cilje, naloge in organizacijske zadeve, povezane z Agencijo Evropske unije za kibernetsko varnost (v nadaljnjem besedilu: agencija ENISA), ter

okvir za vzpostavitev evropskih certifikacijskih shem za kibernetsko varnost za namene zagotavljanja ustrezne ravni kibernetske varnosti za proizvode IKT, storitve IKT, postopke IKT in upravljane varnostne storitve v Uniji, pa tudi za namene preprečevanja razdrobljenosti notranjega trga v zvezi s certifikacijskimi shemami za kibernetsko varnost v Uniji.

razpoložljivost in oblikovanje nacionalnih certifikacijskih shem za kibernetsko varnost, ki zajemajo posamezno kategorijo proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev, zlasti kar zadeva tveganje razdrobljenosti;

ustrezna politika ali pravo Unije ali nacionalna politika ali pravo;

povpraševanje na trgu;

tehnološki razvoj ter razpoložljivost in razvoj mednarodnih certifikacijskih shem za kibernetsko varnost ter mednarodnih standardov in standardov, ki jih uporablja industrija;

razvoj kibernetskih groženj;

zahteva za pripravo posebne predloge sheme, ki jo predlaga evropska certifikacijska skupina za kibernetsko varnost.

predmet urejanja in področje uporabe certifikacijske sheme, vključno z vrsto ali kategorijami zajetih proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev;

jasen opis namena sheme ter tega, kako izbrani standardi, metode za ocenjevanje in ravni zanesljivosti ustrezajo potrebam predvidenih uporabnikov sheme;

sklic na mednarodne, evropske ali nacionalne standarde, uporabljene pri ocenjevanju, ali, kadar taki standardi niso na voljo ali niso ustrezni, sklic na tehnične specifikacije, ki izpolnjujejo zahteve iz Priloge II k Uredbi (EU) št. 1025/2012, ali, če take specifikacije niso na voljo, sklic na tehnične specifikacije ali druge zahteve glede kibernetske varnosti, določene v evropski certifikacijski shemi za kibernetsko varnost;

eno ali več ravni zanesljivosti, kadar je to ustrezno;

navedbo, ali je samoocenjevanje skladnosti dovoljeno v okviru sheme;

kadar je ustrezno, posebne ali dodatne zahteve, ki se uporabljajo za organe za ugotavljanje skladnosti, da se zagotovi njihova tehnična usposobljenost za ocenjevanje zahtev glede kibernetske varnosti;

posebna merila in metode za ocenjevanje, vključno z vrstami ocene, ki se uporabljajo za dokazovanje, da so veljavni varnostni cilji iz členov 51 in 51a doseženi;

kadar je ustrezno, informacije, ki so potrebne za certificiranje in ki jih vložnik predloži ali kako drugače da na voljo organom za ugotavljanje skladnosti;

če shema zajema oznake ali znake, pogoje, pod katerimi se te oznake ali znaki lahko uporabijo;

pravila za spremljanje skladnosti proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev z zahtevami evropskih certifikatov kibernetske varnosti ali izjave EU o skladnosti, vključno z mehanizmi za dokazovanje stalnega izpolnjevanja določenih zahtev glede kibernetske varnosti;

kadar je ustrezno, pogoje za izdajo, ohranitev, nadaljevanje in obnovitev evropskih certifikatov kibernetske varnosti ter pogojev za razširitev ali zmanjšanje področja uporabe certificiranja;

pravila glede posledic za proizvode IKT, storitve IKT, postopke IKT ali upravljane varnostne storitve, ki so bili certificirani ali za katere se je izdala izjava EU o skladnosti, vendar niso skladni z zahtevami sheme;

pravila glede tega, kako je treba predhodno neodkrite šibke točke proizvodov IKT, storitev IKT in postopkov IKT na področju kibernetske varnosti prijaviti in obravnavati;

kadar je ustrezno, pravila glede hrambe evidenc s strani organov za ugotavljanje skladnosti;

opredelitev nacionalnih ali mednarodnih certifikacijskih shem za kibernetsko varnost, ki zadeva isto vrsto ali kategorije proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev, varnostnih zahtev, meril in metod za ocenjevanje ter ravni zanesljivosti;

vsebino in obliko evropskih certifikatov kibernetske varnosti in izjav EU o skladnosti, ki jih je treba izdati;

obdobje razpoložljivosti izjave EU o skladnosti, tehnične dokumentacije in vseh drugih ustreznih informacij, ki jih da na voljo proizvajalec ali ponudnik proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev;

najdaljši rok veljavnosti evropskih certifikatov kibernetske varnosti, izdanih v okviru sheme;

politiko razkritja za evropske certifikate kibernetske varnosti, izdane, spremenjene oziroma odvzete v okviru sheme;

pogoje za vzajemno priznavanje certifikacijskih shem s tretjimi državami;

kadar je ustrezno, pravila glede vsakršnega mehanizma medsebojnega strokovnega ocenjevanja, vzpostavljenega s shemo, za organe, ki izdajajo evropske certifikate kibernetske varnosti, za „visoko“ raven zanesljivosti v skladu s členom 56(6). Takšen mehanizem ne vpliva na medsebojni strokovni pregled iz člena 59;

obliko in postopke, ki jih morajo upoštevati proizvajalci in ponudniki proizvodov IKT, storitev IKT ali postopkov IKT pri zagotavljanju in posodabljanju dodatnih informacij o kibernetski varnosti v skladu s členom 55.

navodila in priporočila za pomoč končnim uporabnikom pri varni konfiguraciji, namestitvi, uvajanju, delovanju in vzdrževanju proizvodov IKT ali storitev IKT;

obdobje, v katerem bo končnim uporabnikom na voljo varnostna podpora, zlasti kar zadeva razpoložljivost posodobitev, povezanih s kibernetsko varnostjo;

kontaktne informacije proizvajalca ali ponudnika in sprejete metode za prejemanje informacij o šibkih točkah od končnih uporabnikov in raziskovalcev na področju varnosti;

o dostopu do spletnih seznamov javno znanih šibkih točk v zvezi s proizvodom IKT, storitvijo IKT ali postopkom IKT in ustreznih nasvetov s področja kibernetske varnosti.

nacionalni organ za certificiranje kibernetske varnosti, kot je določen v členu 58(1), ali

javni organ, ki je akreditiran kot organ za ugotavljanje skladnosti na podlagi člena 60(1).

po predhodni odobritvi s strani nacionalnega certifikacijskega organa za kibernetsko varnost za vsak posamezen evropski certifikat kibernetske varnosti, ki ga izda organ za ugotavljanje skladnosti, ali

na podlagi splošnega prenosa naloge izdajanja takih evropskih certifikatov kibernetske varnosti na organ za ugotavljanje skladnosti s strani nacionalnega certifikacijskega organa za kibernetsko varnost.

nadzirajo in uveljavljajo pravila iz evropskih certifikacijskih shem za kibernetsko varnost na podlagi člena 54(1), točka (j), za spremljanje skladnosti proizvodov IKT, storitev IKT, postopkov IKT in upravljanih varnostnih storitev z zahtevami evropskih certifikatov kibernetske varnosti, ki so bili izdani na njihovem ozemlju, v sodelovanju z drugimi zadevnimi organi za nadzor trga;

spremljajo izpolnjevanje obveznosti proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev, ki imajo sedež na njihovem ozemlju in izvajajo samoocenjevanje skladnosti, in jih izvršujejo, ter zlasti spremljajo izpolnjevanje obveznosti takih proizvajalcev ali ponudnikov, določenih v členu 53(2) in (3) in v ustrezni evropski certifikacijski shemi za kibernetsko varnost, in jih izvršujejo;

brez poseganja v člen 60(3) nacionalnim akreditacijskim organom dejavno pomagajo in jih podpirajo pri spremljanju in nadziranju dejavnosti organov za ugotavljanje skladnosti za namene te uredbe;

spremljajo in nadzirajo dejavnosti javnih organov iz člena 56(5);

kadar je ustrezno, pooblastijo organe za ugotavljanje skladnosti v skladu s členom 60(3) ter omejijo, začasno prekličejo ali odvzamejo obstoječe pooblastilo, kadar organi za ugotavljanje skladnosti kršijo zahteve iz te uredbe;

obravnavajo pritožbe fizičnih ali pravnih oseb glede evropskih certifikatov kibernetske varnosti, ki jih izdajo nacionalni certifikacijski organi za kibernetsko varnost, ali glede evropskih certifikatov kibernetske varnosti, ki jih izdajo organi za ugotavljanje skladnosti v skladu s členom 56(6), ali glede izjav EU o skladnosti, izdanih na podlagi člena 53, ter v ustreznem obsegu preučijo vsebino takih pritožb ter pritožnika v razumnem roku obvestijo o napredku in izidih preiskave;

agenciji ENISA in evropski certifikacijski skupini za kibernetsko varnost posredujejo letno zbirno poročilo o dejavnostih, izvedenih na podlagi točk (b), (c) in (d) tega odstavka ali na podlagi odstavka 8;

sodelujejo z drugimi nacionalnimi certifikacijskimi organi za kibernetsko varnost ali drugimi javnimi organi, vključno z izmenjavo informacij o morebitni neskladnosti proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev z zahtevami iz te uredbe ali z zahtevami posameznih evropskih certifikacijskih shem za kibernetsko varnost, ter

spremljajo ustrezen razvoj na področju certificiranja kibernetske varnosti.

od organov za ugotavljanje skladnosti, imetnikov evropskih certifikatov kibernetske varnosti in izdajateljev izjav EU o skladnosti lahko zahteva vse informacije, ki jih potrebuje za opravljanje svojih nalog;

v obliki revizij izvaja preiskave organov za ugotavljanje skladnosti, imetnikov evropskih certifikatov kibernetske varnosti in izdajateljev izjav EU o skladnosti, da preveri njihovo skladnost s tem naslovom;

v skladu z nacionalnim pravom sprejme ustrezne ukrepe, da zagotovi, da organi za ugotavljanje skladnosti, imetniki evropskih certifikatov kibernetske varnosti certifikata in izdajatelji izjav EU o skladnosti izpolnjujejo zahteve iz te uredbe ali evropske certifikacijske sheme za kibernetsko varnost;

pridobi dostop do prostorov organov za ugotavljanje skladnosti ali imetnikov evropskih certifikatov kibernetske varnosti, da izvede preiskave v skladu s postopkovnim pravom Unije ali države članice;

v skladu z nacionalnim pravom odvzame evropske certifikate kibernetske varnosti, ki jih izdajo nacionalni certifikacijski organi za kibernetsko varnost, ali evropske certifikate kibernetske varnosti, ki jih izdajo organi za ugotavljanje skladnosti v skladu s členom 56(6), kadar taki certifikati niso skladni s to uredbo ali z evropsko certifikacijsko shemo za kibernetsko varnost;

v skladu z nacionalnim pravom izreče kazni, kot je določeno v členu 65, in zahteva takojšnje prenehanje kršitev obveznosti iz te uredbe.

kadar je ustrezno, ali so dejavnosti nacionalnih certifikacijskih organov za kibernetsko varnost, ki se nanašajo na izdajanje evropskih certifikatov kibernetske varnosti iz točke (a) člena 56(5) in člena 56(6), strogo ločene od njihovih nadzornih dejavnosti iz člena 58 ter ali se te dejavnosti izvajajo neodvisno druga od druge;

postopke za nadziranje in uveljavljanje pravil za spremljanje skladnosti proizvodov IKT, storitev IKT, postopkov IKT in upravljanih varnostnih storitev z evropskimi certifikati kibernetske varnosti na podlagi člena 58(7), točka (a);

postopke za spremljanje in izvrševanje obveznosti proizvajalcev ali ponudnikov proizvodov IKT, storitev IKT, postopkov IKT ali upravljanih varnostnih storitev na podlagi člena 58(7), točka (b);

postopke za spremljanje, odobritev in nadziranje dejavnosti organov za ugotavljanje skladnosti;

kadar je ustrezno, ali ima osebje organov, ki izdajajo certifikate za „visoko“ raven zanesljivosti v skladu s členom 56(6), ustrezno strokovno znanje in izkušnje.

svetuje in pomaga Komisiji pri njenem delu, da zagotovi dosledno izvajanje in uporabo tega naslova, zlasti glede tekočega delovnega programa Unije, vprašanj politike certificiranja kibernetske varnosti, usklajevanja pristopov politike in priprave evropskih certifikacijskih shem za kibernetsko varnost;

podpira in svetuje agenciji ENISA ter z njo sodeluje pri pripravi predloge za shemo na podlagi člena 49;

sprejme mnenje o predlogah za sheme, ki jih pripravi agencija ENISA na podlagi člena 49;

od agencije ENISA zahteva, naj pripravi predloge za sheme na podlagi člena 48(2);

sprejme mnenja, naslovljena na Komisijo, glede ohranjanja in pregledovanja obstoječih evropskih certifikacijskih shem za kibernetsko varnost;

preuči ustrezni razvoj na področju certificiranja kibernetske varnosti ter izmenjuje informacije in primere dobrih praks na področju certifikacijskih shem za kibernetsko varnost;

olajšuje sodelovanje med nacionalnimi certifikacijskimi organi za kibernetsko varnost na podlagi tega naslova s krepitvijo zmogljivosti in izmenjavo informacij, zlasti z določitvijo metod za učinkovito izmenjavo informacij o vprašanjih v zvezi s certificiranjem kibernetske varnosti;

podpira izvajanje mehanizmov medsebojnega strokovnega ocenjevanja v skladu s pravili, določenimi v evropski certifikacijski shemi za kibernetsko varnost na podlagi točke (u) člena 54(1);

pospešuje usklajevanje evropskih certifikacijskih shem za kibernetsko varnost z mednarodno priznanimi standardi, vključno s pregledom obstoječih evropskih certifikacijskih shem za kibernetsko varnost, in po potrebi daje priporočila agenciji ENISA v zvezi s sodelovanjem z ustreznimi mednarodnimi organizacijami za standardizacijo, da bi odpravili pomanjkljivosti ali vrzeli v razpoložljivih mednarodno priznanih standardih;

odločitvami, ki jih sprejme organ iz člena 63(1), po potrebi tudi v zvezi z nepravilno izdajo, opustitvijo izdaje ali priznanjem evropskega certifikata kibernetske varnosti, ki ga imajo v lasti zadevne fizične ali pravne osebe;

opustitvijo ukrepanja glede pritožbe, vložene pri organu iz člena 63(1).