(1)

Vastavalt määruse (EL) 2019/881 („küberturvalisuse määrus“) artikli 61 lõikele 1 teatavad riiklikud küberturvalisuse sertifitseerimise asutused komisjonile, millised vastavushindamisasutused on akrediteeritud ja, kui see on asjakohane, saanud loa anda välja osutatud usaldusväärsuse tasemega Euroopa küberturvalisuse sertifikaate, ning ühtlasi peaksid nad neid teateid ajakohastama. Lisaks peab komisjon vastavalt määruse (EL) 2019/881 artikli 61 lõikele 2 avaldama Euroopa Liidu Teatajas nende vastavushindamisasutuste nimekirja, kellest on Euroopa küberturvalisuse sertifitseerimise kava alusel teatatud, üks aasta pärast kava jõustumist. Selleks et ühtlustada lähenemisviisi teadetele ja muuta teatamismenetlus riiklike küberturvalisuse sertifitseerimise asutuste jaoks lihtsamaks, tuleks käesolevas määruses veelgi täpsustada teadete esitamise asjaolusid, vorminguid ja menetlusi. Komisjoni rakendusmäärusega (EL) 2024/482 (2) kehtestatud esimese Euroopa ühiskriteeriumidel põhineva küberturvalisuse sertifitseerimise kava (EUCC) kohaldamise jaoks on oluline neid aspekte selgitada.

(2)

Käesolevas määruses tunnistatakse määruse (EL) 2019/881 ja asjaomaste liidu ühtlustamisõigusaktide, sealhulgas Euroopa Parlamendi ja nõukogu määruse (EL) 2024/2847 (küberkerksuse määrus) (3) vahelist koostoimet. Seepärast tehakse ettepanek, et riiklikud küberturvalisuse sertifitseerimise asutused kasutaksid komisjoni teavitamiseks komisjoni välja töötatud ja hallatavat elektroonilist teavitamisvahendit, millele on viidatud Euroopa Parlamendi ja nõukogu otsuses nr 768/2008/EÜ (4). Ilma et see mõjutaks komisjoni kohustust avaldada teada antud vastavushindamisasutuste loetelu Euroopa Liidu Teatajas, tuleks see loetelu teha avalikult kättesaadavaks ka komisjoni väljatöötatud ja hallatavas elektroonilises teavitamisvahendis.

(3)

Kui akrediteeritud ja, kui see on asjakohane, loa saanud vastavushindamisasutusest teatatakse, tähendab see, et seda asutust saab usaldada tegema määruse (EL) 2019/881 kohast hindamist ja sertifitseerimist ning see parandab Euroopa küberturvalisuse sertifitseerimise kavade üldist mainet. Seepärast on eriti oluline tagada, et vastavushindamisasutused, kellest on teatatud, vastavad kogu aeg nende suhtes kehtivatele nõuetele ja täidavad oma kohustusi. Avaldatud loetelu teada antud vastavushindamisasutustest peaks olema täpne ja ajakohane ning väljendama seda, kuidas nad täidavad määruses (EL) 2019/881 sätestatud nõudeid ja, kui see on asjakohane, eri- või lisanõudeid vastavalt Euroopa küberturvalisuse sertifitseerimise kavale. Seda eesmärki silmas pidades on vajalik, et riiklikud küberturvalisuse sertifitseerimise asutused teataksid komisjonile põhjendamatute viivitusteta kõigist teadet mõjutavatest muudatustest vastavalt määruse (EL) 2019/881 artikli 61 lõikele 1.

(4)

Riiklikud küberturvalisuse sertifitseerimise asutused vastutavad selle eest, et vastavushindamisasutused järgivad määrust (EL) 2019/881 ja Euroopa küberturvalisuse sertifitseerimise kavasid, ning tagavad seoses sellega teadete täpsuse. Nende tegevuste suhtes kohaldatakse vastastikust hindamist, mille tulemused peaksid aitama kindlaks teha, kas ja milliseid muudatusi on vaja nende tulemuslikkuse suurendamiseks. Riiklikud küberturvalisuse sertifitseerimise asutused võivad mitmesugustel asjaoludel nendeni jõudnud probleemide põhjal kindlaks teha, et vastavushindamisasutus ei vasta enam asjakohastele nõuetele. Kui see on asjakohane, peaksid vastastikuse hindamise mehhanismide kaudu kindlaks tehtud asjaolud toetama riiklikke küberturvalisuse sertifitseerimise asutusi selle jälgimisel, et teada antud vastavushindamisasutused on jätkuvalt pädevad. Lisaks võivad muud riiklikud küberturvalisuse sertifitseerimise asutused, komisjon või sidusrühmad väljendada teate esitanud riiklikule küberturvalisuse sertifitseerimise asutusele muret teada antud vastavushindamisasutuse jätkuva pädevuse kohta.

(5)

Kui riiklik küberturvalisuse sertifitseerimise asutus otsustab vastavushindamisasutuse kohta esitatud teate kehtivuse peatada, teadet piirata või teate kehtetuks tunnistada, peab ta tegema koostööd riikliku akrediteerimisasutusega, mis on määratud vastavalt Euroopa Parlamendi ja nõukogu määrusele (EÜ) nr 765/2008 (5). See on kooskõlas määrusega (EL) 2019/881, milles on sätestatud, et riiklikud küberturvalisuse sertifitseerimise asutused peaksid riiklikke akrediteerimisasutusi nende jälgimise ja järelevalvega seotud tegevuses aktiivselt aitama ja toetama ning tegema nendega koostööd. Teate piiramine peaks toimuma juhtudel, kus akrediteerimisulatus või, kui see on asjakohane, loa ulatus ja seega ka teate ulatus muutub ahtamaks.

(6)

Vastavalt määruse (EL) 2019/881 artikli 54 lõike 1 punktile n peab iga Euroopa küberturvalisuse sertifitseerimise kava sisaldama eeskirju selle kohta, kuidas vastavushindamisasutused peavad andmeid säilitama, kui see on asjakohane. Seepärast peab teavitav riiklik küberturvalisuse sertifitseerimise asutus teate piiramise, selle kehtivuse peatamise või teate kehtetuks tunnistamise korral või juhul, kui teada antud vastavushindamisasutus on tegevuse lõpetanud, tagama, et selle vastavushindamisasutuse andmeid säilitatakse turvaliselt ja vajaliku aja jooksul, nagu Euroopa küberturvalisuse sertifitseerimise kava alusel ette nähtud.

(7)

Käesoleva määrusega ettenähtud meetmed on kooskõlas määruse (EL) 2019/881 artikli 66 kohaselt asutatud komitee arvamusega,