1. Smatra se da su IKT proizvodi, IKT usluge i IKT procesi koji su certificirani u okviru europskog programa kibersigurnosne certifikacije donesenog u skladu s člankom 49. sukladni sa zahtjevima tog programa.
2. Kibersigurnosna certifikacija je dobrovoljna, osim ako je drugačije određeno pravom Unije ili pravom država članica.
3. Komisija redovito ocjenjuje učinkovitost i upotrebu donesenih europskih programa kibersigurnosne certifikacije te treba li određeni europski program kibersigurnosne certifikacije učiniti obveznim putem relevantnog prava Unije kako bi se osigurala odgovarajuća razina kibersigurnosti IKT proizvoda, IKT usluga i IKT procesa u Uniji i poboljšalo funkcioniranje unutarnjeg tržišta. Prva takva ocjena provodi se najkasnije do 31. prosinca 2023., a daljnje ocjene provode se najmanje svake dvije godine.Komisija na temelju rezultata tog ocjenjivanja određuje IKT proizvode, IKT usluge i IKT procese obuhvaćene postojećim programom certifikacije koji trebaju biti obuhvaćeni obveznim programom certifikacije.
Komisija se u prvom redu usredotočuje na sektore navedene u Prilogu II. Direktivi (EU) 2016/1148, koji se ocjenjuju najkasnije dvije godine nakon donošenja prvog europskog programa kibersigurnosne certifikacije.
Prilikom pripreme ocjenjivanja Komisija:
|
(a) |
uzima u obzir utjecaj mjera na proizvođače ili pružatelje takvih IKT proizvoda, IKT usluga i IKT procesa te na korisnike u smislu troška tih mjera, kao i društvenih ili gospodarskih koristi koje proizlaze iz očekivane poboljšane razine sigurnosti ciljanih IKT proizvoda, IKT usluga ili IKT procesa; |
|
(b) |
uzima u obzir postojanje i provedbu relevantnog prava u državama članicama i trećim zemljama; |
|
(c) |
provodi otvoren, transparentan i uključiv postupak savjetovanja sa svim relevantnim dionicima i državama članicama; |
|
(d) |
uzima u obzir sve rokove za provedbu, prijelazne mjere i razdoblja, posebno vodeći računa o mogućem učinku mjere na proizvođače ili pružatelje IKT proizvoda, IKT usluga ili IKT procesa, uključujući mala i srednja poduzeća; |
|
(e) |
predlaže najbrži i najučinkovitiji način provedbe prelaska s dobrovoljnih programa certifikacije na one obvezne. |
4. Tijela za ocjenjivanje sukladnosti iz članka 60. europski kibersigurnosni certifikat koji se odnosi na osnovnu ili znatnu jamstvenu razinu izdaju u skladu s ovim člankom na temelju kriterija uključenih u europski program kibersigurnosne certifikacije koji je Komisija donijela u skladu s člankom 49.
5. Odstupajući od stavka 4., u propisno opravdanim slučajevima u europskom programu kibersigurnosne certifikacije može se predvidjeti da europske kibersigurnosne certifikate koji proizlaze iz tog programa može izdati samo javno tijelo. To tijelo može biti:
|
(a) |
nacionalno tijelo za kibersigurnosnu certifikaciju iz članka 58. stavka 1.; ili |
|
(b) |
javno tijelo koje je akreditirano kao tijelo za ocjenjivanje sukladnosti u skladu s člankom 60. stavkom 1.. |
6. Kada europski program kibersigurnosne certifikacije donesen na temelju članka 49. zahtijeva visoku jamstvenu razinu, europski kibersigurnosni certifikat može izdati samo nacionalno tijelo za kibersigurnosnu certifikaciju ili, u sljedećim slučajevima, tijelo za ocjenjivanje sukladnosti:
|
(a) |
uz prethodno odobrenje nacionalnog tijela za kibersigurnosnu certifikaciju za svaki pojedini europski kibersigurnosni certifikat koji izdaje tijelo za ocjenjivanje sukladnosti; ili |
|
(b) |
na temelju općeg delegiranja zadaće izdavanja tih europskih kibersigurnosnih certifikata tijelu za ocjenjivanje sukladnosti od strane nacionalnog tijela za kibersigurnosnu certifikaciju. |
7. Fizička ili pravna osoba koja podnosi IKT proizvode, IKT usluge i IKT procese na certifikaciju stavlja na raspolaganje sve informacije nužne za provođenje certifikacije nacionalnom tijelu za kibersigurnosnu certifikaciju iz članka 58., ako je to tijelo ono koje izdaje europski kibersigurnosni certifikat ili tijelu za ocjenjivanje sukladnosti iz članka 60.
8. Nositelj europskog kibersigurnosnog certifikata obavješćuje tijelo iz stavka 7. o svim naknadno otkrivenim ranjivostima ili nepravilnostima koje se odnose na sigurnost certificiranog IKT proizvoda, IKT usluge ili IKT procesa koje bi mogle imati učinak na njegovu usklađenost sa zahtjevima u vezi s certifikacijom. To tijelo bez nepotrebne odgode prosljeđuje te informacije dotičnom nacionalnom tijelu za kibersigurnosnu certifikaciju.
9. Europski kibersigurnosni certifikati izdaju se na razdoblje predviđeno europskim programom kibersigurnosne certifikacije te se mogu obnoviti pod uvjetom da su i dalje ispunjeni relevantni zahtjevi.
10. Europski kibersigurnosni certifikat izdan u skladu s ovim člankom priznaje se u svim državama članicama.