1.   Et IKT-produkt, som indgives med henblik på certificering, evalueres som minimum i overensstemmelse med følgende:

2.   I ekstraordinære og behørigt begrundede tilfælde kan et overensstemmelsesvurderingsorgan anmode om at undlade at anvende det relevante statusdokument. I sådanne tilfælde underretter overensstemmelsesvurderingsorganet den nationale cybersikkerhedscertificeringsmyndighed med en behørigt begrundet begrundelse for sin anmodning. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen for en undtagelse og godkender den, hvis det er berettiget. Overensstemmelsesvurderingsorganet udsteder ingen attest, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse, om den godkendte undtagelse. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.

3.   Certificering af IKT-produkter på AVA_VAN-niveau 4 eller 5 er kun mulig i følgende scenarier:

4.   Hvis et overensstemmelsesvurderingsorgan vurderer, at det befinder sig i en ekstraordinær og behørigt begrundet situation som omhandlet i stk. 3, litra c), underretter det den nationale cybersikkerhedscertificeringsmyndighed om den påtænkte certificering med en begrundelse og en foreslået evalueringsmetode. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen for, at der skulle være tale om en undtagelse, og godkender eller ændrer den evalueringsmetode, som overensstemmelsesvurderingsorganet skal anvende, hvis det er berettiget. Overensstemmelsesvurderingsorganet udsteder ingen attest, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed indberetter uden unødigt ophold den planlagte certificering til Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.

5.   Hvis et IKT-produkt underkastes en evaluering af et sammensat produkt i overensstemmelse med de relevante statusdokumenter, skal den ITSEF, der foretog evalueringen af det underliggende IKT-produkt, dele de relevante oplysninger med den facilitet, der foretager evalueringen af det sammensatte IKT-produkt.

1.   En ansøger, der ansøger om certificering i henhold til EUCC, skal forelægge eller på anden måde stille alle de oplysninger, der er nødvendige for certificeringsaktiviteterne, til rådighed for certificeringsorganet og ITSEF.

2.   De oplysninger, der er omhandlet i stk. 1, omfatter al relevant dokumentation i overensstemmelse med afsnittene om »Developer action elements« (aktionselementer for udviklere) i det relevante format som fastsat i afsnittene om »Content and presentation of evidence element« (indhold og fremlæggelse af dokumentationselement) i de fælles kriterier og den fælles evalueringsmetode for det valgte sikkerhedstillidsniveau og de tilhørende sikkerhedstillidskrav. Dokumentationen skal om nødvendigt omfatte oplysninger om IKT-produktet og dets kildekode i overensstemmelse med denne forordning med forbehold af sikkerhedsforanstaltninger mod uautoriseret videregivelse.

3.   Ansøgere om certificering kan forelægge certificeringsorganet og ITSEF relevante evalueringsresultater fra forudgående certificering i henhold til:

4.   Hvis evalueringsresultaterne er relevante for ITSEF's opgaver, kan den genanvende evalueringsresultaterne, forudsat at resultaterne er i overensstemmelse med de gældende krav, og at deres ægthed bekræftes.

5.   Hvis certificeringsorganet tillader, at produktet underkastes certificering af et sammensat produkt, skal ansøgeren om certificering stille alle nødvendige elementer til rådighed for certificeringsorganet og ITSEF'en, hvis det er relevant, i overensstemmelse med statusdokumentet.

6.   Ansøgere om certificering skal også give certificeringsorganet og ITSEF'en følgende oplysninger:

7.   Al relevant dokumentation, som er omhandlet i denne artikel, skal opbevares af certificeringsorganet, ITSEF'en og ansøgeren i en periode på fem år efter attestens udløb.

1.   Certificeringsorganerne udsteder en EUCC-attest, hvis alle følgende betingelser er opfyldt:

2.   Ansøgere om en certificering skal påtage sig følgende forpligtelser:

3.   I tilfælde af, at et IKT-produkt er omfattet af en certificering af et sammensat produkt i overensstemmelse med de relevante statusdokumenter, deler det certificeringsorgan, der har foretaget certificeringen af det underliggende IKT-produkt, de relevante oplysninger med det certificeringsorgan, der udfører certificeringen af det sammensatte IKT-produkt.

1.   En EUCC-attest skal mindst indeholde de oplysninger, der er fastsat i bilag VII.

2.   Omfanget af og grænserne for det certificerede IKT-produkt angives utvetydigt i EUCC-attesten eller certificeringsrapporten med angivelse af, om hele IKT-produktet er blevet certificeret eller kun dele heraf.

3.   Certificeringsorganet fremsender EUCC-attesten til ansøgeren i det mindste i elektronisk form.

4.   Certificeringsorganet udarbejder en certificeringsrapport i overensstemmelse med bilag V for hver EUCC-attest, det udsteder. Certificeringsrapporten baseres på den rapport om teknisk evaluering, der er udarbejdet af ITSEF. I rapporten om teknisk evaluering og certificeringsrapporten angives de specifikke evalueringskriterier og -metoder, der er omhandlet i artikel 7, og som er anvendt til evalueringen.

5.   Certificeringsorganet fremsender alle EUCC-attester og alle certificeringsrapporter til den nationale cybersikkerhedscertificeringsmyndighed og ENISA i elektronisk form.

1.   En attestindehaver kan anbringe en mærkning og en etiket på et certificeret IKT-produkt. Mærkningen og etiketten viser, at IKT-produktet er certificeret i overensstemmelse med denne forordning. Mærkningen og etiketten anbringes i overensstemmelse med denne artikel og bilag IX.

2.   Mærkningen og etiketten skal anbringes synligt, letlæseligt og uudsletteligt på det certificerede IKT-produkt eller dets dataskilt. Hvis produktet er af en sådan art, at dette ikke er muligt eller berettiget, skal mærkningen og etiketten anbringes på emballagen og i følgedokumenterne. Hvis det certificerede IKT-produkt leveres i form af software, skal mærkningen og etiketten fremgå tydeligt, letlæseligt og uudsletteligt i den ledsagende dokumentation, eller denne dokumentation skal gøres let og direkte tilgængelig for brugerne via et websted.

3.   Mærkningen og etiketten skal være i overensstemmelse med bilag IX og indeholde:

4.   Mærkningen og etiketten skal ledsages af en QR-kode med et link til et websted, der som minimum indeholder:

1.   Certificeringsorganet fastsætter en gyldighedsperiode for hver EUCC-attest, der udstedes, under hensyntagen til det certificerede IKT-produkts karakteristika.

2.   EUCC-attestens gyldighedsperiode må ikke overstige fem år.

3.   Uanset stk. 2 må denne periode overstige fem år med forbehold af forudgående godkendelse fra den nationale cybersikkerhedscertificeringsmyndighed. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe om den meddelte godkendelse.

1.   Efter anmodning fra attestindehaveren eller af andre begrundede årsager kan certificeringsorganet beslutte at revidere EUCC-attesten for et IKT-produkt. Revisionen foretages i overensstemmelse med bilag IV. Certificeringsorganet fastsætter omfanget af revisionen. Hvis det er nødvendigt for revisionen, anmoder certificeringsorganet ITSEF'en om at foretage en fornyet evaluering af det certificerede IKT-produkt.

2.   Efter resultaterne af revisionen og, hvor det er relevant, af den fornyede evaluering skal certificeringsorganet:

3.   Certificeringsorganet kan uden unødigt ophold beslutte at suspendere EUCC-attesten i henhold til artikel 30, indtil indehaveren af EUCC-attesten har truffet afhjælpende foranstaltninger.

1.   Med forbehold af artikel 58, stk. 8, litra e), i forordning (EU) 2019/881 tilbagekaldes en EUCC-attest af det certificeringsorgan, der udstedte attesten.

2.   Certificeringsorganet i stk. 1 underretter den nationale cybersikkerhedscertificeringsmyndighed om tilbagekaldelsen af attesten. Det underretter også ENISA om tilbagekaldelsen med henblik på at lette udførelsen af dets opgaver i henhold til artikel 50 i forordning (EU) 2019/881. Den nationale cybersikkerhedscertificeringsmyndighed underretter andre relevante markedsovervågningsmyndigheder.

3.   Indehaveren af en EUCC-attest kan anmode om tilbagekaldelse af attesten.

1.   En beskyttelsesprofil vurderes som minimum i overensstemmelse med følgende:

2.   I ekstraordinære og behørigt begrundede tilfælde kan et overensstemmelsesvurderingsorgan certificere en beskyttelsesprofil uden at anvende de relevante statusdokumenter. I sådanne tilfælde underretter det den kompetente nationale cybersikkerhedscertificeringsmyndighed og giver en begrundelse for den påtænkte certificering uden anvendelse af de relevante statusdokumenter samt den foreslåede evalueringsmetode. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen og godkender, hvor det er berettiget, den manglende anvendelse af de relevante statusdokumenter og godkender eller ændrer, hvor det er relevant, den evalueringsmetode, som overensstemmelsesvurderingsorganet skal anvende. Overensstemmelsesvurderingsorganet udsteder ingen attest til beskyttelsesprofilen, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse, om den tilladte manglende anvendelse af de relevante statusdokumenter. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.

1.   Ansøgere om en certificering skal give certificeringsorganet og ITSEF'en alle de nødvendige fuldstændige og korrekte oplysninger.

2.   Artikel 9 og 10 finder tilsvarende anvendelse.

3.   ITSEF'en vurderer, om en beskyttelsesprofil er fuldstændig, konsekvent, teknisk forsvarlig og effektiv i forhold til den tilsigtede brug og sikkerhedsmålene for den kategori af IKT-produkter, der er omfattet af beskyttelsesprofilen.

4.   En beskyttelsesprofil certificeres udelukkende af:

1.   Certificeringsorganet fastsætter en gyldighedsperiode for hver EUCC-attest.

2.   Gyldighedsperioden kan være op til beskyttelsesprofilens levetid.

1.   Efter anmodning fra attestindehaveren eller af andre begrundede årsager kan certificeringsorganet beslutte at revidere EUCC-attesten for en beskyttelsesprofil. Revisionen foretages under anvendelse af betingelserne i artikel 15. Certificeringsorganet fastsætter omfanget af revisionen. Hvis det er nødvendigt for revisionen, anmoder certificeringsorganet ITSEF'en om at foretage en fornyet evaluering af den certificerede beskyttelsesprofil.

2.   Efter resultaterne af revisionen og, hvor det er relevant, af den fornyede evaluering skal certificeringsorganet:

1.   Med forbehold af artikel 58, stk. 8, litra e), i forordning (EU) 2019/881 tilbagekaldes en EUCC-attest til en beskyttelsesprofil af det certificeringsorgan, der udstedte attesten. Artikel 14 finder tilsvarende anvendelse.

2.   En attest for en beskyttelsesprofil, der er udstedt i overensstemmelse med artikel 17, stk. 4, litra b), trækkes tilbage af den nationale cybersikkerhedscertificeringsmyndighed, der godkendte attesten.

1.   Med forbehold af artikel 58, stk. 7, i forordning (EU) 2019/881 overvåger den nationale cybersikkerhedscertificeringsmyndighed:

2.   Den nationale cybersikkerhedscertificeringsmyndighed udfører sine overvågningsaktiviteter på grundlag af især:

3.   Den nationale cybersikkerhedscertificeringsmyndighed udtager i samarbejde med andre markedsovervågningsmyndigheder årligt prøver af mindst 4 % af EUCC-attesterne som fastsat ved en risikovurdering. Efter anmodning og på vegne af den kompetente nationale cybersikkerhedscertificeringsmyndighed bistår certificeringsorganerne og om nødvendigt ITSEF den pågældende myndighed med at overvåge overholdelsen.

4.   Den nationale cybersikkerhedscertificeringsmyndighed udvælger stikprøven af certificerede IKT-produkter, der skal kontrolleres ved hjælp af objektive kriterier, herunder:

5.   Den nationale cybersikkerhedscertificeringsmyndighed underretter indehaverne af EUCC-attesten om de udvalgte IKT-produkter og udvælgelseskriterierne.

6.   Det certificeringsorgan, der har certificeret det IKT-produkt, der er udtaget prøver af, foretager efter anmodning fra den nationale cybersikkerhedscertificeringsmyndighed og med bistand fra den pågældende ITSEF yderligere gennemgang i overensstemmelse med proceduren i afsnit IV.2 i bilag IV og underretter den nationale cybersikkerhedscertificeringsmyndighed om resultaterne.

7.   Hvis den nationale cybersikkerhedscertificeringsmyndighed har tilstrækkelig grund til at tro, at et certificeret IKT-produkt ikke længere er i overensstemmelse med denne forordning eller forordning (EU) 2019/881, kan den foretage undersøgelser eller gøre brug af andre overvågningsbeføjelser, der er fastsat i artikel 58, stk. 8, i forordning (EU) 2019/881.

8.   Den nationale cybersikkerhedscertificeringsmyndighed underretter certificeringsorganet og ITSEF'en om igangværende undersøgelser vedrørende udvalgte IKT-produkter.

9.   Hvis den nationale cybersikkerhedscertificeringsmyndighed konstaterer, at en igangværende undersøgelse vedrører IKT-produkter, der er certificeret af certificeringsorganer, som er etableret i andre medlemsstater, underretter den de nationale cybersikkerhedscertificeringsmyndigheder i de relevante medlemsstater herom med henblik på at samarbejde om undersøgelserne, hvor det er relevant. Den nationale cybersikkerhedscertificeringsmyndighed underretter Den Europæiske Cybersikkerhedscertificeringsgruppe om de grænseoverskridende undersøgelser og de efterfølgende resultater.

1.   Certificeringsorganet overvåger:

2.   Certificeringsorganet udfører sine overvågningsaktiviteter på grundlag af:

3.   Den nationale cybersikkerhedscertificeringsmyndighed kan udarbejde regler for en regelmæssig dialog mellem certificeringsorganer og EUCC-attestindehavere for at kontrollere og rapportere om overholdelsen af de forpligtelser, der er indgået i henhold til artikel 9, stk. 2, uden at dette berører aktiviteter vedrørende andre relevante markedsovervågningsmyndigheder.

1.   EUCC-attestindehavere udfører følgende opgaver med henblik på at overvåge, at certificerede IKT-produkt er i overensstemmelse med dets sikkerhedskrav:

2.   Indehaveren af en EUCC-attest samarbejder med certificeringsorganet, ITSEF og, hvor det er relevant, den nationale cybersikkerhedscertificeringsmyndighed for at støtte deres overvågningsaktiviteter.

1.   Hvis et certificeret IKT-produkt eller en certificeret beskyttelsesprofil ikke er i overensstemmelse med kravene i nærværende forordning og forordning (EU) 2019/881, underretter certificeringsorganet indehaveren af EUCC-attesten om den konstaterede manglende overensstemmelse og anmoder om afhjælpende foranstaltninger.

2.   Hvis et tilfælde af manglende overensstemmelse med bestemmelserne i nærværende forordning kan påvirke overholdelsen af anden relevant EU-lovgivning, som giver mulighed for at påvise formodningen om overensstemmelse med kravene i den pågældende retsakt ved hjælp af EUCC-attesten, underretter certificeringsorganet straks den nationale cybersikkerhedscertificeringsmyndighed herom. Den nationale cybersikkerhedscertificeringsmyndighed underretter straks den markedsovervågningsmyndighed, der er ansvarlig for en sådan anden relevant EU-lovgivning, om den konstaterede manglende overensstemmelse.

3.   Efter modtagelsen af de oplysninger, der er omhandlet i stk. 1, foreslår EUCC-attestindehaveren inden for den frist, som certificeringsorganet har fastsat, og som ikke må overstige 30 dage, certificeringsorganet de afhjælpende foranstaltninger, som er nødvendige for at afhjælpe den manglende overensstemmelse.

4.   Certificeringsorganet kan uden unødigt ophold suspendere EUCC-attesten i henhold til artikel 30 i nødsituationer, eller hvis EUCC-attestindehaveren ikke samarbejder behørigt med certificeringsorganet.

5.   Certificeringsorganet foretager en gennemgang i henhold til artikel 13 og 19 og vurderer, om de afhjælpende foranstaltninger afhjælper den manglende overensstemmelse.

6.   Hvis indehaveren af EUCC-attesten ikke foreslår passende afhjælpende foranstaltninger i den periode, der er omhandlet i stk. 3, suspenderes attesten i overensstemmelse med artikel 30 eller tilbagekaldes i overensstemmelse med artikel 14 eller 20.

7.   Denne artikel finder ikke anvendelse på tilfælde af sårbarheder, der påvirker et certificeret IKT-produkt, som håndteres i overensstemmelse med kapitel VI.

1.   Hvis certificeringsorganet finder, at:

2.   Hvis EUCC-attestindehaveren ikke foreslår passende afhjælpende foranstaltninger i den periode, der er omhandlet i stk. 1, suspenderes attesten i overensstemmelse med artikel 30 eller tilbagekaldes i overensstemmelse med artikel 14 og 20.

3.   EUCC-attestindehaverens fortsatte eller tilbagevendende overtrædelse af de forpligtelser, der er omhandlet i stk. 1, udløser tilbagekaldelse af EUCC-attesten i overensstemmelse med artikel 14 eller 20.

4.   Certificeringsorganet underretter den nationale cybersikkerhedscertificeringsmyndighed om de resultater, der er omhandlet i stk. 1. Hvis den manglende overensstemmelse påvirker overholdelsen af anden relevant EU-lovgivning, underretter den nationale cybersikkerhedscertificeringsmyndighed straks den markedsovervågningsmyndighed, der er ansvarlig for denne anden relevante EU-lovgivning, om det konstaterede tilfælde af manglende overensstemmelse.

1.   Hvis der i denne forordning henvises til suspension af en EUCC-attest, suspenderer certificeringsorganet den pågældende EUCC-attest i en periode, der er passende i forhold til de omstændigheder, der udløser suspensionen, og som ikke overstiger 42 dage. Suspensionsperioden begynder dagen efter den dag, hvor certificeringsorganet har truffet sin afgørelse. Suspensionen berører ikke attestens gyldighed.

2.   Certificeringsorganet underretter uden unødigt ophold attestindehaveren og den nationale cybersikkerhedscertificeringsmyndighed om suspensionen og angiver årsagerne til suspensionen, de foranstaltninger, der anmodes om, og suspensionsperioden.

3.   Attestindehavere underretter køberne af de pågældende IKT-produkter om suspensionen og om certificeringsorganets begrundelse for suspensionen, undtagen de dele af årsagerne, hvis deling ville udgøre en sikkerhedsrisiko, eller som indeholder følsomme oplysninger. Disse oplysninger skal også gøres offentligt tilgængelige af attestindehaveren.

4.   Hvis anden relevant EU-lovgivning indeholder bestemmelser om en formodning om overensstemmelse på grundlag af attester, der er udstedt i henhold til bestemmelserne i denne forordning, underretter den nationale cybersikkerhedscertificeringsmyndighed den markedsovervågningsmyndighed, der er ansvarlig for den anden relevante EU-lovgivning, om suspensionen.

5.   ENISA underrettes om suspensionen af en attest i overensstemmelse med artikel 42, stk. 3.

6.   I behørigt begrundede tilfælde kan den nationale cybersikkerhedscertificeringsmyndighed give tilladelse til en forlængelse af perioden for suspension af en EUCC-attest. Den samlede suspensionsperiode må ikke overstige et år.

1.   Hvis et certificeringsorgan eller en ITSEF ikke overholder sine forpligtelser, skal den nationale cybersikkerhedscertificeringsmyndighed uden unødigt ophold:

2.   På grundlag af de foranstaltninger, der er omhandlet i stk. 1, vedtager certificeringsorganet en af følgende afgørelser for hver berørt EUCC-attest:

3.   På grundlag af de foranstaltninger, der er omhandlet i stk. 1, skal den nationale cybersikkerhedscertificeringsmyndighed:

1.   En EUCC-attestindehaver indfører og opretholder alle nødvendige procedurer for sårbarhedsstyring i overensstemmelse med reglerne i denne afdeling om nødvendigt suppleret med procedurerne i EN ISO/IEC 30111.

2.   Indehaveren af en EUCC-attest vedligeholder og offentliggør passende metoder til at modtage oplysninger om sårbarheder i forbindelse med deres produkter fra eksterne kilder, herunder brugere, certificeringsorganer og sikkerhedsforskere.

3.   Hvis en indehaver af en EUCC-attest opdager eller modtager oplysninger om en potentiel sårbarhed, der påvirker et certificeret IKT-produkt, registrerer indehaveren dette og foretager en sårbarhedskonsekvensanalyse.

4.   Når en potentiel sårbarhed påvirker et sammensat produkt, underretter EUCC-attestindehaveren indehavere af afhængige EUCC-attester om potentiel sårbarhed.

5.   Som svar på en rimelig anmodning fra det certificeringsorgan, der udstedte attesten, fremsender EUCC-attestindehaveren alle relevante oplysninger om potentielle sårbarheder til det pågældende certificeringsorgan.

1.   I sårbarhedskonsekvensanalysen henvises til målet for evalueringen og de sikkerhedserklæringer, der er indeholdt i attesten. Sårbarhedskonsekvensanalyser gennemføres inden for en frist, der er passende for det certificerede IKT-produkts risiko for at blive udnyttet og kritiske karakter.

2.   Hvis det er relevant, foretages en beregning af angrebspotentialet i overensstemmelse med den relevante metode i de standarder, der er omhandlet i artikel 3, og de relevante statusdokumenter, der er opført i bilag I, med henblik på at fastslå sårbarhedens risiko for at blive udnyttet. Der skal tages hensyn til EUCC-attestens AVA_VAN-niveau.

1.   Indehaveren udarbejder en rapport om sårbarhedskonsekvensanalysen, hvis konsekvensanalysen viser, at sårbarheden sandsynligvis har en indvirkning på IKT-produktets overensstemmelse med dets attest.

2.   Rapporten om sårbarhedskonsekvensanalysen skal indeholde en vurdering af følgende elementer:

3.   Rapporten om sårbarhedskonsekvensanalysen skal, hvor det er relevant, indeholde nærmere oplysninger om, hvordan sårbarheden eventuelt kan udnyttes. Oplysninger om, hvordan sårbarheden eventuelt kan udnyttes, behandles i overensstemmelse med passende sikkerhedsforanstaltninger for at beskytte fortroligheden og om nødvendigt sikre, at de kun videregives i begrænset omfang.

4.   Indehaveren af en EUCC-attest fremsender uden unødigt ophold en rapport om sårbarhedskonsekvensanalysen til certificeringsorganet eller den nationale cybersikkerhedscertificeringsmyndighed i overensstemmelse med artikel 56, stk. 8, i forordning (EU) 2019/881.

5.   Hvis det i rapporten om sårbarhedskonsekvensanalysen fastslås, at sårbarheden ikke udgør en fortsat risiko i henhold til de standarder, der er omhandlet i artikel 3, og at den kan afhjælpes, finder artikel 36 anvendelse.

6.   Hvis det i rapporten om sårbarhedskonsekvensanalysen fastslås, at sårbarheden ikke udgør en fortsat risiko, og at den ikke kan afhjælpes, tilbagekaldes EUCC-attesten i overensstemmelse med artikel 14.

7.   EUCC-attestindehaveren overvåger eventuelle tilbageværende sårbarheder for at sikre, at de ikke kan udnyttes i tilfælde af ændringer i det operationelle miljø.

1.   De oplysninger, som certificeringsorganet giver den nationale cybersikkerhedscertificeringsmyndighed, skal omfatte alle de elementer, der er nødvendige for, at den nationale cybersikkerhedscertificeringsmyndighed kan forstå virkningen af sårbarheden, de ændringer, der skal foretages af IKT-produktet, og eventuelle oplysninger fra certificeringsorganet om de bredere konsekvenser af sårbarheden for andre certificerede IKT-produkter.

2.   De oplysninger, der gives i henhold til stk. 1, må ikke indeholde nærmere oplysninger om, hvordan sårbarheden kan udnyttes. Denne bestemmelse berører ikke den nationale cybersikkerhedscertificeringsmyndigheds undersøgelsesbeføjelser.

1.   Den nationale cybersikkerhedscertificeringsmyndighed deler de relevante oplysninger, der er modtaget i overensstemmelse med artikel 37, med andre nationale cybersikkerhedscertificeringsmyndigheder og ENISA.

2.   Andre nationale cybersikkerhedscertificeringsmyndigheder kan beslutte at analysere sårbarheden yderligere eller, efter at have underrettet indehaveren af EUCC-attesten, anmode de relevante certificeringsorganer om at vurdere, om sårbarheden kan påvirke andre certificerede IKT-produkter.