1. Kansallisille kyberturvallisuussertifioinnin myöntäville viranomaisille on tehtävä vertaisarviointeja, jotta koko unionissa saadaan käyttöön toisiaan vastaavat standardit, jotka koskevat myönnettyjä eurooppalaisia kyberturvallisuussertifikaatteja ja EU-vaatimustenmukaisuusilmoituksia.
2. Vertaisarvioinnissa on käytettävä luotettavia ja avoimia arviointiperusteita ja -menettelyjä, erityisesti kun on kyse rakenteita, henkilöresursseja ja prosesseja koskevista vaatimuksista, luottamuksellisuudesta ja valituksista.
3. Vertaisarvioinnissa on arvioitava
|
a) |
soveltuvin osin se, onko kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen toiminnot, jotka liittyvät 56 artiklan 5 kohdan a alakohdan ja 56 artiklan 6 kohdan mukaiseen eurooppalaisten kyberturvallisuussertifikaattien myöntämiseen, erotettu tiukasti 58 artiklan mukaisesta valvontatoiminnasta ja suoritetaanko molemmat toiminnot toisistaan riippumattomasti; |
|
b) |
menettelyt, joilla valvotaan ja pannaan täytäntöön säännöt, jotka koskevat sen seuraamista, noudattavatko tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit eurooppalaisia kyberturvallisuussertifikaatteja 58 artiklan 7 kohdan a alakohdan mukaisesti; |
|
c) |
menettelyt, joilla seurataan tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajien ja tarjoajien velvollisuuksien noudattamista ja pannaan täytäntöön näitä velvollisuuksia 58 artiklan 7 kohdan b alakohdan mukaisesti; |
|
d) |
menettelyt, joilla seurataan, valtuutetaan ja valvotaan vaatimustenmukaisuuden arviointilaitosten toimintaa; |
|
e) |
soveltuvin osin se, onko korkean varmuustason eurooppalaisia kyberturvallisuussertifikaatteja 56 artiklan 6 kohdan nojalla myöntävien viranomaisten tai elinten henkilökunnalla tarvittava asiantuntemus. |
4. Vertaisarvioinnin tekevät vähintään kaksi muiden jäsenvaltioiden kansallista kyberturvallisuussertifioinnin myöntävää viranomaista ja komissio, ja se tehdään vähintään kerran viidessä vuodessa. ENISA voi osallistua vertaisarviointiin.
5. Komissio voi antaa täytäntöönpanosäädöksiä, joilla vahvistetaan vähintään viideksi vuodeksi vertaisarviointeja varten suunnitelma, jossa esitetään perusteet vertaisarviointiryhmän kokoonpanolle, vertaisarvioinnissa käytetyt menetelmät, aikataulu, arviointien suoritustiheys ja muut vertaisarviointiin liittyvät tehtävät. Tällaisia täytäntöönpanosäädöksiä antaessaan komissio ottaa asianmukaisesti huomioon Euroopan kyberturvallisuuden sertifiointiryhmän näkemykset. Nämä täytäntöönpanosäädökset hyväksytään 66 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.
6. Euroopan kyberturvallisuuden sertifiointiryhmän on tarkasteltava vertaisarvioinnin tuloksia ja laadittava yhteenvetoja, jotka voidaan asettaa julkisesti saataville, sekä tarvittaessa annettava ohjeistusta tai suosituksia, jotka koskevat asianomaisten yksiköiden toteuttamia toimia tai toimenpiteitä.