L_202502462MT.000101.fmx.xml

REGOLAMENT TA’ IMPLIMENTAZZJONI TAL-KUMMISSJONI (UE) 2025/2462

tat-8 ta’ Diċembru 2025

li jemenda r-Regolament ta’ Implimentazzjoni (UE) 2024/482 fir-rigward tad-definizzjonijiet, iċ-ċertifikazzjoni tas-serje ta’ prodotti tal-ICT, il-kontinwità tal-assigurazzjoni, u d-dokumenti tal-aqwa żvilupp tekniku

(Test b’rilevanza għaż-ŻEE)

IL-KUMMISSJONI EWROPEA,

Wara li kkunsidrat it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea,

Wara li kkunsidrat ir-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill tas-17 ta’ April 2019 dwar l-ENISA (l-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà) u dwar iċ-ċertifikazzjoni taċ-ċibersigurtà tat-teknoloġija tal-informazzjoni u tal-komunikazzjoni u li jħassar ir-Regolament (UE) Nru 526/2013 (l-Att dwar iċ-Ċibersigurtà) (1), u b’mod partikolari l-Artikolu 49(7) tiegħu,

Billi:

(1)

Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/482 (2) jispeċifika r-rwoli, ir-regoli u l-obbligi, kif ukoll l-istruttura tal-iskema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà bbażata fuq Kriterji Komuni (EUCC) f’konformità mal-qafas Ewropew taċ-ċertifikazzjoni taċ-ċibersigurtà stabbilit fir-Regolament (UE) 2019/881.

(2)

Il-Metodoloġija tal-Evalwazzjoni Komuni, mehmuża mal-Kriterji Komuni (CC), bħala standard internazzjonali għall-evalwazzjoni tas-sigurtà tal-informazzjoni, tippermetti l-evalwazzjoni tas-sigurtà tal-prodotti tal-ICT għall-finijiet taċ-ċertifikazzjoni. F’dak il-kuntest, xi prodotti tal-ICT jistgħu jinbnew fuq l-istess bażi funzjonali ħalli joffru funzjonalitajiet tas-sigurtà simili fuq pjattaformi jew apparati differenti, imsejħa wkoll serje ta’ prodotti. Madankollu, id-disinn, il-hardware, il-firmware jew is-software jistgħu jvarjaw minn prodott tal-ICT għall-ieħor. Hu f’idejn il-korp taċ-ċertifikazzjoni biex jiddeċiedi abbażi ta’ każ b’każ jekk tistax issir ċertifikazzjoni ta’ serje ta’ prodotti. Il-kundizzjonijiet għaċ-ċertifikazzjoni ta’ serje ta’ prodotti jistgħu jintwerew ulterjorment li jappoġġaw il-linji gwida tal-EUCC.

(3)

Biex tinżamm l-affidabbiltà tal-prodotti ċċertifikati, hu essenzjali li jiġi ddefinit x’jikkostitwixxi bidla maġġuri u minuri fil-mira ta’ evalwazzjoni jew tal-ambjent tagħha, inkluż fl-ambjenti operazzjonali jew tal-iżvilupp tagħha. Għalhekk, jeħtieġ jiġu speċifikati dawk il-kunċetti li jikkunsidraw speċifikazzjonijiet tekniċi eżistenti u użati b’mod wiesa’ mill-Grupp tal-Uffiċjali Għoljin dwar is-Sigurtà tas-Sistemi tal-Informazzjoni (SOG-IS) u mill-parteċipanti tal-Arranġamenti dwar ir-Rikonoxximent taċ-Ċertifikati ta’ Kriterji Komuni fil-qasam tas-Sigurtà tal-IT (CCRA).

(4)

Bidliet minuri spiss ikunu kkaratterizzati mill-effett limitat tagħhom fuq id-dikjarazzjoni tal-assigurazzjoni tal-prodott ipprovduta miċ-ċertifikat tal-EUCC maħruġ. Għalhekk, bidliet minuri jenħtieġ li jiġu ġestiti skont il-proċeduri tal-manutenzjoni u ma jeħtiġux evalwazzjoni mill-ġdid tal-funzjonalitajiet tas-sigurtà tal-prodott. Fost l-eżempji ta’ bidliet minuri li jenħtieġ li jiġu indirizzati b’manutenzjoni hemm, iżda mhumiex limitati għal, bidliet editorjali, bidliet fil-mira ta’ ambjent ta’ evalwazzjoni li ma jimmodifikawx il-mira ċċertifikata ta’ evalwazzjoni, u bidliet fil-mira ċċertifikata ta’ evalwazzjoni li ma jaffettwawx l-evidenza tal-assigurazzjoni. Anki l-bidliet fl-ambjent tal-iżvilupp jistgħu jitqiesu bħala minuri, diment li ma jkunux iħallu impatt konsegwenzjali fuq il-miżuri tal-assigurazzjoni eżistenti. Iżda f’xi każijiet dawn jaf ikunu jeħtieġu evalwazzjoni parzjali tal-miżuri rilevanti.

(5)

Bidla maġġuri hi kull bidla fil-mira ċċertifikata ta’ evalwazzjoni jew fl-ambjent tagħha li tista’ tħalli impatt negattiv fuq l-assigurazzjoni espressa fiċ-ċertifikat tal-EUCC, u għalhekk ikun jenħtieġ li ssir evalwazzjoni mill-ġdid. Fost l-eżempji ta’ bidliet maġġuri hemm, iżda mhumiex limitati għal, bidliet fis-sett tar-rekwiżiti tal-assigurazzjoni ddikjarati, ħlief ir-rekwiżiti tal-assigurazzjoni tal-familja CC ALC_FLR (Rimedju għal difett); bidliet fil-kontrolli tal-kunfidenzjalità jew tal-integrità tal-ambjent tal-iżvilupp, meta dawn il-modifiki jaf jaffettwaw l-iżvilupp jew il-produzzjoni siguri tal-mira ta’ evalwazzjoni, jew bidliet fil-mira ta’ evalwazzjoni biex tissolva xi vulnerabbiltà li tista’ tiġi sfruttata. Barra minn hekk, anki għadd ta’ bidliet minuri li kollettivament iħallu impatt sinifikanti fuq is-sigurtà jista’ jikkwalifika bħala bidla maġġuri. Hu importanti wkoll li jiġi rikonoxxut li filwaqt li tneħħija ta’ bug tista’ taffettwa biss aspett speċifiku tal-mira ta’ evalwazzjoni, l-imprevedibbiltà u l-impatt potenzjali tagħha fuq l-assigurazzjoni jistgħu jagħmluha bidla maġġuri jekk din tkun tikkomprometti l-assigurazzjonijiet tas-sigurtà pprovduti miċ-ċertifikazzjoni.

(6)

Il-bidliet fl-ambjent tat-theddid ta’ prodott tal-ICT iċċertifikat mhux mibdul jaf ikunu jeħtieġu rivalutazzjoni. L-eżiti possibbli ta’ tali proċess tar-rivalutazzjoni jenħtieġ li jiġu stabbiliti b’mod ċar, b’mod partikolari l-impatt tiegħu fuq iċ-ċertifikat tal-EUCC. Jekk rivalutazzjoni titlesta b’suċċess, il-korp taċ-ċertifikazzjoni jenħtieġ li jikkonferma ċ-ċertifikat jew joħroġ ċertifikat ġdid b’data tal-iskadenza estiża. Jekk proċess tar-rivalutazzjoni ma jkunx suċċess, il-korp taċ-ċertifikazzjoni jenħtieġ li jirtira ċ-ċertifikat u possibbilment joħroġ ċertifikat ġdid b’ambitu differenti. Tali dispożizzjonijiet jenħtieġ li japplikaw mutatis mutandis għar-rivalutazzjoni tal-profili tal-protezzjoni.

(7)

L-Anness I tar-Regolament ta’ Implimentazzjoni (UE) 2024/482 jelenka d-dokumenti tal-aqwa żvilupp tekniku applikabbli għall-evalwazzjoni tal-prodotti tal-ICT u tal-profili tal-protezzjoni. Dawk id-dokumenti tal-aqwa żvilupp tekniku jenħtieġ li jiġu aġġornati biex ikunu jirriflettu l-aħħar żviluppi, bħal dawk relatati mal-iżviluppi teknoloġiċi, ix-xenarju tat-theddid ċibernetiku, il-prattiki tal-industrija jew standards internazzjonali. Dan l-aġġornament hu speċjalment ideali għad-dokumenti tal-aqwa żvilupp tekniku relatati mar-rekwiżiti minimi tas-sigurtà tas-sit, l-applikazzjoni tal-potenzjali ta’ attakk fuq kards intelliġenti, l-applikazzjoni tal-potenzjali ta’ attakk fuq apparati tal-hardware bil-kaxxi tas-sigurtà, l-applikazzjoni ta’ kriterji komuni għaċ-ċirkwiti integrati, u l-evalwazzjoni ta’ prodott kompost għall-kards intelliġenti u apparat simili. Barra minn hekk, id-dokumenti tal-aqwa żvilupp tekniku relatati mal-evalwazzjoni u ċ-ċertifikazzjoni tal-prodott kompost permezz tal-aħħar verżjoni tal-istandards tal-Kriterji Komuni, l-użu mill-ġdid tar-riżultati ta’ evalwazzjoni tal-awditi tas-siti u l-kjarifiki rigward l-interpretazzjoni tal-profili tal-protezzjoni relatati ma’ apparat għall-ħolqien ta’ firem elettroniċi kwalifikati, takografi u moduli tas-sigurtà tal-hardware mhumiex inklużi. Biex tkun żgurata evalwazzjoni uniformi tal-prodotti tal-ICT skont l-EUCC, l-Anness I jenħtieġ li jiġi emendat biex ikun jinkludi dawk id-dokumenti tal-aqwa żvilupp tekniku, aġġornati u ġodda wara l-approvazzjoni tagħhom mill-Grupp Ewropew taċ-Ċertifikazzjoni taċ-Ċibersigurtà (ECCG).

(8)

Barra minn hekk, mal-iskema jenħtieġ li jiżdied id-dokument tal-aqwa żvilupp tekniku “ADV_SPM.1 interpretation for CC:2022 transition” biex ikun żgurat li l-proċessi taċ-ċertifikazzjoni bbażati fuq profili tal-protezzjoni speċifiċi jkunu jistgħu jkomplu jużaw immudellar formali (ADV_SPM.1) sakemm jiġu aġġornati il-profili tal-protezzjoni korrispondenti, pereżempju biż-żieda ta’ profil tal-protezzjoni ta’ multi-assigurazzjoni konformanti ta’ CC:2022 li jappoġġa ADV_SPM.1. Biex is-suq jingħata biżżejjed żmien ħalli jagħmel it-tranżizzjoni lejn l-istandards aġġornati tal-Kriterji Komuni, jeħtieġ jiġu previsti regoli speċifiċi ta’ tranżizzjoni għall-profili tal-protezzjoni: Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, jew Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020. Biex ikun evitat it-tfixkil fis-suq, jixraq jiġi stabbilit li d-dokument tal-aqwa żvilupp tekniku dwar l-interpretazzjoni ADV_SPM.1 għal tranżizzjoni CC:2022 ikun applikabbli għall-proċessi taċ-ċertifikazzjoni mibdija qabel l-adozzjoni ta’ dan ir-Regolament. Iżda l-applikazzjoni ta’ dan id-dokument jenħtieġ li tkun strettament limitata għal dak meħtieġ, meta jitqies iż-żmien li hemm bżonn biex jiġi ffinalizzat l-aġġornament tal-profili tal-protezzjoni korrispondenti. B’mod aktar preċiż, għall-proċessi taċ-ċertifikazzjoni li jużaw profili tal-protezzjoni Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, jew Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, id-dokument tal-aqwa żvilupp tekniku jenħtieġ li japplika għal dawk il-proċessi mibdija qabel l-1 ta’ Ottubru 2026. Għall-proċessi taċ-ċertifikazzjoni li jużaw il-profil tal-protezzjoni Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, id-dokument tal-aqwa żvilupp tekniku jenħtieġ li japplika biss għal dawk il-proċessi mibdija qabel id-data tad-dħul fis-seħħ ta’ dan ir-Regolament, peress li diġà teżisti verżjoni ġdida tal-profil tal-protezzjoni Java Card System – Open Configuration.

(9)

Bidla fid-dokumenti tal-aqwa żvilupp tekniku tul proċess taċ-ċertifikazzjoni tista’ tfixkel l-evalwazzjoni tal-prodott u ddewwem il-ħruġ taċ-ċertifikat. Għalhekk, hemm bżonn regoli ta’ tranżizzjoni xierqa għal dokumenti tal-aqwa żvilupp tekniku ġodda jew aġġornati, biex il-bejjiegħa, l-ITSEFs, il-korpi taċ-ċertifikazzjoni u partijiet ikkonċernati oħra jkunu jistgħu jagħmlu l-aġġustamenti meħtieġa. Id-dokumenti tal-aqwa żvilupp tekniku aġġornati u ġodda applikabbli jenħtieġ li jikkonċernaw l-applikazzjonijiet għal ċertifikazzjoni, inkluż l-applikazzjonijiet għal rivalutazzjoni u evalwazzjoni mill-ġdid, filwaqt li l-proċessi taċ-ċertifikazzjoni li għaddejjin bħalissa jenħtieġ li jkunu jistgħu jibqgħu jużaw verżjonijiet preċedenti tad-dokumenti tal-aqwa żvilupp tekniku.

(10)

L-Anness II u l-Anness III tar-Regolament ta’ Implimentazzjoni (UE) 2024/482 jelenkaw rispettivament il-profili tal-protezzjoni ċċertifikati fil-livell 4 jew 5 tal-AVA_VAN u l-profili tal-protezzjoni rakkomandati. Diversi referenzi mhumiex kompluti jew saru obsoliti, minħabba xi aġġornament tal-profili tal-protezzjoni. Jenħtieġ li dawk ir-referenzi jimtlew u, barra minn hekk, jenħtieġ li jiġu inklużi referenzi ġodda biex tkun żgurata kopertura aktar komprensiva taċ-ċirkwiti integrati siguri, tal-kards intelliġenti, u tal-apparati u l-computing ta’ fiduċja relatati.

(11)	Jeħtieġ isiru emendi fl-Artikolu 19 tar-Regolament ta’ Implimentazzjoni (UE) 2024/482 biex jiġi ċċarat li l-Anness IV japplika, bil-bidliet meħtieġa, għar-rieżami taċ-ċertifikati tal-EUCC għall-profili tal-protezzjoni.

(12)	Fid-dawl tal-fatt li l-mira tas-sigurtà hi element ewlieni biex jinftiehem l-ambitu ta’ proċess taċ-ċertifikazzjoni, l-ENISA jeħtiġilha wkoll tippubblika l-mira tas-sigurtà li tikkorrispondi għal kull ċertifikat tal-EUCC fuq is-sit web tagħha.

(13)

Barra minn hekk, il-korpi taċ-ċertifikazzjoni jenħtieġ li jipprovdu lill-ENISA verżjoni bl-Ingliż tal-mira tas-sigurtà u r-rapport taċ-ċertifikazzjoni biex l-aġenzija tkun tista’ tagħmel dik l-informazzjoni disponibbli bl-Ingliż fuq is-sit web korrispondenti, skont l-Artikolu 42(2) tar-Regolament ta’ Implimentazzjoni (UE) 2024/482. Għal dik ir-raġuni, l-applikanti għaċ-ċertifikazzjoni jenħtieġ li jipprovdu lill-korpi taċ-ċertifikazzjoni verżjoni bl-Ingliż tal-mira tas-sigurtà, kull meta jintalbu jagħmlu dan.

(14)

M’hemmx bżonn li r-referenza għall-isem tal-korp taċ-ċertifikazzjoni tidher fl-identifikazzjoni unika taċ-ċertifikat għax in-numru tal-identifikazzjoni tal-korp taċ-ċertifikazzjoni hu biżżejjed biex jidentifika dan il-korp b’mod uniku. Lanqas ix-xahar tal-ħruġ m’għandu għalfejn jidher għax l-għadd taċ-ċertifikati jsir fuq bażi annwali. Għalhekk, jenħtieġ li dak ir-rekwiżit jitħassar għal finijiet ta’ simplifikazzjoni. Peress li s-sena tal-ħruġ taċ-ċertifikat tikkorrispondi għall-ħruġ tal-ewwel ċertifikat, dik l-istess data jenħtieġ li tidher fl-identifikazzjoni unika fuq iċ-ċertifikati maħruġa wara rieżami, biex tiġi żgurata t-traċċabbiltà.

(15)	Għalhekk ir-Regolament ta’ Implimentazzjoni (UE) 2024/482 jenħtieġ li jiġi emendat skont dan.

(16)	Il-miżuri previsti f’dan ir-Regolament huma f’konformità mal-opinjoni tal-Kumitat stabbilit bl-Artikolu 66 tar-Regolament (UE) 2019/881,

ADOTTAT DAN IR-REGOLAMENT:

Artikolu 1

Ir-Regolament ta’ Implimentazzjoni (UE) 2024/482 huwa emendat kif ġej:

(1)

fl-Artikolu 2, jiżdiedu l-punti (16), (17) u (18) li ġejjin:

“(16)

“serje ta’ prodotti” tfisser sett ta’ prodotti tal-ICT minn applikant, mibnija fuq l-istess bażi funzjonali biex jiġu indirizzati l-istess ħtiġijiet tas-sigurtà, li jkollhom disinn, hardware, firmware jew software li jistgħu jvarjaw minn prodott tal-ICT għall-ieħor;

(17)	“bidla minuri” tfisser kwalunkwe bidla fil-mira ċċertifikata ta’ evalwazzjoni jew fl-ambjent tagħha li ma taffettwax b’mod negattiv l-assigurazzjoni espressa fiċ-ċertifikat tal-EUCC;

(18)	“bidla maġġuri” tfisser kwalunkwe bidla fil-mira ċċertifikata ta’ evalwazzjoni jew fl-ambjent tagħha li tista’ tħalli impatt negattiv fuq l-assigurazzjoni espressa fiċ-ċertifikat tal-EUCC.”;

(2)	fl-Artikolu 5 jiżdied il-paragrafu 3 li ġej: “3. Korp taċ-ċertifikazzjoni jista’ jippermetti ċ-ċertifikazzjoni ta’ serje ta’ prodotti.” ;

(3)

fl-Artikolu 9, il-paragrafu 2, il-punt (a) huwa sostitwit b’dan li ġej:

“(a)	li l-korp taċ-ċertifikazzjoni u l-ITSEF jingħataw l-informazzjoni sħiħa u korretta kollha meħtieġa, u li tiġi pprovduta l-informazzjoni addizzjonali meħtieġa jekk tintalab, inkluż verżjoni bl-Ingliż tal-mira tas-sigurtà;”;

(4)

fl-Artikolu 11, il-paragrafu 3, il-punt (b) huwa sostitwit b’dan li ġej:

“(b)

l-identifikazzjoni unika taċ-ċertifikat, li tikkonsisti minn:

(1)	isem l-iskema;

(2)	in-numru tal-identifikazzjoni, f’konformità mal-Artikolu 3 tar-Regolament ta’ Implimentazzjoni (UE) 2024/3143, tal-korp taċ-ċertifikazzjoni li jkun ħareġ iċ-ċertifikat;

(3)	is-sena tal-ħruġ taċ-ċertifikat inizjali;

(4)	in-numru tal-identifikazzjoni assenjat mill-korp taċ-ċertifikazzjoni li jkun ħareġ iċ-ċertifikat.”;

(5)

fl-Artikolu 19, il-paragrafu 1 huwa sostitwit b’dan li ġej:

“1. Meta jintalab mid-detentur taċ-ċertifikat jew għal raġunijiet ġustifikati oħra, il-korp taċ-ċertifikazzjoni jista’ jiddeċiedi li jwettaq rieżami taċ-ċertifikat tal-EUCC għal profil tal-protezzjoni. Ir-rieżami għandu jsir f’konformità mal-Anness IV. Il-korp taċ-ċertifikazzjoni għandu jiddetermina l-firxa tar-rieżami. Meta jkun meħtieġ għar-rieżami, il-korp taċ-ċertifikazzjoni għandu jitlob lill-ITSEF tagħmel evalwazzjoni mill-ġdid tal-profil tal-protezzjoni ċċertifikat.”

;

(6)

l-Artikolu 42 huwa emendat kif ġej:

(a)

fil-paragrafu 1 jiżdied il-punt (i) li ġej:

“(i)	il-mira tas-sigurtà li tikkorrispondi għal kull ċertifikat tal-EUCC;”;

(b)

il-paragrafu 2 huwa sostitwit b’dan li ġej:

“2. L-informazzjoni msemmija fil-paragafu 1 għandha tkun disponibbli mqar bl-Ingliż. Għal dak il-għan, il-korpi taċ-ċertifikazzjoni għandhom jipprovdu lill-ENISA verżjonijiet lingwistiċi oriġinali tar-rapporti taċ-ċertifikazzjoni u l-miri tas-sigurtà, u barra minn hekk għandhom jipprovdu wkoll il-verżjoni bl-Ingliż ta’ tali dokumenti mingħajr dewmien żejjed.”

;

(7)

fl-Artikolu 48, il-paragrafu 4 huwa sostitwit b’dan li ġej:

“4. Sakemm ma jkunx speċifikat mod ieħor fl-Annessi I jew II, id-dokumenti tal-aqwa żvilupp tekniku għandhom japplikaw għall-proċessi taċ-ċertifikazzjoni, inkluż għar-rivalutazzjoni u l-evalwazzjoni mill-ġdid, mibdija mid-data tal-applikazzjoni tal-att emendatorju li bih, id-dokumenti tal-aqwa żvilupp tekniku ġew inkorporati fl-Anness I jew II.”

;

(8)	l-Anness I huwa sostitwit bit-test tal-Anness I ta’ dan ir-Regolament;

(9)	l-Anness II huwa sostitwit bit-test tal-Anness II ta’ dan ir-Regolament;

(10)	l-Anness III huwa sostitwit bit-test tal-Anness III ta’ dan ir-Regolament;

(11)	l-Anness IV huwa emendat f’konformità mal-Anness IV ta’ dan ir-Regolament;

(12)	l-Anness V huwa emendat f’konformità mal-Anness V ta’ dan ir-Regolament;

(13)	l-Anness IX huwa sostitwit bit-test tal-Anness VI ta’ dan ir-Regolament.

Artikolu 2

Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.

Dan ir-Regolament għandu jorbot fl-intier tiegħu u japplika direttament fl-Istati Membri kollha.

Magħmul fi Brussell, it-8 ta’ Diċembru 2025.

Għall-Kummissjoni

Il-President

Ursula VON DER LEYEN

(1) ĠU L 151, 7.6.2019, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj.

(2) Ir-Regolament ta’ Implimentazzjoni tal-Kummissjoni (UE) 2024/482 tal-31 ta’ Jannar 2024 li jistabbilixxi r-regoli għall-applikazzjoni tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill fir-rigward tal-adozzjoni tal-iskema Ewropea taċ-ċertifikazzjoni taċ-ċibersigurtà bbażata fuq il-Kriterji Komuni (EUCC) (ĠU L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

ANNESS I

“ANNESS I

Dokumenti tal-aqwa żvilupp tekniku li jappoġġaw dominji tekniċi u dokumenti tal-aqwa żvilupp tekniku oħra

Dokumenti tal-aqwa żvilupp tekniku li jappoġġaw dominji tekniċi fil-livell 4 jew 5 ta’ AVA_VAN:

(a)

id-dokumenti li ġejjin relatati mal-evalwazzjoni armonizzata tad-dominju tekniku “kards intelliġenti u apparati simili”:

(1)	“Minimum ITSEF requirements for security evaluations of smart cards and similar devices”, il-verżjoni 1.1;

(2)	“Minimum Site Security Requirements”, il-verżjoni 2;

(3)	“Reusing evaluation results of site audits (STAR)”, il-verżjoni 1;

(4)	“Application of Common Criteria to integrated circuits”, il-verżjoni 2;

(5)	“Security Architecture requirements (ADV_ARC) for smart cards and similar devices”, il-verżjoni 1.1;

(6)	“Certification of ‘open’ smart card products”, il-verżjoni 1.1;

(7)	“Composite product evaluation for smart cards and similar devices for CC3.1”, il-verżjoni 2;

(8)	“Composite product evaluation and certification for CC:2022”, il-verżjoni 1;

(9)	“Application of Attack Potential to Smartcards and Similar Devices”, il-verżjoni 2;

(10)	“Security Evaluation and Certification of Qualified Electronic Signature/Seal Creation Devices”, il-verżjoni 1;

(11)

“ADV_SPM.1 interpretation for CC:2022 transition”, il-verżjoni 1.1, applikabbli għall-proċessi taċ-ċertifikazzjoni li jużaw il-profili tal-protezzjoni kif ġej:

(a)	il-profili tal-protezzjoni Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014, jew Java Card System — Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, mibdija qabel l-1 ta’ Ottubru 2026

(b)	il-profili tal-protezzjoni Java Card System — Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, mibdija qabel id-29 ta’ Diċembru 2025.

(b)

id-dokumenti li ġejjin relatati mal-evalwazzjoni armonizzata tad-dominju tekniku “apparati tal-hardware bil-kaxxi tas-sigurtà”:

(1)	“Minimum ITSEF requirements for security evaluations of hardware devices with security boxes”, il-verżjoni 1.1;

(2)	“Minimum Site Security Requirements”, il-verżjoni 2;

(3)	“Reusing evaluation results of site audits (STAR)”, il-verżjoni 1;

(4)	“Application of Attack Potential to hardware devices with security boxes”, il-verżjoni 2;

(5)	“Hardware assessment in EN 419221-5 (HSM PP)”, il-verżjoni 1;

(6)	“JIL Tachograph MS PP Clarification”, il-verżjoni 1.

Dokumenti tal-aqwa żvilupp tekniku relatati mal-akkreditazzjoni armonizzata tal-korpi tal-valutazzjoni tal-konformità:

(a)	“Accreditation of ITSEFs for the EUCC”, il-verżjoni 1.1 għall-akkreditazzjonijiet maħruġa qabel it-8 ta’ Lulju 2025;

(b)	“Accreditation of ITSEFs for the EUCC”, il-verżjoni 1.6c, għall-akkreditazzjonijiet maħruġa ġodda jew rieżaminati wara t-8 ta’ Lulju 2025;

(c)	“Accreditation of CBs for the EUCC”, il-verżjoni 1.6b.

”

ANNESS III

“ANNESS III

Profili tal-protezzjoni rakkomandati

Profili tal-protezzjoni użati fiċ-ċertifikazzjoni ta’ prodotti tal-ICT, inkluż prodotti fid-dominji tekniċi:

Kards intelliġenti u apparati simili

(a)

passaport:

(1)	PP Machine Readable Travel Document with “ICAO Application” Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

(2)	PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

(3)	PP Machine Readable Travel Document with “ICAO Application” Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

(b)

Apparati għall-Ħolqien ta’ Firem Siguri (SSCD):

(1)	EN 419211-2:2013 — Protection profiles for secure signature creation device - il-Parti 2: Device with key generation (v1.03), BSI-CC-PP-0059-2009-MA-02;

(2)	EN 419211-3:2013 — Protection profiles for secure signature creation device - il-Parti 3: Device with key import (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

(3)	EN 419211-4:2013 — Protection profiles for secure signature creation device - il-Parti 4: Extension for device with key generation and trusted channel to certificate generation application (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

(4)	EN 419211-5:2013 — Protection profiles for secure signature creation device - il-Parti 5: Extension for device with key generation and trusted channel to signature creation application (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

(5)	EN 419211-6:2014 — Protection profiles for secure signature creation device - il-Parti 6: Extension for device with key import and trusted channel to signature creation application (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

(c)	takografu: Digital Tachograph — Tachograph Card (TC PP) (v1.0), BSI-CC-PP-0091-2017;

(d)

ċirkwiti integrati (ICs) siguri, pjattaforma tal-Java Cards u kards taċ-ċirkwiti integrati universali inkorporati (eUICCs):

(1)	Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic u SCWS);

(2)	Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

(3)	Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

(4)	Cryptographic Service Provider — CSP (v0.9.8), BSI-CC-PP-0104-2019;

(5)	Cryptographic Service Provider — Time Stamp Service and Audit (PPC-CSP-TS-Au), il-verżjoni 0.9.5, BSI-CC-PP-0107-2019;

(6)	Configuration Cryptographic Service Provider — Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl), il-verżjoni 0.9.4, BSI-CC-PP-0108-2019;

(7)	Java Card System — Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

(8)	Secure Element Protection Profile — GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

(9)	Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

(10)	Java Card System — Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

(11)	Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

(e)	Modulu ta’ Pjattaforma Fdata: Protection Profile PC Client Specific Trusted Platform Module Specification Family 2.0; tal-livell 0; reviżjoni 1.59 (v1.3), ANSSI-CC-PP-2021/02.

Apparati tal-Hardware bil-Kaxxi tas-Sigurtà

(a)

punti tal-interazzjoni (tal-pagamenti) u terminals tal-pagament (POI):

(1)	Point of Interaction “POI-CHIP-ONLY” (v4.0), ANSSI-CC-PP-2015/01;

(2)	Point of Interaction “POI-CHIP-ONLY and Open Protocol Package” (v4.0), ANSSI-CC-PP-2015/02;

(3)	Point of Interaction “POI-COMPREHENSIVE" (v4.0), ANSSI-CC-PP-2015/03;

(4)	Point of Interaction “POI-COMPREHENSIVE and Open Protocol Package” (v4.0), ANSSI-CC-PP-2015/04;

(5)	Point of Interaction “POI-CHIP-ONLY” (v4.0), ANSSI-CC-PP-2015/05;

(6)	Point of Interaction “POI-CHIP-ONLY and Open Protocol Package” (v4.0), ANSSI-CC-PP-2015/06;

(b)

Modulu tas-Sigurtà tal-Hardware:

(1)	Cryptographic Module for CSP Signing Operations with Backup — PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

(2)	Cryptographic Module for CSP Key Generation Services — PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

(3)	Cryptographic Module for CSP Signing Operations without Backup — PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

(c)

takografu:

(1)	Digital Tachograph — Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

(2)	Digital Tachograph — Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

(3)	Digital Tachograph — External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

3.	Oħrajn: Trusted Execution Environment Protection Profile — GPD_SPE_021 (v1.3), ANSSI-CC-PP-2014/01-M02.

”.

ANNESS V

Il-punt V.1 tal-Anness V tar-Regolament ta’ Implimentazzjoni (UE) 2024/482 huwa sostitwit b’dan li ġej:

“V.1 Rapport taċ-ċertifikazzjoni

Abbażi tar-rapporti tekniċi tal-evalwazzjoni pprovduti mill-ITSEF, il-korp taċ-ċertifikazzjoni jistabbilixxi rapport taċ-ċertifikazzjoni li jrid jiġi ppubblikat flimkien maċ-ċertifikat tal-EUCC korrispondenti.

Ir-rapport taċ-ċertifikazzjoni hu s-sors ta’ informazzjoni dettaljata u prattika dwar il-prodott tal-ICT u dwar l-użu sigur tal-prodott tal-ICT. Għalhekk, għandu jinkludi l-informazzjoni kollha disponibbli pubblikament u kondividibbli li tkun rilevanti għall-utenti u l-partijiet interessati. L-informazzjoni disponibbli pubblikament u kondividibbli tista’ tiġi referenzjata fir-rapport taċ-ċertifikazzjoni.

Ir-rapport taċ-ċertifikazzjoni għandu jinkludi mqar l-informazzjoni li ġejja:

(a)	sommarju eżekuttiv;

(b)	identifikazzjoni tal-prodott tal-ICT;

(c)	informazzjoni tal-kuntatt relatata mal-evalwazzjoni tal-prodott tal-ICT;

(d)	politiki tas-sigurtà;

(e)	suppożizzjonijiet u kjarifika tal-ambitu;

(f)	informazzjoni arkitettonika;

(g)	informazzjoni supplimentari dwar iċ-ċibersigurtà, jekk applikabbli;

(h)	sommarju tal-evalwazzjoni tal-prodott tal-ICT u l-konfigurazzjoni evalwata;

(i)	riżultati tal-evalwazzjoni u informazzjoni dwar iċ-ċertifikat;

(j)	kummenti u rakkomandazzjonijiet, jekk applikabbli;

(k)	annessi, jekk applikabbli;

(l)	referenza għall-mira tas-sigurtà tal-prodott tal-ICT ippreżentat għaċ-ċertifikazzjoni;

(m)	meta disponibbli, il-marka jew it-tikketta assoċjati mal-iskema;

(n)	glossarju, jekk applikabbli;

(o)	biblijografija.

Is-sommarju eżekuttiv imsemmi fil-paragrafu 3, il-punt (a), għandu jkun sommarju qasir tar-rapport taċ-ċertifikazzjoni kollu. Għandu jagħti ħarsa ġenerali ċara u konċiża tar-riżultati tal-evalwazzjoni u għandu jinkludi l-informazzjoni li ġejja:

(a)	isem il-prodott tal-ICT evalwat;

(b)	isem l-ITSEF li tkun wettqet l-evalwazzjoni;

(c)	id-data tat-tlestija tal-evalwazzjoni;

(d)	id-data tal-ħruġ taċ-ċertifikat;

(e)	meta applikabbli, id-data tal-ħruġ taċ-ċertifikat inizjali;

(f)	il-perjodu tal-validità;

(g)	l-identifikazzjoni unika taċ-ċertifikat kif deskritta fl-Artikolu 11;

(h)

deskrizzjoni qasira tar-riżultati tar-rapport taċ-ċertifikazzjoni, inkluż:

(i)	il-verżjoni u, jekk applikabbli, ir-rilaxx tal-Kriterji Komuni applikati għall-evalwazzjoni;

(ii)	il-pakkett tal-assigurazzjoni tal-Kriterji Komuni jew lista tal-komponenti tal-assigurazzjoni tas-sigurtà, il-livell AVA_VAN applikat waqt l-evalwazzjoni, u l-livell tal-assigurazzjoni korrispondenti kif stabbilit fl-Artikolu 52 tar-Regolament (UE) 2019/881 li jirreferi għalih iċ-ċertifikat EUCC;

(iii)

meta applikabbli, il-Profil(i) tal-Protezzjoni li magħhom il-prodott tal-ICT qed jiddikjara konformità;

(iv)	referenza għall-politika tas-sigurtà tal-prodott tal-ICT evalwat;

(v)	ċaħda/ċaħdiet ta’ responsabbiltà, jekk applikabbli.

L-identifikazzjoni msemmija fil-paragrafu 3, il-punt (b), għandha tidentifika b’mod ċar il-prodott tal-ICT evalwat, inkluż l-informazzjoni li ġejja:

(a)	l-identifikazzjoni unika tal-prodott tal-ICT evalwat;

(b)	in-numerazzjoni tal-komponenti tal-prodott tal-ICT li jkunu parti mill-evalwazzjoni bin-numru tal-verżjoni ta’ kull komponent;

(c)	referenza għar-rekwiżiti addizzjonali għall-ambjent operazzjonali tal-prodott tal-ICT iċċertifikat.

L-informazzjoni tal-kuntatt imsemmija fil-paragrafu 3, il-punt (c) għandha tinkludi mqar l-informazzjoni li ġejja:

(a)	isem l-iżviluppatur;

(b)	isem u informazzjoni tal-kuntatt tad-detentur taċ-ċertifikat tal-EUCC;

(c)	isem il-korp taċ-ċertifikazzjoni li joħroġ iċ-ċertifikat;

(d)	l-awtorità nazzjonali taċ-ċertifikazzjoni taċ-ċibersigurtà responsabbli;

(e)	isem l-ITSEF li wettqet l-evalwazzjoni u, meta applikabbli, il-lista tas-sottokuntratturi.

Il-politika tas-sigurtà msemmija fil-paragrafu 3, il-punt (d), għandha tinkludi d-deskrizzjoni tal-politika tas-sigurtà tal-prodott tal-ICT bħala ġabra ta’ servizzi tas-sigurtà u l-politiki jew ir-regoli li l-prodott tal-ICT evalwat għandu jinforza jew jikkonforma magħhom. Għandha tinkludi wkoll l-informazzjoni li ġejja:

(a)	deskrizzjoni tal-proċeduri tal-ġestjoni tal-vulnerabbiltajiet u ta’ divulgazzjoni tal-vulnerabbiltajiet tad-detentur taċ-ċertifikat, li għandha timtela biss b’informazzjoni li tista’ ssir disponibbli pubblikament;

(b)	il-politika tal-kontinwità tal-assigurazzjoni tad-detentur taċ-ċertifikat, inkluż, meta applikabbli, id-deskrizzjoni tal-ġestjoni taċ-ċiklu tal-ħajja jew tal-proċessi tal-produzzjoni tad-detentur taċ-ċertifikat f’konformità mat-Taqsima IV.1 tal-Anness IV;

(c)	meta applikabbli, il-preżenza ta’ proċedura ta’ ġestjoni tal-patches u tal-eżitu tal-valutazzjoni tagħha f’konformità mat-Taqsima IV.4 tal-Anness IV.

Is-suppożizzjonijiet u l-kjarifika tal-ambitu msemmija fil-paragrafu 3, il-punt (e), għandu jkun fihom informazzjoni dwar iċ-ċirkostanzi u l-objettivi relatati mal-użu maħsub tal-prodott kif imsemmi fl-Artikolu 7(1), il-punt (c) u għandhom jinkludu dawn li ġejjin:

(a)	suppożizzjonijiet dwar l-użu u t-tħaddim tal-prodott tal-ICT fil-forma ta’ rekwiżiti minimi, bħal installazzjoni u konfigurazzjoni xierqa u r-rekwiżiti tal-hardware li qed jiġu ssodisfati;

(b)	suppożizzjonijiet dwar l-ambjent għall-operazzjoni konformi tal-prodott tal-ICT;

(c)	deskrizzjoni ta’ kwalunkwe theddida għall-prodott tal-ICT li ma tkunx indirizzata mill-funzjonijiet tas-sigurtà evalwati tal-prodott skont l-użu maħsub, jekk titqies rilevanti għal utent potenzjali tal-prodott tal-ICT.

L-informazzjoni msemmija fl-ewwel subparagrafu għandha tkun ċara u tinftiehem kemm jista’ jkun possibbli biex l-utenti potenzjali tal-prodott tal-ICT iċċertifikat ikunu jistgħu jieħdu deċiżjonijiet infurmati dwar ir-riskji assoċjati mal-użu tiegħu.

L-informazzjoni arkitettonika msemmija fil-paragrafu 3, il-punt (f), għandha tinkludi deskrizzjoni ta’ livell għoli tal-prodott tal-ICT u tal-komponenti prinċipali tiegħu, abbażi tar-riżultati definiti fil-familja tal-assigurazzjoni tal-Kriterji Komuni: Development — TOE Design (ADV_TDS).

10.

L-informazzjoni supplimentari dwar iċ-ċibersigurtà msemmija fil-paragrafu 3, il-punt (g), għandha tinkludi l-link għas-sit web tad-detentur taċ-ċertifikat tal-EUCC imsemmi fl-Artikolu 55 tar-Regolament (UE) 2019/881.

11.

L-evalwazzjoni u l-konfigurazzjoni tal-prodott tal-ICT imsemmija fil-paragrafu 3, il-punt (h), għandhom jiddeskrivu l-isforz tal-ittestjar kemm tal-iżviluppatur kif ukoll tal-evalwatur, billi jiddeskrivu l-approċċ, il-konfigurazzjoni u l-profondità tal-ittestjar. Għandhom jinkludu mqar l-informazzjoni li ġejja:

(a)	identifikazzjoni tal-komponenti tal-assigurazzjoni użati mill-istandards imsemmija fl-Artikolu 3;

(b)	il-verżjoni tad-dokumenti tal-aqwa żvilupp tekniku u l-kriterji tal-evalwazzjoni tas-sigurtà ulterjuri użati fl-evalwazzjoni;

(c)	is-settings u l-konfigurazzjoni tal-mira ta’ evalwazzjoni (TOE) użati għall-ittestjar u l-analiżi tal-vulnerabbiltajiet;

(d)	kwalunkwe profil tal-protezzjoni li jintuża, inkluż l-informazzjoni li ġejja: l-isem, il-verżjoni, id-data u ċ-ċertifikat tal-profil tal-protezzjoni.

12.

Ir-riżultati tal-evalwazzjoni u tal-informazzjoni dwar iċ-ċertifikat imsemmi fil-paragrafu 3, il-punt (i), għandhom jinkludu informazzjoni dwar il-livell tal-assigurazzjoni miksub kif imsemmi fl-Artikolu 4 ta’ dan ir-Regolament u fl-Artikolu 52 tar-Regolament (UE) 2019/881.

13.

Il-kummenti u r-rakkomandazzjonijiet imsemmija fil-paragrafu 3, il-punt (j), jintużaw biex jagħtu informazzjoni addizzjonali dwar ir-riżultati tal-evalwazzjoni. Dawk il-kummenti u r-rakkomandazzjonijiet jistgħu jieħdu l-forma ta’ difetti tal-prodott tal-ICT li jinstabu waqt l-evalwazzjoni jew ta’ referenzi għal karatteristiċi li jkunu partikolarment utli.

14.

L-Annessi msemmija fil-paragrafu 3, il-punt (k), jintużaw biex jiddeskrivu kwalunkwe informazzjoni addizzjonali li tista’ tkun utli għall-udjenza tar-rapport iżda li b’mod loġiku ma taqax fit-taqsimiet stabbiliti tar-rapport, inkluż f’każijiet ta’ deskrizzjoni sħiħa tal-politika tas-sigurtà.

15.

Il-mira tas-sigurtà msemmija fil-paragrafu 3, il-punt (l), għandha tirreferi għall-mira tas-sigurtà evalwata. Il-mira tas-sigurtà evalwata għandha tingħata mar-rapport taċ-ċertifikazzjoni għall-finijiet ta’ pubblikazzjoni fuq is-sit web imsemmi fl-Artikolu 50(1) tar-Regolament (UE) 2019/881. Meta jkun hemm bżonn sanitizzazzjoni tal-mira tas-sigurtà evalwata qabel il-pubblikazzjoni, din għandha ssir f’konformità mal-punt V.2 tal-Anness V ta’ dan ir-Regolament.

16.

Il-marki jew it-tikketti assoċjati mal-iskema tal-EUCC imsemmija fil-paragrafu 3, il-punt (m), għandhom jiddaħħlu fir-rapport taċ-ċertifikazzjoni f’konformità mar-regoli u mal-proċeduri stabbiliti fl-Artikolu 11.

17.

Il-Glossarju msemmi fil-paragrafu 3, il-punt (n), jintuża biex tiżdied il-leġġibbiltà tar-rapport billi jagħti definizzjonijiet ta’ akronimi jew ta’ termini li t-tifsira tagħhom jaf ma tkunx daqshekk apparenti.

18.

Il-biblijografija msemmija fil-paragrafu 3, il-punt (o), għandha tinkludi referenzi għad-dokumenti kollha użati fil-kompilazzjoni tar-rapport taċ-ċertifikazzjoni. Dik l-informazzjoni għandha tinkludi mqar dawn li ġejjin:

(a)	il-kriterji tal-evalwazzjoni tas-sigurtà, id-dokumenti tal-aqwa żvilupp tekniku u l-ispeċifikazzjonijiet ulterjuri rilevanti użati;

(b)	ir-rapport tekniku tal-evalwazzjoni;

(c)	ir-rapport tekniku tal-evalwazzjoni għal evalwazzjoni komposta, meta applikabbli;

(d)	id-dokumentazzjoni ta’ referenza teknika;

(e)	gwida dwar is-sigurtà għall-iżviluppatur;

(f)	il-lista tal-konfigurazzjoni tal-iżviluppatur.

Biex tkun żgurata r-riproduċibbiltà tal-evalwazzjoni, id-dokumentazzjoni kollha msemmija trid tiġi identifikata b’mod uniku bid-data tar-rilaxx xierqa u bin-numru tal-verżjoni xieraq.”.