1. Da bi po vsej Uniji vzpostavili enakovredne standarde v zvezi z evropskimi certifikati kibernetske varnosti in izjavami EU o skladnosti, se za nacionalne certifikacijske organe za kibernetsko varnost izvajajo medsebojni strokovni pregledi.
2. Medsebojni strokovni pregled se izvede na podlagi zanesljivih in preglednih meril in postopkov vrednotenja, zlasti v zvezi z zahtevami glede strukture, človeških virov in postopkov, zaupnosti ter pritožb.
3. Z medsebojnim strokovnim pregledom se ocenjuje:
|
(a) |
kadar je ustrezno, ali so dejavnosti nacionalnih certifikacijskih organov za kibernetsko varnost, ki se nanašajo na izdajanje evropskih certifikatov kibernetske varnosti iz točke (a) člena 56(5) in člena 56(6), strogo ločene od njihovih nadzornih dejavnosti iz člena 58 ter ali se te dejavnosti izvajajo neodvisno druga od druge; |
|
(b) |
postopke za nadziranje in uveljavljanje pravil za spremljanje skladnosti proizvodov IKT, storitev IKT in postopkov IKT z evropskimi certifikati kibernetske varnosti v na podlagi točke (a) člena 58(7); |
|
(c) |
postopke za spremljanje in izvrševanje obveznosti proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT ali postopkov IKT na podlagi točke (b) člena 58(7); |
|
(d) |
postopke za spremljanje, odobritev in nadziranje dejavnosti organov za ugotavljanje skladnosti; |
|
(e) |
kadar je ustrezno, ali ima osebje organov, ki izdajajo certifikate za „visoko“ raven zanesljivosti v skladu s členom 56(6), ustrezno strokovno znanje in izkušnje. |
4. Medsebojni strokovni pregled opravijo vsaj dva nacionalna certifikacijska organa za kibernetsko varnost iz drugih držav članic in Komisija, izvede pa se najmanj vsakih pet let. Pri medsebojnem strokovnem pregledu lahko sodeluje agencija ENISA.
5. Komisija lahko sprejme izvedbene akte za določitev načrta medsebojnih strokovnih pregledov, ki zajema vsaj petletno obdobje, ter določa merila v zvezi s sestavo skupine za medsebojni strokovni pregled, zanj uporabljeno metodologijo, roke, pogostost in druge naloge, povezane z njim. Komisija pri sprejemanju izvedbenih aktov ustrezno upošteva mnenja evropske certifikacijske skupine za kibernetsko varnost. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 66(2).
6. Rezultate medsebojnih strokovnih pregledov preuči evropska certifikacijska skupina za kibernetsko varnost, ki pripravi povzetke, ki se lahko objavijo, ter po potrebi izda smernice ali priporočila za ukrepe, ki naj bi jih sprejeli zadevni subjekti.