Το κείμενο αυτό αποτελεί απλώς εργαλείο τεκμηρίωσης και δεν έχει καμία νομική ισχύ. Τα θεσμικά όργανα της Ένωσης δεν φέρουν καμία ευθύνη για το περιεχόμενό του. Τα αυθεντικά κείμενα των σχετικών πράξεων, συμπεριλαμβανομένων των προοιμίων τους, είναι εκείνα που δημοσιεύονται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης και είναι διαθέσιμα στο EUR-Lex. Αυτά τα επίσημα κείμενα είναι άμεσα προσβάσιμα μέσω των συνδέσμων που περιέχονται στο παρόν έγγραφο

ΕΚΤΕΛΕΣΤΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2024/482 ΤΗΣ ΕΠΙΤΡΟΠΗΣ

της 31ης Ιανουαρίου 2024

για τη θέσπιση κανόνων εφαρμογής του κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου όσον αφορά την έγκριση του ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας βάσει κοινών κριτηρίων (EUCC)

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

ΚΕΦΑΛΑΙΟ Ι

ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 1

Αντικείμενο και πεδίο εφαρμογής

Ο παρών κανονισμός καθορίζει το βασισμένο σε κοινά κριτήρια ευρωπαϊκό σχήμα πιστοποίησης της κυβερνοασφάλειας (EUCC).

Ο παρών κανονισμός εφαρμόζεται σε όλα τα προϊόντα τεχνολογιών των πληροφοριών και των επικοινωνιών (στο εξής: ΤΠΕ), συμπεριλαμβανομένης της τεκμηρίωσής τους, τα οποία υποβάλλονται για πιστοποίηση στο πλαίσιο του EUCC, και σε όλα τα χαρακτηριστικά προστασίας τα οποία υποβάλλονται για πιστοποίηση στο πλαίσιο της διαδικασίας ΤΠΕ που οδηγεί στην πιστοποίηση προϊόντων ΤΠΕ.

Άρθρο 2

Ορισμοί

Για τους σκοπούς του παρόντος κανονισμού, ισχύουν οι ακόλουθοι ορισμοί:

▼M1

«κοινά κριτήρια»: τα κοινά κριτήρια για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, τα οποία καθορίζονται στα πρότυπα ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 ή ISO/IEC 15408-5:2022, ή καθορίζονται στα κοινά κριτήρια για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, έκδοση CC:2022, μέρη 1 έως 5, που δημοσιεύθηκαν από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ·

«κοινή μεθοδολογία αξιολόγησης»: η κοινή μεθοδολογία για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, η οποία καθορίζεται στο πρότυπο ISO/IEC 18045:2022, ή η κοινή μεθοδολογία για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, έκδοση CEM:2022, που δημοσιεύθηκε από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ·

▼B

«στόχος αξιολόγησης»: προϊόν ή τμήμα προϊόντος ΤΠΕ, ή χαρακτηριστικό προστασίας στο πλαίσιο διαδικασίας ΤΠΕ, που υποβάλλονται σε αξιολόγηση κυβερνοασφάλειας προκειμένου να λάβουν πιστοποίηση EUCC·

«στόχος ασφάλειας»: ισχυρισμός απαιτήσεων ασφάλειας εξαρτώμενων από την υλοποίηση για συγκεκριμένο προϊόν ΤΠΕ·

«χαρακτηριστικό προστασίας»: διαδικασία ΤΠΕ η οποία καθορίζει τις απαιτήσεις ασφάλειας για συγκεκριμένη κατηγορία προϊόντων ΤΠΕ που αντιμετωπίζουν ανάγκες ασφάλειας μη εξαρτώμενες από την υλοποίηση, και η οποία μπορεί να χρησιμοποιηθεί για την αξιολόγηση προϊόντων ΤΠΕ που εμπίπτουν στη συγκεκριμένη κατηγορία για τον σκοπό της πιστοποίησής τους·

«τεχνική έκθεση αξιολόγησης»: έγγραφο το οποίο εκπονεί ΕΑΑΤΠ, στο οποίο παρουσιάζει τα ευρήματα, τα πορίσματα και τις αιτιολογήσεις που προέκυψαν από την αξιολόγηση προϊόντος ΤΠΕ ή χαρακτηριστικού προστασίας σύμφωνα με τους κανόνες και τις υποχρεώσεις που καθορίζονται στον παρόντα κανονισμό·

«ΕΑΑΤΠ»: εγκατάσταση αξιολόγησης της ασφάλειας της τεχνολογίας πληροφοριών, η οποία είναι οργανισμός αξιολόγησης της συμμόρφωσης, όπως ορίζεται στο άρθρο 2 σημείο 13 του κανονισμού (ΕΚ) αριθ. 765/2008, που εκτελεί καθήκοντα αξιολόγησης·

«επίπεδο AVA_VAN»: επίπεδο διασφάλισης ανάλυσης τρωτότητας το οποίο καταδεικνύει το επίπεδο των δραστηριοτήτων αξιολόγησης της κυβερνοασφάλειας που εκτελούνται προκειμένου να καθοριστεί το επίπεδο ανθεκτικότητας κατά δυνητικής εκμετάλλευσης ελαττωμάτων ή αδυναμιών του στόχου αξιολόγησης στο λειτουργικό περιβάλλον του όπως καθορίζεται στα κοινά κριτήρια·

«πιστοποιητικό EUCC»: πιστοποιητικό κυβερνοασφάλειας το οποίο εκδίδεται στο πλαίσιο του EUCC για προϊόντα ΤΠΕ ή για χαρακτηριστικά προστασίας τα οποία μπορούν να χρησιμοποιηθούν αποκλειστικά και μόνον στη διαδικασία ΤΠΕ της πιστοποίησης προϊόντων ΤΠΕ·

10)

«σύνθετο προϊόν»: προϊόν ΤΠΕ το οποίο αξιολογείται μαζί με άλλο υποκείμενο προϊόν ΤΠΕ που έχει ήδη λάβει πιστοποιητικό EUCC και από τη λειτουργικότητα ασφάλειας του οποίου εξαρτάται το σύνθετο προϊόν ΤΠΕ·

11)

«εθνική αρχή πιστοποίησης της κυβερνοασφάλειας»: αρχή την οποία ορίζει κράτος μέλος δυνάμει του άρθρου 58 παράγραφος 1 του κανονισμού (ΕΕ) 2019/881·

12)

«οργανισμός πιστοποίησης»: οργανισμός αξιολόγησης της συμμόρφωσης όπως ορίζεται στο άρθρο 2 σημείο 13 του κανονισμού (ΕΚ) αριθ. 765/2008, ο οποίος πραγματοποιεί δραστηριότητες πιστοποίησης·

13)

«τεχνικός τομέας»: κοινό τεχνικό πλαίσιο που σχετίζεται με συγκεκριμένη τεχνολογία για την εναρμονισμένη πιστοποίηση με ένα σύνολο χαρακτηριστικών απαιτήσεων ασφάλειας·

14)

«έγγραφο στάθμης της τεχνικής»: έγγραφο το οποίο προσδιορίζει μεθόδους, τεχνικές και εργαλεία αξιολόγησης που εφαρμόζονται στην πιστοποίηση προϊόντων ΤΠΕ ή στις απαιτήσεις ασφάλειας γενικής κατηγορίας προϊόντων ΤΠΕ ή οποιεσδήποτε άλλες απαιτήσεις αναγκαίες για την πιστοποίηση, με σκοπό την εναρμόνιση της αξιολόγησης, ειδικότερα τεχνικών τομέων ή χαρακτηριστικών προστασίας·

15)

«αρχή εποπτείας της αγοράς»: αρχή όπως ορίζεται στο άρθρο 3 σημείο 4 του κανονισμού (ΕΕ) 2019/1020.

▼M1

Άρθρο 3

Πρότυπα αξιολόγησης

Στις αξιολογήσεις που διενεργούνται στο πλαίσιο του σχήματος EUCC εφαρμόζονται τα ακόλουθα πρότυπα:

α)

τα κοινά κριτήρια·

β)

η κοινή μεθοδολογία αξιολόγησης.

Έως την 31η Δεκεμβρίου 2027, μπορούν να εκδίδονται πιστοποιητικά στο πλαίσιο του σχήματος EUCC με εφαρμογή ενός εκ των ακολούθων προτύπων:

α)

ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 ή ISO/IEC 15408-3:2008·

β)

Κοινά κριτήρια για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, έκδοση 3.1, αναθεώρηση 5, που δημοσιεύθηκαν από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ·

γ)

ISO/IEC 18045:2008·

δ)

Κοινή μεθοδολογία για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, αναθεώρηση 5, έκδοση 3.1, που δημοσιεύθηκε από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ.

Έως την 31η Δεκεμβρίου 2027, μπορεί να εκδίδεται πιστοποιητικό στο πλαίσιο του σχήματος EUCC με εφαρμογή των προτύπων που αναφέρονται στην παράγραφο 1, με δήλωση συμμόρφωσης προς χαρακτηριστικό προστασίας στο οποίο έχουν εφαρμοστεί τα πρότυπα που παρατίθενται στην παράγραφο 2.

Πιστοποιητικό το οποίο εφαρμόζει τα πρότυπα που αναφέρονται στην παράγραφο 1 μπορεί επίσης να εκδίδεται στο πλαίσιο του σχήματος EUCC με δήλωση συμμόρφωσης προς χαρακτηριστικό προστασίας στο οποίο έχει εφαρμοστεί οποιοδήποτε από τα ακόλουθα πρότυπα, υπό την προϋπόθεση ότι η χρήση του εν λόγω χαρακτηριστικού προστασίας απαιτείται βάσει του εκτελεστικού κανονισμού (ΕΕ) 2016/799 της Επιτροπής ( 1 ), του κανονισμού (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου ( 2 ) ή της εκτελεστικής απόφασης (ΕΕ) 2016/650 της Επιτροπής ( 3 ):

α)

Κοινά κριτήρια για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, έκδοση 3.1, αναθεώρηση 1 έως 4, που δημοσιεύθηκαν από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ·

β)

Κοινή μεθοδολογία για την αξιολόγηση της ασφάλειας της τεχνολογίας πληροφοριών, έκδοση 3.1, αναθεώρηση 1 έως 4, που δημοσιεύθηκε από τους συμμετέχοντες στη ρύθμιση για την αναγνώριση των πιστοποιητικών κοινών κριτηρίων στον τομέα της ασφάλειας ΤΠ.

▼B

Άρθρο 4

Επίπεδα διασφάλισης

Οι οργανισμοί πιστοποίησης εκδίδουν πιστοποιητικά EUCC σε «σημαντικό» ή «υψηλό» επίπεδο διασφάλισης.

Τα πιστοποιητικά EUCC σε «σημαντικό» επίπεδο διασφάλισης αντιστοιχούν σε πιστοποιητικά που καλύπτουν επίπεδο AVA_VAN 1 ή 2.

Τα πιστοποιητικά EUCC σε «υψηλό» επίπεδο διασφάλισης αντιστοιχούν σε πιστοποιητικά που καλύπτουν επίπεδα AVA_VAN 3, 4 ή 5.

Το επίπεδο διασφάλισης που επιβεβαιώνεται σε πιστοποιητικό EUCC διακρίνει μεταξύ της συμμορφούμενης και της επαυξημένης χρήσης των συνιστωσών διασφάλισης οι οποίες προσδιορίζονται στα κοινά κριτήρια σύμφωνα με το παράρτημα VIII.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης εφαρμόζουν τις εν λόγω συνιστώσες διασφάλισης από τις οποίες εξαρτάται το επίπεδο AVA_VAN που επιλέγεται σύμφωνα με τα πρότυπα που αναφέρονται στο άρθρο 3.

Άρθρο 5

Μέθοδοι πιστοποίησης προϊόντων ΤΠΕ

Η πιστοποίηση προϊόντος ΤΠΕ διενεργείται ως προς τον στόχο ασφάλειάς του:

α)

όπως ορίζεται από τον αιτούντα· ή

▼M1

β)

με δήλωση συμμόρφωσης προς πιστοποιημένο χαρακτηριστικό προστασίας στο πλαίσιο διαδικασίας ΤΠΕ, όταν το προϊόν ΤΠΕ εμπίπτει στην κατηγορία προϊόντων ΤΠΕ που καλύπτεται από το συγκεκριμένο χαρακτηριστικό προστασίας.

▼B

Τα χαρακτηριστικά προστασίας πιστοποιούνται αποκλειστικά και μόνον για τον σκοπό της πιστοποίησης προϊόντων ΤΠΕ που εμπίπτουν στη συγκεκριμένη κατηγορία προϊόντων ΤΠΕ που καλύπτεται από το χαρακτηριστικό προστασίας.

Άρθρο 6

Αυτοαξιολόγηση της συμμόρφωσης

Αυτοαξιολόγηση της συμμόρφωσης κατά την έννοια του άρθρου 53 του κανονισμού (ΕΕ) 2019/881 δεν επιτρέπεται.

ΚΕΦΑΛΑΙΟ II

ΠΙΣΤΟΠΟΙΗΣΗ ΠΡΟΪΟΝΤΩΝ ΤΠΕ

ΤΜΗΜΑ I

ΕΙΔΙΚΆ ΠΡΌΤΥΠΑ ΚΑΙ ΑΠΑΙΤΉΣΕΙΣ ΓΙΑ ΤΗΝ ΑΞΙΟΛΌΓΗΣΗ

Άρθρο 7

Κριτήρια και μέθοδοι αξιολόγησης για προϊόντα ΤΠΕ

Προϊόν ΤΠΕ το οποίο υποβάλλεται για πιστοποίηση αξιολογείται, τουλάχιστον, σύμφωνα με:

α)

τα εφαρμοστέα στοιχεία των προτύπων που αναφέρονται στο άρθρο 3·

β)

τις κλάσεις απαιτήσεων κατοχύρωσης της ασφάλειας για αξιολόγηση της τρωτότητας και ανεξάρτητες λειτουργικές δοκιμές, όπως προβλέπεται στα πρότυπα αξιολόγησης που αναφέρονται στο άρθρο 3·

γ)

το επίπεδο κινδύνου που σχετίζεται με την προβλεπόμενη χρήση των οικείων προϊόντων ΤΠΕ δυνάμει του άρθρου 52 του κανονισμού (ΕΕ) 2019/881 και τις λειτουργίες ασφάλειας των εν λόγω προϊόντων οι οποίες στηρίζουν τους στόχους ασφάλειας που καθορίζονται στο άρθρο 51 του κανονισμού (ΕΕ) 2019/881·

δ)

τα εφαρμοστέα έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I· και

ε)

τα εφαρμοστέα πιστοποιημένα χαρακτηριστικά προστασίας που παρατίθενται στο παράρτημα II.

Σε εξαιρετικές και δεόντως αιτιολογημένες περιπτώσεις ο οργανισμός αξιολόγησης της συμμόρφωσης μπορεί να ζητήσει τη μη εφαρμογή του σχετικού εγγράφου στάθμης της τεχνικής. Σε τέτοιες περιπτώσεις, ο οργανισμός αξιολόγησης της συμμόρφωσης ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας, επισυνάπτοντας στο αίτημά του αιτιολόγηση δεόντως εμπεριστατωμένη. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αξιολογεί την αιτιολόγηση της εξαίρεσης και, εφόσον είναι βάσιμη, την εγκρίνει. Εν αναμονή της απόφασης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, ο οργανισμός αξιολόγησης της συμμόρφωσης δεν εκδίδει κανένα πιστοποιητικό. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας κοινοποιεί αμελλητί την εγκεκριμένη εξαίρεση στην ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας, η οποία δύναται να εκδώσει γνωμοδότηση. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει ιδιαιτέρως υπόψη τη γνωμοδότηση της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας.

Η πιστοποίηση προϊόντων ΤΠΕ σε επίπεδο AVA_VAN 4 ή 5 είναι δυνατή μόνον στις ακόλουθες περιπτώσεις:

α)

όταν το προϊόν ΤΠΕ καλύπτεται από οποιονδήποτε τεχνικό τομέα που παρατίθεται στο παράρτημα I, το προϊόν ΤΠΑ αξιολογείται σύμφωνα με τα εφαρμοστέα έγγραφα στάθμης της τεχνικής των εν λόγω τεχνικών τομέων,

β)

όταν το προϊόν ΤΠΕ εμπίπτει σε κατηγορία προϊόντων ΤΠΕ που καλύπτεται από πιστοποιημένο χαρακτηριστικό προστασίας το οποίο περιλαμβάνει επίπεδο AVA_VAN 4 ή 5 και το οποίο παρατίθεται ως χαρακτηριστικό προστασίας τεχνολογίας αιχμής στο παράρτημα IΙ, το προϊόν ΤΠΕ αξιολογείται σύμφωνα με τη μεθοδολογία αξιολόγησης που προσδιορίζεται για το συγκεκριμένο χαρακτηριστικό προστασίας,

γ)

σε περίπτωση που τα στοιχεία α) και β) της παρούσας παραγράφου δεν έχουν εφαρμογή και σε περίπτωση που η συμπερίληψη τεχνικού τομέα στο παράρτημα I ή πιστοποιημένου χαρακτηριστικού προστασίας στο παράρτημα II δεν είναι πιθανή στο εγγύς μέλλον, και μόνον σε εξαιρετικές και δεόντως αιτιολογημένες περιπτώσεις, υπό τους όρους που καθορίζονται στην παράγραφο 4.

Σε περίπτωση που οργανισμός αξιολόγησης της συμμόρφωσης εκτιμά ότι συντρέχει εξαιρετική και δεόντως αιτιολογημένη περίπτωση κατά την παράγραφο 3 στοιχείο γ) ανωτέρω, κοινοποιεί τη σκοπούμενη πιστοποίηση στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας επισυνάπτοντας αιτιολόγηση και προτεινόμενη μεθοδολογία αξιολόγησης. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αξιολογεί την αιτιολόγηση της εξαίρεσης και, σε περίπτωση που είναι βάσιμη, εγκρίνει ή τροποποιεί τη μεθοδολογία αξιολόγησης που πρέπει να εφαρμόζει ο οργανισμός αξιολόγησης της συμμόρφωσης. Εν αναμονή της απόφασης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, ο οργανισμός αξιολόγησης της συμμόρφωσης δεν εκδίδει κανένα πιστοποιητικό. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αναφέρει αμελλητί τη σκοπούμενη πιστοποίηση στην ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας, η οποία δύναται να εκδώσει γνωμοδότηση. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει ιδιαιτέρως υπόψη τη γνωμοδότηση της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας.

Σε περίπτωση προϊόντος ΤΠΕ που υποβάλλεται σε αξιολόγηση σύνθετου προϊόντος σύμφωνα με τα σχετικά έγγραφα στάθμης της τεχνικής, η ΕΑΑΤΠ που διενήργησε την αξιολόγηση του υποκείμενου προϊόντος ΤΠΕ γνωστοποιεί τις σχετικές πληροφορίες στην ΕΑΑΤΠ που διενεργεί την αξιολόγηση του σύνθετου προϊόντος ΤΠΕ.

ΤΜΗΜΑ ΙΙ

ΈΚΔΟΣΗ, ΑΝΑΝΈΩΣΗ ΚΑΙ ΑΝΆΚΛΗΣΗ ΠΙΣΤΟΠΟΙΗΤΙΚΏΝ EUCC

Άρθρο 8

▼M1

Απαραίτητες πληροφορίες για την πιστοποίηση και την αξιολόγηση

Οι αιτούντες πιστοποίηση στο πλαίσιο του EUCC παρέχουν ή διαθέτουν με άλλον τρόπο στον οργανισμό πιστοποίησης και στην ΕΑΤΤΠ κάθε πληροφορία αναγκαία για τις δραστηριότητες πιστοποίησης και αξιολόγησης.

▼B

Οι πληροφορίες της παραγράφου 1 περιλαμβάνουν κάθε σχετική τεκμηρίωση σύμφωνα με τις ενότητες με τίτλο «Στοιχεία ενεργειών φορέα ανάπτυξης» (Developer action elements), στον κατάλληλο μορφότυπο όπως προβλέπεται στις ενότητες με τίτλο «Περιεχόμενο και παρουσίαση στοιχείων τεκμηρίωσης» (Content and presentation of evidence elements) των κοινών κριτηρίων και της κοινής μεθοδολογίας αξιολόγησης για το επιλεγμένο επίπεδο διασφάλισης και τις σχετικές απαιτήσεις κατοχύρωσης της ασφάλειας. Η τεκμηρίωση περιλαμβάνει, κατά περίπτωση, στοιχεία σχετικά με το προϊόν ΤΠΕ και τον πηγαίο κώδικά του σύμφωνα με τον παρόντα κανονισμό, με την επιφύλαξη διασφαλίσεων κατά της μη εξουσιοδοτημένης γνωστοποίησης.

Οι αιτούντες πιστοποίηση δύνανται να παρέχουν στον οργανισμό πιστοποίησης και στην ΕΑΤΤΠ κατάλληλα αποτελέσματα αξιολόγησης από προγενέστερη πιστοποίηση δυνάμει:

α)

του παρόντος κανονισμού·

β)

άλλου ευρωπαϊκού σχήματος πιστοποίησης της κυβερνοασφάλειας θεσπισθέντος δυνάμει του άρθρου 49 του κανονισμού (ΕΕ) 2019/881·

γ)

εθνικού σχήματος που αναφέρεται στο άρθρο 49 του παρόντος κανονισμού.

Σε περίπτωση που τα αποτελέσματα της αξιολόγησης έχουν σημασία για τα καθήκοντά της, η ΕΑΑΤΠ δύναται να χρησιμοποιεί εκ νέου τα αποτελέσματα της αξιολόγησης, εφόσον τα εν λόγω αποτελέσματα πληρούν τις εφαρμοστέες απαιτήσεις και η γνησιότητά τους είναι επιβεβαιωμένη.

Όταν ο οργανισμός πιστοποίησης επιτρέπει την πιστοποίηση προϊόντος ως σύνθετου προϊόντος, ο αιτών πιστοποίηση θέτει στη διάθεση του οργανισμού πιστοποίησης και της ΕΑΑΤΠ κάθε αναγκαίο στοιχείο, κατά περίπτωση, σύμφωνα με το έγγραφο στάθμης της τεχνικής.

Οι αιτούντες πιστοποίηση παρέχουν επίσης στον οργανισμό πιστοποίησης και στην ΕΑΑΤΠ τις ακόλουθες πληροφορίες:

α)

τον σύνδεσμο προς τον ιστότοπό τους που περιέχει τις συμπληρωματικές πληροφορίες σχετικά με την κυβερνοασφάλεια που αναφέρονται στο άρθρο 55 του κανονισμού (ΕΕ) 2019/881·

β)

περιγραφή των διαδικασιών τους για τη διαχείριση τρωτών σημείων και τη δημοσιοποίηση τρωτών σημείων.

Ο οργανισμός πιστοποίησης, η ΕΑΑΤΠ και ο αιτών διατηρούν κάθε σχετική τεκμηρίωση η οποία αναφέρεται στο παρόν άρθρο για διάστημα 5 ετών μετά τη λήξη ισχύος του πιστοποιητικού.

Άρθρο 9

Προϋποθέσεις έκδοσης πιστοποιητικού EUCC

Οι οργανισμοί πιστοποίησης εκδίδουν πιστοποιητικό EUCC, εφόσον πληρούνται όλες οι ακόλουθες προϋποθέσεις:

α)

η κατηγορία προϊόντος ΤΠΕ εμπίπτει στο πεδίο της διαπίστευσης, και όπου συντρέχει περίπτωση της εξουσιοδότησης, του οργανισμού πιστοποίησης και της ΕΑΑΤΠ που συμμετέχει στην πιστοποίηση·

β)

ο αιτών πιστοποίηση υπέγραψε δήλωση με την οποία αναλαμβάνει όλες τις δεσμεύσεις που απαριθμούνται στην παράγραφο 2·

γ)

η ΕΑΑΤΠ ολοκλήρωσε την αξιολόγηση χωρίς ένσταση σύμφωνα με τα πρότυπα, τα κριτήρια και τις μεθόδους αξιολόγησης που αναφέρονται στα άρθρα 3 και 7·

δ)

ο οργανισμός πιστοποίησης ολοκλήρωσε την επανεξέταση των αποτελεσμάτων της αξιολόγησης χωρίς ένσταση·

ε)

ο οργανισμός πιστοποίησης έλεγξε ότι οι τεχνικές εκθέσεις αξιολόγησης της ΕΑΑΤΠ είναι συνεπείς με την παρασχεθείσα τεκμηρίωση και ότι τα πρότυπα, τα κριτήρια και οι μέθοδοι αξιολόγησης που αναφέρονται στα άρθρα 3 και 7 εφαρμόστηκαν ορθά.

Ο αιτών πιστοποίηση αναλαμβάνει τις ακόλουθες δεσμεύσεις:

α)

να παρέχει στον οργανισμό πιστοποίησης και στην ΕΑΑΤΠ κάθε αναγκαία πλήρη και ορθή πληροφορία και να παρέχει συμπληρωματικές αναγκαίες πληροφορίες, εφόσον ζητηθούν·

β)

να μην προωθεί το προϊόν ΤΠΕ ως πιστοποιημένο βάσει του EUCC πριν από την έκδοση του πιστοποιητικού EUCC·

γ)

να προωθεί το προϊόν ΤΠΕ ως πιστοποιημένο σε σχέση μόνον με το πεδίο που καθορίζεται στο πιστοποιητικό EUCC·

δ)

να παύσει πάραυτα την προώθηση του προϊόντος ΤΠΕ ως πιστοποιημένου σε περίπτωση αναστολής, ανάκλησης ή λήξης της ισχύος του πιστοποιητικού EUCC·

ε)

να διασφαλίζει ότι τα προϊόντα ΤΠΕ που πωλούνται με παραπομπή στο πιστοποιητικό EUCC είναι απολύτως πανομοιότυπα με το προϊόν ΤΠΕ που υποβλήθηκε σε πιστοποίηση·

στ)

να τηρεί τους κανόνες χρήσης του σήματος και της επισήμανσης που θεσπίζονται για το πιστοποιητικό EUCC σύμφωνα με το άρθρο 11.

Σε περίπτωση προϊόντος ΤΠΕ που υποβάλλεται σε πιστοποίηση σύνθετου προϊόντος σύμφωνα με τα σχετικά έγγραφα στάθμης της τεχνικής, ο οργανισμός πιστοποίησης που διενήργησε την πιστοποίηση του υποκείμενου προϊόντος ΤΠΕ γνωστοποιεί τις σχετικές πληροφορίες στον οργανισμό πιστοποίησης που διενεργεί την πιστοποίηση του σύνθετου προϊόντος ΤΠΕ.

Άρθρο 10

Περιεχόμενο και μορφή πιστοποιητικού EUCC

Το πιστοποιητικό EUCC περιέχει τουλάχιστον τις πληροφορίες που παρατίθενται στο παράρτημα VII.

Το πεδίο και τα όρια του πιστοποιημένου προϊόντος ΤΠΕ προσδιορίζονται σαφώς στο πιστοποιητικό EUCC ή στην έκθεση πιστοποίησης, επισημαίνεται δε κατά πόσον η πιστοποίηση αφορά το σύνολο του προϊόντος ΤΠΕ ή μόνον τμήματά του.

Ο οργανισμός πιστοποίησης παρέχει στον αιτούντα το πιστοποιητικό EUCC τουλάχιστον σε ηλεκτρονική μορφή.

Ο οργανισμός πιστοποίησης εκπονεί έκθεση πιστοποίησης σύμφωνα με το παράρτημα V για κάθε πιστοποιητικό EUCC το οποίο εκδίδει. Η έκθεση πιστοποίησης βασίζεται στην τεχνική έκθεση αξιολόγησης που εκπονεί η ΕΑΑΤΠ. Η τεχνική έκθεση αξιολόγησης και η έκθεση πιστοποίησης προσδιορίζουν τα συγκεκριμένα κριτήρια και τις συγκεκριμένες μεθόδους αξιολόγησης που αναφέρονται στο άρθρο 7 και που χρησιμοποιήθηκαν για την αξιολόγηση.

Ο οργανισμός πιστοποίησης παρέχει στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και στον ENISA κάθε πιστοποιητικό EUCC και κάθε έκθεση πιστοποίησης σε ηλεκτρονική μορφή.

Άρθρο 11

Σήματα και επισημάνσεις

Ο κάτοχος πιστοποιητικού δύναται να θέσει σήμα και επισήμανση σε πιστοποιημένο προϊόν ΤΠΕ. Το σήμα και η επισήμανση καταδεικνύουν ότι το προϊόν ΤΠΕ πιστοποιήθηκε σύμφωνα με τον παρόντα κανονισμό. Το σήμα και η επισήμανση τίθενται σύμφωνα με το παρόν άρθρο και το παράρτημα IX.

Το σήμα και η επισήμανση τίθενται κατά τρόπο εμφανή, ευανάγνωστο και ανεξίτηλο στο πιστοποιημένο προϊόν ΤΠΕ ή στην πινακίδα με τα στοιχεία του. Όταν η φύση του προϊόντος δεν το επιτρέπει ή δεν το δικαιολογεί, το σήμα και η επισήμανση τοποθετούνται στη συσκευασία του προϊόντος και στα συνοδευτικά έγγραφα. Σε περίπτωση που το πιστοποιημένο προϊόν ΤΠΕ παραδίδεται με τη μορφή λογισμικού, το σήμα και η επισήμανση εμφανίζονται κατά τρόπο εμφανή, ευανάγνωστο και ανεξίτηλο στην τεκμηρίωση που το συνοδεύει ή παρέχεται στους χρήστες εύκολη και άμεση πρόσβαση στην εν λόγω τεκμηρίωση μέσω ιστοτόπου.

Το σήμα και η επισήμανση έχουν τη μορφή που παρατίθεται στο παράρτημα ΙΧ και περιέχουν τα εξής στοιχεία:

α)

το επίπεδο διασφάλισης και το επίπεδο AVA_VAN του πιστοποιημένου προϊόντος ΤΠΕ·

β)

τον μοναδικό αναγνωριστικό αριθμό του πιστοποιητικού, ο οποίος περιλαμβάνει τα εξής:

την ονομασία του σχήματος·

το όνομα και τον αριθμό αναφοράς της διαπίστευσης του οργανισμού πιστοποίησης που εξέδωσε το πιστοποιητικό·

το έτος και τον μήνα έκδοσης·

τον αναγνωριστικό αριθμό που απέδωσε ο οργανισμός πιστοποίησης που εξέδωσε το πιστοποιητικό.

Το σήμα και η επισήμανση συνοδεύονται από κωδικό QR με σύνδεσμο προς ιστότοπο που περιέχει τουλάχιστον τα εξής:

α)

τις πληροφορίες σχετικά με την περίοδο ισχύος του πιστοποιητικού·

β)

τις απαραίτητες πληροφορίες για την πιστοποίηση οι οποίες καθορίζονται στα παραρτήματα V και VII·

γ)

τις πληροφορίες που ο κάτοχος του πιστοποιητικού πρέπει να δημοσιοποιεί σύμφωνα με το άρθρο 55 του κανονισμού (ΕΕ) 2019/881· και

δ)

όπου συντρέχει περίπτωση, τις ιστορικές πληροφορίες που σχετίζονται με τη/τις συγκεκριμένη/-ες πιστοποίηση/-εις του προϊόντος ΤΠΕ ώστε να καθίσταται δυνατή η ιχνηλασιμότητα.

Άρθρο 12

Περίοδος ισχύος πιστοποιητικού EUCC

Ο οργανισμός πιστοποίησης καθορίζει περίοδο ισχύος για κάθε πιστοποιητικό EUCC που εκδίδει λαμβάνοντας υπόψη τα χαρακτηριστικά του πιστοποιημένου προϊόντος ΤΠΕ.

Η περίοδος ισχύος του πιστοποιητικού EUCC δεν υπερβαίνει τα 5 έτη.

Κατά παρέκκλιση από την παράγραφο 2, η περίοδος ισχύος μπορεί να υπερβαίνει τα 5 έτη, με την επιφύλαξη προηγούμενης έγκρισης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας κοινοποιεί αμελλητί την έγκριση που χορήγησε στην ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας.

Άρθρο 13

Επανεξέταση πιστοποιητικού EUCC

Κατόπιν αιτήματος του κατόχου του πιστοποιητικού ή για άλλους δεόντως αιτιολογημένους λόγους, ο οργανισμός πιστοποίησης δύναται να αποφασίσει την επανεξέταση του πιστοποιητικού EUCC για προϊόν ΤΠΕ. Η επανεξέταση διενεργείται σύμφωνα με το παράρτημα IV. Ο οργανισμός πιστοποίησης καθορίζει την έκταση της επανεξέτασης. Οσάκις απαιτείται για την επανεξέταση, ο οργανισμός πιστοποίησης ζητεί από την ΕΑΑΤΠ να διενεργήσει εκ νέου αξιολόγηση του πιστοποιημένου προϊόντος ΤΠΕ.

Μετά τα αποτελέσματα της επανεξέτασης, και κατά περίπτωση της εκ νέου αξιολόγησης, ο οργανισμός πιστοποίησης:

α)

επιβεβαιώνει το πιστοποιητικό EUCC·

β)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 14·

γ)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 14 και εκδίδει νέο πιστοποιητικό EUCC με πανομοιότυπο πεδίο και μεγαλύτερη περίοδο ισχύος· ή

δ)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 14 και εκδίδει νέο πιστοποιητικό EUCC με διαφορετικό πεδίο.

Ο οργανισμός πιστοποίησης δύναται να αναστείλει, αμελλητί, το πιστοποιητικό EUCC σύμφωνα με το άρθρο 30, εν αναμονή λήψης διορθωτικών μέτρων από τον κάτοχο του πιστοποιητικού EUCC.

Άρθρο 14

Ανάκληση πιστοποιητικού EUCC

Με την επιφύλαξη του άρθρου 58 παράγραφος 8 στοιχείο ε) του κανονισμού (ΕΕ) 2019/881, πιστοποιητικό EUCC ανακαλείται από τον οργανισμό πιστοποίησης που το εξέδωσε.

Ο οργανισμός πιστοποίησης που αναφέρεται στην παράγραφο 1 κοινοποιεί στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας την ανάκληση του πιστοποιητικού. Κοινοποιεί επίσης την εν λόγω ανάκληση στον ENISA προκειμένου να διευκολύνει την άσκηση των καθηκόντων του βάσει του άρθρου 50 του κανονισμού (ΕΕ) 2019/881. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει άλλες αρμόδιες αρχές εποπτείας της αγοράς.

Ο κάτοχος πιστοποιητικού EUCC μπορεί να ζητήσει την ανάκληση του πιστοποιητικού.

ΚΕΦΑΛΑΙΟ III

ΠΙΣΤΟΠΟΙΗΣΗ ΧΑΡΑΚΤΗΡΙΣΤΙΚΩΝ ΠΡΟΣΤΑΣΙΑΣ

ΤΜΗΜΑ I

ΕΙΔΙΚΆ ΠΡΌΤΥΠΑ ΚΑΙ ΑΠΑΙΤΉΣΕΙΣ ΓΙΑ ΤΗΝ ΑΞΙΟΛΌΓΗΣΗ

Άρθρο 15

Κριτήρια και μέθοδοι αξιολόγησης

Τα χαρακτηριστικά προστασίας αξιολογούνται, τουλάχιστον, σύμφωνα με τα ακόλουθα στοιχεία:

α)

τα εφαρμοστέα στοιχεία των προτύπων που αναφέρονται στο άρθρο 3·

β)

γ)

τα εφαρμοστέα έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I. Χαρακτηριστικό προστασίας που καλύπτεται από τεχνικό τομέα πιστοποιείται ως προς τις απαιτήσεις που καθορίζονται στον συγκεκριμένο τεχνικό τομέα.

Σε εξαιρετικές και δεόντως αιτιολογημένες περιπτώσεις ο οργανισμός αξιολόγησης της συμμόρφωσης μπορεί να πιστοποιήσει χαρακτηριστικό προστασίας χωρίς να εφαρμόσει τα σχετικά έγγραφα στάθμης της τεχνικής. Σε τέτοιες περιπτώσεις, ο οργανισμός αξιολόγησης της συμμόρφωσης ενημερώνει την αρμόδια εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και παρέχει, αφενός, αιτιολόγηση για τη σκοπούμενη πιστοποίηση χωρίς εφαρμογή των σχετικών εγγράφων στάθμης της τεχνικής, αφετέρου δε την προτεινόμενη μεθοδολογία αξιολόγησης. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αξιολογεί την αιτιολόγηση και, εφόσον είναι βάσιμη, εγκρίνει τη μη εφαρμογή των σχετικών εγγράφων στάθμης της τεχνικής, εγκρίνει δε ή τροποποιεί, κατά περίπτωση, τη μεθοδολογία αξιολόγησης που πρέπει να εφαρμόσει ο οργανισμός αξιολόγησης της συμμόρφωσης. Εν αναμονή της απόφασης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, ο οργανισμός αξιολόγησης της συμμόρφωσης δεν εκδίδει κανένα πιστοποιητικό για το χαρακτηριστικό προστασίας. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας κοινοποιεί αμελλητί την εγκριθείσα μη εφαρμογή των σχετικών εγγράφων στάθμης της τεχνικής στην ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας, η οποία δύναται να εκδώσει γνωμοδότηση. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει ιδιαιτέρως υπόψη τη γνωμοδότηση της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας.

ΤΜΗΜΑ ΙΙ

ΈΚΔΟΣΗ, ΑΝΑΝΈΩΣΗ ΚΑΙ ΑΝΆΚΛΗΣΗ ΠΙΣΤΟΠΟΙΗΤΙΚΏΝ EUCC ΓΙΑ ΧΑΡΑΚΤΗΡΙΣΤΙΚΆ ΠΡΟΣΤΑΣΊΑΣ

▼M1

Άρθρο 16

Απαραίτητες πληροφορίες για την πιστοποίηση και την αξιολόγηση χαρακτηριστικών προστασίας

Οι αιτούντες πιστοποίηση χαρακτηριστικού προστασίας στο πλαίσιο του EUCC παρέχουν ή διαθέτουν με άλλον τρόπο στον οργανισμό πιστοποίησης και στην ΕΑΤΤΠ κάθε πληροφορία αναγκαία για τις δραστηριότητες πιστοποίησης και αξιολόγησης σε πλήρη και ορθή μορφή. Το άρθρο 8 παράγραφοι 2, 3, 4 και 7 εφαρμόζεται τηρουμένων των αναλογιών.

▼B

Άρθρο 17

Έκδοση πιστοποιητικών EUCC για χαρακτηριστικά προστασίας

▼M1 —————

▼B

Τα άρθρα 9 και 10 εφαρμόζονται τηρουμένων των αναλογιών.

Η ΕΑΑΤΠ αξιολογεί αν το χαρακτηριστικό προστασίας είναι πλήρες, συνεπές, τεχνικά άρτιο και αποτελεσματικό για την προβλεπόμενη χρήση και τους στόχους ασφάλειας της κατηγορίας του προϊόντος ΤΠΕ που καλύπτεται από το συγκεκριμένο χαρακτηριστικό προστασίας.

Τα χαρακτηριστικά προστασίας πιστοποιούνται αποκλειστικά και μόνο από:

α)

εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ή άλλο δημόσιο οργανισμό διαπιστευμένο ως οργανισμό πιστοποίησης· ή

β)

οργανισμό πιστοποίησης, με την προηγούμενη έγκριση της εθνικής αρχής πιστοποίηση της κυβερνοασφάλειας για κάθε επιμέρους χαρακτηριστικό προστασίας.

Άρθρο 18

Περίοδος ισχύος πιστοποιητικού EUCC για χαρακτηριστικά προστασίας

Ο οργανισμός πιστοποίησης καθορίζει περίοδο ισχύος για κάθε πιστοποιητικό EUCC.

Η περίοδος ισχύος μπορεί να εκτείνεται στη διάρκεια ζωής των οικείου χαρακτηριστικού προστασίας.

Άρθρο 19

Επανεξέταση πιστοποιητικού EUCC για χαρακτηριστικά προστασίας

Κατόπιν αιτήματος του κατόχου του πιστοποιητικού ή για άλλους δεόντως αιτιολογημένους λόγους, ο οργανισμός πιστοποίησης δύναται να αποφασίσει την επανεξέταση πιστοποιητικού EUCC για χαρακτηριστικό προστασίας. Η επανεξέταση διενεργείται εφαρμόζοντας τις προϋποθέσεις που καθορίζονται στο άρθρο 15. Ο οργανισμός πιστοποίησης καθορίζει την έκταση της επανεξέτασης. Οσάκις απαιτείται για την επανεξέταση, ο οργανισμός πιστοποίησης ζητεί από την ΕΑΑΤΠ να διενεργήσει εκ νέου αξιολόγηση του πιστοποιημένου χαρακτηριστικού προστασίας.

Μετά τα αποτελέσματα της επανεξέτασης, και κατά περίπτωση της εκ νέου αξιολόγησης, ο οργανισμός πιστοποίησης προβαίνει σε μια από τις ακόλουθες ενέργειες:

α)

επιβεβαιώνει το πιστοποιητικό EUCC·

β)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 20·

γ)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 20 και εκδίδει νέο πιστοποιητικό EUCC με πανομοιότυπο πεδίο και μεγαλύτερη περίοδο ισχύος·

δ)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 20 και εκδίδει νέο πιστοποιητικό EUCC με διαφορετικό πεδίο.

Άρθρο 20

Ανάκληση πιστοποιητικού EUCC για χαρακτηριστικό προστασίας

Με την επιφύλαξη του άρθρου 58 παράγραφος 8 στοιχείο ε) του κανονισμού (ΕΕ) 2019/881, πιστοποιητικό EUCC για χαρακτηριστικό προστασίας ανακαλείται από τον οργανισμό πιστοποίησης που το εξέδωσε. Το άρθρο 14 εφαρμόζεται τηρουμένων των αναλογιών.

Πιστοποιητικό για χαρακτηριστικό προστασίας το οποίο εκδόθηκε σύμφωνα με το άρθρο 17 παράγραφος 4 στοιχείο β) ανακαλείται από την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας η οποία ενέκρινε το εν λόγω πιστοποιητικό.

ΚΕΦΑΛΑΙΟ IV

ΟΡΓΑΝΙΣΜΟΙ ΑΞΙΟΛΟΓΗΣΗΣ ΤΗΣ ΣΥΜΜΟΡΦΩΣΗΣ

▼M1

Άρθρο 20α

Προσδιορισμός των απαιτήσεων για τη διαπίστευση οργανισμών αξιολόγησης της συμμόρφωσης

Για τη διαπίστευση των οργανισμών αξιολόγησης της συμμόρφωσης λαμβάνεται υπόψη ο προσδιορισμός των απαιτήσεων για τη διαπίστευση των οργανισμών πιστοποίησης και των ΕΑΑΤΠ, όπως προβλέπεται στα εφαρμοστέα έγγραφα στάθμης της τεχνικής που παρατίθενται στο σημείο 2 του παραρτήματος I.

▼B

Άρθρο 21

Πρόσθετες ή ειδικές απαιτήσεις για οργανισμό πιστοποίησης

Οι οργανισμοί πιστοποίησης εξουσιοδοτούνται από την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας να εκδίδουν πιστοποιητικά EUCC σε «υψηλό» επίπεδο διασφάλισης στην περίπτωση που, επιπλέον της πλήρωσης των απαιτήσεων που καθορίζονται στο άρθρο 60 παράγραφος 1 και στο παράρτημα του κανονισμού (ΕΕ) 2019/881 σχετικά με τη διαπίστευση οργανισμών αξιολόγησης της συμμόρφωσης, οι εν λόγω οργανισμοί καταδεικνύουν ότι:

α)

διαθέτουν την εμπειρογνωσία και τις ικανότητες που απαιτούνται για τη λήψη απόφασης πιστοποίησης σε «υψηλό» επίπεδο διασφάλισης·

β)

διενεργούν τις δραστηριότητες πιστοποίησης σε συνεργασία με ΕΑΑΤΠ εξουσιοδοτημένη σύμφωνα με το άρθρο 22· και

γ)

διαθέτουν τις απαιτούμενες ικανότητες και λαμβάνουν κατάλληλα τεχνικά και λειτουργικά μέτρα για την αποτελεσματική προστασία εμπιστευτικών και ευαίσθητων πληροφοριών για «υψηλό» επίπεδο διασφάλισης, επιπλέον των απαιτήσεων που καθορίζονται στο άρθρο 43.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αξιολογεί αν ο οργανισμός πιστοποίησης πληροί όλες τις απαιτήσεις που καθορίζονται στην παράγραφο 1. Η εν λόγω αξιολόγηση περιλαμβάνει τουλάχιστον δομημένες συνεντεύξεις και επανεξέταση τουλάχιστον μίας πιλοτικής πιστοποίησης την οποία ο οργανισμός πιστοποίησης διενήργησε σύμφωνα με τον παρόντα κανονισμό.

Στην αξιολόγησή της, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας μπορεί να χρησιμοποιήσει εκ νέου κάθε κατάλληλο αποδεικτικό στοιχείο από προγενέστερη εξουσιοδότηση ή παρόμοιες δραστηριότητες το οποίο χορηγήθηκε δυνάμει:

α)

του παρόντος κανονισμού·

β)

γ)

εθνικού σχήματος που αναφέρεται στο άρθρο 49 του παρόντος κανονισμού.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας εκπονεί έκθεση εξουσιοδότησης η οποία υποβάλλεται σε αξιολόγηση από ομοτίμους σύμφωνα με το άρθρο 59 παράγραφος 3 στοιχείο δ) του κανονισμού (ΕΕ) 2019/881.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας προσδιορίζει τις κατηγορίες προϊόντων ΤΠΕ και τα χαρακτηριστικά προστασίας στα οποία εκτείνεται η εξουσιοδότηση. Η εξουσιοδότηση ισχύει για διάστημα το οποίο δεν υπερβαίνει την περίοδο ισχύος της διαπίστευσης. Μπορεί να ανανεωθεί κατόπιν αιτήματος, εφόσον ο οργανισμός πιστοποίησης εξακολουθεί να πληροί τις απαιτήσεις που καθορίζονται στο παρόν άρθρο. Για την ανανέωση της εξουσιοδότησης δεν απαιτείται η διενέργεια πιλοτικών αξιολογήσεων.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ανακαλεί την εξουσιοδότηση του οργανισμού πιστοποίησης εάν δεν πληροί πλέον τις προϋποθέσεις που καθορίζονται στο παρόν άρθρο. Μετά την ανάκληση της εξουσιοδότησης, ο οργανισμός πιστοποίησης παύει πάραυτα να προβάλλεται ως εξουσιοδοτημένος οργανισμός πιστοποίησης.

Άρθρο 22

Πρόσθετες ή ειδικές απαιτήσεις για ΕΑΑΤΠ

Μια ΕΑΑΤΠ εξουσιοδοτείται από την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας να διενεργεί την αξιολόγηση προϊόντων ΤΠΕ τα οποία υπόκεινται σε πιστοποίηση βάσει του «υψηλού» επίπεδου διασφάλισης, όταν, επιπλέον της πλήρωσης των απαιτήσεων που καθορίζονται στο άρθρο 60 παράγραφος 1 και στο παράρτημα του κανονισμού (ΕΕ) 2019/881 σχετικά με τη διαπίστευση οργανισμών αξιολόγησης της συμμόρφωσης, η ΕΑΑΤΠ καταδεικνύει ότι πληροί όλες τις ακόλουθες προϋποθέσεις:

α)

διαθέτει την αναγκαία εμπειρογνωσία για την εκτέλεση των δραστηριοτήτων αξιολόγησης με σκοπό τον καθορισμό της ανθεκτικότητας σε κυβερνοεπιθέσεις προηγμένης τεχνολογίας που πραγματοποιούνται από παράγοντες με σημαντικές δεξιότητες και σημαντικούς πόρους·

β)

για τους τεχνικούς τομείς και τα χαρακτηριστικά προστασίας, τα οποία περιλαμβάνονται στη διαδικασία ΤΠΕ για τα συγκεκριμένα προϊόντα ΤΠΕ, διαθέτει:

την εμπειρογνωσία για την εκτέλεση των συγκεκριμένων δραστηριοτήτων αξιολόγησης που είναι αναγκαίες για τον μεθοδικό καθορισμό της ανθεκτικότητας στόχου αξιολόγησης σε επιδέξιους επιτιθέμενους στο λειτουργικό περιβάλλον του υποθέτοντας «μέτριο» ή «υψηλό» κίνδυνο επίθεσης όπως καθορίζεται στα πρότυπα που αναφέρονται στο άρθρο 3·

τις τεχνικές ικανότητες οι οποίες προσδιορίζονται στα έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I·

γ)

διαθέτει τις απαιτούμενες ικανότητες και λαμβάνει κατάλληλα τεχνικά και λειτουργικά μέτρα για την αποτελεσματική προστασία εμπιστευτικών και ευαίσθητων πληροφοριών για «υψηλό» επίπεδο διασφάλισης, επιπλέον των απαιτήσεων που καθορίζονται στο άρθρο 43.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας αξιολογεί αν η ΕΑΑΤΠ πληροί όλες τις απαιτήσεις που καθορίζονται στην παράγραφο 1. Η εν λόγω αξιολόγηση περιλαμβάνει τουλάχιστον δομημένες συνεντεύξεις και επανεξέταση τουλάχιστον μίας πιλοτικής αξιολόγησης την οποία η ΕΑΑΤΠ διενήργησε σύμφωνα με τον παρόντα κανονισμό.

α)

του παρόντος κανονισμού·

β)

γ)

εθνικού σχήματος που αναφέρεται στο άρθρο 49 του παρόντος κανονισμού.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας προσδιορίζει τις κατηγορίες προϊόντων ΤΠΕ και τα χαρακτηριστικά προστασίας στα οποία εκτείνεται η εξουσιοδότηση. Η εξουσιοδότηση ισχύει για διάστημα το οποίο δεν υπερβαίνει την περίοδο ισχύος της διαπίστευσης. Μπορεί να ανανεωθεί κατόπιν αιτήματος, εφόσον η ΕΑΑΤΠ εξακολουθεί να πληροί τις απαιτήσεις που καθορίζονται στο παρόν άρθρο. Για την ανανέωση της εξουσιοδότησης δεν θα πρέπει να απαιτείται η διενέργεια πιλοτικών αξιολογήσεων.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ανακαλεί την εξουσιοδότηση της ΕΑΑΤΠ εάν δεν πληροί πλέον τις προϋποθέσεις που καθορίζονται στο παρόν άρθρο. Μετά την ανάκληση της εξουσιοδότησης, η ΕΑΑΤΠ παύει να προβάλλεται ως εξουσιοδοτημένη ΕΑΑΤΠ.

▼M1 —————

▼B

ΚΕΦΑΛΑΙΟ V

ΠΑΡΑΚΟΛΟΥΘΗΣΗ ΚΑΙ ΜΗ ΣΥΜΜΟΡΦΩΣΗ

ΤΜΗΜΑ I

ΠΑρακολούθηση τησ συμμόρφωσησ

Άρθρο 25

Δραστηριότητες παρακολούθησης της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας

Με την επιφύλαξη του άρθρου 58 παράγραφος 7 του κανονισμού (ΕΕ) 2019/881, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας παρακολουθεί τη συμμόρφωση:

α)

του οργανισμού πιστοποίησης και της ΕΑΑΤΠ με τις υποχρεώσεις που υπέχουν από τον παρόντα κανονισμό και τον κανονισμό (ΕΕ) 2019/881·

β)

των κατόχων πιστοποιητικού EUCC με τις υποχρεώσεις που υπέχουν από τον παρόντα κανονισμό και τον κανονισμό (ΕΕ) 2019/881·

γ)

των πιστοποιημένων προϊόντων ΤΠΕ με τις απαιτήσεις που καθορίζονται στο EUCC·

δ)

της διασφάλισης που δηλώνεται στο πιστοποιητικό EUCC για την αντιμετώπιση των εξελισσόμενων κυβερνοαπειλών.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ασκεί τις δραστηριότητες παρακολούθησης ειδικότερα βάσει:

α)

των πληροφοριών που προέρχονται από οργανισμούς πιστοποίησης, εθνικούς οργανισμούς διαπίστευσης και αρμόδιες αρχές εποπτείας της αγοράς·

β)

των πληροφοριών που προκύπτουν από τους ελέγχους και τις έρευνες που διεξάγει η ίδια ή άλλη αρχή·

γ)

της δειγματοληψίας που διενεργείται σύμφωνα με την παράγραφο 3·

δ)

των καταγγελιών που λαμβάνει.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας λαμβάνει σε ετήσια βάση, σε συνεργασία με άλλες αρχές εποπτείας της αγοράς, δείγμα τουλάχιστον 4 % των πιστοποιητικών EUCC όπως καθορίζεται σε εκτίμηση κινδύνου. Κατόπιν αιτήματος και ενεργώντας για λογαριασμό της αρμόδιας εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, οι οργανισμοί πιστοποίησης και, εφόσον απαιτείται, η ΕΑΑΤΠ συνδράμουν την εν λόγω αρχή στην παρακολούθηση της συμμόρφωσης.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας επιλέγει το δείγμα πιστοποιημένων προϊόντων ΤΠΕ προς έλεγχο εφαρμόζοντας αντικειμενικά κριτήρια, όπως τα ακόλουθα:

α)

κατηγορία προϊόντος·

β)

επίπεδα διασφάλισης των προϊόντων·

γ)

κάτοχος πιστοποιητικού·

δ)

οργανισμός πιστοποίησης και, κατά περίπτωση, υπεργολάβος ΕΑΑΤΠ·

ε)

κάθε άλλη πληροφορία που περιέρχεται σε γνώση της αρχής.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει τους κατόχους του πιστοποιητικού EUCC σχετικά με τα επιλεγμένα πιστοποιητικά ΤΠΕ και τα κριτήρια επιλογής.

Ο οργανισμός πιστοποίησης που πιστοποίησε το προϊόν ΤΠΕ του δείγματος διενεργεί, κατόπιν αιτήματος της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, με τη βοήθεια της αντίστοιχης ΕΑΑΤΠ, πρόσθετη επανεξέταση σύμφωνα με τη διαδικασία που καθορίζεται στο τμήμα IV.2 του παραρτήματος IV και ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας για τα αποτελέσματα.

Εάν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας έχει επαρκείς λόγους να πιστεύει ότι πιστοποιημένο προϊόν ΤΠΕ δεν συμμορφώνεται πλέον με τον παρόντα κανονισμό ή με τον κανονισμό (ΕΕ) 2019/881, μπορεί να διενεργεί έρευνες ή να κάνει χρήση κάθε άλλης εξουσίας παρακολούθησης η οποία προβλέπεται στο άρθρο 58 παράγραφος 8 του κανονισμού (ΕΕ) 2019/881.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει τον οργανισμό πιστοποίησης και την οικεία ΕΑΑΤΠ σχετικά με τρέχουσες έρευνες οι οποίες αφορούν επιλεγμένα προϊόντα ΤΠΕ.

Εάν η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας διαπιστώσει ότι τρέχουσα έρευνα αφορά προϊόντα ΤΠΕ τα οποία πιστοποιήθηκαν από οργανισμούς πιστοποίησης εγκατεστημένους σε άλλα κράτη μέλη, ενημερώνει σχετικά τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας των αντίστοιχων κρατών μελών προκειμένου να συνεργαστούν στις έρευνες, εφόσον συντρέχει περίπτωση. Η εν λόγω εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει επίσης την ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας για τις διασυνοριακές έρευνες και τα επακόλουθα αποτελέσματα.

Άρθρο 26

Δραστηριότητες παρακολούθησης του οργανισμού πιστοποίησης

Ο οργανισμός πιστοποίησης παρακολουθεί:

α)

τη συμμόρφωση των κατόχων πιστοποιητικού με τις υποχρεώσεις που υπέχουν από τον παρόντα κανονισμό και τον κανονισμό (ΕΕ) 2019/881 σε σχέση με το πιστοποιητικό EUCC που εξέδωσε ο οργανισμός πιστοποίησης·

β)

τη συμμόρφωση των προϊόντων ΤΠΕ που πιστοποίησε με τις αντίστοιχες απαιτήσεις ασφάλειας·

γ)

τη διασφάλιση που δηλώνεται στα πιστοποιημένα χαρακτηριστικά προστασίας.

Ο οργανισμός πιστοποίησης ασκεί τις δραστηριότητες παρακολούθησης βάσει:

α)

των πληροφοριών που παρέχονται βάσει των δεσμεύσεων του αιτούντος πιστοποίηση που αναφέρονται στο άρθρο 9 παράγραφος 2·

β)

των πληροφοριών που προκύπτουν από δραστηριότητες άλλων αρμόδιων αρχών εποπτείας της αγοράς·

γ)

των καταγγελιών που λαμβάνει·

δ)

πληροφοριών σχετικά με τρωτά σημεία που μπορεί να επηρεάσουν τα προϊόντα ΤΠΕ που έχει πιστοποιήσει.

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας δύναται να καταρτίσει κανόνες για περιοδικό διάλογο μεταξύ οργανισμών πιστοποίησης και κατόχων πιστοποιητικών EUCC με σκοπό τον έλεγχο και την υποβολή εκθέσεων σχετικά με τη συμμόρφωση με τις δεσμεύσεις που αναλαμβάνονται δυνάμει του άρθρου 9 παράγραφος 2, με την επιφύλαξη δραστηριοτήτων που αφορούν άλλες αρμόδιες αρχές εποπτείας της αγοράς.

Άρθρο 27

Δραστηριότητες παρακολούθησης του κατόχου του πιστοποιητικού

Για την παρακολούθηση της συμμόρφωσης του πιστοποιημένου προϊόντος ΤΠΕ με τις απαιτήσεις ασφάλειας που το αφορούν, ο κάτοχος πιστοποιητικού EUCC εκτελεί τα ακόλουθα καθήκοντα:

α)

παρακολουθεί τις πληροφορίες σχετικά με τρωτά σημεία οι οποίες αφορούν το πιστοποιημένο προϊόν ΤΠΕ, συμπεριλαμβανομένων γνωστών εξαρτήσεων, με δικά του μέσα, αλλά επίσης λαμβάνοντας υπόψη:

δημοσίευση ή υπόμνημα που αφορά πληροφορίες σχετικά με τρωτά σημασία από χρήστη ή ερευνητή ασφάλειας που αναφέρεται στο άρθρο 55 παράγραφος 1 στοιχείο γ) του κανονισμού (ΕΕ) 2019/881·

υπόμνημα από οποιαδήποτε άλλη πηγή·

β)

παρακολουθεί τη διασφάλιση που δηλώνεται στο πιστοποιητικό EUCC.

Ο κάτοχος πιστοποιητικού EUCC συνεργάζεται με τον οργανισμό πιστοποίησης, την ΕΑΑΤΠ και, κατά περίπτωση, την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας για τη στήριξη των δραστηριοτήτων παρακολούθησης που εκτελούν.

ΤΜΗΜΑ II

Συμμόρφωση

Άρθρο 28

Συνέπειες μη συμμόρφωσης πιστοποιημένου προϊόντος ΤΠΕ ή χαρακτηριστικού προστασίας

Εάν πιστοποιημένο προϊόν ΤΠΕ ή χαρακτηριστικό προστασίας δεν συμμορφώνεται με τις απαιτήσεις που καθορίζονται στον παρόντα κανονισμό και στον κανονισμό (ΕΕ) 2019/881, ο οργανισμός πιστοποίησης ενημερώνει τον κάτοχο του πιστοποιητικού EUCC σχετικά με την εντοπισθείσα μη συμμόρφωση και ζητεί τη λήψη διορθωτικών μέτρων.

Όταν περίπτωση μη συμμόρφωσης με τις διατάξεις του παρόντος κανονισμού μπορεί να επηρεάζει τη συμμόρφωση με άλλη σχετική ενωσιακή νομοθεσία, η οποία προβλέπει τη δυνατότητα να καταδεικνύεται η τεκμαιρόμενη συμμόρφωση με τις απαιτήσεις της συγκεκριμένης νομικής πράξης κάνοντας χρήση του πιστοποιητικού EUCC, ο οργανισμός πιστοποίησης ενημερώνει αμελλητί την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει αμελλητί την αρχή εποπτείας της αγοράς που είναι υπεύθυνη για την εν λόγω άλλη σχετική ρύθμιση της ενωσιακής νομοθεσίας σχετικά με την εντοπισθείσα περίπτωση μη συμμόρφωσης.

Μόλις λάβει τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο κάτοχος του πιστοποιητικού EUCC προτείνει στον οργανισμό πιστοποίησης, εντός της προθεσμίας που τάσσει ο οργανισμός πιστοποίησης, η οποία δεν υπερβαίνει τις 30 ημέρες, τα αναγκαία διορθωτικά μέτρα για την αντιμετώπιση της μη συμμόρφωσης.

Ο οργανισμός πιστοποίησης δύναται να αναστείλει αμελλητί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 30 σε έκτακτες περιπτώσεις ή σε περίπτωση που ο κάτοχος του πιστοποιητικού EUCC δεν συνεργάζεται δεόντως με τον οργανισμό πιστοποίησης.

Ο οργανισμός πιστοποίησης διενεργεί επανεξέταση σύμφωνα με τα άρθρα 13 και 19 και εκτιμά κατά πόσον τα διορθωτικά μέτρα αντιμετωπίζουν την έλλειψη συμμόρφωσης.

Σε περίπτωση που ο κάτοχος του πιστοποιητικού EUCC δεν προτείνει κατάλληλα διορθωτικά μέτρα εντός της προθεσμίας που αναφέρεται στην παράγραφο 3, το πιστοποιητικό αναστέλλεται σύμφωνα με το άρθρο 30 ή ανακαλείται σύμφωνα με τα άρθρα 14 ή 20.

Το παρόν άρθρο δεν εφαρμόζεται σε περιπτώσεις τρωτών σημείων που επηρεάζουν πιστοποιημένο προϊόν ΤΠΕ, τα οποία αντιμετωπίζονται σύμφωνα με τα οριζόμενα στο κεφάλαιο VI.

Άρθρο 29

Συνέπειες μη συμμόρφωσης του κατόχου του πιστοποιητικού

Όταν ο οργανισμός πιστοποίησης διαπιστώνει ότι:

α)

ο κάτοχος του πιστοποιητικού EUCC ή ο αιτών πιστοποίηση δεν συμμορφώνεται με τις δεσμεύσεις και τις υποχρεώσεις του οι οποίες καθορίζονται στο άρθρο 9 παράγραφος 2, το άρθρο 17 παράγραφος 2) και τα άρθρα 27 και 41· ή

β)

ο κάτοχος του πιστοποιητικού EUCC δεν συμμορφώνεται με το άρθρο 56 παράγραφος 8 του κανονισμού (ΕΕ) 2019/881 ή το κεφάλαιο VI του παρόντος κανονισμού·

τάσσει προθεσμία, η οποία δεν υπερβαίνει τις 30 ημέρες, εντός της οποίας ο κάτοχος του πιστοποιητικού EUCC λαμβάνει διορθωτικά μέτρα.

▼M1

Σε περίπτωση που ο κάτοχος του πιστοποιητικού EUCC δεν προτείνει κατάλληλα διορθωτικά μέτρα εντός της προθεσμίας που αναφέρεται στην παράγραφο 1, το πιστοποιητικό αναστέλλεται σύμφωνα με το άρθρο 30 ή ανακαλείται σύμφωνα με τα άρθρα 14 ή 20.

▼B

Συνεχιζόμενη ή επαναλαμβανόμενη παράβαση, από τον κάτοχο του πιστοποιητικού EUCC, των υποχρεώσεων που αναφέρονται στην παράγραφο 1 ενεργοποιεί την ανάκληση του πιστοποιητικού EUCC σύμφωνα με το άρθρο 14 ή το άρθρο 20.

Ο οργανισμός πιστοποίησης ενημερώνει την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας για τις διαπιστώσεις που αναφέρονται στην παράγραφο 1. Εάν η περίπτωση μη συμμόρφωσης επηρεάζει τη συμμόρφωση με άλλη σχετική ενωσιακή νομοθεσία, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει πάραυτα την αρχή εποπτείας της αγοράς που είναι υπεύθυνη για την εν λόγω άλλη σχετική ενωσιακή νομοθεσία σχετικά με την εντοπισθείσα περίπτωση μη συμμόρφωσης.

Άρθρο 30

Αναστολή του πιστοποιητικού EUCC

Όταν στον παρόντα κανονισμό γίνεται αναφορά σε αναστολή πιστοποιητικού EUCC, ο οργανισμός πιστοποίησης αναστέλλει το οικείο πιστοποιητικό EUCC για χρονικό διάστημα σύστοιχο με τις περιστάσεις που ενεργοποίησαν την αναστολή, το οποίο δεν υπερβαίνει τις 42 ημέρες. Η περίοδος αναστολής αρχίζει την επομένη της ημέρας της απόφασης του οργανισμού πιστοποίησης. Η αναστολή δεν θίγει το κύρος του πιστοποιητικού.

Ο οργανισμός πιστοποίησης κοινοποιεί αμελλητί την αναστολή στον κάτοχο του πιστοποιητικού και στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας παραθέτοντας τους λόγους της αναστολής, τα μέτρα που ζητεί να ληφθούν και τη διάρκεια της περιόδου αναστολής.

Οι κάτοχοι πιστοποίησης ενημερώνουν τους αγοραστές των οικείων προϊόντων ΤΠΕ σχετικά με την αναστολή και τους λόγους αναστολής που παρέθεσε ο οργανισμός πιστοποίησης, πλην των τμημάτων της αιτιολογίας η κοινοποίηση των οποίων θα συνιστούσε κίνδυνο ασφάλειας ή των τμημάτων που περιέχουν ευαίσθητες πληροφορίες. Ο κάτοχος του πιστοποιητικού δημοσιοποιεί επίσης τις πληροφορίες αυτές.

Εάν άλλη σχετική ενωσιακή νομοθεσία προβλέπει τεκμήριο συμμόρφωσης βασισμένο σε πιστοποιητικά που εκδίδονται σύμφωνα με τις διατάξεις του παρόντος κανονισμού, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ενημερώνει την αρχή εποπτείας της αγοράς που είναι υπεύθυνη για την εν λόγω άλλη σχετική ενωσιακή νομοθεσία σχετικά με την αναστολή.

Η αναστολή πιστοποιητικού κοινοποιείται στον ENISA σύμφωνα με το άρθρο 42 παράγραφος 3.

Σε δεόντως αιτιολογημένες περιπτώσεις, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας δύναται να επιτρέψει παράταση της περιόδου αναστολής πιστοποιητικού EUCC. Η συνολική περίοδος αναστολής δεν μπορεί να υπερβαίνει το 1 έτος.

Άρθρο 31

Συνέπειες μη συμμόρφωσης του οργανισμού αξιολόγησης της συμμόρφωσης

Σε περίπτωση μη συμμόρφωσης οργανισμού πιστοποίησης με τις υποχρεώσεις που υπέχει, ή του οικείου οργανισμού πιστοποίησης σε περίπτωση εντοπισμού μη συμμόρφωσης της ΕΑΑΤΠ, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας προβαίνει αμελλητί στις εξής ενέργειες:

α)

προσδιορίζει, με τη βοήθεια της οικείας ΕΑΑΤΠ, τα δυνητικώς επηρεαζόμενα πιστοποιητικά EUCC·

β)

κατά περίπτωση, ζητεί την πραγματοποίηση δραστηριοτήτων αξιολόγησης σε ένα ή περισσότερα προϊόντα ΤΠΕ ή χαρακτηριστικά προστασίας, είτε από την ΕΑΑΤΠ που διενήργησε την αξιολόγηση είτε από οποιαδήποτε άλλη διαπιστευμένη και, κατά περίπτωση, εξουσιοδοτημένη ΕΑΑΤΠ που μπορεί να είναι σε καλύτερη θέση, από τεχνική άποψη, να συμβάλει στον ως άνω προσδιορισμό·

γ)

αναλύει τις επιπτώσεις της έλλειψης συμμόρφωσης·

δ)

ενημερώνει τον κάτοχο του πιστοποιητικού EUCC ο οποίος θίγεται από τη μη συμμόρφωσης.

Βάσει των μέτρων που αναφέρονται στην παράγραφο 1, ο οργανισμός πιστοποίησης λαμβάνει οποιαδήποτε από τις ακόλουθες αποφάσεις σε σχέση με κάθε επηρεαζόμενο πιστοποιητικό EUCC:

α)

διατηρεί το πιστοποιητικό EUCC αμετάβλητο·

β)

ανακαλεί το πιστοποιητικό EUCC σύμφωνα με το άρθρο 14 ή το άρθρο 20 και, κατά περίπτωση, εκδίδει νέο πιστοποιητικό EUCC.

Βάσει των μέτρων που αναφέρονται στην παράγραφο 1, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας:

α)

εάν συντρέχει περίπτωση, αναφέρει τη μη συμμόρφωση του οργανισμού πιστοποίησης ή της σχετικής ΕΑΑΤΠ στον εθνικό οργανισμό διαπίστευσης·

β)

κατά περίπτωση, αξιολογεί τις δυνητικές επιπτώσεις στην εξουσιοδότηση.

ΚΕΦΑΛΑΙΟ VI

ΔΙΑΧΕΙΡΙΣΗ ΚΑΙ ΔΗΜΟΣΙΟΠΟΙΗΣΗ ΤΡΩΤΩΝ ΣΗΜΕΙΩΝ

Άρθρο 32

Πεδίο της διαχείρισης τρωτών σημείων

Το παρόν κεφάλαιο εφαρμόζεται σε προϊόντα ΤΠΕ για τα οποία εκδόθηκε πιστοποιητικό EUCC.

ΤΜΗΜΑ I

Διαχείριση τρωτών σημείων

Άρθρο 33

Διαδικασίες διαχείρισης τρωτών σημείων

Ο κάτοχος πιστοποιητικού EUCC θεσπίζει και διατηρεί κάθε αναγκαία διαδικασία διαχείρισης τρωτών σημείων σύμφωνα με τους κανόνες οι οποίοι θεσπίζονται στο παρόν τμήμα και οι οποίοι, όπου συντρέχει περίπτωση, συμπληρώνονται με διαδικασίες που καθορίζονται στο πρότυπο EN ISO/IEC 30111.

Ο κάτοχος πιστοποιητικού EUCC διατηρεί και δημοσιεύει κατάλληλες μεθόδους απόκτησης πληροφοριών σχετικά με τρωτά σημεία που αφορούν τα προϊόντα του από εξωτερικές πηγές, συμπεριλαμβανομένων χρηστών, οργανισμών πιστοποίησης και ερευνητών ασφάλειας.

Όταν ο κάτοχος πιστοποιητικού EUCC εντοπίζει ή λαμβάνει πληροφορίες σχετικά με δυνητικό τρωτό σημείο το οποίο επηρεάζει πιστοποιημένο προϊόν ΤΠΕ, καταχωρίζει τις πληροφορίες και διενεργεί ανάλυση επιπτώσεων τρωτότητας.

Όταν ένα δυνητικό τρωτό σημείο έχει αντίκτυπο σε σύνθετο προϊόν, ο κάτοχος του πιστοποιητικού EUCC ενημερώνει τον κάτοχο εξαρτώμενων πιστοποιητικών EUCC σχετικά με το δυνητικό τρωτό σημείο.

Ανταποκρινόμενος σε εύλογο αίτημα του οργανισμού πιστοποίησης που εξέδωσε το πιστοποιητικό, ο κάτοχος πιστοποιητικού EUCC διαβιβάζει κάθε σχετική πληροφορία για δυνητικά τρωτά σημεία στον εν λόγω οργανισμό πιστοποίησης.

Άρθρο 34

Ανάλυση επιπτώσεων τρωτότητας

Η ανάλυση επιπτώσεων τρωτότητας παραπέμπει στον στόχο αξιολόγησης και στις δηλώσεις διασφάλισης που περιέχονται στο πιστοποιητικό. Η ανάλυση επιπτώσεων τρωτότητας διενεργείται εντός κατάλληλου χρονοδιαγράμματος λαμβανομένων υπόψη της δυνατότητας εκμετάλλευσης και του κρίσιμου χαρακτήρα του δυνητικού τρωτού σημείου του πιστοποιημένου προϊόντος ΤΠΕ.

Κατά περίπτωση, διενεργείται υπολογισμός του κινδύνου επίθεσης σύμφωνα με τη σχετική μεθοδολογία που περιλαμβάνεται στα πρότυπα που αναφέρονται στο άρθρο 3 και στα σχετικά έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I, προκειμένου να εξακριβωθεί η δυνατότητα εκμετάλλευσης του τρωτού σημείου. Το επίπεδο AVA_VAN του πιστοποιητικού EUCC λαμβάνεται υπόψη.

Άρθρο 35

Έκθεση ανάλυσης επιπτώσεων τρωτότητας

Ο κάτοχος προσκομίζει έκθεση ανάλυσης επιπτώσεων τρωτότητας σε περίπτωση που η ανάλυση επιπτώσεων καταδεικνύει ότι το τρωτό σημείο έχει πιθανώς επιπτώσεις στη συμμόρφωση του προϊόντος ΤΠΕ με το πιστοποιητικό του.

Η έκθεση ανάλυσης επιπτώσεων τρωτότητας περιέχει αξιολόγηση των ακόλουθων στοιχείων:

α)

των επιπτώσεων των τρωτών σημείων στο πιστοποιημένο προϊόν ΤΠΕ·

β)

ενδεχόμενων κινδύνων που συνδέονται με την εγγύτητα ή το ενδεχόμενο κυβερνοεπίθεσης·

γ)

της δυνατότητας διόρθωσης του τρωτού σημείου·

δ)

εάν το τρωτό σημείο μπορεί να διορθωθεί, ενδεχόμενων τρόπων αντιμετώπισης του τρωτού σημείου.

Όπου συντρέχει περίπτωση, η έκθεση ανάλυσης επιπτώσεων τρωτότητας περιέχει στοιχεία σχετικά με τους ενδεχόμενους τρόπους εκμετάλλευσης του τρωτού σημείου. Οι πληροφορίες σχετικά με ενδεχόμενους τρόπους εκμετάλλευσης του τρωτού σημείου αντιμετωπίζονται σύμφωνα με κατάλληλα μέτρα ασφάλειας προκειμένου να προστατευτεί ο εμπιστευτικός χαρακτήρας τους και να διασφαλιστεί, εφόσον απαιτείται, η περιορισμένη διανομή τους.

Ο κάτοχος πιστοποιητικού EUCC διαβιβάζει αμελλητί έκθεση ανάλυσης επιπτώσεων τρωτότητας στον οργανισμό πιστοποίησης ή στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας σύμφωνα με το άρθρο 56 παράγραφος 8 του κανονισμού (ΕΕ) 2019/881.

Σε περίπτωση που στην έκθεση ανάλυσης επιπτώσεων τρωτότητας διαπιστώνεται ότι το τρωτό σημείο δεν έχει μόνιμο χαρακτήρα, κατά την έννοια των προτύπων που αναφέρονται στο άρθρο 3, και ότι μπορεί να διορθωθεί, εφαρμόζεται το άρθρο 36.

Σε περίπτωση που στην έκθεση ανάλυσης επιπτώσεων τρωτότητας διαπιστώνεται ότι το τρωτό σημείο δεν έχει μόνιμο χαρακτήρα και ότι δεν μπορεί να διορθωθεί, το πιστοποιητικό EUCC ανακαλείται σύμφωνα με το άρθρο 14.

Ο κάτοχος του πιστοποιητικού EUCC παρακολουθεί κάθε εναπομένον τρωτό σημείο προκειμένου να διασφαλίσει ότι δεν είναι δυνατή η εκμετάλλευσή του σε περίπτωση μεταβολών στο λειτουργικό περιβάλλον.

Άρθρο 36

Διόρθωση τρωτών σημείων

Ο κάτοχος πιστοποιητικού EUCC υποβάλλει στον οργανισμό πιστοποίησης πρόταση για κατάλληλα διορθωτικά μέτρα. Ο οργανισμός πιστοποίησης επανεξετάζει το πιστοποιητικό σύμφωνα με το άρθρο 13. Το αντικείμενο της επανεξέτασης καθορίζεται με την προτεινόμενη διόρθωση του τρωτού σημείου.

ΤΜΗΜΑ II

Δημοσιοποίηση τρωτών σημείων

Άρθρο 37

Ανταλλαγή πληροφοριών με την εθνική αρχή πιστοποίησης της κυβερνοασφάλειας

Οι πληροφορίες που παρέχει ο οργανισμός πιστοποίησης στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας περιλαμβάνουν κάθε στοιχείο το οποίο είναι απαραίτητο ώστε η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας να κατανοήσει τις επιπτώσεις του τρωτού σημείου, τις αλλαγές που πρέπει να πραγματοποιηθούν στο προϊόν ΤΠΕ και, εφόσον υπάρχει, κάθε πληροφορία προερχόμενη από τον οργανισμό πιστοποίησης σχετικά με τις ευρύτερες συνέπειες του τρωτού σημείου για άλλα πιστοποιημένα προϊόντα ΤΠΕ.

Οι πληροφορίες που παρέχονται σύμφωνα με την παράγραφο 1 δεν περιέχουν στοιχεία σχετικά με τους τρόπους εκμετάλλευσης του τρωτού σημείου. Η παρούσα διάταξη δεν θίγει τις ερευνητικές εξουσίες της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας.

Άρθρο 38

Συνεργασία με άλλες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας γνωστοποιεί τις σχετικές πληροφορίες που παραλαμβάνει σύμφωνα με το άρθρο 37 σε άλλες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας και στον ENISA.

Άλλες εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας μπορεί να αποφασίσουν να αναλύσουν περαιτέρω το τρωτό σημείο ή, κατόπιν ενημέρωσης του κατόχου του πιστοποιητικού EUCC, να ζητήσουν από τους αρμόδιους οργανισμούς πιστοποίησης να αξιολογήσουν αν το τρωτό σημείο ενδέχεται να επηρεάζει άλλα πιστοποιημένα προϊόντα ΤΠΕ.

Άρθρο 39

Δημοσίευση του τρωτού σημείου

Με την ανάκληση ενός πιστοποιητικού, ο κάτοχος του πιστοποιητικού EUCC γνωστοποιεί και καταχωρίζει κάθε δημόσια γνωστό και διορθωμένο τρωτό σημείο του προϊόντος ΤΠΕ στην ευρωπαϊκή βάση δεδομένων τρωτών σημείων, η οποία δημιουργήθηκε σύμφωνα με το άρθρο 12 της οδηγίας (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου ( 4 ), ή σε άλλα επιγραμμικά αποθετήρια, τα οποία αναφέρονται στο άρθρο 55 παράγραφος 1 στοιχείο δ) του κανονισμού (ΕΕ) 2019/881.

ΚΕΦΑΛΑΙΟ VII

ΤΗΡΗΣΗ, ΓΝΩΣΤΟΠΟΙΗΣΗ ΚΑΙ ΠΡΟΣΤΑΣΙΑ ΠΛΗΡΟΦΟΡΙΩΝ

Άρθρο 40

Τήρηση αρχείων από οργανισμούς πιστοποίησης και ΕΑΑΤΠ

Οι ΕΑΑΤΠ και οι οργανισμοί πιστοποίησης τηρούν σύστημα αρχειοθέτησης, το οποίο περιέχει όλα τα έγγραφα που καταρτίζονται σε σχέση με κάθε αξιολόγηση και πιστοποίηση που διενεργούν.

Οι οργανισμοί πιστοποίησης και οι ΕΑΑΤΠ αποθηκεύουν τα αρχεία με ασφαλή τρόπο και τηρούν τα εν λόγω αρχεία για το διάστημα που είναι αναγκαίο για τους σκοπούς του παρόντος κανονισμού και για τουλάχιστον 5 έτη μετά την ανάκληση του σχετικού πιστοποιητικού EUCC. Όταν ο οργανισμός πιστοποίησης εκδίδει νέο πιστοποιητικό EUCC σύμφωνα με το άρθρο 13 παράγραφος 2 στοιχείο γ), διατηρεί την τεκμηρίωση του ανακληθέντος πιστοποιητικού EUCC μαζί με το νέο πιστοποιητικό EUCC και για το ίδιο χρονικό διάστημα.

Άρθρο 41

Πληροφορίες που διατίθενται από τον κάτοχο πιστοποιητικού

Οι πληροφορίες που αναφέρονται στο άρθρο 55 του κανονισμού (ΕΕ) 2019/881 διατίθενται σε γλώσσα εύκολα προσβάσιμη στους χρήστες.

Ο κάτοχος πιστοποιητικού EUCC αποθηκεύει με ασφάλεια, για το διάστημα που είναι αναγκαίο για τους σκοπούς του παρόντος κανονισμού και για τουλάχιστον 5 έτη μετά την ανάκληση του σχετικού πιστοποιητικού EUCC, τις ακόλουθες πληροφορίες:

α)

αρχεία των πληροφοριών που παρασχέθηκαν στον οργανισμό πιστοποίησης και στην ΕΑΑΤΠ κατά τη διάρκεια της διαδικασίας πιστοποίησης·

β)

δείγμα του πιστοποιημένου προϊόντος ΤΠΕ.

Όταν ο οργανισμός πιστοποίησης εκδίδει νέο πιστοποιητικό EUCC σύμφωνα με το άρθρο 13 παράγραφος 2 στοιχείο γ), ο κάτοχος διατηρεί την τεκμηρίωση του ανακληθέντος πιστοποιητικού EUCC μαζί με το νέο πιστοποιητικό EUCC και για το ίδιο χρονικό διάστημα.

Κατόπιν αιτήματος του οργανισμού πιστοποίησης ή της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, ο κάτοχος πιστοποιητικού EUCC καθιστά διαθέσιμα τα αρχεία και τα αντίγραφα που αναφέρονται στην παράγραφο 2.

Άρθρο 42

Πληροφορίες οι οποίες πρέπει να διατίθενται από τον ENISA

Ο ENISA δημοσιεύει στον ιστότοπο που αναφέρεται στο άρθρο 50 παράγραφος 1 του κανονισμού (ΕΕ) 2019/881 τις ακόλουθες πληροφορίες:

α)

όλα τα πιστοποιητικά EUCC·

β)

τις πληροφορίες σχετικά με το καθεστώς πιστοποιητικού EUCC, και ειδικότερα αν είναι σε ισχύ, αν έχει ανασταλεί, αν έχει ανακληθεί ή αν έχει λήξει·

γ)

εκθέσεις πιστοποίησης οι οποίες αντιστοιχούν σε κάθε πιστοποιητικό EUCC·

δ)

κατάλογο διαπιστευμένων οργανισμών αξιολόγησης της συμμόρφωσης·

ε)

κατάλογο εξουσιοδοτημένων οργανισμών αξιολόγησης της συμμόρφωσης·

στ)

τα έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I·

ζ)

τις γνώμες της ευρωπαϊκής ομάδας πιστοποίησης της κυβερνοασφάλειας που αναφέρονται στο άρθρο 62 παράγραφος 4 στοιχείο γ) του κανονισμού (ΕΕ) 2019/881·

η)

εκθέσεις αξιολόγησης από ομοτίμους οι οποίες εκδίδονται σύμφωνα με το άρθρο 47.

Οι πληροφορίες που αναφέρονται στην παράγραφο 1 διατίθενται τουλάχιστον στην αγγλική γλώσσα.

Οι οργανισμοί πιστοποίησης και, κατά περίπτωση, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας ενημερώνουν αμελλητί τον ENISA σχετικά με τις αποφάσεις τους οι οποίες επηρεάζουν το περιεχόμενο ή το καθεστώς πιστοποιητικού EUCC που αναφέρεται στην παράγραφο 1 στοιχείο β).

Ο ENISA διασφαλίζει ότι στις πληροφορίες που δημοσιεύονται σύμφωνα με την παράγραφο 1 στοιχεία α), β) και γ) προσδιορίζονται σαφώς οι εκδόσεις πιστοποιημένου προϊόντος ΤΠΕ οι οποίες καλύπτονται από πιστοποιητικό EUCC.

Άρθρο 43

Προστασία πληροφοριών

Οι οργανισμοί αξιολόγησης της συμμόρφωσης, οι εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας, η ΕΟΠΙΚ, ο ENISA, η Επιτροπή και κάθε άλλο μέρος μεριμνούν για την ασφάλεια και την προστασία των επιχειρηματικών απορρήτων και άλλων εμπιστευτικών πληροφοριών, συμπεριλαμβανομένου του εμπορικού απορρήτου, καθώς και για την προστασία δικαιωμάτων διανοητικής ιδιοκτησίας, λαμβάνουν δε τα αναγκαία και κατάλληλα τεχνικά και οργανωτικά μέτρα.

ΚΕΦΑΛΑΙΟ VIII

ΣΥΜΦΩΝΙΕΣ ΑΜΟΙΒΑΙΑΣ ΑΝΑΓΝΩΡΙΣΗΣ ΜΕ ΤΡΙΤΕΣ ΧΩΡΕΣ

Άρθρο 44

Προϋποθέσεις

Τρίτες χώρες οι οποίες είναι διατεθειμένες να πιστοποιήσουν τα προϊόντα τους σύμφωνα με τον παρόντα κανονισμό και οι οποίες επιθυμούν να αναγνωριστεί η εν λόγω πιστοποίηση από την Ένωση συνάπτουν με την Ένωση συμφωνία αμοιβαίας αναγνώρισης.

Η συμφωνία αμοιβαίας αναγνώρισης καλύπτει τα εφαρμοστέα επίπεδα διασφάλισης για πιστοποιημένα προϊόντα ΤΠΕ και, εφόσον συντρέχει περίπτωση, για χαρακτηριστικά προστασίας.

Οι συμφωνίες αμοιβαίας αναγνώρισης που αναφέρονται στην παράγραφο 1 μπορούν να συνάπτονται μόνον με τρίτες χώρες που πληρούν τις ακόλουθες προϋποθέσεις:

α)

διαθέτουν μια αρχή η οποία:

είναι δημόσιος οργανισμός, ανεξάρτητος από τις οντότητες τις οποίες εποπτεύει και παρακολουθεί όσον αφορά την οργανωτική και νομική δομή, την οικονομική χρηματοδότηση και τη λήψη αποφάσεων·

διαθέτει κατάλληλες εξουσίες παρακολούθησης και εποπτείας για τη διενέργεια ερευνών και είναι εξουσιοδοτημένη να λαμβάνει κατάλληλα διορθωτικά μέτρα για τη διασφάλιση συμμόρφωσης·

διαθέτει αποτελεσματικό, αναλογικό και αποτρεπτικό σύστημα επιβολής κυρώσεων για τη διασφάλιση συμμόρφωσης·

συμφωνεί να συνεργάζεται με την ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας και τον ENISA για την ανταλλαγή βέλτιστων πρακτικών και σχετικών εξελίξεων στον τομέα της πιστοποίησης της κυβερνοασφάλειας και να καταβάλλει προσπάθειες για την ομοιόμορφη ερμηνεία των επί του παρόντος εφαρμοστέων κριτηρίων και μεθόδων αξιολόγησης, μεταξύ άλλων, μέσω της εφαρμογής εναρμονισμένης τεκμηρίωσης η οποία είναι ισοδύναμη με τα έγγραφα στάθμης της τεχνικής που παρατίθενται στο παράρτημα I·

β)

διαθέτουν ανεξάρτητο οργανισμό διαπίστευσης ο οποίος πραγματοποιεί διαπιστεύσεις κάνοντας χρήση προτύπων ισοδύναμων με εκείνα που αναφέρονται στον κανονισμό (ΕΚ) αριθ. 765/2008·

γ)

δεσμεύονται ότι οι διεργασίες και διαδικασίες αξιολόγησης και πιστοποίησης θα εκτελούνται με τον δέοντα επαγγελματισμό, λαμβάνοντας υπόψη τη συμμόρφωση με τα διεθνή πρότυπα που αναφέρονται στον παρόντα κανονισμό, και ειδικότερα στο άρθρο 3·

δ)

έχουν την ικανότητα να αναφέρουν τρωτά σημεία που δεν έχουν εντοπισθεί προηγουμένως και διαθέτουν παγιωμένη και κατάλληλη διαδικασία διαχείρισης και γνωστοποίησης τρωτών σημείων·

ε)

διαθέτουν παγιωμένες διαδικασίες για την αποτελεσματική υποβολή και τον χειρισμό καταγγελιών και την παροχή αποτελεσματικών μέσων έννομης προστασίας στους καταγγέλλοντες·

στ)

θεσπίζουν μηχανισμό συνεργασίας με άλλους οργανισμούς της Ένωσης και των κρατών μελών στον τομέα της πιστοποίησης της κυβερνοασφάλειας στο πλαίσιο του παρόντος κανονισμού, ο οποίος περιλαμβάνει ανταλλαγή πληροφοριών σχετικά με ενδεχόμενη μη συμμόρφωση πιστοποιητικών, παρακολούθηση των σχετικών εξελίξεων στον τομέα της πιστοποίησης και διασφάλιση κοινής προσέγγισης για τη διατήρηση και την επανεξέταση της πιστοποίησης.

Επιπλέον των προϋποθέσεων που καθορίζονται στην παράγραφο 3, συμφωνία αμοιβαίας αναγνώρισης που αναφέρεται στην παράγραφο 1 η οποία καλύπτει «υψηλό» επίπεδο διασφάλισης μπορεί να συναφθεί με τρίτες χώρες μόνον εάν πληρούνται επίσης οι ακόλουθες προϋποθέσεις:

α)

η τρίτη χώρα διαθέτει ανεξάρτητη και δημόσια αρχή πιστοποίησης της κυβερνοασφάλειας η οποία εκτελεί ή αναθέτει δραστηριότητες αξιολόγησης αναγκαίες για την πιστοποίηση σε «υψηλό» επίπεδο διασφάλισης οι οποίες είναι ισοδύναμες με τις απαιτήσεις και τις διαδικασίες που καθορίζονται για τις εθνικές αρχές πιστοποίησης της κυβερνοασφάλειας στον παρόντα κανονισμό και στον κανονισμό (ΕΕ) 2019/881·

β)

η συμφωνία αμοιβαίας αναγνώρισης θεσπίζει κοινό μηχανισμό ισοδύναμο με την αξιολόγηση από ομοτίμους για την πιστοποίηση EUCC με σκοπό τη βελτίωση της ανταλλαγής πρακτικών και την από κοινού επίλυση ζητημάτων στον τομέα της αξιολόγησης και της πιστοποίησης.

ΚΕΦΑΛΑΙΟ IX

ΑΞΙΟΛΟΓΗΣΗ ΟΡΓΑΝΙΣΜΩΝ ΠΙΣΤΟΠΟΙΗΣΗΣ ΑΠΟ ΟΜΟΤΙΜΟΥΣ

Άρθρο 45

Διαδικασία αξιολόγησης από ομοτίμους

Οργανισμός πιστοποίησης ο οποίος εκδίδει πιστοποιητικά EUCC σε «υψηλό» επίπεδο διασφάλισης υποβάλλεται σε αξιολόγηση από ομοτίμους σε τακτική βάση και τουλάχιστον κάθε 5 έτη. Οι διάφοροι τύποι αξιολόγησης από ομοτίμους απαριθμούνται στο παράρτημα VI.

Η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας καταρτίζει και διατηρεί πρόγραμμα αξιολογήσεων από ομοτίμους ώστε να διασφαλίζεται η τήρηση της ως άνω περιοδικότητας. Πλην δεόντως αιτιολογημένων περιπτώσεων, οι αξιολογήσεις από ομοτίμους διενεργούνται επιτόπου.

Η αξιολόγηση από ομοτίμους μπορεί να βασίζεται σε τεκμηρίωση που συλλέχθηκε στο πλαίσιο προγενέστερων αξιολογήσεων από ομοτίμους ή παρόμοιων διαδικασιών του οργανισμού πιστοποίησης που αξιολογείται από ομοτίμους ή της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας, εφόσον:

α)

τα αποτελέσματα δεν είναι παλαιότερα των 5 ετών·

β)

τα αποτελέσματα συνοδεύονται από περιγραφή των διαδικασιών αξιολόγησης που ομοτίμους που θεσπίστηκαν για το συγκεκριμένο σχήμα όταν αφορούν αξιολόγηση από ομοτίμους η οποία διενεργήθηκε υπό διαφορετικό σχήμα πιστοποίησης·

γ)

στην έκθεση αξιολόγησης από ομοτίμους που αναφέρεται στο άρθρο 47 προσδιορίζονται τα αποτελέσματα τα οποία χρησιμοποιούνται εκ νέου με ή χωρίς περαιτέρω αξιολόγηση.

Όταν η αξιολόγηση από ομοτίμους καλύπτει τεχνικό τομέα, αξιολογείται επίσης η οικεία ΕΑΑΤΠ.

Ο οργανισμός πιστοποίησης που αξιολογείται από ομοτίμους και, εφόσον απαιτείται, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας διασφαλίζουν ότι κάθε σχετική πληροφορία τίθεται στη διάθεση της ομάδας αξιολόγησης από ομοτίμους.

Η αξιολόγηση από ομοτίμους διενεργείται από ομάδα αξιολόγησης από ομοτίμους η οποία συστήνεται σύμφωνα με τα προβλεπόμενα στο παράρτημα VI.

Άρθρο 46

Στάδια της αξιολόγησης από ομοτίμους

Κατά το προπαρασκευαστικό στάδιο, τα μέλη της ομάδας αξιολόγησης από ομοτίμους επανεξετάζουν την τεκμηρίωση του οργανισμού πιστοποίησης, η οποία καλύπτει τις πολιτικές και τις διαδικασίες του, συμπεριλαμβανομένης της χρήσης εγγράφων στάθμης της τεχνικής.

Κατά το στάδιο της επιτόπιας επίσκεψης, η ομάδα αξιολόγησης από ομοτίμους αξιολογεί την τεχνική ικανότητα του οργανισμού και, κατά περίπτωση, την ικανότητα ΕΑΑΤΠ η οποία διενήργησε τουλάχιστον μία αξιολόγηση προϊόντος ΤΠΕ που καλύπτεται από αξιολόγηση από ομοτίμους.

Η διάρκεια του σταδίου της επιτόπιας επίσκεψης μπορεί να παραταθεί ή να μειωθεί ανάλογα με παράγοντες όπως η δυνατότητα εκ νέου χρησιμοποίησης υφιστάμενης τεκμηρίωσης και αποτελεσμάτων αξιολόγησης από ομοτίμους ή ο αριθμός ΕΑΑΤΠ και τεχνικών τομέων για τους οποίους ο οργανισμός πιστοποίησης εκδίδει πιστοποιητικά.

Κατά περίπτωση, η ομάδα αξιολόγησης από ομοτίμους εξακριβώνει την τεχνική ικανότητα κάθε ΕΑΑΤΠ επισκεπτόμενη το/τα τεχνικό/-α εργαστήριό/-ά της και πραγματοποιώντας συνεντεύξεις με τους αξιολογητές της σχετικά με τον τεχνικό τομέα και τις σχετικές ειδικές μεθόδους κυβερνοεπίθεσης.

Στο στάδιο υποβολής έκθεσης, η ομάδα αξιολόγησης από ομοτίμους καταγράφει τα ευρήματά της σε έκθεση αξιολόγησης από ομοτίμους, η οποία περιλαμβάνει τα πορίσματα και, κατά περίπτωση, κατάλογο των περιπτώσεων μη συμμόρφωσης που παρατηρήθηκαν, καθεμία εκ των οποίων βαθμολογείται σύμφωνα με το επίπεδο κρισιμότητά της.

Η έκθεση αξιολόγησης από ομοτίμους πρέπει να συζητείται πρώτα με τον οργανισμό πιστοποίησης που υποβάλλεται στην αξιολόγηση από ομοτίμους. Μετά τις εν λόγω συζητήσεις, ο υποβληθείς σε αξιολόγηση από ομοτίμους οργανισμός πιστοποίησης καταρτίζει χρονοδιάγραμμα των μέτρων που πρέπει να ληφθούν για την αντιμετώπιση των ζητημάτων που περιγράφονται στα πορίσματα.

Άρθρο 47

Έκθεση αξιολόγησης από ομοτίμους

Η ομάδα αξιολόγησης από ομοτίμους παρέχει στον οργανισμό πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους σχέδιο της έκθεσης αξιολόγησης από ομοτίμους.

Ο οργανισμός πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους υποβάλλει στην ομάδα αξιολόγησης από ομοτίμους σχόλια σχετικά με τα ευρήματα και κατάλογο δεσμεύσεων για την αντιμετώπιση των ελλείψεων που προσδιορίζονται στο σχέδιο έκθεσης αξιολόγησης από ομοτίμους.

Η ομάδα αξιολόγησης από ομοτίμους υποβάλλει στην ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας τελική έκθεση αξιολόγησης από ομοτίμους, η οποία περιλαμβάνει επίσης τα σχόλια και τις δεσμεύσεις του οργανισμού πιστοποίησης που υποβλήθηκε σε αξιολόγηση από ομοτίμους. Η ομάδα αξιολόγησης από ομοτίμους περιλαμβάνει επίσης στην έκθεση τη θέση της επί των σχολίων και τη γνώμη της για το κατά πόσον οι δεσμεύσεις επαρκούν για την αντιμετώπιση των ελλείψεων που προσδιορίστηκαν.

Εάν στην έκθεση αξιολόγησης από ομοτίμους προσδιορίζονται περιπτώσεις μη συμμόρφωσης, η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας δύναται να τάξει κατάλληλη προθεσμία στον οργανισμό πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους προκειμένου να αντιμετωπίσει τις εν λόγω περιπτώσεις μη συμμόρφωσης.

Η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας εκδίδει γνώμη σχετικά με την έκθεση αξιολόγησης από ομοτίμους:

α)

εάν στην έκθεση αξιολόγησης από ομοτίμους δεν προσδιορίζονται περιπτώσεις μη συμμόρφωσης ή εάν ο οργανισμός πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους αντιμετώπισε κατάλληλα τις περιπτώσεις μη συμμόρφωσης, η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας δύναται να εκδώσει θετική γνώμη και όλα τα σχετικά έγγραφα δημοσιεύονται στον ιστότοπο του ENISA για την πιστοποίηση·

β)

σε περίπτωση που ο οργανισμός πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους δεν αντιμετώπισε κατάλληλα τις περιπτώσεις μη συμμόρφωσης εντός της ταχθείσας προθεσμίας, η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας δύναται να εκδώσει αρνητική γνώμη η οποία δημοσιεύεται στον ιστότοπο του ENISA για την πιστοποίηση, συμπεριλαμβανομένων της έκθεσης αξιολόγησης από ομοτίμους και όλων των σχετικών εγγράφων.

Κάθε ευαίσθητη, προσωπική ή ιδιόκτητη πληροφορία απαλείφεται από τα έγγραφα πριν από τη δημοσίευσή τους.

ΚΕΦΑΛΑΙΟ X

ΔΙΑΤΗΡΗΣΗ ΤΟΥ ΣΧΗΜΑΤΟΣ

Άρθρο 48

Διατήρηση του EUCC

Η Επιτροπή δύναται να ζητήσει από την ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας να εκδώσει γνώμη με σκοπό τη διατήρηση του EUCC και την πραγματοποίηση των αναγκαίων προπαρασκευαστικών εργασιών.

Η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας μπορεί να εκδίδει γνώμη για την έγκριση εγγράφων στάθμης της τεχνικής.

Ο ENISA δημοσιεύει τα έγγραφα στάθμης της τεχνικής τα οποία έχει εγκρίνει η ευρωπαϊκή ομάδα πιστοποίησης της κυβερνοασφάλειας.

▼M1

Εκτός εάν ορίζεται διαφορετικά στο παράρτημα I ή II, τα έγγραφα στάθμης της τεχνικής ισχύουν από την ημερομηνία εφαρμογής της τροποποιητικής πράξης με την οποία ενσωματώθηκαν στο παράρτημα I ή II.

▼B

ΚΕΦΑΛΑΙΟ XI

ΤΕΛΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 49

Εθνικά σχήματα τα οποία καλύπτονται από το EUCC

Σύμφωνα με το άρθρο 57 παράγραφος 1 του κανονισμού (ΕΕ) 2019/881 και με την επιφύλαξη του άρθρου 57 παράγραφος 3 του ίδιου κανονισμού, κάθε εθνικό σχήμα πιστοποίησης της κυβερνοασφάλειας και σχετική διαδικασία για προϊόντα ΤΠΕ και διαδικασίες ΤΠΕ που καλύπτονται από το EUCC παύει να παράγει αποτελέσματα 12 μήνες από την έναρξη ισχύος του παρόντος κανονισμού.

Κατά παρέκκλιση από το άρθρο 50, διαδικασία πιστοποίησης μπορεί να κινηθεί στο πλαίσιο εθνικού σχήματος πιστοποίησης της κυβερνοασφάλειας εντός 12 μηνών από την έναρξη ισχύος του παρόντος κανονισμού, εφόσον η διαδικασία πιστοποίησης ολοκληρωθεί το αργότερο εντός 24 μηνών από την έναρξη ισχύος του παρόντος κανονισμού.

Τα πιστοποιητικά που εκδίδονται στο πλαίσιο εθνικών σχημάτων πιστοποίησης της κυβερνοασφάλειας μπορεί να υπόκεινται σε επανεξέταση. Τα νέα πιστοποιητικά τα οποία αντικαθιστούν τα πιστοποιητικά που επανεξετάστηκαν εκδίδονται σύμφωνα με τον παρόντα κανονισμό.

▼M1

Κατά τη διενέργεια της επανεξέτασης που αναφέρεται στην παράγραφο 3, εντός δύο ετών από την έκδοση του αρχικού πιστοποιητικού και όταν η εν λόγω επανεξέταση οδηγεί στην έκδοση νέου πιστοποιητικού σύμφωνα με τον παρόντα κανονισμό, μπορούν να εφαρμόζονται τα πρότυπα που παρατίθενται στο άρθρο 3 παράγραφος 2. Ως ημερομηνία έκδοσης του αρχικού πιστοποιητικού νοείται η ημερομηνία έκδοσης του τελευταίου πιστοποιητικού για προϊόν ΤΠΕ ή χαρακτηριστικό προστασίας στο οποίο βασίζεται η τρέχουσα πιστοποίηση.

▼B

Άρθρο 50

Έναρξη ισχύος

Ο παρών κανονισμός αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή του στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Εφαρμόζεται από τις 27 Φεβρουαρίου 2025.

Το κεφάλαιο IV και το παράρτημα V εφαρμόζονται από την ημερομηνία έναρξης ισχύος του παρόντος κανονισμού.

Ο παρών κανονισμός είναι δεσμευτικός ως προς όλα τα μέρη του και ισχύει άμεσα σε κάθε κράτος μέλος.

▼M1

ΠΑΡΑΡΤΗΜΑ I

Έγγραφα στάθμης της τεχνικής που υποστηρίζουν τεχνικούς τομείς και άλλα έγγραφα στάθμης της τεχνικής

1. Έγγραφα στάθμης της τεχνικής που υποστηρίζουν τεχνικούς τομείς σε επίπεδο AVA_VAN 4 ή 5:

α)

τα ακόλουθα έγγραφα σχετικά με την εναρμονισμένη αξιολόγηση του τεχνικού τομέα «έξυπνες κάρτες και παρεμφερείς διατάξεις»:

«Minimum ITSEF requirements for security evaluations of smart cards and similar devices» (Ελάχιστες απαιτήσεις ΕΑΑΤΠ για αξιολογήσεις ασφάλειας έξυπνων καρτών και παρεμφερών διατάξεων), έκδοση 1.1·

«Minimum Site Security Requirements» (Ελάχιστες απαιτήσεις ασφάλειας χώρου), έκδοση 1.1·

«Application of Common Criteria to integrated circuits» (Εφαρμογή κοινών κριτηρίων σε ολοκληρωμένα κυκλώματα), έκδοση 1.1·

«Security Architecture requirements (ADV_ARC) for smart cards and similar devices» [Απαιτήσεις αρχιτεκτονικής ασφάλειας (ADV_ARC) για έξυπνες κάρτες και παρεμφερείς διατάξεις], έκδοση 1.1·

«Certification of “open” smart card products» (Πιστοποίηση «ανοικτών» προϊόντων έξυπνων καρτών), έκδοση 1.1·

«Composite product evaluation for smart cards and similar devices» (Αξιολόγηση σύνθετων προϊόντων για έξυπνες κάρτες και παρεμφερείς διατάξεις), έκδοση 1.1·

«Application of Attack Potential to Smartcards and Similar Devices» (Εφαρμογή κινδύνου επίθεσης σε έξυπνες κάρτες και παρεμφερείς διατάξεις), έκδοση 1.2·

β)

τα ακόλουθα έγγραφα σχετικά με την εναρμονισμένη αξιολόγηση του τεχνικού τομέα «διατάξεις υλισμικού με θυρίδες ασφαλείας»:

«Minimum ITSEF requirements for security evaluations of hardware devices with security boxes» (Ελάχιστες απαιτήσεις ΕΑΑΤΠ για αξιολογήσεις ασφάλειας διατάξεων υλισμικού με θυρίδες ασφαλείας), έκδοση 1.1·

«Minimum Site Security Requirements» (Ελάχιστες απαιτήσεις ασφάλειας χώρου), έκδοση 1.1·

«Application of Attack Potential to hardware devices with security boxes» (Εφαρμογή κινδύνου επίθεσης σε διατάξεις υλισμικού με θυρίδες ασφαλείας), έκδοση 1.2.

2. Έγγραφα στάθμης της τεχνικής σχετικά με την εναρμονισμένη διαπίστευση των οργανισμών αξιολόγησης της συμμόρφωσης:

α)

«Accreditation of ITSEFs for the EUCC» (Διαπίστευση ΕΑΑΤΠ για το EUCC), έκδοση 1.1 για διαπιστεύσεις που έχουν εκδοθεί πριν από τις 8 Ιουλίου 2025.

β)

«Accreditation of ITSEFs for the EUCC» (Διαπίστευση ΕΑΑΤΠ για το EUCC), έκδοση 1.6c, για διαπιστεύσεις που έχουν εκδοθεί για πρώτη φορά ή επανεξετάζονται μετά τις 8 Ιουλίου 2025.

γ)

«Accreditation of CBs for the EUCC» (Διαπίστευση οργανισμών πιστοποίησης για το EUCC), έκδοση 1.6b.

▼B

ΠΑΡΑΡΤΗΜΑ II

Χαρακτηριστικά προστασίας πιστοποιημένα σε επίπεδο AVA_VAN 4 ή 5

1. Για την κατηγορία εγκεκριμένων διατάξεων εξ αποστάσεως δημιουργίας υπογραφών και σφραγίδων:

EN 419241-2:2019 — Αξιόπιστα συστήματα υποστήριξης της υπογραφής εξυπηρετητή — Μέρος 2: Χαρακτηριστικό προστασίας για QSCD για την υπογραφή εξυπηρετητή·

EN 419221-5:2018 — Κρυπτογραφικά δομοστοιχεία για παρόχους υπηρεσιών εμπιστοσύνης — μέρος 5: Κρυπτογραφικό δομοστοιχείο για υπηρεσίες εμπιστοσύνης

2. Χαρακτηριστικά προστασίας τα οποία θεσπίστηκαν ως έγγραφα στάθμης της τεχνικής:

[ΚΕΝΟ]

ΠΑΡΑΡΤΗΜΑ III

Συνιστώμενα χαρακτηριστικά προστασίας (που απεικονίζουν τους τεχνικούς τομείς από το παράρτημα Ι)

Χαρακτηριστικά προστασίας που χρησιμοποιούνται για την πιστοποίηση προϊόντων ΤΠΕ που εμπίπτουν στην κατωτέρω αναφερόμενη κατηγορία προϊόντων ΤΠΕ:

α)

για την κατηγορία των μηχαναγνώσιμων ταξιδιωτικών εγγράφων:

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE, BSI-CC-PP-0068-V2-2011-MA-01·

PP for a Machine Readable Travel Document with "ICAO Application" Extended Access Control, BSI-CC-PP-0056-2009·

PP for a Machine Readable Travel Document with "ICAO Application" Extended Access Control with PACE, BSI-CC-PP-0056-V2-2012-MA-02·

PP for a Machine Readable Travel Document with "ICAO Application" Basic Access Control, BSI-CC-PP-0055-2009·

β)

για την κατηγορία των ασφαλών διατάξεων δημιουργίας υπογραφής:

EN 419211-1:2014 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 1: Συνοπτική παρουσίαση

EN 419211-2:2013 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 2: Διάταξη με δημιουργία κλειδιού·

EN 419211-3:2013 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 3: Διάταξη με εισαγωγή κλειδιού·

EN 419211-4:2013 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 4: Επέκταση για διάταξη με δημιουργία κλειδιού και αξιόπιστο δίαυλο για την εφαρμογή δημιουργίας πιστοποιητικού

EN 419211-5:2013 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 5: Επέκταση για διάταξη με δημιουργία κλειδιού και αξιόπιστο δίαυλο για την εφαρμογή δημιουργίας υπογραφής·

EN 419211-6:2014 — Χαρακτηριστικά προστασίας για ασφαλή διάταξη δημιουργίας υπογραφής — μέρος 6: Επέκταση για διάταξη με εισαγωγή κλειδιού και αξιόπιστο δίαυλο για την εφαρμογή δημιουργίας υπογραφής·

γ)

για την κατηγορία των ψηφιακών ταχογράφων:

Ψηφιακός ταχογράφος — Κάρτα ταχογράφου, όπως αναφέρεται στον εκτελεστικό κανονισμό (ΕΕ) 2016/799 της Επιτροπής, της 18ης Μαρτίου 2016, σχετικά με την εφαρμογή του κανονισμού (ΕΕ) αριθ. 165/2014 (παράρτημα 1Γ)·

Ψηφιακός ταχογράφος — Μονάδα επί οχήματος, όπως αναφέρεται στο παράρτημα Ι Β του κανονισμού (ΕΚ) αριθ. 1360/2002 της Επιτροπής, η οποία προορίζεται για εγκατάσταση σε οχήματα οδικών μεταφορών·

Ψηφιακός ταχογράφος — Εξωτερικός μηχανισμός GNSS (EGF PP), όπως αναφέρεται στο παράρτημα 1Γ του εκτελεστικού κανονισμού (ΕΕ) 2016/799 της Επιτροπής, της 18ης Μαρτίου 2016, σχετικά με την εφαρμογή του κανονισμού (ΕΕ) αριθ. 165/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου·

Ψηφιακός ταχογράφος — Αισθητήρας κίνησης (MS PP), όπως αναφέρεται στο παράρτημα 1Γ του εκτελεστικού κανονισμού (ΕΕ) 2016/799 της Επιτροπής, της 18ης Μαρτίου 2016, σχετικά με την εφαρμογή του κανονισμού (ΕΕ) αριθ. 165/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου·

δ)

για την κατηγορία ασφαλών ολοκληρωμένων κυκλωμάτων, έξυπνων καρτών και συναφών διατάξεων:

Security IC Platform ΡΡ, BSI-CC-PP-0084-2014·

Java Card System - Open Configuration, V3.0.5 BSI-CC-PP-0099-2017·

Java Card System - Closed Configuration, BSI-CC-PP-0101-2017·

PP for a PC Client Specific Trusted Platform Module Family 2.0 Level 0 Revision 1.16, ANSSI-CC-PP-2015/07·

Universal SIM card, PU-2009-RT-79, ANSSI-CC-PP-2010/04·

Embedded UICC (eUICC) for Machine-to-Machine Devices, BSI-CC-PP-0089-2015·

ε)

για την κατηγορία των σημείων αλληλεπίδρασης (με σκοπό τις πληρωμές) και των τερματικών σημείου πώλησης:

Σημείο αλληλεπίδρασης «POI-CHIP-ONLY», ANSSI-CC-PP-2015/01·

Σημείο αλληλεπίδρασης «POI-CHIP-ONLY and Open Protocol Package», ANSSI-CC-PP-2015/02·

Σημείο αλληλεπίδρασης «POI-COMPREHENSIVE», ANSSI-CC-PP-2015/03·

Σημείο αλληλεπίδρασης «POI-COMPREHENSIVE and Open Protocol Package», ANSSI-CC-PP-2015/04·

Σημείο αλληλεπίδρασης «POI-PED-ONLY», ANSSI-CC-PP-2015/05·

Σημείο αλληλεπίδρασης «POI-PED-ONLY and Open Protocol Package», ANSSI-CC-PP-2015/06·

στ)

για την κατηγορία διατάξεων υλισμικού με θυρίδες ασφαλείας:

Cryptographic Module for CSP Signing Operations with Backup - PP CMCSOB, PP HSM CMCSOB 14167-2, ANSSI-CC-PP-2015/08·

Cryptographic Module for CSP key generation services - PP CMCKG, PP HSM CMCKG 14167-3, ANSSI-CC-PP-2015/09·

Cryptographic Module for CSP Signing Operations without Backup - PP CMCSO, PP HSM CMCKG 14167-4, ANSSI-CC-PP-2015/10.

ΠΑΡΑΡΤΗΜΑ IV

Συνεχεια διασφαλισησ και επανεξεταση Πιστοποιητικων

IV.1 Συνέχεια διασφάλισης: πεδίο

1. Οι ακόλουθες απαιτήσεις για τη συνέχεια της διασφάλισης εφαρμόζονται στις δραστηριότητες διατήρησης που αφορούν τα ακόλουθα:

α)

επαναξιολόγηση του κατά πόσον ένα αμετάβλητο πιστοποιημένο προϊόν ΤΠΕ εξακολουθεί να πληροί τις απαιτήσεις ασφάλειας που το αφορούν·

β)

αξιολόγηση των συνεπειών των αλλαγών πιστοποιημένου προϊόντος ΤΠΕ στην πιστοποίησή του·

γ)

εάν περιλαμβάνεται στην πιστοποίηση, εφαρμογή διορθώσεων σύμφωνα με αξιολογημένη διαδικασία διαχείρισης διορθώσεων·

δ)

εάν περιλαμβάνεται, επανεξέταση της διαχείρισης του κύκλου ζωής ή των διαδικασιών παραγωγής του κατόχου του πιστοποιητικού.

2. Ο κάτοχος πιστοποιητικού EUCC μπορεί να ζητήσει την επανεξέταση του πιστοποιητικού στις ακόλουθες περιπτώσεις:

α)

το πιστοποιητικό EUCC λήγει εντός εννέα μηνών·

β)

υπήρξε αλλαγή είτε στο πιστοποιημένο προϊόν ΤΠΕ είτε σε άλλον παράγοντα, η οποία θα μπορούσε να έχει επιπτώσεις στη λειτουργικότητα ασφαλείας του·

γ)

ο κάτοχος του πιστοποιητικού ζητεί να διενεργηθεί εκ νέου η αξιολόγηση τρωτότητας προκειμένου να επαναβεβαιωθεί η διασφάλιση του πιστοποιητικού EUCC η οποία σχετίζεται με την ανθεκτικότητα του προϊόντος ΤΠΕ σε σύγχρονες κυβερνοεπιθέσεις.

IV.2 Επαναξιολόγηση

1. Σε περίπτωση που υπάρχει ανάγκη εκτίμησης των επιπτώσεων των αλλαγών στο περιβάλλον απειλής ενός αμετάβλητου πιστοποιημένου προϊόντος ΤΠΕ, υποβάλλεται στον οργανισμό πιστοποίησης αίτημα επαναξιολόγησης.

2. Η επαναξιολόγηση διενεργείται από την ίδια ΕΑΑΤΠ που συμμετείχε στην προηγούμενη αξιολόγηση κάνοντας εκ νέου χρήση όλων των αποτελεσμάτων της που εξακολουθούν να ισχύουν. Η αξιολόγηση επικεντρώνεται στις δραστηριότητες διασφάλισης οι οποίες επηρεάζονται δυνητικώς από τις μεταβολές στις κυβερνοαπειλές που αφορούν πιστοποιημένο προϊόν ΤΠΕ, ειδικότερα τη σχετική οικογένεια AVA_VAN και, επιπλέον, την οικογένεια κύκλου ζωής διασφάλισης (ALC), οπότε συλλέγεται εκ νέου επαρκής τεκμηρίωση σχετικά με τη διατήρηση του περιβάλλοντος ανάπτυξης.

3. Η ΕΑΑΤΠ περιγράφει τις αλλαγές και αναφέρει λεπτομερώς τα αποτελέσματα της επαναξιολόγησης με επικαιροποίηση της προηγούμενης τεχνικής έκθεσης αξιολόγησης.

4. Ο οργανισμός πιστοποίησης επανεξετάζει την επικαιροποιημένη τεχνική έκθεση αξιολόγησης και εκπονεί έκθεση επαναξιολόγησης. Στη συνέχεια το καθεστώς του αρχικού πιστοποιητικού τροποποιείται σύμφωνα με το άρθρο 13.

5. Η έκθεση επαναξιολόγησης και το επικαιροποιημένο πιστοποιητικό υποβάλλονται στην εθνική αρχή πιστοποίησης της κυβερνοασφάλειας και στον ENISA για δημοσίευση στον οικείο ιστότοπο πιστοποίησης της κυβερνοασφάλειας.

IV.3 Αλλαγές σε πιστοποιημένο προϊόν ΤΠΕ

1. Σε περίπτωση που ένα πιστοποιημένο προϊόν ΤΠΕ έχει υποστεί αλλαγές, ο κάτοχος του πιστοποιητικού που επιθυμεί να διατηρήσει το πιστοποιητικό υποβάλλει στον οργανισμό πιστοποίησης έκθεση ανάλυσης επιπτώσεων.

2. Η έκθεση ανάλυσης επιπτώσεων περιέχει τα ακόλουθα στοιχεία:

α)

εισαγωγή, στην οποία παρατίθενται οι απαραίτητες πληροφορίες για τον προσδιορισμό της έκθεσης ανάλυσης επιπτώσεων και του στόχου αξιολόγησης που μεταβάλλονται·

β)

περιγραφή των αλλαγών του προϊόντος·

γ)

προσδιορισμό της επηρεαζόμενης τεκμηρίωσης του φορέα ανάπτυξης·

δ)

περιγραφή των τροποποιήσεων της τεκμηρίωσης του φορέα ανάπτυξης·

ε)

τα ευρήματα και τα συμπεράσματα σχετικά με τις επιπτώσεις κάθε αλλαγής στη διασφάλιση.

3. Ο οργανισμός πιστοποίησης εξετάζει τις αλλαγές που περιγράφονται στην έκθεση ανάλυσης επιπτώσεων προκειμένου να επικυρώσει τις επιπτώσεις τους στη διασφάλιση του πιστοποιημένου στόχου αξιολόγησης, όπως προτείνεται στα συμπεράσματα της έκθεσης ανάλυσης επιπτώσεων.

4. Μετά την εξέταση, ο οργανισμός πιστοποίησης προσδιορίζει την κλίμακα της αλλαγής ως ήσσονος σημασίας ή μείζονος σημασίας ανάλογα με τις επιπτώσεις της.

▼M1

5. Σε περίπτωση που οι αλλαγές έχουν επιβεβαιωθεί από τον οργανισμό πιστοποίησης ως ήσσονος σημασίας, δεν εκδίδεται νέο πιστοποιητικό για το τροποποιημένο προϊόν ΤΠΕ και εκπονείται έκθεση διατήρησης για την αρχική έκθεση πιστοποίησης.

Η έκθεση διατήρησης αποτελεί υποσύνολο της έκθεσης ανάλυσης επιπτώσεων και περιέχει τις ακόλουθες ενότητες:

α)

εισαγωγή·

β)

περιγραφή αλλαγών·

γ)

επηρεαζόμενη τεκμηρίωση φορέα ανάπτυξης.

6. Η έκθεση διατήρησης που αναφέρεται στο σημείο 5 υποβάλλεται στον ENISA για δημοσίευση στον οικείο ιστότοπο πιστοποίησης της κυβερνοασφάλειας.

▼B

7. Σε περίπτωση που ο οργανισμός πιστοποίησης επιβεβαίωσε ότι οι αλλαγές είναι μείζονος σημασίας, διενεργείται εκ νέου αξιολόγηση στο πλαίσιο της προηγούμενης αξιολόγησης και με την εκ νέου χρήση τυχόν αποτελεσμάτων της προηγούμενης αξιολόγησης που εξακολουθούν να ισχύουν.

8. Μετά την ολοκλήρωση της αξιολόγησης του μεταβληθέντος στόχου αξιολόγησης, η ΕΑΑΤΠ εκπονεί νέα τεχνική έκθεση αξιολόγησης. Ο οργανισμός πιστοποίησης επανεξετάζει την επικαιροποιημένη τεχνική έκθεση αξιολόγησης και, κατά περίπτωση, καταρτίζει νέο πιστοποιητικό με νέα έκθεση πιστοποίησης.

9. Το νέο πιστοποιητικό και η νέα έκθεση πιστοποίησης υποβάλλονται στον ENISA για δημοσίευση.

IV.4 Διαχείριση διορθώσεων

1. Η διαδικασία διαχείρισης διορθώσεων παρέχει μια δομημένη διαδικασία για την επικαιροποίηση πιστοποιημένου προϊόντος ΤΠΕ. Η διαδικασία διαχείρισης διορθώσεων, συμπεριλαμβανομένου του μηχανισμού ο οποίος εφαρμόζεται στο προϊόν ΤΠΕ από τον αιτούντα πιστοποίηση, μπορεί να χρησιμοποιηθεί μετά την πιστοποίηση του προϊόντος ΤΠΕ υπό την ευθύνη του οργανισμού αξιολόγησης της συμμόρφωσης.

2. Ο αιτών πιστοποίηση μπορεί να συμπεριλάβει στην πιστοποίηση του προϊόντος ΤΠΕ μηχανισμό διορθώσεων, στο πλαίσιο πιστοποιημένης διαδικασίας διαχείρισης που εφαρμόζεται στο προϊόν ΤΠΕ, εφόσον πληρούται μία από τις ακόλουθες προϋποθέσεις:

α)

οι λειτουργικότητες που επηρεάζονται από τη διόρθωση βρίσκονται εκτός του στόχου αξιολόγησης του πιστοποιημένου προϊόντος ΤΠΕ·

β)

η διόρθωση αφορά προκαθορισμένη ήσσονος σημασίας αλλαγή στο πιστοποιημένο προϊόν ΤΠΕ·

γ)

η διόρθωση αφορά επιβεβαιωμένο τρωτό σημείο με κρίσιμες συνέπειες στην ασφάλεια του πιστοποιημένου προϊόντος ΤΠΕ.

3. Εάν η διόρθωση αφορά μείζονος σημασίας αλλαγή στον στόχο αξιολόγησης του πιστοποιημένου προϊόντος ΤΠΕ σε σχέση με τρωτό σημείο που δεν είχε εντοπιστεί παλαιότερα, το οποίο δεν έχει κρίσιμες συνέπειες στην ασφάλεια του προϊόντος ΤΠΕ, εφαρμόζονται οι διατάξεις του άρθρου 13.

4. Η διαδικασία διαχείρισης διορθώσεων προϊόντος ΤΠΕ θα περιλαμβάνει τα ακόλουθα στοιχεία:

α)

τη διαδικασία ανάπτυξης και θέσης σε κυκλοφορία της διόρθωσης για το προϊόν ΤΠΕ·

β)

τον τεχνικό μηχανισμό και τις λειτουργίες για την εφαρμογή της διόρθωσης στο προϊόν ΤΠΕ·

γ)

ένα σύνολο δραστηριοτήτων αξιολόγησης όσον αφορά την αποτελεσματικότητα και την αποδοτικότητα του τεχνικού μηχανισμού.

5. Κατά την πιστοποίηση του προϊόντος ΤΠΕ:

α)

ο αιτών πιστοποίηση του προϊόντος ΤΠΕ παρέχει περιγραφή της διαδικασίας διαχείρισης διορθώσεων·

β)

η ΕΑΑΤΠ εξακριβώνει τα ακόλουθα στοιχεία:

ο φορέας ανάπτυξης εφάρμοσε τους μηχανισμούς διορθώσεων στο προϊόν ΤΠΕ σύμφωνα με τη διαδικασία διαχείρισης διορθώσεων που υποβλήθηκε σε πιστοποίηση·

τα όρια του στόχου αξιολόγησης διαχωρίζονται κατά τρόπο ώστε οι αλλαγές που πραγματοποιούνται στις χωριστές διαδικασίες να μην επηρεάζουν την ασφάλεια του στόχου αξιολόγησης·

ο τεχνικός μηχανισμός διορθώσεων λειτουργεί σύμφωνα με τις διατάξεις του παρόντος τμήματος και τους ισχυρισμούς του αιτούντος·

γ)

ο οργανισμός πιστοποίησης περιλαμβάνει στην έκθεση πιστοποίησης το αποτέλεσμα της διαδικασίας διαχείρισης διορθώσεων που υποβλήθηκε σε αξιολόγηση.

6. Ο κάτοχος του πιστοποιητικού δύναται να εφαρμόσει στο οικείο πιστοποιημένο προϊόν ΤΠΕ τη διόρθωση που κατασκευάστηκε σύμφωνα με την πιστοποιημένη διαδικασία διαχείρισης διορθώσεων και προβαίνει στις ακόλουθες ενέργειες εντός 5 εργάσιμων ημερών στις ακόλουθες περιπτώσεις:

α)

στην περίπτωση που αναφέρεται στο σημείο 2 στοιχείο α), αναφέρει την οικεία διόρθωση στον οργανισμό πιστοποίησης ο οποίος δεν αλλάζει το αντίστοιχο πιστοποιητικό EUCC·

β)

στην περίπτωση που αναφέρεται στο σημείο 2 στοιχείο β), υποβάλλει την οικεία διόρθωση στην ΕΑΑΤΠ για επανεξέταση. Η ΕΑΑΤΠ ενημερώνει τον οργανισμό πιστοποίησης μετά την παραλαβή της διόρθωσης, οπότε ο οργανισμός πιστοποίησης προβαίνει στην κατάλληλη ενέργεια σχετικά με την έκδοση νέας έκδοσης του αντίστοιχου πιστοποιητικού EUCC και την επικαιροποίηση της έκθεσης πιστοποίησης·

γ)

στην περίπτωση που αναφέρεται στο σημείο 2 στοιχείο γ), υποβάλλει την οικεία διόρθωση στην ΕΑΑΤΠ για την αναγκαία επαναξιολόγηση, αλλά μπορεί να εφαρμόσει συγχρόνως τη διόρθωση. Η ΕΑΑΤΠ ενημερώνει τον οργανισμό πιστοποίησης, ο οποίος ξεκινά τις σχετικές δραστηριότητες πιστοποίησης.

ΠΑΡΑΡΤΗΜΑ V

ΠΕΡΙΕΧΟΜΕΝΟ ΕΚΘΕΣΗΣ ΠΙΣΤΟΠΟΙΗΣΗΣ

V.1 Έκθεση πιστοποίησης

1. Βάσει των τεχνικών εκθέσεων αξιολόγησης που παρέχει η ΕΑΑΤΠ, ο οργανισμός πιστοποίησης εκπονεί έκθεση πιστοποίησης η οποία δημοσιεύεται με το αντίστοιχο πιστοποιητικό EUCC.

2. Η έκθεση πιστοποίησης αποτελεί πηγή λεπτομερών και πρακτικών πληροφοριών σχετικά με το προϊόν ΤΠΕ, ή την κατηγορία προϊόντων ΤΠΕ, και σχετικά με την ασφαλή ανάπτυξη του προϊόντος ΤΠΕ και, επομένως, περιλαμβάνει κάθε δημόσια διαθέσιμη και γνωστοποιήσιμη πληροφορία η οποία έχει σημασία για τους χρήστες και τα ενδιαφερόμενα μέρη. Η έκθεση πιστοποίησης μπορεί να παραπέμπει σε δημόσια διαθέσιμες και γνωστοποιήσιμες πληροφορίες.

3. Η έκθεση πιστοποίησης περιέχει τουλάχιστον τις ακόλουθες ενότητες:

α)

συνοπτική παρουσίαση·

β)

προσδιορισμό του προϊόντος ΤΠΕ ή της κατηγορίας προϊόντων ΤΠΕ για χαρακτηριστικά προστασίας·

γ)

υπηρεσίες ασφάλειας·

δ)

παραδοχές και αποσαφήνιση πεδίου·

ε)

πληροφορίες αρχιτεκτονικής·

στ)

συμπληρωματικές πληροφορίες για την κυβερνοασφάλεια, κατά περίπτωση·

ζ)

δοκιμή του προϊόντος ΤΠΕ, εφόσον διενεργήθηκε·

η)

κατά περίπτωση, προσδιορισμό των διαδικασιών διαχείρισης του κύκλου ζωής και των εγκαταστάσεων παραγωγής του κατόχου του πιστοποιητικού·

θ)

αποτελέσματα της αξιολόγησης και πληροφορίες σχετικά με το πιστοποιητικό·

ι)

συνοπτική περιγραφή του στόχου ασφάλειας του προϊόντος ΤΠΕ που υποβάλλεται για πιστοποίηση·

ια)

όταν υπάρχει, το σήμα ή την επισήμανση που σχετίζεται με το σχήμα·

ιβ)

βιβλιογραφία.

4. Η συνοπτική παρουσίαση είναι η σύνοψη της συνολικής έκθεσης πιστοποίησης. Παρέχει σαφή και συνοπτική επισκόπηση των αποτελεσμάτων της αξιολόγησης και περιλαμβάνει τις ακόλουθες πληροφορίες:

α)

όνομα του αξιολογούμενου προϊόντος ΤΠΕ, απαρίθμηση των συνιστωσών του προϊόντος που περιλαμβάνονται στην αξιολόγηση και έκδοση του προϊόντος ΤΠΕ·

β)

όνομα της ΕΑΑΤΠ που διενήργησε την αξιολόγηση και, εφόσον συντρέχει περίπτωση, τον κατάλογο των υπεργολάβων·

γ)

ημερομηνία ολοκλήρωσης της αξιολόγησης·

δ)

παραπομπή στην τεχνική έκθεση αξιολόγησης που εκπόνησε η ΕΑΑΤΠ·

ε)

συνοπτική περιγραφή των αποτελεσμάτων της έκθεσης πιστοποίησης, και ειδικότερα:

την έκδοση και, κατά περίπτωση, τη δημοσίευση των κοινών κριτηρίων που εφαρμόστηκαν στην αξιολόγηση·

τη δέσμη απαιτήσεων κατοχύρωσης της ασφάλειας και τις συνιστώσες κατοχύρωσης της ασφάλειας των κοινών κριτηρίων, συμπεριλαμβανομένου του επιπέδου AVA_VAN που εφαρμόστηκε κατά την αξιολόγηση και του αντίστοιχου επιπέδου διασφάλισης που καθορίζεται στο άρθρο 52 του κανονισμού (ΕΕ) 2019/881 στο οποίο παραπέμπει το πιστοποιητικό EUCC·

τη λειτουργικότητα ασφάλειας του αξιολογούμενου προϊόντος ΤΠΕ·

σύνοψη των απειλών που αντιμετωπίζονται και των πολιτικών οργανωτικής ασφάλειας που λαμβάνονται υπόψη με το αξιολογούμενο προϊόν ΤΠΕ·

ειδικές απαιτήσεις διαμόρφωσης·

παραδοχές σχετικά με το λειτουργικό περιβάλλον·

όπου συντρέχει περίπτωση, ύπαρξη εγκεκριμένης διαδικασίας διαχείρισης διορθώσεων σύμφωνα με το τμήμα IV.4 του παραρτήματος II·

δήλωση/-εις αποποίησης ευθύνης.

5. Το αξιολογούμενο προϊόν ΤΠΕ προσδιορίζεται σαφώς, μεταξύ άλλων, με τις ακόλουθες πληροφορίες:

α)

όνομα του αξιολογούμενου προϊόντος ΤΠΕ·

β)

απαρίθμηση των συνιστωσών του προϊόντος που περιλαμβάνονται στην αξιολόγηση·

γ)

τον αριθμό έκδοσης των συνιστωσών του προϊόντος ΤΠΕ·

δ)

προσδιορισμό πρόσθετων απαιτήσεων του λειτουργικού περιβάλλοντος του πιστοποιημένου προϊόντος ΤΠΕ·

ε)

όνομα και στοιχεία επικοινωνίας του κατόχου του πιστοποιητικού EUCC·

στ)

όπου συντρέχει περίπτωση, διαδικασία διαχείρισης διορθώσεων η οποία περιλαμβάνεται στο πιστοποιητικό·

ζ)

σύνδεσμο προς τον ιστότοπο του κατόχου του πιστοποιητικού EUCC, όπου παρέχονται συμπληρωματικές πληροφορίες σχετικά με την κυβερνοασφάλεια για το πιστοποιημένο προϊόν ΤΠΕ σύμφωνα με το άρθρο 55 του κανονισμού (ΕΕ) 2019/881.

6. Οι πληροφορίες που περιλαμβάνονται στο παρόν τμήμα είναι όσο το δυνατόν πιο ακριβείς ώστε να διασφαλίζεται πλήρης και ακριβής αναπαράσταση του προϊόντος ΤΠΕ η οποία μπορεί να χρησιμοποιηθεί εκ νέου σε μελλοντικές αξιολογήσεις.

7. Το τμήμα για την πολιτική ασφάλειας περιλαμβάνει περιγραφή της πολιτικής ασφάλειας του προϊόντος ΤΠΕ και των πολιτικών ή των κανόνων που πρέπει να επιβάλλει ή με τους οποίους πρέπει να συμμορφώνεται το αξιολογούμενο προϊόν ΤΠΕ. Περιλαμβάνει παραπομπή στις ακόλουθες πολιτικές, τις οποίες και περιγράφει:

α)

την πολιτική του κατόχου του πιστοποιητικού για τον χειρισμό τρωτών σημείων·

β)

την πολιτική του κατόχου του πιστοποιητικού για τη συνέχεια της διασφάλισης.

8. Κατά περίπτωση, η πολιτική μπορεί να περιλαμβάνει τις προϋποθέσεις που αφορούν τη χρήση διαδικασίας διαχείρισης διορθώσεων κατά την περίοδο ισχύος του πιστοποιητικού.

9. Το τμήμα για τις παραδοχές και την αποσαφήνιση του πεδίου περιέχει εξαντλητικές πληροφορίες σχετικά με τις περιστάσεις και τους στόχους που σχετίζονται με την προβλεπόμενη χρήση του προϊόντος όπως αναφέρεται στο άρθρο 7 παράγραφος 1 στοιχείο γ). Οι πληροφορίες περιλαμβάνουν τα εξής στοιχεία:

α)

παραδοχές σχετικά με τη χρήση και την ανάπτυξη του προϊόντος ΤΠΕ με τη μορφή ελάχιστων απαιτήσεων, όπως πλήρωση απαιτήσεων σχετικά με κατάλληλη εγκατάσταση και διαμόρφωση καθώς και υλισμικό·

β)

παραδοχές σχετικά με το περιβάλλον για τη σύμφωνη προς τις απαιτήσεις λειτουργία του προϊόντος ΤΠΕ.

10. Οι πληροφορίες που απαριθμούνται στο σημείο 9 είναι όσο το δυνατόν πιο κατανοητές για τους χρήστες του πιστοποιημένου προϊόντος ΤΠΕ ώστε να μπορούν να λαμβάνουν τεκμηριωμένες αποφάσεις σχετικά με τους κινδύνους που συνδέονται με τη χρήση του.

11. Το τμήμα για τις πληροφορίες αρχιτεκτονικής περιλαμβάνει υψηλού επιπέδου περιγραφή του προϊόντος ΤΠΕ και των κύριων συνιστωσών του σύμφωνα με τον σχεδιασμό υποσυστημάτων ADV_TDS των κοινών κριτηρίων.

12. Παρέχεται πλήρης κατάλογος των συμπληρωματικών πληροφοριών σχετικά με την κυβερνοασφάλεια για το προϊόν ΤΠΕ σύμφωνα με το άρθρο 55 του κανονισμού (ΕΕ) 2019/881. Κάθε σχετικό έγγραφο επισημαίνεται με τον αριθμό της έκδοσής του.

13. Το τμήμα για τη δοκιμή του προϊόντος ΤΠΕ περιλαμβάνει τις ακόλουθες πληροφορίες:

α)

επωνυμία και πρόσωπο επικοινωνίας της αρχής ή του οργανισμού που εξέδωσε το πιστοποιητικό, συμπεριλαμβανομένης της αρμόδιας εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας·

β)

επωνυμία της ΕΑΑΤΠ που διενήργησε την αξιολόγηση, εάν η αξιολόγηση δεν διενεργήθηκε από τον οργανισμό πιστοποίησης·

γ)

προσδιορισμό των συνιστωσών διασφάλισης που χρησιμοποιήθηκαν από τα πρότυπα που αναφέρονται στο άρθρο 3·

δ)

έκδοση του εγγράφου στάθμης της τεχνικής και περαιτέρω κριτήρια αξιολόγησης της ασφάλειας που χρησιμοποιήθηκαν στην αξιολόγηση·

ε)

πλήρεις και ακριβείς ρυθμίσεις και διαμόρφωση του προϊόντος ΤΠΕ κατά την αξιολόγηση, συμπεριλαμβανομένων λειτουργικών σημειώσεων και παρατηρήσεων, εφόσον υπάρχουν·

στ)

κάθε χαρακτηριστικό προστασίας το οποίο έχει χρησιμοποιηθεί, συμπεριλαμβανομένων των ακόλουθων πληροφοριών:

δημιουργός του χαρακτηριστικού προστασίας·

όνομα και αναγνωριστικό του χαρακτηριστικού προστασίας·

αναγνωριστικό του πιστοποιητικού του χαρακτηριστικού προστασίας·

επωνυμία και στοιχεία επικοινωνίας του οργανισμού πιστοποίησης και της ΕΑΑΤΠ που συμμετείχαν στην αξιολόγηση του χαρακτηριστικού προστασίας·

δέσμη/-ες απαιτήσεων κατοχύρωσης της ασφάλειας που απαιτούνται για προϊόν που συμμορφώνεται με το χαρακτηριστικό προστασίας.

14. Το τμήμα των αποτελεσμάτων της αξιολόγησης και των πληροφοριών σχετικά με το πιστοποιητικό περιλαμβάνει τα ακόλουθα στοιχεία:

α)

επιβεβαίωση του επιτευχθέντος επιπέδου διασφάλισης όπως αναφέρεται στο άρθρο 4 του παρόντος κανονισμού και στο άρθρο 52 του κανονισμού (ΕΕ) 2019/881·

β)

απαιτήσεις διασφάλισης, από τα πρότυπα που αναφέρονται στο άρθρο 3, τις οποίες το προϊόν ΤΠΕ ή το χαρακτηριστικό προστασίας πληροί πραγματικά, συμπεριλαμβανομένου του επιπέδου AVA_VAN·

γ)

λεπτομερή περιγραφή των απαιτήσεων διασφάλισης καθώς και στοιχεία σχετικά με την πλήρωση κάθε απαίτησης από το προϊόν·

δ)

ημερομηνία έκδοσης και περίοδο ισχύος του πιστοποιητικού·

ε)

μοναδικό αναγνωριστικό του πιστοποιητικού.

15. Ο στόχος ασφάλειας περιλαμβάνεται στην έκθεση πιστοποίησης ή αναφέρεται και συνοψίζεται στην έκθεση πιστοποίησης και περιέχεται στην έκθεση πιστοποίησης που τον αφορά για σκοπούς δημοσίευσης.

16. Εμπιστευτικά στοιχεία μπορεί να απαλείφονται από τον στόχο ασφάλειας σύμφωνα με το τμήμα VI.2.

17. Το σήμα ή η επισήμανση που συνδέεται με το EUCC μπορεί να περιλαμβάνεται στην έκθεση πιστοποίησης σύμφωνα με τους κανόνες και τις διαδικασίες που καθορίζονται στο άρθρο 11.

18. Το τμήμα της βιβλιογραφίας περιλαμβάνει παραπομπές σε όλα τα έγγραφα που χρησιμοποιήθηκαν για τη σύνταξη της έκθεσης πιστοποίησης. Οι πληροφορίες αυτές περιλαμβάνουν τουλάχιστον τα ακόλουθα στοιχεία:

α)

τα κριτήρια αξιολόγησης της ασφάλειας, τα έγγραφα στάθμης της τεχνικής και άλλες σχετικές προδιαγραφές οι οποίες χρησιμοποιήθηκαν με μνεία της έκδοσής τους·

β)

την τεχνική έκθεση αξιολόγησης·

γ)

την τεχνική έκθεση αξιολόγησης για τη σύνθετη αξιολόγηση, εφόσον συντρέχει περίπτωση·

δ)

τεκμηρίωση για το τεχνικό πλαίσιο αναφοράς·

ε)

τεκμηρίωση του φορέα ανάπτυξης η οποία χρησιμοποιήθηκε κατά την αξιολόγηση.

19. Προκειμένου να διασφαλίζεται η δυνατότητα αναπαραγωγής της αξιολόγησης, κάθε έγγραφο στο οποίο γίνεται παραπομπή πρέπει να προσδιορίζεται με μοναδικό τρόπο, με την ορθή ημερομηνία δημοσίευσης και τον ορθό αριθμό έκδοσης.

V.2 Απαλοιφή εμπιστευτικών στοιχείων από στόχο ασφάλειας για σκοπούς δημοσίευσης

1. Από τον στόχο ασφάλειας που περιλαμβάνεται, ή στον οποίο γίνεται παραπομπή, στην έκθεση πιστοποίησης δυνάμει του σημείου 1 του τμήματος VI.1 μπορούν να απαλειφθούν οι ιδιοταγείς τεχνικές πληροφορίες, οι οποίες μπορεί επίσης να διατυπωθούν με άλλον τρόπο.

2. Ο στόχος ασφάλειας που προκύπτει μετά την απαλοιφή εμπιστευτικών στοιχείων είναι η πραγματική αναπαράσταση της πλήρους αρχικής έκδοσής του. Τούτο σημαίνει ότι, μετά την απαλοιφή εμπιστευτικών στοιχείων, δεν είναι δυνατόν να παραλείπονται από τον στόχο ασφάλειας πληροφορίες οι οποίες είναι αναγκαίες για να γίνουν κατανοητές οι ιδιότητες ασφάλειας του στόχου αξιολόγησης και το πεδίο της αξιολόγησης.

3. Το περιεχόμενο του στόχου ασφάλειας μετά την απαλοιφή εμπιστευτικών στοιχείων συμμορφώνεται προς τις ακόλουθες ελάχιστες απαιτήσεις:

α)

από την εισαγωγή δεν απαλείφονται εμπιστευτικά στοιχεία, καθώς η εισαγωγή δεν περιλαμβάνει γενικά ιδιοταγείς πληροφορίες·

β)

ο στόχος ασφάλειας μετά την απαλοιφή εμπιστευτικών στοιχείων πρέπει να διαθέτει μοναδικό αναγνωριστικό διαφορετικό από εκείνο της πλήρους αρχικής έκδοσής του·

γ)

η περιγραφή του στόχου αξιολόγησης μπορεί να μειωθεί, καθώς μπορεί να περιλαμβάνει ιδιοταγείς και αναλυτικές πληροφορίες σχετικά με τον σχεδιασμό του στόχου αξιολόγησης οι οποίες δεν θα πρέπει να δημοσιευθούν·

δ)

η περιγραφή του περιβάλλοντος ασφάλειας του στόχου αξιολόγησης (παραδοχές, απειλές, πολιτικές οργανωτικής ασφάλειας) δεν μειώνονται, στο μέτρο που οι πληροφορίες αυτές είναι αναγκαίες για να γίνει κατανοητό το πεδίο της αξιολόγησης·

ε)

οι στόχοι ασφάλειας δεν μειώνονται καθώς κάθε πληροφορία πρέπει να δημοσιοποιείται προκειμένου να γίνει κατανοητή η πρόθεση του στόχου ασφάλειας και του στόχου αξιολόγησης·

στ)

όλες οι απαιτήσεις ασφάλειας δημοσιοποιούνται. Σημειώσεις εφαρμογής μπορεί να παρέχουν πληροφορίες σχετικά με τον τρόπο χρησιμοποίησης των λειτουργικών απαιτήσεων των κοινών κριτηρίων που αναφέρονται στο άρθρο 3 για την κατανόηση του στόχου ασφάλειας·

ζ)

ο συνοπτικός προσδιορισμός του στόχου αξιολόγησης περιλαμβάνει κάθε λειτουργία ασφάλειας του στόχου αξιολόγησης, αλλά πρόσθετες ιδιοταγείς πληροφορίες μπορούν να απαλειφθούν·

η)

περιλαμβάνονται παραπομπές σε χαρακτηριστικά προστασίας που εφαρμόζονται στον στόχο αξιολόγησης·

θ)

από τη συλλογιστική μπορούν να απαλειφθούν ιδιοταγείς πληροφορίες.

4. Ακόμη και αν ο στόχος ασφάλειας μετά την απαλοιφή εμπιστευτικών στοιχείων δεν αξιολογηθεί τυπικά σύμφωνα με τα πρότυπα αξιολόγησης που αναφέρονται στο άρθρο 3, ο οργανισμός πιστοποίησης διασφαλίζει ότι συμμορφώνεται με τον πλήρη και αξιολογημένο στόχο ασφάλειας, στη δε έκθεση πιστοποίησης γίνεται παραπομπή τόσο στον πλήρη στόχο ασφάλειας όσο και στον στόχο ασφάλειας μετά την απαλοιφή εμπιστευτικών στοιχείων.

ΠΑΡΑΡΤΗΜΑ VI

ΠΕΔΙΟ ΚΑΙ ΣΥΝΘΕΣΗ ΤΗΣ ΟΜΑΔΑΣ ΑΞΙΟΛΟΓΗΣΕΩΝ ΑΠΟ ΟΜΟΤΙΜΟΥΣ

VI.1 Πεδίο της αξιολόγησης από ομοτίμους

1. Καλύπτονται οι ακόλουθοι τύποι αξιολογήσεων από ομοτίμους:

α)

τύπος 1: ο οργανισμός πιστοποίησης εκτελεί δραστηριότητες πιστοποίησης σε επίπεδο AVA_VAN.3·

β)

τύπος 2: ο οργανισμός πιστοποίησης εκτελεί δραστηριότητες πιστοποίησης οι οποίες σχετίζονται με τεχνικό τομέα που παρατίθεται στα έγγραφα στάθμης της τεχνικής του παραρτήματος I·

γ)

τύπος 3: ο οργανισμός πιστοποίησης εκτελεί δραστηριότητες πιστοποίησης άνω του επιπέδου AVA_VAN.3 κάνοντας χρήση χαρακτηριστικού προστασίας που παρατίθεται στα έγγραφα στάθμης της τεχνικής του παραρτήματος I.

2. Ο οργανισμός πιστοποίησης που υποβάλλεται σε αξιολόγηση από ομοτίμους υποβάλλει τον κατάλογο πιστοποιημένων προϊόντων ΤΠΕ που μπορεί να είναι υποψήφια για επανεξέταση από την ομάδα αξιολογήσεων από ομοτίμους, σύμφωνα με τους ακόλουθους κανόνες:

α)

τα υποψήφια προϊόντα καλύπτουν το τεχνικό πεδίο της εξουσιοδότησης του οργανισμού πιστοποίησης, από το οποίο θα αναλυθούν τουλάχιστον δύο διαφορετικές αξιολογήσεις προϊόντων σε «υψηλό» επίπεδο διασφάλισης μέσω της αξιολόγησης από ομοτίμους καθώς και ένα χαρακτηριστικό προστασίας, εάν ο οργανισμός πιστοποίησης εξέδωσε πιστοποιητικό «υψηλού» επιπέδου διασφάλισης·

β)

για αξιολόγηση από ομοτίμους τύπου 2, ο οργανισμός πιστοποίησης υποβάλλει τουλάχιστον ένα προϊόν ανά τεχνικό τομέα και ανά ενδιαφερόμενη ΕΑΑΤΠ·

γ)

για αξιολόγηση από ομοτίμους τύπου 3, τουλάχιστον ένα υποψήφιο προϊόν αξιολογείται σύμφωνα με εφαρμοστέα και σχετικά χαρακτηριστικά προστασίας.

VI.2 Ομάδα αξιολόγησης από ομοτίμους

1. Η ομάδα αξιολόγησης απαρτίζεται από τουλάχιστον δύο εμπειρογνώμονες οι οποίοι επιλέγονται καθένας από διαφορετικό οργανισμό πιστοποίησης, από διαφορετικά κράτη μέλη, ο οποίος εκδίδει πιστοποιητικά «υψηλού» επιπέδου διασφάλισης. Οι εμπειρογνώμονες θα πρέπει να καταδεικνύουν τη σχετική εμπειρογνωσία στα πρότυπα που αναφέρονται στο άρθρο 3 και στα έγγραφα στάθμης της τεχνικής που εμπίπτουν στο πεδίο της αξιολόγησης από ομοτίμους.

2. Σε περίπτωση ανάθεσης της έκδοσης πιστοποιητικού ή προηγούμενης έγκρισης πιστοποιητικών όπως αναφέρεται στο άρθρο 56 παράγραφος 6 του κανονισμού (ΕΕ) 2019/881, εμπειρογνώμονας της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας που σχετίζεται με τον οικείο οργανισμό πιστοποίησης μπορεί να συμμετέχει επιπλέον στην ομάδα εμπειρογνωμόνων που επιλέγεται σύμφωνα με το σημείο 1 του παρόντος τμήματος.

3. Για αξιολόγηση από ομοτίμους τύπου 2, τα μέλη της ομάδας επιλέγονται από οργανισμούς πιστοποίησης εξουσιοδοτημένους για τον οικείο τεχνικό τομέα.

4. Κάθε μέλος της ομάδας αξιολόγησης έχει πείρα τουλάχιστον δύο ετών στην εκτέλεση δραστηριοτήτων πιστοποίησης σε οργανισμό πιστοποίησης.

5. Για αξιολόγηση από ομοτίμους τύπου 2 ή 3, κάθε μέλος της ομάδας αξιολόγησης έχει πείρα τουλάχιστον δύο ετών στην εκτέλεση δραστηριοτήτων πιστοποίησης στον σχετικό τεχνικό τομέα ή χαρακτηριστικό προστασίας και αποδεδειγμένη εμπειρογνωσία και συμμετοχή στην εξουσιοδότηση ΕΑΑΤΠ.

6. Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας η οποία παρακολουθεί και εποπτεύει τον αξιολογούμενο από ομοτίμους οργανισμό πιστοποίησης, καθώς και τουλάχιστον μία εθνική αρχή πιστοποίησης της κυβερνοασφάλειας, ο οργανισμός πιστοποίησης της οποίας δεν υπόκειται στην αξιολόγηση από ομοτίμους, συμμετέχουν στην αξιολόγηση από ομοτίμους ως παρατηρητές. Ο ENISA δύναται επίσης να συμμετέχει στην αξιολόγηση από ομοτίμους ως παρατηρητής.

7. Ο αξιολογούμενος από ομοτίμους οργανισμός πιστοποίησης ενημερώνεται για τη σύνθεση της ομάδας ομοτίμων. Σε αιτιολογημένες περιπτώσεις, μπορεί να αμφισβητήσει τη σύνθεση της ομάδας αξιολόγησης και να ζητήσει την επανεξέτασή της.

ΠΑΡΑΡΤΗΜΑ VII

Περιεχόμενο πιστοποιητικού EUCC

Το πιστοποιητικό EUCC περιέχει τουλάχιστον:

α)

μοναδικό αναγνωριστικό το οποίο θεσπίζεται από τον οργανισμό πιστοποίησης που εκδίδει το πιστοποιητικό·

β)

πληροφορίες σχετικά με το πιστοποιημένο προϊόν ΤΠΕ ή το χαρακτηριστικό προστασίας και τον κάτοχο του πιστοποιητικού, συμπεριλαμβανομένων των εξής:

επωνυμία του προϊόντος ΤΠΕ ή του χαρακτηριστικού προστασίας και, κατά περίπτωση, του στόχου αξιολόγησης·

τύπος προϊόντος ΤΠΕ ή του χαρακτηριστικού προστασίας και, κατά περίπτωση, του στόχου αξιολόγησης·

έκδοση του προϊόντος ΤΠΕ ή του χαρακτηριστικού προστασίας·

όνομα, διεύθυνση και στοιχεία επικοινωνίας του κατόχου του πιστοποιητικού·

σύνδεσμος προς τον ιστότοπο του κατόχου του πιστοποιητικού ο οποίος περιέχει τις συμπληρωματικές πληροφορίες σχετικά με την κυβερνοασφάλεια που αναφέρονται στο άρθρο 55 του κανονισμού (ΕΕ) 2019/881·

γ)

πληροφορίες σχετικά με την αξιολόγηση και την πιστοποίηση του προϊόντος ΤΠΕ ή του χαρακτηριστικού προστασίας, συμπεριλαμβανομένων των εξής:

όνομα, διεύθυνση και στοιχεία επικοινωνίας του οργανισμού πιστοποίησης που εξέδωσε το πιστοποιητικό·

σε περίπτωση που η αξιολόγηση δεν διενεργήθηκε από τον οργανισμό πιστοποίησης, επωνυμία της ΕΑΑΤΠ που διενήργησε την αξιολόγηση·

επωνυμία της αρμόδιας εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας·

παραπομπή στον παρόντα κανονισμό·

παραπομπή στην έκθεση πιστοποίησης που σχετίζεται με το πιστοποιητικό που αναφέρεται στο παράρτημα III·

το εφαρμοστέο επίπεδο διασφάλισης σύμφωνα με το άρθρο 4·

παραπομπή στην έκδοση των προτύπων που χρησιμοποιήθηκαν για την αξιολόγηση, τα οποία αναφέρονται στο άρθρο 3·

προσδιορισμός του επιπέδου διασφάλισης ή της δέσμης απαιτήσεων κατοχύρωσης της ασφάλειας που προσδιορίζονται στα πρότυπα που αναφέρονται στο άρθρο 3 και σύμφωνα με το παράρτημα VI, συμπεριλαμβανομένων των συνιστωσών διασφάλισης που χρησιμοποιήθηκαν και του καλυπτόμενου επιπέδου AVA_VAN·

όπου συντρέχει περίπτωση, παραπομπή σε ένα ή περισσότερα χαρακτηριστικά προστασίας με τα οποία συμμορφώνεται το προϊόν ΤΠΕ ή το χαρακτηριστικό προστασίας·

10)

ημερομηνία έκδοσης·

11)

περίοδος ισχύος του πιστοποιητικού·

δ)

το σήμα και η επισήμανση που σχετίζονται με το πιστοποιητικό σύμφωνα με το άρθρο 11.

ΠΑΡΑΡΤΗΜΑ VIII

Δήλωση δέσμης απαιτήσεων κατοχύρωσης της ασφάλειας

1. Αντίθετα προς τους ορισμούς που περιέχονται στα κοινά κριτήρια, η επαύξηση:

α)

δεν υποδηλώνεται με το σύμβολο «+»·

β)

περιγράφεται αναλυτικά με κατάλογο όλων των σχετικών συνιστωσών·

γ)

περιγράφεται λεπτομερώς στην έκθεση πιστοποίησης.

2. Το επίπεδο διασφάλισης που επιβεβαιώνεται σε πιστοποιητικό EUCC μπορεί να συμπληρώνεται με το επίπεδο διασφάλισης της αξιολόγησης όπως προσδιορίζεται στο άρθρο 3 του παρόντος κανονισμού.

3. Εάν το επίπεδο διασφάλισης που επιβεβαιώνεται σε πιστοποιητικό EUCC δεν παραπέμπει σε επαύξηση, το πιστοποιητικό EUCC αναφέρει μια από τις ακόλουθες δέσμες απαιτήσεων κατοχύρωσης της ασφάλειας:

α)

«τη συγκεκριμένη δέσμη απαιτήσεων κατοχύρωσης της ασφάλειας»·

β)

«τη δέσμη απαιτήσεων κατοχύρωσης της ασφάλειας που είναι σύμφωνη με χαρακτηριστικό προστασίας» σε περίπτωση παραπομπής σε χαρακτηριστικό προστασίας χωρίς επίπεδο διασφάλισης της αξιολόγησης.

ΠΑΡΑΡΤΗΜΑ IX

Σήματα και επισημάνσεις

1. Η μορφή του σήματος και της επισήμανσης:

2. Εάν το σήμα και η επισήμανση σμικρυνθούν ή μεγεθυνθούν, πρέπει να τηρούνται οι αναλογίες του σχεδίου ανωτέρω.

3. Όταν τοποθετούνται επί του προϊόντος ΤΠΕ, το σήμα και η επισήμανση έχουν ύψος τουλάχιστον 5 χιλιοστών.

( 1 ) Εκτελεστικός κανονισμός (ΕΕ) 2016/799 της Επιτροπής, της 18ης Μαρτίου 2016, σχετικά με την εφαρμογή του κανονισμού (ΕΕ) αριθ. 165/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, ο οποίος καθορίζει τις απαιτήσεις κατασκευής, δοκιμής, εγκατάστασης, λειτουργίας και επισκευής ταχογράφων και των δομικών στοιχείων τους (ΕΕ L 139 της 26.5.2016, σ. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj).

( 2 ) Κανονισμός (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Ιουλίου 2014, σχετικά με την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά και την κατάργηση της οδηγίας 1999/93/ΕΚ (ΕΕ L 257 της 28.8.2014, σ. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

( 3 ) Εκτελεστική απόφαση (ΕΕ) 2016/650 της Επιτροπής, της 25ης Απριλίου 2016, σχετικά με τον καθορισμό προτύπων για την αξιολόγηση της ασφάλειας των εγκεκριμένων διατάξεων δημιουργίας υπογραφής και σφραγίδας σύμφωνα με το άρθρο 30 παράγραφος 3 και το άρθρο 39 παράγραφος 2 του κανονισμού (ΕΕ) αριθ. 910/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την ηλεκτρονική ταυτοποίηση και τις υπηρεσίες εμπιστοσύνης για τις ηλεκτρονικές συναλλαγές στην εσωτερική αγορά (ΕΕ L 109 της 26.4.2016, σ. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).

( 4 ) Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2) (ΕΕ L 333 της 27.12.2022, σ. 80).

		Επίσημη Εφημερίδα
		αριθ.	σελίδα	ημερομηνία
►M1	ΕΚΤΕΛΕΣΤΙΚΟΣ ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2024/3144 ΤΗΣ ΕΠΙΤΡΟΠΗΣ της 18ης Δεκεμβρίου 2024	L 3144	1	19.12.2024