1. Documentos del estado de la técnica en apoyo de los ámbitos técnicos en los niveles AVA_VAN 4 o 5:

2. Documentos del estado de la técnica relativos a la acreditación armonizada de los organismos de evaluación de la conformidad [disponibles en inglés]:

1. Para la categoría de dispositivos de creación de firmas y sellos cualificados a distancia:

2. Perfiles de protección adoptados como documentos del estado de la técnica:

1. Se aplicarán los siguientes requisitos para la continuidad de la garantía a las actividades de mantenimiento relacionadas con los siguientes aspectos:

2. El titular de un certificado EUCC podrá solicitar la revisión del certificado en los siguientes casos:

1. Cuando sea necesario determinar los efectos de los cambios producidos en el entorno de amenazas de un producto de TIC certificado que no haya sufrido modificaciones, se presentará una solicitud de revaluación al organismo de certificación.

2. La revaluación será llevada a cabo por la misma ITSEF que participó en la evaluación anterior y se reutilizarán todos los resultados que sigan vigentes. La evaluación se centrará en las actividades de garantía que puedan verse afectadas por los cambios del entorno de amenazas del producto de TIC certificado, en particular la familia AVA_VAN pertinente y, además, la familia del ciclo de vida de la garantía («ALC», por sus siglas en inglés), en las que se volverán a recabar pruebas suficientes del mantenimiento del entorno de desarrollo.

3. La ITSEF describirá los cambios producidos y detallará los resultados de la revaluación con una actualización del informe técnico de evaluación anterior.

4. El organismo de certificación revisará el informe técnico de evaluación actualizado y elaborará un informe de revaluación. A continuación, se modificará el estado del certificado inicial con arreglo a lo dispuesto en el artículo 13.

5. El informe de revaluación y el certificado actualizado se transmitirán a la autoridad nacional de certificación de la ciberseguridad y a ENISA para su publicación en su sitio web de certificación de la ciberseguridad.

1. Cuando un producto de TIC certificado haya sufrido modificaciones, el titular que desee mantener el certificado facilitará al organismo de certificación un informe de evaluación de impacto.

2. El informe de evaluación de impacto contendrá los siguientes elementos:

3. El organismo de certificación examinará las modificaciones descritas en el informe de evaluación de impacto para validar sus efectos en la garantía del objeto de evaluación certificado, tal como se proponga en las conclusiones del informe de evaluación de impacto.

4. Tras dicho examen, el organismo de certificación calificará la magnitud de cada modificación como menor o importante en función de sus efectos.

5. Cuando el organismo de certificación haya confirmado que las modificaciones son menores, no se expedirá un nuevo certificado para el producto de TIC modificado y se elaborará un informe de mantenimiento del informe de certificación inicial.

6. El informe de mantenimiento a que se refiere el apartado 5 se transmitirá a ENISA para que lo publique en su sitio web de certificación de la ciberseguridad.

7. En caso de que se confirme que las modificaciones son importantes, se llevará a cabo una revaluación en el contexto de la evaluación anterior y se reutilizarán todos los resultados de esta última que sigan vigentes.

8. Una vez finalizada la evaluación del objeto de evaluación modificado, la ITSEF elaborará un nuevo informe técnico de evaluación. El organismo de certificación revisará el informe técnico de evaluación actualizado y, cuando proceda, elaborará un nuevo certificado con un nuevo informe de certificación.

9. El nuevo certificado y el nuevo informe de certificación se transmitirán a ENISA para su publicación.

1. El procedimiento de gestión de parches prevé un proceso estructurado de actualización de un producto de TIC certificado. Dicho procedimiento, que incluye el mecanismo aplicado al producto de TIC por el solicitante de la certificación, puede utilizarse tras la certificación del producto de TIC bajo la responsabilidad del organismo de evaluación de la conformidad.

2. El solicitante de la certificación podrá incluir en la certificación del producto de TIC un mecanismo de parches como parte de un procedimiento de gestión certificado aplicado al producto de TIC cuando se cumpla una de las siguientes condiciones:

3. Si el parche está relacionado con una modificación importante del objeto de evaluación del producto de TIC certificado con respecto a una vulnerabilidad no detectada anteriormente que no tenga efectos críticos en la seguridad del producto de TIC, se aplicará lo dispuesto en el artículo 13.

4. El procedimiento de gestión de parches de un producto de TIC constará de los siguientes elementos:

5. En el proceso de certificación del producto de TIC:

6. El titular del certificado podrá proceder a aplicar el parche elaborado de conformidad con el procedimiento de gestión de parches certificado al producto de TIC certificado de que se trate y adoptará las siguientes medidas en un plazo de cinco días laborables en los casos que se indican a continuación:

1. A partir de los informes técnicos de evaluación facilitados por la ITSEF, el organismo de certificación elaborará un informe de certificación que se publicará junto con el certificado EUCC correspondiente.

2. El informe de certificación es la fuente de información detallada y práctica sobre el producto de TIC o la categoría de productos de TIC, y sobre el despliegue seguro de dicho producto o productos, por lo que incluirá toda la información públicamente accesible y compartible que resulte pertinente para los usuarios y las partes interesadas. También puede contener referencias a dicha información públicamente accesible y compartible.

3. El informe de certificación constará, como mínimo, de las siguientes secciones:

4. El resumen será una breve recapitulación de todo el informe de certificación. Ofrecerá una visión general clara y concisa de los resultados de la evaluación y contendrá la siguiente información:

5. El producto de TIC evaluado se identificará claramente, especificando en particular la siguiente información:

6. La información incluida en la presente sección será lo más precisa posible para garantizar una representación completa y precisa del producto de TIC que pueda reutilizarse en futuras evaluaciones.

7. La sección relativa a la política de seguridad contendrá la descripción de la política de seguridad del producto de TIC y de las políticas o normas que el producto de TIC evaluado deba aplicar o cumplir. Incluirá una referencia y una descripción de las siguientes políticas:

8. Cuando proceda, la política podrá especificar las condiciones relativas al uso de un procedimiento de gestión de parches durante el período de validez del certificado.

9. La sección relativa a las hipótesis y la aclaración del ámbito de aplicación contendrá información exhaustiva sobre las circunstancias y los objetivos relacionados con el uso previsto del producto a que se refiere el artículo 7, apartado 1, letra c), en particular:

10. La información enumerada en el punto 9 será lo más comprensible posible para que los usuarios del producto de TIC certificado puedan tomar decisiones con conocimiento de causa sobre los riesgos asociados a su uso.

11. La sección de información arquitectónica contendrá una descripción de alto nivel del producto de TIC y sus principales componentes con arreglo al diseño de subsistemas ADV_TDS de los criterios comunes.

12. Se proporcionará una lista completa de la información complementaria sobre ciberseguridad del producto de TIC de conformidad con el artículo 55 del Reglamento (UE) 2019/881. Toda la documentación pertinente se indicará mediante los números de versión.

13. La sección de ensayo del producto de TIC incluirá la siguiente información:

14. La sección de resultados de la evaluación e información relativa al certificado contendrá la siguiente información:

15. La declaración de seguridad se incluirá en el informe de certificación o se citará y resumirá en dicho informe y se adjuntará a este en relación con él a efectos de su publicación.

16. La declaración de seguridad podrá editarse con arreglo a lo dispuesto en la sección VI.2.

17. La marca o etiqueta asociada al EUCC podrá insertarse en el informe de certificación de conformidad con las normas y los procedimientos establecidos en el artículo 11.

18. La sección de bibliografía incluirá referencias a todos los documentos utilizados en la elaboración del informe de certificación. Dicha información incluirá, como mínimo, lo siguiente:

19. Con el fin de garantizar la reproducibilidad de la evaluación, toda la documentación citada debe identificarse de manera inequívoca con su respectiva fecha de publicación y su respectivo número de versión.

1. Las declaraciones de seguridad que deban incluirse o citarse en el informe de certificación en virtud de la sección VI.1, punto 1, podrán editarse mediante la supresión o reformulación de información técnica de dominio privado.

2. Las declaraciones de seguridad editadas resultantes constituirán una representación real de su versión original completa. Esto significa que las declaraciones de seguridad editadas no pueden omitir la información necesaria para conocer las propiedades de seguridad del objeto de evaluación y el ámbito de aplicación de la evaluación.

3. El contenido de las declaraciones de seguridad editadas se atendrá a los siguientes requisitos mínimos:

4. Aunque la declaración de seguridad editada no se evalúa formalmente con arreglo a las normas de evaluación a que se refiere el artículo 3, el organismo de certificación se cerciorará de que se atenga a la declaración de seguridad completa y evaluada, y se remitirá tanto a la declaración de seguridad completa como a la editada en el informe de certificación.

1. Se contemplan los siguientes tipos de evaluaciones por pares:

2. El organismo de certificación sometido a una evaluación por pares presentará la lista de productos de TIC certificados que puedan ser candidatos a la revisión por parte del equipo de evaluación por pares, con arreglo a las siguientes normas:

1. El equipo de evaluación constará, como mínimo, de dos expertos seleccionados de dos organismos de certificación diferentes de distintos Estados miembros que expidan certificados con nivel de garantía «elevado». Los expertos deben demostrar que poseen los conocimientos especializados pertinentes en relación con las normas a que se refiere el artículo 3 y con los documentos del estado de la técnica comprendidos en el ámbito de aplicación de la evaluación por pares.

2. En los casos de delegación de la expedición de certificados o de aprobación previa de estos a que se refiere el artículo 56, apartado 6, del Reglamento (UE) 2019/881, también podrá participar en el equipo de expertos seleccionado de conformidad con el apartado 1 de la presente sección un experto de la autoridad nacional de certificación de la ciberseguridad relacionada con el organismo de certificación interesado.

3. Para las evaluaciones por pares de tipo 2, los miembros del equipo se seleccionarán a partir de los organismos de certificación autorizados en el ámbito técnico de que se trate.

4. Cada miembro del equipo de evaluación deberá tener, como mínimo, dos años de experiencia en la realización de actividades de certificación en un organismo de certificación.

5. En el caso de las evaluaciones por pares de tipo 2 o 3, cada miembro del equipo de evaluación deberá tener, como mínimo, dos años de experiencia en la realización de actividades de certificación en el ámbito técnico o perfil de protección pertinentes y demostrar que dispone de conocimientos especializados y que ha participado en la autorización de una ITSEF.

6. Participarán en la evaluación por pares en calidad de observadoras la autoridad nacional de certificación de la ciberseguridad que controle y supervise al organismo de certificación sometido a la evaluación por pares y, al menos, una autoridad nacional de certificación de la ciberseguridad cuyo organismo de certificación no esté sujeto a la citada evaluación. ENISA también podrá participar en la evaluación por pares en calidad de observadora.

7. La composición del equipo de evaluación por pares se presenta al organismo de certificación evaluado, que, en casos justificados, podrá impugnar la composición de dicho equipo y solicitar su revisión.

1. Contrariamente a las definiciones que figuran en los criterios comunes, las ampliaciones:

2. El nivel de garantía confirmado en un certificado EUCC podrá complementarse con el nivel de garantía de la evaluación especificado en el artículo 3 del presente Reglamento.

3. Si el nivel de garantía confirmado en un certificado EUCC no se refiere a una ampliación, se indicará en el certificado uno de los siguientes paquetes:

1. Formato de la marca y la etiqueta:

2. Si se reducen o amplían la marca y la etiqueta, deberán respetarse las proporciones del modelo facilitado.

3. En caso de presencia física, la marca y la etiqueta tendrán una altura mínima de 5 mm.