(1)

Izvedbena uredba Komisije (EU) 2024/482 (2) določa vloge, pravila in obveznosti ter strukturo evropske certifikacijske sheme za kibernetsko varnost, ki temelji na skupnih merilih (v nadaljnjem besedilu: EUCC) v skladu z evropskim certifikacijskim okvirom za kibernetsko varnost iz Uredbe (EU) 2019/881.

(2)

Izvedbena uredba (EU) 2024/482 temelji na uveljavljenih mednarodnih standardih, in sicer skupnih merilih in skupni metodologiji ocenjevanja, ki jih vzdržujeta Mednarodna organizacija za standardizacijo (ISO) in Mednarodna elektrotehniška komisija (IEC). Izvedbena uredba (EU) 2024/482 se sklicuje na standarde ISO/IEC, vendar ne določa veljavne različice navedenih standardov. Zato bi bilo treba določiti, katera različica standardov se uporablja za certifikate, izdane na podlagi EUCC.

(3)

Vladne organizacije, ki so prispevale k razvoju skupnih meril in skupne metodologije ocenjevanja z dogovorom o priznavanju certifikatov na podlagi skupnih meril na področju varnosti IT so skupni imetniki, skupaj z ISO/IEC avtorskih pravic zanje. Navedene vladne organizacije ohranijo pravico do njihove uporabe. Glede na pomen teh dokumentov, ki temeljijo na dogovoru o priznavanju certifikatov na podlagi skupnih meril, bi morali biti tudi podlaga za certificiranje na podlagi EUCC.

(4)

Standardi v zvezi s skupnimi merili in skupno metodologijo ocenjevanja so predmet razlag v okviru dogovora o priznavanju certifikatov na podlagi skupnih meril, ki olajšujejo njihovo izvajanje in jih lahko upoštevajo centri za ocenjevanje varnosti informacijske tehnologije in certifikacijski organi.

(5)

Mednarodni standardi, povezani s skupnimi merili, se lahko posodobijo. Za zagotovitev urejenega in pravočasnega prehoda je primerno opredeliti prehodna pravila, da se prodajalcem, centrom za ocenjevanje varnosti informacijske tehnologije in certifikacijskim organom ter drugim ustreznim akterjem zagotovi dovolj časa za potrebne prilagoditve. Taka prehodna pravila bi morala biti v ustrezni meri usklajena z globalnimi praksami, kot so prakse, ki jih določa dogovor o priznavanju certifikatov na podlagi skupnih meril.

(6)

Izvedbena uredba (EU) 2024/482 ne določa podrobno, do kdaj lahko certifikacija proizvoda IKT temelji na predhodnih različicah standardov v zvezi s skupnimi merili in skupno metodologijo ocenjevanja. Tehnična področja in profili zaščite, navedeni v prilogah I, II in III k navedeni izvedbeni uredbi, temeljijo na prejšnjih različicah standardov ISO/IEC 15408 in 18045. Izvedbena uredba (EU) 2024/482 bi zato morala podrobno določati, v katerih okoliščinah se prejšnja različica skupnih meril in skupne metodologije ocenjevanja še vedno uporablja in kako bo potekal prehod na najnovejšo različico mednarodnih standardov.

(7)

V prehodnem obdobju bi morala biti prednostna naloga ustreznih deležnikov, da se posodobijo ustrezna tehnična področja in profili zaščite. Izvedbena uredba (EU) 2024/482 bi morala določati, da bodo varnostni cilji, ki temeljijo na prejšnji različici standardov, sprejeti do 31. decembra 2027 v skladu s prehodno politiko, ki je bila sprejeta z dogovorom o priznavanju certifikatov na podlagi skupnih meril. Vendar je treba opozoriti, da prehodna politika v zvezi z dogovorom o priznavanju certifikatov na podlagi skupnih meril zajema prvotne ocene proizvodov in profilov zaščite z datumom najpozneje 30. junija 2024, ko se EUCC še ni uporabljala. Poleg tega bi morala Izvedbena uredba (EU) 2024/482 v skladu s prehodno politiko v zvezi z dogovorom o priznavanju certifikatov na podlagi skupnih meril določati, da bodo varnostni cilji, skladni z navedeno izvedbeno uredbo, ki potrjuje skladnost s profili zaščite na podlagi prejšnje različice standardov, sprejeti do 31. decembra 2027. Poleg tega bi moralo biti mogoče uporabiti prejšnjo različico standardov, kadar se na podlagi Izvedbene uredbe (EU) 2024/482 izda nov certifikat v okviru postopka pregleda nacionalnega certifikata, ki se začne v dveh letih od izdaje prvotnega certifikata. To ne bi bilo relevantno za postopek pregleda, ki ne zahteva izdaje novega certifikata v skladu z Izvedbeno uredbo (EU) 2024/482 in pri katerem certifikat ostane veljaven.

(8)

Za zagotovitev urejenega prehoda na najnovejšo različico standardov bi morala Izvedbena uredba (EU) 2024/482 določati posebna prehodna pravila in še naprej omogočati izdajo certifikatov na podlagi navedene izvedbene uredbe, ki potrjuje skladnost s profili zaščite na podlagi prejšnjih različic standardov, ki so bili objavljeni na podlagi dogovora o priznavanju certifikatov na podlagi skupnih meril, kadar se uporaba takih profilov zaščite zahteva v skladu z zakonodajo Unije. To velja za Izvedbeno uredbo Komisije (EU) 2016/799 (3) in Uredbo (EU) št. 910/2014 Evropskega parlamenta in Sveta (4) ter Izvedbeni sklep Komisije (EU) 2016/650 (5).

(9)

V Prilogi I k Izvedbeni uredbi (EU) 2024/482 so navedeni veljavni najsodobnejši dokumenti za ocenjevanje proizvodov IKT in profilov zaščite. Vendar pa v njej ni podrobno določena različica dokumentov. Zato bi bilo treba določiti, katera različica dokumentov se uporablja za certifikate, izdane na podlagi EUCC. Te različice temeljijo na dokumentih, ki jih je potrdila evropska certifikacijska skupina za kibernetsko varnost, pri čemer je bil opravljen nadaljnji pregled njihove vključitve v EUCC. Poleg tega bi bilo treba Prilogo I spremeniti, da se vključijo posodobljeni in novi najsodobnejši dokumenti, potem ko jih potrdi evropska certifikacijska skupina za kibernetsko varnost, s čimer se zagotovi enotna akreditacija organov za ugotavljanje skladnosti na podlagi EUCC. Zahteve za akreditacijo centrov za ocenjevanje varnosti informacijske tehnologije bi bilo treba posodobiti, da se pojasni uporaba meril neodvisnosti in nepristranskosti, za akreditacijo certifikacijskih organov pa bi bilo treba določiti nov najsodobnejši dokument.

(10)

Najsodobnejši dokumenti se lahko dodajo v EUCC ali se posodobijo v okviru dejavnosti vzdrževanja EUCC. Za nove ali posodobljene najsodobnejše dokumente bo morda treba določiti ustrezna prehodna pravila, ki bodo prodajalcem, centrom za ocenjevanje varnosti informacijske tehnologije, certifikacijskim organom in drugim deležnikom omogočala potrebne prilagoditve. Za posodobitev najsodobnejšega dokumenta v zvezi z akreditacijo centrov za ocenjevanje varnosti informacijske tehnologije bi se moral za akreditacije, izdane pred 8. julijem 2025, posodobljeni dokument uporabljati le pri njihovem pregledu, na primer v okviru postopka ocenjevanja ali ponovnega ocenjevanja. Poleg tega bi se moral posodobljeni dokument uporabljati za vse akreditacije za centre za ocenjevanje varnosti informacijske tehnologije, izdane po 8. juliju 2025.

(11)

Dodatni popravki členov 5, 8, 16, 29 in 44 ter Priloge IV Izvedbene uredbe (EU) 2024/482 prispevajo k zagotavljanju enotne in jasne pravne razlage.

(12)

Pravila o priglasitvah organov za ugotavljanje skladnosti bi bilo treba določiti horizontalno za vse sheme na podlagi evropskega certifikacijskega okvira za kibernetsko varnost. Izvedbena uredba Komisije (EU) 2024/3143 (6) zajema taka pravila o priglasitvi. Zato bi bilo treba črtati člena 23 in 24 Izvedbene uredbe (EU) 2024/482 z dnem začetka veljavnosti Izvedbene uredbe 2024/3143.

(13)

Izvedbeno uredbo (EU) 2024/482 bi bilo zato treba ustrezno spremeniti in popraviti.

(14)

Ukrepi iz te uredbe so v skladu z mnenjem odbora, ustanovljenega s členom 66 Uredbe (EU) 2019/881 –

(1)

v členu 2 se točki 1 in 2 nadomestita z naslednjim:

(2)

člen 3 se nadomesti z naslednjim:

(*1)  Izvedbena uredba Komisije (EU) 2016/799 z dne 18. marca 2016 o izvajanju Uredbe (EU) št. 165/2014 Evropskega parlamenta in Sveta za določitev zahtev glede konstrukcije, preskušanja, namestitve, delovanja in popravila tahografov in njihovih sestavnih delov (UL L 139, 26.5.2016, str. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Uredba (EU) št. 910/2014 Evropskega parlamenta in Sveta z dne 23. julija 2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu in o razveljavitvi Direktive 1999/93/ES (UL L 257, 28.8.2014, str. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  Izvedbeni sklep Komisije (EU) 2016/650 z dne 25. aprila 2016 o določitvi standardov za oceno varnosti naprav za ustvarjanje kvalificiranega elektronskega podpisa in žiga v skladu s členoma 30(3) in 39(2) Uredbe (EU) št. 910/2014 Evropskega parlamenta in Sveta o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu (UL L 109, 26.4.2016, str. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).“;"

(3)

v poglavju IV se vstavi naslednji člen 20a:

(4)

člena 23 in 24 se črtata;

(5)

v členu 48 se doda naslednji odstavek 4:

(6)

v členu 49 se doda naslednji odstavek 4:

(7)

Priloga I se nadomesti z besedilom iz Priloge I k tej uredbi;

(8)

Priloga IV se spremeni v skladu s Prilogo II k tej uredbi.

(1)

v členu 5(1) se točka (b) nadomesti z naslednjim:

(2)

člen 8 se popravi:

(3)

člen 16 se nadomesti z naslednjim:

(4)

v členu 17 se črta odstavek 1;

(5)

v členu 29 se odstavek 2 nadomesti z naslednjim: