1.   Proizvod IKT, predložen za certificiranje, se oceni vsaj v skladu z naslednjim:

2.   V izjemnih in ustrezno utemeljenih primerih lahko organ za ugotavljanje skladnosti zahteva, da se zadevni najsodobnejši dokument ne uporablja. V takih primerih organ za ugotavljanje skladnosti obvesti nacionalni certifikacijski organ za kibernetsko varnost in zahtevo ustrezno utemelji. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev izjeme in jo, kadar je to upravičeno, odobri. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata. Nacionalni certifikacijski organ za kibernetsko varnost o odobreni izjemi brez nepotrebnega odlašanja uradno obvesti evropsko certifikacijsko skupino za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

3.   Certificiranje proizvodov IKT na ravni AVA_VAN 4 ali 5 je mogoče le v naslednjih primerih:

4.   Kadar organ za ugotavljanje skladnosti meni, da gre za izjemen in ustrezno utemeljenem primeru iz točke (c) odstavka 3, o nameravanem certificiranju uradno obvesti nacionalni certifikacijski organ za kibernetsko varnost z utemeljitvijo in predlagano metodologijo ocenjevanja. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev izjeme in, kadar je to upravičeno, odobri ali spremeni metodologijo ocenjevanja, ki jo uporabi organ za ugotavljanje skladnosti. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata. Nacionalni certifikacijski organ za kibernetsko varnost o nameravanem certificiranju brez nepotrebnega odlašanja poroča evropski certifikacijski skupini za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

5.   Če se za proizvod IKT izvaja ocenjevanje sestavljenega proizvoda v skladu z ustreznimi najsodobnejšimi proizvodi, center za ocenjevanje varnosti informacijske tehnologije, ki je izvedel ocenjevanje osnovnega proizvoda IKT, izmenja ustrezne informacije s centrom za ocenjevanje varnosti informacijske tehnologije, ki izvaja ocenjevanje sestavljenega proizvoda IKT.

1.   Vložnik za certificiranje v okviru EUCC certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi ali da drugače na voljo vse potrebne informacije za dejavnosti certificiranja.

2.   Informacije iz odstavka 1 vključujejo vse ustrezne dokaze v skladu z oddelki o „elementih ukrepa razvijalca“ v ustrezni obliki, kakor je določena v oddelkih „vsebina in predstavitev dokaznega elementa“ skupnih meril in skupne metodologije ocenjevanja za izbrano stopnjo zanesljivosti in s tem povezane zahteve za zagotavljanje varnosti. Dokazila po potrebi vključujejo podrobnosti o proizvodu IKT in njegovi izvorni kodi v skladu s to uredbo, pri čemer se upoštevajo zaščitni ukrepi proti nepooblaščenem razkritju podatkov.

3.   Vložniki za certificiranje lahko certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovijo ustrezne rezultate o ocenjevanju iz prejšnjega certificiranja v skladu:

4.   Kadar se rezultati ocenjevanja nanašajo na naloge centra za ocenjevanje varnosti informacijske tehnologije, ta lahko ponovno uporabi rezultate ocenjevanja, če so taki rezultati skladni z veljavnimi zahtevami in je potrjena njihova verodostojnost.

5.   Kadar certifikacijski organ dovoli izvedbo certificiranja sestavljenega proizvoda, vložnik za certificiranje certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije da na voljo vse potrebne elemente, kadar je ustrezno, v skladu z najsodobnejšim dokumentom.

6.   Vložnik za certificiranje certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi tudi naslednje informacije:

7.   Certifikacijski organ, center za ocenjevanje varnosti informacijske tehnologije in vložnik hranijo vse ustrezne dokumente iz tega člena pet let po poteku veljavnosti certifikata.

1.   Certifikacijski organi izdajo certifikat EUCC, če so izpolnjeni vsi naslednji pogoji:

2.   Vložnik za certificiranje sprejme naslednje zaveze:

3.   Če se za proizvod IKT izvaja certificiranje sestavljenega proizvoda v skladu z relevantnimi najsodobnejšimi dokumenti, certifikacijski organ, ki je izvedel certificiranje osnovnega proizvoda IKT, izmenja ustrezne informacije s certifikacijskim organom, ki izvaja certificiranje sestavljenega proizvoda IKT.

1.   Certifikat EUCC vsebuje vsaj informacije iz Priloge VII.

2.   Področje uporabe in meje certificiranega proizvoda IKT se nedvoumno določijo v certifikatu EUCC ali poročilu o certifikaciji, v katerem je navedeno, ali je bil certificiran celotni proizvod IKT ali samo njegovi deli.

3.   Certifikacijski organ vložniku zagotovi certifikat EUCC vsaj v elektronski obliki.

4.   Certifikacijski organ za vsak izdani certifikat EUCC pripravi poročilo o certificiranju v skladu s Prilogo V. To poročilo temelji na tehničnem poročilu o ocenjevanju, ki ga izda center za ocenjevanje varnosti informacijske tehnologije. V tehničnem poročilu o ocenjevanju in poročilu o certificiranju so navedena posebna merila in metode ocenjevanja iz člena 7, uporabljeni pri ocenjevanju.

5.   Certifikacijski organ nacionalnemu certifikacijskemu organu za kibernetsko varnost in Agenciji ENISA zagotovi vsak certifikat EUCC in vsako poročilo o certificiranju v elektronski obliki.

1.   Imetnik certifikata lahko na certificiran proizvod IKT namesti znak in oznako. Znak in oznaka dokazujeta, da je proizvod IKT certificiran v skladu s to uredbo. Namestita se v skladu s tem členom in Prilogo IX.

2.   Znak in oznaka sta vidno, čitljivo in neizbrisno nameščena na certificiran proizvod IKT ali njegovo tablico s podatki. Kadar to ni mogoče ali ni upravičeno zaradi značilnosti proizvoda, se namestita na embalažo in spremne dokumente. Kadar je certificirani proizvod IKT dobavljen v obliki programske opreme, se znak in oznaka vidno, berljivo in neizbrisno prikažeta v spremni dokumentaciji ali pa je ta dokumentacija uporabnikom zlahka in neposredno dostopna prek spletišča.

3.   Znak in oznaka se določita v skladu s Prilogo IX in vsebujeta:

4.   Ob znaku in oznaki je navedena koda QR s povezavo na spletišče, ki vsebuje vsaj:

1.   Certifikacijski organ določi rok veljavnosti vsakega izdanega certifikata EUCC, pri čemer upošteva značilnosti certificiranega proizvoda IKT.

2.   Rok veljavnosti certifikata EUCC ne presega petih let.

3.   Ta rok lahko z odstopanjem od odstavka 2 presega pet let, če to predhodno odobri nacionalni certifikacijski organ za kibernetsko varnost. Nacionalni certifikacijski organ za kibernetsko varnost evropsko certifikacijsko skupino za kibernetsko varnost brez nepotrebnega odlašanja uradno obvesti o odobreni odobritvi.

1.   Certifikacijski organ se lahko na zahtevo imetnika certifikata ali iz drugih utemeljenih razlogov odloči pregledati certifikat EUCC za proizvod IKT. Pregled se opravi v skladu s Prilogo IV. Certifikacijski organ določi obseg pregleda. Če je to potrebno za pregled, od centra za ocenjevanje varnosti informacijske tehnologije zahteva, da ponovno oceni certificirani proizvod IKT.

2.   Certifikacijski organ glede na rezultate pregleda in, kadar je ustrezno, ponovnega ocenjevanja:

3.   Certifikacijski organ se lahko odloči, da certifikat EUCC brez nepotrebnega odlašanja začasno odvzame v skladu s členom 30, dokler imetnik certifikata EUCC ne izvede popravnih ukrepov.

1.   Certifikacijski organ brez poseganja v člen 58(8), točka (e), Uredbe (EU) 2019/881 odvzame certifikat EUCC, ki ga je izdal.

2.   Certifikacijski organ iz odstavka 1 o odvzemu certifikata uradno obvesti nacionalni certifikacijski organ za kibernetsko varnost. O takem odvzemu uradno obvesti tudi Agencijo ENISA, da ta lažje izvede nalogo v skladu s členom 50 Uredbe (EU) 2019/881. Nacionalni certifikacijski organ za kibernetsko varnost uradno obvesti druge ustrezne organe za nadzor trga.

3.   Odvzem certifikata lahko zahteva imetnik certifikata EUCC.

1.   Profil zaščite se oceni vsaj v skladu z naslednjim:

2.   V izjemnih in ustrezno utemeljenih primerih lahko organ za ugotavljanje skladnosti certificira profil zaščite brez uporabe ustreznih najsodobnejših dokumentov. V takih primerih obvesti pristojni nacionalni certifikacijski organ za kibernetsko varnost in predloži utemeljitev za nameravano certificiranje brez uporabe ustreznih najsodobnejših dokumentov in predlagano metodologijo ocenjevanja. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev in, kadar je to upravičeno, odobri neuporabo ustreznih najsodobnejših dokumentov ter po potrebi odobri ali spremeni metodologijo ocenjevanja, ki jo uporabi organ za ugotavljanje skladnosti. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata za profil zaščite. Nacionalni certifikacijski organ za kibernetsko varnost o odobreni neuporabi zadevnih najsodobnejših dokumentov brez nepotrebnega odlašanja uradno obvesti evropsko certifikacijsko skupino za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

1.   Vložnik za certificiranje certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi vse potrebne popolne in točne informacije.

2.   Smiselno se uporabljata člena 9 in 10.

3.   Center za ocenjevanje varnosti informacijske tehnologije oceni, ali je profil zaščite popoln, skladen, tehnično zanesljiv in učinkovit za predvideno uporabo, oceni pa tudi varnostne cilje kategorije proizvoda IKT, zajete v navedeni profil zaščite.

4.   Profil zaščite certificira samo:

1.   Certifikacijski organ določi rok veljavnosti vseh certifikatov EUCC.

2.   Rok veljavnosti lahko traja največ do konca življenjske dobe zadevnega profila zaščite.

1.   Certifikacijski organ se lahko na zahtevo imetnika certifikata ali iz drugih utemeljenih razlogov odloči pregledati certifikat EUCC za profil zaščite. Pregled se izvede ob uporabi pogojev iz člena 15. Certifikacijski organ določi obseg pregleda. Če je to potrebno za pregled, od centra za ocenjevanje varnosti informacijske tehnologije zahteva, da ponovno oceni certificirani profil zaščite.

2.   Certifikacijski organ glede na rezultate pregleda in, kadar je ustrezno, ponovnega ocenjevanja, stori eno od naslednjega:

1.   Certifikacijski organ, ki je izdal certifikat EUCC za profil zaščite, brez poseganja v člen 58(8), točka (e), Uredbe (EU) 2019/881 odvzame navedeni certifikat. Pri tem se smiselno uporablja člen 14.

2.   Certifikacijski organ za kibernetsko varnost, ki je odobril certifikat za profil zaščite, izdan v skladu s členom 17(4), točka (b), prekliče navedeni certifikat.

1.   Nacionalni certifikacijski organ za kibernetsko varnost brez poseganja v člen 58(7) Uredbe (EU) 2019/881 spremlja, kako:

2.   Nacionalni certifikacijski organ za kibernetsko varnost dejavnosti spremljanja izvaja zlasti na podlagi:

3.   Nacionalni certifikacijski organ za kibernetsko varnost v sodelovanju z drugimi organi za nadzor trga letno vzorči vsaj 4 % certifikatov, kakor je določeno v oceni tveganja. Pri spremljanju skladnosti mu na zahtevo in v imenu pristojnega nacionalnega certifikacijskega organa za kibernetsko varnost, pomagajo certifikacijski organi in po potrebi center za ocenjevanje varnosti informacijske tehnologije.

4.   Nacionalni certifikacijski organ za kibernetsko varnost izbere vzorec certificiranih proizvodov IKT, ki se preverijo z objektivnimi merili, ki vključujejo:

5.   Nacionalni certifikacijski organ za kibernetsko varnost imetnike certifikata EUCC obvesti o izbranih proizvodih IKT in merilih za izbor.

6.   Certifikacijski organ, ki je certificiral vzorčeni proizvod IKT, na zahtevo nacionalnega certifikacijskega organa za kibernetsko varnost s pomočjo ustreznega centra za ocenjevanje varnosti informacijske tehnologije izvede dodatni pregled v skladu s postopkom iz oddelka IV.2 Priloge IV in nacionalni certifikacijski organ za kibernetsko varnost obvesti o rezultatih.

7.   Kadar nacionalni certifikacijski organ za kibernetsko varnost utemeljeno domneva, da certificirani proizvod IKT ni več skladen s to uredbo ali Uredbo (EU) 2019/881, lahko izvede preiskave ali uporabi druga pooblastila za spremljanje iz člena 58(8) Uredbe (EU) 2019/881.

8.   Nacionalni certifikacijski organ za kibernetsko varnost obvesti certifikacijski organ in zadevni center za ocenjevanje varnosti informacijske tehnologije o odprtih preiskavah v zvezi z izbranimi proizvodi IKT.

9.   Če nacionalni certifikacijski organ za kibernetsko varnost ugotovi, da se odprta preiskava nanaša na proizvode IKT, ki jih certificirajo certifikacijski organi, ustanovljeni v drugih državah članicah, o tem obvesti nacionalne certifikacijske organe za kibernetsko varnost zadevnih držav članic, da, kadar je ustrezno, sodeluje v preiskavah. Tak organ o čezmejnih preiskavah in naknadnih rezultatih uradno obvesti tudi evropsko certifikacijsko skupino za kibernetsko varnost.

1.   Certifikacijski organ spremlja, kako:

2.   Certifikacijski organ dejavnosti spremljanja izvaja na podlagi:

3.   Nacionalni certifikacijski organ za kibernetsko varnost lahko oblikuje pravila za redni dialog med certifikacijskimi organi in imetniki certifikatov EUCC, da preveri, ali so zaveze, sprejete v skladu s členom 9(2), izpolnjene, in o njih poroča, brez poseganja v dejavnosti, povezane z drugimi ustreznimi organi za nadzor trga.

1.   Imetnik certifikata EUCC izvede naslednje naloge za spremljanje, ali certificirani proizvodi IKT izpolnjujejo varnostne zahteve:

2.   Imetnik certifikata EUCC za podporo dejavnosti spremljanja sodeluje s certifikacijskim organom, centrom za ocenjevanje varnosti informacijske tehnologije in, kadar je ustrezno, nacionalnim certifikacijskim organom za kibernetsko varnost.

1.   Če certificirani proizvod IKT ali profil zaščite ni skladen z zahtevami iz te uredbe in Uredbe (EU) 2019/881, certifikacijski organ obvesti imetnika certifikata EUCC o ugotovljeni neskladnosti in zahteva popravne ukrepe.

2.   Kadar bi lahko primer neskladnosti z določbami te uredbe vplival na izpolnjevanje obveznosti iz druge ustrezne zakonodaje Unije, ki določa, da je s certifikatom EUCC mogoče dokazati domnevo o skladnosti z zahtevami iz navedenega pravnega akta, certifikacijski organ o tem nemudoma obvesti nacionalni certifikacijski organ za kibernetsko varnost. Nacionalni certifikacijski organ za kibernetsko varnost o primeru ugotovljene neskladnosti nemudoma uradno obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije.

3.   Imetnik certifikata EUCC certifikacijskemu organu ob prejemu informacij iz odstavka 1 v roku, ki ga določi ta organ in ki ne presega 30 dni, predlaga potreben popravni ukrep za odpravo neskladnosti.

4.   Certifikacijski organ lahko, če je nujno ali kadar imetnik certifikata EUCC z njim ne sodeluje ustrezno, brez nepotrebnega odlašanja začasno prekliče certifikat EUCC v skladu s členom 30.

5.   Certifikacijski organ izvede pregled v skladu s členoma 13 in 19, pri čemer oceni, ali se s popravnim ukrepom odpravlja neskladnost.

6.   Kadar imetnik certifikata EUCC v roku iz odstavka 3 ne predlaga ustreznega popravnega ukrepa, se certifikat začasno prekliče v skladu s členom 30 ali odvzame v skladu s členoma 14 ali 20.

7.   Ta člen se ne uporablja v primeru šibkih točk, ki vplivajo na certificiran proizvod IKT, ki se obravnava v skladu s poglavjem VI.

1.   Če certifikacijski organ ugotovi, da:

2.   Če imetnik certifikata EUCC v roku iz odstavka 1 ne predlaga ustreznega popravnega ukrepa, se certifikat začasno prekliče v skladu s členom 30 ali odvzame v skladu s členoma 14 ali 20.

3.   Če imetnik certifikata EUCC nadaljuje ali ponovi kršitev obveznosti iz odstavka 1, se certifikat EUCC odvzame v skladu s členoma 14 ali 20.

4.   Certifikacijski organ obvesti nacionalni certifikacijski organ za kibernetsko varnost o ugotovitvah iz odstavka 1. Če primer neizpolnjevanja obveznosti ali zahtev vpliva na izpolnjevanje zahtev iz druge zakonodaje Unije, nacionalni certifikacijski organ za kibernetsko varnost nemudoma uradno obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije, o ugotovljenem primeru neizpolnjevanja obveznosti ali zahtev.

1.   Kadar se ta uredba nanaša na začasni preklic certifikata EUCC, certifikacijski organ zadevni certifikat EUCC začasno prekliče za obdobje, ki ustreza okoliščinam, zaradi katerih je bil začasno preklican, in ne presega 42 dni. Obdobje začasnega preklica se začne dan po dnevu odločitve certifikacijskega organa. Začasni preklic ne vpliva na veljavnost certifikata.

2.   Certifikacijski organ brez nepotrebnega odlašanja uradno obvesti imetnika certifikata in nacionalni certifikacijski organ za kibernetsko varnost ter navede razloge za začasni preklic, zahtevane ukrepe, ki jih je treba sprejeti, in obdobje trajanja začasnega preklica.

3.   Imetniki certifikata uradno obvestijo kupce zadevnih proizvodov IKT o začasnem preklicu in razlogih, ki jih je za ta preklic navedel certifikacijski organ, razen tistih delov razlogov, katerih izmenjava bi pomenila varnostno tveganje ali ki vsebujejo občutljive informacije. Te informacije tudi javno objavi imetnik certifikata.

4.   Kadar je z drugo ustrezno zakonodajo Unije določena domneva o skladnosti na podlagi certifikatov, izdanih v skladu z določbami te uredbe, nacionalni certifikacijski organ za kibernetsko varnost o začasnem preklicu obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije.

5.   O začasnem preklicu je uradno obveščena Agencija ENISA v skladu s členom 42(3).

6.   Nacionalni certifikacijski organ za kibernetsko varnost lahko v ustrezno utemeljenih primerih dovoli podaljšanje obdobja začasnega preklica certifikata EUCC. Skupno obdobje začasnega preklica ne sme presegati enega leta.

1.   Če certifikacijski organ ali ustrezen certifikacijski organ ne izpolnjuje svojih obveznosti in to neizpolnjevanje ugotovi center za ocenjevanje varnosti informacijske tehnologije, nacionalni certifikacijski organ za kibernetsko varnost brez nepotrebnega odlašanja:

2.   Certifikacijski organ na podlagi ukrepov iz odstavka 1 v zvezi z vsakim certifikatom EUCC, na katerega to vpliva, sprejme eno od naslednjih odločitev:

3.   Nacionalni certifikacijski organ za kibernetsko varnost na podlagi ukrepov iz odstavka 1:

1.   Imetnik certifikata EUCC vzpostavi in vzdržuje vse potrebne postopke za obvladovanje šibkih točk v skladu s pravili iz tega oddelka in jih po potrebi dopolni s postopki iz standarda EN ISO/IEC 30111.

2.   Imetnik certifikata EUCC vzdržuje in objavi ustrezne metode, da od zunanjih virov, tudi uporabnikov, certifikacijskih organov in raziskovalcev na področju varnosti, prejema informacije o šibkih točkah, povezanih s proizvodi.

3.   Kadar imetnik certifikata EUCC odkrije morebitno šibko točko, ki vpliva na certificirani proizvod IKT, ali prejme o njej informacijo, jo evidentira in izvede analizo učinka šibkih točk.

4.   Kadar morebitna šibka točka vpliva na sestavljeni proizvod, imetnik potrdila EUCC o morebitni šibki točki obvesti imetnika odvisnih certifikatov EUCC.

5.   Imetnik certifikata EUCC v odgovor na utemeljeno zahtevo certifikacijskega organa, ki je izdal certifikat, navedenemu certifikacijskemu organu posreduje vse ustrezne informacije o morebitnih šibkih točkah.

1.   Analiza učinka šibkih točk se nanaša na cilj ocenjevanja in izjave o zanesljivosti iz certifikata. Analiza učinka šibkih točk se izvede v časovnem okviru, ki je primeren glede na možnost izkoriščanja in morebitno kritičnost šibke točke certificiranega proizvoda IKT.

2.   Da se določi možnost izkoriščanja šibke točke, se, kadar je ustrezno, izračuna potencial napada v skladu z ustrezno metodologijo, vključeno v standardih iz člena 3, in ustreznimi najsodobnejšimi dokumenti iz Priloge I. Upošteva se raven AVA_VAN certifikata EUCC.

1.   Imetnik pripravi poročilo o analizi posledic šibkih točk, kadar analiza učinka pokaže, da šibka točka verjetno vpliva na skladnost proizvoda IKT s certifikatom.

2.   V poročilu o analizi posledic šibke točke so ocenjeni naslednji elementi:

3.   Poročilo o analizi posledic šibke točke po potrebi vsebuje podrobnosti o morebitnih načinih izkoriščanja šibke točke. Z informacijami v zvezi z morebitnimi načini izkoriščanja šibke točke se ravna v skladu z ustreznimi varnostnimi ukrepi za varstvo njihove zaupnosti in po potrebi zagotovitev njihovega omejenega razširjanja.

4.   Imetnik certifikata EUCC brez nepotrebnega odlašanja pošlje poročilo o analizi posledic šibkih točk certifikacijskemu organu ali nacionalnemu certifikacijskemu organu za kibernetsko varnost v skladu s členom 56(8) Uredbe (EU) 2019/881.

5.   Kadar je v poročilu o analizi posledic šibkih točk ugotovljeno, da šibka točka ni rezidualna v smislu standardov iz člena 3 in da jo je mogoče odpraviti, se uporablja člen 36.

6.   Kadar se v poročilu o analizi posledic šibkih točk ugotovi, da šibka točka ni rezidualna in da je ni mogoče odpraviti, se odvzame certifikat EUCC v skladu s členom 14.

7.   Imetnik potrdila EUCC spremlja vse rezidualne šibke točke, da se zagotovi, da jih ni mogoče izkoristiti v primeru sprememb v operativnem okolju.

1.   Informacije, ki jih certifikacijski organ zagotovi nacionalnemu certifikacijskemu organu za kibernetsko varnost, vsebujejo vse potrebne elemente za razumevanje posledic šibke točke, sprememb proizvoda IKT in, kadar so na voljo, vse informacije certifikacijskega organa o širših posledicah šibke točke na druge certificirane proizvode IKT.

2.   Informacije, zagotovljene v skladu z odstavkom 1, ne vsebujejo podrobnosti o načinih izkoriščanja šibke točke. Ta določba ne posega v preiskovalna pooblastila nacionalnega certifikacijskega organa za kibernetsko varnost.

1.   Nacionalni certifikacijski organ za kibernetsko varnost si pomembne informacije, ki jih prejme v skladu s člen 37, izmenja z drugimi nacionalnimi certifikacijskimi organi za kibernetsko varnost in Agencijo ENISA.

2.   Drugi nacionalni certifikacijski organ za kibernetsko varnost se lahko odločijo, da šibko točko nadalje analizirajo ali da od ustreznih certifikacijskih organov, po tem ko obvestijo imetnika certifikata EUCC, zahtevajo presojo, ali lahko šibka točka vpliva na druge certificirane proizvode IKT.