1. Laikoma, kad pagal Europos kibernetinio saugumo sertifikavimo schemą, priimtą pagal 49 straipsnį, sertifikuoti IRT produktai, paslaugos ir procesai atitinka tos schemos reikalavimus.
2. Kibernetinio saugumo sertifikavimas yra savanoriškas, išskyrus atvejus, kai Sąjungos ar valstybių narių teisėje nustatyta kitaip.
3. Komisija reguliariai vertina priimtų Europos kibernetinio saugumo sertifikavimo schemų veiksmingumą bei naudojimą ir tai, ar kuri nors konkreti Europos kibernetinio saugumo schema atitinkamais Sąjungos teisės aktais neturi būti nustatyta kaip privaloma, siekiant užtikrinti tinkamą IRT produktų, paslaugų ir procesų kibernetinio saugumo lygį Sąjungoje ir pagerinti vidaus rinkos veikimą. Pirmas toks vertinimas atliekamas ne vėliau kaip 2023 m. gruodžio 31 d., o vėlesni vertinimai atliekami bent jau kas dvejus metus. Remdamasi tų vertinimų rezultatais, Komisija nustato tuos IRT produktus, paslaugas ir procesus, kuriems taikoma esama sertifikavimo sistema, bet kuriems turėtų būti taikoma privaloma sertifikavimo schema.
Pirmiausia Komisija daugiausia dėmesio skiria Direktyvos (ES) 2016/1148 II priede išvardytiems sektoriams, kurių atžvilgiu vertinimas turi būti atliktas ne vėliau kaip praėjus dvejiems metams po pirmos Europos kibernetinio saugumo sertifikavimo schemos priėmimo.
Rengdama vertinimą, Komisija:
|
a) |
atsižvelgia į su sąnaudomis susijusį priemonių poveikį tokių IRT produktų gamintojams ar paslaugų teikėjams ir naudotojams, taip pat numatomo didesnio saugumo visuomeninę ar ekonominę naudą tiksliniams IRT produktams, paslaugoms ir procesams; |
|
b) |
atsižvelgia į atitinkamų valstybių narių ir trečiųjų šalių teisės aktų buvimą ir taikymą; |
|
c) |
vykdo atvirą, skaidrų ir įtraukų konsultavimosi procesą su visais atitinkamais suinteresuotaisiais subjektais ir valstybėmis narėmis; |
|
d) |
atsižvelgia į įgyvendinimo terminus, pereinamojo laikotarpio priemones ir laikotarpius, visų pirma dėl galimo priemonės poveikio IRT produktų gamintojams, paslaugų teikėjams ar procesų vykdytojams, įskaitant MVĮ; |
|
e) |
siūlo greičiausią ir veiksmingiausią būdą, kaip įgyvendinti perėjimą nuo savanoriškų prie privalomų sertifikavimo schemų. |
4. Europos kibernetinio saugumo sertifikatą, pagal šį straipsnį patvirtinantį bazinį arba pakankamai aukštą saugumo užtikrinimo lygį, išduoda 60 straipsnyje nurodytos atitikties vertinimo įstaigos remdamosi kriterijais, įtrauktais į Europos kibernetinio saugumo sertifikavimo schemą, Komisijos patvirtintą pagal 49 straipsnį.
5. Nukrypstant nuo 4 dalies, tinkamai pagrįstais atvejais Europos kibernetinio saugumo sertifikavimo schemoje gali būti numatyta, kad Europos kibernetinio saugumo sertifikatą pagal tą schemą gali išduoti tik viešoji įstaiga, jeigu nurodomos tokį nukrypimą pagrindžiančios priežastys. Tokia įstaiga yra viena iš šių įstaigų:
|
a) |
58 straipsnio 1 dalyje nurodyta nacionalinė kibernetinio saugumo sertifikavimo institucija arba |
|
b) |
viešoji įstaiga, kuri pagal 60 straipsnio 1 dalį yra akredituota kaip atitikties vertinimo įstaiga. |
6. Kai pagal 49 straipsnį priimtoje Europos kibernetinio saugumo sertifikavimo schemoje reikalaujama aukšto saugumo užtikrinimo lygio, Europos kibernetinio saugumo sertifikatą pagal tą schemą gali išduoti tik nacionalinė kibernetinio saugumo sertifikavimo institucija arba atitikties vertinimo įstaiga šiais atvejais:
|
a) |
dėl kiekvieno atitikties vertinimo įstaigos išduodamo Europos kibernetinio saugumo sertifikato turi būti gautas išankstinis nacionalinės kibernetinio saugumo sertifikavimo institucijos patvirtinimas arba |
|
b) |
nacionalinė kibernetinio saugumo sertifikavimo institucija atitikties vertinimo įstaigai turi būti delegavusi bendrus įgaliojimus dėl tokių Europos kibernetinio saugumo sertifikatų išdavimo. |
7. IRT produktus, paslaugas ar procesus sertifikuoti teikiantis fizinis arba juridinis asmuo 58 straipsnyje nurodytai nacionalinei kibernetinio saugumo sertifikavimo institucijai, kai ši institucija yra Europos kibernetinio saugumo sertifikatą išduodanti įstaiga, arba 60 straipsnyje nurodytai atitikties vertinimo įstaigai leidžia susipažinti su visa sertifikavimo procedūrai atlikti reikalinga informacija.
8. Europos kibernetinio saugumo sertifikato turėtojas informuoja 7 dalyje nurodytą instituciją arba įstaigą apie su sertifikuotu IRT produktu, paslauga arba procesu, susijusias vėliau nustatytas pažeidžiamumo spragas ar neatitikties atvejus, kurie gali daryti poveikį su sertifikavimu susijusiems reikalavimams. Ta institucija ar įstaiga nepagrįstai nedelsdama perduoda tą informaciją nacionalinei kibernetinio saugumo sertifikavimo institucijai.
9. Europos kibernetinio saugumo sertifikatai išduodami konkrečios Europos kibernetinio saugumo sertifikavimo schemos nustatytam laikotarpiui ir gali būti atnaujinami, jeigu ir toliau tenkinami susiję reikalavimai.
10. Pagal šį straipsnį išduotas Europos kibernetinio saugumo sertifikatas pripažįstamas visose valstybėse narėse.