Articolul 54 – Elemente ale sistemelor europene de certificare a securității cibernetice

(a)

obiectul și sfera de aplicare a sistemului de certificare, inclusiv tipul sau categoriile de produse TIC, servicii TIC și procese TIC acoperite;

(b)

o descriere clară a scopului sistemului și a modului în care standardele selectate, metodele de evaluare și nivelurile de asigurare corespund nevoilor utilizatorilor preconizați ai sistemului;

(c)

trimiteri la standardele internaționale, europene sau naționale aplicate în cadrul evaluării sau, în cazul în care astfel de standarde nu sunt disponibile sau nu sunt adecvate, la specificațiile tehnice care îndeplinesc cerințele prevăzute în anexa II la Regulamentul (UE) nr. 1025/2012 sau, dacă astfel de specificații nu sunt disponibile, la specificații tehnice sau la alte cerințe de securitate cibernetică definite în sistemul european de certificare a securității cibernetice;

(d)

după caz, unul sau mai multe niveluri de asigurare;

(e)

o precizare care indică dacă autoevaluarea conformității este permisă în cadrul sistemului;

(f)

după caz, cerințe specifice sau suplimentare cărora se supun organismele de evaluare a conformității pentru a garanta competența tehnică a acestora de a evalua cerințele de securitate cibernetică;

(g)

criteriile și metodele specifice de evaluare, inclusiv tipurile de evaluări, utilizate pentru a demonstra că obiectivele de securitate menționate la articolul 51 sunt îndeplinite;

(h)

după caz, informațiile necesare pentru certificare care trebuie furnizate sau puse în alt mod la dispoziția organismelor de evaluare a conformității de către solicitant;

(i)

în cazul în care sistemul prevede mărci sau etichete, condițiile în care pot fi utilizate aceste mărci sau etichete;

(j)

normele pentru monitorizarea conformității produselor TIC, serviciilor TIC și proceselor TIC cu cerințele certificatelor europene de securitate cibernetică sau ale declarațiilor de conformitate UE, inclusiv mecanisme care să demonstreze conformitatea neîntreruptă cu cerințele de securitate cibernetică specificate;

(k)

după caz, condițiile de eliberare, de menținere, de continuare și de reînnoire a certificatelor europene de securitate cibernetică, precum și condițiile de extindere sau de restrângere a domeniului de aplicare a certificării;

(l)

normele privind consecințele neconformității produselor TIC, serviciilor TIC și proceselor TIC care au fost certificare sau pentru care a fost eliberată o declarație de conformitate UE, dar care nu sunt conforme cu cerințele sistemului;

(m)

normele privind modalitățile de raportare și soluționare a vulnerabilităților în materie de securitate cibernetică nedetectate anterior ale produselor TIC, serviciilor TIC și proceselor TIC;

(n)

după caz, normele privind păstrarea evidențelor de către organismele de evaluare a conformității;

(o)

identificarea sistemelor naționale sau internaționale de certificare a securității cibernetice care se referă la aceleași tipuri sau categorii de produse TIC, servicii TIC și procese TIC, cerințele de securitate și criteriile și metodele de evaluare și nivelurile de asigurare;

(p)

conținutul și formatul certificatelor europene de securitate cibernetică și ale declarațiilor de conformitate UE care urmează să fie eliberate;

(q)

perioada de valabilitate a declarației de conformitate UE, documentația tehnică și toate celelalte informații relevante care sunt puse la dispoziție de producătorul sau de furnizorul de produse TIC, de servicii TIC sau de procese TIC;

(r)

perioada maximă de valabilitate a certificatelor europene de securitate cibernetică eliberate în temeiul sistemului;

(s)

politica de divulgare pentru certificatele europene de securitate cibernetică eliberate modificate sau retrase în temeiul sistemului;

(t)

condițiile pentru recunoașterea reciprocă a sistemelor de certificare cu țări terțe;

(u)

după caz, normele privind orice mecanism de evaluare inter pares instituit în cadrul sistemului pentru autoritățile sau organismele care eliberează certificate europene de securitate cibernetică pentru nivelul de asigurare „ridicat” în temeiul articolului 56 alineatul (6). Un astfel de mecanism nu aduce atingere evaluării inter pares prevăzute la articolul 59;

(v)

formatul și procedurile care trebuie urmate de producători sau de furnizori de produse TIC, de servicii TIC sau de procese TIC atunci când furnizează și actualizează informațiile suplimentare privind securitatea cibernetică în conformitate cu articolul 55.