1.   Den inbördes granskningen av nationella myndigheter för cybersäkerhetscertifiering ska utföras i enlighet med tidsplanen i bilaga I. Alla inbördes granskningar ska vara utförda det datum som anges i tidsplanen, och ska därefter utföras vart femte år.

2.   Under exceptionella omständigheter får en nationell myndighet för cybersäkerhetscertifiering, som varit föremål för inbördes granskning, lämna in en vederbörligen motiverad begäran till kommissionen om att skjuta upp granskningen till efter det datum som anges i tidsplanen i bilaga I. Kommissionen ska, i samarbete med den europeiska gruppen för cybersäkerhetscertifiering som inrättats genom artikel 62 i förordning (EU) 2019/881, bedöma begäran och i god tid informera alla berörda parter om resultatet.

3.   Om en medlemsstat i enlighet med artikel 58.1 i förordning (EU) 2019/881 har utsett

4.   Europeiska unionens cybersäkerhetsbyrå (Enisa) ska på webbplatsen om europeiska ordningar för cybersäkerhetscertifiering som inrättats i enlighet med artikel 50 i förordning (EU) 2019/881 offentliggöra

5.   Varje nationell myndighet för cybersäkerhetscertifiering som deltar i den inbördes granskningen ska bära sina kostnader för deltagande.

1.   I enlighet med artikel 59.4 i förordning (EU) 2019/881 ska den inbördes granskningen utföras av minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsstater och kommissionen. De nationella myndigheterna för cybersäkerhetscertifiering från varje medlemsstat ska delta i en inbördes granskning av minst två andra nationella myndigheter för cybersäkerhetscertifiering under varje period som anges i bilaga I.

2.   De nationella myndigheterna för cybersäkerhetscertifiering från andra medlemsstater får, med en eller flera företrädare, delta i den inbördes granskningen som observatörer, med samtycke från den nationella myndighet för cybersäkerhetscertifiering som granskas inbördes, från den nationella myndighet för cybersäkerhetscertifiering som utför granskningen och från kommissionen.

3.   En företrädare för Enisa får delta i den inbördes granskningen som observatör. Ytterligare företrädare får också, med med samtycke från den nationella myndighet för cybersäkerhetscertifiering som granskas inbördes, från den nationella myndighet för cybersäkerhetscertifiering som utför granskningen och från kommissionen, delta.

4.   Observatörerna ska ha tillgång till samma information som de andra medlemmarna i gruppen för inbördes granskning, men får inte utföra uppgifter som rör utförandet av den inbördes granskningen.

5.   Enisa, i samarbete med kommissionen och den europeiska gruppen för cybersäkerhetscertifiering, ska föreslå och underhålla den förteckning över nationella myndigheter för cybersäkerhetscertifiering som utför den inbördes granskningen enligt tidsplanen i bilaga I. Under ett givet år ska Enisa, i samarbete med kommissionen, be nationella myndigheter för cybersäkerhetscertifiering att ange om de önskar delta som observatörer i, eller utföra, de inbördes granskningar av nationella myndigheter för cybersäkerhetscertifiering i enlighet med tidsplanen i bilaga I för det kommande året.

6.   Om fler än två nationella myndigheter för cybersäkerhetscertifiering uttrycker sitt intresse för att utföra den inbördes granskningen av samma nationella myndighet för cybersäkerhetscertifiering ska kommissionen och Enisa samråda med de myndigheter som uttryckt intresse och bestämma vilka myndigheter som ska utföra den inbördes granskningen.

7.   Om under ett visst år inte tillräckligt många nationella myndigheter för cybersäkerhetscertifiering uttrycker sitt intresse för att utföra de inbördes granskningarna ska kommissionen, efter samråd med den europeiska gruppen för cybersäkerhetscertifiering, välja ut de nationella myndigheter för cybersäkerhetscertifiering som ska utföra de inbördes granskningarna. När kommissionen väljer ut myndigheter ska den ta hänsyn till skyldigheten för de nationella myndigheter för cybersäkerhetscertifiering i varje medlemsstat att delta i den inbördes granskning av minst två nationella myndigheter för cybersäkerhetscertifiering som avses i punkt 1.

1.   I god tid innan den inbördes granskningen inleds ska varje nationell myndighet för cybersäkerhetscertifiering som utför den inbördes granskningen utse en företrädare som ska genomföra den. Nationella myndigheter för cybersäkerhetscertifiering som utför inbördes granskning får utse fler än en företrädare om det behövs för att säkerställa att gruppen för inbördes granskning besitter den kompetens som krävs för att utföra den inbördes granskningen.

2.   Företrädare för nationella myndigheter för cybersäkerhetscertifiering som utför inbördes granskning, med undantag av företrädare för nationella myndigheter för cybersäkerhetscertifiering som deltar som observatörer, ska

3.   Nationella myndigheter för cybersäkerhetscertifiering som utför den inbördes granskningen ska säkerställa att alla risker för intressekonflikter som rör de utsedda företrädarna avslöjas för de andra nationella myndigheterna för cybersäkerhetscertifiering, kommissionen och Enisa innan den inbördes granskningen inleds. Den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen får invända mot att en viss företrädare utses i enlighet med punkt 5.

4.   De nationella myndigheter för cybersäkerhetscertifiering som utför den inbördes granskningen ska välja en företrädare (gruppledaren) från någon av myndigheterna som samordnare för den inbördes granskningen.

5.   Kommissionen ska informera den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen om namn och kontaktuppgifter för företrädarna för de nationella myndigheter för cybersäkerhetscertifiering som utför den inbördes granskningen innan den inleds. Om den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen vill invända mot en eller flera utsedda företrädare ska den inom två veckor lämna en tydlig motivering till kommissionen, informera Enisa och den europeiska gruppen för cybersäkerhetscertifiering, samt begära att den nationella myndighet för cybersäkerhetscertifiering som utför den inbördes granskningen utser en annan företrädare.

6.   Om det förfarande som anges i punkt 5 orsakar onödiga förseningar i inledandet av den inbördes granskningen på grund av exceptionella omständigheter ska kommissionen, i samråd med Enisa och den europeiska gruppen för cybersäkerhetscertifiering, besluta om hur gruppen för inbördes granskning ska vara sammansatt.

1.   Den inbördes granskningen ska bedöma de aspekter som förtecknas i bilaga II, i enlighet med artikel 59.3 i förordning (EU) 2019/881.

2.   Enisa får, i samarbete med den europeiska gruppen för cybersäkerhetscertifiering och kommissionen, utarbeta mallar för bedömningen av de processer som inrättats av den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen.

3.   Den inbördes granskningen ska omfatta följande:

4.   Längden på den inbördes granskningen får överenskommas på förhand mellan gruppen som utför den inbördes granskningen och den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen, beroende hur omfattande och komplex verksamheten är hos den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen. Besöket på plats får inte pågå längre än tre arbetsdagar.

5.   Samarbetsspråket ska vara engelska om inte annat överenskommits mellan gruppen som utför den inbördes granskningen, den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen och kommissionen. Den rapport över den inbördes granskningen som avses i artikel 5 ska författas på åtminstone engelska.

6.   Den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen ska samarbeta med gruppen som utför den inbördes granskningen och ge den tillgång till den information och de handlingar som är nödvändiga för den inbördes granskningen. Den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen ska lämna in frågeformuläret för självbedömning och den senaste årliga sammanfattande rapport som antagits i enlighet med artikel 58.7 g i förordning (EU) 2019/881 minst 21 dagar före besöket på plats. Ytterligare handlingar ska lämnas in på begäran av gruppen som utför den inbördes granskningen inom 7 dagar från mottagandet av en sådan begäran.

7.   Handlingarna ska vara författade på engelska om inte annat överenskommits i enlighet med punkt 5. Om handlingarna inte är författade på engelska kan gruppen som utför den inbördes granskningen begära att de handlingar som krävs för den inbördes granskningen översätts till engelska.

8.   Innan gruppen som utför den inbördes granskningen utarbetar rapporten över den inbördes granskningen i enlighet med artikel 5 ska den diskutera preliminära resultat med den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen.

1.   Senast 21 dagar efter utförandet av den inbördes granskningen ska gruppen som utförde granskningen utarbeta ett utkast till rapport över den inbördes granskningen med närmare uppgifter om den medlemsstat där den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen är belägen, de nationella myndigheter för cybersäkerhetscertifiering som utförde den inbördes granskningen, kommissionen och eventuella observatörer, samt resultaten och slutsatserna från den inbördes granskningen. Om det är nödvändigt, ska rapporten innehålla rekommendationer till förbättringar när det gäller de aspekter som omfattas av den inbördes granskningen.

2.   Enisa får i samarbete med kommissionen och den europeiska gruppen för cybersäkerhetscertifiering utarbeta en mall för rapporten över den inbördes granskningen.

3.   Efter att ha utarbetat utkastet till rapport över den inbördes granskningen i enlighet med punkt 1 ska gruppen som utförde den inbördes granskningen skicka rapporten till den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen med begäran om synpunkter som ska lämnas inom 14 dagar. Gruppen som utförde den inbördes granskningen ska utvärdera synpunkterna och, när så är möjligt, ta med dem i slutrapporten, i syfte att säkerställa konsensus. Om det råder oenighet ska svaret från den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen bifogas slutrapporten.

4.   Slutrapporten ska skickas till den europeiska gruppen för cybersäkerhetscertifiering inom två månader från det att den inbördes granskningen utfördes, tillsammans med en sammanfattning, för offentliggörande. I enlighet med artikel 59.6 i förordning (EU) 2019/881 ska den europeiska gruppen för cybersäkerhetscertifiering granska rapporten och godkänna dess sammanfattning, som ska offentliggöras på webbplatsen för europeiska ordningar för cybersäkerhetscertifiering som inrättats i enlighet med artikel 50 i förordning (EU) 2019/881. Sammanfattningen ska också innehålla svaret från den nationella myndighet för cybersäkerhetscertifiering som är föremål för den inbördes granskningen eller delar av det, i samförstånd med den myndigheten.

5.   Gruppen som utförde den inbördes granskningen ska anonymisera personuppgifter som den kan ha samlat in under den inbördes granskningen innan den skickar rapporten över den inbördes granskningen utanför gruppen.

1.   Alla parter som deltar i inbördes granskningar ska respektera konfidentialiteten för den information och de data som de erhåller när de utför sina uppgifter och sin verksamhet på ett sådant sätt att de skyddar följande:

2.   Gruppen som utförde den inbördes granskningen ska säkerställa att all information som erhålls vid den inbördes granskningen hanteras på ett säkert sätt. När den slutrapport och den sammanfattning som avses i artikel 5.4 har utarbetats ska gruppen som utförde den inbördes granskningen, även eventuella observatörer, radera eller förstöra alla handlingar, utom slutrapporten och sammanfattningen, som har samlats in eller skapats som en del av den inbördes granskningen.

3.   Enisa får, med beaktande av bästa praxis hos de nationella myndigheterna för cybersäkerhetscertifiering, i samarbete med den europeiska gruppen för cybersäkerhetscertifiering, utarbeta riktlinjer för säker och konfidentiell kommunikation.