To besedilo je zgolj informativne narave in nima pravnega učinka. Institucije Unije za njegovo vsebino ne prevzemajo nobene odgovornosti. Verodostojne različice zadevnih aktov, vključno z uvodnimi izjavami, so objavljene v Uradnem listu Evropske unije. Na voljo so na portalu EUR-Lex. Uradna besedila so neposredno dostopna prek povezav v tem dokumentu

IZVEDBENA UREDBA KOMISIJE (EU) 2024/482

z dne 31. januarja 2024

o določitvi pravil za uporabo Uredbe (EU) 2019/881 Evropskega parlamenta in Sveta v zvezi s sprejetjem evropske certifikacijske sheme za kibernetsko varnost, ki temelji na skupnih merilih

(Besedilo velja za EGP)

POGLAVJE I

SPLOŠNE DOLOČBE

Člen 1

Predmet urejanja in področje uporabe

Ta uredba določa evropsko certifikacijsko shemo za kibernetsko varnost, ki temelji na skupnih merilih (v nadaljnjem besedilu: EUCC).

Ta uredba se uporablja za vse proizvode informacijske in komunikacijske tehnologije (v nadaljnjem besedilu: proizvodi IKT), tudi njihovo dokumentacijo, predložene za certificiranje na podlagi EUCC, ter vse profile zaščite, predložene za certificiranje v okviru postopka IKT, na podlagi katerega se certificirajo proizvodi IKT.

Člen 2

Opredelitev pojmov

Za namene te uredbe se uporabljajo naslednje opredelitve pojmov:

▼M1

(1)

,skupna merila‘ pomeni skupna merila za ocenjevanje varnosti informacijske tehnologije, kot so določena v standardih ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 ali ISO/IEC 15408-5:2022 ali določena v skupnih merilih za ocenjevanje varnosti informacijske tehnologije, različica CC:2022, deli 1 do 5, ki so jih objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT;

(2)

„skupna metodologija ocenjevanja“ pomeni skupno metodologijo za ocenjevanje varnosti informacijske tehnologije, kot je določena v standardu ISO/IEC 18045:2022, ali skupno metodologijo za ocenjevanje varnosti informacijske tehnologije, različica CEM:2022, ki so jo objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT;

▼B

(3)

„cilj ocenjevanja“ pomeni proizvod IKT, njegov del ali profil zaščite v okviru postopka IKT, pri katerem se oceni kibernetska varnost za pridobitev certificiranja po EUCC;

(4)

„varnostni cilj“ pomeni zahtevek za varnostne zahteve, odvisne od izvajanja, za določen proizvod IKT;

(5)

„profil zaščite“ pomeni postopek IKT, ki določa varnostne zahteve za določeno kategorijo proizvodov IKT, s čimer se obravnavajo potrebe po varnosti, neodvisne od izvajanja, in ki se lahko uporabljajo za ocenjevanje proizvodov IKT, ki spadajo v navedeno določeno kategorijo za namene certificiranja;

(6)

„tehnično poročilo o ocenjevanju“ pomeni dokument, ki ga pripravi center za ocenjevanje varnosti informacijske tehnologije, da predstavi ugotovitve, ocene in utemeljitve, pridobljene med ocenjevanjem proizvoda IKT ali profila zaščite v skladu s pravili in obveznostmi iz te uredbe;

(7)

„center za ocenjevanje varnosti informacijske tehnologije“ pomeni obrat za ocenjevanje varnosti informacijske tehnologije, ki je organ za ugotavljanje skladnosti, kakor je opredeljen v členu 2, točka 13, Uredbe (ES) št. 765/2008, in ki izvaja naloge ocenjevanja;

(8)

„raven AVA_VAN“ pomeni raven zanesljivosti analize šibke točke, ki kaže stopnjo ocenjevanja dejavnosti na področju kibernetske varnosti, izvedeno za določitev stopnje odpornosti na možnost izkoriščanja hib ali pomanjkljivosti cilja ocenjevanja v operativnem okolju, kakor je določeno v skupnih merilih;

(9)

„certifikat EUCC“ pomeni certifikat kibernetske varnosti, izdan na podlagi EUCC za proizvode IKT ali profile zaščite, ki se lahko uporabljajo izključno v postopku certificiranja proizvodov IKT;

(10)

„sestavljeni proizvod“ pomeni proizvod IKT, ocenjen skupaj z drugim osnovnim proizvodom IKT, ki je že prejel certifikat EUCC in od katerega varnostne funkcionalnosti je odvisen sestavljeni proizvod IKT;

(11)

„nacionalni certifikacijski organ za kibernetsko varnost“ pomeni organ, ki ga imenuje država članica v skladu s členom 58(1) Uredbe (EU) 2019/881;

(12)

„certifikacijski organ“ pomeni organ za ugotavljanje skladnosti, kakor je opredeljen v členu 2, točka 13, Uredbe (ES) št. 765/2008, ki izvaja dejavnosti certificiranja;

(13)

„tehnična domena“ pomeni skupni tehnični okvir, povezan z določeno tehnologijo za harmonizirano certificiranje s sklopom značilnih varnostnih zahtev;

(14)

„najsodobnejši dokument“ pomeni dokument, v katerem so opredeljeni metode, tehnike in orodja ocenjevanja, ki se uporabljajo pri certificiranju proizvodov IKT, ali varnostne zahteve za generično kategorijo proizvodov IKT, ali kakršne koli druge zahteve, potrebne za certificiranje, da se harmonizira ocenjevanje, zlasti tehničnih domen ali profilov zaščite;

(15)

„organ za nadzor trga“ pomeni organ, kakor je opredeljen v členu 3(4) Uredbe (EU) 2019/1020.

▼M1

Člen 3

Standardi ocenjevanja

Pri ocenjevanjih, izvedenih v okviru EUCC, veljajo naslednji standardi:

(a)

skupna merila in

(b)

skupna metodologija ocenjevanja.

Do 31. decembra 2027 se lahko izda certifikat na podlagi EUCC, ki uporablja enega od naslednjih standardov:

(a)

ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 ali ISO/IEC 15408-3:2008;

(b)

skupna merila za ocenjevanje varnosti informacijske tehnologije, različica 3.1, revizija 5, ki so jih objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT;

(c)

ISO/IEC 18045:2008;

(d)

skupna metodologija za ocenjevanje varnosti informacijske tehnologije, revizija 5, različica 3.1, ki so jo objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT.

Do 31. decembra 2027 se lahko izda certifikat na podlagi EUCC, ki uporablja standarde iz odstavka 1 in ki potrjuje skladnost s profilom zaščite, ki uporablja standarde iz odstavka 2.

Certifikat, s katerim se uporabljajo standardi iz odstavka 1, se lahko izda na podlagi EUCC, ki potrjuje skladnost s profilom zaščite, ki uporablja katerega koli od naslednjih standardov, če uporabo takega profila zaščite zahteva Izvedbena uredba Komisije (EU) 2016/799 ( 1 ), Uredba (EU) št. 910/2014 Evropskega parlamenta in Sveta ( 2 ) ali Izvedbeni sklep Komisije (EU) 2016/650 ( 3 ):

(a)

skupna merila za ocenjevanje varnosti informacijske tehnologije, različica 3.1, revizije 1 do 4, ki so jih objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT;

(b)

skupna metodologija za ocenjevanje varnosti informacijske tehnologije, različica 3.1, revizije 1 do 4, ki so jo objavili udeleženci dogovora o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT.

▼B

Člen 4

Ravni zanesljivosti

Certifikacijski organ izda certifikate EUCC na „znatni“ ali „visoki“ ravni zanesljivosti.

Certifikati EUCC na „znatni“ ravni zanesljivosti ustrezajo certifikatom, ki zajemajo raven AVA_VAN 1 ali 2.

Certifikati EUCC na „visoki“ ravni zanesljivosti ustrezajo certifikatom, ki zajemajo ravni AVA_VAN 3, 4 ali 5.

Z ravnjo zanesljivosti, potrjeno v certifikatu EUCC, se razlikuje med skladno in povečano uporabo komponent zanesljivosti, kakor so v skladu s Prilogo VIII opredeljene v skupnih merilih.

Organi za ugotavljanje skladnosti uporabljajo navedene elemente zanesljivosti, od katerih je odvisna izbrana raven AVA_VAN, v skladu s standardi iz člena 3.

Člen 5

Metode za certificiranje proizvodov IKT

Certificiranje proizvoda IKT se izvaja v skladu z njegovim varnostnim ciljem:

(a)

kakor ga opredeli vložnik, ali

▼M1

(b)

z navajanjem skladnosti s certificiranim profilom zaščite kot dela postopka IKT, kadar proizvod IKT spada v kategorijo proizvodov IKT, ki jo zajema navedeni profil zaščite.

▼B

Profili zaščite se certificirajo izključno zaradi certificiranja proizvodov IKT iz te posebne kategorije proizvodov IKT, ki jo zajema profil zaščite.

Člen 6

Samoocenjevanje skladnosti

Samoocenjevanje skladnosti v smislu člena 53 Uredbe (EU) 2019/881 ni dovoljeno.

POGLAVJE II

CERTIFICIRANJE PROIZVODOV IKT

ODDELEK I

POSEBNI STANDARDI IN ZAHTEVE ZA OCENJEVANJE

Člen 7

Merila in metode za ocenjevanje proizvodov IKT

Proizvod IKT, predložen za certificiranje, se oceni vsaj v skladu z naslednjim:

(a)

veljavnimi elementi iz standardov, navedenimi v členu 3;

(b)

razredi zahtev za zagotavljanje varnosti za oceno šibkih točk in neodvisno funkcionalno preizkušanje, kakor je določeno v ocenjevalnih standardih iz člena 3;

(c)

ravnjo tveganja, povezano s predvideno uporabo zadevnih proizvodov IKT v skladu s členom 52 Uredbe (EU) 2019/881, in njihovimi varnostnimi funkcionalnostmi, ki podpirajo varnostne cilje iz člena 51 Uredbe (EU) 2019/881;

(d)

veljavnimi najsodobnejši dokumenti iz Priloge I, in

(e)

veljavnimi certificiranimi profili zaščite iz Priloge II.

V izjemnih in ustrezno utemeljenih primerih lahko organ za ugotavljanje skladnosti zahteva, da se zadevni najsodobnejši dokument ne uporablja. V takih primerih organ za ugotavljanje skladnosti obvesti nacionalni certifikacijski organ za kibernetsko varnost in zahtevo ustrezno utemelji. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev izjeme in jo, kadar je to upravičeno, odobri. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata. Nacionalni certifikacijski organ za kibernetsko varnost o odobreni izjemi brez nepotrebnega odlašanja uradno obvesti evropsko certifikacijsko skupino za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

Certificiranje proizvodov IKT na ravni AVA_VAN 4 ali 5 je mogoče le v naslednjih primerih:

(a)

kadar proizvod IKT zajema katera koli tehnična domena iz Priloge I, se oceni v skladu z veljavnimi najsodobnejšimi dokumenti teh tehničnih domen,

(b)

kadar proizvod IKT spada v kategorijo proizvodov, ki jo zajema certificiran profil zaščite, ki vključuje ravni AVA_VAN 4 ali 5 in ki je v Prilogi II naveden kot najsodobnejši profil zaščite, se oceni v skladu z metodologijo ocenjevanja, določeno za navedeni profil zaščite,

(c)

kadar se točki a) in b) tega odstavka ne uporabljata in vključitev tehnične domene v Prilogo I ali certificiranega profila zaščite v Prilogo II v bližnji prihodnosti ni verjetna ter le v izjemnih in ustrezno utemeljenih primerih pod pogoji iz odstavka 4.

Kadar organ za ugotavljanje skladnosti meni, da gre za izjemen in ustrezno utemeljenem primeru iz točke (c) odstavka 3, o nameravanem certificiranju uradno obvesti nacionalni certifikacijski organ za kibernetsko varnost z utemeljitvijo in predlagano metodologijo ocenjevanja. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev izjeme in, kadar je to upravičeno, odobri ali spremeni metodologijo ocenjevanja, ki jo uporabi organ za ugotavljanje skladnosti. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata. Nacionalni certifikacijski organ za kibernetsko varnost o nameravanem certificiranju brez nepotrebnega odlašanja poroča evropski certifikacijski skupini za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

Če se za proizvod IKT izvaja ocenjevanje sestavljenega proizvoda v skladu z ustreznimi najsodobnejšimi proizvodi, center za ocenjevanje varnosti informacijske tehnologije, ki je izvedel ocenjevanje osnovnega proizvoda IKT, izmenja ustrezne informacije s centrom za ocenjevanje varnosti informacijske tehnologije, ki izvaja ocenjevanje sestavljenega proizvoda IKT.

ODDELEK II

IZDAJANJE, PODALJŠANJE IN ODVZEM CERTIFIKATA EUCC

Člen 8

▼M1

Informacije, ki so potrebne za certificiranje in ocenjevanje

Vložnik za certificiranje v okviru EUCC certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi ali da drugače na voljo vse potrebne informacije za dejavnosti certificiranja in ocenjevanja.

▼B

Informacije iz odstavka 1 vključujejo vse ustrezne dokaze v skladu z oddelki o „elementih ukrepa razvijalca“ v ustrezni obliki, kakor je določena v oddelkih „vsebina in predstavitev dokaznega elementa“ skupnih meril in skupne metodologije ocenjevanja za izbrano stopnjo zanesljivosti in s tem povezane zahteve za zagotavljanje varnosti. Dokazila po potrebi vključujejo podrobnosti o proizvodu IKT in njegovi izvorni kodi v skladu s to uredbo, pri čemer se upoštevajo zaščitni ukrepi proti nepooblaščenem razkritju podatkov.

Vložniki za certificiranje lahko certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovijo ustrezne rezultate o ocenjevanju iz prejšnjega certificiranja v skladu:

(a)

s to uredbo;

(b)

z drugo evropsko certifikacijsko shemo za kibernetsko varnost, sprejeto v skladu s členom 49 Uredbe (EU) 2019/881;

(c)

z nacionalno shemo iz člena 49 te uredbe.

Kadar se rezultati ocenjevanja nanašajo na naloge centra za ocenjevanje varnosti informacijske tehnologije, ta lahko ponovno uporabi rezultate ocenjevanja, če so taki rezultati skladni z veljavnimi zahtevami in je potrjena njihova verodostojnost.

Kadar certifikacijski organ dovoli izvedbo certificiranja sestavljenega proizvoda, vložnik za certificiranje certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije da na voljo vse potrebne elemente, kadar je ustrezno, v skladu z najsodobnejšim dokumentom.

Vložnik za certificiranje certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi tudi naslednje informacije:

(a)

povezavo na svoje spletišče, ki vsebuje dodatne informacije o kibernetski varnosti iz člena 55 Uredbe (EU) 2019/881;

(b)

opis postopkov obvladovanja in razkrivanja šibkih točk vložnika.

Certifikacijski organ, center za ocenjevanje varnosti informacijske tehnologije in vložnik hranijo vse ustrezne dokumente iz tega člena pet let po poteku veljavnosti certifikata.

Člen 9

Pogoji za izdajanje certifikata EUCC

Certifikacijski organi izdajo certifikat EUCC, če so izpolnjeni vsi naslednji pogoji:

(a)

kategorija proizvoda IKT spada na področje akreditacije in, kadar je ustrezno, odobritve certifikacijskega organa in centra za ocenjevanje varnosti informacijske tehnologije, vključenega v certificiranje;

(b)

vložnik za certificiranje je podpisal izjavo o sprejetju vseh zavez iz odstavka 2;

(c)

center za ocenjevanje varnosti informacijske tehnologije je ocenjevanje zaključil brez ugovora v skladu s standardi, merili in metodami ocenjevanja iz členov 3 in 7;

(d)

certifikacijski organ je pregled rezultatov ocenjevanja zaključil brez ugovora;

(e)

certifikacijski organ je preveril, da so tehnična poročila o ocenjevanju, ki jih je predložil center za ocenjevanje varnosti informacijske tehnologije, skladna s predloženimi dokazi ter da so bili standardi, merila in metode iz členov 3 in 7 pravilno uporabljeni.

Vložnik za certificiranje sprejme naslednje zaveze:

(a)

certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotoviti vse potrebne popolne in točne informacije, na zahtevo pa tudi dodatne potrebne informacije;

(b)

pred izdajo certifikata EUCC ne oglaševati proizvodov IKT kot certificiranih v skladu z EUCC;

(c)

oglaševati proizvod IKT kot certificiran le glede na obseg iz certifikata EUCC;

(d)

nemudoma prenehati s promocijo proizvoda IKT kot certificiranega v primeru začasnega preklica, odvzema ali poteka veljavnosti certifikata EUCC;

(e)

zagotoviti, da so proizvodi IKT, prodani s sklicevanjem na certifikat EUCC, povsem isti kot proizvod IKT, za katerega velja certificiranje;

(f)

spoštovati pravila uporabe znaka in oznake, uvedenih za certifikat EUCC v skladu s členom 11.

Če se za proizvod IKT izvaja certificiranje sestavljenega proizvoda v skladu z relevantnimi najsodobnejšimi dokumenti, certifikacijski organ, ki je izvedel certificiranje osnovnega proizvoda IKT, izmenja ustrezne informacije s certifikacijskim organom, ki izvaja certificiranje sestavljenega proizvoda IKT.

Člen 10

Vsebina in oblika certifikata EUCC

Certifikat EUCC vsebuje vsaj informacije iz Priloge VII.

Področje uporabe in meje certificiranega proizvoda IKT se nedvoumno določijo v certifikatu EUCC ali poročilu o certifikaciji, v katerem je navedeno, ali je bil certificiran celotni proizvod IKT ali samo njegovi deli.

Certifikacijski organ vložniku zagotovi certifikat EUCC vsaj v elektronski obliki.

Certifikacijski organ za vsak izdani certifikat EUCC pripravi poročilo o certificiranju v skladu s Prilogo V. To poročilo temelji na tehničnem poročilu o ocenjevanju, ki ga izda center za ocenjevanje varnosti informacijske tehnologije. V tehničnem poročilu o ocenjevanju in poročilu o certificiranju so navedena posebna merila in metode ocenjevanja iz člena 7, uporabljeni pri ocenjevanju.

Certifikacijski organ nacionalnemu certifikacijskemu organu za kibernetsko varnost in Agenciji ENISA zagotovi vsak certifikat EUCC in vsako poročilo o certificiranju v elektronski obliki.

Člen 11

Znak in oznaka

Imetnik certifikata lahko na certificiran proizvod IKT namesti znak in oznako. Znak in oznaka dokazujeta, da je proizvod IKT certificiran v skladu s to uredbo. Namestita se v skladu s tem členom in Prilogo IX.

Znak in oznaka sta vidno, čitljivo in neizbrisno nameščena na certificiran proizvod IKT ali njegovo tablico s podatki. Kadar to ni mogoče ali ni upravičeno zaradi značilnosti proizvoda, se namestita na embalažo in spremne dokumente. Kadar je certificirani proizvod IKT dobavljen v obliki programske opreme, se znak in oznaka vidno, berljivo in neizbrisno prikažeta v spremni dokumentaciji ali pa je ta dokumentacija uporabnikom zlahka in neposredno dostopna prek spletišča.

Znak in oznaka se določita v skladu s Prilogo IX in vsebujeta:

(a)

raven zanesljivosti in raven AVA_VAN certificiranega proizvoda IKT;

(b)

enotno identifikacijo certifikata, ki vsebuje:

(1)

ime sheme;

(2)

ime in referenčno številko akreditacije certifikacijskega organa, ki je izdal certifikat;

(3)

leto in mesec izdaje;

(4)

identifikacijsko številko, ki jo dodeli certifikacijski organ, ki je izdal certifikat.

Ob znaku in oznaki je navedena koda QR s povezavo na spletišče, ki vsebuje vsaj:

(a)

informacije o veljavnosti certifikata;

(b)

potrebne informacije o certificiranju iz prilog V in VII;

(c)

informacije, ki jih mora imetnik certifikata javno objaviti v skladu s členom 55 Uredbe (EU) 2019/881, in,

(d)

kadar je ustrezno, pretekle informacije, povezane s posebnim certificiranjem ali certificiranji proizvoda IKT, da se omogoči sledljivost.

Člen 12

Rok veljavnosti certifikata EUCC

Certifikacijski organ določi rok veljavnosti vsakega izdanega certifikata EUCC, pri čemer upošteva značilnosti certificiranega proizvoda IKT.

Rok veljavnosti certifikata EUCC ne presega petih let.

Ta rok lahko z odstopanjem od odstavka 2 presega pet let, če to predhodno odobri nacionalni certifikacijski organ za kibernetsko varnost. Nacionalni certifikacijski organ za kibernetsko varnost evropsko certifikacijsko skupino za kibernetsko varnost brez nepotrebnega odlašanja uradno obvesti o odobreni odobritvi.

Člen 13

Pregled certifikata EUCC

Certifikacijski organ se lahko na zahtevo imetnika certifikata ali iz drugih utemeljenih razlogov odloči pregledati certifikat EUCC za proizvod IKT. Pregled se opravi v skladu s Prilogo IV. Certifikacijski organ določi obseg pregleda. Če je to potrebno za pregled, od centra za ocenjevanje varnosti informacijske tehnologije zahteva, da ponovno oceni certificirani proizvod IKT.

Certifikacijski organ glede na rezultate pregleda in, kadar je ustrezno, ponovnega ocenjevanja:

(a)

potrdi certifikat EUCC;

(b)

odvzame certifikat EUCC v skladu s členom 14;

(c)

odvzame certifikat EUCC v skladu s členom 14 ter izda nov certifikat EUCC z enakim področjem uporabe in podaljšanim obdobjem veljavnosti, ali

(d)

odvzame certifikat EUCC v skladu s členom 14 in izda nov certifikat EUCC z drugačnim področjem uporabe.

Certifikacijski organ se lahko odloči, da certifikat EUCC brez nepotrebnega odlašanja začasno odvzame v skladu s členom 30, dokler imetnik certifikata EUCC ne izvede popravnih ukrepov.

Člen 14

Odvzem certifikata EUCC

Certifikacijski organ brez poseganja v člen 58(8), točka (e), Uredbe (EU) 2019/881 odvzame certifikat EUCC, ki ga je izdal.

Certifikacijski organ iz odstavka 1 o odvzemu certifikata uradno obvesti nacionalni certifikacijski organ za kibernetsko varnost. O takem odvzemu uradno obvesti tudi Agencijo ENISA, da ta lažje izvede nalogo v skladu s členom 50 Uredbe (EU) 2019/881. Nacionalni certifikacijski organ za kibernetsko varnost uradno obvesti druge ustrezne organe za nadzor trga.

Odvzem certifikata lahko zahteva imetnik certifikata EUCC.

POGLAVJE III

CERTIFICIRANJE PROFILOV ZAŠČITE

ODDELEK I

POSEBNI STANDARDI IN ZAHTEVE ZA OCENJEVANJE

Člen 15

Merila in metode za ocenjevanje

Profil zaščite se oceni vsaj v skladu z naslednjim:

(a)

veljavnimi elementi iz standardov, navedenimi v členu 3;

(b)

(c)

veljavnimi najsodobnejšimi dokumenti iz Priloge I. Profil zaščite, ki ga zajema tehnična domena, se certificira na podlagi zahtev iz navedene tehnične domene.

V izjemnih in ustrezno utemeljenih primerih lahko organ za ugotavljanje skladnosti certificira profil zaščite brez uporabe ustreznih najsodobnejših dokumentov. V takih primerih obvesti pristojni nacionalni certifikacijski organ za kibernetsko varnost in predloži utemeljitev za nameravano certificiranje brez uporabe ustreznih najsodobnejših dokumentov in predlagano metodologijo ocenjevanja. Nacionalni certifikacijski organ za kibernetsko varnost oceni utemeljitev in, kadar je to upravičeno, odobri neuporabo ustreznih najsodobnejših dokumentov ter po potrebi odobri ali spremeni metodologijo ocenjevanja, ki jo uporabi organ za ugotavljanje skladnosti. Dokler nacionalni certifikacijski organ za kibernetsko varnost ne sprejme odločitve, organ za ugotavljanje skladnosti ne izda nobenega certifikata za profil zaščite. Nacionalni certifikacijski organ za kibernetsko varnost o odobreni neuporabi zadevnih najsodobnejših dokumentov brez nepotrebnega odlašanja uradno obvesti evropsko certifikacijsko skupino za kibernetsko varnost, ki lahko izda mnenje. Nacionalni certifikacijski organ za kibernetsko varnost po najboljših močeh upošteva mnenje evropske certifikacijske skupine za kibernetsko varnost.

ODDELEK II

IZDAJANJE, PODALJŠANJE IN ODVZEM CERTIFIKATOV EUCC ZA PROFILE ZAŠČITE

▼M1

Člen 16

Informacije, potrebne za certificiranje in oceno profilov zaščite

Vložnik za certificiranje profila zaščite certifikacijskemu organu in centru za ocenjevanje varnosti informacijske tehnologije zagotovi ali da drugače na voljo vse potrebne informacije v popolni in pravilni obliki za dejavnosti certificiranja in ocenjevanja. Smiselno se uporablja člen 8(2), (3), (4) in (7).

▼B

Člen 17

Izdajanje certifikatov EUCC za profile zaščite

▼M1 —————

▼B

Smiselno se uporabljata člena 9 in 10.

Center za ocenjevanje varnosti informacijske tehnologije oceni, ali je profil zaščite popoln, skladen, tehnično zanesljiv in učinkovit za predvideno uporabo, oceni pa tudi varnostne cilje kategorije proizvoda IKT, zajete v navedeni profil zaščite.

Profil zaščite certificira samo:

(a)

nacionalni certifikacijski organ za kibernetsko varnost ali drug javni organ, akreditiran kot certifikacijski organ, ali

(b)

certifikacijski organ po predhodni odobritvi nacionalnega certifikacijskega organa za kibernetsko varnost za vsak posamezni profil zaščite.

Člen 18

Rok veljavnosti certifikata EUCC za profile zaščite

Certifikacijski organ določi rok veljavnosti vseh certifikatov EUCC.

Rok veljavnosti lahko traja največ do konca življenjske dobe zadevnega profila zaščite.

Člen 19

Pregled certifikata EUCC za profile zaščite

Certifikacijski organ se lahko na zahtevo imetnika certifikata ali iz drugih utemeljenih razlogov odloči pregledati certifikat EUCC za profil zaščite. Pregled se izvede ob uporabi pogojev iz člena 15. Certifikacijski organ določi obseg pregleda. Če je to potrebno za pregled, od centra za ocenjevanje varnosti informacijske tehnologije zahteva, da ponovno oceni certificirani profil zaščite.

Certifikacijski organ glede na rezultate pregleda in, kadar je ustrezno, ponovnega ocenjevanja, stori eno od naslednjega:

(a)

potrdi certifikat EUCC;

(b)

odvzame certifikat EUCC v skladu s členom 20;

(c)

odvzame certifikat EUCC v skladu s členom 20 ter izda nov certifikat EUCC z enakim obsegom in podaljšanim obdobjem veljavnosti

(d)

odvzame certifikat EUCC v skladu s členom 20 in izda nov certifikat EUCC z drugačnim obsegom.

Člen 20

Odvzem certifikata EUCC za profil zaščite

Certifikacijski organ, ki je izdal certifikat EUCC za profil zaščite, brez poseganja v člen 58(8), točka (e), Uredbe (EU) 2019/881 odvzame navedeni certifikat. Pri tem se smiselno uporablja člen 14.

Certifikacijski organ za kibernetsko varnost, ki je odobril certifikat za profil zaščite, izdan v skladu s členom 17(4), točka (b), prekliče navedeni certifikat.

POGLAVJE IV

ORGANI ZA OCENJEVANJE SKLADNOSTI

▼M1

Člen 20a

Specifikacija zahtev za akreditacijo organov za ugotavljanje skladnosti

Pri akreditaciji organov za ugotavljanje skladnosti se upošteva specifikacija zahtev za akreditacijo certifikacijskih organov in centrov za ocenjevanje varnosti informacijske tehnologije, kot je določeno v veljavnih najsodobnejših dokumentih iz točke 2 Priloge I.

▼B

Člen 21

Dodatne ali posebne zahteve za certifikacijski organ

Certifikacijski organ za kibernetsko varnost pooblasti certifikacijski organ za izdajo certifikatov EUCC na „visoki“ ravni zanesljivosti, kadar navedeni organ izpolnjuje zahteve iz člena 60(1) Uredbe (EU) 2019/881 in Priloge k tej uredbi glede akreditacije organov za ugotavljanje skladnosti ter poleg tega izkaže, da izpolnjuje naslednje pogoje:

(a)

da ima strokovno znanje in izkušnje ter je usposobljen za odločanje o certificiranju na „visoki“ ravni zanesljivosti;

(b)

da dejavnosti certificiranja izvaja v sodelovanju s centrom za ocenjevanje varnosti informacijske tehnologije, pooblaščenim v skladu s členom 22, in

(c)

je ustrezno usposobljen ter je vzpostavil primerne tehnične in operativne ukrepe za učinkovito varstvo zaupnih in občutljivih informacij na „visoki“ ravni zanesljivosti poleg zahtev iz člena 43.

Nacionalni certifikacijski organ za kibernetsko varnost oceni, ali certifikacijski organ izpolnjuje vse zahteve iz odstavka 1. Navedena ocena vključuje vsaj strukturirane razgovore in pregled najmanj enega pilotnega certificiranja, ki ga v skladu s to uredbo opravi certifikacijski organ.

Nacionalni certifikacijski organ za kibernetsko varnost lahko v svoji oceni ponovno uporabi vse ustrezne dokaze iz predhodne pooblastitve ali podobnih dejavnosti, izdane na podlagi:

(a)

te uredbe;

(b)

druge evropske certifikacijske sheme za kibernetsko varnost, sprejete v skladu s členom 49 Uredbe (EU) 2019/881;

(c)

nacionalne sheme iz člena 49 te uredbe.

Nacionalni certifikacijski organ za kibernetsko varnost pripravi poročilo o pooblastitvi, za katero se opravi medsebojni strokovni pregled v skladu s členom 59(3), točka (d), Uredbe (EU) 2019/881.

Navedeni organ določi kategorije proizvodov IKT in profile zaščite, ki jih pooblastilo zajema. Pooblastilo velja največ do poteka veljavnosti akreditacije. Na zahtevo se lahko podaljša, če certifikacijski organ še vedno izpolnjuje zahteve iz tega člena. Za podaljšanje pooblastila pilotna ocenjevanja niso potrebna.

Nacionalni certifikacijski organ za kibernetsko varnost certifikacijskemu organu odvzame pooblastilo, če ta ne izpolnjuje več pogojev iz tega člena. Certifikacijski organ se po odvzemu pooblastila takoj preneha predstavljati kot pooblaščeni certifikacijski organ.

Člen 22

Dodatne ali posebne zahteve za center za ocenjevanje varnosti informacijske tehnologije

Nacionalni certifikacijski organ za kibernetsko varnost pooblasti center za ocenjevanje varnosti informacijske tehnologije za ocenjevanje proizvodov IKT, za katere se opravi certificiranje na „visoki“ ravni zanesljivosti, kadar navedeni center izpolnjuje zahteve iz člena 60(1) Uredbe (EU) 2019/881 in Priloge k navedeni uredbi glede akreditacije organov za ugotavljanje skladnosti ter poleg tega izkaže, da izpolnjuje naslednje pogoje:

(a)

ima potrebno strokovno znanje in izkušnje za izvajanje ocenjevalnih dejavnosti, da opredeli odpornost naprednih kibernetskih napadov, ki jih izvajajo akterji z obsežnim znanjem in viri;

(b)

za tehnične domene in profile zaščite, ki so del postopkov IKT za navedene proizvode IKT, ima:

(1)

strokovno znanje in izkušnje za izvajanje posebnih ocenjevalnih dejavnosti, potrebnih za metodološko opredelitev odpornosti cilja ocenjevanja proti veščim napadalcem v svojem operativnem okolju, pri čemer je domnevni potencial napada „zmeren“ ali „visok“, kakor je določeno v standardih iz člena 3;

(2)

tehnično usposobljenost, kakor je opredeljena v najsodobnejših dokumentih iz Priloge I;

(c)

Nacionalni certifikacijski organ za kibernetsko varnost oceni, ali center za ocenjevanje varnosti informacijske tehnologije izpolnjuje vse zahteve iz odstavka 1. Navedena ocena vključuje vsaj strukturirane razgovore in pregled najmanj enega pilotnega ocenjevanja, ki ju v skladu s to uredbo opravi center za ocenjevanje varnosti informacijske tehnologije.

Nacionalni certifikacijski organ za kibernetsko varnost lahko v svoji oceni ponovno uporabi vse ustrezne dokaze iz predhodne pooblastitve ali podobnih dejavnosti, izdane na podlagi:

(a)

te uredbe;

(b)

druge evropske certifikacijske sheme za kibernetsko varnost, sprejete v skladu s členom 49 Uredbe (EU) 2019/881;

(c)

nacionalne sheme iz člena 49 te uredbe.

Nacionalni certifikacijski organ za kibernetsko varnost pripravi poročilo o pooblastitvi, za katero se opravi medsebojni strokovni pregled v skladu s členom 59(3), točka (d), Uredbe (EU) 2019/881.

Navedeni organ določi kategorije proizvodov IKT in profile zaščite, ki jih pooblastilo zajema. Pooblastilo velja največ do poteka veljavnosti akreditacije. Na zahtevo se lahko podaljša, če center za ocenjevanje varnosti informacijske tehnologije še vedno izpolnjuje zahteve iz tega člena. Za podaljšanje pooblastila pilotna ocenjevanja ne bi smela biti potrebna.

Nacionalni certifikacijski organ za kibernetsko varnost centru za ocenjevanje varnosti informacijske tehnologije odvzame pooblastilo, če ta ne izpolnjuje več pogojev iz tega člena. Center za ocenjevanje varnosti informacijske tehnologije se po odvzemu pooblastila preneha predstavljati kot pooblaščeni center za ocenjevanje varnosti informacijske tehnologije.

▼M1 —————

▼B

POGLAVJE V

Spremljanje, neskladnost in neizpolnjevanje obveznosti oziroma zahtev

ODDELEK I

SPREMLJANJE IZPOLNJEVANJA OBVEZNOSTI OZIROMA ZAHTEV

Člen 25

Dejavnosti spremljanja nacionalnih certifikacijskih organov za kibernetsko varnost

Nacionalni certifikacijski organ za kibernetsko varnost brez poseganja v člen 58(7) Uredbe (EU) 2019/881 spremlja, kako:

(a)

certifikacijski organ in center za ocenjevanje varnosti informacijske tehnologije izpolnjujeta svoje obveznosti v skladu s to uredbo in Uredbo (EU) 2019/881;

(b)

imetniki certifikata EUCC izpolnjujejo svoje obveznosti v skladu s to uredbo in Uredbo (EU) 2019/881;

(c)

certificirani proizvodi IKT izpolnjujejo zahteve iz EUCC;

(d)

se z zanesljivostjo, izraženo v certifikatu EUCC, obravnava razvoj krajine groženj.

Nacionalni certifikacijski organ za kibernetsko varnost dejavnosti spremljanja izvaja zlasti na podlagi:

(a)

informacij, ki jih prejme od certifikacijskih organov, nacionalnih akreditacijskih organov in ustreznih organov za nadzor trga;

(b)

informacij, ki izhajajo iz njegovih lastnih revizij in preiskav ali revizij in preiskav drugega organa;

(c)

vzorčenja, izvedenega v skladu z odstavkom 3;

(d)

prejetih pritožb.

Nacionalni certifikacijski organ za kibernetsko varnost v sodelovanju z drugimi organi za nadzor trga letno vzorči vsaj 4 % certifikatov, kakor je določeno v oceni tveganja. Pri spremljanju skladnosti mu na zahtevo in v imenu pristojnega nacionalnega certifikacijskega organa za kibernetsko varnost, pomagajo certifikacijski organi in po potrebi center za ocenjevanje varnosti informacijske tehnologije.

Nacionalni certifikacijski organ za kibernetsko varnost izbere vzorec certificiranih proizvodov IKT, ki se preverijo z objektivnimi merili, ki vključujejo:

(a)

kategorijo proizvoda;

(b)

ravni zanesljivosti proizvodov;

(c)

imetnika certifikata;

(d)

certifikacijski organ in, kadar je ustrezno, podizvajalski center za ocenjevanje varnosti informacijske tehnologije;

(e)

vse druge informacije, na katere je bil opozorjen organ.

Nacionalni certifikacijski organ za kibernetsko varnost imetnike certifikata EUCC obvesti o izbranih proizvodih IKT in merilih za izbor.

Certifikacijski organ, ki je certificiral vzorčeni proizvod IKT, na zahtevo nacionalnega certifikacijskega organa za kibernetsko varnost s pomočjo ustreznega centra za ocenjevanje varnosti informacijske tehnologije izvede dodatni pregled v skladu s postopkom iz oddelka IV.2 Priloge IV in nacionalni certifikacijski organ za kibernetsko varnost obvesti o rezultatih.

Kadar nacionalni certifikacijski organ za kibernetsko varnost utemeljeno domneva, da certificirani proizvod IKT ni več skladen s to uredbo ali Uredbo (EU) 2019/881, lahko izvede preiskave ali uporabi druga pooblastila za spremljanje iz člena 58(8) Uredbe (EU) 2019/881.

Nacionalni certifikacijski organ za kibernetsko varnost obvesti certifikacijski organ in zadevni center za ocenjevanje varnosti informacijske tehnologije o odprtih preiskavah v zvezi z izbranimi proizvodi IKT.

Če nacionalni certifikacijski organ za kibernetsko varnost ugotovi, da se odprta preiskava nanaša na proizvode IKT, ki jih certificirajo certifikacijski organi, ustanovljeni v drugih državah članicah, o tem obvesti nacionalne certifikacijske organe za kibernetsko varnost zadevnih držav članic, da, kadar je ustrezno, sodeluje v preiskavah. Tak organ o čezmejnih preiskavah in naknadnih rezultatih uradno obvesti tudi evropsko certifikacijsko skupino za kibernetsko varnost.

Člen 26

Dejavnosti spremljanja certifikacijskega organa

Certifikacijski organ spremlja, kako:

(a)

imetniki certifikata izpolnjujejo svoje obveznosti v skladu s to uredbo in Uredbo (EU) 2019/881 v zvezi s certifikatom, ki ga je izdal certifikacijski organ;

(b)

proizvodi IKT, ki jih je certificiral, izpolnjujejo ustrezne varnostne zahteve;

(c)

se izpolnjuje zanesljivost, izražena v certificiranem profilu zaščite.

Certifikacijski organ dejavnosti spremljanja izvaja na podlagi:

(a)

informacij, zagotovljenih na podlagi zavez vložnika za certificiranje iz člena 9(2);

(b)

informacij, ki izhajajo iz dejavnosti drugih ustreznih organov za nadzor trga;

(c)

prejetih pritožb;

(d)

informacij o šibkih točkah, ki bi lahko vplivale na proizvode IKT, ki jih je certificiral.

Nacionalni certifikacijski organ za kibernetsko varnost lahko oblikuje pravila za redni dialog med certifikacijskimi organi in imetniki certifikatov EUCC, da preveri, ali so zaveze, sprejete v skladu s členom 9(2), izpolnjene, in o njih poroča, brez poseganja v dejavnosti, povezane z drugimi ustreznimi organi za nadzor trga.

Člen 27

Dejavnosti spremljanja imetnika certifikata

Imetnik certifikata EUCC izvede naslednje naloge za spremljanje, ali certificirani proizvodi IKT izpolnjujejo varnostne zahteve:

(a)

z lastnimi sredstvi spremlja informacije o šibkih točkah, povezane s certificiranim proizvodom IKT, tudi o znanih odvisnostih, pri čemer pa upošteva tudi:

(1)

objavo ali predložitev informacij o šibkih točkah s strani uporabnika ali raziskovalca na področju varnosti iz člena 55(1), točka (c), Uredbe (EU) 2019/881;

(2)

predložitev s strani drugega vira;

(b)

spremlja zanesljivost, izraženo v certifikatu EUCC.

Imetnik certifikata EUCC za podporo dejavnosti spremljanja sodeluje s certifikacijskim organom, centrom za ocenjevanje varnosti informacijske tehnologije in, kadar je ustrezno, nacionalnim certifikacijskim organom za kibernetsko varnost.

ODDELEK II

SKLADNOST IN IZPOLNJEVANJE OBVEZNOSTI OZIROMA ZAHTEV

Člen 28

Posledice neskladnosti certificiranega proizvoda IKT ali profila zaščite

Če certificirani proizvod IKT ali profil zaščite ni skladen z zahtevami iz te uredbe in Uredbe (EU) 2019/881, certifikacijski organ obvesti imetnika certifikata EUCC o ugotovljeni neskladnosti in zahteva popravne ukrepe.

Kadar bi lahko primer neskladnosti z določbami te uredbe vplival na izpolnjevanje obveznosti iz druge ustrezne zakonodaje Unije, ki določa, da je s certifikatom EUCC mogoče dokazati domnevo o skladnosti z zahtevami iz navedenega pravnega akta, certifikacijski organ o tem nemudoma obvesti nacionalni certifikacijski organ za kibernetsko varnost. Nacionalni certifikacijski organ za kibernetsko varnost o primeru ugotovljene neskladnosti nemudoma uradno obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije.

Imetnik certifikata EUCC certifikacijskemu organu ob prejemu informacij iz odstavka 1 v roku, ki ga določi ta organ in ki ne presega 30 dni, predlaga potreben popravni ukrep za odpravo neskladnosti.

Certifikacijski organ lahko, če je nujno ali kadar imetnik certifikata EUCC z njim ne sodeluje ustrezno, brez nepotrebnega odlašanja začasno prekliče certifikat EUCC v skladu s členom 30.

Certifikacijski organ izvede pregled v skladu s členoma 13 in 19, pri čemer oceni, ali se s popravnim ukrepom odpravlja neskladnost.

Kadar imetnik certifikata EUCC v roku iz odstavka 3 ne predlaga ustreznega popravnega ukrepa, se certifikat začasno prekliče v skladu s členom 30 ali odvzame v skladu s členoma 14 ali 20.

Ta člen se ne uporablja v primeru šibkih točk, ki vplivajo na certificiran proizvod IKT, ki se obravnava v skladu s poglavjem VI.

Člen 29

Posledice neizpolnjevanja obveznosti oziroma zahtev s strani imetnika certifikata

Če certifikacijski organ ugotovi, da:

(a)

imetnik certifikata EUCC ali vložnik za certificiranje ne izpolnjujeta svojih zavez in obveznosti iz člena 9(2), člena 17(2) ter členov 27 in 41, ali

(b)

imetnik certifikata EUCC ne izpolnjuje zahtev iz člena 56(8) Uredbe (EU) 2019/881 ali poglavja VI te uredbe;

določi rok, ki ne presega 30 dni, v katerem imetnik certifikata EUCC sprejme popravni ukrep.

▼M1

Če imetnik certifikata EUCC v roku iz odstavka 1 ne predlaga ustreznega popravnega ukrepa, se certifikat začasno prekliče v skladu s členom 30 ali odvzame v skladu s členoma 14 ali 20.

▼B

Če imetnik certifikata EUCC nadaljuje ali ponovi kršitev obveznosti iz odstavka 1, se certifikat EUCC odvzame v skladu s členoma 14 ali 20.

Certifikacijski organ obvesti nacionalni certifikacijski organ za kibernetsko varnost o ugotovitvah iz odstavka 1. Če primer neizpolnjevanja obveznosti ali zahtev vpliva na izpolnjevanje zahtev iz druge zakonodaje Unije, nacionalni certifikacijski organ za kibernetsko varnost nemudoma uradno obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije, o ugotovljenem primeru neizpolnjevanja obveznosti ali zahtev.

Člen 30

Začasni preklic certifikata EUCC

Kadar se ta uredba nanaša na začasni preklic certifikata EUCC, certifikacijski organ zadevni certifikat EUCC začasno prekliče za obdobje, ki ustreza okoliščinam, zaradi katerih je bil začasno preklican, in ne presega 42 dni. Obdobje začasnega preklica se začne dan po dnevu odločitve certifikacijskega organa. Začasni preklic ne vpliva na veljavnost certifikata.

Certifikacijski organ brez nepotrebnega odlašanja uradno obvesti imetnika certifikata in nacionalni certifikacijski organ za kibernetsko varnost ter navede razloge za začasni preklic, zahtevane ukrepe, ki jih je treba sprejeti, in obdobje trajanja začasnega preklica.

Imetniki certifikata uradno obvestijo kupce zadevnih proizvodov IKT o začasnem preklicu in razlogih, ki jih je za ta preklic navedel certifikacijski organ, razen tistih delov razlogov, katerih izmenjava bi pomenila varnostno tveganje ali ki vsebujejo občutljive informacije. Te informacije tudi javno objavi imetnik certifikata.

Kadar je z drugo ustrezno zakonodajo Unije določena domneva o skladnosti na podlagi certifikatov, izdanih v skladu z določbami te uredbe, nacionalni certifikacijski organ za kibernetsko varnost o začasnem preklicu obvesti organ za nadzor trga, pristojen za tako drugo ustrezno zakonodajo Unije.

O začasnem preklicu je uradno obveščena Agencija ENISA v skladu s členom 42(3).

Nacionalni certifikacijski organ za kibernetsko varnost lahko v ustrezno utemeljenih primerih dovoli podaljšanje obdobja začasnega preklica certifikata EUCC. Skupno obdobje začasnega preklica ne sme presegati enega leta.

Člen 31

Posledice neizpolnjevanja obveznosti oziroma zahtev s strani organa za ocenjevanje skladnosti

Če certifikacijski organ ali ustrezen certifikacijski organ ne izpolnjuje svojih obveznosti in to neizpolnjevanje ugotovi center za ocenjevanje varnosti informacijske tehnologije, nacionalni certifikacijski organ za kibernetsko varnost brez nepotrebnega odlašanja:

(a)

s pomočjo zadevnega centra za ocenjevanje varnosti informacijske tehnologije opredeli certifikate EUCC, na katere je to po možnosti vplivalo;

(b)

po potrebi zahteva, da ocenjevalne dejavnosti za enega ali več proizvodov IKT ali profilov zaščite izvede center za ocenjevanje varnosti informacijske tehnologije, ki je izvedel ocenjevanje, ali kateri koli drug akreditiran in, kadar je ustrezno, pooblaščen center za ocenjevanje varnosti informacijske tehnologije, ki je v boljšem tehničnem položaju, da podpre ugotovitev;

(c)

analizira vplive neizpolnjevanja obveznosti oziroma zavez;

(d)

uradno obvesti imetnika certifikata EUCC, na katerega vpliva neizpolnjevanje obveznosti oziroma zavez.

Certifikacijski organ na podlagi ukrepov iz odstavka 1 v zvezi z vsakim certifikatom EUCC, na katerega to vpliva, sprejme eno od naslednjih odločitev:

(a)

ohrani certifikat EUCC nespremenjen;

(b)

začasno prekliče certifikat EUCC v skladu s členom 14 ali 20 in, kadar je ustrezno, izda nov certifikat EUCC.

Nacionalni certifikacijski organ za kibernetsko varnost na podlagi ukrepov iz odstavka 1:

(a)

po potrebi nacionalnemu akreditacijskemu organu poroča o tem, da certifikacijski organ ali povezan center za ocenjevanje varnosti informacijske tehnologije ne izpolnjuje obveznosti oziroma zahtev;

(b)

kadar je ustrezno, oceni morebitni vpliv na pooblastilo.

POGLAVJE VI

OBVLADOVANJE IN RAZKRIVANJE ŠIBKIH TOČK

Člen 32

Področje uporabe obvladovanja šibkih točk

To poglavje se nanaša na proizvode IKT, za katere je bil izdan certifikat EUCC.

ODDELEK I

OBVLADOVANJE ŠIBKIH TOČK

Člen 33

Postopki obvladovanja šibkih točk

Imetnik certifikata EUCC vzpostavi in vzdržuje vse potrebne postopke za obvladovanje šibkih točk v skladu s pravili iz tega oddelka in jih po potrebi dopolni s postopki iz standarda EN ISO/IEC 30111.

Imetnik certifikata EUCC vzdržuje in objavi ustrezne metode, da od zunanjih virov, tudi uporabnikov, certifikacijskih organov in raziskovalcev na področju varnosti, prejema informacije o šibkih točkah, povezanih s proizvodi.

Kadar imetnik certifikata EUCC odkrije morebitno šibko točko, ki vpliva na certificirani proizvod IKT, ali prejme o njej informacijo, jo evidentira in izvede analizo učinka šibkih točk.

Kadar morebitna šibka točka vpliva na sestavljeni proizvod, imetnik potrdila EUCC o morebitni šibki točki obvesti imetnika odvisnih certifikatov EUCC.

Imetnik certifikata EUCC v odgovor na utemeljeno zahtevo certifikacijskega organa, ki je izdal certifikat, navedenemu certifikacijskemu organu posreduje vse ustrezne informacije o morebitnih šibkih točkah.

Člen 34

Analiza posledic šibke točke

Analiza učinka šibkih točk se nanaša na cilj ocenjevanja in izjave o zanesljivosti iz certifikata. Analiza učinka šibkih točk se izvede v časovnem okviru, ki je primeren glede na možnost izkoriščanja in morebitno kritičnost šibke točke certificiranega proizvoda IKT.

Da se določi možnost izkoriščanja šibke točke, se, kadar je ustrezno, izračuna potencial napada v skladu z ustrezno metodologijo, vključeno v standardih iz člena 3, in ustreznimi najsodobnejšimi dokumenti iz Priloge I. Upošteva se raven AVA_VAN certifikata EUCC.

Člen 35

Poročilo o analizi posledic šibke točke

Imetnik pripravi poročilo o analizi posledic šibkih točk, kadar analiza učinka pokaže, da šibka točka verjetno vpliva na skladnost proizvoda IKT s certifikatom.

V poročilu o analizi posledic šibke točke so ocenjeni naslednji elementi:

(a)

posledice šibke točke na certificiran proizvod IKT;

(b)

morebitna tveganja, povezana z bližino ali izvedljivostjo napada;

(c)

možnost odprave šibke točke;

(d)

če je šibko točko mogoče odpraviti, morebitne rešitve šibke točke.

Poročilo o analizi posledic šibke točke po potrebi vsebuje podrobnosti o morebitnih načinih izkoriščanja šibke točke. Z informacijami v zvezi z morebitnimi načini izkoriščanja šibke točke se ravna v skladu z ustreznimi varnostnimi ukrepi za varstvo njihove zaupnosti in po potrebi zagotovitev njihovega omejenega razširjanja.

Imetnik certifikata EUCC brez nepotrebnega odlašanja pošlje poročilo o analizi posledic šibkih točk certifikacijskemu organu ali nacionalnemu certifikacijskemu organu za kibernetsko varnost v skladu s členom 56(8) Uredbe (EU) 2019/881.

Kadar je v poročilu o analizi posledic šibkih točk ugotovljeno, da šibka točka ni rezidualna v smislu standardov iz člena 3 in da jo je mogoče odpraviti, se uporablja člen 36.

Kadar se v poročilu o analizi posledic šibkih točk ugotovi, da šibka točka ni rezidualna in da je ni mogoče odpraviti, se odvzame certifikat EUCC v skladu s členom 14.

Imetnik potrdila EUCC spremlja vse rezidualne šibke točke, da se zagotovi, da jih ni mogoče izkoristiti v primeru sprememb v operativnem okolju.

Člen 36

Odprava šibke točke

Imetnik certifikata EUCC certifikacijskemu organu predstavi predlog ustreznega popravnega ukrepa. Certifikacijski organ pregleda certifikat EUCC v skladu s členom 13. Obseg pregleda se določi s predlagano odpravo šibke točke.

ODDELEK II

RAZKRITJE ŠIBKE TOČKE

Člen 37

Izmenjava informacij z nacionalnim certifikacijskim organom za kibernetsko varnost

Informacije, ki jih certifikacijski organ zagotovi nacionalnemu certifikacijskemu organu za kibernetsko varnost, vsebujejo vse potrebne elemente za razumevanje posledic šibke točke, sprememb proizvoda IKT in, kadar so na voljo, vse informacije certifikacijskega organa o širših posledicah šibke točke na druge certificirane proizvode IKT.

Informacije, zagotovljene v skladu z odstavkom 1, ne vsebujejo podrobnosti o načinih izkoriščanja šibke točke. Ta določba ne posega v preiskovalna pooblastila nacionalnega certifikacijskega organa za kibernetsko varnost.

Člen 38

Sodelovanje z drugimi nacionalnimi certifikacijskimi organi za kibernetsko varnost

Nacionalni certifikacijski organ za kibernetsko varnost si pomembne informacije, ki jih prejme v skladu s člen 37, izmenja z drugimi nacionalnimi certifikacijskimi organi za kibernetsko varnost in Agencijo ENISA.

Drugi nacionalni certifikacijski organ za kibernetsko varnost se lahko odločijo, da šibko točko nadalje analizirajo ali da od ustreznih certifikacijskih organov, po tem ko obvestijo imetnika certifikata EUCC, zahtevajo presojo, ali lahko šibka točka vpliva na druge certificirane proizvode IKT.

Člen 39

Objava šibke točke

Imetnik certifikata EUCC po njegovem odvzemu razkrije in evidentira vse javno znane in odpravljene šibke točke proizvoda IKT v evropski podatkovni zbirki ranljivosti, vzpostavljeni v skladu s členom 12 Direktive (EU) 2022/2555 ( 4 ), ali drugimi spletnimi seznami iz člena 55(1), točka (d), Uredbe (EU) 2019/881.

POGLAVJE VII

HRAMBA, RAZKRITJE IN VARSTVO INFORMACIJ

Člen 40

Hramba evidenc s strani certifikacijskih organov in centra za ocenjevanje varnosti informacijske tehnologije

Center za ocenjevanje varnosti informacijske tehnologije in certifikacijski organi vodijo sistem evidenc, ki vsebuje vse dokumente, pripravljene v zvezi s posameznim opravljenim ocenjevanjem in certificiranjem.

Certifikacijski organi in center za ocenjevanje varnosti informacijske tehnologije imajo evidence varno shranjene in jih hranijo za obdobje, potrebno za to uredbo, ter najmanj pet let po odvzemu ustreznega certifikata EUCC. Ko certifikacijski organ izda novo potrdilo EUCC v skladu s členom 13(2), točka (c), hrani dokumentacijo o odvzetem certifikatu EUCC skupaj z novim certifikatom EUCC, in sicer toliko časa kot za novi certifikat EUCC.

Člen 41

Informacije, ki jih predloži imetnik certifikata

Informacije iz člena 55 Uredbe (EU) 2019/881 so na voljo v jeziku, ki je uporabnikom zlahka razumljiv.

Imetnik certifikata EUCC za obdobje, potrebno za namene te uredbe, in vsaj pet let po odvzemu ustreznega certifikata EUCC varno shrani in hrani naslednje:

(a)

evidence informacij, zagotovljene certifikacijskemu organu in centru za ocenjevanje varnosti informacijskih tehnologij med postopkom certificiranja,

(b)

vzorec certificiranega proizvoda IKT.

Ko certifikacijski organ izda novo potrdilo EUCC v skladu s členom 13(2), točka (c), imetnik hrani dokumentacijo o odvzetem certifikatu EUCC skupaj z novim certifikatom EUCC, in sicer toliko časa kot za novi certifikat.

Imetnik certifikata EUCC na zahtevo certifikacijskega organa ali nacionalnega certifikacijskega organa za kibernetsko varnost predloži evidence in vzorce iz odstavka 2.

Člen 42

Informacije, ki jih mora predložiti ENISA

Agencija ENISA na spletišču iz člena 50(1) Uredbe (EU) 2019/881 objavi naslednje informacije:

(a)

vse certifikate EUCC;

(b)

informacije o statusu certifikata EUCC, zlasti o tem, ali je veljaven, začasno preklican, odvzet ali mu je potekla veljavnost;

(c)

poročila o certificiranju, ki ustrezajo vsakemu certifikatu;

(d)

seznam akreditiranih organov za ocenjevanje skladnosti;

(e)

seznam pooblaščenih organov za ugotavljanje skladnosti;

(f)

najsodobnejše dokumente iz Priloge I;

(g)

mnenja evropske certifikacijske skupine za kibernetsko varnost iz člena 62(4), točka (c), Uredbe (EU) 2019/881;

(h)

poročila o medsebojnem strokovnem ocenjevanju, izdana v skladu s členom 47.

Informacije iz odstavka 1 se dajo na voljo vsaj v angleščini.

Certifikacijski organi in, kadar je ustrezno, nacionalni certifikacijski organi za kibernetsko varnost nemudoma obvestijo ENISA o odločitvah, ki vplivajo na vsebino ali status certifikata EUCC iz člena 1, točka (b).

Agencija ENISA zagotovi, da informacije, objavljene v skladu z odstavkom 1, točke (a) do (c), jasno označujejo različice certificiranega proizvoda IKT, ki ga zajema certifikat EUCC.

Člen 43

Varstvo informacij

Organi za ugotavljanje skladnosti, nacionalni certifikacijski organi za kibernetsko varnost, evropska certifikacijska skupina za kibernetsko varnost, Agencija ENISA, Komisija in vse druge osebe zagotovijo varovanje in varstvo poslovnih skrivnosti in drugih zaupnih informacij, vključno s poslovnimi skrivnostmi, pa tudi ohranjanje pravic intelektualne lastnine ter sprejmejo potrebne in ustrezne tehnične in organizacijske ukrepe.

POGLAVJE VIII

SPORAZUMI O VZAJEMNEM PRIZNAVANJU S TRETJIMI DRŽAVAMI

Člen 44

Pogoji

Tretje države, ki so pripravljene svoje proizvode certificirati v skladu s to uredbo in ki želijo, da je tako certificiranje priznano v Uniji, sklenejo sporazum o vzajemnem priznavanju z Unijo.

Sporazum o vzajemnem priznavanju zajema veljavne ravni zanesljivosti za certificirane proizvode IKT in, kadar je ustrezno, profile zaščite.

Sporazume o vzajemnem priznavanju iz odstavka 1 je mogoče skleniti samo s tretjimi državami, ki izpolnjujejo naslednje pogoje:

(a)

imajo organ, ki:

(1)

je javni organ, neodvisnem od organov, ki ga nadzorujejo in spremljajo v smislu organizacijske in pravne strukture, financiranja in odločanja;

(2)

ima ustrezna pooblastila za spremljanje in nadzor za izvedbo preiskav ter je pooblaščen za sprejemanje ustreznih popravnih ukrepov za zagotavljanje skladnosti;

(3)

ima učinkovit, sorazmeren in odvračilen sistem kazni za zagotavljanje skladnosti;

(4)

se strinja s sodelovanjem z evropsko certifikacijsko skupino za kibernetsko varnost in Agencijo ENISA za izmenjavo dobrih praks in ustreznega razvoja dogodkov na področju certificiranja kibernetske varnosti ter s prizadevanjem k enotni razlagi trenutno veljavnih meril in metod ocenjevanja, in sicer med drugim z uporabo harmonizirane dokumentacije, ki je enakovredna najsodobnejšim dokumentom iz Priloge I;

(b)

imajo neodvisen akreditacijski organ, ki izvaja akreditacije in pri tem uporablja standarde, enakovredne standardom iz Uredbe (ES) št. 765/2008;

(c)

se zavezujejo, da se bodo ocenjevanje in certificiranje ter postopki izvajali strogo poslovno, pri čemer se bo upoštevala skladnost z mednarodnimi standardi iz te uredbe, zlasti člena 3;

(d)

imajo zmogljivost za poročanje o prej neodkritih šibkih točkah ter vzpostavljen uveljavljen in ustrezen postopek za obvladovanje in razkrivanje šibkih točk;

(e)

imajo uveljavljene postopke, ki omogočajo učinkovito vlaganje in obravnavo pritožb ter ki vložnikom zagotavljajo učinkovito pravno sredstvo;

(f)

vzpostavijo mehanizem za sodelovanje z drugimi organi držav Unije in držav članic, pristojnimi za certificiranje na področju kibernetske varnosti v skladu s to uredbo, vključno z izmenjavo informacij o po možnosti neskladnih certifikatih, spremljanju ustreznega razvoja dogodkov na področju certificiranja in zagotavljanju skupnega pristopa k ohranjanju in pregledovanju certificiranja.

Sporazum o vzajemnem priznavanju iz odstavka 1, ki zajema „visoko“ raven zanesljivosti, se lahko poleg upoštevanja pogojev iz odstavka 3 sklene le s tistimi tretjimi državami, v katerih so izpolnjeni tudi naslednji pogoji:

(a)

tretja država ima neodvisen in javen certifikacijski organ za kibernetsko varnost, ki izvaja ali prenaša ocenjevalne dejavnosti, ki omogočajo certificiranje na „visoki“ ravni zanesljivosti ter so enake zahtevam in postopkom, določenim za nacionalni organ za kibernetsko varnost v tej uredbi in Uredbi (EU) 2019/881;

(b)

se s sporazumom o vzajemnem priznavanju vzpostavlja skupni mehanizem, enakovreden medsebojnemu strokovnemu ocenjevanju za certificiranje EUCC, da se spodbuja izmenjava praks in skupno rešujejo težave na področju ocenjevanja in certificiranja.

POGLAVJE IX

MEDSEBOJNO STROKOVNO OCENJEVANJE CERTIFIKACIJSKIH ORGANOV

Člen 45

Postopek medsebojnega strokovnega ocenjevanja

Redno in vsaj vsakih pet let se izvede medsebojno strokovno ocenjevanje certifikacijskega organa, ki izdaja certifikate EUCC na „visoki“ ravni zanesljivosti. Različne vrste medsebojnega strokovnega ocenjevanja so navedene v Prilogi IV.

Evropska certifikacijska skupina za kibernetsko varnost izdela in vzdržuje seznam medsebojnih strokovnih ocenjevanj, ki omogoča spoštovanje takih časovnih presledkov. Medsebojno strokovno ocenjevanje se razen v ustrezno utemeljenih primerih izvaja na kraju samem.

Medsebojno strokovno ocenjevanje lahko temelji na dokazih, zbranih med prejšnjimi takimi ocenjevanji ali enakovrednimi postopki medsebojno strokovno ocenjenega organa ali nacionalnega certifikacijskega organa za kibernetsko varnost, če:

(a)

rezultati niso starejši od petih let;

(b)

rezultate spremlja opis postopkov medsebojnega strokovnega ocenjevanja, vzpostavljenih za shemo, kadar se nanašajo na medsebojno strokovno ocenjevanje, izvedeno v okviru drugačne certifikacijske sheme;

(c)

poročilo o medsebojnem strokovnem ocenjevanju iz člena 47 določa, kateri rezultati so bili ponovno uporabljeni z nadaljnjim ocenjevanjem ali brez njega.

Če se medsebojno strokovno ocenjevanje nanaša na tehnično domeno, se oceni tudi zadevni center za ocenjevanje varnosti informacijske tehnologije.

Medsebojno strokovno ocenjen certifikacijski organ in po potrebi nacionalni certifikacijski organ za kibernetsko varnost zagotovita, da so skupini za medsebojno strokovno ocenjevanje na voljo vse ustrezne informacije.

Medsebojno strokovno ocenjevanje izvede skupina za medsebojno strokovno ocenjevanje, ustanovljena v skladu s Prilogo VI.

Člen 46

Faze medsebojnega strokovnega ocenjevanja

V fazi priprave člani skupine za medsebojno strokovno ocenjevanje pregledajo dokumentacijo certifikacijskega organa, ki zajema njegove politike in postopke, vključno z uporabo najsodobnejših dokumentov.

V fazi obiska na kraju samem skupina za medsebojno strokovno ocenjevanje oceni tehnično usposobljenost in, kadar je ustrezno, pristojnost centra za ocenjevanje varnosti informacijske tehnologije, ki je izvedel vsaj eno ocenjevanje proizvoda IKT, ki ga zajema medsebojno strokovno ocenjevanje.

Trajanje faze obiska na kraju samem se lahko podaljša ali skrajša, in sicer glede na dejavnike, kot so možnost ponovne uporabe obstoječih dokazov in rezultatov medsebojnega strokovnega ocenjevanja ali število centrov za ocenjevanje varnosti informacijske tehnologije in tehničnih domen, za katere certifikacijski organ izda certifikate.

Skupina za medsebojno strokovno ocenjevanje, kadar je ustrezno, določi tehnično usposobljenost vsakega centra za ocenjevanje varnosti informacijske tehnologije, tako da obišče njegov tehnični laboratorij ali laboratorije ter opravi razgovore z njegovimi ocenjevalci o tehničnih domenah in povezanih posebnih metodah napada.

Med poročanjem skupina za medsebojno strokovno ocenjevanje svoje ugotovitve dokumentira v poročilu o medsebojnem strokovnem ocenjevanju, vključno z mnenjem in, kadar je ustrezno, seznamom ugotovljenih neskladnosti, od katerih je vsaka ocenjena s stopnjo pomembnosti.

O poročilu o medsebojnem strokovnem ocenjevanju je treba najprej razpravljati s strokovno medsebojno ocenjenim certifikacijskim organom. Po teh razpravah strokovno medsebojno ocenjen certifikacijski organ določi seznam ukrepov, ki jih je treba sprejeti za obravnavanje ugotovitev.

Člen 47

Poročilo o medsebojnem strokovnem ocenjevanju

Skupina za medsebojno strokovno ocenjevanje medsebojno strokovno ocenjenemu certifikacijskemu organu predloži osnutek poročila o medsebojnem strokovnem ocenjevanju.

Medsebojno strokovno ocenjen certifikacijski organ skupini za medsebojno strokovno ocenjevanje pošlje pripombe v zvezi z ugotovitvami in seznam zavez za odpravo pomanjkljivosti, opredeljenih v osnutku poročila o medsebojnem strokovnem ocenjevanju.

Skupina za medsebojno strokovno ocenjevanje evropski certifikacijski skupini za kibernetsko varnost predloži končno poročilo o medsebojnem strokovnem ocenjevanju, v katero so vključene tudi pripombe in zaveze medsebojno strokovno ocenjenega certifikacijskega organa. Skupina za medsebojno strokovno ocenjevanje vključi tudi svoje stališče o pripombah in o tem, ali zaveze zadostujejo za odpravo ugotovljenih pomanjkljivosti.

Če so v poročilu o medsebojnem strokovnem ocenjevanju ugotovljene neskladnosti, lahko evropska certifikacijska skupina za kibernetsko varnost medsebojno strokovno ocenjenemu certifikacijskemu organu določi ustrezen rok za odpravo neskladnosti.

Evropska certifikacijska skupina za kibernetsko varnost sprejme mnenje o poročilu o medsebojnem strokovnem ocenjevanju:

(a)

kadar v poročilu o medsebojnem strokovnem ocenjevanju neskladnosti niso ugotovljene ali jih je medsebojno strokovno ocenjen certifikacijski organ ustrezno odpravil, lahko evropska certifikacijska skupina za kibernetsko varnost izda pozitivno mnenje in vsi ustrezni dokumenti se objavijo na spletišču Agencije ENISA o certificiranju;

(b)

če medsebojno strokovno ocenjen certifikacijski organ neskladnosti v določenem roku ne odpravi ustrezno, lahko evropska certifikacijska skupina za kibernetsko varnost izda negativno mnenje, ki se objavi na spletišču Agencije ENISA o certificiranju, vključno s poročilom o medsebojnem strokovnem ocenjevanju in vsemi ustreznimi dokumenti.

Iz objavljenih dokumentov se pred objavo mnenja odstranijo vse občutljive, osebne ali zaščitene informacije.

POGLAVJE X

VZDRŽEVANJE SHEME

Člen 48

Vzdrževanje EUCC

Komisija lahko od evropske certifikacijske skupine za kibernetsko varnost zahteva, da sprejme mnenje o vzdrževanju EUCC in izvede ustrezno pripravljalno delo.

Evropska certifikacijska skupina za kibernetsko varnost lahko sprejme mnenje v podporo najsodobnejših dokumentov.

Agencija ENISA objavi najsodobnejše dokumente, ki jih je podprla evropska certifikacijska skupina za kibernetsko varnost.

▼M1

Če v Prilogi I ali II ni določeno drugače, se najsodobnejši dokumenti uporabljajo od datuma začetka uporabe akta o spremembi, s katerim so bili vključeni v Prilogo I ali II.

▼B

POGLAVJE XI

KONČNE DOLOČBE

Člen 49

Nacionalne sheme, zajete v EUCC

Vse nacionalne certifikacijske sheme za kibernetsko varnost ter z njimi povezani postopki za proizvode IKT in postopki IKT, ki so zajeti v EUCC, v skladu s členom 57(1) Uredbe (EU) 2019/881 in brez poseganja v člen 57(3) navedene uredbe prenehajo učinkovati 12 mesecev po začetku veljavnosti te uredbe.

Z odstopanjem od člena 50 se lahko postopek certificiranja začne na podlagi nacionalne certifikacijske sheme za kibernetsko varnost v 12 mesecih od začetka veljavnosti te uredbe, če se postopek certificiranja zaključi najpozneje 24 mesecev po začetku veljavnosti te uredbe.

Certifikati, izdani v okviru nacionalnih certifikacijskih shem za kibernetsko varnost, so lahko predmet pregleda. Novi certifikati, ki nadomestijo pregledane, se izdajo v skladu s to uredbo.

▼M1

Pri izvajanju pregleda iz odstavka 3 v dveh letih od izdaje prvotnega certifikata in kadar se zaradi takega pregleda izda nov certifikat v skladu s to uredbo, se lahko uporabijo standardi iz člena 3(2). Datum izdaje prvotnega certifikata se razume kot datum izdaje zadnjega certifikata za proizvod IKT ali profil zaščite, na katerem temelji sedanje certificiranje.

▼B

Člen 50

Začetek veljavnosti

Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

Uporablja se od 27. februarja 2025.

Poglavje IV in Priloga V se uporabljata od začetka veljavnosti te uredbe.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah.

▼M1

PRILOGA I

Najsodobnejši dokumenti za tehnična področja in drugi najsodobnejši dokumenti

1. Najsodobnejši dokumenti za tehnična področja na ravni 4 ali 5 AVA_VAN:

(a)

naslednji dokumenti, povezani s harmoniziranim ocenjevanjem tehnične domene „Pametne kartice in podobne naprave“:

(1)

„Minimalne zahteve centra za ocenjevanje varnosti informacijske tehnologije za ocenjevanje varnosti pametnih kartic in podobnih naprav“, različica 1.1;

(2)

„Minimalne varnostne zahteve za lokacijo“, različica 1.1;

(3)

„Uporaba skupnih meril za integrirana vezja“, različica 1.1;

(4)

„Zahteve za varnostno arhitekturo (ADV_ARC) pametnih kartic in podobnih naprav“, različica 1.1;

(5)

„Certificiranje „odprtih“ proizvodov za pametne kartice“, različica 1.1;

(6)

„Ocenjevanje sestavljenih proizvodov za pametne kartice in podobne naprave“, različica 1.1;

(7)

„Uporaba potenciala napada na pametne kartice in podobne naprave“, različica 1.2;

(b)

naslednji dokumenti, povezani s harmoniziranim ocenjevanjem tehnične domene „Naprave strojne opreme z varnostnimi napravami“:

(1)

„Minimalne zahteve centra za ocenjevanje varnosti informacijske tehnologije za ocenjevanje varnosti naprav strojne opreme z varnostnimi napravami“, različica 1.1;

(2)

„Minimalne varnostne zahteve za lokacijo“, različica 1.1;

(3)

„Uporaba potenciala napada na naprave strojne opreme z varnostnimi napravami“, različica 1.2.

2. Najsodobnejši dokumenti, povezani s harmonizirano akreditacijo organov za ugotavljanje skladnosti:

(a)

„Akreditacija centrov za ocenjevanje varnosti informacijske tehnologije za EUCC“, različica 1.1, za akreditacije, izdane pred 8. julijem 2025;

(b)

„Akreditacija centrov za ocenjevanje varnosti informacijske tehnologije za EUCC“, različica 1.6c, za akreditacije, izdane prvič ali pregledane po 8. juliju 2025;

(c)

„Akreditacija certifikacijskih organov za EUCC“, različica 1.6b.

▼B

PRILOGA II

PROFILI ZAŠČITE, CERTIFICIRANI NA RAVNI AVA_VAN 4 ALI 5

1. Za kategorijo naprav za ustvarjanje kvalificiranega podpisa in žiga na daljavo:

(1)

EN 419241-2:2019 – Zaupanja vredni sistemi, ki podpirajo strežniško podpisovanje – 2. del: Zaščitni profil za QSCD za strežniško podpisovanje;

(2)

EN 419221-5:2018 – Zaščitni profili za ponudnike storitev zaupanja za kriptografske module – 5. del: Kriptografski modul za storitve zaupanja

2. Profili zaščite, ki so bili sprejeti kot najsodobnejši dokumenti:

[PRAZNO]

PRILOGA III

PRIPOROČENI PROFILI ZAŠČITE (PONAZORITEV TEHNIČNIH DOMEN IZ PRILOGE I)

Profili zaščite, uporabljeni za certificiranje proizvodov IKT, iz kategorij proizvodov IKT, navedenih v nadaljevanju:

(a)

za kategorijo strojno berljivih potnih listin:

(1)

profil zaščite za strojno berljivo potno listino z uporabo standardnega postopka pregleda z vzpostavitvijo z geslom zaščitene povezave (Password Authenticated Connection Establishment – PACE), BSI-CC-PP-0068-V2-2011-MA-01;

(2)

profil zaščite za strojno berljivo potno listino z „aplikacijo Mednarodne organizacije civilnega letalstva (ICAO)“ za razširjen nadzor dostopa, BSI-CC-PP-0056-2009;

(3)

profil zaščite za strojno berljivo potno listino z „aplikacijo ICAO“ za razširjen nadzor dostopa z vzpostavitvijo z geslom zaščitene povezave (PACE), BSI-CC-PP-0056-V2-2012-MA-02;

(4)

profil zaščite za strojno berljivo potno listino z „aplikacijo ICAO“ za osnovni nadzor dostopa, BSI-CC-PP-0055-2009;

(b)

za kategorijo naprav za ustvarjanje varnega podpisa:

(1)

EN 419211-1:2014 – Profil zaščite sredstva za varno elektronsko podpisovanje – 1. del: Pregled

(2)

EN 419211-2:2013 – Profil zaščite sredstva za varno elektronsko podpisovanje – 2. del: Sredstvo za tvorjenje ključa;

(3)

EN 419211-3:2013 – Profil zaščite sredstva za varno elektronsko podpisovanje – 3. del: Sredstvo z vnosom ključa;

(4)

EN 419211-4:2013 – Profil zaščite sredstva za varno elektronsko podpisovanje – 4. del: Podaljšek za sredstvo, ki generira ključ in zaupno komunicira prek aplikacije z generiranjem certifikatov;

(5)

EN 419211-5:2013 – Profil zaščite sredstva za varno elektronsko podpisovanje – 5. del: Podaljšek za sredstvo, ki generira ključ in zaupno komunicira prek aplikacije s podpisovanjem;

(6)

EN 419211-6:2014 – Profil zaščite sredstva za varno elektronsko podpisovanje – 6. del: Podaljšek za sredstvo, ki vnese ključ in zaupno komunicira z aplikacijo s podpisovanjem;

(c)

za kategorijo digitalnih tahografov:

(1)

digitalni tahograf – tahografska kartica iz Izvedbene uredbe Komisije (EU) 2016/799 z dne 18. marca 2016 o izvajanju Uredbe (EU) št. 165/2014 (Priloga 1C);

(2)

digitalni tahograf – enota v vozilu, namenjena za namestitev v vozila za cestni prevoz, kot je navedena v Prilogi IB k Uredbi Komisije (ES) št. 1360/2002;

(3)

digitalni tahograf – zunanja GNSS oprema, kot je navedeno v Prilogi 1C k Izvedbeni uredbi Komisije (EU) 2016/799 z dne 18. marca 2016 o izvajanju Uredbe (EU) 165/2014 Evropskega parlamenta in Sveta;

(4)

digitalni tahograf – tipalo gibanja, kot je navedeno v Prilogi 1C k Izvedbeni uredbi Komisije (EU) 2016/799 z dne 18. marca 2016 o izvajanju Uredbe (EU) 165/2014 Evropskega parlamenta in Sveta;

(d)

za kategorijo varnih integriranih vezij, pametnih kartic in povezanih naprav:

(1)

profil zaščite za platformo z varnostnim integriranim vezjem, BSI-CC-PP-0084-2014;

(2)

sistem Java kartice – odprta konfiguracija, V3.0.5 BSI-CC-PP-0099-2017;

(3)

sistem Java kartice – zaprta konfiguracija, BSI-CC-PP-0101-2017;

(4)

profil zaščite za na potrebe stranke osredotočen modul zaupanja vredne platforme za osebne računalnike (Client Specific Trusted Platform Module) skupina 2.0 raven 0 različica 1.16, ANSSI-CC-PP-2015/07;

(5)

univerzalna kartica SIM, PU-2009-RT-79, ANSSI-CC-PP-2010/04;

(6)

vgrajena univerzalna pametna kartica (universal integrated circuit card – UICC) za naprave z vzajemno povezavo med napravami, BSI-CC-PP-0089-2015;

(e)

za kategorijo točk (plačilne) interakcije in plačilnih terminalov:

(1)

točka interakcije „POI-CHIP-ONLY“, ANSSI-CC-PP-2015/01;

(2)

točka interakcije „POI-CHIP-ONLY and Open Protocol Package“, ANSSI-CC-PP-2015/02;

(3)

točka interakcije „POI-COMPREHENSIVE“, ANSSI-CC-PP-2015/03;

(4)

točka interakcije „POI-COMPREHENSIVE and Open Protocol Package“, ANSSI-CC-PP-2015/04;

(5)

točka interakcije „POI-PED-ONLY“, ANSSI-CC-PP-2015/05;

(6)

točka interakcije „POI-PED-ONLY and Open Protocol Package“, ANSSI-CC-PP-2015/06;

(f)

za kategorijo naprav strojne opreme z varnostnimi napravami:

(1)

kriptografski modul za postopke podpisovanja ponudnika kriptografskih storitev z varnostnim kopiranjem – PP CMCSOB, PP HSM CMCSOB 14167-2, ANSSI-CC-PP-2015/08;

(2)

kriptografski modul za storitve generiranja ključa ponudnika kriptografskih storitev – PP CMCKG, PP HSM CMCKG 14167-3, ANSSI-CC-PP-2015/09;

(3)

kriptografski modul za postopke podpisovanja ponudnika kriptografskih storitev brez varnostnega kopiranja – PP CMCSO, PP HSM CMCKG 14167-4, ANSSI-CC-PP-2015/10.

PRILOGA IV

Neprekinjena zanesljivost in pregled certifikata

IV.1 Neprekinjena zanesljivost: področje uporabe

1. Naslednje zahteve za neprekinjeno zanesljivost veljajo pri dejavnostih vzdrževanja v zvezi z naslednjim:

(a)

ponovno oceno, ali nespremenjen certificiran proizvod IKT še vedno izpolnjuje varnostne zahteve;

(b)

oceno vplivov sprememb certificiranega proizvoda IKT na njegovo certificiranje;

(c)

če je vključeno v certificiranje, uporabo popravkov v skladu z ocenjenim postopkom upravljanja popravkov;

(d)

če je vključeno, pregled postopkov upravljanja življenjskega cikla ali proizvodnih postopkov imetnika certifikata.

2. Imetnik certifikata EUCC lahko zahteva pregled certifikata v naslednjih primerih:

(a)

certifikat EUCC bi potekel v devetih mesecih;

(b)

spremenil se je certificirani proizvod IKT ali drug dejavnik, ki bi lahko vplival na njegovo varnostno funkcionalnost;

(c)

imetnik certifikata zahteva, da se znova oceni šibka točka zaradi ponovne potrditve zanesljivosti certifikata EUCC, povezane z odpornostjo proizvoda IKT proti kibernetskim napadom.

IV.2 Ponovna ocena

1. Če je treba oceniti vpliv sprememb nespremenjenega certificiranega proizvoda IKT v krajini groženj, se certifikacijskemu organu predloži zahtevek za ponovno oceno.

2. Ponovno oceno izvede isti center za ocenjevanje varnosti informacijske tehnologije, ki je bil vključen v prejšnje ocenjevanje, pri čemer uporabi vse še vedno veljavne rezultate. Ocenjevanje je usmerjeno na dejavnosti zanesljivosti, na katere potencialno vpliva spremenjena krajina groženj certificiranega proizvoda IKT, zlasti ustrezna družina AVA_VAN in prav tako skupina z zagotovljeno zanesljivostjo v življenjskem ciklu (assurance lifecycle – ALC), pri čemer se znova zberejo zadostni dokazi o vzdrževanju okolja razvoja.

3. Center za ocenjevanje varnosti informacijske tehnologije opiše spremembe in podrobnosti rezultatov ponovne ocene, tako da posodobi prejšnje tehnično poročilo o ocenjevanju.

4. Certifikacijski organ navedeno poročilo pregleda in pripravi poročilo o ponovni oceni. Status prvotnega certifikata se nato spremeni v skladu s členom 13.

5. Nacionalnemu certifikacijskemu organu za kibernetsko varnost in Agenciji ENISA se predložita poročilo o ponovni oceni in posodobljen certifikat za objavo na njunem spletišču o certificiranju na področju kibernetske varnosti.

IV.3 Spremembe certificiranega proizvoda IKT

1. Imetnik certifikata, ki želi certifikat ohraniti, ob spremembi certificiranega proizvoda IKT certifikacijskemu organu predloži poročilo o analizi učinka posledic.

2. V poročilu o analizi učinka posledic so naslednji elementi:

(a)

uvod z informacijami, potrebnimi za opredelitev poročila o analizi učinka posledic in cilja ocenjevanja, ki se spreminja;

(b)

opis sprememb proizvoda;

(c)

opredelitev dokaza o razvijalcu, na katerega to vpliva;

(d)

opis sprememb dokaza o razvijalcu;

(e)

ugotovitve in sklepi o vplivu zanesljivosti za vsako spremembo.

3. Certifikacijski organ preuči spremembe, opisane v poročilu o analizi posledic, da bi potrdil njihove posledice na zanesljivost certificiranega cilja ocenjevanja, kot so predlagane v ugotovitvah poročila o analizi učinka posledic.

4. Po preučitvi opredeli obseg spremembe kot manjšo ali večjo glede na njene posledice.

▼M1

5. Če certifikacijski organ potrdi, da so spremembe manjše, se za spremenjeni proizvod IKT ne izda nov certifikat in se pripravi poročilo o vzdrževanju k prvotnemu poročilu o certificiranju.

Poročilo o vzdrževanju se vključi kot del poročila o analizi učinka posledic in vsebuje naslednje oddelke:

(a)

uvod,

(b)

opis sprememb,

(c)

dokaz o razvijalcu, na katerega to vpliva.

6. Novo poročilo o vzdrževanju iz točke 5 se pošlje Agenciji ENISA za objavo na spletišču o certificiranju na področju kibernetske varnosti.

▼B

7. Če se potrdi, da so spremembe večje, se v okviru prejšnjega ocenjevanja opravi ponovna ocena, pri čemer se ponovno uporabijo vsi še vedno veljavni rezultati iz prejšnjega ocenjevanja.

8. Ko je ocenjevanje spremenjenega cilja ocenjevanja dokončano, center za ocenjevanje varnosti informacijske tehnologije pripravi novo tehnično poročilo o ocenjevanju. Certifikacijski organ pregleda posodobljeno tehnično poročilo o ocenjevanju in po potrebi oblikuje nov certifikat z novim poročilom o certificiranju.

9. Novi certifikat in poročilo o certificiranju se predložita Agenciji ENISA za objavo.

IV.4 Upravljanje popravkov

1. S postopkom upravljanja popravkov se zagotavlja strukturirana posodobitev certificiranega proizvoda IKT. Postopek upravljanja popravkov, vključno z mehanizmom, kot ga v proizvod IKT uvede vložnik za certificiranje, se lahko na odgovornost organa za ocenjevanje skladnosti uporabi po certificiranju proizvoda IKT.

2. Vložnik za certificiranje lahko v certificiranje proizvoda IKT vključi mehanizem popravkov kot del postopka certificiranega upravljanja, ki se izvaja za proizvod IKT, pod enim od naslednjih pogojev:

(a)

funkcionalnosti, na katere vpliva popravek, so zunaj cilja ocenjevanja certificiranega proizvoda IKT;

(b)

popravek se nanaša na vnaprej določeno manjšo spremembo certificiranega proizvoda IKT;

(c)

popravek se nanaša na potrjeno šibko točko in ima ključne posledice za varnost certificiranega proizvoda IKT.

3. Če se popravek nanaša na večjo spremembo cilja ocenjevanja certificiranega proizvoda IKT v povezavi s prej neodkrito šibko točko, ki nima ključnih posledic za varnost proizvoda IKT, se uporabljajo določbe člena 13.

4. Postopek upravljanja popravkov proizvoda IKT sestavljajo naslednji elementi:

(a)

postopek razvoja in izdaje popravka za proizvod IKT;

(b)

tehnični mehanizem in funkcionalnosti za sprejetje popravka v proizvod IKT;

(c)

sklop dejavnosti ocenjevanja, povezanih z učinkovitostjo in smotrnostjo tehničnega mehanizma.

5. Med certificiranjem proizvoda IKT:

(a)

vložnik za certificiranje proizvoda IKT predloži opis postopka upravljanja popravkov;

(b)

center za ocenjevanje varnosti informacijske tehnologije preveri naslednje elemente:

(1)

razvijalec je mehanizme popravkov v proizvod IKT uvedel v skladu s postopkom upravljanja popravkov, predloženim v certificiranje;

(2)

meje cilja ocenjevanja so ločene tako, da spremembe, izvedene med ločenimi postopki, ne vplivajo na varnost cilja ocenjevanja;

(3)

mehanizem tehničnih popravkov se izvaja v skladu z določbami tega oddelka in trditvami vložnika;

(c)

certifikacijski organ v poročilo o certificiranju vključi rezultat ocenjenega postopka upravljanja popravkov.

6. Imetnik certifikata lahko popravek, proizveden v skladu s certificiranim postopkom upravljanja popravkov, začne uporabljati pri zadevnem certificiranem proizvodu IKT in v petih delovnih dneh v naslednjih primerih sprejme naslednje ukrepe:

(a)

v primeru iz točke 2(a) o zadevnem popravku poroča certifikacijskemu organu, ki ne spremeni ustreznega certifikata EUCC;

(b)

v primeru iz točke 2(b) predloži zadevni popravek centru za ocenjevanje varnosti informacijske tehnologije v pregled. Center za ocenjevanje varnosti informacijske tehnologije po sprejetju popravka obvesti certifikacijski organ, ki v zvezi z njim sprejme ustrezen ukrep o izdaji nove različice ustreznega certifikata EUCC in posodobitvi poročila o certificiranju;

(c)

v primeru iz točke 2(c) predloži zadevni popravek centru za ocenjevanje varnosti informacijske tehnologije v potrebno ponovno oceno, vendar lahko hkrati izvede popravek. Center za ocenjevanje varnosti informacijske tehnologije obvesti certifikacijski organ, ta pa nato začne povezane dejavnosti certificiranja.

PRILOGA V

Vsebina poročila o certificiranju

V.1 Poročilo o certificiranju

1. Certifikacijski organ na podlagi tehničnih poročil o ocenjevanju, ki jih je predložil center za ocenjevanje varnosti informacijske tehnologije, pripravi poročilo o certificiranju za objavo skupaj z ustreznim certifikatom EUCC.

2. To poročilo o certificiranju je vir podrobnih in praktičnih informacij o proizvodu IKT ali kategoriji proizvodov IKT in varnem uvajanju proizvoda IKT ter zato vključuje vse javno dostopne informacije v skupni rabi, ki so pomembne za uporabnike in zainteresirane strani. Na take informacije lahko napotuje poročilo o certificiranju.

3. Poročilo o certificiranju vsebuje vsaj naslednje elemente:

(a)

povzetek;

(b)

opredelitev proizvoda IKT ali kategorije proizvoda IKT za profile zaščite;

(c)

varnostne storitve;

(d)

predpostavke in pojasnitev obsega;

(e)

informacije o arhitekturi;

(f)

kadar je ustrezno, dodatne informacije o kibernetski varnosti;

(g)

preizkušanje proizvoda IKT, če je bilo izvedeno;

(h)

kadar je ustrezno, opredelitev postopkov upravljanja življenjskega cikla in proizvodnih obratov imetnika certifikata;

(i)

rezultate ocenjevanja in informacije o certifikatu;

(j)

povzetek varnostnega cilja proizvoda IKT, predloženega v certificiranje;

(k)

znak ali oznako, povezana s shemo, če sta na voljo;

(l)

seznam literature.

4. V povzetku je na kratko povzeto celotno poročilo o certificiranju. V njem je jasen in jedrnat pregled rezultatov ocenjevanja ter so zajete naslednje informacije:

(a)

ime ocenjenega proizvoda IKT, navedba komponent proizvoda, vključenih v ocenjevanje, in različica proizvoda IKT;

(b)

ime centra za ocenjevanje varnosti informacijske tehnologije in, kadar je ustrezno, seznam podizvajalcev;

(c)

datum dokončanja ocenjevanja;

(d)

sklic na tehnično poročilo o ocenjevanju, ki ga je pripravil center za ocenjevanje varnosti informacijske tehnologije;

(e)

kratek opis rezultatov poročila o certificiranju, ki zajema:

(1)

različico in, kadar je ustrezno, izdajo skupnih meril, uporabljenih pri ocenjevanju;

(2)

paket zanesljivosti skupnih meril in komponente z ravnjo varnosti, vključno z ravnjo AVA_VAN, ki so uporabljene pri ocenjevanju in ustrezajo ravni zanesljivosti, kakor je določena v členu 52 Uredbe (EU) 2019/881, na katerega napotuje certifikat EUCC;

(3)

varnostno funkcionalnost ocenjenega proizvoda IKT;

(4)

povzetek groženj in organizacijskih varnostnih politik, ki jih obravnava ocenjevani proizvod IKT;

(5)

posebne zahteve glede konfiguracije;

(6)

predpostavke o operacijskem okolju;

(7)

kadar je ustrezno, prisotnost odobrenega postopka upravljanja popravkov v skladu z oddelkom IV.4 Priloge IV;

(8)

izjavo(-e) o omejitvi odgovornosti.

5. Ocenjeni proizvod IKT je jasno opredeljen in zajema tudi naslednje informacije:

(a)

ime ocenjenega proizvoda IKT;

(b)

navedbo komponent proizvoda IKT, vključenih v ocenjevanje;

(c)

številko različice komponent proizvoda IKT;

(d)

opredelitev dodatnih zahtev za operacijsko okolje certificiranega proizvoda IKT;

(e)

ime in kontaktne podatke imetnika certifikata EUCC;

(f)

kadar je ustrezno, postopek upravljanja popravkov, vključen v certifikat;

(g)

povezavo na spletišče imetnika certifikata EUCC, kadar so za certificirani proizvod IKT zagotovljene dodatne informacije o kibernetski varnosti v skladu s členom 55 Uredbe (EU) 2019/881.

6. Informacije, vključene v ta oddelek, so čim bolj točne, da se zagotovi popolna in natančna predstavitev proizvoda IKT, ki se lahko ponovno uporabi pri prihodnjih ocenjevanjih.

7. Oddelek o varnostni politiki vsebuje opis varnostne politike proizvoda IKT in politik ali pravil, ki jih bo izvajal ali izpolnjeval ocenjeni proizvod IKT. Zajema navedbo in opis naslednjih politik:

(a)

politiko obravnavanja šibkih točk imetnika certifikata;

(b)

politiko neprekinjene zanesljivosti imetnika certifikata.

8. Politika lahko, kadar je ustrezno, zajema pogoje v zvezi z uporabo postopka upravljanja popravkov med veljavnostjo certifikata.

9. Oddelek za predpostavke in pojasnitev obsega vsebuje izčrpne informacije o okoliščinah in ciljih, povezanih s predvideno uporabo proizvoda, kakor je navedeno v členu 7(1), točka (c). Informacije vključujejo:

(a)

predpostavke o uporabi in uvajanju proizvoda IKT v obliki minimalnih zahtev, kot je izpolnjevanje zahtev v zvezi z ustrezno namestitvijo in konfiguracijo ter zahtev glede strojne opreme;

(b)

predpostavke o okolju za skladno delovanje proizvoda IKT.

10. Informacije iz točke 9 so čim bolj razumljive, da bi lahko uporabniki certificiranega proizvoda IKT sprejemali informirane odločitve o tveganjih, povezanih z njihovo uporabo.

11. V oddelku informacij o arhitekturi je zajet opis proizvoda IKT in njegovih glavnih komponent v visokem programskem jeziku v skladu s skupnimi merili za zasnovo podsistemov ADV_TDS.

12. Popoln seznam dodatnih informacij o kibernetski varnosti proizvoda IKT je zagotovljen v skladu s členom 55 Uredbe (EU) 2019/881. Vsi ustrezni dokumenti so označeni s številkami različice.

13. Oddelek za preizkušanje proizvodov IKT vključuje naslednje informacije:

(a)

ime in kontaktna točka organa, ki je izdal certifikat, vključno s pristojnim nacionalnim certifikacijskim organom za kibernetsko varnost;

(b)

ime centra za ocenjevanje varnosti informacijske tehnologije, ki je izvedel ocenjevanje, če se razlikuje od certifikacijskega organa;

(c)

opredelitev uporabljenih komponent zanesljivosti iz standardov iz člena 3;

(d)

različica najsodobnejšega dokumenta in dodatna merila za ocenjevanje varnosti, uporabljena pri ocenjevanju;

(e)

popolne in natančne nastavitve in konfiguracija proizvoda IKT med ocenjevanjem, vključno s pripombami in ugotovitvami glede delovanja, če so na voljo;

(f)

vsak uporabljeni profil zaščite, vključno z naslednjimi informacijami:

(1)

avtor profila zaščite;

(2)

ime in identifikator profila zaščite;

(3)

identifikator certifikata profila zaščite;

(4)

ime in kontaktni podatki certifikacijskega organa in centra za ocenjevanje varnosti informacijske tehnologije, ki sodelujeta pri ocenjevanju profila zaščite;

(5)

paketi zanesljivosti, potrebni za skladnost proizvoda s profilom zaščite.

14. V oddelku o rezultatih ocenjevanja in informacijah o certifikatu so zajete naslednje informacije:

(a)

potrditev dosežene ravni zanesljivosti, kot je navedena v členu 4 te uredbe in členu 52 Uredbe (EU) 2019/881;

(b)

zahteve glede zanesljivosti iz standardov, navedenih v členu 3, ki jih proizvod IKT ali profil zaščite dejansko izpolnjujeta, vključno z ravnjo AVA_VAN;

(c)

podroben opis zahtev glede zanesljivosti in podrobnosti o tem, kako proizvod izpolnjuje vsako od njih;

(d)

datum izdaje in rok veljavnosti certifikata;

(e)

edinstveni identifikator certifikata.

15. Varnostni cilj se vključi v poročilo o certificiranju ali je v njem naveden in povzet ter zagotovljen skupaj z njim za objavo.

16. Varnostni cilj je lahko prečiščen v skladu z oddelkom VI.2.

17. V poročilo o certificiranju se lahko vključita znak ali oznaka, povezana z EUCC, v skladu s pravili in postopki iz člena 11.

18. V oddelku o seznamu literature so zajeti sklici na vse dokumente, uporabljene pri pripravi poročila o certificiranju. Te informacije vključujejo najmanj naslednje:

(a)

merila za ocenjevanje varnosti, najsodobnejše dokumente ter dodatne uporabljene ustrezne specifikacije in njihovo različico;

(b)

tehnično poročilo o ocenjevanju;

(c)

tehnično poročilo o ocenjevanju za ocenjevanje sestavljenih proizvodov, kadar je ustrezno;

(d)

tehnične referenčne dokumente;

(e)

dokumente, ki jih je pri ocenjevalnem delu uporabil razvijalec.

19. Da bi se ocenjevanje lahko ponovilo, morajo biti vsi dokumenti edinstveno označeni z ustreznim datumom izdaje in ustrezno številko različice.

V.2 Prečiščevanje varnostnega cilja za objavo

1. Varnosti cilj, vključen v poročilo o certificiranju ali naveden v tem poročilu v skladu s točko 1 oddelka VI.1, je lahko prečiščen z odstranitvijo ali povzetkom zaščitenih tehničnih informacij.

2. Prečiščeni varnostni cilj, ki iz tega izhaja, je realna predstavitev celotne izvirne različice. To pomeni, da se iz prečiščenega varnostnega cilja ne smejo izpustiti informacije, potrebne za razumevanje varnostnih lastnosti cilja in obsega ocenjevanja.

3. Vsebina prečiščenega varnostnega cilja je skladna z naslednjimi minimalnimi zahtevami:

(a)

uvod ni prečiščen, saj na splošno ne zajema zaščitenih informacij;

(b)

prečiščen varnostni cilj mora imeti edinstven identifikator, ki se razlikuje od identifikatorja njegove celotne izvirne različice;

(c)

opis cilja ocenjevanja se lahko skrajša, saj lahko zajema zaščitene in podrobne informacije o zasnovi cilja ocenjevanja, ki se jih ne bi smelo objaviti;

(d)

opis varnostnega okolja cilja ocenjevanja (predpostavke, grožnje, organizacijske varnostne politike) se ne skrajša, če so te informacije potrebne za razumevanje obsega ocenjevanja;

(e)

varnostni cilji se ne skrajšajo, saj se za razumevanje namena varnostnega cilja in cilja ocenjevanja objavijo vse informacije;

(f)

vse varnostne zahteve se objavijo. V opombah k uporabi so lahko navedene informacije o tem, kako so bile funkcijske zahteve iz skupnih meril, kot je določeno v členu 3, uporabljene za razumevanje varnostnega cilja;

(g)

povzetek specifikacije cilja ocenjevanja zajema vse varnostne funkcije cilja ocenjevanja, dodatne zaščitene informacije pa se lahko prečistijo;

(h)

vključijo se sklici na profile zaščite, uporabljene pri cilju ocenjevanja;

(i)

utemeljitev se lahko prečisti, da se odstranijo zaščitene informacije.

4. Certifikacijski organ zagotovi, da je prečiščeni varnostni cilj, tudi če ni uradno ocenjen v skladu s standardi ocenjevanja iz člena 3, skladen s celotnim in ocenjenim varnostnim ciljem, ter v certifikacijskem poročilu navede celoten in prečiščen varnostni cilj.

PRILOGA VI

Obseg in sestava skupine za medsebojna strokovna ocenjevanja

VI.1 Obseg medsebojnega strokovnega ocenjevanja

1. Zajete so naslednje vrste medsebojnega strokovnega ocenjevanja:

(a)

vrsta 1: kadar certifikacijski organ izvede dejavnosti certificiranja na ravni AVA_VAN.3;

(b)

vrsta 2: kadar certifikacijski organ izvede dejavnosti certificiranja, povezane s tehnično domeno iz najsodobnejših dokumentov iz Priloge I;

(c)

vrsta 3: kadar certifikacijski organ izvede dejavnosti certificiranja nad ravnjo AVA_VAN.3 in pri tem uporabi profil zaščite, naveden kot najsodobnejši dokument v Prilogi I.

2. Medsebojno strokovno ocenjeni certifikacijski organ predloži seznam certificiranih proizvodov IKT, ki so lahko predlagani za pregled s strani skupine za medsebojno strokovno ocenjevanje, v skladu z naslednjimi pravili:

(a)

predlagani proizvodi spadajo v tehnični obseg pooblastila certifikacijskega organa, od katerih bosta na „visoki“ ravni zanesljivosti z medsebojnim strokovnim ocenjevanjem analizirani vsaj dve različni ocenjevanji proizvoda in en profil zaščite, če je certifikacijski organ izdal certifikat na „visoki“ ravni zanesljivosti;

(b)

pri vrsti 2 medsebojnega strokovnega ocenjevanja certifikacijski organ predloži vsaj en proizvod na tehnično domeno in zadevni center za ocenjevanje varnosti informacijske tehnologije;

(c)

pri vrsti 3 medsebojnega strokovnega ocenjevanja se oceni vsaj en predlagan proizvod v skladu z veljavnimi in ustreznimi profili zaščite.

VI.2 Skupina za medsebojno strokovno ocenjevanje

1. Skupino za medsebojno strokovno ocenjevanje sestavljata vsaj dva strokovnjaka, izbrana iz različnih certifikacijskih organov iz različnih držav članic, ki izdajajo certifikate na „visoki“ ravni zanesljivosti. Izkazati morata ustrezno strokovno znanje in izkušnje na področju standardov iz člena 3 in najsodobnejših dokumentov, ki spadajo v obseg medsebojnega strokovnega ocenjevanja.

2. V primeru prenosa naloge izdajanja certifikatov ali predhodne odobritve certifikatov, kot je določeno v členu 56(6) Uredbe (EU) 2019/881, v skupini strokovnjakov, izbranih v skladu z odstavkom 1 tega oddelka, sodeluje tudi strokovnjak iz nacionalnega certifikacijskega organa za kibernetsko varnost, povezanega z zadevnim certifikacijskim organom.

3. Za vrsto 2 medsebojnega strokovnega ocenjevanja so člani skupine izbrani iz certifikacijskih organov, pooblaščenih za zadevno tehnično domeno.

4. Vsak član skupine za ocenjevanje ima vsaj dve leti izkušenj z izvajanjem dejavnosti certificiranja v certifikacijskem organu.

5. Za vrsti 2 ali 3 medsebojnega strokovnega ocenjevanja ima vsak član skupine za ocenjevanje vsaj dve leti izkušenj z izvajanjem dejavnosti certificiranja na področju te ustrezne tehnične domene ali profila zaščite ter dokazano strokovno znanje in izkušnje in sodelovanje v postopku pooblastila centru za ocenjevanje varnosti informacijske tehnologije.

6. Kot opazovalca pri medsebojnem strokovnem ocenjevanju sodelujeta nacionalni certifikacijski organ za kibernetsko varnost, ki spremlja in nadzoruje medsebojno strokovno ocenjen certifikacijski organ, in vsaj en nacionalni certifikacijski organ za kibernetsko varnost, katerega certifikacijski organ ni predmet medsebojnega strokovnega ocenjevanja. Tudi Agencija ENISA lahko sodeluje kot opazovalka pri medsebojnem strokovnem ocenjevanju.

7. Medsebojno strokovno ocenjenemu certifikacijskemu organu je predstavljena sestava skupine za medsebojno strokovno ocenjevanje. V utemeljenih primerih lahko izpodbija sestavo te skupine in zahteva njen pregled.

PRILOGA VII

Vsebina certifikata eucc

Certifikat EUCC vsebuje najmanj:

(a)

edinstveni identifikator, ki ga določi certifikacijski organ, ki izda certifikat;

(b)

informacije, povezane s certificiranim proizvodom IKT ali profilom zaščite in imetnikom certifikata, ki zajemajo:

(1)

ime proizvoda IKT ali profil zaščite in, kadar je ustrezno, cilj ocenjevanja;

(2)

vrsto proizvoda IKT ali profil zaščite in, kadar je ustrezno, cilj ocenjevanja;

(3)

različico proizvoda IKT ali profila zaščite;

(4)

ime, naslov in kontaktne podatke imetnika certifikata;

(5)

povezavo na spletišče imetnika certifikata, ki vsebuje dodatne informacije o kibernetski varnosti iz člena 55 Uredbe (EU) 2019/881;

(c)

informacije, povezane z ocenjevanjem in certificiranjem proizvoda IKT ali profila zaščite, ki zajemajo:

(1)

ime, naslov in kontaktne podatke certifikacijskega organa, ki je izdal certifikat;

(2)

ime centra za ocenjevanje varnosti informacijske tehnologije, ki je izvedel ocenjevanje, če se razlikuje od certifikacijskega organa;

(3)

ime pristojnega nacionalnega certifikacijskega organa za kibernetsko varnost;

(4)

sklic na to uredbo;

(5)

sklic na poročilo o certificiranju, povezano s certifikatom iz Priloge V;

(6)

veljavno raven zanesljivosti v skladu s členom 4;

(7)

sklic na različico standardov, uporabljenih pri ocenjevanju, iz člena 3;

(8)

opredelitev ravni zanesljivosti ali paketa, ki sta določena v standardih iz člena 3 in skladna s Prilogo VIII, vključno z uporabljenimi elementi zanesljivosti in zajeto ravnjo AVA_VAN;

(9)

kadar je ustrezno, sklic na enega ali več profilov zaščite, s katerimi je skladen proizvod IKT ali profil zaščite;

(10)

datum izdaje;

(11)

obdobje veljavnosti certifikata;

(d)

znak in oznako, ki sta povezana s certifikatom v skladu s členom 11.

PRILOGA VIII

Izjava o paketu zanesljivosti

1. V nasprotju z opredelitvami iz skupnih meril povečanje:

(a)

ni označeno s kratico „+“;

(b)

se podrobno opiše s seznamom vseh zadevnih komponent;

(c)

se podrobno opiše v poročilu o certificiranju.

2. Raven zanesljivosti, potrjena v certifikatu EUCC, se lahko dopolni s standardom označevanja ravni varnostne zaščite (Evaluation Assurance Level – EAL, kot je določeno v členu 3 te uredbe.

3. Če se raven zanesljivosti, potrjena v certifikatu EUCC, ne nanaša na povečanje, se v certifikatu EUCC navede eden od naslednjih paketov:

(a)

„paket posebne zanesljivosti“;

(b)

„paket zanesljivosti, skladen s profilom zaščite,“ v primeru sklica na profil zaščite brez EAL.

PRILOGA IX

ZNAK IN OZNAKA

1. Oblika znaka in oznake:

2. Če sta znak in oznaka pomanjšana ali povečana, se upošteva razmerje, ki ga določa zgornja risba.

3. Če sta znak in oznaka fizično prisotna, sta visoka najmanj 5 mm.

( 1 ) Izvedbena uredba Komisije (EU) 2016/799 z dne 18. marca 2016 o izvajanju Uredbe (EU) št. 165/2014 Evropskega parlamenta in Sveta za določitev zahtev glede konstrukcije, preskušanja, namestitve, delovanja in popravila tahografov in njihovih sestavnih delov (UL L 139, 26.5.2016, str. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj).

( 2 ) Uredba (EU) št. 910/2014 Evropskega parlamenta in Sveta z dne 23. julija 2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu in o razveljavitvi Direktive 1999/93/ES (UL L 257, 28.8.2014, str. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

( 3 ) Izvedbeni sklep Komisije (EU) 2016/650 z dne 25. aprila 2016 o določitvi standardov za oceno varnosti naprav za ustvarjanje kvalificiranega elektronskega podpisa in žiga v skladu s členoma 30(3) in 39(2) Uredbe (EU) št. 910/2014 Evropskega parlamenta in Sveta o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu (UL L 109, 26.4.2016, str. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).

( 4 ) Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (direktiva NIS 2) (UL L 333, 27.12.2022, str. 80).

		Uradni list
		št.	stran	datum
►M1	IZVEDBENA UREDBA KOMISIJE (EU) 2024/3144 z dne 18. decembra 2024	L 3144	1	19.12.2024