(1)

Overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881 (cyberbeveiligingsverordening) zijn de nationale cyberbeveiligingscertificeringautoriteiten (NCCA’s) verantwoordelijk om de conformiteitsbeoordelingsinstanties (CAB’s) die geaccrediteerd en, in voorkomend geval, gemachtigd zijn om Europese cyberbeveiligingscertificaten af te geven voor gespecificeerde zekerheidsniveaus aan te melden bij de Commissie, en moeten zij bij wijzigingen die aanmelding bijwerken. Bovendien moet de Commissie overeenkomstig artikel 61, lid 2, van die verordening een lijst van CAB’s die krachtens een Europese cyberbeveiligingscertificeringsregeling zijn aangemeld in het Publicatieblad van de Europese Unie bekendmaken, één jaar na de inwerkingtreding van de desbetreffende regeling. Om een geharmoniseerde aanpak voor die aanmeldingen te waarborgen en het aanmeldingsproces voor NCCA’s te vergemakkelijken, moeten in deze verordening de omstandigheden, vormen en procedures voor de aanmeldingen nader worden bepaald. Die aspecten moeten worden verduidelijkt met het oog op de toepassing van de eerste Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC), die is vastgesteld bij Uitvoeringsverordening (EU) 2024/482 van de Commissie (2).

(2)

In deze verordening wordt de samenhang erkend tussen Verordening (EU) 2019/881 en de relevante harmonisatiewetgeving van de EU, zoals Verordening (EU) 2024/2847 van het Europees Parlement en de Raad (3) (de verordening cyberweerbaarheid). Daarom wordt voorgesteld dat de NCCA’s de aanmelding bij de Commissie verrichten door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem, als bedoeld in Besluit nr. 768/2008/EG van het Europees Parlement en de Raad (4). Zonder afbreuk te doen aan de verplichting van de Commissie om de lijst van aangemelde CAB’s in het Publicatieblad van de Europese Unie bekend te maken, moet de lijst ook openbaar worden gemaakt door middel van dat systeem.

(3)

De aanmelding van geaccrediteerde en, in voorkomend geval, gemachtigde CAB’s betekent dat deze CAB’s vertrouwd kunnen worden bij evaluatie- en certificeringsactiviteiten overeenkomstig Verordening (EU) 2019/881, wat bijdraagt tot de algemene reputatie van Europese cyberbeveiligingscertificeringsregelingen. Het is daarom van essentieel belang ervoor te zorgen dat de aangemelde CAB’s aan hun eisen voldoen en hun verplichtingen mettertijd nakomen. De bekendgemaakte lijst van aangemelde CAB’s moet nauwkeurig en actueel zijn, en aantonen dat zij voldoen aan de eisen van Verordening (EU) 2019/881 en, in voorkomend geval, aan de specifieke of aanvullende eisen in het kader van een Europese cyberbeveiligingscertificeringsregeling. Daartoe moeten de NCCA’s de Commissie onverwijld in kennis stellen van alle wijzigingen in de aanmelding, overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881.

(4)

De NCCA’s zijn verantwoordelijk voor de naleving van Verordening (EU) 2019/881 en de Europese cyberbeveiligingscertificeringsregelingen door de CAB’s en zorgen in dit verband voor de nauwkeurigheid van de aanmeldingen. Deze activiteiten worden collegiaal getoetst en de resultaten daarvan moeten helpen alle wijzigingen te bepalen die nodig zijn om de doeltreffendheid ervan te vergroten. De NCCA’s kunnen zich ervan vergewissen dat een CAB niet langer aan de desbetreffende eisen voldoet indien zij in andere omstandigheden op de hoogte zijn gesteld van problemen. In voorkomend geval moeten de bevindingen van mechanismen voor collegiale toetsing de NCCA’s ondersteunen bij het toezicht op de blijvende bekwaamheid van de aangemelde CAB’s. Daarnaast kunnen andere NCCA’s, de Commissie of belanghebbenden bij de aanmeldende NCCA hun bezorgdheid uiten over die bekwaamheid van die CAB’s.

(5)

Indien de aanmeldende NCCA besluit de aanmelding van een CAB op te schorten, te beperken of in te trekken, moet zij samenwerken met de nationale accreditatie-instantie die is aangewezen overeenkomstig Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad (5). Dit is in overeenstemming met Verordening (EU) 2019/881, waarin is bepaald dat de NCCA’s de nationale accreditatie-instanties actief moeten bijstaan en ondersteunen en ermee moeten samenwerken bij hun toezichtactiviteiten. De beperking van de aanmelding moet betrekking hebben op een geval waarin het toepassingsgebied van de accreditatie of, in voorkomend geval, dat van de vergunning en dus ook dat van de aanmelding wordt beperkt.

(6)

Overeenkomstig artikel 54, lid 1, punt n), van Verordening (EU) 2019/881 moet elke Europese cyberbeveiligingscertificeringsregeling indien van toepassing regels over het bewaren van gegevens door CAB’s bevatten. Daarom moet de aanmeldende NCCA bij beperking, opschorting of intrekking van de aanmelding of indien de aangemelde CAB haar activiteiten heeft gestaakt, ervoor zorgen dat de gegevens van die CAB veilig worden opgeslagen en zolang als nodig worden bewaard, zoals voorgeschreven in een bepaalde Europese cyberbeveiligingscertificeringsregeling.

(7)

De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 66 van Verordening (EU) 2019/881 opgerichte comité,