostce certyfikującej poddanej wzajemnej ocenie projekt sprawozdania z wzajemnej oceny.

2. Jednostka certyfikująca poddana wzajemnej ocenie przedkłada zespołowi ds. wzajemnej oceny uwagi dotyczące ustaleń oraz wykaz zobowiązań mających na celu wyeliminowanie niedociągnięć wskazanych w projekcie sprawozdania z wzajemnej oceny.

3. Zespół ds. wzajemnej oceny przedkłada Europejskiej Grupie ds. Certyfikacji Cyberbezpieczeństwa końcowe sprawozdanie z wzajemnej oceny, które zawiera również uwagi i zobowiązania jednostki certyfikującej poddanej wzajemnej ocenie. Zespół ds. wzajemnej oceny przedstawia również swoje stanowisko w sprawie uwag oraz tego, czy zobowiązania te wystarczają do wyeliminowania stwierdzonych niedociągnięć.

4. W przypadku stwierdzenia niezgodności w sprawozdaniu z wzajemnej oceny Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa może wyznaczyć jednostce certyfikującej poddanej wzajemnej ocenie odpowiedni termin na wyeliminowanie niezgodności.

5. Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa przyjmuje opinię w sprawie sprawozdania z wzajemnej oceny:

6. Przed opublikowaniem opinii z publikowanych dokumentów usuwa się wszelkie informacje szczególnie chronione, dane osobowe lub informacje zastrzeżone.

ROZDZIAŁ X

UTRZYMANIE PROGRAMU

Artykuł 48

Utrzymanie EUCC

1. Komisja może zwrócić się do Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa o przyjęcie opinii w świetle utrzymania EUCC i podjęcie niezbędnych prac przygotowawczych.

2. Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa może przyjąć opinię w celu zatwierdzenia dokumentów odzwierciedlających stan wiedzy.

3. ENISA publikuje dokumenty odzwierciedlające stan wiedzy, które zatwierdziła Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa.

ROZDZIAŁ XI

PRZEPISY KOŃCOWE

Artykuł 49

Programy krajowe objęte EUCC

1. Zgodnie z art. 57 ust. 1 rozporządzenia (UE) 2019/881 i bez uszczerbku dla art. 57 ust. 3 tego rozporządzenia wszystkie krajowe programy certyfikacji cyberbezpieczeństwa i powiązane z nimi procedury dotyczące produktów ICT i procesów ICT, które są objęte EUCC, przestają być skuteczne po upływie 12 miesięcy od wejścia w życie niniejszego rozporządzenia.

2. Na zasadzie odstępstwa od art. 50 proces certyfikacji może zostać zainicjowany w ramach krajowego programu certyfikacji cyberbezpieczeństwa w okresie 12 miesięcy od wejścia w życie niniejszego rozporządzenia, pod warunkiem, że ten proces certyfikacji zostanie zakończony nie później niż 24 miesiące po wejściu w życie niniejszego rozporządzenia.

3. Certyfikaty wydane w ramach krajowych programów certyfikacji cyberbezpieczeństwa mogą podlegać przeglądowi. Nowe certyfikaty zastępujące zweryfikowane certyfikaty wydaje się zgodnie z niniejszym rozporządzeniem.

Artykuł 50

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 27 lutego 2025 r.