(1)

Uitvoeringsverordening (EU) 2024/482 van de Commissie (2) (hierna “de verordening”) specificeert de rollen, regels en verplichtingen, alsook de structuur van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC) overeenkomstig het Europees kader voor cyberbeveiligingscertificering dat is vastgesteld in Verordening (EU) 2019/881.

(2)

De verordening is gebaseerd op gevestigde internationale normen, te weten de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethodologie van de Internationale Organisatie voor normalisatie (ISO) en de Internationale Elektrotechnische Commissie (IEC). Ze verwijst naar ISO/IEC-normen, maar specificeert niet de toepasselijke versie ervan. Daarom moet worden gespecificeerd welke versie van de normen van toepassing is op certificaten die zijn afgegeven in het kader van de EUCC.

(3)

De overheidsorganisaties die hebben bijgedragen tot de ontwikkeling van de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethodologie via de regeling ter erkenning van certificaten van gemeenschappelijke criteria op het gebied van IT-beveiliging (CCRA), zijn samen met de ISO/IEC houder van de auteursrechten. Deze overheidsorganisaties behouden het recht om ze te gebruiken. Vanwege het belang van deze documenten die afkomstig zijn van de CCRA, moeten zij ook een basis vormen voor certificering in het kader van de EUCC.

(4)

De normen van de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethodologie zijn onderhevig aan interpretaties door de CCRA die hun toepassing vergemakkelijken en die door faciliteiten voor de evaluatie van de beveiliging van informatietechnologie (ITSEF’s) en certificeringsinstanties in overweging kunnen worden genomen.

(5)

Internationale normen met betrekking tot de gemeenschappelijke criteria kunnen worden bijgewerkt. Om een ordelijke en tijdige overgang te waarborgen, moeten overgangsregels worden vastgesteld om verkopers, ITSEF’s, certificeringsinstanties en andere belanghebbenden voldoende tijd te geven voor de nodige aanpassingen. Dergelijke overgangsregels moeten passend worden afgestemd op mondiale praktijken, zoals die van de CCRA.

(6)

In de verordening wordt niet gespecificeerd tot wanneer een ICT-productcertificering kan worden gebaseerd op de vorige versies van de normen voor de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethodologie. De in de bijlagen I, II en III bij de verordening vermelde technische domeinen en beveiligingsprofielen zijn gebaseerd op eerdere versies van de normen ISO/IEC 15408 en 18045. In de verordening moet daarom worden gespecificeerd onder welke omstandigheden de vorige versie van de gemeenschappelijke criteria en de gemeenschappelijke evaluatiemethodologie van toepassing blijft en hoe de overgang naar de nieuwste versie van de internationale normen moet verlopen.

(7)

Tijdens de overgangsperiode moet de bijwerking van de technische domeinen en beveiligingsprofielen voor de belanghebbenden een prioriteit zijn. In de verordening moet worden bepaald dat beveiligingsdoelstellingen op basis van een eerdere versie van de normen tot en met 31 december 2027 worden aanvaard, conform het CCRA-overgangsbeleid. Er zij echter op gewezen dat dat beleid betrekking heeft op de eerste evaluaties van producten en beveiligingsprofielen die uiterlijk 30 juni 2024 zijn ingegaan, toen de EUCC nog niet van toepassing was. Conform het CCRA-overgangsbeleid moet in de verordening ook worden bepaald dat beveiligingsdoelstellingen die in overeenstemming zijn met de verordening en op basis van een eerdere versie van de normen aan beveiligingsprofielen zouden voldoen, tot en met 31 december 2027 worden aanvaard. Indien uit hoofde van de verordening een nieuw certificaat wordt afgegeven bij een herzieningsproces van een nationaal certificaat dat binnen twee jaar na het oorspronkelijke certificaat wordt gestart, moet het bovendien mogelijk zijn een eerdere versie van de normen te gebruiken. Dit geldt niet voor een herzieningsproces waarbij geen nieuw certificaat uit hoofde van de verordening hoeft te worden afgegeven en waarbij het certificaat geldig blijft.

(8)

Om een ordelijke overgang naar de nieuwste versie van de normen te waarborgen, moeten in de verordening specifieke overgangsregels worden bepaald en moet uit hoofde van de verordening de afgifte mogelijk blijven van certificaten die zouden voldoen aan beveiligingsprofielen die gebaseerd zijn op eerdere versies van de normen van de CCRA, indien het gebruik van dergelijke beveiligingsprofielen krachtens de Uniewetgeving vereist is. Dat is zo voor Uitvoeringsverordening (EU) 2016/799 van de Commissie (3), Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad (4) en Uitvoeringsbesluit (EU) 2016/650 van de Commissie (5).

(9)

Bijlage I bij de verordening bevat een lijst van toepasselijke documenten over de huidige stand van de techniek voor de evaluatie van ICT-producten en beveiligingsprofielen. De versie van de documenten wordt echter niet gespecificeerd. Daarom moet worden gespecificeerd welke versie van de documenten van toepassing is op certificaten die zijn afgegeven in het kader van de EUCC. Die versies bouwen voort op documenten die zijn goedgekeurd door de Europese Groep voor cyberbeveiligingscertificering (EGC), maar zijn verder herzien om ze in de EUCC op te nemen. Bovendien moet bijlage I worden gewijzigd om bijgewerkte en nieuwe documenten over de huidige stand van de techniek op te nemen na de goedkeuring ervan door de EGC, zodat een uniforme accreditatie van conformiteitsbeoordelingsinstanties in het kader van de EUCC wordt gewaarborgd. De accreditatie-eisen met betrekking tot de accreditatie van ITSEF’s moeten worden bijgewerkt om de toepassing van de onafhankelijkheids- en onpartijdigheidscriteria te verduidelijken, en er moet een nieuw document over de huidige stand van de techniek worden opgesteld voor de accreditatie van certificeringsinstanties.

(10)

Documenten over de huidige stand van de techniek kunnen aan de EUCC worden toegevoegd of in het kader van zijn onderhoudsactiviteiten worden bijgewerkt. Mogelijk moeten voor nieuwe of bijgewerkte documenten over de huidige stand van de techniek passende overgangsregels worden vastgesteld, zodat verkopers, ITSEF’s, certificeringsinstanties en andere belanghebbenden de nodige aanpassingen aan kunnen brengen. Voor de bijwerking van het document over de huidige stand van de techniek met betrekking tot de accreditatie van ITSEF’s mag het bijgewerkte document alleen van toepassing zijn op accreditaties die vóór 8 juli 2025 zijn afgegeven, bijvoorbeeld in het kader van een beoordelings- of herbeoordelingsprocedure. Bovendien moet het bijgewerkte document van toepassing zijn op alle accreditaties voor ITSEF’s die na 8 juli 2025 zijn afgegeven.

(11)

Verdere rectificaties van de artikelen 5, 8, 16, 29 en 44 van en bijlage IV bij de verordening moeten bijdragen tot een eenduidige formulering en een duidelijke juridische interpretatie.

(12)

De regels voor de aanmelding van de conformiteitsbeoordelingsinstanties moeten horizontaal worden vastgesteld voor alle regelingen onder het Europees kader voor cyberbeveiligingscertificering. In Uitvoeringsverordening (EU) 2024/3143 van de Commissie (6) zijn die aanmeldingsregels bepaald. Daarom moeten de artikelen 23 en 24 van de verordening worden geschrapt met ingang van de datum waarop Uitvoeringsverordening (EU) 2024/3143 van toepassing wordt.

(13)

De verordening moet daarom dienovereenkomstig worden gewijzigd en gerectificeerd.

(14)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 66 van Verordening (EU) 2019/881 opgerichte comité,

1)

In artikel 2 worden de punten 1) en 2) vervangen door:

2)

Artikel 3 wordt vervangen door:

(*1)  Uitvoeringsverordening (EU) 2016/799 van de Commissie van 18 maart 2016 tot uitvoering van Verordening (EU) nr. 165/2014 van het Europees Parlement en de Raad tot vaststelling van de eisen voor de constructie, het testen, de installatie, de exploitatie en de reparatie van tachografen en tachograafonderdelen (PB L 139 van 26.5.2016, blz. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PB L 257 van 28.8.2014, blz. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  Uitvoeringsbesluit (EU) 2016/650 van de Commissie van 25 april 2016 tot vaststelling van normen inzake de veiligheidsbeoordeling van gekwalificeerde middelen voor het aanmaken van handtekeningen en zegels overeenkomstig artikel 30, lid 3, en artikel 39, lid 2, van Verordening (EU) nr. 910/2014 van het Europees Parlement en de Raad betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt (PB L 109 van 26.4.2016, blz. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).”."

3)

In hoofdstuk IV wordt het volgende artikel 20 bis ingevoegd:

4)

De artikelen 23 en 24 worden geschrapt.

5)

Aan artikel 48 wordt het volgende lid 4 toegevoegd:

6)

Aan artikel 49 wordt het volgende lid 4 toegevoegd:

7)

Bijlage I wordt vervangen door de tekst in bijlage I bij deze verordening.

8)

Bijlage IV wordt gewijzigd overeenkomstig bijlage II bij deze verordening.

1)

In artikel 5, lid 1, wordt punt b) vervangen door:

2)

Artikel 8 wordt als volgt gerectificeerd:

3)

Artikel 16 wordt vervangen door:

4)

In artikel 17 wordt lid 1 geschrapt.

5)

In artikel 29 wordt lid 2 vervangen door: