02024R0482 — ET — 08.01.2025 — 001.001

Käesolev tekst on üksnes dokumenteerimisvahend ning sel ei ole mingit õiguslikku mõju. Liidu institutsioonid ei vastuta selle teksti sisu eest. Asjakohaste õigusaktide autentsed versioonid, sealhulgas nende preambulid, on avaldatud Euroopa Liidu Teatajas ning on kättesaadavad EUR-Lexi veebisaidil. Need ametlikud tekstid on vahetult kättesaadavad käesolevasse dokumenti lisatud linkide kaudu

►B

KOMISJONI RAKENDUSMÄÄRUS (EL) 2024/482,

31. jaanuar 2024,

millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 rakenduseeskirjad seoses Euroopa ühiskriteeriumidel põhineva küberturvalisuse sertifitseerimise kava (EUCC) vastuvõtmisega

(EMPs kohaldatav tekst)

(ELT L 482 7.2.2024, lk 1)

Muudetud:

 

 

Euroopa Liidu Teataja

  nr

lehekülg

kuupäev

►M1

KOMISJONI RAKENDUSMÄÄRUS (EL) 2024/3144,  18. detsember 2024,

  L 3144

1

19.12.2024



▼B

KOMISJONI RAKENDUSMÄÄRUS (EL) 2024/482,

31. jaanuar 2024,

millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 rakenduseeskirjad seoses Euroopa ühiskriteeriumidel põhineva küberturvalisuse sertifitseerimise kava (EUCC) vastuvõtmisega

(EMPs kohaldatav tekst)



I PEATÜKK

ÜLDSÄTTED

Artikkel 1

Reguleerimisese ja kohaldamisala

Käesoleva määrusega kehtestatakse Euroopa ühiskriteeriumidel põhinev küberturvalisuse sertifitseerimise kava (EUCC).

Käesolevat määrust kohaldatakse kõigi info- ja kommunikatsioonitehnoloogiatoodete (edaspidi „IKT-toode“), sealhulgas nende toodete dokumentide suhtes, mis esitatakse sertifitseerimiseks EUCC alusel, ning kõigi kaitseprofiilide suhtes, mis esitatakse sertifitseerimiseks IKT-toodete sertifitseerimisega päädiva IKT-protsessi osana.

Artikkel 2

Mõisted

Käesolevas määruses kasutatakse järgmisi mõisteid:

▼M1

1) 

„Ühiskriteeriumid“ – infotehnoloogia turvalisuse hindamise ühiskriteeriumid, nagu on esitatud standardites ISO/IEC 15408–1:2022, ISO/IEC 15408–2:2022, ISO/IEC 15408–3:2022, ISO/IEC 15408–4:2022 või ISO/IEC 15408–5:2022 või infotehnoloogia turvalisuse hindamise ühiskriteeriumide versiooni CC:2022 1.–5. osas, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised;

2) 

„ühine hindamismetoodika“ – infotehnoloogia turvalisuse hindamise ühine metoodika, nagu on esitatud standardis ISO/IEC 18045:2022, või infotehnoloogia turvalisuse hindamise ühise metoodika versioon CEM:2022, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised;

▼B

3) 

„hindamisobjekt“ – IKT-toode või selle osa või kaitseprofiil IKT-protsessi osana, mis EUCC sertifikaadi saamiseks läbib küberturvalisuse hindamise;

4) 

„turvasiht“ – konkreetse IKT-toote puhul rakendamisest sõltuvate turvanõuete kirjeldus;

5) 

„kaitseprofiil“ – IKT-protsess, millega nähakse ette konkreetse IKT-tootekategooria turvanõuded ja mis käsitleb rakendamisest sõltumatuid turvavajadusi ning mida võib kasutada sellesse konkreetsesse kategooriasse kuuluvate IKT-toodete hindamiseks nende sertifitseerimise eesmärgil;

6) 

„hindamise tehniline aruanne“ – infotehnoloogia turvalisuse hindamise üksuse koostatud dokument, milles esitatakse IKT-toote või kaitseprofiili käesolevas määruses kindlaks määratud eeskirjade ja kohustuste kohase hindamise käigus tehtud tähelepanekud, otsused ja põhjendused;

7) 

„infotehnoloogia turvalisuse hindamise üksus“ – määruse (EÜ) nr 765/2008 artikli 2 punktis 13 määratletud vastavushindamisasutus, mis täidab hindamisülesandeid;

8) 

„AVA_VAN-tase“ – usaldusväärsusega seotud turvanõrkuse analüüsi tase, mis näitab, millises ulatuses on tehtud küberturvalisuse hindamise toiminguid, et teha kindlaks, kui suur on vastupanuvõime hindamisobjekti puuduste või nõrkuste võimaliku ärakasutamise suhtes hindamisobjekti rakenduskeskkonnas, nagu on esitatud ühiskriteeriumides;

9) 

„EUCC sertifikaat“ – EUCC kohane IKT-toodete või üksnes IKT-protsessis IKT-toodete sertifitseerimiseks kasutatavate kaitseprofiilide küberturvalisuse sertifikaat;

10) 

„liittoode“ – IKT-toode, mida hinnatakse koos teise, aluseks oleva IKT-tootega, mis on juba saanud EUCC sertifikaadi ja mille turvafunktsioonidest IKT-liittoode sõltub;

11) 

„riiklik küberturvalisuse sertifitseerimise asutus“ – asutus, mille liikmesriik on määranud vastavalt määruse (EL) 2019/881 artikli 58 lõikele 1;

12) 

„sertifitseerimisasutus“ – määruse (EÜ) nr 765/2008 artikli 2 punktis 13 määratletud vastavushindamisasutus, mis teeb sertifitseerimistoiminguid;

13) 

„tehniline valdkond“ – ühine tehniline raamistik, mis on seotud ühtlustatud sertifitseerimise konkreetse tehnoloogiaga, mis hõlmab iseloomulike turvanõuete kogumit;

14) 

„tehnika taset käsitlev dokument“ – dokument, milles kirjeldatakse hindamismeetodeid, -tehnikaid ja -vahendeid, mida rakendatakse IKT-toodete sertifitseerimisel, või üldise IKT-tootekategooria turvanõudeid või muid sertifitseerimiseks vajalikke nõudeid, et ühtlustada eeskätt tehniliste valdkondade või kaitseprofiilide hindamist;

15) 

„turujärelevalveasutus“ – määruse (EL) 2019/1020 artikli 3 punktis 4 määratletud asutus.

▼M1

Artikkel 3

Hindamisstandardid

1.  

EUCC kohaselt tehtavate hindamiste suhtes kohaldatakse järgmisi standardeid:

a) 

ühiskriteeriumid;

b) 

ühine hindamismetoodika.

2.  

Kuni 31. detsembrini 2027 võib sertifikaadi välja anda EUCC alusel, kohaldades üht kahest järgmisest standardist:

a) 

ISO/IEC 15408–1:2009, ISO/IEC 15408–2:2008 või ISO/IEC 15408–3:2008;

b) 

infotehnoloogia turvalisuse hindamise ühiskriteeriumid, versioon 3.1, 5. läbivaatamine, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised;

c) 

ISO/IEC 18045:2008;

d) 

infotehnoloogia turvalisuse hindamise ühine metoodika, 5. läbivaatamine, versioon 3.1, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised.

3.  
Kuni 31. detsembrini 2027 võib EUCC alusel anda lõikes 1 osutatud standardeid kohaldades välja sertifikaadi, milles väidetakse vastavust kaitseprofiilile, mille puhul on kohaldatud lõikes 2 loetletud standardeid.
4.  

EUCC alusel võib lõikes 1 osutatud standardeid kohaldades välja anda ka sertifikaadi, milles väidetakse vastavust kaitseprofiilile, mille puhul on kohaldatud üht kahest järgmisest standardist, tingimusel et sellise kaitseprofiili kasutamine on nõutav vastavalt komisjoni rakendusmäärusele (EL) 2016/799, ( 1 ) Euroopa Parlamendi ja nõukogu määrusele (EL) nr 910/2014 ( 2 ) või komisjoni rakendusotsusele (EL) 2016/650 ( 3 ):

a) 

infotehnoloogia turvalisuse hindamise ühiskriteeriumid, versioon 3.1, 1.–4. läbivaatamine, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised;

b) 

infotehnoloogia turvalisuse hindamise ühine metoodika, versioon 3.1, 1.–4. läbivaatamine, mille on avaldanud IT-turbe valdkonna ühiskriteeriumide sertifikaatide tunnustamise kokkuleppe osalised.

▼B

Artikkel 4

Usaldusväärsuse tasemed

1.  
Sertifitseerimisasutus annab välja usaldusväärsuse märkimisväärse või kõrge tasemega EUCC sertifikaate.
2.  
Usaldusväärsuse märkimisväärse tasemega EUCC sertifikaadid vastavad tasemega AVA_VAN.1 või AVA_VAN.2 sertifikaatidele.
3.  
Usaldusväärsuse kõrge tasemega EUCC sertifikaadid vastavad tasemega AVA_VAN.3, AVA_VAN.4 või AVA_VAN.5 sertifikaatidele.
4.  
EUCC sertifikaadis kinnitatud usaldusväärsuse taseme puhul eristatakse kooskõlas VIII lisaga ühiskriteeriumides kindlaks määratud usaldusväärsuse komponentide nõuetekohast ja laiendatud kasutust.
5.  
Vastavushindamisasutused rakendavad neid usaldusväärsuse komponente, millest sõltub valitud AVA_VAN-tase, kooskõlas artiklis 3 osutatud standarditega.

Artikkel 5

IKT-toodete sertifitseerimise meetodid

1.  

IKT-toote sertifitseerimine toimub selle turvasihi alusel,

a) 

nagu taotleja on määratlenud või

▼M1

b) 

mida väidetakse IKT-protsessi osana sertifitseeritud kaitseprofiilile vastavaks, kui IKT-toode kuulub selle kaitseprofiiliga hõlmatud IKT-tootekategooriasse.

▼B

2.  
Kaitseprofiilid sertifitseeritakse üksnes selleks, et sertifitseerida IKT-tooteid, mis kuuluvad konkreetsesse kaitseprofiiliga hõlmatud IKT-tootekategooriasse.

Artikkel 6

Vastavuse enesehindamine

Vastavuse enesehindamine määruse (EL) 2019/881 artikli 53 tähenduses ei ole lubatud.

II PEATÜKK

IKT-TOODETE SERTIFITSEERIMINE

I JAGU

Hindamise eristandardid ja -nõuded

Artikkel 7

IKT-toodete hindamise kriteeriumid ja meetodid

1.  

Sertifitseerimiseks esitatud IKT-toodet hinnatakse kooskõlas vähemalt järgmisega:

a) 

artiklis 3 osutatud standardite kohaldatavad elemendid;

b) 

turvalisuse usaldusväärsuse nõuete klassid turvanõrkuste hindamiseks ja sõltumatu funktsionaaltestimine, nagu on esitatud artiklis 3 osutatud hindamisstandardites;

c) 

asjaomaste IKT-toodete ettenähtud kasutamisega seotud riski tase vastavalt määruse (EL) 2019/881 artiklile 52 ja nende toodete turvafunktsioonid, mis toetavad määruse (EL) 2019/881 artiklis 51 kindlaks määratud turvaeesmärke;

d) 

I lisas loetletud tehnika taset käsitlevad dokumendid ja

e) 

II lisas loetletud kohaldatavad sertifitseeritud kaitseprofiilid.

2.  
Nõuetekohaselt põhjendatud erandjuhtudel võib vastavushindamisasutus taotleda asjakohaste tehnika taset käsitlevate dokumentide kohaldamisest loobumist. Sellistel juhtudel teavitab vastavushindamisasutus riiklik küberturvalisuse sertifitseerimise asutust ja põhjendab oma taotlust nõuetekohaselt. Riiklik küberturvalisuse sertifitseerimise asutus hindab erandi põhjendatust ja kiidab taotluse heaks, kui see on põhjendatud. Vastavushindamisasutus ei anna välja ühtegi sertifikaati enne, kui riiklik küberturvalisuse sertifitseerimise asutus teeb oma otsuse. Riiklik küberturvalisuse sertifitseerimise asutus teatab heakskiidetud erandist põhjendamatu viivituseta Euroopa küberturvalisuse sertifitseerimise rühmale, kes võib esitada arvamuse. Riiklik küberturvalisuse sertifitseerimise asutus võtab Euroopa küberturvalisuse sertifitseerimise rühma arvamust igati arvesse.
3.  

IKT-toodete sertifitseerimine tasemel AVA_VAN.4 või AVA_VAN.5 on võimalik ainult järgmiste stsenaariumide korral:

a) 

kui IKT-toode kuulub mõnda I lisas loetletud tehnilisse valdkonda, hinnatakse seda vastavalt nende tehniliste valdkondade kohaldatavatele tehnika taset käsitlevatele dokumentidele,

b) 

kui IKT-toode kuulub sellise sertifitseeritud kaitseprofiiliga hõlmatud IKT-tootekategooriasse, mis hõlmab taset AVA_VAN.4 või AVA_VAN.5 ja mis on loetletud II lisas tehnika taset käsitleva dokumendina, hinnatakse seda selle kaitseprofiili jaoks ettenähtud hindamismetoodika kohaselt,

c) 

kui käesoleva lõike punkte a ja b ei kohaldata ja kui lähitulevikus on tehnilise valdkonna lisamine I lisasse või sertifitseeritud kaitseprofiili lisamine II lisasse ebatõenäoline ning üksnes nõuetekohaselt põhjendatud erandjuhtudel, lõikes 4 sätestatud tingimustel.

4.  
Kui vastavushindamisasutus leiab, et tema puhul on tegemist lõike 3 punktis c osutatud nõuetekohaselt põhjendatud erandjuhuga, teatab ta kavandatud sertifitseerimisest riiklikule küberturvalisuse sertifitseerimise asutusele ning esitab põhjendused ja kavandatud hindamismetoodika. Riiklik küberturvalisuse sertifitseerimise asutus hindab erandi põhjendatust, ja kui see on põhjendatud, kiidab heaks vastavushindamisasutuse kohaldatava hindamismetoodika või muudab seda. Vastavushindamisasutus ei anna välja ühtegi sertifikaati enne, kui riiklik küberturvalisuse sertifitseerimise asutus teeb oma otsuse. Riiklik küberturvalisuse sertifitseerimise asutus teatab kavandatud sertifitseerimisest põhjendamatu viivituseta Euroopa küberturvalisuse sertifitseerimise rühmale, kes võib esitada arvamuse. Riiklik küberturvalisuse sertifitseerimise asutus võtab Euroopa küberturvalisuse sertifitseerimise rühma arvamust igati arvesse.
5.  
Kui IKT-toote puhul tehakse liittoote hindamine vastavalt asjakohastele tehnika taset käsitlevatele dokumentidele, jagab selle aluseks olevat IKT-toodet hinnanud infotehnoloogia turvalisuse hindamise üksus asjakohast teavet IKT-liittoodet hindava infotehnoloogia turvalisuse hindamise üksusega.

II JAGU

EUCC Sertifikaatide väljaandmine, uuendamine ja kehtetuks tunnistamine

Artikkel 8

▼M1

Sertifitseerimiseks ja hindamiseks vajalik teave

1.  
EUCC kohase sertifitseerimise taotleja esitab sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele kogu sertifitseerimis- ja hindamistoiminguteks vajaliku teabe või teeb selle muul viisil kättesaadavaks.

▼B

2.  
Lõikes 1 osutatud teave peab sisaldama sobivas vormingus kõiki asjakohaseid tõendeid valitud usaldusväärsuse taseme ja sellega seotud turvalisuse usaldusväärsuse nõuete kohta vastavalt arendaja tegevuselemente käsitlevatele jaotistele, nagu on ette nähtud ühiskriteeriumide ja ühise hindamismetoodika jaotises tõendava elemendi sisu ja esitamise kohta. Tõendid sisaldavad vajaduse korral üksikasju IKT-toote ja selle lähtekoodi kohta kooskõlas käesoleva määrusega ning nende suhtes kohaldatakse loata avalikustamise vastaseid kaitsemeetmeid.
3.  

Sertifitseerimise taotlejad võivad esitada sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele varasema sertifitseerimise hindamiste asjakohased tulemused vastavalt:

a) 

käesolevale määrusele,

b) 

muule määruse (EL) 2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kavale,

c) 

käesoleva määruse artiklis 49 osutatud riiklikule kavale.

4.  
Kui hindamistulemused on infotehnoloogia turvalisuse hindamise üksuse ülesannete seisukohast asjakohased, võib üksus hindamistulemusi taaskasutada, tingimusel et need tulemused vastavad kohaldatavatele nõuetele ja nende autentsus on kinnitatud.
5.  
Kui sertifitseerimisasutus lubab toote sertifitseerida liittootena, teeb sertifitseerimise taotleja sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele vajaduse korral kättesaadavaks kõik vajalikud elemendid kooskõlas tehnika taset käsitleva dokumendiga.
6.  

Samuti esitavad sertifitseerimise taotlejad sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele järgmise teabe:

a) 

link oma veebisaidile, mis sisaldab määruse (EL) 2019/881 artiklis 55 osutatud täiendavat küberturvalisuse alast teavet;

b) 

taotleja turvanõrkuste haldamise ja avalikustamise menetluste kirjeldus.

7.  
Sertifitseerimisasutus, infotehnoloogia turvalisuse hindamise üksus ja taotleja säilitavad kõiki käesolevas artiklis osutatud asjakohaseid dokumente viis aastat pärast sertifikaadi kehtivusaja lõppu.

Artikkel 9

EUCC sertifikaadi väljaandmise tingimused

1.  

Sertifitseerimisasutused annavad välja EUCC sertifikaadi, kui on täidetud kõik järgmised tingimused:

a) 

IKT-tootekategooria kuulub sertifitseerimises osaleva sertifitseerimisasutuse ja infotehnoloogia turvalisuse hindamise üksuse akrediteerimisalasse ja asjakohasel juhul loa kohaldamisalasse;

b) 

sertifitseerimise taotleja on allkirjastanud avalduse kõigi lõikes 2 loetletud kohustuste võtmise kohta;

c) 

infotehnoloogia turvalisuse hindamise üksus on kooskõlas artiklites 3 ja 7 osutatud hindamisstandardite, -kriteeriumide ja -meetoditega lõpetanud hindamise vastuväiteid esitamata;

d) 

sertifitseerimisasutus on lõpetanud hindamistulemuste läbivaatamise vastuväiteid esitamata;

e) 

sertifitseerimisasutus on kontrollinud, et infotehnoloogia turvalisuse hindamise üksuse esitatud hindamise tehnilised aruanded vastavad esitatud tõenditele ning artiklites 3 ja 7 osutatud hindamisstandardeid, -kriteeriume ja -meetodeid on õigesti kohaldatud.

2.  

Sertifitseerimise taotleja võtab järgmised kohustused:

a) 

anda sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele kogu vajalik teave, mis on täielik ja õige, ning esitada taotluse korral vajalikku lisateavet;

b) 

mitte propageerida IKT-toodet Euroopa ühiskriteeriumidel põhineva küberturvalisuse sertifitseerimise kava kohaselt sertifitseerituna, enne kui on välja antud EUCC sertifikaat;

c) 

propageerida IKT-toodet sertifitseeritud tootena üksnes EUCC sertifikaadis kindlaksmääratud kohaldamisala ulatuses;

d) 

lõpetada viivitamata IKT-toote propageerimine sertifitseeritud tootena, kui EUCC sertifikaat peatatakse, tunnistatakse kehtetuks või selle kehtivusaeg lõpeb;

e) 

tagada, et need IKT-tooted, mida müüakse viitega EUCC sertifikaadile, on rangelt identsed sertifitseerimisele kuuluva IKT-tootega;

f) 

järgida EUCC sertifikaadi jaoks kehtestatud märgise ja sildi kasutamise eeskirju kooskõlas artikliga 11.

3.  
Kui IKT-toote puhul tehakse liittoote sertifitseerimine vastavalt asjakohastele tehnika taset käsitlevatele dokumentidele, jagab selle aluseks olevat IKT-toodet sertifitseerinud sertifitseerimisasutus asjakohast teavet IKT-liittoodet sertifitseeriva sertifitseerimisasutusega.

Artikkel 10

EUCC sertifikaadi sisu ja vorming

1.  
EUCC sertifikaat peab sisaldama vähemalt teavet, mis on ette nähtud VII lisas.
2.  
Sertifitseeritud IKT-toote rakendusulatus ja piirid määratakse ühetähenduslikult kindlaks EUCC sertifikaadis või sertifitseerimisaruandes, märkides, kas sertifitseeritud on kogu IKT-toode või ainult selle osad.
3.  
Sertifitseerimisasutus esitab taotlejale EUCC sertifikaadi vähemalt elektroonilisel kujul.
4.  
Sertifitseerimisasutus koostab V lisa kohase sertifitseerimisaruande iga EUCC sertifikaadi kohta, mille ta välja annab. Sertifitseerimisaruanne põhineb hindamise tehnilisel aruandel, mille annab välja infotehnoloogia turvalisuse hindamise üksus. Hindamise tehnilises aruandes ja sertifitseerimisaruandes esitatakse artiklis 7 osutatud ning hindamiseks kasutatud konkreetsed hindamiskriteeriumid ja -meetodid.
5.  
Sertifitseerimisasutus esitab riiklikule küberturvalisuse sertifitseerimise asutusele ja ENISA-le kõik EUCC sertifikaadid ja kõik sertifitseerimisaruanded elektroonilisel kujul.

Artikkel 11

Märgis ja silt

1.  
Sertifikaadi omanik võib kinnitada sertifitseeritud IKT-tootele märgise ja sildi. Märgis ja silt näitavad, et IKT-toode on sertifitseeritud vastavalt käesolevale määrusele. Märgis ja silt kinnitatakse vastavalt käesolevale artiklile ja IX lisale.
2.  
Märgis ja silt kinnitatakse IKT-tootele või selle andmesildile nii, et need on nähtavad, loetavad ja kustumatud. Kui see ei ole toote laadist tingituna võimalik või otstarbekas, kinnitatakse märgis ja silt pakendile ning tootega kaasasolevatele dokumentidele. Kui sertifitseeritud IKT-toode tarnitakse tarkvara kujul, esitatakse märgis ja silt tootega kaasas olevates dokumentides nii, et need on nähtavad, loetavad ja kustumatud, või tehakse need dokumendid kasutajatele hõlpsalt ja otse kättesaadavaks veebisaidi kaudu.
3.  

IX lisas esitatud märgis ja silt sisaldavad järgmist teavet:

a) 

sertifitseeritud IKT-toote usaldusväärsuse ja AVA_VAN tase;

b) 

sertifikaadi kordumatu tunnus, mis koosneb järgmisest:

1) 

kava nimi;

2) 

sertifikaadi välja andnud sertifitseerimisasutuse nimi ja akrediteeringu viitenumber;

3) 

väljaandmise aasta ja kuu;

4) 

sertifikaadi välja andnud sertifitseerimisasutuse määratud identifitseerimisnumber.

4.  

Märgisele ja sildile peab olema lisatud ruutkood lingiga veebisaidile, mis sisaldab vähemalt järgmist teavet:

a) 

teave sertifikaadi kehtivuse kohta,

b) 

V ja VII lisas ettenähtud vajalik sertifitseerimisteave,

c) 

teave, mille sertifikaadi omanik peab tegema avalikkusele kättesaadavaks vastavalt määruse (EL) 2019/881 artiklile 55, ning

d) 

jälgitavuse võimaldamiseks vajaduse korral varasem teave IKT-toote konkreetse(te) sertifitseerimis(t)e kohta.

Artikkel 12

EUCC sertifikaadi kehtivusaeg

1.  
Sertifitseerimisasutus määrab iga välja antud EUCC sertifikaadi kehtivusaja, võttes arvesse sertifitseeritud IKT-toote omadusi.
2.  
EUCC sertifikaadi kehtivusaeg ei ole pikem kui viis aastat.
3.  
Erandina lõikest 2 võib kehtivusaeg olla pikem kui viis aastat, kui riiklik küberturvalisuse sertifitseerimise asutus on selle eelnevalt heaks kiitnud. Riiklik küberturvalisuse sertifitseerimise asutus teatab Euroopa küberturvalisuse sertifitseerimise rühmale heakskiidu andmisest põhjendamatu viivituseta.

Artikkel 13

EUCC sertifikaadi läbivaatamine

1.  
Sertifikaadi omaniku taotlusel või muul õigustatud põhjusel võib sertifitseerimisasutus otsustada IKT-toote EUCC sertifikaadi läbi vaadata. Läbivaatamine toimub IV lisa kohaselt. Sertifitseerimisasutus määrab kindlaks läbivaatamise ulatuse. Kui see on läbivaatamiseks vajalik, taotleb sertifitseerimisasutus infotehnoloogia turvalisuse hindamise üksuselt sertifitseeritud IKT-toote ümberhindamist.
2.  

Pärast läbivaatamise ja vajaduse korral ümberhindamise tulemuste saamist teeb sertifitseerimisasutus järgmist:

a) 

kinnitab EUCC sertifikaadi;

b) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 14;

c) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 14 ning annab välja uue, sama kohaldamisalaga ja pikendatud kehtivusajaga EUCC sertifikaadi või

d) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 14 ja annab välja uue, teistsuguse kohaldamisalaga EUCC sertifikaadi.

3.  
Sertifitseerimisasutus võib otsustada EUCC sertifikaadi põhjendamatu viivituseta peatada vastavalt artiklile 30 kuni selle sertifikaadi omanik võtab parandusmeetmed.

Artikkel 14

EUCC sertifikaadi kehtetuks tunnistamine

1.  
Ilma et see piiraks määruse (EL) 2019/881 artikli 58 lõike 8 punkti e kohaldamist, tunnistab EUCC sertifikaadi kehtetuks sertifitseerimisasutus, kes selle sertifikaadi välja andis.
2.  
Lõikes 1 osutatud sertifitseerimisasutus teatab riiklikule küberturvalisuse sertifitseerimise asutusele sertifikaadi kehtetuks tunnistamisest. Samuti teatab ta sellisest kehtetuks tunnistamisest ENISA-le, et hõlbustada ENISA-l määruse (EL) 2019/881 artikli 50 kohase ülesande täitmist. Riiklik küberturvalisuse sertifitseerimise asutus teatab teistele asjaomastele turujärelevalveasutustele.
3.  
EUCC sertifikaadi kehtetuks tunnistamist võib taotleda sertifikaadi omanik.

III PEATÜKK

KAITSEPROFIILIDE SERTIFITSEERIMINE

I JAGU

Hindamise eristandardid ja -nõuded

Artikkel 15

Hindamiskriteeriumid ja -meetodid

1.  

Kaitseprofiili hinnatakse vähemalt järgmiste kriteeriumide alusel:

a) 

artiklis 3 osutatud standardite kohaldatavad elemendid;

b) 

asjaomaste IKT-toodete ettenähtud kasutamisega seotud riski tase vastavalt määruse (EL) 2019/881 artiklile 52 ja nende toodete turvafunktsioonid, mis toetavad selle artiklis 51 kindlaks määratud turvaeesmärke; ja

c) 

I lisas loetletud tehnika taset käsitlevad dokumendid. Tehnilise valdkonnaga hõlmatud kaitseprofiil sertifitseeritakse vastavalt kõnealuses tehnilises valdkonnas kindlaks määratud nõuetele.

2.  
Nõuetekohaselt põhjendatud erandjuhtudel võib vastavushindamisasutus kaitseprofiili sertifitseerida ilma asjakohaseid tehnika taset käsitlevaid dokumente kohaldamata. Sellistel juhtudel teavitab ta pädevat riiklikku küberturvalisuse sertifitseerimise asutust ja põhjendab, miks on kavas sertifitseerida ilma asjakohaseid tehnika taset käsitlevaid dokumente kohaldamata, ning esitab kavandatud hindamismetoodika. Riiklik küberturvalisuse sertifitseerimise asutus hindab põhjendusi ja kui see on põhjendatud, kiidab asjaomaste tehnika taset käsitlevate dokumentide kohaldamata jätmise heaks ning, kui vajalik, siis kiidab heaks vastavushindamisasutuse kohaldatava hindamismetoodika või muudab seda. Vastavushindamisasutus ei anna kaitseprofiili kohta välja ühtegi sertifikaati enne, kui riiklik küberturvalisuse sertifitseerimise asutus teeb oma otsuse. Riiklik küberturvalisuse sertifitseerimise asutus teatab Euroopa küberturvalisuse sertifitseerimise rühmale põhjendamatu viivituseta, et on lubatud jätta asjaomased tehnika taset käsitlevad dokumendid kohaldamata, ning rühm võib esitada arvamuse. Riiklik küberturvalisuse sertifitseerimise asutus võtab Euroopa küberturvalisuse sertifitseerimise rühma arvamust igati arvesse.

II JAGU

EUCC Sertifikaadi väljaandmine kaitseprofiilile, selle sertifikaadi uuendamine ja kehtetuks tunnistamine

▼M1

Artikkel 16

Kaitseprofiili sertifitseerimiseks ja hindamiseks vajalik teave

Kaitseprofiili sertifitseerimise taotleja esitab sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele kogu sertifitseerimis- ja hindamistoiminguteks vajaliku teabe täielikul ja õigel kujul või teeb selle muul viisil kättesaadavaks. Artikli 8 lõikeid 2, 3, 4 ja 7 kohaldatakse mutatis mutandis.

▼B

Artikkel 17

EUCC sertifikaadi väljaandmine kaitseprofiilile

▼M1 —————

▼B

2.  
Artikleid 9 ja 10 kohaldatakse mutatis mutandis.
3.  
Infotehnoloogia turvalisuse hindamise üksus hindab, kas kaitseprofiil on täielik, järjepidev, tehniliselt usaldusväärne ja toimiv kõnealuse kaitseprofiiliga hõlmatud IKT-tootekategooria ettenähtud kasutamise ja turvaeesmärkide jaoks.
4.  

Kaitseprofiili võib sertifitseerida üksnes:

a) 

riiklik küberturvalisuse sertifitseerimise asutus või muu avaliku sektori asutus, mis on sertifitseerimisasutusena akrediteeritud, või

b) 

sertifitseerimisasutus, kui riiklik küberturvalisuse sertifitseerimise asutuse on selle iga üksiku kaitseprofiili jaoks eelnevalt heaks kiitnud.

Artikkel 18

Kaitseprofiilile välja antud EUCC sertifikaadi kehtivusaeg

1.  
Sertifitseerimisasutus määrab iga EUCC sertifikaadi kehtivusaja.
2.  
Kehtivusaeg võib kesta kuni asjaomase kaitseprofiili kasutusea lõpuni.

Artikkel 19

Kaitseprofiilile välja antud EUCC sertifikaadi läbivaatamine

1.  
Sertifikaadi omaniku taotlusel või muul õigustatud põhjusel võib sertifitseerimisasutus otsustada kaitseprofiilile välja antud EUCC sertifikaadi läbi vaadata. Läbivaatamise käigus kohaldatakse artiklis 15 kindlaks määratud tingimusi. Sertifitseerimisasutus määrab kindlaks läbivaatamise ulatuse. Kui see on läbivaatamise jaoks vajalik, taotleb sertifitseerimisasutus infotehnoloogia turvalisuse hindamise üksuselt sertifitseeritud kaitseprofiili ümberhindamist.
2.  

Pärast läbivaatamise ja vajaduse korral ümberhindamise tulemuste saamist toimib sertifitseerimisasutus ühel järgmisel viisil:

a) 

kinnitab EUCC sertifikaadi;

b) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 20;

c) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 20 ning annab välja uue, sama kohaldamisalaga ja pikendatud kehtivusajaga EUCC sertifikaadi

d) 

tunnistab EUCC sertifikaadi kehtetuks vastavalt artiklile 20 ja annab välja uue, teistsuguse kohaldamisalaga EUCC sertifikaadi.

Artikkel 20

Kaitseprofiilile välja antud EUCC sertifikaadi kehtetuks tunnistamine

1.  
Ilma et see piiraks määruse (EL) 2019/881 artikli 58 lõike 8 punkti e kohaldamist, tunnistab kaitseprofiilile välja antud EUCC sertifikaadi kehtetuks sertifitseerimisasutus, kes selle sertifikaadi välja andis. Artiklit 14 kohaldatakse mutatis mutandis.
2.  
Artikli 17 lõike 4 punkti b kohaselt kaitseprofiilile antud sertifikaadi tunnistab kehtetuks riiklik küberturvalisuse sertifitseerimise asutus, kes selle sertifikaadi heaks kiitis.

IV PEATÜKK

VASTAVUSHINDAMISASUTUSED

▼M1

Artikkel 20a

Vastavushindamisasutuste akrediteerimise nõuete täpsustamine

Vastavushindamisasutuste akrediteerimisel võetakse arvesse sertifitseerimisasutuste ja infotehnoloogia turvalisuse hindamise üksuste akrediteerimise erinõudeid, mis on kehtestatud I lisa punktis 2 loetletud kohaldatavates tehnika taset käsitlevates dokumentides.

▼B

Artikkel 21

Täiendavad või erinõuded sertifitseerimisasutusele

1.  

Riiklik küberturvalisuse sertifitseerimise asutus annab sertifitseerimisasutusele loa anda välja usaldusväärsuse kõrge tasemega EUCC sertifikaate, kui sertifitseerimisasutus tõendab, et lisaks sellele, et ta vastab määruse (EL) 2019/881 artikli 60 lõikes 1 ja lisas kindlaks määratud nõuetele vastavushindamisasutuste akrediteerimise kohta, vastab ta ka järgmistele tingimustele:

a) 

tal on usaldusväärsuse kõrgel tasemel sertifitseerimise otsuse tegemiseks vajalik oskusteave ja pädevus,

b) 

ta teeb sertifitseerimistoiminguid koostöös artikli 22 kohaselt loa saanud infotehnoloogia turvalisuse hindamise üksusega ja

c) 

lisaks artiklis 43 kindlaks määratud nõuetele on tal nõutav pädevus ja kehtestatud asjakohased tehnilised ja operatiivmeetmed, et usaldusväärsuse kõrgel tasemel tulemuslikult kaitsta konfidentsiaalset ja tundlikku teavet.

2.  
Riiklik küberturvalisuse sertifitseerimise asutus hindab, kas sertifitseerimisasutus vastab kõigile lõikes 1 kindlaks määratud nõuetele. See hindamine peab hõlmama vähemalt struktureeritud vestlusi ja vähemalt ühe katselise sertifitseerimise läbivaatamist, mille sertifitseerimisasutus teeb kooskõlas käesoleva määrusega.

Hindamist tehes võib riiklik küberturvalisuse sertifitseerimise asutus taaskasutada asjakohaseid tõendeid, mis on pärit varasema loa andmisest või muudest sarnastest toimingutest ja mis on antud vastavalt:

a) 

käesolevale määrusele,

b) 

muule määruse (EL) 2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kavale,

c) 

käesoleva määruse artiklis 49 osutatud riiklikule kavale.

3.  
Riiklik küberturvalisuse sertifitseerimise asutus koostab loa andmise aruande, mille kohta tuleb teha vastastikune hindamine vastavalt määruse (EL) 2019/881 artikli 59 lõike 3 punktile d.
4.  
Riiklik küberturvalisuse sertifitseerimise asutus määrab kindlaks IKT-tootekategooriad ja kaitseprofiilid, millele luba laieneb. Luba kehtib kuni akrediteeringu kehtivusaja lõpuni. Seda võib taotluse korral uuendada, tingimusel et sertifitseerimisasutus vastab endiselt käesolevas artiklis kindlaks määratud nõuetele. Loa kehtivuse pikendamiseks ei ole katselisi hindamisi vaja.
5.  
Riiklik küberturvalisuse sertifitseerimise asutus tunnistab sertifitseerimisasutuse loa kehtetuks, kui sertifitseerimisasutus ei vasta enam käesolevas artiklis kindlaks määratud tingimustele. Loa kehtetuks tunnistamise korral peab sertifitseerimisasutus kohe lõpetama enda propageerimise loa saanud sertifitseerimisasutusena.

Artikkel 22

Täiendavad või erinõuded infotehnoloogia turvalisuse hindamise üksusele

1.  

Riiklik küberturvalisuse sertifitseerimise asutus annab infotehnoloogia turvalisuse hindamise üksusele loa hinnata usaldusväärsuse kõrgel tasemel sertifitseeritavaid IKT-tooteid, kui see üksus tõendab, et lisaks sellele, et ta vastab määruse (EL) 2019/881 artikli 60 lõikes 1 ja lisas kindlaks määratud nõuetele vastavushindamisasutuste akrediteerimise kohta, vastab ta ka kõikidele järgmistele tingimustele:

a) 

tal on hindamistoimingute tegemiseks vajalik oskusteave, et teha kindlaks vastupanuvõime tipptasemel küberrünnete suhtes, mida teevad märkimisväärsete oskuste ja ressurssidega osalejad;

b) 

tehniliste valdkondade ja kaitseprofiilide puhul, mis on osa nende IKT-toodete IKT-protsessist, on tal:

1) 

oskusteave nende konkreetsete hindamistoimingute tegemiseks, mida on vaja, et teha metoodiliselt kindlaks hindamisobjekti vastupanuvõime oskuslike ründajate suhtes hindamisobjekti rakenduskeskkonnas, eeldusel et ründepotentsiaal on mõõdukas või suur, nagu on kindlaks määratud artiklis 3 osutatud standardites;

2) 

I lisas loetletud tehnika taset käsitlevates dokumentides täpsustatud tehniline pädevus;

c) 

lisaks artiklis 43 kindlaks määratud nõuetele on tal nõutav pädevus ning ta on kehtestanud asjakohased tehnilised ja operatiivmeetmed, et usaldusväärsuse kõrgel tasemel tulemuslikult kaitsta konfidentsiaalset ja tundlikku teavet.

2.  
Riiklik küberturvalisuse sertifitseerimise asutus hindab, kas infotehnoloogia turvalisuse hindamise üksus vastab kõigile lõikes 1 kindlaks määratud nõuetele. See hindamine peab hõlmama vähemalt struktureeritud vestlusi ja vähemalt ühe sellise katselise hindamise läbivaatamist, mille infotehnoloogia turvalisuse hindamise üksus teeb kooskõlas käesoleva määrusega.
3.  

Hindamist tehes võib riiklik küberturvalisuse sertifitseerimise asutus taaskasutada asjakohaseid tõendeid, mis on pärit varasema loa andmisest või muudest sarnastest toimingutest ja mis on antud vastavalt:

a) 

käesolevale määrusele,

b) 

muule määruse (EL) 2019/881 artikli 49 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kavale,

c) 

käesoleva määruse artiklis 49 osutatud riiklikule kavale.

4.  
Riiklik küberturvalisuse sertifitseerimise asutus koostab loa andmise aruande, mille kohta tuleb teha vastastikune hindamine vastavalt määruse (EL) 2019/881 artikli 59 lõike 3 punktile d.
5.  
Riiklik küberturvalisuse sertifitseerimise asutus määrab kindlaks IKT-tootekategooriad ja kaitseprofiilid, millele luba laieneb. Luba kehtib kuni akrediteeringu kehtivusaja lõpuni. Seda võib taotluse korral uuendada, tingimusel et infotehnoloogia turvalisuse hindamise üksus vastab endiselt käesolevas artiklis kindlaks määratud nõuetele. Loa kehtivuse pikendamiseks ei peaks katselisi hindamisi vaja olema.
6.  
Riiklik küberturvalisuse sertifitseerimise asutus tunnistab infotehnoloogia turvalisuse hindamise üksuse loa kehtetuks, kui see üksus ei vasta enam käesolevas artiklis kindlaks määratud tingimustele. Loa kehtetuks tunnistamise korral peab infotehnoloogia turvalisuse hindamise üksus lõpetama enda propageerimise loa saanud infotehnoloogia turvalisuse hindamise üksusena.

▼M1 —————

▼B

V PEATÜKK

JÄRELEVALVE, MITTEVASTAVUS JA NÕUETE RIKKUMINE

I JAGU

Järelevalve nõuete täitmise üle

Artikkel 25

Riikliku küberturvalisuse sertifitseerimise asutuse järelevalvetegevus

1.  

Ilma et see piiraks määruse (EL) 2019/881 artikli 58 lõike 7 kohaldamist, teeb riiklik küberturvalisuse sertifitseerimise asutus järelevalvet selle üle, kas:

a) 

sertifitseerimisasutus ja infotehnoloogia turvalisuse hindamise üksus täidavad käesoleva määruse ja määruse (EL) 2019/881 kohaseid kohustusi;

b) 

EUCC sertifikaadi omanik täidab käesoleva määruse ja määruse (EL) 2019/881 kohaseid kohustusi;

c) 

sertifitseeritud IKT-tooted vastavad EUCCs ettenähtud nõuetele;

d) 

EUCC sertifikaadis esitatud usaldusväärsus vastab muutuvale ohumaastikule.

2.  

Riiklik küberturvalisuse sertifitseerimise asutus teeb järelevalvet eelkõige järgmise alusel:

a) 

sertifitseerimisasutustelt, riiklikelt akrediteerimisasutustelt ja asjaomastelt turujärelevalveasutustelt saadav teave;

b) 

asutuse enda või mõne muu asutuse auditite ja uurimiste tulemusel saadav teave;

c) 

valimikontroll vastavalt lõikele 3;

d) 

saadud kaebused.

3.  
Riiklik küberturvalisuse sertifitseerimise asutus võtab koostöös muude turujärelevalveasutustega igal aastal valimi vähemalt 4 % EUCC sertifikaatidest, nagu on kindlaks määratud riskihinnangus. Pädeva riikliku küberturvalisuse sertifitseerimise asutuse taotlusel ja selle asutuse nimel tegutsedes abistavad sertifitseerimisasutused ja vajaduse korral infotehnoloogia turvalisuse hindamise üksused seda asutust nõuete täitmise järelevalves.
4.  

Riiklik küberturvalisuse sertifitseerimise asutus moodustab sertifitseeritud IKT-toodete valimi, mida kontrollitakse objektiivsete kriteeriumide, sealhulgas järgmise teabe alusel:

a) 

tootekategooria;

b) 

toodete usaldusväärsuse tasemed;

c) 

sertifikaadi omanik;

d) 

sertifitseerimisasutus ja asjakohasel juhul alltöövõtjana tegutsev infotehnoloogia turvalisuse hindamise üksus;

e) 

mis tahes muu asutusele teatavaks tehtud teave.

5.  
Riiklik küberturvalisuse sertifitseerimise asutus teatab EUCC sertifikaadi omanikele valitud IKT-toodetest ja valikukriteeriumidest.
6.  
Valimisse kuuluva IKT-toote sertifitseerinud sertifitseerimisasutus teeb riikliku küberturvalisuse sertifitseerimise asutuse taotlusel ja infotehnoloogia turvalisuse hindamise üksuse abiga täiendava läbivaatamise vastavalt IV lisa IV.2 jaos kindlaks määratud menetlusele ja teatab tulemustest riiklikule küberturvalisuse sertifitseerimise asutusele.
7.  
Kui riiklikul küberturvalisuse sertifitseerimise asutusel on piisavalt põhjust arvata, et sertifitseeritud IKT-toode ei vasta enam käesoleva määruse või määruse (EL) 2019/881 nõuetele, võib asutus teha uurimisi või kasutada muid määruse (EL) 2019/881 artikli 58 lõigus 8 kindlaks määratud volitusi järelevalve tegemiseks.
8.  
Riiklik küberturvalisuse sertifitseerimise asutus teatab sertifitseerimisasutusele ja asjaomasele infotehnoloogia turvalisuse hindamise üksusele valitud IKT-toodetega seotud käimasolevatest uurimistest.
9.  
Kui riiklik küberturvalisuse sertifitseerimise asutus teeb kindlaks, et käimasolev uurimine puudutab IKT-tooteid, mille on sertifitseerinud teise liikmesriigi sertifitseerimisasutus, teatab ta sellest asjaomase liikmesriigi riiklikule küberturvalisuse sertifitseerimise asutusele, et vajaduse korral teha uurimise käigus koostööd. Selline riiklik küberturvalisuse sertifitseerimise asutus teatab ühtlasi Euroopa küberturvalisuse sertifitseerimise rühmale piiriülestest uurimistest ja nende tulemustest.

Artikkel 26

Sertifitseerimisasutuse järelevalvetegevus

1.  

Sertifitseerimisasutus teeb järelevalvet selle üle:

a) 

kas sertifikaadi omanikud täidavad käesoleva määruse ja määruse (EL) 2019/881 kohaseid kohustusi, mis on seotud sertifitseerimisasutuse välja antud EUCC sertifikaadiga;

b) 

kas tema sertifitseeritud IKT-tooted vastavad nende konkreetsetele turvanõuetele;

c) 

milline on sertifitseeritud kaitseprofiilides esitatud usaldusväärsus.

2.  

Sertifitseerimisasutus teeb järelevalvet järgmise alusel:

a) 

teave, mille sertifitseerimise taotleja esitab kohustuste alusel, millele on osutatud artikli 9 lõikes 2;

b) 

teiste asjaomaste turujärelevalveasutuste tegevusest tulenev teave;

c) 

saadud kaebused;

d) 

teave turvanõrkuste kohta, mis võivad mõjutada tema sertifitseeritud IKT-tooteid.

3.  
Riiklik küberturvalisuse sertifitseerimise asutus võib koostada eeskirjad, mis tagavad korrapärase dialoogi sertifitseerimisasutuste ja EUCC sertifikaadi omanike vahel, et kontrollida artikli 9 lõike 2 kohaselt võetud kohustuste täitmist ja selle kohta aru anda, ilma et see piiraks teiste turujärelevalveasutustega seotud tegevusi.

Artikkel 27

Sertifikaadi omaniku järelevalvetegevus

1.  

EUCC sertifikaadi omanik täidab järgmisi ülesandeid, et teha järelevalvet selle üle, kas sertifitseeritud IKT-toode vastab tema suhtes kehtivatele turvanõuetele:

a) 

jälgib sertifitseeritud IKT-toote turvanõrkusi käsitlevat teavet, sealhulgas teadaolevaid sõltuvusi, oma vahenditega, kuid võttes arvesse ka järgmist:

1) 

teave turvanõrkuste kohta, mille on avaldanud või esitanud määruse (EL) 2019/881 artikli 55 lõike 1 punktis c osutatud kasutaja või küberturvalisusega tegelev teadlane;

2) 

mis tahes muu allika esitatud teave;

b) 

jälgib, milline on EUCC sertifikaadis esitatud usaldusväärsus.

2.  
EUCC sertifikaadi omanik teeb koostööd sertifitseerimisasutuse, infotehnoloogia turvalisuse hindamise üksuse ja asjakohasel juhul riikliku küberturvalisuse sertifitseerimise asutusega, et toetada nende järelevalvetegevust.

II JAGU

Vastavus ja nõuete täitmine

Artikkel 28

Sertifitseeritud IKT-toote või kaitseprofiili mittevastavuse tagajärjed

1.  
Kui sertifitseeritud IKT-toode või kaitseprofiil ei vasta käesolevas määruses ja määruses (EL) 2019/881 kindlaks määratud nõuetele, teatab sertifitseerimisasutus EUCC sertifikaadi omanikule kindlakstehtud mittevastavusest ja nõuab parandusmeetmete võtmist.
2.  
Kui käesoleva määruse sätetele mittevastavus võib mõjutada muude asjakohaste liidu õigusaktide nõuete täitmist, millega on ette nähtud võimalus EUCC sertifikaadi abil tõendada kõnealuse õigusakti nõuetele vastavuse eeldust, teatab sertifitseerimisasutus sellest viivitamata riiklikule küberturvalisuse sertifitseerimise asutusele. Riiklik küberturvalisuse sertifitseerimise asutus teatab väljaselgitatud mittevastavusest viivitamata turujärelevalveasutusele, kes vastutab selliste muude asjakohaste liidu õigusaktide eest.
3.  
Pärast lõikes 1 osutatud teabe saamist teeb EUCC sertifikaadi omanik sertifitseerimisasutuse määratud ajavahemiku jooksul, mis ei ületa 30 päeva, sertifitseerimisasutusele mittevastavuse kõrvaldamiseks vajalike parandusmeetmete ettepaneku.
4.  
Eriolukorras või juhul, kui EUCC sertifikaadi omanik ei tee sertifitseerimisasutusega nõuetekohaselt koostööd, võib sertifitseerimisasutus artikli 30 kohaselt põhjendamatu viivituseta EUCC sertifikaadi peatada.
5.  
Sertifitseerimisasutus teeb artiklite 13 ja 19 kohase läbivaatamise ja hindab, kas parandusmeetmed kõrvaldavad mittevastavuse.
6.  
Kui EUCC sertifikaadi omanik ei tee lõikes 3 osutatud ajavahemiku jooksul ettepanekut asjakohaste parandusmeetmete võtmiseks, siis sertifikaat peatatakse vastavalt artiklile 30 või tunnistatakse kehtetuks vastavalt artiklile 14 või 20.
7.  
Käesolevat artiklit ei kohaldata sertifitseeritud IKT-toodet mõjutavate turvanõrkuste korral, mida käsitletakse vastavalt VI peatükile.

Artikkel 29

Tagajärjed, kui nõudeid rikub sertifikaadi omanik

1.  

Kui sertifitseerimisasutus leiab, et:

a) 

EUCC sertifikaadi omanik või sertifitseerimise taotleja ei täida artikli 9 lõikes 2, artikli 17 lõikes 2 ning artiklites 27 ja 41 sätestatud kohustusi või

b) 

EUCC sertifikaadi omanik ei järgi määruse (EL) 2019/881 artikli 56 lõike 8 või käesoleva määruse VI peatüki nõudeid,

määrab ta kindlaks ajavahemiku, mis ei ületa 30 päeva ning mille jooksul EUCC sertifikaadi omanik peab võtma parandusmeetmed.

▼M1

2.  
Kui EUCC sertifikaadi omanik ei tee lõikes 1 osutatud ajavahemiku jooksul ettepanekut asjakohaste parandusmeetmete võtmiseks, siis sertifikaat peatatakse vastavalt artiklile 30 või tunnistatakse kehtetuks vastavalt artiklile 14 või artiklile 20.

▼B

3.  
Kui EUCC sertifikaadi omanik jätkab lõikes 1 osutatud kohustuste rikkumist või rikub neid korduvalt, tunnistatakse EUCC sertifikaat kehtetuks vastavalt artiklile 14 või 20.
4.  
Sertifitseerimisasutus teatab riiklikule küberturvalisuse sertifitseerimise asutusele lõikes 1 osutatud tähelepanekutest. Kui nõuete rikkumine mõjutab muude asjakohaste liidu õigusaktide nõuete täitmist, teatab riiklik küberturvalisuse sertifitseerimise asutus kindlakstehtud nõuete rikkumisest viivitamata turujärelevalveasutusele, kes vastutab selliste muude asjakohaste liidu õigusaktide eest.

Artikkel 30

EUCC sertifikaadi peatamine

1.  
Kui käesolevas määruses viidatakse EUCC sertifikaadi peatamisele, peatab sertifitseerimisasutus asjaomase sertifikaadi peatamise põhjustanud asjaoludele vastavaks ajavahemikuks, mis ei ületa 42 päeva. Peatamisperiood algab järgmisel päeval pärast sertifitseerimisasutuse otsuse tegemist. Peatamine ei mõjuta sertifikaadi kehtivust.
2.  
Sertifitseerimisasutus teatab peatamisest põhjendamatu viivituseta sertifikaadi omanikule ja riiklikule küberturvalisuse sertifitseerimise asutusele ning esitab peatamise põhjused, nõutavad meetmed ja peatamisperioodi.
3.  
Sertifikaadi omanik teavitab asjaomaste IKT-toodete ostjaid peatamisest ja selle põhjustest, mille sertifitseerimisasutus on esitanud, välja arvatud see osa põhjustest, mille jagamine kujutaks endast turvariski või mis sisaldab tundlikku teavet. Sertifikaadi omanik teeb selle teabe ka avalikult kättesaadavaks.
4.  
Kui muude asjakohaste liidu õigusaktidega on ette nähtud nõuetele vastavuse eeldus, mis põhineb käesoleva määruse sätete alusel välja antud sertifikaatidel, teatab riiklik küberturvalisuse sertifitseerimise asutus peatamisest turujärelevalveasutusele, kes vastutab selliste muude asjakohaste liidu õigusaktide eest.
5.  
Sertifikaadi peatamisest teatatakse ENISA-le vastavalt artikli 42 lõikele 3.
6.  
Nõuetekohaselt põhjendatud juhul võib riiklik küberturvalisuse sertifitseerimise asutus anda loa EUCC sertifikaadi peatamise perioodi pikendamiseks. Peatamisperiood ei tohi kokku olla pikem kui üks aasta.

Artikkel 31

Tagajärjed, kui nõudeid rikub vastavushindamisasutus

1.  

Kui sertifitseerimisasutus ei täida oma kohustusi või kui asjaomane sertifitseerimisasutus ei täida oma kohustusi juhul, kui on kindlaks tehtud, et infotehnoloogia turvalisuse hindamise üksus ei ole täitnud oma kohustusi, teeb riiklik küberturvalisuse sertifitseerimise asutus põhjendamatu viivituseta järgmist:

a) 

selgitab asjaomase infotehnoloogia turvalisuse hindamise üksuse abiga välja võimalikud mõjutatud EUCC sertifikaadid;

b) 

vajaduse korral taotleb, et ühte või mitut IKT-toodet või kaitseprofiili hindaks hindamise teinud infotehnoloogia turvalisuse hindamise üksus või mis tahes muu akrediteeritud ja asjakohasel juhul loa saanud infotehnoloogia turvalisuse hindamise üksus, kellel võivad olla selliseks väljaselgitamiseks paremad tehnilised võimalused;

c) 

analüüsib nõuete rikkumise mõju;

d) 

teatab nõuete rikkumisest mõjutatud EUCC sertifikaadi omanikule.

2.  

Lõikes 1 osutatud meetmete alusel võtab sertifitseerimisasutus iga mõjutatud EUCC sertifikaadi kohta vastu ühe järgmistest otsustest:

a) 

säilitada EUCC sertifikaat muutmata kujul;

b) 

tunnistada EUCC sertifikaat kehtetuks vastavalt artiklile 14 või 20 ning vajaduse korral anda välja uus EUCC sertifikaat.

3.  

Lõikes 1 osutatud meetmete alusel teeb riiklik küberturvalisuse sertifitseerimise asutus järgmist:

a) 

vajaduse korral teatab sertifitseerimisasutuse või asjakohase infotehnoloogia turvalisuse hindamise üksuse poolsest nõuete rikkumisest riiklikule akrediteerimisasutusele;

b) 

asjakohasel juhul hindab võimalikku mõju loale.

VI PEATÜKK

TURVANÕRKUSTE HALDAMINE JA AVALIKUSTAMINE

Artikkel 32

Turvanõrkuste haldamise ulatus

Käesolevat peatükki kohaldatakse IKT-toodete suhtes, millele on välja antud EUCC sertifikaat.

I JAGU

Turvanõrkuste haldamine

Artikkel 33

Turvanõrkuste haldamise menetlused

1.  
EUCC sertifikaadi omanik kehtestab kõik vajalikud turvanõrkuste haldamise menetlused vastavalt käesolevas jaos sätestatud normidele, mida vajaduse korral täiendatakse standardis EN ISO/IEC 30111 kehtestatud menetlustega, ja haldab neid.
2.  
EUCC sertifikaadi omanik haldab asjakohaseid meetodeid oma toodetega seotud turvanõrkuste kohta teabe saamiseks välistest allikatest, sealhulgas kasutajatelt, sertifitseerimisasutustelt ja küberturvalisusega tegelevatelt teadlastelt, ning avaldab need.
3.  
Kui EUCC sertifikaadi omanik on tuvastanud sertifitseeritud IKT-toodet mõjutava võimaliku turvanõrkuse või sellisest turvanõrkusest teada saanud, registreerib ta selle ja teeb turvanõrkuse mõju analüüsi.
4.  
Kui võimalik turvanõrkus mõjutab liittoodet, teavitab EUCC sertifikaadi omanik võimalikust turvanõrkusest sõltuvate EUCC sertifikaatide omanikku.
5.  
Sertifikaadi välja andnud sertifitseerimisasutuse mõistliku taotluse peale edastab EUCC sertifikaadi omanik sellele sertifitseerimisasutusele kohta kogu asjakohase teabe võimalike turvanõrkuste.

Artikkel 34

Turvanõrkuse mõju analüüs

1.  
Turvanõrkuse mõju analüüsis viidatakse hindamisobjektile ja sertifikaadis sisalduvatele usaldusväärsuse kinnitustele. Turvanõrkuse mõju analüüs tehakse sertifitseeritud IKT-toote võimaliku turvanõrkuse ärakasutamise ja kriitilisuse seisukohast otstarbeka aja jooksul.
2.  
Asjakohasel juhul arvutatakse ründepotentsiaal vastavalt artiklis 3 osutatud standardites sisalduvale asjakohasele metoodikale ja I lisas loetletud asjakohastele tehnika taset käsitlevatele dokumentidele, et teha kindlaks turvanõrkuse ärakasutatavus. Arvesse võetakse EUCC sertifikaadi AVA_VAN-taset.

Artikkel 35

Turvanõrkuse mõju analüüsi aruanne

1.  
Omanik koostab turvanõrkuse mõju analüüsi aruande, kui mõju analüüs näitab, et turvanõrkus mõjutab tõenäoliselt IKT-toote vastavust sertifikaadile.
2.  

Turvanõrkuse mõju analüüsi aruanne sisaldab hinnangut järgmistele elementidele:

a) 

turvanõrkuse mõju sertifitseeritud IKT-tootele;

b) 

ründe läheduse või olemasoluga seotud võimalikud riskid;

c) 

turvanõrkuse kõrvaldamise võimaluse olemasolu;

d) 

kui turvanõrkust on võimalik kõrvaldada, siis turvanõrkuse võimalikud lahendused.

3.  
Turvanõrkuse mõju analüüsi aruanne sisaldab vajaduse korral üksikasju turvanõrkuse võimalike kasutamisviiside kohta. Turvanõrkuse võimalikke kasutamisviise käsitlevat teavet käideldakse kooskõlas asjakohaste turvameetmetega, et kaitsta selle konfidentsiaalsust ja tagada vajaduse korral selle piiratud levitamine.
4.  
EUCC sertifikaadi omanik edastab turvanõrkuse mõju analüüsi aruande põhjendamatu viivituseta sertifitseerimisasutusele või riiklikule küberturvalisuse sertifitseerimise asutusele vastavalt määruse (EL) 2019/881 artikli 56 lõikele 8.
5.  
Kui turvanõrkuse mõju analüüsi aruandes jõutakse järeldusele, et turvanõrkus ei ole artiklis 3 osutatud standardite tähenduses jääknõrkus ja selle saab kõrvaldada, kohaldatakse artiklit 36.
6.  
Kui turvanõrkuse mõju analüüsi aruandes jõutakse järeldusele, et turvanõrkus ei ole jääknõrkus ja seda ei ole võimalik kõrvaldada, tühistatakse EUCC sertifikaat vastavalt artiklile 14.
7.  
EUCC sertifikaadi omanik jälgib jääknõrkusi tagamaks, et neid ei saa rakenduskeskkonna muutumise korral ära kasutada.

Artikkel 36

Turvanõrkuse kõrvaldamine

EUCC sertifikaadi omanik esitab sertifitseerimisasutusele ettepaneku asjakohaste kõrvaldamismeetmete võtmiseks. Sertifitseerimisasutus vaatab sertifikaadi läbi vastavalt artiklile 13. Läbivaatamise ulatus määratakse kindlaks vastavalt turvanõrkuse kavandatud kõrvaldamisele.

II JAGU

TURVANÕRKUSTE AVALIKUSTAMINE

Artikkel 37

Riikliku küberturvalisuse sertifitseerimise asutusega jagatav teave

1.  
Teave, mille sertifitseerimisasutus esitab riiklikule küberturvalisuse sertifitseerimise asutusele, peab sisaldama kõiki elemente, mida riiklik küberturvalisuse sertifitseerimise asutus vajab, et mõista turvanõrkuse mõju, IKT-tootes tehtavaid muudatusi ja, kui see on olemas, siis sertifitseerimisasutuselt saadud mis tahes teavet turvanõrkuse laiema mõju kohta muudele sertifitseeritud IKT-toodetele.
2.  
Lõike 1 kohaselt esitatav teave ei sisalda üksikasju turvanõrkuse kasutamisviiside kohta. Käesolev säte ei piira riikliku küberturvalisuse sertifitseerimise asutuse uurimisvolitusi.

Artikkel 38

Koostöö teiste riiklike küberturvalisuse sertifitseerimise asutustega

1.  
Riiklik küberturvalisuse sertifitseerimise asutus jagab artikli 37 kohaselt saadud asjakohast teavet teiste riiklike küberturvalisuse sertifitseerimise asutuste ja ENISAga.
2.  
Muud riiklikud küberturvalisuse sertifitseerimise asutused võivad otsustada turvanõrkust täiendavalt analüüsida või pärast EUCC sertifikaadi omanikule teatamist taotleda, et asjaomased sertifitseerimisasutused hindaksid, kas turvanõrkus võib mõjutada muid sertifitseeritud IKT-tooteid.

Artikkel 39

Turvanõrkuse avaldamine

Pärast sertifikaadi kehtetuks tunnistamist avalikustab EUCC sertifikaadi omanik kõik avalikult teadaolevad ja kõrvaldatud IKT-toote turvanõrkused ja registreerib need Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/2555 ( 4 ) artikli 12 kohaselt loodud Euroopa nõrkuste andmebaasis või muudes internetis asuvates andmebaasides, millele on osutatud määruse (EL) 2019/881 artikli 55 lõike 1 punktis d.

VII PEATÜKK

TEABE SÄILITAMINE, AVALIKUSTAMINE JA KAITSE

Artikkel 40

Andmete säilitamine sertifitseerimisasutuste ja infotehnoloogia turvalisuse hindamise üksuse poolt

1.  
Infotehnoloogia turvalisuse hindamise üksus ja sertifitseerimisasutused on kohustatud pidama andmesüsteemi, milles sisalduvad kõik dokumendid, mis on koostatud seoses iga nende tehtud hindamise ja sertifitseerimisega.
2.  
Sertifitseerimisasutused ja infotehnoloogia turvalisuse hindamise üksus säilitavad andmeid turvaliselt ning käesoleva määruse kohaldamiseks vajaliku aja jooksul ja vähemalt viis aastat pärast asjaomase EUCC sertifikaadi kehtetuks tunnistamist. Kui sertifitseerimisasutus on andnud välja uue EUCC sertifikaadi vastavalt artikli 13 lõike 2 punktile c, säilitab ta kehtetuks tunnistatud EUCC sertifikaadi dokumente koos uue EUCC sertifikaadiga ja sama kaua, kui säilitatakse selle dokumente.

Artikkel 41

Sertifikaadi omaniku poolt kättesaadavaks tehtud teave

1.  
Määruse (EL) 2019/881 artiklis 55 osutatud teave tuleb esitada kasutajale lihtsasti arusaadavas keeles.
2.  

EUCC sertifikaadi omanik säilitab käesoleva määruse kohaldamiseks vajaliku aja jooksul ja vähemalt viis aastat pärast asjaomase EUCC sertifikaadi kehtetuks tunnistamist turvaliselt järgmisi andmeid:

a) 

sertifitseerimisasutusele ja infotehnoloogia turvalisuse hindamise üksusele sertifitseerimisprotsessi käigus esitatud teave

b) 

sertifitseeritud IKT-toote näidis.

3.  
Kui sertifitseerimisasutus on andnud välja uue EUCC sertifikaadi vastavalt artikli 13 lõike 2 punktile c, säilitab omanik kehtetuks tunnistatud EUCC sertifikaadi dokumente koos uue EUCC sertifikaadiga ja sama kaua, kui seda säilitatakse.
4.  
Sertifitseerimisasutuse või riikliku küberturvalisuse sertifitseerimise asutuse taotlusel teeb EUCC sertifikaadi omanik kättesaadavaks lõikes 2 osutatud andmed ja eksemplarid.

Artikkel 42

ENISA poolt kättesaadavaks tehtav teave

1.  

ENISA avaldab määruse (EL) 2019/881 artikli 50 lõikes 1 osutatud veebisaidil järgmise teabe:

a) 

kõik EUCC sertifikaadid;

b) 

teave EUCC sertifikaadi seisundi kohta, eelkõige selle kohta, kas see on kehtiv, peatatud, kehtetuks tunnistatud või aegunud;

c) 

sertifitseerimisaruanded iga EUCC sertifikaadi kohta;

d) 

akrediteeritud vastavushindamisasutuste loend;

e) 

loa saanud vastavushindamisasutuste loend;

f) 

I lisas loetletud tehnika taset käsitlevad dokumendid;

g) 

Euroopa küberturvalisuse sertifitseerimise rühma arvamused, millele on osutatud määruse (EL) 2019/881 artikli 62 lõike 4 punktis c;

h) 

artikli 47 kohaselt välja antud vastastikuse hindamise aruanded.

2.  
Lõikes 1 osutatud teave tehakse kättesaadavaks vähemalt inglise keeles.
3.  
Sertifitseerimisasutused ja asjakohasel juhul riiklikud küberturvalisuse sertifitseerimise asutused teatavad ENISA-le viivitamata oma otsused, mis mõjutavad lõike 1 punktis b osutatud EUCC sertifikaadi sisu või seisundit.
4.  
ENISA tagab, et lõike 1 punktide a, b ja c kohaselt avaldatavas teabes on selgelt kindlaks määratud sertifitseeritud IKT-toote versioonid, mida EUCC sertifikaat hõlmab.

Artikkel 43

Teabe kaitse

Vastavushindamisasutused, riiklikud küberturvalisuse sertifitseerimise asutused, Euroopa küberturvalisuse sertifitseerimise rühm, ENISA, komisjon ja kõik teised isikud tagavad ärisaladuste ning muu konfidentsiaalse teabe turvalisuse ja kaitse ning intellektuaalomandi õiguste kaitse ning võtavad vajalikke ja asjakohaseid tehnilisi ja korralduslikke meetmeid.

VIII PEATÜKK

VASTASTIKUSE TUNNUSTAMISE LEPINGUD KOLMANDATE RIIKIDEGA

Artikkel 44

Tingimused

1.  
Kolmandad riigid, kes soovivad oma tooteid käesoleva määruse kohaselt sertifitseerida ja soovivad sellise sertifikaadi tunnustamist liidus, sõlmivad liiduga vastastikuse tunnustamise lepingu.
2.  
Vastastikuse tunnustamise leping hõlmab sertifitseeritud IKT-toodete ja vajaduse korral kaitseprofiilide suhtes kohaldatavaid usaldusväärsuse tasemeid.
3.  

Lõikes 1 osutatud vastastikuse tunnustamise lepinguid võib sõlmida üksnes nende kolmandate riikidega, kes vastavad järgmistele tingimustele:

a) 

neil on asutus,

1) 

kes on avalik-õiguslik asutus, kes on organisatsioonilise ja õigusliku struktuuri, rahastamise ja otsuste tegemise seisukohast sõltumatu üksustest, kelle üle ta teeb järelevalvet;

2) 

kellel on asjakohased järelevalvevolitused uurimisteks ning kellel on õigus võtta nõuete täitmise tagamiseks asjakohaseid parandusmeetmeid;

3) 

kellel on mõjus, proportsionaalne ja hoiatav karistussüsteem, et tagada nõuete täitmine;

4) 

kes nõustub tegema koostööd Euroopa küberturvalisuse sertifitseerimise rühma ja ENISAga, et vahetada teavet parima tava ja asjakohaste suundumuste kohta küberturvalisuse sertifitseerimise valdkonnas ning püüda saavutada praegu kohaldatavate hindamiskriteeriumide ja -meetodite ühetaoline tõlgendamine, muu hulgas kohaldades ühtlustatud dokumente, mis on samaväärsed I lisas loetletud tehnika taset käsitlevate dokumentidega;

b) 

neil on sõltumatu akrediteerimisasutus, kes teeb akrediteerimisi, kasutades määruses (EÜ) nr 765/2008 osutatud standarditega samaväärseid standardeid;

c) 

nad kohustuvad tagama, et hindamis- ja sertifitseerimisprotsessid ning -menetlused tehakse nõuetekohaselt professionaalsel viisil, võttes arvesse käesolevas määruses, eelkõige artiklis 3 osutatud rahvusvaheliste standardite järgimist;

d) 

neil on suutlikkus teatada varem kindlakstegemata turvanõrkustest ning nad on kehtestanud väljakujunenud ja piisavad turvanõrkuste haldamise ning avalikustamise menetlused;

e) 

nad on kehtestanud menetlused, mis võimaldavad tulemuslikult esitada ja menetleda kaebusi ning pakkuda kaebuse esitajale tõhusaid õiguskaitsevahendeid;

f) 

nad loovad mehhanismi koostööks teiste käesoleva määruse kohase küberturvalisuse sertifitseerimise seisukohast oluliste liidu ja liikmesriikide asutustega, sealhulgas sertifikaatide võimaliku mittevastavuse kohta teabe jagamiseks, sertifitseerimise valdkonnas asjakohaste arengusuundade jälgimiseks ning sertifitseerimise haldamisele ja läbivaatamisele ühise lähenemisviisi tagamiseks.

4.  

Lõikes 1 osutatud vastastikuse tunnustamise lepingu, mis hõlmab usaldusväärsuse kõrget taset, võib kolmanda riigiga sõlmida üksnes juhul, kui peale lõikes 3 kindlaks määratud tingimuste on täidetud ka järgmised tingimused:

a) 

kolmandas riigis on sõltumatu ja avalik küberturvalisuse sertifitseerimise asutus, kes teeb või delegeerib hindamistoiminguid, mis on vajalikud, et võimaldada usaldusväärsuse kõrge tasemega sertifitseerimist, mis on samaväärne käesolevas määruses ning määruses (EL) 2019/881 riiklike küberturvalisuse asutuste jaoks kindlaks määratud nõuete ja menetlustega;

b) 

vastastikuse tunnustamise lepinguga luuakse ühine mehhanism, mis on samaväärne EUCC sertifitseerimise vastastikuse hindamisega, et tõhustada tavade vahetamist ning lahendada ühiselt probleeme hindamise ja sertifitseerimise valdkonnas.

IX PEATÜKK

SERTIFITSEERIMISASUTUSTE VASTASTIKUNE HINDAMINE

Artikkel 45

Vastastikuse hindamise menetlus

1.  
Sertifitseerimisasutus, kes annab välja usaldusväärsuse kõrge tasemega EUCC sertifikaate, läbib vastastikuse hindamise regulaarselt ja vähemalt iga viie aasta järel. Erinevat tüüpi vastastikused hindamised on loetletud VI lisas.
2.  
Euroopa küberturvalisuse sertifitseerimise rühm koostab vastastikuste hindamiste ajakava ja haldab seda, tagades vastastikuste hindamiste ettenähtud sageduse. Vastastikused hindamised tehakse kohapeal, välja arvatud nõuetekohaselt põhjendatud juhul.
3.  

Vastastikune hindamine võib tugineda tõenditele, mis on kogutud vastastikuse hindamise läbinud sertifitseerimisasutuse või riikliku küberturvalisuse sertifitseerimise asutuse varasemate vastastikuste hindamiste või samaväärsete menetluste käigus, tingimusel et:

a) 

tulemused ei ole vanemad kui 5 aastat;

b) 

tulemustele on lisatud kõnealuse kava jaoks kehtestatud vastastikuse hindamise menetluste kirjeldus, kui need on seotud mõne teise sertifitseerimissüsteemi alusel tehtud vastastikuse hindamisega;

c) 

artiklis 47 osutatud vastastikuse hindamise aruandes täpsustatakse, milliseid tulemusi taaskasutati koos edasise hindamisega või ilma selleta.

4.  
Kui vastastikune hindamine hõlmab tehnilist valdkonda, hinnatakse ka asjaomast infotehnoloogia turvalisuse hindamise üksust.
5.  
Vastastikuse hindamise läbinud sertifitseerimisasutus ja vajaduse korral riiklik küberturvalisuse sertifitseerimise asutus tagavad, et kogu asjakohane teave tehakse vastastikuse hindamise rühmale kättesaadavaks.
6.  
Vastastikuse hindamise teeb VI lisa kohaselt moodustatud vastastikuse hindamise rühm.

Artikkel 46

Vastastikuse hindamise etapid

1.  
Ettevalmistusetapis vaatavad vastastikuse hindamise rühma liikmed läbi sertifitseerimisasutuse dokumendid, milles käsitletakse selle asutuse põhimõtteid ja menetlusi, sealhulgas tehnika taset käsitlevate dokumentide kasutamist.
2.  
Kohapealse külastuse etapis hindab vastastikuse hindamise rühm asutuse tehnilist pädevust ja vajaduse korral selle infotehnoloogia turvalisuse hindamise üksuse pädevust, kes on teinud vähemalt ühe IKT-toote hindamise, mille kohta on tehtud vastastikune hindamine.
3.  
Tegevuskoha külastuse etapi kestust võib pikendada või lühendada sõltuvalt sellistest teguritest nagu võimalus taaskasutada olemasolevaid vastastikuse hindamise tõendeid ja tulemusi või nende infotehnoloogia turvalisuse hindamise üksuste ja tehniliste valdkondade arv, mille jaoks sertifitseerimisasutus sertifikaate välja annab.
4.  
Kui see on asjakohane, määrab vastastikuse hindamise rühm kindlaks iga infotehnoloogia turvalisuse hindamise üksuse tehnilise pädevuse, külastades üksuse tehnilist laborit või laboreid ja küsitledes üksuse hindajaid tehnilise valdkonna ja sellega seotud konkreetsete ründemeetodite kohta.
5.  
Aruandeetapis dokumenteerib hindamisrühm oma tähelepanekud vastastikuse hindamise aruandes, mis sisaldab otsust ja vajaduse korral täheldatud mittevastavuste loetelu, kusjuures iga mittevastavuse puhul märgitakse kriitilisuse tase.
6.  
Vastastikuse hindamise aruannet tuleb kõigepealt arutada vastastikuse hindamise läbinud sertifitseerimisasutusega. Pärast neid arutelusid koostab vastastikuse hindamise läbinud sertifitseerimisasutus nende meetmete ajakava, mida tuleb võtta tähelepanekutega tegelemiseks.

Artikkel 47

Vastastikuse hindamise aruanne

1.  
Vastastikuse hindamise rühm esitab vastastikuse hindamise läbinud sertifitseerimisasutusele vastastikuse hindamise aruande kavandi.
2.  
Vastastikuse hindamise läbinud sertifitseerimisasutus esitab vastastikuse hindamise rühmale märkused tähelepanekute kohta ja kohustuste loetelu vastastikuse hindamise aruande kavandis kirjeldatud puuduste kõrvaldamiseks.
3.  
Vastastikuse hindamise rühm esitab Euroopa küberturvalisuse sertifitseerimise rühmale vastastikuse hindamise lõpparuande, mis sisaldab ka vastastikuse hindamise läbinud sertifitseerimisasutuse märkusi ja võetud kohustusi. Samuti esitab vastastikuse hindamise rühm oma seisukoha märkuste kohta ja selle kohta, kas kõnealused kohustused on väljaselgitatud puuduste kõrvaldamiseks piisavad.
4.  
Kui vastastikuse hindamise aruandes nimetatakse mittevastavusi, võib Euroopa küberturvalisuse sertifitseerimise rühm kehtestada vastastikuse hindamise läbinud sertifitseerimisasutusele mittevastavuste kõrvaldamiseks asjakohase tähtaja.
5.  

Euroopa küberturvalisuse sertifitseerimise rühm võtab vastu arvamuse vastastikuse hindamise aruande kohta järgmiselt:

a) 

kui vastastikuse hindamise aruandes ei ole nimetatud mittevastavusi või kui vastastikuse hindamise läbinud sertifitseerimisasutus on mittevastavused asjakohaselt kõrvaldanud, võib Euroopa küberturvalisuse sertifitseerimise rühm esitada positiivse arvamuse ja kõik asjakohased dokumendid avaldatakse ENISA sertifitseerimise veebisaidil;

b) 

kui vastastikuse hindamise läbinud sertifitseerimisasutus ei kõrvalda mittevastavusi ettenähtud tähtaja jooksul asjakohaselt, võib Euroopa küberturvalisuse sertifitseerimise rühm esitada negatiivse arvamuse, mis avaldatakse ENISA sertifitseerimise veebisaidil, sealhulgas koos vastastikuse hindamise aruande ja kõikide asjakohaste dokumentidega.

6.  
Enne arvamuse avaldamist eemaldatakse avaldatavatest dokumentidest kogu tundlik, isiklik või ärisaladusena käsitletav teave.

X PEATÜKK

KAVA HALDAMINE

Artikkel 48

EUCC haldamine

1.  
Komisjon võib taotleda, et Euroopa küberturvalisuse sertifitseerimise rühm võtab vastu arvamuse EUCC haldamise kohta ja teeb vajalikud ettevalmistustööd.
2.  
Euroopa küberturvalisuse sertifitseerimise rühm võib vastu võtta arvamuse tehnika taset käsitlevate dokumentide heakskiitmise kohta.
3.  
ENISA avaldab tehnika taset käsitlevad dokumendid, mille Euroopa küberturvalisuse sertifitseerimise rühm on heaks kiitnud.

▼M1

4.  
Kui I või II lisas ei ole sätestatud teisiti, kohaldatakse tehnika taset käsitlevaid dokumente alates selle muutmisakti kohaldamise kuupäevast, millega need I või II lisasse inkorporeeriti.

▼B

XI PEATÜKK

LÕPPSÄTTED

Artikkel 49

EUCCga hõlmatud riiklikud kavad

1.  
Vastavalt määruse (EL) 2019/881 artikli 57 lõikele 1 ja ilma et see piiraks kõnealuse määruse artikli 57 lõike 3 kohaldamist, lõpeb riiklike küberturvalisuse sertifitseerimise kavade ning EUCCga hõlmatud IKT-toodete ja -protsessidega seotud menetluste õiguslik toime 12 kuud pärast käesoleva määruse jõustumist.
2.  
Erandina artiklist 50 võib 12 kuu jooksul alates käesoleva määruse jõustumisest algatada sertifitseerimise riikliku küberturvalisuse sertifitseerimise kava alusel, tingimusel et sertifitseerimine lõpetatakse hiljemalt 24 kuu jooksul pärast käesoleva määruse jõustumist.
3.  
Riiklike küberturvalisuse sertifitseerimise kavade alusel välja antud sertifikaadid võidakse läbi vaadata. Uued sertifikaadid, millega läbivaadatud sertifikaadid asendatakse, antakse välja vastavalt käesolevale määrusele.

▼M1

4.  
Kui lõikes 3 osutatud läbivaatamine viiakse läbi kahe aasta jooksul alates esialgse sertifikaadi väljastamisest ja kui sellise läbivaatamise tulemusel väljastatakse kooskõlas käesoleva määrusega uus sertifikaat, võib kohaldada artikli 3 lõikes 2 loetletud standardeid. Algse sertifikaadi väljaandmise kuupäevana käsitatakse kuupäeva, mil anti välja viimane sertifikaat IKT-tootele või kaitseprofiilile, millel kehtiv sertifikaat põhineb.

▼B

Artikkel 50

Jõustumine

Käesolev määrus jõustub kahekümnendal päeval pärast selle avaldamist Euroopa Liidu Teatajas.

Seda kohaldatakse alates 27. veebruarist 2025.

IV peatükki ja V lisa kohaldatakse alates käesoleva määruse jõustumise kuupäevast.

Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.

▼M1



I LISA

Tehnilisi valdkondi toetavad tehnika taset käsitlevad dokumendid ja muud tehnika taset käsitlevad dokumendid

1. Tehnika taset käsitlevad dokumendid, mis toetavad tehnilisi valdkondi tasemetel AVA_VAN.4 ja AVA_VAN.5:

a) 

järgmised tehnilise valdkonna „Kiipkaardid ja samalaadsed seadmed“ ühtlustatud hindamisega seotud dokumendid:

1) 

„Infotehnoloogia turvalisuse hindamise üksuse miinimumnõuded kiipkaartide ja samalaadsete seadmete turvalisuse hindamiseks“, versioon 1.1;

2) 

„Minimaalsed kohapealsed turvanõuded“, versioon 1.1;

3) 

„Ühiskriteeriumide kohaldamine kiipide suhtes“, versioon 1.1;

4) 

„Turvaarhitektuuri nõuded (ADV_ARC) kiipkaartidele ja samalaadsetele seadmetele“, versioon 1.1;

5) 

„Avatud kiipkaarditoodete sertifitseerimine“, versioon 1.1;

6) 

„Liittoodete hindamine kiipkaartide ja samalaadsete seadmete puhul“, versioon 1.1;

7) 

„Ründepotentsiaali rakendamine kiipkaartide ja samalaadsete seadmete suhtes“, versioon 1.2.

b) 

järgmised tehnilise valdkonna „Turvaümbrisega riistvaraseadmed“ ühtlustatud hindamisega seotud dokumendid:

1) 

„Infotehnoloogia turvalisuse hindamise üksuse miinimumnõuded turvaümbrisega riistvaraseadmete turvalisuse hindamiseks“, versioon 1.1;

2) 

„Minimaalsed kohapealsed turvanõuded“, versioon 1.1;

3) 

„Ründepotentsiaali rakendamine turvaümbrisega riistvaraseadmete suhtes“, versioon 1.2.

2. Vastavushindamisasutuste ühtlustatud akrediteerimisega seotud tehnika taset käsitlevad dokumendid:

a) 

„Infotehnoloogia turvalisuse hindamise üksuse akrediteerimine EUCC jaoks“, versioon 1.1, akrediteeringute puhul, mis on välja antud enne 8. juulit 2025.

b) 

„Infotehnoloogia turvalisuse hindamise üksuse akrediteerimine EUCC jaoks“, versioon 1.6c, akrediteeringute puhul, mis on uued või läbi vaadatud pärast 8. juulit 2025.

c) 

„Sertifitseerimisasutuste akrediteerimine EUCC jaoks“, versioon 1.6b.

▼B



II LISA

Kaitseprofiilid, mis on sertifitseeritud tasemel AVA_VAN.4 või AVA_VAN.5

1. Vahemaa tagant kvalifitseeritud e-allkirja andmise või e-templi loomise vahendite kategooria puhul:

1) 

EN 419241-2:2019 – Trustworthy Systems Supporting Server Signing - Part 2: Protection Profile for QSCD for Server Signing („Serverallkirjastamist toetavad usaldusväärsed süsteemid. Osa 2: Kvalifitseeritud allkirja andmise vahendi kaitseprofiil serverallkirjastamise jaoks“);

2) 

EN 419221-5:2018 - Protection profiles for Trust Service Provider Cryptographic modules - Part 5: Cryptographic Module for Trust Services („Kaitseprofiilid usaldusteenuse tarnija krüptomoodulitele. Osa 5: Krüptomoodul usaldusteenuste jaoks“)

2. Tehnika taset käsitlevate dokumentidena vastu võetud kaitseprofiilid:

[TÄITMATA]



III LISA

Soovitatud kaitseprofiilid (illustreerivad I lisas loetletud tehnilisi valdkondi)

Allpool nimetatud IKT-tootekategooriatesse kuuluvate IKT-toodete sertifitseerimisel kasutatavad kaitseprofiilid:

a) 

masinloetavate reisidokumentide kategooria puhul:

1) 

kaitseprofiil masinloetavate reisidokumentide jaoks standardse kontrollimenetluse puhul protokolliga PACE, BSI-CC-PP-0068-V2-2011-MA-01;

2) 

kaitseprofiil masinloetavate reisidokumentide jaoks Rahvusvahelise Tsiviillennunduse Organisatsiooni rakenduse eripääsumehhanismi puhul, BSI-CC-PP-0056-2009;

3) 

kaitseprofiil masinloetavate reisidokumentide jaoks Rahvusvahelise Tsiviillennunduse Organisatsiooni rakenduse eripääsumehhanismi puhul protokolliga PACE, BSI-CC-PP-0056-V2-2012-MA-02;

4) 

kaitseprofiil masinloetavate reisidokumentide jaoks Rahvusvahelise Tsiviillennunduse Organisatsiooni rakenduse lihtpääsumehhanismi puhul, BSI-CC-PP-0055-2009;

b) 

turvaliste allkirja andmise vahendite kategooria puhul:

1) 

EN 419211-1:2014 – Protection profiles for secure signature creation device - Part 1: Overview (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 1: Ülevaade)

2) 

EN 419211-2:2013 – Protection profiles for secure signature creation device - Part 2: Device with key generation (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 2: Võtme genereerimisega vahend);

3) 

EN 419211-3:2013 – Protection profiles for secure signature creation device - Part 3: Device with key import (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 3: Võtme importimisega vahend);

4) 

EN 419211-4:2013 – Protection profiles for secure signature creation device - Part 4: Extension for device with key generation and trusted channel to certificate generation application (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 4: Võtme genereerimisega vahendi ja usaldatava kanali laiendus sertifikaadi genereerimise rakendusele);

5) 

EN 419211-5:2013 – Protection profiles for secure signature creation device - Part 5: Extension for device with key generation and trusted channel to signature creation application (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 5: Võtme genereerimisega vahendi ja usaldatava kanali laiendus allkirja andmise rakendusele);

6) 

EN 419211-6:2014 – Protection profiles for secure signature creation device - Part 6: Extension for device with key import and trusted channel to signature creation application (Turvalise allkirja andmise vahendi kaitseprofiil. Osa 6: Võtme impordiga vahendi ja usaldatava kanali laiendus allkirja andmise rakendusele);

c) 

digitaalsete sõidumeerikute kategooria puhul:

1) 

„Digitaalne sõidumeerik. Sõidumeerikukaart“, nagu on osutatud komisjoni 18. märtsi 2016. aasta rakendusmääruses (EL) 2016/799, millega rakendatakse määrust (EL) nr 165/2014 (IC lisa);

2) 

„Digitaalne sõidumeerik. Sõidukiüksus“, mis on ette nähtud paigaldamiseks maanteesõidukitesse, nagu on osutatud komisjoni määruse (EÜ) nr 1360/2002 IB lisas;

3) 

„Digitaalne sõidumeerik. GNSSi välisseade“ (EGF PP), nagu on osutatud komisjoni 18. märtsi 2016. aasta rakendusmääruse (EL) 2016/799 (millega rakendatakse Euroopa Parlamendi ja nõukogu määrust (EL) nr 165/2014) IC lisas;

4) 

„Digitaalne sõidumeerik. Liikumisandur“ (MS PP), nagu on osutatud komisjoni 18. märtsi 2016. aasta rakendusmääruse (EL) 2016/799 (millega rakendatakse Euroopa Parlamendi ja nõukogu määrust (EL) nr 165/2014) IC lisas;

d) 

turvaliste kiipide, kiipkaartide ja nendega seotud seadmete kategooria puhul:

1) 

turvaliste kiipide platvormi kaitseprofiil, BSI-CC-PP-0084-2014;

2) 

Java kaardisüsteem – avatud konfiguratsioon, V3.0.5 BSI-CC-PP-0099-2017;

3) 

Java kaardisüsteem – suletud konfiguratsioon, BSI-CC-PP-0101-2017;

4) 

personaalarvuti kliendipõhise usaldatava platvormimooduli 2.0 taseme 0 versiooni 1.16 kaitseprofiil, ANSSI-CC-PP-2015/07;

5) 

universaalne SIM-kaart, PU-2009-RT-79, ANSSI-CC-PP-2010/04;

6) 

sisseehitatud universaalne kiipkaart (eUICC) masinasideseadmete jaoks, BSI-CC-PP-0089-2015;

e) 

suhtluspunktide (maksmiseks) ja makseterminalide kategooria puhul:

1) 

suhtluspunkt „POI-CHIP-ONLY“, ANSSI-CC-PP-2015/01;

2) 

suhtluspunkt „POI-CHIP-ONLY ja avatud protokolli pakett“, ANSSI-CC-PP-2015/02;

3) 

suhtluspunkt „POI-COMPREHENSIVE“, ANSSI-CC-PP-2015/03;

4) 

suhtluspunkt „POI-COMPREHENSIVE ja avatud protokolli pakett“, ANSSI-CC-PP-2015/04;

5) 

suhtluspunkt „POI-PED-ONLY“, ANSSI-CC-PP-2015/05;

6) 

suhtluspunkt „POI-PED-ONLY ja avatud protokolli pakett“, ANSSI-CC-PP-2015/06;

f) 

turvaümbrisega riistvaraseadmete kategooria puhul:

1) 

sertifitseerimisteenuse tarnija allkirjatoimingute krüptomoodul varundamisega, PP CMCSOB, PP HSM CMCSOB 14167-2, ANSSI-CC-PP-2015/08;

2) 

sertifitseerimisteenuse tarnija võtme genereerimise teenuste krüptomoodul, PP CMCKG, PP HSM CMCKG 14167-3, ANSSI-CC-PP-2015/09;

3) 

sertifitseerimisteenuse tarnija allkirjatoimingute krüptomoodul varundamiseta, PP CMCSO, PP HSM CMCKG 14167-4, ANSSI-CC-PP-2015/10.



IV LISA

Usaldusväärsuse järjepidevus ja sertifikaatide läbivaatamine

IV.1.    Usaldusväärsuse järjepidevuse kohaldamisala

1. Järgmised usaldusväärsuse järjepidevuse nõuded kehtivad järgmiste haldamisega seotud tegevuste suhtes:

a) 

ümberhindamine, kui muutmata sertifitseeritud IKT-toode vastab endiselt selle turvanõuetele;

b) 

hinnang selle kohta, kuidas mõjutavad sertifitseeritud IKT-toote muudatused selle sertifitseerimist;

c) 

tarkvarapaikade rakendamine, kui sertifitseerimine seda hõlmab, vastavalt paikade haldamise hinnatud korrale;

d) 

kui sertifitseerimine seda hõlmab, siis sertifikaadi omaniku elutsükli juhtimise või tootmisprotsesside läbivaatamine.

2. EUCC sertifikaadi omanik võib taotleda sertifikaadi uuesti läbivaatamist järgmistel juhtudel:

a) 

EUCC sertifikaadi kehtivusaeg lõpeb üheksa kuu jooksul;

b) 

muutunud on sertifitseeritud IKT-toode või mõni muu tegur, mis võib mõjutada selle turvafunktsioone;

c) 

sertifikaadi omanik nõuab turvanõrkuste uuesti hindamist, et kinnitada EUCC sertifikaadi usaldusväärsust, mis on seotud IKT-toote vastupanuvõimega praeguste küberrünnete suhtes.

IV.2.    Ümberhindamine

1. Kui on vaja hinnata muutmata sertifitseeritud IKT-toote ohukeskkonnas toimunud muutuste mõju, esitatakse sertifitseerimisasutusele ümberhindamise taotlus.

2. Ümberhindamise teeb sama infotehnoloogia turvalisuse hindamise üksus, kes osales eelmises hindamises, taaskasutades kõiki selle endiselt kehtivaid tulemusi. Hindamisel keskendutakse usaldusväärsusega seotud tegevustele, mida sertifitseeritud IKT-toote muutunud ohukeskkond võib mõjutada, eelkõige asjakohasele AVA_VAN-rühmale ja peale selle elutsükli usaldusväärsuse (ALC) rühmale, mille puhul kogutakse uuesti piisavalt tõendeid arenduskeskkonna haldamise kohta.

3. Infotehnoloogia turvalisuse hindamise üksus kirjeldab muudatusi ja täpsustab ümberhindamise tulemusi, ajakohastades varasema hindamise tehnilist aruannet.

4. Sertifitseerimisasutus vaatab hindamise ajakohastatud tehnilise aruande läbi ja koostab ümberhindamise aruande. Seejärel muudetakse algse sertifikaadi seisundit vastavalt artiklile 13.

5. Ümberhindamisaruanne ja ajakohastatud sertifikaat esitatakse riiklikule küberturvalisuse sertifitseerimise asutusele ja ENISA-le küberturvalisuse sertifitseerimise veebisaidil avaldamiseks.

IV.3.    Sertifitseeritud IKT-toote muudatused

1. Kui sertifitseeritud IKT-toodet on muudetud, esitab sertifikaadi omanik, kes soovib sertifikaati säilitada, sertifitseerimisasutusele mõjuanalüüsi aruande.

2. Mõjuanalüüsi aruandes esitatakse järgmised elemendid:

a) 

sissejuhatus, mis sisaldab vajalikku teavet mõjuanalüüsi aruande ja muudetava hindamisobjekti kindlakstegemiseks;

b) 

toote muudatuste kirjeldus;

c) 

mõjutatud arendaja tõendite kindlakstegemine;

d) 

arendaja tõendite muudatuste kirjeldus;

e) 

tähelepanekud ja järeldused iga muudatuse mõju kohta usaldusväärsusele.

3. Sertifitseerimisasutus uurib mõjuanalüüsi aruandes kirjeldatud muudatusi, et kinnitada nende mõju sertifitseeritud hindamisobjekti usaldusväärsusele, nagu on esitatud mõjuanalüüsi aruande järeldustes.

4. Pärast kontrollimist määrab sertifitseerimisasutus kindlaks, kas muudatus on väike või oluline vastavalt selle mõjule.

▼M1

5. Kui sertifitseerimisasutus on kinnitanud, et muudatus on väike, ei anta muudetud IKT-tootele välja uut sertifikaati ja koostatakse algse sertifitseerimisaruande haldusaruanne.

Haldusaruanne lisatakse mõjuanalüüsi aruande alajaotisena, mis sisaldab järgmisi jaotisi:

a) 

sissejuhatus,

b) 

muudatuste kirjeldus,

c) 

mõjutatud arendaja tõendid.

6. Punktis 5 osutatud haldusaruanne esitatakse ENISA-le avaldamiseks küberturvalisuse sertifitseerimise veebisaidil.

▼B

7. Kui muudatused on tunnistatud oluliseks, tehakse varasema hindamise kontekstis ümberhindamine, taaskasutades varasema hindamise endiselt kehtivaid tulemusi.

8. Pärast muudetud hindamisobjekti hindamise lõpuleviimist koostab infotehnoloogia turvalisuse hindamise üksus uue hindamise tehnilise aruande. Sertifitseerimisasutus vaatab hindamise ajakohastatud tehnilise aruande läbi ja koostab asjakohasel juhul uue sertifikaadi koos uue sertifitseerimisaruandega.

9. Uus sertifikaat ja sertifitseerimisaruanne esitatakse ENISA-le avaldamiseks.

IV.4.    Paikade haldamine

1. Paikade haldamise korraga nähakse ette sertifitseeritud IKT-toote ajakohastamise struktureeritud protsess. Paikade haldamise korda, sealhulgas mehhanismi, mida sertifitseerimise taotleja rakendab IKT-tootes, võib kasutada vastavushindamisasutuse vastutusel pärast IKT-toote sertifitseerimist.

2. Sertifitseerimise taotleja võib IKT-toote sertifitseerimise sisse arvata paikamismehhanismi, mis on IKT-tootes rakendatud sertifitseeritud haldamiskorra osa, ühel järgmistest tingimustest:

a) 

sertifitseeritud IKT-toote hindamisobjekt ei hõlma funktsioone, mida paik mõjutab;

b) 

paik on seotud sertifitseeritud IKT-toote eelnevalt kindlaks määratud väikese muudatusega;

c) 

paik on seotud kinnitatud turvanõrkusega, millel on kriitiline mõju sertifitseeritud IKT-toote turvalisusele.

3. Kui paik on seotud sertifitseeritud IKT-toote hindamisobjekti olulise muudatusega, mis puudutab eelnevalt tuvastamata turvanõrkust, millel ei ole olulist mõju IKT-toote turvalisusele, kohaldatakse artikli 13 sätteid.

4. IKT-toote paikade haldamise kord koosneb järgmistest elementidest:

a) 

IKT-toote paiga väljatöötamise ja väljalaskmise protsess;

b) 

IKT-tootes paiga kasutusele võtmise tehniline mehhanism ja funktsioonid;

c) 

tehnilise mehhanismi toimivuse ja tulemuslikkusega seotud hindamistoimingute kogum.

5. IKT-toote sertifitseerimise ajal

a) 

IKT-toote sertifitseerimise taotleja esitab paikade haldamise korra kirjelduse;

b) 

infotehnoloogia turvalisuse hindamise üksus kontrollib järgmisi elemente:

1) 

arendaja on IKT-tootes rakendanud paikamismehhanisme sertifitseerimiseks esitatud paikade haldamise korra kohaselt;

2) 

hindamisobjekti piirid on eraldatud nii, et eraldatud protsessides tehtud muudatused ei mõjuta hindamisobjekti turvalisust;

3) 

tehniline parandusmehhanism toimib vastavalt käesoleva jao sätetele ja taotleja väidetele;

c) 

sertifitseerimisasutus lisab sertifitseerimisaruandesse paikade haldamise korra hindamise tulemuse.

6. Sertifikaadi omanik võib jätkata paikade haldamise sertifitseeritud korra kohaselt välja töötatud paiga rakendamist asjaomases sertifitseeritud IKT-tootes ning astub viie tööpäeva jooksul järgmised sammud järgmistel juhtudel:

a) 

teatab punkti 2 alapunktis a osutatud juhul asjaomasest paigast sertifitseerimisasutusele, kes ei muuda vastavat EUCC sertifikaati;

b) 

esitab punkti 2 alapunktis b osutatud juhul asjaomase paiga läbivaatamiseks infotehnoloogia turvalisuse hindamise üksusele. Infotehnoloogia turvalisuse hindamise üksus teavitab sertifitseerimisasutust pärast paiga kättesaamist, misjärel sertifitseerimisasutus võtab asjakohased meetmed vastava EUCC sertifikaadi uue versiooni väljaandmiseks ja sertifitseerimisaruande ajakohastamiseks;

c) 

esitab punkti 2 alapunktis c osutatud juhul asjaomase paiga ümberhindamiseks infotehnoloogia turvalisuse hindamise üksusele, kuid võib paiga samal ajal kasutusele võtta. Infotehnoloogia turvalisuse hindamise üksus teavitab sertifitseerimisasutust, misjärel sertifitseerimisasutus alustab asjaomaseid sertifitseerimistoiminguid.



V LISA

SERTIFITSEERIMISARUANDE SISU

V.1.    Sertifitseerimisaruanne

1. Sertifitseerimisasutus koostab infotehnoloogia turvalisuse hindamise üksuse esitatud hindamise tehniliste aruannete alusel sertifitseerimisaruande, mis avaldatakse koos vastava EUCC sertifikaadiga.

2. Sertifitseerimisaruanne on üksikasjaliku ja praktilise teabe allikas IKT-toote või IKT-tootekategooria ja IKT-toote turvalise kasutuselevõtu kohta ning sisaldab seetõttu kogu avalikult kättesaadavat ja jagatavat teavet, mis on kasutajate ja huvitatud isikute jaoks oluline. Sertifitseerimisaruandes võib viidata avalikult kättesaadavale ja jagatavale teabele.

3. Sertifitseerimisaruanne sisaldab vähemalt järgmisi jaotisi:

a) 

kokkuvõte;

b) 

IKT-toote või IKT-tootekategooria kindlaksmääramine kaitseprofiili jaoks;

c) 

turvateenused;

d) 

eeldused ja kohaldamisala selgitused;

e) 

arhitektuuriline teave;

f) 

asjakohasel juhul täiendav küberturvalisuse alane teave;

g) 

IKT-toodete katsetamine, kui seda tehti;

h) 

asjakohasel juhul sertifikaadi omaniku elutsükli juhtimise protsesside ja tootmisrajatiste kindlakstegemine;

i) 

hindamise tulemused ja teave sertifikaadi kohta;

j) 

kokkuvõte sertifitseerimiseks esitatud IKT-toote turvasihist;

k) 

kavaga seotud märgis või silt, kui see on olemas;

l) 

kasutatud kirjandus.

4. Kokkuvõttes võetakse lühidalt kokku kogu sertifitseerimisaruanne. Kokkuvõte annab selge ja kokkuvõtliku ülevaate hindamistulemustest ning sisaldab järgmist teavet:

a) 

hinnatud IKT-toote nimetus, hindamise osaks olevate tootekomponentide loetelu ja IKT-toote versioon;

b) 

hindamise teinud infotehnoloogia turvalisuse hindamise üksuse nimi ja asjakohasel juhul alltöövõtjate nimekiri;

c) 

hindamise lõpetamise kuupäev;

d) 

viide infotehnoloogia turvalisuse hindamise üksuse koostatud hindamise tehnilisele aruandele;

e) 

sertifitseerimisaruande tulemuste lühikirjeldus, sealhulgas:

1) 

hindamise suhtes kohaldatud ühiskriteeriumide versioon ja vajaduse korral väljalase;

2) 

ühiskriteeriumide usaldusväärsuse pakett ja turvalisuse usaldusväärsuse komponendid, sealhulgas hindamise käigus rakendatud AVA_VAN-tase ja sellele vastav usaldusväärsuse tase, nagu on kindlaks määratud määruse (EL) 2019/881 artiklis 52, millele EUCC sertifikaat viitab;

3) 

hinnatud IKT-toote turvafunktsioon;

4) 

kokkuvõte ohtudest ja organisatsiooni turbepoliitikast, mida hinnatud IKT-tootega käsitletakse;

5) 

konfiguratsiooni erinõuded;

6) 

eeldused töökeskkonna kohta;

7) 

vajaduse korral IV lisa IV.4 jao kohase paikade haldamise heakskiidetud korra olemasolu;

8) 

lahtiütlus(ed).

5. Hinnatud IKT-toode tuleb selgelt kindlaks määrata, sealhulgas järgmise teabe kaudu:

a) 

hinnatud IKT-toote nimetus;

b) 

hindamise osaks olevate IKT-toote komponentide loend;

c) 

IKT-toote komponentide versiooni number;

d) 

sertifitseeritud IKT-toote töökeskkonnale esitatavate lisanõuete kindlaksmääramine;

e) 

EUCC sertifikaadi omaniku nimi ja kontaktandmed;

f) 

asjakohasel juhul sertifikaadis sisalduv paikade haldamise kord;

g) 

link EUCC sertifikaadi omaniku veebisaidile, kus on esitatud sertifitseeritud IKT-toote kohta täiendavat küberturvalisuse alast teavet vastavalt määruse (EL) 2019/881 artiklile 55.

6. Käesolevas jaos sisalduv teave peab olema võimalikult täpne, et tagada IKT-toote täielik ja täpne esitus, mida saab tulevastes hindamistes uuesti kasutada.

7. Turbepoliitika jaotis sisaldab IKT-toote turbepoliitika kirjeldust ja põhimõtteid või norme, mille täitmise hinnatud IKT-toode peab tagama või millele see peab vastama. See jaotis sisaldab viidet järgmistele põhimõtetele ja nende kirjeldust:

a) 

sertifikaadi omaniku turvanõrkuste käsitlemise põhimõtted;

b) 

sertifikaadi omaniku usaldusväärsuse järjepidevuse põhimõtted.

8. Asjakohasel juhul võib poliitika hõlmata tingimusi, mis on seotud paikade haldamise korra kasutamisega sertifikaadi kehtivuse ajal.

9. Eeldusi ja kohaldamisala selgitusi käsitlev jaotis sisaldab ammendavat teavet artikli 7 lõike 1 punktis c osutatud toote ettenähtud kasutamisega seotud asjaolude ja eesmärkide kohta. Teave peab sisaldama järgmist:

a) 

eeldused IKT-toote kasutamise ja kasutuselevõtu kohta miinimumnõuete kujul, näiteks nõuetekohase paigaldamise ja konfigureerimise ning riistvara nõuete täitmine;

b) 

eeldused IKT-toote nõuetekohase toimimise keskkonna kohta.

10. Punktis 9 loetletud teave peab olema võimalikult arusaadav, et võimaldada sertifitseeritud IKT-toote kasutajatel teha teadlikke otsuseid toote kasutamisega seotud riskide kohta.

11. Arhitektuuriteabe jaotis sisaldab IKT-toote ja selle põhikomponentide kõrgetasemelist kirjeldust vastavalt ühiskriteeriumide ADV_TDS-allsüsteemide lahendusele.

12. Vastavalt määruse (EL) 2019/881 artiklile 55 esitatakse IKT-toote täiendava küberturvalisuse alase teabe täielik loend. Kõik asjakohased dokumendid tähistatakse versiooni numbriga.

13. IKT-toodete katsetamise jaotis sisaldab järgmist teavet:

a) 

sertifikaadi välja andnud asutuse või organi, sealhulgas vastutava riikliku küberturvalisuse sertifitseerimise asutuse nimi ja ühtne kontaktpunkt;

b) 

hindamise teinud infotehnoloogia turvalisuse hindamise üksuse nimi, kui see üksus ei ole sertifitseerimisasutus;

c) 

artiklis 3 osutatud standardite alusel kasutatud usaldusväärsuse komponentide kindlaksmääramine;

d) 

tehnika taset käsitleva dokumendi versioon ja hindamisel kasutatud täiendavad turvalisuse hindamise kriteeriumid;

e) 

IKT-toote täielikud ja täpsed seaded ja konfiguratsioon hindamise ajal, sealhulgas märkused ja tähelepanekud töö kohta, kui neid on;

f) 

kõik kasutatud kaitseprofiilid, sealhulgas järgmine teave:

1) 

kaitseprofiili autor;

2) 

kaitseprofiili nimetus ja identifikaator;

3) 

kaitseprofiili sertifikaadi identifikaator;

4) 

kaitseprofiili hindamisse kaasatud sertifitseerimisasutuse ja infotehnoloogia turvalisuse hindamise üksuse nimi ja kontaktandmed;

5) 

kaitseprofiilile vastava toote puhul nõutav usaldusväärsuse pakett (paketid).

14. Sertifikaati käsitlevas jaotises esitatavad hindamise tulemused ja teave sisaldavad järgmist teavet:

a) 

kinnitus käesoleva määruse artiklis 4 ja määruse (EL) 2019/881 artiklis 52 osutatud saavutatud usaldusväärsuse taseme kohta;

b) 

artiklis 3 osutatud standarditest tulenevad usaldusväärsuse nõuded, millele IKT-toode või kaitseprofiil tegelikult vastab, sealhulgas AVA_VAN-tase;

c) 

usaldusväärsuse nõuete üksikasjalik kirjeldus ja üksikasjad selle kohta, kuidas toode vastab igaühele neist;

d) 

sertifikaadi väljaandmise kuupäev ja kehtivusaeg;

e) 

sertifikaadi kordumatu identifikaator.

15. Sertifitseerimisaruandesse lisatakse turvasiht või selle kokkuvõte ja viide ning see esitatakse koos sertifitseerimisaruandega avaldamise eesmärgil.

16. Turvasihi võib puhastada vastavalt VI.2 jaole.

17. Sertifitseerimisaruandesse võib lisada EUCCga seotud märgise või sildi vastavalt artiklis 11 sätestatud normidele ja menetlustele.

18. Kasutatud kirjanduse jaotis sisaldab viiteid kõikidele sertifitseerimisaruande koostamisel kasutatud dokumentidele. See teave peab sisaldama vähemalt järgmist:

a) 

turvalisuse hindamise kriteeriumid, tehnika taset käsitlevad dokumendid ning kasutatud täiendavad asjakohased spetsifikatsioonid ja nende versioon;

b) 

hindamise tehniline aruanne;

c) 

asjakohasel juhul liittoote hindamise tehniline aruanne;

d) 

tehnilised viitedokumendid;

e) 

arendaja dokumentatsioon, mida kasutati hindamisel.

19. Hindamise korratavuse tagamiseks tuleb kõik osutatud dokumendid kordumatult identifitseerida avaldamise õige kuupäeva ja õige versiooni numbriga.

V.2.    Turvasihi puhastamine avaldamiseks

1. VI.1 jao punkti 1 kohasesse sertifitseerimisaruandesse lisatava või selles osutatava turvasihi võib puhastada ärisaladusena käsitletava tehnilise teabe eemaldamise või ümbersõnastamise teel.

2. Selle tulemusena saadud puhastatud turvasiht on selle täieliku algversiooni tegelik esitus. See tähendab, et puhastatud turvasihist ei tohi jätta välja teavet, mis on vajalik, et mõista hindamisobjekti turvaomadusi ja hindamise ulatust.

3. Puhastatud turvasihi sisu vastab järgmistele miinimumnõuetele:

a) 

selle sissejuhatust ei puhastata, sest see ei sisalda üldiselt ärisaladusena käsitletavat teavet;

b) 

puhastatud turvasihil peab olema kordumatu identifikaator, mis erineb selle täieliku algversiooni identifikaatorist;

c) 

hindamisobjekti kirjeldust on lubatud vähendada, sest see võib sisaldada ärisaladusena käsitletavat ja üksikasjalikku teavet hindamisobjekti lahenduse kohta, mida ei tohiks avaldada;

d) 

hindamisobjekti turvakeskkonna kirjeldust (eeldused, ohud, organisatsiooni turbepoliitika) ei tohi vähendata, kuivõrd see teave on vajalik hindamise ulatuse mõistmiseks;

e) 

turvaeesmärke ei tohi vähendata, sest kogu teave tuleb avalikustada, et mõista turvasihi ja hindamisobjekti eesmärke;

f) 

kõik turvanõuded avalikustatakse. Rakendamist käsitlevates märkustes võib esitada teavet selle kohta, kuidas kasutati artiklis 3 osutatud ühiskriteeriumide toimivusnõudeid turvasihi mõistmiseks;

g) 

hindamisobjekti kokkuvõtlik spetsifikatsioon sisaldab kõiki hindamisobjekti turvafunktsioone, kuid ärisaladusena käsitletavat täiendavat teavet võib puhastada;

h) 

lisatakse viited hindamisobjekti suhtes rakendatud kaitseprofiilidele;

i) 

põhjendusi võib ärisaladusena käsitletava teabe eemaldamiseks puhastada.

4. Isegi kui puhastatud turvasihti ei hinnata ametlikult vastavalt artiklis 3 osutatud hindamisstandarditele, tagab sertifitseerimisasutus, et see vastab täielikule ja hinnatud turvasihile, ning viitab sertifitseerimisaruandes nii täielikule kui ka puhastatud turvasihile.



VI LISA

VASTASTIKUSTE HINDAMISTE ULATUS JA RÜHMA KOOSSEIS

VI.1.    Vastastikuse hindamise ulatus

1. Vastastikune hindamine hõlmab järgmist tüüpi hindamisi:

a) 

1. tüüp: kui sertifitseerimisasutus teeb sertifitseerimistoiminguid tasemel AVA_VAN.3;

b) 

2. tüüp: kui sertifitseerimisasutus teeb sertifitseerimistoiminguid, mis on seotud I lisas tehnika taset käsitlevate dokumentidena loetletud tehnilise valdkonnaga;

c) 

3. tüüp: kui sertifitseerimisasutus teeb sertifitseerimistoiminguid kõrgemal tasemel kui AVA_VAN.3, kasutades II või III lisas tehnika taset käsitlevate dokumentidena loetletud kaitseprofiili.

2. Vastastikuse hindamise läbinud sertifitseerimisasutus esitab loendi sertifitseeritud IKT-toodetest, mille vastastikuse hindamise rühm võib järgmiste reeglite kohaselt läbi vaadata:

a) 

väljapakutud tooted katavad sertifitseerimisasutusele antud loa tehnilise kohaldamisala, vastastikuse hindamise käigus analüüsitakse usaldusväärsuse kõrgel tasemel neist vähemalt kahte eri toodet ning ühte kaitseprofiili, kui sertifitseerimisasutus on välja andnud usaldusväärsuse kõrge tasemega sertifikaadi;

b) 

2. tüüpi vastastikuseks hindamiseks esitab sertifitseerimisasutus vähemalt ühe toote iga tehnilise valdkonna ja asjaomase infotehnoloogia turvalisuse hindamise üksuse kohta;

c) 

3. tüüpi vastastikuse hindamise korral hinnatakse vähemalt ühte väljapakutud toodet vastavalt kohaldatavatele ja asjakohastele kaitseprofiilidele.

VI.2.    Vastastikuse hindamise rühm

1. Hindamisrühm koosneb vähemalt kahest eksperdist, kes on valitud eri liikmesriikide eri sertifitseerimisasutustest, mis annavad välja usaldusväärsuse kõrge tasemega sertifikaate. Eksperdid peaksid tõendama asjakohaseid teadmisi artiklis 3 osutatud standardite ja vastastikuse hindamisega hõlmatud tehnika taset käsitlevate dokumentide kohta.

2. Määruse (EL) 2019/881 artikli 56 lõikes 6 osutatud sertifikaatide väljaandmise delegeerimise või eelneva heakskiitmise korral osaleb käesoleva jao lõike 1 kohaselt valitud ekspertide rühmas ka asjaomase sertifitseerimisasutusega seotud riikliku küberturvalisuse sertifitseerimise asutuse ekspert.

3. 2. tüüpi vastastikuseks hindamiseks valitakse hindamisrühma liikmed asjaomase tehnilise valdkonna jaoks loa saanud sertifitseerimisasutustest.

4. Igal hindamisrühma liikmel peab olema vähemalt kaheaastane sertifitseerimisasutuses omandatud sertifitseerimiskogemus.

5. 2. või 3. tüüpi vastastikuse hindamise korral peab igal hindamisrühma liikmel olema vähemalt kaheaastane kogemus asjaomase tehnilise valdkonna või kaitseprofiiliga seotud sertifitseerimistoimingute tegemises ning tõendatud eksperditeadmised ja osalemine infotehnoloogia turvalisuse hindamise üksusele loa andmises.

6. Vastastikuse hindamise läbinud sertifitseerimisasutuse tegevust jälgiv ja selle üle järelevalvet tegev riiklik küberturvalisuse sertifitseerimise asutus ning vähemalt üks riiklik küberturvalisuse sertifitseerimise asutus, kelle sertifitseerimisasutus ei kuulu vastastikusele hindamisele, osalevad vastastikuses hindamises vaatlejana. Vastastikuses hindamises võib vaatlejana osaleda ka ENISA.

7. Vastastikuse hindamise läbinud sertifitseerimisasutusele esitatakse vastastikuse hindamise rühma koosseis. Põhjendatud juhul võib ta vastastikuse hindamise rühma koosseisu vaidlustada ja paluda selle läbivaatamist.



VII LISA

EUCC sertifikaadi sisu

EUCC sertifikaat sisaldab vähemalt järgmist:

a) 

sertifikaadi välja andnud sertifitseerimisasutuse määratud kordumatu identifikaator;

b) 

teave sertifitseeritud IKT-toote või kaitseprofiili ja sertifikaadi omanikukohta, sealhulgas:

1) 

IKT-toote või kaitseprofiili nimetus ja asjakohasel juhul hindamisobjekti nimi;

2) 

IKT-toote või kaitseprofiili ja asjakohasel juhul hindamisobjekti tüüp;

3) 

IKT-toote või kaitseprofiili versioon;

4) 

sertifikaadi omaniku nimi, aadress ja kontaktandmed;

5) 

link sertifikaadi omaniku veebisaidile, mis sisaldab määruse (EL) 2019/881 artiklis 55 osutatud täiendavat küberturvalisuse alast teavet;

c) 

teave IKT-toote või kaitseprofiili hindamise ja sertifitseerimisekohta, sealhulgas:

1) 

sertifikaadi välja andnud sertifitseerimisasutuse nimi, aadress ja kontaktandmed;

2) 

kui hindamist ei teinud sertifitseerimisasutus, siis hindamise teinud infotehnoloogia turvalisuse hindamise üksuse nimi;

3) 

vastutava riikliku küberturvalisuse sertifitseerimise asutuse nimi;

4) 

viide käesolevale määrusele;

5) 

viide V lisas osutatud sertifikaadiga seotud sertifitseerimisaruandele;

6) 

kohaldatav usaldusväärsuse tase vastavalt artiklile 4;

7) 

viide artiklis 3 osutatud standardi versioonile, mida kasutati hindamiseks;

8) 

artiklis 3 osutatud standardites täpsustatud ja VIII lisa kohase usaldusväärsuse taseme või paketi identifitseerimisandmed, sealhulgas kasutatud usaldusväärsuse komponendid ja hõlmatud AVA_VAN-tase;

9) 

asjakohasel juhul viide ühele või mitmele kaitseprofiilile, millele IKT-toode või kaitseprofiil vastab;

10) 

väljaandmise kuupäev;

11) 

sertifikaadi kehtivusaeg;

d) 

sertifikaadiga seotud märgis ja silt vastavalt artiklile 11.



VIII LISA

Usaldusväärsuse paketi deklaratsioon

1. Vastupidiselt ühiskriteeriumides esitatud määratlustele kehtib paketi täiendamise kohta järgmine:

a) 

seda ei tohi tähistada lühendatult märgi „+“ abil;

b) 

see peab sisaldama üksikasjalikku loendit kõigist asjaomastest komponentidest;

c) 

seda tuleb sertifitseerimisaruandes üksikasjalikult kirjeldada.

2. EUCC sertifikaadis kinnitatud usaldusväärsuse taset võib täiendada käesoleva määruse artiklis 3 kindlaks määratud hindamise usaldusväärsuse tasemega.

3. Kui EUCC sertifikaadis kinnitatud usaldusväärsuse tase ei viita paketi täiendamisele, märgitakse EUCC sertifikaadile üks järgmistest pakettidest:

a) 

„usaldusväärsuse eripakett“;

b) 

„kaitseprofiilile vastav usaldusväärsuse pakett“, kui viidatakse hindamise usaldusväärsuse tasemeta kaitseprofiilile.



IX LISA

Märgis ja silt

1. Märgise ja sildi vorm:

image

2. Märgise ja sildi vähendamise või suurendamise korral tuleb kinni pidada eespool esitatud joonise proportsioonidest.

3. Kui märgis ja silt on füüsiliselt olemas, peab see olema vähemalt 5 mm kõrgune.


( 1 ) Komisjoni 18. märtsi 2016. aasta rakendusmäärus (EL) 2016/799, millega rakendatakse Euroopa Parlamendi ja nõukogu määrust (EL) nr 165/2014, millega sätestatakse sõidumeerikute ja nende komponentide konstruktsiooni, katsetamise, paigaldamise, kasutamise ja parandamise nõuded (ELT L 139, 26.5.2016, lk 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj).

( 2 ) Euroopa Parlamendi ja nõukogu 23. juuli 2014. aasta määrus (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.8.2014, lk 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

( 3 ) Komisjoni 25. aprilli 2016. aasta rakendusotsus (EL) 2016/650, millega kehtestatakse kvalifitseeritud allkirja andmise ja templi loomise vahendi turvalisuse hindamise standardid vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul) artikli 30 lõikele 3 ja artikli 39 lõikele 2 (ELT L 109, 26.4.2016, lk 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).

( 4 ) Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80).