(1)

Az (EU) 2024/482 bizottsági végrehajtási rendelet (2) az (EU) 2019/881 rendeletben meghatározott európai kiberbiztonsági tanúsítási keretrendszerrel összhangban meghatározza a közös kritériumokon alapuló európai kiberbiztonsági tanúsítási rendszer (EUCC) szerepét, szabályait és kötelezettségeit, valamint felépítését.

(2)

Az (EU) 2024/482 végrehajtási rendelet a Nemzetközi Szabványügyi Szervezet (ISO) és a Nemzetközi Elektrotechnikai Bizottság (IEC) által fenntartott közös kritériumok és közös értékelési módszertan nemzetközi szabványaira épít. Az (EU) 2024/482 végrehajtási rendelet hivatkozik az ISO/IEC szabványokra, de nem tér ki e szabványok alkalmazandó verziójának kérdésére. Ezért meg kell határozni, hogy a szabványok mely verziója alkalmazandó az EUCC keretében kiállított tanúsítványokra.

(3)

Azok a kormányzati szervezetek, amelyek az informatikai biztonság területén a közös kritériumokra vonatkozó tanúsítványok elismeréséről szóló megállapodás (CCRA) révén hozzájárultak a közös kritériumok és a közös értékelési módszertan kidolgozásához, az ISO/IEC-vel együtt a szerzői jogok közös jogosultjai. Ezek a kormányzati szervezetek fenntartják a szabványok használati jogát. Tekintettel a CCRA-ból származó dokumentumok jelentőségére, az EUCC szerinti tanúsítás alapjául is ezeknek kell szolgálniuk.

(4)

A közös kritériumokra és a közös értékelési módszertanra vonatkozó szabványok CCRA szerinti értelmezése megkönnyíti a szóban forgó szabványok végrehajtását, az információtechnológiai biztonsági értékelő létesítmények (ITSEF-ek) és a tanúsító szervek pedig figyelembe vehetik ezeket az értelmezéseket.

(5)

Előfordulhat, hogy aktualizálni kell a közös kritériumokkal kapcsolatos nemzetközi szabványokat. A rendezett és időben történő átállás biztosítása érdekében helyénvaló átmeneti szabályokat meghatározni annak érdekében, hogy elegendő idő álljon az értékesítők, az ITSEF-ek és a tanúsító szervek, valamint más érintett szereplők rendelkezésére a szükséges kiigazítások végrehajtására. Ezeknek az átmeneti szabályoknak megfelelő mértékben kell követniük a globális gyakorlatokat, például a CCRA-ban foglaltakat.

(6)

Az (EU) 2024/482 végrehajtási rendelet nem rögzíti, hogy a közös kritériumok és a közös értékelési módszertani szabványok korábbi verziói meddig szolgálhatnak az IKT-terméktanúsítás alapjául. Az említett végrehajtási rendelet I., II. és III. mellékletében felsorolt műszaki területek és védelmi profilok az ISO/IEC 15408 és 18045 szabvány korábbi verzióin alapulnak. Az (EU) 2024/482 végrehajtási rendeletnek ezért meg kell állapítania, hogy a közös kritériumok és a közös értékelési módszertan korábbi verziója milyen feltételek mellett alkalmazandó, és hogyan történik majd a nemzetközi szabványok legújabb verziójára való átállás.

(7)

Az átmeneti időszak alatt az érintett érdekelt feleknek prioritásként kell kezelniük a vonatkozó műszaki területek és védelmi profilok aktualizálásának kérdését. Az (EU) 2024/482 végrehajtási rendeletnek elő kell írnia, hogy a szabványok korábbi verzióin alapuló biztonsági célokat 2027. december 31-ig el kell fogadni a CCRA által elfogadott átállási politikával összhangban. Említést érdemel ugyanakkor, hogy a CCRA átállási politikája a termékek és a védelmi profilok kezdeti értékelésére vonatkozik, amely legkésőbb 2024. június 30-án vette kezdetét, és az EUCC ekkor még nem volt alkalmazandó. A CCRA átállási politikájával összhangban továbbá az (EU) 2024/482 végrehajtási rendeletnek elő kell irányoznia, hogy 2027. december 31-ig el kell fogadni az említett végrehajtási rendeletnek megfelelő, a szabványok korábbi verzióin alapuló védelmi profiloknak való megfelelésre hivatkozó biztonsági célokat. Ezen túlmenően, amennyiben az (EU) 2024/482 végrehajtási rendelet alapján új tanúsítványt állítanak ki a nemzeti tanúsítványnak az eredeti tanúsítványtól számított két éven belül kezdődő felülvizsgálati eljárásával összefüggésben, lehetővé kell tenni a szabványok korábbi verzióinak használatát. Ez nem lenne releváns azon felülvizsgálati folyamatok esetében, amelyek nem követelik meg az (EU) 2024/482 végrehajtási rendelet szerinti új tanúsítvány kiállítását, és ahol a tanúsítvány továbbra is érvényes.

(8)

A szabványok legfrissebb verziójára való rendezett átállás biztosítása érdekében az (EU) 2024/482 végrehajtási rendeletnek egyedi átállási szabályokat kell megállapítania, és továbbra is lehetővé kell tennie az említett végrehajtási rendelet szerinti tanúsítványok kiállítását, amelyek a CCRA-ban közzétett szabványok korábbi verzióin alapuló védelmi profiloknak való megfelelésre hivatkoznak, amennyiben az uniós jogszabályok előírják ilyen védelmi profilok használatát. Ez a helyzet az (EU) 2016/799 bizottsági végrehajtási rendelet (3), valamint a 910/2014/EU európai parlamenti és tanácsi rendelet (4) és az (EU) 2016/650 bizottsági végrehajtási határozat (5) esetében.

(9)

Az (EU) 2024/482 végrehajtási rendelet I. melléklete felsorolja az IKT-termékek és védelmi profilok értékeléséhez alkalmazandó, a technika állásának megfelelő dokumentumokat. Nem rendelkezik azonban e dokumentumok verzióiról. Ezért meg kell határozni, hogy a dokumentumok mely verziója alkalmazandó az EUCC keretében kiállított tanúsítványokra. A szóban forgó verziók az európai kiberbiztonsági tanúsítási csoport (ECCG) által jóváhagyott dokumentumokra épülnek, mindazonáltal további felülvizsgálaton estek át az EUCC-be való felvételük céljából. Ezen túlmenően az I. mellékletet módosítani kell annak érdekében, hogy az – az ECCG általi jóváhagyást követően – kiegészüljön a technika állásának megfelelő dokumentumok aktualizált és új verzióival, ezáltal biztosítva az EUCC keretében működő megfelelőségértékelő szervezetek egységes akkreditációját. Az ITSEF-ek akkreditációjával kapcsolatos akkreditációs követelményeket aktualizálni kell a függetlenségre és pártatlanságra vonatkozó kritériumok alkalmazásának pontosítása érdekében, továbbá új, a technika állásának megfelelő dokumentumot kell összeállítani a tanúsító szervek akkreditációjára vonatkozóan.

(10)

A technika állásának megfelelő dokumentumok hozzáadhatók az EUCC-hez, vagy naprakésszé tehetők annak karbantartási tevékenységeivel összefüggésben. A technika állásának megfelelő új vagy aktualizált dokumentumok esetében megfelelő átmeneti szabályokat kell megállapítani annak érdekében, hogy az értékesítők, az ITSEF-ek, a tanúsító szervek és más érdekelt felek elvégezhessék a szükséges kiigazításokat. Az ITSEF-ek akkreditációjával kapcsolatos, a technika állásának megfelelő dokumentum aktualizálása tekintetében a naprakésszé tett dokumentumot csak akkor kell alkalmazni a 2025. július 8. előtt kiadott akkreditációkra, ha például értékelési vagy újraértékelési eljárások keretében felül lett vizsgálva. Emellett az aktualizált dokumentumot a 2025. július 8. után kiadott ITSEF-ek valamennyi akkreditációjára alkalmazni kell.

(11)

Az (EU) 2024/482 végrehajtási rendelet 5., 8., 16., 29. és 44. cikkének, valamint IV. mellékletének további helyesbítései az egységes szövegezést és az egyértelmű jogi értelmezés biztosítását szolgálják.

(12)

A megfelelőségértékelő szervezetek bejelentésére vonatkozó szabályokat horizontálisan kell megállapítani az európai kiberbiztonsági tanúsítási keretrendszer valamennyi rendszerére vonatkozóan. Az (EU) 2024/3143 bizottsági végrehajtási rendelet (6) szabályozza e bejelentéseket. Ezért az (EU) 2024/482 végrehajtási rendelet 23. és 24. cikkét az (EU) 2024/3143 végrehajtási rendelet alkalmazandóvá válásának időpontjától kezdődően el kell hagyni.

(13)

Az (EU) 2024/482 végrehajtási rendeletet ezért ennek megfelelően módosítani és helyesbíteni kell.

(14)

Az e rendeletben előírt intézkedések összhangban vannak az (EU) 2019/881 rendelet 66. cikkével létrehozott bizottság véleményével,

1.

A 2. cikk 1. és 2. pontja helyébe a következő lép:

2.

A 3. cikk helyébe a következő szöveg lép:

(*1)  A Bizottság (EU) 2016/799 végrehajtási rendelete (2016. március 18.) a menetíró készülékek és alkatrészeik kialakítására, tesztelésére, beépítésére, működtetésére és javítására vonatkozó követelményeket meghatározó 165/2014/EU európai parlamenti és tanácsi rendelet végrehajtásáról (HL L 139., 2016.5.26., 1. o., ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Az Európai Parlament és a Tanács 910/2014/EU rendelete (2014. július 23.) a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról, valamint az 1999/93/EK irányelv hatályon kívül helyezéséről (HL L 257., 2014.8.28., 73. o., ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  A Bizottság (EU) 2016/650 végrehajtási határozata (2016. április 25.) a belső piacon történő elektronikus tranzakciókhoz kapcsolódó elektronikus azonosításról és bizalmi szolgáltatásokról szóló 910/2014/EU európai parlamenti és tanácsi rendelet 30. cikkének (3) bekezdése és 39. cikkének (2) bekezdése alapján a minősített aláírást és bélyegzőt létrehozó eszközök biztonsági értékelésére vonatkozó szabványok megállapításáról (HL L 109., 2016.4.26., 40. o., ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).”;"

3.

A IV. fejezet a következő 20a. cikkel egészül ki:

4.

A 23. és a 24. cikket el kell hagyni.

5.

A 48. cikk a következő (4) bekezdéssel egészül ki:

6.

A 49. cikk a következő (4) bekezdéssel egészül ki:

7.

Az I. melléklet helyébe e rendelet I. mellékletének szövege lép.

8.

A IV. melléklet e rendelet II. mellékletének megfelelően módosul.

1.

Az 5. cikk (1) bekezdésének b) pontja helyébe a következő szöveg lép:

2.

A 8. cikket a következőképpen kell helyesbíteni:

3.

A 16. cikk helyébe a következő szöveg lép:

4.

A 17. cikk (1) bekezdését el kell hagyni.

5.

A 29. cikk (2) bekezdésének helyébe a következő szöveg lép: