ALLEGATO - REQUISITI CHE GLI ORGANISMI DI VALUTAZIONE DELLA CONFORMITÀ DEVONO SODDISFARE - EU Cybersecurity Act

Gli organismi di valutazione della conformità che desiderano essere accreditati devono soddisfare i requisiti elencati in appresso:

1.	L’organismo di valutazione della conformità è istituito a norma del diritto interno e ha personalità giuridica.

2.	L’organismo di valutazione della conformità è un organismo terzo, indipendente dall’organizzazione o dai prodotti TIC, servizi TIC o processi TIC che valuta.

Un organismo appartenente a un’associazione d’imprese o a una federazione professionale che rappresenta imprese coinvolte nella progettazione, nella fabbricazione, nella fornitura, nell’assemblaggio, nell’utilizzo o nella manutenzione dei prodotti TIC, servizi TIC o processi TIC che valuta può essere ritenuto un organismo di valutazione della conformità, a condizione che siano dimostrate la sua indipendenza e l’assenza di qualsiasi conflitto di interesse.

Gli organismi di valutazione della conformità, i loro alti dirigenti e le persone addette alla valutazione della conformità non sono né il progettista, né il fabbricante, né il fornitore, né l’installatore, né l’acquirente, né il proprietario, né l’utilizzatore, né il responsabile della manutenzione del prodotto TIC, servizio TIC o processo TIC sottoposto a valutazione, né il rappresentante autorizzato di uno di questi soggetti. Tale divieto non preclude l’uso dei prodotti TIC valutati che sono necessari per il funzionamento dell’organismo di valutazione della conformità o il loro uso per scopi privati.

Gli organismi di valutazione della conformità, i loro alti dirigenti e le persone addette alla valutazione della conformità non intervengono direttamente nella progettazione, fabbricazione o costruzione, nella commercializzazione, nell’installazione, nell’uso o nella manutenzione dei prodotti TIC, servizi TIC o processi TIC sottoposti a valutazione, né rappresentano i soggetti impegnati in tali attività. Gli organismi di valutazione della conformità, i loro alti dirigenti e le persone addette alla valutazione della conformità non intraprendono attività alcuna che possa essere in conflitto con la loro indipendenza di giudizio o integrità riguardo alle loro attività di valutazione della conformità. Tale divieto vale in particolare per i servizi di consulenza.

Se un organismo di valutazione della conformità è di proprietà di un ente o un’istituzione pubblici o è gestito da questi ultimi, l’indipendenza e l’assenza di conflitti di interessi tra l’autorità nazionale di certificazione della cibersicurezza e l’organismo di valutazione della conformità sono garantite e documentate.

7.	Gli organismi di valutazione della conformità garantiscono che le attività delle loro affiliate e dei loro subappaltatori non abbiano effetti negativi sulla riservatezza, sull’obiettività o sull’imparzialità delle loro attività di valutazione della conformità.

Gli organismi di valutazione della conformità e il loro personale eseguono le attività di valutazione della conformità con il massimo dell’integrità professionale e della competenza tecnica richieste e sono liberi da qualsivoglia pressione e incentivo che possa influenzare il loro giudizio o i risultati delle loro attività di valutazione, anche pressioni e incentivi di natura finanziaria, in particolare da parte di persone o gruppi di persone interessati ai risultati di tali attività.

Un organismo di valutazione della conformità è in grado di effettuare tutti i compiti di valutazione della conformità ad esso attribuiti ai sensi del presente regolamento, indipendentemente dal fatto che tali compiti siano eseguiti dall’organismo stesso o per suo conto e sotto la sua responsabilità. Eventuali subappalti o consultazioni di personale esterno sono adeguatamente documentati, non prevedono alcun intermediario e sono oggetto di un accordo scritto che contempli, tra l’altro, la riservatezza e i conflitti di interessi. L’organismo di valutazione della conformità in questione si assume la piena responsabilità dei compiti svolti.

10.

In ogni momento, per ogni procedura di valutazione della conformità e per ogni tipo, categoria o sottocategoria di prodotti TIC, servizi TIC o processi TIC, l’organismo di valutazione della conformità dispone:

a)	di personale avente conoscenze tecniche ed esperienza sufficiente e appropriata per eseguire i compiti di valutazione della conformità;

di descrizioni delle procedure in base alle quali si svolge la valutazione della conformità, si garantisce la trasparenza di tali procedure e la possibilità di riprodurle. Predispone una politica e procedure appropriate che distinguano i compiti che svolge in qualità di organismo notificato ai sensi dell’articolo 61 dalle altre attività;

di procedure per svolgere le attività che tengano debitamente conto delle dimensioni di un’impresa, del settore in cui opera, della sua struttura, del grado di complessità della tecnologia del prodotto TIC, servizio TIC o processo TIC in questione e della natura di massa o seriale del processo produttivo.

11.	L’organismo di valutazione della conformità dispone dei mezzi necessari per eseguire i compiti tecnici e amministrativi connessi alle attività di valutazione della conformità in modo appropriato e ha accesso a tutti gli strumenti e impianti occorrenti.

12.

Le persone addette alle attività di valutazione della conformità dispongono di quanto segue:

a)	una formazione tecnica e professionale solida che includa tutte le attività di valutazione della conformità;

b)	soddisfacenti conoscenze delle prescrizioni relative alle valutazioni della conformità che eseguono e un’adeguata autorità per eseguire tali valutazioni;

c)	una conoscenza e una comprensione adeguate dei requisiti e delle norme di prova applicabili;

d)	la capacità di elaborare certificati, registri e relazioni a dimostrazione del fatto che le valutazioni sono state effettuate.

13.	È garantita l’imparzialità dell’organismo di valutazione della conformità, dei suoi alti dirigenti, delle persone addette alle attività di valutazione della conformità e di tutti i subcontraenti.

14.	La remunerazione degli alti dirigenti e delle persone addette alle attività di valutazione della conformità non dipende dal numero di valutazioni della conformità eseguite o dai risultati di tali valutazioni.

15.

Gli organismi di valutazione della conformità sottoscrivono un contratto di assicurazione per la responsabilità civile, a meno che detta responsabilità non sia direttamente coperta dallo Stato membro a norma del diritto nazionale o che lo Stato membro stesso non sia direttamente responsabile della valutazione della conformità.

16.

L’organismo di valutazione della conformità e il personale, i comitati, le controllate e i subcontraenti dello stesso e qualsiasi organismo associato o membro del personale di organismi esterni di un organismo di valutazione della conformità sono tenuti al mantenimento della riservatezza e al segreto professionale per tutto ciò di cui vengono a conoscenza nell’esercizio dei loro compiti di valutazione della conformità ai sensi del presente regolamento o di qualsiasi disposizione di diritto interno di applicazione del presente regolamento, tranne laddove la divulgazione sia richiesta dal diritto dell’Unione o dello Stato membro cui tali persone sono soggette, e tranne per quanto riguarda le autorità competenti degli Stati membri in cui esercitano le loro attività. Sono tutelati i diritti di proprietà intellettuale. L’organismo di valutazione della conformità dispone di procedure documentate riguardo ai requisiti di cui al presente punto.

17.

Con l’eccezione del punto 16, i requisiti del presente allegato non precludono in alcun modo gli scambi di informazioni tecniche e di orientamenti regolamentari tra un organismo di valutazione della conformità e una persona che richieda la certificazione o stia valutando se richiedere la certificazione.

18.	Gli organismi di valutazione della conformità operano secondo modalità e condizioni coerenti, eque e ragionevoli, tenendo conto degli interessi delle PMI in relazione alle tariffe.

19.

Gli organismi di valutazione della conformità sono conformi ai requisiti della pertinente norma armonizzata conformemente al regolamento (CE) n. 765/2008 per quanto riguarda l’accreditamento degli organismi di valutazione della conformità che effettuano la certificazione dei prodotti TIC, servizi TIC o processi TIC.

20.

Gli organismi di valutazione della conformità si assicurano che i laboratori di prova utilizzati ai fini della valutazione della conformità siano conformi ai requisiti della pertinente norma armonizzata conformemente al regolamento (CE) n. 765/2008 per quanto riguarda l’accreditamento dei laboratori che effettuano prove.