(1)

Asetuksen (EU) 2019/881 (kyberturvallisuusasetus) 61 artiklan 1 kohdan mukaan kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten on ilmoitettava komissiolle vaatimustenmukaisuuden arviointilaitoksista, jotka on akkreditoitu ja soveltuvin osin valtuutettu myöntämään eurooppalaisia kyberturvallisuussertifikaatteja määritellyillä varmuustasoilla, ja pidettävä nämä ilmoitukset ajan tasalla. Lisäksi asetuksen (EU) 2019/881 61 artiklan 2 kohdan mukaan komission on julkaistava Euroopan unionin virallisessa lehdessä luettelo eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti ilmoitetuista vaatimustenmukaisuuden arviointilaitoksista vuoden kuluttua järjestelmän voimaantulosta. Jotta voidaan varmistaa yhdenmukainen lähestymistapa ilmoituksiin ja helpottaa kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten ilmoitusprosessia, tässä asetuksessa olisi täsmennettävä ilmoituksiin liittyvät olosuhteet, muotoseikat ja menettelyt. Näitä näkökohtia on tärkeää selventää, jotta voidaan soveltaa komission täytäntöönpanoasetuksella (EU) 2024/482 (2) perustettua ensimmäistä yhteisiin kriteereihin perustuvaa eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.

(2)

Tässä asetuksessa otetaan huomioon asetuksen (EU) 2019/881 ja asiaankuuluvan unionin yhdenmukaistamislainsäädännön, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2024/2847 (kyberkestävyyssäädös) (3), väliset synergiat. Sen vuoksi ehdotetaan, että kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset tekevät ilmoituksensa komissiolle käyttäen Euroopan parlamentin ja neuvoston päätöksessä N:o 768/2008/EY (4) tarkoitettua komission kehittämää ja hallinnoimaa sähköistä ilmoitusvälinettä. Luettelo olisi myös asetettava julkisesti saataville komission kehittämässä ja hallinnoimassa sähköisessä ilmoitusvälineessä, sanotun kuitenkaan vaikuttamatta komission velvollisuuteen julkaista luettelo ilmoitetuista vaatimustenmukaisuuden arviointilaitoksista Euroopan unionin virallisessa lehdessä.

(3)

Akkreditoiduista ja soveltuvin osin valtuutetuista vaatimustenmukaisuuden arviointilaitoksista ilmoittaminen tarkoittaa, että näiden laitosten voidaan luottaa suorittavan arviointi- ja sertifiointitoimia asetuksen (EU) 2019/881 mukaisesti, mikä edistää eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien yleistä mainetta. Sen vuoksi on olennaisen tärkeää varmistaa, että ilmoitetut vaatimustenmukaisuuden arviointilaitokset täyttävät vaatimuksensa ja hoitavat velvoitteensa myös jatkossa. Ilmoitetuista vaatimustenmukaisuuden arviointilaitoksista julkaistun luettelon olisi oltava paikkansapitävä ja se olisi pidettävä ajan tasalla, jotta se heijastaa sitä, että laitokset täyttävät asetuksessa (EU) 2019/881 säädetyt vaatimukset ja soveltuvin osin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaiset erityis- tai lisävaatimukset. Tätä varten on tarpeen, että kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset ilmoittavat komissiolle ilmoituksen mahdollisista muutoksista ilman aiheetonta viivytystä asetuksen (EU) 2019/881 61 artiklan 1 kohdan mukaisesti.

(4)

Kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset vastaavat sen varmistamisesta, että vaatimustenmukaisuuden arviointilaitokset noudattavat asetusta (EU) 2019/881 ja eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä, ja tässä yhteydessä varmistavat ilmoitusten paikkansapitävyyden. Näistä toimista tehdään vertaisarviointi, jonka tulosten pitäisi auttaa määrittämään tarvittavat muutokset niiden tehokkuuden parantamiseksi. Kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset voivat niiden tietoon eri olosuhteissa tuotujen huolenaiheiden johdosta todeta, että vaatimustenmukaisuuden arviointilaitos ei enää täytä asiaankuuluvia vaatimuksia. Vertaisarviointimekanismien havaintojen olisi tarvittaessa tuettava kansallisia kyberturvallisuussertifioinnin myöntäviä viranomaisia ilmoitettujen vaatimustenmukaisuuden arviointilaitosten jatkuvan pätevyyden seurannassa. Myös muut kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset, komissio tai sidosryhmät voivat tuoda ilmoittavan kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen tietoon ilmoitettujen vaatimustenmukaisuuden arviointilaitosten jatkuvaa pätevyyttä koskevia huolenaiheita.

(5)

Kun ilmoittava kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen päättää vaatimustenmukaisuuden arviointilaitosta koskevan ilmoituksen voimassaolon keskeyttämisestä, rajoittamisesta tai peruuttamisesta, sen on tehtävä yhteistyötä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 765/2008 (5) mukaisesti nimetyn kansallisen akkreditointielimen kanssa. Tämä on asetuksen (EU) 2019/881 mukaista, sillä siinä säädetään, että kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi aktiivisesti avustettava ja tuettava kansallisia akkreditointielimiä ja tehtävä yhteistyötä niiden kanssa niiden seuranta- ja valvontatoimissa. Ilmoituksen rajoittamisessa olisi viitattava tapaukseen, jossa akkreditoinnin pätevyysaluetta tai tapauksen mukaan valtuutuksen soveltamisalaa ja siten ilmoituksen soveltamisalaa on rajoitettu.

(6)

Asetuksen (EU) 2019/881 54 artiklan 1 kohdan n alakohdan mukaan kuhunkin eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmään on tarvittaessa sisällyttävä säännöt, jotka koskevat tietojen säilyttämistä vaatimustenmukaisuuden arviointilaitoksissa. Sen vuoksi on tarpeen, että jos ilmoitusta rajoitetaan tai sen voimassaolo keskeytetään tai se peruutetaan tai jos ilmoitettu vaatimustenmukaisuuden arviointilaitos on lopettanut toimintansa, ilmoittava kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen varmistaa, että kyseisen vaatimustenmukaisuuden arviointilaitoksen tiedot säilytetään turvallisella tavalla ja tarvittavan ajan, kuten eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määrätään.

(7)

Tässä asetuksessa säädetyt toimenpiteet ovat asetuksen (EU) 2019/881 66 artiklalla perustetun komitean lausunnon mukaiset,