(1)

I Kommissionens gennemførelsesforordning (EU) 2024/482 (2) præciseres roller, regler og forpligtelser samt strukturen for den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) i overensstemmelse med den europæiske ramme for cybersikkerhedscertificering, der er fastsat i forordning (EU) 2019/881.

(2)

Gennemførelsesforordning (EU) 2024/482 er baseret på etablerede internationale standarder i form af de fælles kriterier og den fælles evalueringsmetode, der forvaltes af Den Internationale Standardiseringsorganisation (ISO) og Den Internationale Elektrotekniske Kommission (IEC). Der henvises i gennemførelsesforordning (EU) 2024/482 til ISO/IEC-standarder, men den gældende version af disse standarder er ikke præciseret. Det bør derfor præciseres, hvilken udgave af standarderne der gælder for attester udstedt i henhold til EUCC.

(3)

De statslige organisationer, der har bidraget til udviklingen af de fælles kriterier og den fælles evalueringsmetode gennem ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed (Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security — CCRA), er sammen med ISO/IEC fælles indehavere af ophavsrettighederne til dem. Disse statslige organisationer bevarer retten til at anvende dem. I lyset af betydningen af de dokumenter, der hidrører fra CCRA, bør de også danne grundlag for certificering i henhold til EUCC.

(4)

De fælles kriterier og standarderne i den fælles evalueringsmetode er genstand for fortolkninger foretaget af CCRA, som letter deres gennemførelse, og som kan tages i betragtning af faciliteter til evaluering af informationsteknologisk sikkerhed (ITSEF'er) og certificeringsorganer.

(5)

De internationale standarder i forbindelse med de fælles kriterier kan blive ajourført. For at sikre en velordnet og rettidig overgang er det hensigtsmæssigt at fastlægge overgangsregler for at give leverandører, ITSEF'er og certificeringsorganer samt andre relevante aktører tilstrækkelig tid til at foretage de nødvendige tilpasninger. Sådanne overgangsregler bør i passende omfang være i overensstemmelse med global praksis såsom den, der er fastsat af CCRA.

(6)

Gennemførelsesforordning (EU) 2024/482 indeholder ikke nogen præcis angivelse af, hvornår en given IKT-produktcertificering ikke længere kan baseres på de tidligere udgaver af de fælles kriterier og standarderne i den fælles evalueringsmetode. De tekniske områder og beskyttelsesprofiler, der er opført i bilag I, II og III til nævnte gennemførelsesforordning, er baseret på tidligere udgaver af standarderne ISO/IEC 15408 og 18045. Det bør i gennemførelsesforordning (EU) 2024/482 derfor præciseres, under hvilke omstændigheder den tidligere udgave af de fælles kriterier og den fælles evalueringsmetode stadig finder anvendelse, og hvordan overgangen til den seneste udgave af de internationale standarder vil fungere.

(7)

I overgangsperioden bør det være en prioritet for relevante interessenter at ajourføre de relevante tekniske områder og beskyttelsesprofiler. Gennemførelsesforordning (EU) 2024/482 bør indeholde bestemmelser om, at sikkerhedsmål baseret på en tidligere udgave af standarderne vil blive accepteret frem til den 31. december 2027 i overensstemmelse med den overgangspolitik, som CCRA har vedtaget. Det skal dog bemærkes, at CCRA's overgangspolitik omfatter indledende evalueringer af produkter og beskyttelsesprofiler, der påbegyndtes senest den 30. juni 2024, og at EUCC endnu ikke fandt anvendelse på denne dato. I overensstemmelse med CCRA's overgangspolitik bør gennemførelsesforordning (EU) 2024/482 desuden indeholde bestemmelser om, at sikkerhedsmål, der er i overensstemmelse med nævnte gennemførelsesforordning, og som påberåbes at være i overensstemmelse med beskyttelsesprofiler baseret på en tidligere udgave af standarderne, vil blive accepteret frem til den 31. december 2027. Hvis en ny attest udstedes i henhold til gennemførelsesforordning (EU) 2024/482 i forbindelse med en revision af en national attest, der påbegyndes senest to år efter udstedelsen af den oprindelige attest, bør det desuden være muligt at anvende en tidligere udgave af standarderne. Dette vil ikke være relevant for en revisionsproces, der ikke kræver udstedelse af en ny attest i henhold til gennemførelsesforordning (EU) 2024/482, og hvor attesten forbliver gyldig.

(8)

Med henblik på at sikre en velordnet overgang til den seneste udgave af standarderne bør gennemførelsesforordning (EU) 2024/482 indeholde specifikke overgangsregler og fortsat give mulighed for i henhold til nævnte gennemførelsesforordning at udstede attester, der påberåbes at være i overensstemmelse med beskyttelsesprofiler, som er baseret på tidligere udgaver af de standarder, som CCRA har offentliggjort, hvor anvendelsen af sådanne beskyttelsesprofiler er påkrævet i henhold til EU-lovgivningen. Dette er tilfældet for Kommissionens gennemførelsesforordning (EU) 2016/799 (3) samt Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 (4) og Kommissionens gennemførelsesafgørelse (EU) 2016/650 (5).

(9)

Bilag I til gennemførelsesforordning (EU) 2024/482 indeholder en liste over de gældende statusdokumenter til evaluering af IKT-produkter og beskyttelsesprofiler. Det præciseres imidlertid ikke på listen, hvilken version af dokumenterne der skal anvendes. Det bør derfor præciseres, hvilken version af dokumenterne der gælder for attester udstedt i henhold til EUCC. Disse versioner bygger på dokumenter, der er godkendt af Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG), samtidig med at de er blevet revideret yderligere med henblik på deres medtagelse i EUCC. Desuden bør bilag I ændres, så det omfatter ajourførte og nye statusdokumenter efter ECCG's godkendelse heraf, således at der sikres en ensartet akkreditering af overensstemmelsesvurderingsorganer i henhold til EUCC. Akkrediteringskravene i forbindelse med akkreditering af ITSEF'er bør ajourføres for at præcisere anvendelsen af kriterierne om uafhængighed og upartiskhed, og der bør udarbejdes et nyt statusdokument til akkreditering af certificeringsorganer.

(10)

Statusdokumenter kan tilføjes EUCC eller ajourføres i forbindelse med dens vedligeholdelsesaktiviteter. For nye eller ajourførte statusdokumenter kan det være nødvendigt at fastsætte passende overgangsregler for at gøre det muligt for leverandører, ITSEF'er, certificeringsorganer og andre interessenter at foretage de nødvendige tilpasninger. Med henblik på ajourføring af statusdokumentet vedrørende akkreditering af ITSEF'er bør det ajourførte dokument først finde anvendelse på akkrediteringer, der er udstedt før den 8. juli 2025, når de revideres, f.eks. i forbindelse med en vurderingsprocedure eller en procedure for fornyet vurdering. Desuden bør det ajourførte dokument finde anvendelse på alle akkrediteringer af ITSEF'er, der er udstedt efter den 8. juli 2025.

(11)

Yderligere berigtigelser af artikel 5, 8, 16, 29 og 44 i gennemførelsesforordning (EU) 2024/482 og bilag IV hertil bidrager til at sikre en ensartet ordlyd og en klar juridisk fortolkning.

(12)

Reglerne for anmeldelse af overensstemmelsesvurderingsorganer bør fastsættes horisontalt for alle ordninger under den europæiske ramme for cybersikkerhedscertificering. Disse regler for anmeldelse fastlægges i Kommissionens gennemførelsesforordning (EU) 2024/3143 (6). Derfor bør artikel 23 og 24 i gennemførelsesforordning (EU) 2024/482 udgå på anvendelsesdatoen for Kommissionens gennemførelsesforordning (EU) 2024/3143.

(13)

Gennemførelsesforordning (EU) 2024/482 bør derfor ændres og berigtiges.

(14)

Foranstaltningerne i denne forordning er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 66 i forordning (EU) 2019/881 —

1)

Artikel 2, nr. 1) og 2), affattes således:

2)

Artikel 3 affattes således:

(*1)  Kommissionens gennemførelsesforordning (EU) 2016/799 af 18. marts 2016 om gennemførelse af Europa-Parlamentets og Rådets forordning (EU) nr. 165/2014 om fastsættelse af forskrifter for konstruktion, afprøvning, installering, brug og reparation af takografer og deres komponenter (EUT L 139 af 26.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (EUT L 257 af 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  Kommissionens gennemførelsesafgørelse (EU) 2016/650 af 25. april 2016 om fastlæggelse af standarder for sikkerhedsvurdering af kvalificerede signatur- og seglgenereringssystemer, jf. artikel 30, stk. 3, og artikel 39, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked (EUT L 109 af 26.4.2016, s. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).« "

3)

Følgende indsættes som artikel 20a i kapitel IV:

4)

Artikel 23 og 24 udgår

5)

I artikel 48 tilføjes følgende som stk. 4:

6)

I artikel 49 tilføjes følgende som stk. 4:

7)

Bilag I erstattes af teksten i bilag I til nærværende forordning

8)

Bilag IV ændres i overensstemmelse med bilag II til denne forordning.

1)

Artikel 5, stk. 1, litra b), affattes således:

2)

Artikel 8 berigtiges således:

3)

Artikel 16 affattes således:

4)

Artikel 17, stk. 1, udgår

5)

Artikel 29, stk. 2, affattes således: