(1)

Az (EU) 2019/881 rendelet (kiberbiztonsági jogszabály) 61. cikkének (1) bekezdése értelmében a nemzeti kiberbiztonsági tanúsító hatóságok felelősek azért, hogy bejelentsék a Bizottságnak azokat a megfelelőségértékelő szervezeteket, amelyeket akkreditáltak és – adott esetben – meghatározott megbízhatósági szintű európai kiberbiztonsági tanúsítványok kiadására feljogosítottak; a nemzeti kiberbiztonsági tanúsító hatóságoknak továbbá naprakészen kell tartaniuk a bejelentéseket. Ezenkívül az (EU) 2019/881 rendelet 61. cikkének (2) bekezdése értelmében a Bizottságnak egy évvel az adott európai kiberbiztonsági tanúsítási rendszer hatálybalépését követően közzé kell tennie az Európai Unió Hivatalos Lapjában az adott rendszer keretében bejelentett megfelelőségértékelő szervezetek jegyzékét. A bejelentésekre vonatkozó harmonizált megközelítés biztosítása és a nemzeti kiberbiztonsági tanúsító hatóságokra vonatkozó bejelentési eljárás megkönnyítése érdekében e rendeletnek további pontosításokkal kell szolgálnia a bejelentésekkel kapcsolatos feltételek, formátumok és eljárások tekintetében. Ezeket a szempontokat fontos tisztázni az első közös kritériumokon alapuló kiberbiztonsági tanúsítási rendszer (EUCC) alkalmazására való tekintettel, amelyet az (EU) 2024/482 bizottsági végrehajtási rendelet (2) határoz meg.

(2)

Ez a rendelet elismeri az (EU) 2019/881 rendelet és a vonatkozó uniós harmonizációs jogszabályok, többek között az (EU) 2024/2847 európai parlamenti és tanácsi rendelet (a kiberrezilienciáról szóló jogszabály) (3) közötti szinergiákat. Ezért azt javasoljuk, hogy a nemzeti kiberbiztonsági tanúsító hatóságok a 768/2008/EK európai parlamenti és tanácsi határozatban (4) említett, a Bizottság által kifejlesztett és kezelt elektronikus bejelentési eszközön keresztül nyújtsák be a Bizottság számára a bejelentésüket. A Bizottság azon kötelezettségének sérelme nélkül, hogy a bejelentett megfelelőségértékelő szervezetek jegyzékét közzé kell tennie az Európai Unió Hivatalos Lapjában, a jegyzéket a Bizottság által kifejlesztett és kezelt elektronikus bejelentési eszközön keresztül is nyilvánosan hozzáférhetővé kell tenni.

(3)

Az akkreditált és – adott esetben – engedélyezett megfelelőségértékelő szervezetek bejelentése azt jelenti, hogy ezek a szervezetek megbízhatóan elvégzik az (EU) 2019/881 rendelet szerinti értékelési és tanúsítási tevékenységeket, hozzájárulva az európai kiberbiztonsági tanúsítási rendszerek általános hírnevéhez. Ezért alapvető fontosságú annak biztosítása, hogy a bejelentett megfelelőségértékelő szervezetek mindvégig megfeleljenek a követelményeknek és teljesítsék kötelezettségeiket. A bejelentett megfelelőségértékelő szervezetek közzétett jegyzékének pontosnak és naprakésznek kell lennie, tükrözve az (EU) 2019/881 rendeletben meghatározott követelményeknek és adott esetben az európai kiberbiztonsági tanúsítási rendszer egyedi vagy kiegészítő követelményeinek való megfelelésüket. E célból a nemzeti kiberbiztonsági tanúsító hatóságoknak az (EU) 2019/881 rendelet 61. cikke (1) bekezdésével összhangban indokolatlan késedelem nélkül értesíteniük kell a Bizottságot a bejelentést érintő bármely változásról.

(4)

A nemzeti kiberbiztonsági tanúsító hatóságok felelősek annak biztosításáért, hogy a megfelelőségértékelő szervezetek megfeleljenek az (EU) 2019/881 rendeletnek és az európai kiberbiztonsági tanúsítási rendszereknek, és ezzel összefüggésben biztosítaniuk kell a bejelentések pontosságát. Ezeket a tevékenységeket kölcsönös felülvizsgálatnak vetik alá, amelynek eredménye alapján meg lehet határozni, mely változtatások szükségesek a hatékonyság növeléséhez. A nemzeti kiberbiztonsági tanúsító hatóságok a különböző körülmények között tudomásukra jutott aggályok alapján arra a megállapításra juthatnak, hogy egy megfelelőségértékelő szervezet már nem felel meg a vonatkozó követelményeknek. Adott esetben a kölcsönös felülvizsgálati mechanizmusok megállapításainak támogatniuk kell a nemzeti kiberbiztonsági tanúsító hatóságokat a bejelentett megfelelőségértékelő szervezetek folyamatos felkészültségének nyomon követésében. Emellett más nemzeti kiberbiztonsági tanúsító hatóságok, a Bizottság vagy az érdekelt felek is vethetnek fel a bejelentett megfelelőségértékelő szervezetek folyamatos felkészültségével kapcsolatos aggályokat a bejelentést tevő nemzeti kiberbiztonsági tanúsító hatóságnál.

(5)

A megfelelőségértékelő szervezet bejelentésének felfüggesztéséről, korlátozásáról vagy visszavonásáról szóló döntés meghozatalakor a bejelentő nemzeti kiberbiztonsági tanúsító hatóságnak együtt kell működnie a 765/2008/EK európai parlamenti és tanácsi rendelet (5) alapján kijelölt nemzeti akkreditáló testülettel. Ez összhangban van az (EU) 2019/881 rendelettel, amely előírja, hogy a nemzeti kiberbiztonsági tanúsító hatóságoknak aktívan segíteniük és támogatniuk kell a nemzeti akkreditáló testületeket, és együtt kell működniük velük a nyomonkövetési és felügyeleti tevékenységük során. A bejelentés korlátozása azon esetekre vonatkozik, amikor az akkreditáció vagy adott esetben az engedély hatálya – és ezáltal a bejelentés hatálya – csökken.

(6)

Az (EU) 2019/881 rendelet 54. cikke (1) bekezdésének n) pontja értelmében adott esetben valamennyi európai kiberbiztonsági tanúsítási rendszernek tartalmaznia kell a megfelelőségértékelő szervezetek nyilvántartásainak megőrzésére vonatkozó szabályokat. Ezért a bejelentés korlátozása, felfüggesztése vagy visszavonása esetén, vagy ha a bejelentett megfelelőségértékelő szervezet beszüntette tevékenységét, a bejelentő nemzeti kiberbiztonsági tanúsító hatóságnak gondoskodnia kell arról, hogy az adott megfelelőségértékelő szervezet nyilvántartásait az európai kiberbiztonsági tanúsítási rendszerben előírtaknak megfelelően biztonságos módon tárolják és a szükséges ideig megőrizzék.

(7)

Az e rendeletben előírt intézkedések összhangban vannak az (EU) 2019/881 rendelet 66. cikkével létrehozott bizottság véleményével,