(1) A 49. cikk alapján elfogadott európai kiberbiztonsági tanúsítási rendszerek keretében tanúsított IKT-termékekről, IKT-szolgáltatásokról és IKT-folyamatokról vélelmezni kell, hogy megfelelnek az e rendszerek által támasztott követelményeknek.
(2) Amennyiben az uniós jog vagy a tagállamok joga másként nem rendelkezik, a kiberbiztonsági tanúsítás önkéntes.
(3) A Bizottság az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok Unión belüli megfelelő szintű kiberbiztonságának biztosítása és a belső piac működésének javítása érdekében rendszeresen értékeli az elfogadott európai kiberbiztonsági tanúsítási rendszerek hatékonyságát és alkalmazását, valamint azt, hogy valamely konkrét európai kiberbiztonsági rendszert a vonatkozó uniós jog útján kötelezővé kell-e tenni. Az első ilyen értékelést 2023. december 31-ig el kell végezni, az ezt követő értékeléseket pedig legalább kétévenként. A Bizottság az említett értékelés eredményeitől függően azonosítja a valamely létező tanúsítási rendszer hatálya alá tartozó azon IKT-termékeket, IKT-szolgáltatásokat és IKT-folyamatokat, amelyeket kötelező tanúsítási rendszer hatálya alá kell vonni.
A Bizottság elsősorban az (EU) 2016/1148 irányelv II. mellékletében felsorolt ágazatokra összpontosít, amelyek értékelését legkésőbb két évvel az első európai kiberbiztonsági tanúsítási rendszer elfogadását követően végzi el.
Az értékelés elkészítése során a Bizottság:
|
a) |
figyelembe veszi az intézkedéseknek az ilyen IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok gyártóira vagy nyújtóira és a felhasználókra gyakorolt hatásait ezen intézkedések költségei, valamint a megcélzott IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok várható magasabb biztonsági szintjéből eredő társadalmi vagy gazdasági előnyök tekintetében; |
|
b) |
figyelembe veszi a vonatkozó tagállami és harmadik országbeli jog létezését és alkalmazását; |
|
c) |
nyílt, átlátható és inkluzív konzultációt folytat valamennyi releváns érdekelt féllel és tagállammal; |
|
d) |
figyelembe veszi a végrehajtási határidőket, az átmeneti intézkedéseket és időszakokat, tekintettel különösen az intézkedésnek az IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok gyártóira vagy szolgáltatóira – többek között a kkv-kra – gyakorolt lehetséges hatására; |
|
e) |
olyan javaslatot terjeszt elő, amely alapján az önkéntes tanúsítási rendszerről a kötelező tanúsítási rendszerre való átállás a lehető leggyorsabb és leghatékonyabb módon hajtható végre. |
(4) Az e cikk szerinti, „alap” vagy „jelentős” megbízhatósági szintre hivatkozó európai kiberbiztonsági tanúsítványt a 60. cikkben említett megfelelőségértékelő szervezetek a 49. cikk alapján a Bizottság által elfogadott európai kiberbiztonsági tanúsítási rendszerben foglalt kritériumok alapján adják ki.
(5) A (4) bekezdéstől eltérve, kellően indokolt esetben egy európai kiberbiztonsági tanúsítási rendszer előírhatja, hogy e rendszer keretében csak közjogi szerv adhat ki európai kiberbiztonsági tanúsítványt, amennyiben az ilyen eltérést kellően megindokolják. E szervnek a következők valamelyikének kell lennie:
|
a) |
az 58. cikk (1) bekezdésében említett nemzeti kiberbiztonsági tanúsító hatóság; |
|
b) |
a 60. cikk (1) bekezdése szerinti megfelelőségértékelő szervezetként akkreditált közjogi szerv. |
(6) Ha a 49. cikk szerint elfogadott európai kiberbiztonsági tanúsítási rendszer „magas” megbízhatósági szintet ír elő, az adott rendszer keretében az európai kiberbiztonsági tanúsítványt csak nemzeti kiberbiztonsági tanúsító hatóság állíthatja ki, vagy megfelelőségértékelő szervezet abban az esetben, ha:
|
a) |
az egyes, megfelelőségértékelő szervezet által kiállított európai kiberbiztonsági tanúsítványokra vonatkozóan a nemzeti kiberbiztonsági tanúsító hatóság előzőleg a jóváhagyását adta; vagy |
|
b) |
az említett európai kiberbiztonsági tanúsítványok kiállításának feladatát a nemzeti kiberbiztonsági tanúsító hatóság általános jelleggel átruházta az adott megfelelőségértékelő szervezetre. |
(7) Az IKT-termékeiket, IKT-szolgáltatásaikat vagy IKT-folyamataikat tanúsítási mechanizmusnak alávető természetes vagy jogi személyek kötelesek az 58. cikkben említett nemzeti kiberbiztonsági tanúsító hatóság– amennyiben az európai kiberbiztonsági tanúsítványt e hatóság állította ki –, vagy a 60. cikkben említett megfelelőségértékelő szervezet rendelkezésére bocsátani a tanúsítási lefolytatásához szükséges összes információt.
(8) Az európai kiberbiztonsági tanúsítvány jogosultjának tájékoztatnia kell a (7) bekezdésben említett hatóságot vagy szervezetet minden olyan, a tanúsított IKT-termék, IKT-szolgáltatás vagy IKT-folyamat biztonságát érintő, utólag észlelt sebezhetőségről vagy rendellenességről, amely hatással lehet az említett termék, szolgáltatás vagy folyamat tanúsítással összefüggő követelményeknek való megfelelésére. Ez a hatóság vagy szervezet az említett információt köteles indokolatlan késedelem nélkül továbbítani az érintett nemzeti kiberbiztonsági tanúsító hatóságnak.
(9) Az európai kiberbiztonsági tanúsítványokat az európai kiberbiztonsági tanúsítási rendszerben meghatározott időtartamra kell kiállítani, és megújíthatók, feltéve, hogy a vonatkozó követelmények továbbra is teljesülnek.
(10) Az e cikk alapján kiadott európai kiberbiztonsági tanúsítványokat valamennyi tagállamban el kell ismerni.