(1)

Vo vykonávacom nariadení Komisie (EÚ) 2024/482 (2) sa v súlade s európskym rámcom certifikácie kybernetickej bezpečnosti stanoveným v nariadení (EÚ) 2019/881 špecifikujú úlohy, pravidlá a povinnosti, ako aj štruktúra európskeho systému certifikácie kybernetickej bezpečnosti založeného na spoločných kritériách (ďalej len „EUCC“).

(2)

Vykonávacie nariadenie (EÚ) 2024/482 vychádza zo zavedených medzinárodných noriem, ktoré sú spoločnými kritériami a spoločnou metodikou hodnotenia poskytovanými Medzinárodnou organizáciou pre normalizáciu (ISO) a Medzinárodnou elektrotechnickou komisiou (IEC). Vo vykonávacom nariadení (EÚ) 2024/482 sa odkazuje na normy ISO/IEC, ale nešpecifikuje sa v ňom uplatniteľná verzia uvedených noriem. Preto by sa malo určiť, ktorá verzia noriem sa uplatňuje na certifikáty vydané v rámci EUCC.

(3)

Vládne organizácie, ktoré prispeli k vypracovaniu spoločných kritérií a spoločnej metodiky hodnotenia prostredníctvom dohody o uznávaní certifikátov spoločných kritérií v oblasti hodnotenia bezpečnosti informačných technológií (CCRA), sú spolu s ISO/IEC spolumajiteľmi k nim prislúchajúcich autorských práv. Tieto vládne organizácie si zachovávajú právo ich používať. Vzhľadom na význam týchto dokumentov vychádzajúcich z CCRA by tieto dokumenty mali slúžiť aj ako základ pre certifikáciu na základe EUCC.

(4)

Normy týkajúce sa spoločných kritérií a spoločnej metodiky hodnotenia sú v rámci CCRA predmetom interpretácií, ktoré uľahčujú ich vykonávanie a ktoré môžu byť zohľadnené zariadeniami na hodnotenie bezpečnosti informačných technológií (ITSEF) a certifikačnými orgánmi.

(5)

Medzinárodné normy týkajúce sa spoločných kritérií môžu podliehať aktualizáciám. Na zabezpečenie riadneho a včasného prechodu je vhodné vymedziť pravidlá prechodu, aby sa predajcom, zariadeniam ITSEF a certifikačným orgánom a ďalším príslušným aktérom poskytol dostatok času na potrebné úpravy. Takéto pravidlá prechodu by sa mali v primeranom rozsahu zosúladiť s globálnymi postupmi, ako sú postupy stanovené v CCRA.

(6)

Vo vykonávacom nariadení (EÚ) 2024/482 sa nešpecifikuje, dokedy by certifikácia produktov IKT mohla vychádzať z predchádzajúcich verzií noriem spoločných kritérií a spoločnej metodiky hodnotenia. Technické domény a profily ochrany uvedené v prílohách I, II a III k uvedenému vykonávaciemu nariadeniu vychádzajú z predchádzajúcich verzií noriem ISO/IEC 15408 a 18045. Vo vykonávacom nariadení (EÚ) 2024/482 by sa preto malo spresniť, za akých okolností sa stále uplatňuje predchádzajúca verzia spoločných kritérií a spoločnej metodiky hodnotenia a ako bude fungovať prechod na najnovšiu verziu medzinárodných noriem.

(7)

Počas prechodného obdobia by prioritou príslušných zainteresovaných strán mala byť aktualizácia príslušných technických domén a profilov ochrany. Vo vykonávacom nariadení (EÚ) 2024/482 by sa malo stanoviť, že bezpečnostné zámery založené na predchádzajúcej verzii noriem by sa akceptovali do 31. decembra 2027 v súlade s politikou prechodu, ktorá sa prijala v rámci CCRA. Treba však poznamenať, že politika prechodu CCRA sa vzťahuje na počiatočné hodnotenia produktov a profilov ochrany, ktoré sa začínajú najneskôr 30. júna 2024, keď sa EUCC ešte neuplatňoval. Okrem toho by sa v súlade s politikou prechodu CCRA malo vo vykonávacom nariadení (EÚ) 2024/482 stanoviť, že bezpečnostné zámery, ktoré sú v súlade s uvedeným vykonávacím nariadením a potvrdzujú súlad s profilmi ochrany na základe predchádzajúcej verzie noriem, budú akceptované do 31. decembra 2027. Okrem toho, ak sa nový certifikát vydáva podľa vykonávacieho nariadenia (EÚ) 2024/482 v kontexte procesu preskúmania vnútroštátneho certifikátu, ktorý sa začína do dvoch rokov od vydania pôvodného certifikátu, malo by byť možné použiť predchádzajúcu verziu noriem. Nebolo by to relevantné pre proces preskúmania, ktorý si nevyžaduje vydanie nového certifikátu podľa vykonávacieho nariadenia (EÚ) 2024/482 a v prípade ktorého zostáva certifikát naďalej platný.

(8)

S cieľom zabezpečiť riadny prechod na najnovšiu verziu noriem by sa vo vykonávacom nariadení (EÚ) 2024/482 mali stanoviť osobitné pravidlá prechodu a naďalej by sa malo umožniť vydávanie certifikátov podľa uvedeného vykonávacieho nariadenia potvrdzujúcich súlad s profilmi ochrany, ktoré vychádzajú z predchádzajúcich verzií noriem uverejnených v rámci CCRA, pokiaľ sa použitie takýchto profilov ochrany vyžaduje podľa právnych predpisov Únie. Týka sa to vykonávacieho nariadenia Komisie (EÚ) 2016/799 (3), ako aj nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (4) a vykonávacieho rozhodnutia Komisie (EÚ) 2016/650 (5).

(9)

V prílohe I k vykonávaciemu nariadeniu (EÚ) 2024/482 sa uvádzajú uplatniteľné dokumenty na základe aktuálneho stavu na hodnotenie produktov IKT a profilov ochrany. Nešpecifikuje sa tam však verzia dokumentov. Preto by sa malo určiť, ktorá verzia dokumentov sa uplatňuje na certifikáty vydané v rámci EUCC. Uvedené verzie vychádzajú z dokumentov schválených európskou skupinou pre certifikáciu kybernetickej bezpečnosti (ECCG), pričom boli podrobené ďalšiemu preskúmaniu s cieľom začleniť ich do EUCC. Okrem toho by sa príloha I mala zmeniť tak, aby zahŕňala aktualizované a nové dokumenty na základe aktuálneho stavu po ich schválení skupinou ECCG, čím by sa zabezpečila jednotná akreditácia orgánov posudzovania zhody v rámci EUCC. Požiadavky na akreditáciu súvisiace s akreditáciou zariadení ITSEF by sa mali aktualizovať, aby sa spresnilo uplatňovanie kritérií nezávislosti a nestrannosti, a mal by sa vypracovať nový dokument na základe aktuálneho stavu na akreditáciu certifikačných orgánov.

(10)

Dokumenty na základe aktuálneho stavu sa môžu pridať do EUCC alebo môžu podliehať aktualizáciám súvisiacim s jeho údržbou. V prípade nových alebo aktualizovaných dokumentov na základe aktuálneho stavu môže byť potrebné stanoviť primerané pravidlá prechodu, ktoré predajcom, zariadeniam ITSEF, certifikačným orgánom a iným zainteresovaným stranám umožnia vykonať potrebné úpravy. Na účely aktualizácie dokumentu na základe aktuálneho stavu v súvislosti s akreditáciou zariadení ITSEF by sa aktualizovaný dokument mal uplatňovať na akreditácie vydané pred 8. júlom 2025 až po ich preskúmaní, napríklad v súvislosti s postupom posudzovania alebo opätovného posúdenia. Okrem toho by sa aktualizovaný dokument mal uplatňovať na všetky akreditácie zariadení ITSEF vydané po 8. júli 2025.

(11)

Ďalšie opravy článkov 5, 8, 16, 29 a 44 a prílohy IV k vykonávaciemu nariadeniu (EÚ) 2024/482 prispejú k zabezpečeniu jednotného znenia a jasného právneho výkladu.

(12)

Pravidlá oznamovania orgánov posudzovania zhody by sa mali stanoviť horizontálne pre všetky systémy európskeho rámca certifikácie kybernetickej bezpečnosti. Na takéto pravidlá oznamovania sa vzťahuje vykonávacie nariadenie (EÚ) Komisie 2024/3143 (6). Články 23 a 24 vykonávacie nariadenia (EÚ) 2024/482 by sa preto mali vypustiť od dátumu, keď sa začne uplatňovať vykonávacie nariadenie (EÚ) 2024/3143.

(13)

Vykonávacie nariadenie (EÚ) 2024/482 by sa preto malo zodpovedajúcim spôsobom zmeniť a opraviť.

(14)

Opatrenia stanovené v tomto nariadení sú v súlade so stanoviskom výboru zriadeného podľa článku 66 nariadenia (EÚ) 2019/881,

1.

V článku 2 sa body 1 a 2 nahrádzajú takto:

2.

Článok 3 sa nahrádza takto:

(*1)  Vykonávacie nariadenie Komisie (EÚ) 2016/799 z 18. marca 2016, ktorým sa vykonáva nariadenie Európskeho parlamentu a Rady (EÚ) č. 165/2014, ktorým sa ustanovujú požiadavky na konštrukciu, skúšanie, montáž, prevádzku a opravu tachografov a ich komponentov (Ú. v. EÚ L 139, 26.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES (Ú. v. EÚ L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  Vykonávacie rozhodnutie Komisie (EÚ) 2016/650 z 25. apríla 2016, ktorým sa stanovujú normy posudzovania bezpečnosti zariadení na vyhotovenie kvalifikovaného podpisu a pečate podľa článku 30 ods. 3 a článku 39 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu (Ú. v. EÚ L 109, 26.4.2016, s. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).“ "

3.

V kapitole IV sa vkladá tento článok 20a:

4.

Články 23 a 24 sa vypúšťajú.

5.

V článku 48 sa dopĺňa tento odsek 4:

6.

V článku 49 sa dopĺňa tento odsek 4:

7.

Príloha I sa nahrádza textom uvedeným v prílohe I k tomuto nariadeniu.

8.

Príloha IV sa mení v súlade s prílohou II k tomuto nariadeniu.

1.

V článku 5 ods. 1 sa písmeno b) nahrádza takto:

2.

Článok 8 sa opravuje takto:

3.

Článok 16 sa nahrádza takto:

4.

V článku 17 sa vypúšťa odsek 1.

5.

V článku 29 sa odsek 2 nahrádza takto: