L_202403144LV.000101.fmx.xml

KOMISIJAS ĪSTENOŠANAS REGULA (ES) 2024/3144

(2024. gada 18. decembris)

par Īstenošanas regulas (ES) 2024/482 grozījumiem attiecībā uz piemērojamajiem starptautiskajiem standartiem un par tās labojumiem

(Dokuments attiecas uz EEZ)

EIROPAS KOMISIJA,

ņemot vērā Līgumu par Eiropas Savienības darbību,

ņemot vērā Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (2019. gada 17. aprīlis) par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ Regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (1), un jo īpaši tās 49. panta 7. punktu,

tā kā:

(1)	Komisijas Īstenošanas regula (ES) 2024/482 (2) nosaka vienotos kritērijos balstītas Eiropas kiberdrošības sertifikācijas shēmas (EUCC) uzdevumus, noteikumus un pienākumus, kā arī struktūru saskaņā ar Regulā (ES) 2019/881 noteikto Eiropas kiberdrošības sertifikācijas satvaru.

(2)

Īstenošanas regulas (ES) 2024/482 pamatā ir iedibināti starptautiski standarti, kas ir vienotie kritēriji un vienotā izvērtēšanas metodika, ko uztur Starptautiskā standartizācijas organizācija (ISO) un Starptautiskā elektrotehnikas komisija (IEC). Īstenošanas regula (ES) 2024/482 atsaucas uz ISO/IEC standartiem, taču nenosauc piemērojamās minēto standartu redakcijas. Tāpēc būtu jāprecizē, kura standartu redakcija attiecas uz sertifikātiem, kas izdoti saskaņā ar EUCC.

(3)

Valdību organizācijas, kas ar Vienošanos par kopējo kritēriju sertifikātu atzīšanu IT drošības jomā (CCRA) veicināja vienoto kritēriju un vienotās izvērtēšanas metodikas izstrādi, kopā ar ISO/IEC ir tām piederošo autortiesību kopsubjekti. Minētās valdības organizācijas patur tiesības tās izmantot. Ievērojot, cik svarīgi ir šie CCRA izdotie dokumenti, tiem arī jābūt par pamatu sertifikācijai saskaņā ar EUCC.

(4)	Par vienotajiem kritērijiem un vienotās izvērtēšanas metodikas standartiem CCRA var dot interpretāciju, kas atvieglo to īstenošanu un ko var ņemt vērā informācijas tehnoloģijas drošības novērtēšanas struktūras (ITSEF) un sertifikācijas struktūras.

(5)

Starptautiskie standarti, kas saistīti ar vienotajiem kritērijiem, var tikt atjaunināti. Lai nodrošinātu sakārtotu un laicīgu pāreju, pienākas definēt pārejas noteikumus, kas pārdevējiem, ITSEF un sertifikācijas struktūrām un citiem attiecīgajiem subjektiem dotu pietiekami daudz laika nepieciešamajiem pielāgojumiem. Tādi pārejas noteikumi būtu pienācīgā mērā jāsaskaņo ar pasaules praksi, piemēram, CCRA noteikto praksi.

(6)

Īstenošanas regulā (ES) 2024/482 nav noteikts, cik ilgi IKT izstrādājuma sertifikāciju var balstīt uz agrākām vienoto kritēriju un vienotās izvērtēšanas metodikas standartu redakcijām. Minētās īstenošanas regulas I, II un III pielikumā uzskaitīto tehnisko jomu un aizsardzības profilu pamatā ir standartu ISO/IEC 15408 un 18045 iepriekšējās redakcijas. Tāpēc Īstenošanas regulā (ES) 2024/482 būtu jāprecizē, kādos apstākļos paliek piemērojama vienoto kritēriju un vienotās izvērtēšanas metodikas iepriekšējā redakcija un kā notiks pāreja uz starptautisko standartu jaunāko redakciju.

(7)

Pārejas periodā tehnisko jomu un aizsardzības profilu atjaunināšanai jābūt attiecīgo ieinteresēto personu prioritātei. Īstenošanas regulā (ES) 2024/482 būtu jāparedz, ka drošības mērķrādītāji, kuru pamatā ir standartu iepriekšējā redakcija, tiks akceptēti līdz 2027. gada 31. decembrim saskaņā ar CCRA pieņemto pārejas politiku. Tomēr jāpiezīmē, ka CCRA pārejas politika aptver produktu un aizsardzības profilu sākotnējo novērtēšanu, kas sākās ne vēlāk kā 2024. gada 30. jūnijā jeb dienā, kad EUCC vēl nebija piemērojama. Turklāt saskaņā ar CCRA pārejas politiku Īstenošanas regulā (ES) 2024/482 būtu jānosaka, ka drošības mērķrādītāji, kas atbilst minētajai īstenošanas regulai, norādot atbilstību aizsardzības profiliem, kuru pamatā ir standartu iepriekšējā redakcija, tiks akceptēti līdz 2027. gada 31. decembrim. Turklāt, ja saskaņā ar Īstenošanas regulu (ES) 2024/482 tiek izdots jauns sertifikāts valsts sertifikāta pārskatīšanas procesā, kas sākas divu gadu laikā pēc sākotnējā sertifikāta, jābūt iespējai izmantot standartu iepriekšējo redakciju. Tas neattiektos uz pārskatīšanas procesu, kurā netiek prasīts izdot jaunu sertifikātu saskaņā ar Īstenošanas regulu (ES) 2024/482 un kurā sertifikāts turpina būt derīgs.

(8)

Lai nodrošinātu sakārtotu pāreju uz standartu jaunāko redakciju, Īstenošanas regulā (ES) 2024/482 būtu jāparedz īpaši pārejas noteikumi un jāturpina atļaut izdot sertifikātus saskaņā ar minēto īstenošanas regulu, paužot, ka tie atbilst aizsardzības profiliem, kuru pamatā ir agrākas CCRA publicēto standartu redakcijas, ja tādu aizsardzības profilu izmantošana tiek prasīta saskaņā ar Savienības tiesību aktiem. Tas attiecas uz Komisijas Īstenošanas regulu (ES) 2016/799 (3), kā arī uz Eiropas Parlamenta un Padomes Regulu (ES) Nr. 910/2014 (4) un Komisijas Īstenošanas lēmumu (ES) 2016/650 (5).

(9)

Īstenošanas regulas (ES) 2024/482 I pielikumā ir uzskaitīti aktuālie (jaunākie) dokumenti, kas piemērojami IKT izstrādājumu un aizsardzības profilu izvērtēšanā. Taču tajā nav noteikta dokumentu redakcija. Tāpēc būtu jānosaka, kura dokumentu redakcija attiecas uz sertifikātiem, kas izdoti saskaņā ar EUCC. Šo redakciju pamatā ir Eiropas Kiberdrošības sertifikācijas grupas (ECCG) apstiprinātie dokumenti, un tiem arī veikta turpmāka pārskatīšana attiecībā uz to iekļaušanu EUCC. Turklāt I pielikums būtu jāgroza, iekļaujot atjauninātus un jaunus aktuālos dokumentus pēc to apstiprināšanas ECCG, tādējādi nodrošinot atbilstības novērtēšanas struktūru vienotu akreditāciju saskaņā ar EUCC. Būtu jāatjaunina ar ITSEF akreditāciju saistītās akreditācijas prasības, lai precizētu neatkarības un objektivitātes kritēriju piemērošanu, un būtu jāizveido jauns aktuālais dokuments sertifikācijas struktūru akreditācijai.

(10)

Aktuālos dokumentus varētu iekļaut EUCC, vai tos varētu atjaunināt tās uzturēšanas darbībās. Attiecībā uz jauniem vai atjauninātiem aktuālajiem dokumentiem var būt jānosaka pienācīgi pārejas noteikumi, lai pārdevēji, ITSEF, sertifikācijas struktūras un citas ieinteresētās personas varētu izdarīt nepieciešamās korekcijas. Lai atjauninātu aktuālu dokumentu, kas attiecas uz ITSEF akreditāciju, akreditācijai, kura dota pirms 2025. gada 8. jūlija, atjauninātais dokuments būtu jāpiemēro tikai tad, kad tā tiek pārskatīta, piemēram, novērtēšanas vai atkārtotas novērtēšanas procedūras sakarā. Turklāt atjauninātais dokuments būtu jāpiemēro visām ITSEF akreditācijām, kas izdotas pēc 2025. gada 8. jūlija.

(11)	Turpmāki labojumi Īstenošanas regulas (ES) 2024/482 5., 8., 16., 29. un 44. pantā un IV pielikumā palīdz nodrošināt vienotus formulējumus un skaidru juridisko interpretāciju.

(12)

Noteikumi par atbilstības novērtēšanas struktūru paziņojumiem būtu jāveido horizontāli visām shēmām saskaņā ar Eiropas kiberdrošības sertifikācijas satvaru. Komisijas Īstenošanas regula (ES) 2024/3143 (6) aptver tādus paziņošanas noteikumus. Tāpēc no dienas, kad kļūst piemērojama Īstenošanas regula (ES) 2024/3143, būtu jāsvītro Īstenošanas regulas (ES) 2024/482 23. un 24. pants.

(13)	Tāpēc Īstenošanas regula (ES) 2024/482 attiecīgi jāgroza un jālabo.

(14)	Šajā regulā noteiktie pasākumi ir saskaņā ar atzinumu, ko sniegusi ar Regulas (ES) 2019/881 66. pantu izveidotā komiteja,

IR PIEŅĒMUSI ŠO REGULU.

1. pants

Īstenošanas regulu (ES) 2024/482 groza šādi:

2. panta 1) un 2) punktu aizstāj ar šādiem:

“1)

“vienotie kritēriji” ir vienotie informācijas tehnoloģiju drošības izvērtēšanas kritēriji, kas izklāstīti standartos ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 vai ISO/IEC 15408-5:2022 vai vienotajos informācijas tehnoloģiju drošības izvērtēšanas kritērijos, redakcija CC:2022, 1.–5. daļa, ko publicējuši Vienošanās par vienotu kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki;

“vienotā izvērtēšanas metodika” ir vienotā informācijas tehnoloģiju drošības izvērtēšanas metodika, kas izklāstīta standartā ISO/IEC 18045:2022, vai informācijas tehnoloģiju drošības izvērtēšanas vienotā metodika, redakcija CEM:2022, ko publicējuši Vienošanās par vienotu kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki;”;

3. pantu aizstāj ar šādu:

“ 3. pants

Izvērtēšanas standarti

1. Izvērtēšanai, ko veic saskaņā ar EUCC, piemēro šādus standartus:

a)	vienotos kritērijus;

b)	vienoto izvērtēšanas metodiku.

2. Līdz 2027. gada 31. decembrim sertifikātu var izdot saskaņā ar EUCC shēmu, ja tiek piemērots kāds no šiem standartiem:

a)	ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 vai ISO/IEC 15408-3:2008;

b)	vienoti informācijas tehnoloģiju drošības izvērtēšanas kritēriji, 3.1. redakcija, 5. pārskate, ko publicējuši Vienošanās par vienotu kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki;

c)	ISO/IEC 18045:2008;

d)	vienota informācijas tehnoloģiju drošības novērtēšanas metodika, 5. pārskate, 3.1. redakcija, ko publicējuši Vienošanās par vienotu kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki.

3. Līdz 2027. gada 31. decembrim sertifikātu, kurā piemēroti 1. punktā norādītie standarti, var izdot saskaņā ar EUCC shēmu, atzīstot atbilstību aizsardzības profilam, kurā piemēroti 2. punktā uzskaitītie standarti.

4. Sertifikātu, kurā piemēroti 1. punktā minētie standarti, var arī izdot saskaņā ar EUCC shēmu, atzīstot atbilstību aizsardzības profilam, kurā piemērots kāds no tālāk minētajiem standartiem, ja tāda aizsardzības profila izmantošana tiek prasīta saskaņā ar Komisijas Īstenošanas regulu (ES) 2016/799 (*1), Eiropas Parlamenta un Padomes Regulu (ES) Nr. 910/2014 (*2) vai Komisijas Īstenošanas lēmumu (ES) 2016/650 (*3):

a)	vienoti informācijas tehnoloģiju drošības izvērtēšanas kritēriji, 3.1. redakcija, 1.–4. pārskate, ko publicējuši Vienošanās par kopējo kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki;

b)	vienota informācijas tehnoloģiju drošības novērtēšanas metodika, 3.1. redakcija, 1.–4. pārskate, ko publicējuši Vienošanās par vienotu kritēriju sertifikātu atzīšanu IT drošības jomā dalībnieki.

(*1) Komisijas Īstenošanas regula (ES) 2016/799 (2016. gada 18. marts), ar ko īsteno Eiropas Parlamenta un Padomes Regulu (ES) Nr. 165/2014, ar kuru nosaka prasības attiecībā uz tahogrāfu un to komponentu konstrukciju, testēšanu, uzstādīšanu, darbību un remontu (OV L 139, 26.5.2016., 1. lpp., ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2) Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (2014. gada 23. jūlijs) par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ Direktīvu 1999/93/EK (OV L 257, 28.8.2014., 73. lpp., ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3) Komisijas Īstenošanas lēmums (ES) 2016/650 (2016. gada 25. aprīlis), ar ko nosaka standartus kvalificētu paraksta un zīmoga radīšanas ierīču drošības novērtēšanai saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 910/2014 par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū 30. panta 3. punktu un 39. panta 2. punktu (OV L 109, 26.4.2016., 40. lpp., ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).”;"

IV nodaļā iekļauj šādu 20.a pantu:

“ 20.a pants

Atbilstības novērtēšanas struktūru akreditācijas prasību specifikācija

Atbilstības novērtēšanas struktūru akreditēšanā ņem vērā sertifikācijas struktūru un ITSEF akreditācijas prasību specifikācijas, kas noteiktas piemērojamajos aktuālajos dokumentos, kuri uzskaitīti I pielikuma 2. punktā.”;

4)	23. un 24. pantu svītro;

5)	48. pantam pievieno šādu 4. punktu: “4. Ja I vai II pielikumā nav noteikts citādi, aktuālos dokumentus piemēro no brīža, kad tiek sākts piemērot grozošo aktu, ar kuru tie iekļauti I vai II pielikumā.” ;

49. pantam pievieno šādu 4. punktu:

“4. Ja 3. punktā minēto pārskatīšanu veic divu gadu laikā pēc sākotnējā sertifikāta izdošanas un pārskatīšanas rezultātā tiek izdots jauns sertifikāts saskaņā ar šo regulu, var piemērot 3. panta 2. punktā uzskaitītos standartus. Sākotnējā sertifikāta izdošanas brīdi saprot kā dienu, kad izdots pēdējais sertifikāts IKT izstrādājumam vai aizsardzības profilam, uz kuru balstīts pašreizējais sertifikāts.”

;

7)	I pielikumu aizstāj ar šīs regulas I pielikuma tekstu;

8)	IV pielikumu groza saskaņā ar šīs regulas II pielikumu.

2. pants

Īstenošanas regulu (ES) 2024/482 labo šādi:

5. panta 1. punkta b) apakšpunktu aizstāj ar šādu:

“b)	atzīstot atbilstību sertificētam aizsardzības profilam IKT procesā, ja IKT izstrādājums ietilpst IKT izstrādājumu kategorijā, ko aptver minētais aizsardzības profils.”;

8. pantu labo šādi:

a)	virsrakstu aizstāj ar šādu: “Sertificēšanai un izvērtēšanai nepieciešamā informācija”;

b)	1. punktu aizstāj ar šādu: “1. EUCC sertifikācijas pieteikuma iesniedzējs iesniedz vai citādi dara pieejamu sertifikācijas struktūrai un ITSEF visu sertificēšanai un izvērtēšanai nepieciešamo informāciju.” ;

16. pantu aizstāj ar šādu:

“ 16. pants

Aizsardzības profilu sertificēšanai un izvērtēšanai nepieciešamā informācija

Aizsardzības profila sertifikācijas pieteikuma iesniedzējs sertifikācijas struktūrai un ITSEF sniedz vai citādi dara pieejamu visu sertificēšanai un izvērtēšanai nepieciešamo informāciju pilnīgā un pareizā veidā. Pēc analoģijas piemēro šīs regulas 8. panta 2., 3., 4. un 7. punktu.”;

4)	17. panta 1. punktu svītro;

5)	29. panta 2. punktu aizstāj ar šādu: “2. Ja EUCC sertifikāta turētājs 1. punktā minētajā laikposmā neierosina pienācīgus korektīvus pasākumus, sertifikātu aptur saskaņā ar 30. pantu vai atsauc saskaņā ar 14. vai 20. pantu.”

3. pants

Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Regulas 1. panta 4. punktu piemēro no 2025. gada 8. janvāra.

Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.

Briselē, 2024. gada 18. decembrī

Komisijas vārdā –

priekšsēdētāja

Ursula VON DER LEYEN

(1) OV L 151, 7.6.2019., 15. lpp., ELI: http://data.europa.eu/eli/reg/2019/881/oj.

(2) Komisijas Īstenošanas regula (ES) 2024/482 (2024. gada 31. janvāris) par to, kā vienotos kritērijos balstītas Eiropas kiberdrošības sertifikācijas shēmas (EUCC) pieņemšanas sakarā piemērojama Eiropas Parlamenta un Padomes Regula (ES) 2019/881 (OV L, 2024/482, 7.2.2024., ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(3) Komisijas Īstenošanas regula (ES) 2016/799 (2016. gada 18. marts), ar ko īsteno Eiropas Parlamenta un Padomes Regulu (ES) Nr. 165/2014, ar kuru nosaka prasības attiecībā uz tahogrāfu un to komponentu konstrukciju, testēšanu, uzstādīšanu, darbību un remontu (OV L 139, 26.5.2016., 1. lpp., ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj).

(4) Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (2014. gada 23. jūlijs) par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ Direktīvu 1999/93/EK (OV L 257, 28.8.2014., 73. lpp., ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(5) Komisijas Īstenošanas lēmums (ES) 2016/650 (2016. gada 25. aprīlis), ar ko nosaka standartus kvalificētu paraksta un zīmoga radīšanas ierīču drošības novērtēšanai saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) Nr. 910/2014 par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū 30. panta 3. punktu un 39. panta 2. punktu (OV L 109, 26.4.2016., 40. lpp., ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).

(6) Komisijas Īstenošanas regula (ES) 2024/3143 (2024. gada 18. decembris), ar ko nosaka apstākļus, formātus un procedūras paziņojumiem saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2019/881 par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju 61. panta 5. punktu (OV L, 2024/3143, 19.12.2024., ELI: http://data.europa.eu/eli/reg_impl/2024/3143/oj).