L_202403144LT.000101.fmx.xml

KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2024/3144

2024 m. gruodžio 18 d.

kuriuo iš dalies keičiamos Įgyvendinimo reglamento (ES) 2024/482 nuostatos dėl taikytinų tarptautinių standartų ir tas reglamentas ištaisomas

(Tekstas svarbus EEE)

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,

atsižvelgdama į 2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentą (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013, (Kibernetinio saugumo aktą) (1), ypač į jo 49 straipsnio 7 dalį,

kadangi:

(1)

Komisijos įgyvendinimo reglamentu (ES) 2024/482 (2) nustatomos su bendraisiais kriterijais grindžiama Europos kibernetinio saugumo sertifikavimo schema (EKSSS) susijusios funkcijos, taisyklės ir pareigos, taip pat jos struktūra, atitinkanti Reglamente (ES) 2019/881 numatytą Europos kibernetinio saugumo sertifikavimo sistemą;

(2)

Įgyvendinimo reglamentas (ES) 2024/482 grindžiamas nustatytais tarptautiniais standartais, t. y. Tarptautinės standartizacijos organizacijos (ISO) ir Tarptautinės elektrotechnikos komisijos (IEC) reguliariai atnaujinamais bendraisiais kriterijais ir bendra vertinimo metodika. Įgyvendinimo reglamente (ES) 2024/482 daroma nuoroda į ISO/IEC standartus, tačiau jame nenurodyta taikytina tų standartų versija. Todėl reikėtų nurodyti, kuri standartų versija taikoma pagal EKSSS išduodamiems sertifikatams;

(3)

Vyriausybinės organizacijos, kurios padėjo rengti bendruosius kriterijus ir bendrą vertinimo metodiką pagal Susitarimą dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje (CCRA), kartu su ISO ir IEC yra tų kriterijų ir metodikos autorių teisių bendrasavininkės. Tos Vyriausybinės organizacijos išlaiko teisę jais naudotis. Atsižvelgiant į tų CCRA pagrindu parengtų dokumentų svarbą, jie turėtų būti naudojami ir kaip sertifikavimo pagal EKSSS pagrindas;

(4)	dėl bendrųjų kriterijų ir bendros vertinimo metodikos standartų CCRA teikiamas išaiškinimas, kuris padeda juos lengviau įgyvendinti ir į kurį gali atsižvelgti informacinių technologijų saugumo vertinimo įstaigos (ITSVĮ) ir sertifikavimo įstaigos;

(5)

su bendraisiais kriterijais susiję tarptautiniai standartai gali būti atnaujinami. Kad perėjimas būtų atliktas tvarkingai ir laiku, tikslinga nustatyti pereinamojo laikotarpio taisykles, kad pardavėjams, ITSVĮ ir sertifikavimo įstaigoms bei kitiems atitinkamiems subjektams būtų suteikta pakankamai laiko būtiniems pakeitimams atlikti. Tokios pereinamojo laikotarpio taisyklės turėtų būti tinkamu mastu suderintos su pasauline praktika, pavyzdžiui, nustatyta CCRA;

(6)

Įgyvendinimo reglamente (ES) 2024/482 nenurodyta, iki kada IRT produktų sertifikavimas gali būti grindžiamas ankstesnės versijos bendrųjų kriterijų ir bendros vertinimo metodikos standartais. To įgyvendinimo reglamento I, II ir III prieduose išvardytos techninės sritys ir apsaugos profiliai grindžiami ankstesnės versijos ISO/IEC 15408 ir 18045 standartais. Todėl Įgyvendinimo reglamente (ES) 2024/482 turėtų būti nurodyta, kokiomis aplinkybėmis tebetaikomi ankstesnės versijos bendrieji kriterijai ir bendra vertinimo metodika ir kaip bus pereinama prie naujausios versijos tarptautinių standartų;

(7)

pereinamuoju laikotarpiu suinteresuotųjų subjektų prioritetas turėtų būti atitinkamų techninių sričių ir apsaugos profilių atnaujinimas. Įgyvendinimo reglamente (ES) 2024/482 turėtų būti nustatyta, kad ankstesnės versijos standartais grindžiami saugumo uždaviniai būtų priimti iki 2027 m. gruodžio 31 d., laikantis CCRA pereinamojo laikotarpio politikos. Tačiau reikia pažymėti, kad CCRA pereinamojo laikotarpio politika apima pirminius produktų ir apsaugos profilių vertinimus, kurių pradžios data – ne vėlesnė kaip 2024 m. birželio 30 d., t. y. diena, kai EKSSS dar nebuvo taikoma. Be to, remiantis CCRA pereinamojo laikotarpio politika, Įgyvendinimo reglamente (ES) 2024/482 turėtų būti nustatyta, kad tą įgyvendinimo reglamentą atitinkantys saugumo uždaviniai, kuriais pareiškiama atitiktis ankstesnės versijos standartais pagrįstiems apsaugos profiliams, būtų priimti iki 2027 m. gruodžio 31 d. Be to, kai naujas sertifikatas pagal Įgyvendinimo reglamentą (ES) 2024/482 išduodamas atliekant nacionalinio sertifikato peržiūrą, kuri prasideda per dvejus metus nuo pirminio sertifikato išdavimo, turėtų būti įmanoma naudoti ankstesnės versijos standartus. Tai nebūtų aktualu peržiūrai, kurią atliekant nereikia pagal Įgyvendinimo reglamentą (ES) 2024/482 išduoti naujo sertifikato, ir tais atvejais, kai sertifikatas lieka galioti;

(8)

siekiant užtikrinti tvarkingą perėjimą prie naujausios versijos standartų, Įgyvendinimo reglamente (ES) 2024/482 turėtų būti numatytos specialios pereinamojo laikotarpio taisyklės ir toliau leidžiama pagal tą įgyvendinimo reglamentą išduoti sertifikatus, kuriais pareiškiama atitiktis apsaugos profiliams, pagrįstiems ankstesnių versijų CCRA paskelbtais standartais, jei tokius apsaugos profilius naudoti reikalaujama pagal Sąjungos teisės aktus. Tokie teisės aktai – Komisijos įgyvendinimo reglamentas (ES) 2016/799 (3), Europos Parlamento ir Tarybos reglamentas (ES) Nr. 910/2014 (4) ir Komisijos įgyvendinimo sprendimas (ES) 2016/650 (5);

(9)

Įgyvendinimo reglamento (ES) 2024/482 I priede išvardyti taikytini naujausi IRT produktų ir apsaugos profilių vertinimo dokumentai. Tačiau jame nenurodoma tų dokumentų versija. Todėl reikėtų nurodyti, kurios versijos dokumentai taikomi pagal EKSSS išduodamiems sertifikatams. Tos versijos grindžiamos Europos kibernetinio saugumo sertifikavimo grupės (EKSSG) patvirtintais dokumentais ir papildomai peržiūrimos prieš įtraukiant jas į EKSSS. Be to, I priedas turėtų būti iš dalies pakeistas ir į jį įtraukti nauji naujausi EKSSG patvirtinti dokumentai ir taip užtikrintas vienodas atitikties vertinimo įstaigų akreditavimas pagal EKSSS. Akreditavimo reikalavimai, susiję su ITSVĮ akreditavimu, turėtų būti atnaujinti – paaiškintas nepriklausomumo ir nešališkumo kriterijų taikymas, be to, turėtų būti nustatytas naujas naujausias sertifikavimo įstaigų akreditavimo dokumentas;

(10)

naujausi dokumentai gali būti įtraukiami į EKSSS arba gali būti atnaujinami tuomet, kai ta schema reguliariai atnaujinama. Naujiems arba atnaujintiems naujausiems dokumentams gali reikėti nustatyti tinkamas pereinamojo laikotarpio taisykles, kad pardavėjai, ITSVĮ, sertifikavimo įstaigos ir kiti suinteresuotieji subjektai galėtų atlikti reikiamus pakeitimus. Atnaujinant naujausią dokumentą, susijusį su ITSVĮ akreditavimu, atnaujintas dokumentas turėtų būti taikomas akreditacijoms, suteiktoms iki 2025 m. liepos 8 d., tik tada, kai jos peržiūrimos, pavyzdžiui, atliekant vertinimo arba pakartotinio vertinimo procedūrą. Be to, atnaujintas dokumentas turėtų būti taikomas visoms ITSVĮ akreditacijoms, suteiktoms po 2025 m. liepos 8 d.;

(11)	papildomos Įgyvendinimo reglamento (ES) 2024/482 5, 8, 16, 29 ir 44 straipsnių ir IV priedo pataisos padeda užtikrinti vienodą formuluotę ir aiškų teisinį aiškinimą;

(12)

atitikties vertinimo įstaigų pranešimų teikimo taisyklės turėtų būti nustatytos horizontaliai visoms schemoms, taikomoms pagal Europos kibernetinio saugumo sertifikavimo sistemą. Tokios pranešimų teikimo taisyklės įtrauktos į Komisijos įgyvendinimo reglamentą (ES) 2024/3143 (6). Todėl Įgyvendinimo reglamento (ES) 2024/482 23 ir 24 straipsniai turėtų būti išbraukti nuo Įgyvendinimo reglamento (ES) 2024/3143 taikymo pradžios dienos;

(13)	todėl Įgyvendinimo reglamentas (ES) 2024/482 turėtų būti atitinkamai iš dalies pakeistas ir ištaisytas;

(14)	šiame reglamente nustatytos priemonės atitinka pagal Reglamento (ES) 2019/881 66 straipsnį įsteigto komiteto nuomonę,

PRIĖMĖ ŠĮ REGLAMENTĄ:

1 straipsnis

Įgyvendinimo reglamentas (ES) 2024/482 iš dalies keičiamas taip:

2 straipsnio 1 ir 2 punktai pakeičiami taip:

„1)

bendrieji kriterijai – standartuose ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 arba ISO/IEC 15408-5:2022 nustatyti bendrieji informacinių technologijų saugumo vertinimo kriterijai arba Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbti (CC:2022 versija, 1–5 dalys) bendrieji informacinių technologijų saugumo vertinimo kriterijai;

bendra vertinimo metodika – standarte ISO/IEC 18045:2022 nustatyta bendra informacinių technologijų saugumo vertinimo metodika arba Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbta (versija CEM:2022) bendra informacinių technologijų saugumo vertinimo metodika;“;

3 straipsnis pakeičiamas taip:

„ 3 straipsnis

Vertinimo standartai

1. Pagal EKSSS schemą atliekamiems vertinimams taikomi šie standartai:

a)	bendrieji kriterijai;

b)	bendra vertinimo metodika.

2. Iki 2027 m. gruodžio 31 d. sertifikatas gali būti išduodamas pagal EKSSS schemą, taikant vieną iš šių standartų:

a)	ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 arba ISO/IEC 15408-3:2008;

b)	Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbti bendrieji informacinių technologijų saugumo vertinimo kriterijai, 3.1 versija, 5 redakcija;

c)	ISO/IEC 18045:2008;

d)	Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbta bendra informacinių technologijų saugumo vertinimo metodika, 5 versija, 3.1 redakcija.

3. Iki 2027 m. gruodžio 31 d. pagal EKSSS schemą gali būti išduodamas 1 dalyje nurodytais standartais grindžiamas sertifikatas, kuriuo pareiškiama atitiktis apsaugos profiliui, grindžiamam 2 dalyje išvardytais standartais.

4. Sertifikatas, grindžiamas 1 dalyje nurodytais standartais, taip pat gali būti išduodamas pagal EKSSS schemą ir juo pareiškiama atitiktis apsaugos profiliui, grindžiamam kuriuo nors iš toliau nurodytų standartų, jei naudoti tokį apsaugos profilį reikalaujama pagal Komisijos įgyvendinimo reglamentą (ES) 2016/799 (*1), Europos Parlamento ir Tarybos reglamentą (ES) Nr. 910/2014 (*2) arba Komisijos įgyvendinimo sprendimą (ES) 2016/650 (*3):

a)	Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbti bendrieji informacinių technologijų saugumo vertinimo kriterijai, 3.1 versija, 1–4 redakcijos;

b)	Susitarimo dėl bendrųjų kriterijų sertifikatų pripažinimo IT saugumo srityje dalyvių paskelbta bendra informacinių technologijų saugumo vertinimo metodika, 3.1 versija, 1–4 redakcijos.

(*1) 2016 m. kovo 18 d. Komisijos įgyvendinimo reglamentas (ES) 2016/799, kuriuo įgyvendinamas Europos Parlamento ir Tarybos reglamentas (ES) Nr. 165/2014 ir nustatomi tachografų ir jų komponentų konstrukcijos, bandymo, įrengimo, naudojimo ir remonto reikalavimai (OL L 139, 2016 5 26, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2) 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB (OL L 257, 2014 8 28, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3) 2016 m. balandžio 25 d. Komisijos įgyvendinimo sprendimas (ES) 2016/650, kuriuo pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje 30 straipsnio 3 dalį ir 39 straipsnio 2 dalį nustatomi kvalifikuotų parašo ir spaudo kūrimo įtaisų saugumo vertinimo standartai (OL L 109, 2016 4 26, p. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).“;"

IV skyriuje įterpiamas 20a straipsnis:

„ 20a straipsnis

Atitikties vertinimo įstaigų akreditavimo reikalavimų specifikacija

Akredituojant atitikties vertinimo įstaigas atsižvelgiama į sertifikavimo įstaigų ir ITSVĮ akreditavimo reikalavimų specifikaciją, nustatytą taikytinuose naujausiuose dokumentuose, išvardytuose I priedo 2 punkte.“;

4)	23 ir 24 straipsniai išbraukiami;

5)	48 straipsnis papildomas 4 dalimi: „4. Jei I arba II priede nenurodyta kitaip, naujausi dokumentai taikomi nuo dalinio pakeitimo akto, kuriuo jie buvo įtraukti į I arba II priedą, taikymo pradžios dienos.“ ;

49 straipsnis papildomas 4 dalimi:

„4. Atliekant 3 dalyje nurodytą peržiūrą per dvejus metus nuo pirminio sertifikato išdavimo ir kai atlikus tokią peržiūrą pagal šį reglamentą išduodamas naujas sertifikatas, gali būti taikomi 3 straipsnio 2 dalyje išvardyti standartai. Pirminio sertifikato išdavimo data suprantama kaip IRT produkto arba apsaugos profilio, kuriuo grindžiamas galiojantis sertifikatas, paskutinio sertifikato išdavimo data.“

;

7)	I priedas pakeičiamas šio reglamento I priedo tekstu;

8)	IV priedas iš dalies keičiamas pagal šio reglamento II priedą.

2 straipsnis

Įgyvendinimo reglamentas (ES) 2024/482 ištaisomas taip:

5 straipsnio 1 dalies b punktas pakeičiamas taip:

„b)	pareiškiant atitiktį sertifikuotam apsaugos profiliui vykdant IRT procesą, kai IRT produktas priskiriamas prie IRT produktų kategorijos, kuriai tas apsaugos profilis taikomas.“;

8 straipsnis ištaisomas taip:

a)	pavadinimas pakeičiamas taip: „Sertifikavimo ir vertinimo reikmėms būtina informacija“;

b)	1 dalis pakeičiama taip: „1. Pareiškėjas, siekiantis gauti sertifikatą pagal EKSSS, pateikia sertifikavimo įstaigai ir ITSVĮ visą sertifikavimo ir vertinimo veiklai būtiną informaciją arba kitaip sudaro sąlygas su ja susipažinti.“ ;

16 straipsnis pakeičiamas taip:

„ 16 straipsnis

Apsaugos profiliams sertifikuoti ir vertinti būtina informacija

Pareiškėjas, siekiantis gauti apsaugos profilio sertifikatą, pateikia sertifikavimo įstaigai ir ITSVĮ visą teisingą sertifikavimo ir vertinimo veiklai būtiną informaciją arba kitaip sudaro sąlygas su ja susipažinti. Mutatis mutandis taikomos 8 straipsnio 2, 3, 4 ir 7 dalys.“;

4)	17 straipsnio 1 dalis išbraukiama;

5)	29 straipsnio 2 dalis pakeičiama taip: „2. Jei EKSSS sertifikato turėtojas nepasiūlo tinkamų taisomųjų veiksmų per 1 dalyje nurodytą laikotarpį, sertifikato galiojimas sustabdomas pagal 30 straipsnį arba panaikinamas pagal 14 straipsnį ar 20 straipsnį.“

3 straipsnis

Šis reglamentas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.

1 straipsnio 4 dalis taikoma nuo 2025 m. sausio 8 d.

Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.

Priimta Briuselyje 2024 m. gruodžio 18 d.

Komisijos vardu

Pirmininkė

Ursula VON DER LEYEN

(1) OL L 151, 2019 6 7, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj.

(2) 2024 m. sausio 31 d. Komisijos įgyvendinimo reglamentas (ES) 2024/482, kuriuo nustatomos Europos Parlamento ir Tarybos reglamento (ES) 2019/881 taikymo taisyklės dėl bendraisiais kriterijais grindžiamos Europos kibernetinio saugumo sertifikavimo schemos (EKSSS) priėmimo (OL L, 2024/482, 2024 2 7, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(3) 2016 m. kovo 18 d. Komisijos įgyvendinimo reglamentas (ES) 2016/799, kuriuo įgyvendinamas Europos Parlamento ir Tarybos reglamentas (ES) Nr. 165/2014 ir nustatomi tachografų ir jų komponentų konstrukcijos, bandymo, įrengimo, naudojimo ir remonto reikalavimai, (OL L 139, 2016 5 26, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj).

(4) 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamentas (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB, (OL L 257, 2014 8 28, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(5) 2016 m. balandžio 25 d. Komisijos įgyvendinimo sprendimas (ES) 2016/650, kuriuo pagal Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje 30 straipsnio 3 dalį ir 39 straipsnio 2 dalį nustatomi kvalifikuotų parašo ir spaudo kūrimo įtaisų saugumo vertinimo standartai, (OL L 109, 2016 4 26, p. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).

(6) 2024 m. gruodžio 18 d. Komisijos įgyvendinimo reglamentas (ES) 2024/3143, kuriuo pagal Europos Parlamento ir Tarybos reglamento (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo 61 straipsnio 5 dalį nustatomos pranešimų teikimo aplinkybės, formatai ir procedūros (OL L, 2024/3143, 2024 12 19, ELI: http://data.europa.eu/eli/reg_impl/2024/3143/oj).

I PRIEDAS

„„I PRIEDAS

Techninėms sritims svarbūs naujausi dokumentai ir kiti naujausi dokumentai

AVA_VAN 4 arba 5 lygio techninėms sritims svarbūs naujausi dokumentai:

šie dokumentai, susiję su techninės srities „Lustinės kortelės ir panašios priemonės“ suderintu vertinimu:

1)	„Minimum ITSEF requirements for security evaluations of smart cards and similar devices“ (liet. „ITSVĮ taikomi būtiniausi lustinių kortelių ir panašių priemonių saugumo vertinimo reikalavimai“, 1.1 versija;

2)	„Minimum Site Security Requirements“ (liet. „Būtiniausi objekto saugumo reikalavimai“), 1.1 versija;

3)	„Application of Common Criteria to integrated circuits“ (liet. „Bendrųjų kriterijų taikymas integriniams grandynams“), 1.1 versija;

4)	„Security Architecture requirements (ADV_ARC) for smart cards and similar devices“ (liet. „Lustinėms kortelėms ir panašioms priemonėms taikomi saugumo architektūros reikalavimai (ADV_ARC)“), 1.1 versija;

5)	„Certification of „open“ smart card products“ (liet. „Atvirųjų lustinių kortelių produktų sertifikavimas“), 1.1 versija;

6)	„Composite product evaluation for smart cards and similar devices“ (liet. „Sudėtinių produktų vertinimas, taikomas lustinėms kortelėms ir panašioms priemonėms“), 1.1 versija;

7)	„Application of Attack Potential to Smartcards“ (liet. „Išpuolio potencialo taikymas lustinėms kortelėms“), 1.2 versija;

šie dokumentai, susiję su techninės srities „Aparatinės įrangos įtaisai su apsauginėmis dėžėmis“ suderintu vertinimu:

1)	„Minimum ITSEF requirements for security evaluations of hardware devices with security boxes“ (liet. „ITSVĮ taikomi būtiniausi aparatinės įrangos įtaisų su apsauginėmis dėžėmis saugumo vertinimo reikalavimai“), 1.1 versija;

2)	„Minimum Site Security Requirements“ (liet. „Būtiniausi objekto saugumo reikalavimai“), 1.1 versija;

3)	„Application of Attack Potential to hardware devices with security boxes“ (liet. „Išpuolio potencialo taikymas aparatinės įrangos įtaisams su apsauginėmis dėžėmis“), 1.2 versija.

Naujausi dokumentai, susiję su suderintu atitikties vertinimo įstaigų akreditavimu:

a)	„Accreditation of ITSEFs for the EUCC“ (liet. „ITSVĮ akreditavimas taikyti EKSSS“), 1.1 versija, jei akreditacija suteikta iki 2025 m. liepos 8 d.;

b)	„Accreditation of ITSEFs for the EUCC“ (liet. „ITSVĮ akreditavimas taikyti EKSSS“), 1.6c versija, jei akreditacija naujai suteikta arba peržiūrėta po 2025 m. liepos 8 d.;

c)	„Accreditation of CBs for the EUCC“ (liet. „Sertifikavimo įstaigų akreditavimas taikyti EKSSS“), 1.6b versija.

“ “