(1) Az európai kiberbiztonsági tanúsítványok és az uniós megfelelőségi nyilatkozatok tekintetében alkalmazott szabványok az Unióban való egyenértékűségének elérése céljából a nemzeti kiberbiztonsági tanúsító hatóságokat kölcsönös felülvizsgálatnak kell alávetni.
(2) A kölcsönös felülvizsgálatot hatékony és átlátható értékelési feltételek és eljárások alapján kell végezni, különösen a szervezeti és humán erőforrások, valamint az eljárási követelmények, a titoktartás és a panaszok tekintetében.
(3) A kölcsönös felülvizsgálat a következőket értékeli:
|
a) |
adott esetben, hogy a nemzeti kiberbiztonsági tanúsító hatóságok azon tevékenységei, amelyek az európai kiberbiztonsági tanúsítványoknak az 56. cikk (5) bekezdésének a) pontjában és az 56. cikk (6) bekezdésében említett kiadásával kapcsolatosak, szigorúan el vannak-e választva az 58. cikkben megállapított felügyeleti tevékenységeiktől, és hogy az említett tevékenységek ellátása egymástól függetlenül történik-e; |
|
b) |
az IKT-termékek, IKT-szolgáltatások és IKT-folyamatok európai kiberbiztonsági tanúsítványoknak való megfelelésének nyomon követésére szolgáló szabályoknak az 58. cikk (7) bekezdésének a) pontja alapján történő felügyeletére és betartatására szolgáló eljárásokat; |
|
c) |
az IKT-termékek, IKT-szolgáltatások vagy IKT-folyamatok gyártóira vagy nyújtóira vonatkozó kötelezettségeknek az 58. cikk (7) bekezdésének b) pontja alapján történő nyomon követésére és betartatására szolgáló eljárásokat; |
|
d) |
a megfelelőségértékelő szervezetek tevékenységeinek nyomon követésére, engedélyezésére és felügyeletére szolgáló eljárásokat; |
|
e) |
adott esetben azt, hogy az 56. cikk (6) bekezdése alapján „magas” megbízhatósági szintre szóló tanúsítványokat kiállító hatóságok vagy szervezetek személyzetének szakértelme megfelelő-e. |
(4) A kölcsönös felülvizsgálatot más tagállamokból legalább két nemzeti kiberbiztonsági tanúsító hatóságnak és a Bizottságnak kell elvégeznie legalább ötévente egyszer. Az ENISA részt vehet a kölcsönös felülvizsgálatban.
(5) A Bizottság végrehajtási jogi aktusokat fogadhat el a kölcsönös felülvizsgálatok legalább ötéves időszakot lefedő tervének megállapítására, a kölcsönös felülvizsgálatot végző csoport összetételére, a kölcsönös felülvizsgálatnál alkalmazandó módszertanra, valamint a kölcsönös felülvizsgálatok menetrendjére, gyakoriságára és az azokhoz kapcsolódó egyéb feladatokra vonatkozó kritériumok meghatározására vonatkozóan. A Bizottság az említett végrehajtási jogi aktusok elfogadásakor megfelelően figyelembe veszi az európai kiberbiztonsági tanúsítási csoport észrevételeit. Ezeket a végrehajtási jogi aktusokat a 66. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.
(6) Az európai kiberbiztonsági tanúsítási csoportnak meg kell vizsgálnia a kölcsönös felülvizsgálatok eredményét, amelyről olyan összefoglalót kell készítenie, amely nyilvánosan hozzáférhetővé tehető, továbbá szükség esetén iránymutatásokat vagy ajánlásokat kell kibocsátani az érintett szervezetek által megteendő fellépésekről vagy meghozandó intézkedésekről.