1.   Los productos de TIC que se presenten para su certificación se evaluarán, como mínimo, con arreglo a los siguientes aspectos:

2.   En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá solicitar abstenerse de aplicar el documento del estado de la técnica pertinente. En tales casos, el organismo de evaluación de la conformidad informará a la autoridad nacional de certificación de la ciberseguridad incluyendo una justificación debidamente motivada de su solicitud. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, la aprobará. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad notificará la excepción aprobada, sin demora indebida, al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

3.   La certificación de los productos de TIC en los niveles AVA_VAN.4 o AVA_VAN.5 solo será posible en los siguientes supuestos:

4.   Cuando un organismo de evaluación de la conformidad considere que se encuentra ante un caso excepcional y debidamente justificado a que se refiere el apartado 3, letra c), notificará la certificación prevista a la autoridad nacional de certificación de la ciberseguridad, junto con una justificación y una propuesta de metodología de evaluación. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, aprobará o modificará la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad informará, sin demora indebida, de la certificación prevista al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

5.   En el caso de aquellos productos de TIC que se evalúen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, la ITSEF que haya llevado a cabo la evaluación del producto de TIC subyacente compartirá la información pertinente con la ITSEF encargada de evaluar el producto de TIC compuesto.

1.   El solicitante de una certificación en virtud del EUCC proporcionará al organismo de certificación y a la ITSEF o pondrá a disposición de ambos por otros medios toda la información necesaria para las actividades de certificación.

2.   La información a que se refiere el apartado 1 incluirá todas las pruebas pertinentes con arreglo a las secciones de «Elementos de acción del desarrollador» en el formato adecuado según lo establecido en las secciones de «Contenido y presentación de elementos de prueba» de los criterios comunes y la metodología común de evaluación para el nivel de garantía seleccionado y los requisitos de garantía de seguridad asociados. Las pruebas contendrán, en caso necesario, información sobre el producto de TIC y su código fuente de conformidad con el presente Reglamento, con sujeción a salvaguardias contra la divulgación no autorizada.

3.   Los solicitantes de certificación podrán presentar al organismo de certificación y a la ITSEF resultados de evaluación adecuados de certificaciones anteriores en virtud:

4.   Cuando los resultados de la evaluación sean pertinentes para sus tareas, la ITSEF podrá reutilizar los resultados de evaluación siempre que estos se ajusten a los requisitos aplicables y se confirme su autenticidad.

5.   Cuando el organismo de certificación permita que un producto se certifique como producto compuesto, el solicitante de la certificación pondrá a disposición de dicho organismo y de la ITSEF todos los elementos necesarios, en su caso, con arreglo al documento del estado de la técnica pertinente.

6.   Los solicitantes de la certificación también proporcionarán al organismo de certificación y a la ITSEF la siguiente información:

7.   Toda la documentación pertinente a que se refiere el presente artículo será conservada por el organismo de certificación, la ITSEF y el solicitante durante un período de cinco años a partir de la expiración del certificado.

1.   Los organismos de certificación expedirán un certificado EUCC cuando se cumplan todas las condiciones siguientes:

2.   El solicitante de la certificación contraerá los siguientes compromisos:

3.   En el caso de aquellos productos de TIC que se certifiquen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, el organismo de certificación que haya certificado el producto de TIC subyacente compartirá la información pertinente con el organismo de certificación encargado de certificar el producto de TIC compuesto.

1.   Los certificados EUCC incluirán, como mínimo, la información prevista en el anexo VII.

2.   El ámbito de aplicación y los límites del producto de TIC certificado se especificarán de forma inequívoca en el certificado EUCC o en el informe de certificación, indicando si el producto de TIC ha sido certificado en su totalidad o solo parcialmente.

3.   El organismo de certificación proporcionará al solicitante el certificado EUCC, como mínimo, en formato electrónico.

4.   El organismo de certificación elaborará un informe de certificación de conformidad con el anexo V para cada certificado EUCC que expida. Dicho informe se basará en el informe técnico de evaluación presentado por la ITSEF. El informe técnico de evaluación y el informe de certificación indicarán los criterios y métodos de evaluación específicos a que se refiere el artículo 7 que se hayan utilizado en la evaluación.

5.   El organismo de certificación facilitará a la autoridad nacional de certificación de la ciberseguridad y a ENISA todos los certificados EUCC y todos los informes de certificación en formato electrónico.

1.   El titular de un certificado podrá colocar una marca y una etiqueta en el producto de TIC certificado. La marca y la etiqueta demuestran que el producto de TIC ha sido certificado de conformidad con el presente Reglamento. Estos elementos se colocarán con arreglo a lo dispuesto en el presente artículo y en el anexo IX.

2.   La marca y la etiqueta se colocarán en el producto de TIC certificado o en su placa descriptiva de manera visible, legible e indeleble. Cuando esto no sea posible o no pueda garantizarse debido a la naturaleza del producto, se colocará en el embalaje y en los documentos adjuntos. Cuando el producto de TIC certificado se entregue en forma de programa informático, la marca y la etiqueta figurarán de forma visible, legible e indeleble en la documentación adjunta, o esta documentación se pondrá a disposición de los usuarios de forma fácil y directa en un sitio web.

3.   La marca y la etiqueta figurarán en el anexo IX e incluirán:

4.   La marca y la etiqueta irán acompañadas de un código QR con un enlace a un sitio web que contenga, como mínimo:

1.   El organismo de certificación establecerá un período de validez para cada certificado EUCC expedido teniendo en cuenta las características del producto de TIC certificado.

2.   El período máximo de validez de un certificado EUCC será de cinco años.

3.   No obstante lo dispuesto en el apartado 2, se podrá establecer un período superior a cinco años, previa aprobación de la autoridad nacional de certificación de la ciberseguridad, que deberá notificar sin demora indebida al Grupo Europeo de Certificación de la Ciberseguridad la aprobación otorgada.

1.   A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un producto de TIC. La revisión se llevará a cabo de conformidad con el anexo IV. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del producto de TIC certificado.

2.   A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación:

3.   El organismo de certificación podrá decidir suspender, sin demora indebida, el certificado EUCC de conformidad con el artículo 30, en espera de la adopción de medidas correctoras por parte del titular del citado certificado.

1.   Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC podrá ser retirado por el organismo de certificación que lo expidió.

2.   El organismo de certificación a que se refiere el apartado 1 notificará la retirada del certificado a la autoridad nacional de certificación de la ciberseguridad. Asimismo, notificará la retirada a ENISA con el fin de facilitar el desempeño de su cometido en virtud del artículo 50 del Reglamento (UE) 2019/881. Por su parte, la autoridad nacional de certificación de la ciberseguridad informará al respecto a las demás autoridades de vigilancia del mercado pertinentes.

3.   El titular de un certificado EUCC podrá solicitar la retirada de dicho certificado.

1.   Los perfiles de protección se evaluarán, como mínimo, con arreglo a los siguientes aspectos:

2.   En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá certificar un perfil de protección sin aplicar los documentos del estado de la técnica pertinentes. En tales casos, informará a la autoridad nacional de certificación competente de la ciberseguridad y justificará la certificación prevista sin aplicar los documentos del estado de la técnica pertinentes, así como la metodología de evaluación propuesta. La autoridad nacional de certificación de la ciberseguridad evaluará si la certificación está justificada y, en caso de que así sea, aprobará que no se apliquen los documentos del estado de la técnica pertinentes y aprobará o modificará, cuando proceda, la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado para el perfil de protección. La autoridad nacional de certificación de la ciberseguridad notificará, sin demora indebida, la autorización de la no aplicación de los documentos del estado de la técnica pertinentes al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

1.   El solicitante de la certificación proporcionará al organismo de certificación y a la ITSEF toda la información necesaria, completa y correcta.

2.   Los artículos 9 y 10 se aplicarán mutatis mutandis.

3.   La ITSEF evaluará si un perfil de protección es completo, coherente, sólido desde el punto de vista técnico y eficaz para el uso previsto y con respecto a los objetivos de seguridad de la categoría de productos de TIC cubierta por dicho perfil de protección.

4.   Los perfiles de protección solo los certificará:

1.   El organismo de certificación establecerá un período de validez para cada certificado EUCC.

2.   Dicho período de validez será, como máximo, equivalente a la duración del perfil de protección de que se trate.

1.   A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un perfil de protección. La revisión se llevará a cabo con arreglo a las condiciones establecidas en el artículo 15. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del perfil de protección certificado.

2.   A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación adoptará una de las siguientes medidas:

1.   Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC relativo a un perfil de protección podrá ser retirado por el organismo de certificación que lo expidió. El artículo 14 se aplicará mutatis mutandis.

2.   La autoridad nacional de certificación de la ciberseguridad que haya aprobado dicho certificado retirará los certificados de perfil de protección expedidos de conformidad con el artículo 17, apartado 4, letra b).

1.   Sin perjuicio de lo dispuesto en el artículo 58, apartado 7, del Reglamento (UE) 2019/881, la autoridad nacional de certificación de la ciberseguridad controlará el cumplimiento:

2.   La autoridad nacional de certificación de la ciberseguridad llevará a cabo sus actividades de control basándose en particular en:

3.   La autoridad nacional de certificación de la ciberseguridad, en cooperación con otras autoridades de vigilancia del mercado, muestreará anualmente, como mínimo, el 4 % de los certificados EUCC, según determine una evaluación de riesgos. Previa solicitud y actuando en nombre de la autoridad nacional de certificación de la ciberseguridad competente, los organismos de certificación y, en caso necesario, la ITSEF asistirán a dicha autoridad en el control del cumplimiento.

4.   La autoridad nacional de certificación de la ciberseguridad seleccionará la muestra de productos de TIC certificados que se inspeccionarán en función de criterios objetivos, entre ellos:

5.   La autoridad nacional de certificación de la ciberseguridad informará a los titulares de certificados EUCC acerca de los productos de TIC seleccionados y los criterios de selección.

6.   El organismo de certificación que haya certificado el producto de TIC muestreado, previa solicitud de la autoridad nacional de certificación de la ciberseguridad, con la asistencia de la respectiva ITSEF, llevará a cabo una revisión adicional con arreglo al procedimiento establecido en el anexo IV, sección IV.2, e informará de los resultados a la autoridad nacional de certificación de la ciberseguridad.

7.   Cuando la autoridad nacional de certificación de la ciberseguridad tenga motivos suficientes para creer que un producto de TIC certificado ya no cumple el presente Reglamento o el Reglamento (UE) 2019/881, podrá llevar a cabo investigaciones o ejercer cualquier otra competencia de control prevista en el artículo 58, apartado 8, del Reglamento (UE) 2019/881.

8.   La autoridad nacional de certificación de la ciberseguridad informará al organismo de certificación y a la ITSEF correspondientes de las investigaciones en curso relativas a los productos de TIC seleccionados.

9.   Cuando la autoridad nacional de certificación de la ciberseguridad constate que una investigación en curso se refiere a productos de TIC certificados por organismos de certificación establecidos en otros Estados miembros, informará de ello a las autoridades nacionales de certificación de la ciberseguridad de los Estados miembros pertinentes con el fin de colaborar en las investigaciones, cuando proceda. Asimismo, dicha autoridad nacional de certificación de la ciberseguridad deberá notificar al Grupo Europeo de Certificación de la Ciberseguridad la realización de investigaciones transfronterizas y los resultados subsiguientes.

1.   El organismo de certificación controlará:

2.   El organismo de certificación llevará a cabo sus actividades de control basándose en:

3.   La autoridad nacional de certificación de la ciberseguridad podrá elaborar normas sobre un diálogo periódico entre los organismos de certificación y los titulares de certificados EUCC al objeto de verificar el cumplimiento de los compromisos contraídos en virtud del artículo 9, apartado 2, e informar sobre dicho cumplimiento, sin perjuicio de las actividades relacionadas con otras autoridades de vigilancia del mercado pertinentes.

1.   Los titulares de certificados EUCC llevarán a cabo las siguientes tareas para controlar la conformidad del producto de TIC certificado con sus requisitos de seguridad:

2.   Los titulares de certificados EUCC trabajarán en cooperación con el organismo de certificación, la ITSEF y, en su caso, la autoridad nacional de certificación de la ciberseguridad, para apoyar sus actividades de control.

1.   Cuando un producto de TIC certificado o un perfil de protección no sean conformes con los requisitos establecidos en el presente Reglamento y en el Reglamento (UE) 2019/881, el organismo de certificación informará al titular del certificado EUCC sobre la falta de conformidad detectada y solicitará medidas correctoras al respecto.

2.   En el supuesto de que una falta de conformidad con las disposiciones del presente Reglamento pueda afectar al cumplimiento de otra legislación pertinente de la Unión que prevea la posibilidad de demostrar la presunción de conformidad con los requisitos de dicho acto jurídico mediante el certificado EUCC, el organismo de certificación informará sin demora a la autoridad nacional de certificación de la ciberseguridad, que notificará de inmediato la falta de conformidad detectada a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

3.   Una vez recibida la información a que se refiere el apartado 1, el titular del certificado EUCC propondrá al organismo de certificación, dentro del plazo fijado por este, que no será superior a treinta días, las medidas correctoras necesarias para subsanar la falta de conformidad.

4.   El organismo de certificación podrá suspender, sin demora indebida, el certificado EUCC en virtud del artículo 30 en caso de emergencia o cuando su titular no coopere adecuadamente con el organismo de certificación.

5.   El organismo de certificación llevará a cabo una revisión en virtud de los artículos 13 y 19 con el fin de determinar si las medidas correctoras subsanan la falta de conformidad.

6.   Cuando el titular del certificado EUCC no proponga medidas correctoras adecuadas durante el período a que se refiere el apartado 3, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con los artículos 14 o 20.

7.   El presente artículo no se aplicará a los casos de vulnerabilidades que afecten a un producto de TIC certificado, que se tratarán con arreglo a lo dispuesto en el capítulo VI.

1.   Cuando el organismo de certificación constate que:

2.   Cuando el titular de un certificado EUCC no proponga medidas correctoras adecuadas durante el plazo a que se refiere el apartado 1, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con el artículo 14 y artículo 20.

3.   La infracción continuada o recurrente por parte del titular de un certificado EUCC de las obligaciones que le incumben en virtud del apartado 1 dará lugar a la retirada de dicho certificado de conformidad con los artículos 14 o 20.

4.   El organismo de certificación informará a la autoridad nacional de certificación de la ciberseguridad de las constataciones a que se refiere el apartado 1. Cuando el caso de incumplimiento afecte al cumplimiento de otra legislación pertinente de la Unión, la autoridad nacional de certificación de la ciberseguridad notificará de inmediato el caso de incumplimiento detectado a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

1.   Cuando el presente Reglamento se refiera a la suspensión de un certificado EUCC, el organismo de certificación procederá a suspender dicho certificado durante un período adecuado a las circunstancias que hayan dado lugar a la suspensión, que no será superior a cuarenta y dos días. El período de suspensión comenzará al día siguiente de la decisión del organismo de certificación. La suspensión no afectará a la validez del certificado.

2.   El organismo de certificación notificará la suspensión al titular del certificado y a la autoridad nacional de certificación de la ciberseguridad sin demora indebida y expondrá los motivos de su decisión, las medidas solicitadas que deben adoptarse y el período de suspensión.

3.   Los titulares de la certificación comunicarán a los compradores de los productos de TIC afectados la suspensión y los motivos aducidos al respecto por el organismo de certificación, excepto aquellas partes de los motivos que contengan información delicada o cuya divulgación suponga un riesgo para la seguridad. El titular del certificado también pondrá esta información a disposición del público.

4.   Cuando otra legislación pertinente de la Unión establezca una presunción de conformidad basada en los certificados expedidos en virtud de las disposiciones del presente Reglamento, la autoridad nacional de certificación de la ciberseguridad informará de la suspensión a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

5.   La suspensión de un certificado se notificará a ENISA de conformidad con el artículo 42, apartado 3.

6.   En casos debidamente justificados, la autoridad nacional de certificación de la ciberseguridad podrá autorizar una prórroga del período de suspensión de un certificado EUCC. El período total de suspensión no podrá ser superior a un año.

1.   Cuando un organismo de certificación incumpla sus obligaciones, o el organismo de certificación pertinente detecte un incumplimiento por parte de una ITSEF, la autoridad nacional de certificación de la ciberseguridad deberá, sin demora indebida:

2.   A partir de las medidas a que se refiere el apartado 1, el organismo de certificación adoptará una de las siguientes decisiones con respecto a cada certificado EUCC afectado:

3.   Asimismo, a partir de las medidas a que se refiere el apartado 1, la autoridad nacional de certificación de la ciberseguridad deberá:

1.   El titular de un certificado EUCC establecerá y mantendrá todos los procedimientos necesarios de gestión de vulnerabilidades con arreglo a las normas previstas en la presente sección y, en su caso, complementados por los procedimientos establecidos en la norma EN ISO/IEC 30111.

2.   El titular de un certificado EUCC mantendrá y publicará métodos adecuados para recibir información sobre vulnerabilidades relacionadas con sus productos de fuentes externas, en particular de usuarios, organismos de certificación e investigadores en materia de seguridad.

3.   Cuando un titular de un certificado EUCC detecte o reciba información sobre una posible vulnerabilidad que afecte a un producto de TIC certificado, la registrará y llevará a cabo un análisis del impacto de la vulnerabilidad.

4.   Cuando una posible vulnerabilidad afecte a un producto compuesto, el titular del certificado EUCC informará de esa posible vulnerabilidad al titular de los certificados EUCC dependientes.

5.   En respuesta a una solicitud razonable por parte del organismo de certificación que haya expedido el certificado, el titular de un certificado EUCC le transmitirá toda la información pertinente sobre posibles vulnerabilidades.

1.   El análisis del impacto de la vulnerabilidad se referirá al objetivo de la evaluación y a las declaraciones de garantía contenidas en el certificado. El análisis del impacto de la vulnerabilidad se llevará a cabo en un plazo adecuado en función de en qué medida es aprovechable y grave la posible vulnerabilidad del producto de TIC certificado.

2.   Cuando proceda, se calculará el potencial de ataque con arreglo a la metodología pertinente prevista en las normas a que se refiere el artículo 3 y los documentos del estado de la técnica pertinentes enumerados en el anexo I, con el fin de determinar en qué medida es aprovechable la vulnerabilidad. A tal efecto, se tendrá en cuenta el nivel AVA_VAN del certificado EUCC.

1.   El titular elaborará un informe del análisis del impacto de la vulnerabilidad cuando en este se revele que la vulnerabilidad puede repercutir en la conformidad del producto de TIC con su certificado.

2.   El informe de la evaluación de impacto de la vulnerabilidad contendrá un análisis de los siguientes elementos:

3.   El informe de la evaluación de impacto de la vulnerabilidad contendrá, en su caso, información sobre las maneras en que puede aprovecharse la vulnerabilidad. Dicha información se tratará con arreglo a las medidas de seguridad adecuadas para proteger su confidencialidad y garantizar, en caso necesario, su limitada difusión.

4.   El titular del certificado EUCC transmitirá sin demora indebida un informe del análisis del impacto de la vulnerabilidad al organismo de certificación o a la autoridad nacional de certificación de la ciberseguridad de conformidad con el artículo 56, apartado 8, del Reglamento (UE) 2019/881.

5.   Si el informe del análisis del impacto de la vulnerabilidad determina que la vulnerabilidad no es residual en el sentido de las normas a las que se refiere el artículo 3 y que puede subsanarse, se aplicará el artículo 36.

6.   Si el informe del análisis del impacto de la vulnerabilidad aprobado por el organismo de certificación determina que no puede subsanarse la vulnerabilidad, se procederá a retirar el certificado EUCC de conformidad con el artículo 14.

7.   El titular del certificado EUCC supervisará cualquier vulnerabilidad residual para garantizar que no pueda aprovecharse en caso de que se produzcan cambios en el entorno operativo.

1.   La información facilitada por el organismo de certificación a la autoridad nacional de certificación de la ciberseguridad incluirá todos los elementos necesarios para que la autoridad nacional de certificación de la ciberseguridad conozca el impacto de la vulnerabilidad, las modificaciones que deben introducirse en el producto de TIC y, en su caso, cualquier información del organismo de certificación sobre las repercusiones más amplias que la vulnerabilidad puede tener en otros productos de TIC certificados.

2.   La información facilitada en virtud del apartado 1 no contendrá datos sobre las maneras de aprovechar la vulnerabilidad. Esta disposición se entiende sin perjuicio de las competencias de investigación de la autoridad nacional de certificación de la ciberseguridad.

1.   La autoridad nacional de certificación de la ciberseguridad compartirá la información pertinente recibida en virtud del artículo 37 con otras autoridades nacionales de certificación de la ciberseguridad y ENISA.

2.   Otras autoridades nacionales de certificación de la ciberseguridad podrán decidir seguir analizando la vulnerabilidad o, tras informar al titular del certificado EUCC, solicitar a los organismos de certificación pertinentes que determinen si la vulnerabilidad puede afectar a otros productos de TIC certificados.