1. Iga liikmesriik määrab oma territooriumil ühe või mitu riiklikku küberturvalisuse sertifitseerimise asutust või vastastikusel kokkuleppel teise liikmesriigiga ühe või mitu riiklikku küberturvalisuse sertifitseerimise asutust, mis asub nimetatud teises liikmesriigis ja mis vastutab järelevalveülesannete eest määravas liikmesriigis.
2. Iga liikmesriik teatab komisjonile määratud riiklike küberturvalisuse sertifitseerimise asutuste andmetest. Kui liikmesriik määrab rohkem kui ühe asutuse, teatab ta komisjonile ka igale asutusele määratud ülesannetest.
3. Ilma et see piiraks artikli 56 lõike 5 punkti a ja artikli 56 lõike 6 kohaldamist, peab iga riiklik küberturvalisuse sertifitseerimise asutus olema oma organisatsiooni, rahastamisotsuste, õigusliku struktuuri ja otsuste tegemise poolest sõltumatu üksustest, mille järele ta valvab.
4. Liikmesriigid tagavad, et riikliku küberturvalisuse sertifitseerimise asutuste tegevus on seoses artikli 56 lõike 5 punktis a ja artikli 56 lõikes 6 osutatud Euroopa küberturvalisuse sertifikaatide väljaandmisega rangelt lahus käesolevas artiklis sätestatud järelevalvetegevustest ning et nimetatud tegevusi viiakse ellu üksteisest sõltumatult.
5. Liikmesriigid tagavad, et riiklikel küberturvalisuse sertifitseerimise asutustel on piisavad ressursid oma volituste rakendamiseks ning oma ülesannete tulemuslikuks ja tõhusaks täitmiseks.
6. Käesoleva määruse tõhusaks rakendamiseks on asjakohane, et riiklikud küberturvalisuse sertifitseerimise asutused osaleksid aktiivselt, tõhusalt, tulemuslikult ja turvaliselt Euroopa küberturvalisuse sertifitseerimise rühma töös.
7. Riiklik küberturvalisuse sertifitseerimise asutus:
|
a) |
teeb koostöös teiste asjaomaste turujärelevalveasutustega järelevalvet artikli 54 lõike 1 punkti j kohaselt Euroopa küberturvalisuse sertifitseerimise kavades sisalduva eeskirja üle, mille kohaselt kontrollitakse IKT-toodete, -teenuste ja -protsesside vastavust selliste Euroopa küberturvalisuse sertifikaatide nõuetele, mis on välja antud tema liikmesriigi territooriumil, ja tagab selle eeskirja täitmise; |
|
b) |
jälgib tema liikmesriigi territooriumil asuvate ja vastavuse enesehindamist tegevate IKT-toodete, -teenuste või -protsesside tootjate või pakkujate kohustuste täitmist, eriti artikli 53 lõigetes 2 ja 3 ning vastavas Euroopa küberturvalisuse sertifitseerimise kavas sätestatud kohustuste täitmist, ja tagab nende kohustuste täitmise; |
|
c) |
aktiivselt aitab ja toetab riiklikke akrediteerimisasutusi vastavushindamisasutuste poolt käesoleva määruse kohaldamiseks läbi viidava tegevuse jälgimisel ja järelevalvel, ilma et see piiraks artikli 60 lõike 3 kohaldamist; |
|
d) |
jälgib ja kontrollib artikli 56 lõikes 5 osutatud avaliku sektori asutuste tegevust; |
|
e) |
annab kooskõlas artikli 60 lõikega 3 vastavushindamisasutustele loa, kui see on asjakohane, ning piirab olemasolevat luba, peatab selle kehtivuse või tunnistab selle kehtetuks, kui vastavushindamisasutused rikuvad käesoleva määruse nõudeid; |
|
f) |
käsitleb füüsiliste või juriidiliste isikute kaebusi seoses Euroopa küberturvalisuse sertifikaatidega, mille on välja andnud riiklikud küberturvalisuse sertifitseerimise asutused või kooskõlas artikli 56 lõikega 6 vastavushindamisasutused, või seoses artikli 53 kohaselt välja antud ELi vastavusdeklaratsioonidega, ning uurib asjakohasel määral nende kaebuste sisu ja teavitab kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest; |
|
g) |
esitab ENISA-le ja Euroopa küberturvalisuse sertifitseerimise rühmale iga-aastase kokkuvõtliku aruande käesoleva lõike punktide b, c ja d ning lõike 8 kohaselt läbi viidud tegevuste kohta; |
|
h) |
teeb koostööd teiste riiklike küberturvalisuse sertifitseerimise asutuste ja muude avaliku sektori asutustega, sealhulgas jagades teavet IKT-toodete, -teenuste ja -protsesside võimaliku mittevastavuse kohta käesoleva määruse või konkreetsete Euroopa küberturvalisuse sertifitseerimise kavade nõuetele, ning |
|
i) |
jälgib küberturvalisuse sertifitseerimise valdkonna asjakohast arengut. |
8. Igal riiklikul küberturvalisuse sertifitseerimise asutusel on vähemalt järgmised volitused:
|
a) |
anda vastavushindamisasutustele, Euroopa küberturvalisuse sertifikaadi omanikele ja ELi vastavusdeklaratsiooni väljaandjatele korraldus esitada teavet, mis on vajalik tema ülesannete täitmiseks; |
|
b) |
uurida auditi vormis vastavushindamisasutusi, Euroopa küberturvalisuse sertifikaadi omanikke ja ELi vastavusdeklaratsiooni väljaandjaid, et kontrollida nende poolt käesoleva jaotise järgimist; |
|
c) |
võtta asjakohaseid meetmeid vastavalt liikmesriigi õigusele tagamaks, et vastavushindamisasutused, Euroopa küberturvalisuse sertifikaadi omanikud ja ELi vastavusdeklaratsiooni väljaandjad järgivad käesoleva määruse ja Euroopa küberturvalisuse sertifitseerimise kava nõudeid; |
|
d) |
saada juurdepääs kõigile vastavushindamisasutuste ja Euroopa küberturvalisuse sertifikaadi omanike ruumidele, et toimetada uurimisi kooskõlas liidu või liikmesriigi menetlusõigusega; |
|
e) |
tunnistada liikmesriigi õiguse kohaselt kehtetuks Euroopa küberturvalisuse sertifikaadid, mille on välja andnud riiklikud küberturvalisuse sertifitseerimise asutused või kooskõlas artikli 56 lõikega 6 vastavushindamisasutused, kui need sertifikaadid ei vasta käesolevale määrusele või Euroopa küberturvalisuse sertifitseerimise kavale; |
|
f) |
määrata liikmesriigi õiguse kohaselt artiklis 65 osutatud karistusi ning nõuda käesolevas määruses sätestatud kohustuste rikkumise viivitamatut lõpetamist. |
9. Riiklikud küberturvalisuse sertifitseerimise asutused teevad omavahel ja komisjoniga koostööd, eelkõige vahetavad teavet, kogemusi ja häid tavasid seoses küberturvalisuse sertifitseerimisega ning IKT-toodete, -teenuste ja -protsesside küberturvalisust puudutavate tehniliste küsimustega.