1. Mönsterdokument till stöd för teknikdomäner på AVA_VAN-nivå 4 eller 5:

2. Mönsterdokument som rör harmoniserad ackreditering av organ för bedömning av överensstämmelse:

1. För kategorin anordningar för skapande av kvalificerade elektroniska underskrifter och kvalificerade stämplar på distans:

2. Skyddsprofiler som antagits som mönsterdokument:

1. Följande krav på assuranskontinuitet gäller underhållsverksamhet kopplad till följande:

2. Innehavaren av ett EUCC-certifikat får begära översyn av certifikatet i följande fall:

1. Om det finns ett behov av att bedöma effekterna av förändringar i hotmiljön för en oförändrad certifierad IKT-produkt, ska en begäran om ny bedömning lämnas in till certifieringsorganet.

2. Den nya bedömningen ska göras av samma ITSEF som deltog i den föregående evalueringen med användning av alla resultat som fortfarande är giltiga. Evalueringen ska inriktas på assuransverksamhet som potentiellt påverkas av den förändrade hotmiljön för den certifierade IKT-produkten, särskilt den relevanta AVA_VAN-familjen och dessutom assuranslivscykel-(ALC-)familjen där tillräcklig bevisning för upprätthållandet av utvecklingsmiljön ska samlas in igen.

3. ITSEF ska beskriva ändringarna och göra en detaljerad beskrivning av resultaten av den nya bedömningen samt uppdatera den föregående tekniska evalueringsrapporten.

4. Certifieringsorganet ska granska den uppdaterade tekniska evalueringsrapporten och upprätta en rapport om den nya bedömningen. Det ursprungliga certifikatets status ska sedan ändras i enlighet med artikel 13.

5. Rapporten avseende den nya bedömningen och det uppdaterade certifikatet ska lämnas till den nationella myndigheten för cybersäkerhetscertifiering och Enisa för offentliggörande på dess webbplats för cybersäkerhetscertifiering.

1. Om en certifierad IKT-produkt har ändrats, ska den certifikatinnehavare som vill bibehålla certifikatet lämna en konsekvensanalysrapport till certifieringsorganet.

2. Konsekvensanalysrapporten ska innehålla följande:

3. Certifieringsorganet ska granska de ändringar som beskrivs i konsekvensanalysrapporten för att validera deras inverkan på det certifierade evalueringsobjektets assurans, i enlighet med vad som föreslås i slutsatserna i konsekvensanalysrapporten.

4. Efter granskningen fastställer certifieringsorganet omfattningen av en ändring som mindre eller större i förhållande till dess inverkan.

5. Om certifieringsorganet bekräftar att ändringarna är mindre, ska inget nytt certifikat utfärdas för den ändrade IKT-produkten och en bibehållanderapport till den första certifieringsrapporten ska upprättas.

6. Den bibehållanderapport som avses i punkt 5 ska lämnas till Enisa för offentliggörande på Enisas webbplats för cybersäkerhetscertifiering.

7. Om det bekräftas att ändringarna är större, ska en ny evaluering göras på grundval av den föregående evalueringen och med återanvändning av alla eventuella resultat från den föregående evalueringen som fortfarande är tillämpliga.

8. När evalueringen av det ändrade evalueringsobjektet har slutförts ska ITSEF upprätta en ny teknisk evalueringsrapport. Certifieringsorganet ska granska den uppdaterade tekniska evalueringsrapporten och, i tillämpliga fall, upprätta ett nytt certifikat och en ny certifieringsrapport.

9. Det nya certifikatet och den nya certifieringsrapporten ska lämnas till Enisa för offentliggörande.

1. Ett förfarande för hantering av programfixar möjliggör en strukturerad process för uppdatering av en certifierad IKT-produkt. Förfarandet för hantering av programfixar, inbegripet den mekanism som den som ansöker om certifiering har infört i IKT-produkten, kan användas efter certifieringen av IKT-produkten under ansvar av organet för bedömning av överensstämmelse.

2. Den som ansöker om certifiering får i certifieringen av IKT-produkten inkludera en programfixmekanism som en del av ett certifierat hanteringsförfarande, som införts i IKT-produkten, på ett av följande villkor:

3. Om programfixen avser en större ändring av den certifierade IKT-produktens evalueringsobjekt rörande en tidigare oupptäckt sårbarhet som inte har några kritiska effekter på IKT-produktens säkerhet, ska bestämmelserna i artikel 13 tillämpas.

4. Förfarandet för hantering av programfixar för en IKT-produkt består av följande delar:

5. Under certifieringen av IKT-produkten ska följande utföras:

6. Innehavaren av certifikatet får installera den programfix som framställts i enlighet med det certifierade förfarandet för hantering av programfixar i den berörda certifierade IKT-produkten och ska vidta följande åtgärder inom 5 arbetsdagar i följande fall:

1. På grundval av de tekniska evalueringsrapporter som tillhandahålls av ITSEF upprättar certifieringsorganet en certifieringsrapport som ska offentliggöras tillsammans med motsvarande EUCC-certifikat.

2. Certifieringsrapporten är källan till detaljerad och praktisk information om IKT-produkten eller IKT-produktkategorin och om IKT-produktens säkra införande och ska därför innehålla all allmänt tillgänglig tydlig och delningsbar information som är relevant för användare och berörda parter. Det går att hänvisa till offentligt tillgänglig och delningsbar information i certifieringsrapporten.

3. Certifieringsrapporten ska minst innehålla följande avsnitt:

4. Sammanfattningen ska vara en kort sammanfattning av hela certifieringsrapporten. Sammanfattningen ska ge en tydlig och kortfattad översikt över evalueringsresultaten och ska innehålla följande information:

5. Den evaluerade IKT-produkten ska tydligt identifieras, inbegripet följande information:

6. Informationen i detta avsnitt ska vara så exakt som möjligt för att säkerställa en fullständig och korrekt bild av IKT-produkten som kan återanvändas i framtida evalueringar.

7. Avsnittet om säkerhetspolicy ska innehålla en beskrivning av IKT-produktens säkerhetspolicy och de policyer eller regler som den evaluerade IKT-produkten ska följa eller överensstämma med. Det ska innehålla en hänvisning till och en beskrivning av följande policyer:

8. I tillämpliga fall får policyn innehålla villkoren för användning av ett förfarande för hantering av programfixar under certifikatets giltighetstid.

9. Avsnittet för antaganden och förtydligande av tillämpningsområdet ska innehålla uttömmande information om de omständigheter och målsättningar kopplade till produktens avsedda användning som avses i artikel 7.1 c. Informationen ska omfatta följande:

10. Den information som förtecknas i punkt 9 ska vara så begriplig som möjligt så att de som använder den certifierade IKT-produkten kan fatta välgrundade beslut om riskerna förknippade med dess användning.

11. Avsnittet rörande information om arkitekturen ska innehålla en beskrivning på hög nivå av IKT-produkten och dess huvudkomponenter i enlighet med utformningen av delsystemen ADV_TDS enligt Common Criteria.

12. En fullständig förteckning över IKT-produktens kompletterande cybersäkerhetsinformation ska lämnas i enlighet med artikel 55 i förordning (EU) 2019/881. All relevant dokumentation ska anges med versionsnummer.

13. Avsnittet om testning av IKT-produkter ska innehålla följande information:

14. Avsnittet om resultaten av evalueringen och information om certifikatet ska innehålla följande information:

15. Säkerhetsmålsättningen ska antingen ingå i certifieringsrapporten eller hänvisas till, sammanfattas och tillhandahållas tillsammans med certifieringsrapporten för offentliggörande.

16. Säkerhetsmålsättningen får rensas i enlighet med avsnitt VI.2.

17. Den märkning eller etikett som kopplas till EUCC får föras in i certifieringsrapporten i enlighet med de regler och förfaranden som fastställs i artikel 11.

18. Avsnittet om litteraturförteckning ska innehålla hänvisningar till alla dokument som använts vid sammanställningen av certifieringsrapporten. Den informationen ska omfatta åtminstone följande:

19. För att garantera att evalueringen kan reproduceras måste all dokumentation som det hänvisas till identifieras på ett unikt sätt med korrekt publiceringsdatum och korrekt versionsnummer.

1. Den säkerhetsmålsättning som ska ingå i eller som det ska hänvisas till i certifieringsrapporten i enlighet med punkt 1 i avsnitt VI.1 får rensas genom avlägsnande eller omformulering av upphovsrättsskyddad teknisk information.

2. Den resulterande rensade säkerhetsmålsättningen ska vara en verklig återgivning av dess fullständiga originalversion. Detta innebär att den rensade säkerhetsmålsättningen inte kan utelämna information som är nödvändig för att förstå evalueringsobjektets säkerhetsegenskaper och evalueringens omfattning.

3. Innehållet i den rensade säkerhetsmålsättningen ska uppfylla följande minimikrav:

4. Även om den rensade säkerhetsmålsättningen inte formellt evalueras i enlighet med de evalueringsstandarder som avses i artikel 3, ska certifieringsorganet säkerställa att den överensstämmer med den fullständiga och evaluerade säkerhetsmålsättningen och hänvisa till både den fullständiga och den sanerade säkerhetsmålsättningen i certifieringsrapporten.

1. Följande typer av sakkunnighetsbedömningar omfattas:

2. Det sakkunnighetsbedömda certifieringsorganet ska lämna in förteckningen över certifierade IKT-produkter som kan komma att bli föremål för granskning av gruppen för sakkunnighetsbedömning, i enlighet med följande regler:

1. Bedömningsgruppen ska bestå av minst två experter som var och en väljs ut från olika certifieringsorgan från olika medlemsstater och som utfärdar certifikat på assuransnivån ”hög”. Experterna bör uppvisa relevant sakkunskap om de standarder som avses i artikel 3 och de mönsterdokument som omfattas av den sakkunnighetsbedömningen.

2. Vid delegering av utfärdandet av certifikat eller förhandsgodkännande av certifikat enligt artikel 56.6 i förordning (EU) 2019/881 ska en expert från den nationella myndigheten för cybersäkerhetscertifiering med anknytning till det berörda certifieringsorganet dessutom delta i den expertgrupp som valts ut i enlighet med punkt 1 i detta avsnitt.

3. För en sakkunnighetsbedömning av typ 2 ska gruppmedlemmarna väljas bland certifieringsorgan som är auktoriserade för det berörda tekniska området.

4. Varje medlem i bedömningsgruppen ska ha minst två års erfarenhet av att bedriva certifieringsverksamhet i ett certifieringsorgan.

5. För en sakkunnighetsbedömning av typ 2 eller 3 ska varje medlem i bedömningsgruppen ha minst två års erfarenhet av att bedriva certifieringsverksamhet inom det relevanta tekniska området eller den relevanta skyddsprofilen och styrkt sakkunskap och deltagande i godkännandet av en ITSEF.

6. Den nationella myndighet för cybersäkerhetscertifiering som övervakar och kontrollerar det sakkunnighetsbedömda certifieringsorganet och minst en nationell myndighet för cybersäkerhetscertifiering vars certifieringsorgan inte omfattas av sakkunnighetsbedömning ska delta i sakkunnighetsbedömningen som observatör. Enisa får också delta i sakkunnighetsbedömningen som observatör.

7. Sammansättningen av gruppen för sakkunnighetsbedömning meddelas det sakkunnighetsbedömda certifieringsorganet. I motiverade fall kan det ifrågasätta sammansättningen av gruppen för sakkunnighetsbedömning och begära att den ses över.

1. I motsats till definitionerna i Common Criteria ska en höjning

2. Den assuransnivå som bekräftats i ett EUCC-certifikat får kompletteras med evalueringsassuransnivån i enlighet med artikel 3 i denna förordning.

3. Om den assuransnivå som bekräftas i ett EUCC-certifikat inte avser en höjning, ska ett av följande paket anges i EUCC-certifikatet:

1. Märkningens och etikettens form:

2. Om märkningen och etiketten förminskas eller förstoras, ska proportionerna i bilden ovan behållas.

3. Om märkningen och etiketten är fysiskt anbringade, ska de vara minst 5 mm höga.