54 straipsnis. Europos kibernetinio saugumo sertifikavimo schemų elementai

1. Europos kibernetinio saugumo sertifikavimo schemą sudaro bent šie elementai:

a) sertifikavimo schemos dalykas ir apimtis, įskaitant sertifikuojamų IRT produktų, IRT paslaugų, IRT procesų ir valdomų saugumo paslaugų rūšį arba kategorijas;

b) aiškus schemos paskirties aprašymas, taip pat aprašymas, kaip pasirinkti standartai, vertinimo metodai ir saugumo užtikrinimo lygiai atitinka numatomų schemos naudotojų poreikius;

c) nuoroda į tarptautinius, europinius ar nacionalinius standartus, kurie taikomi vertinime, arba jeigu tokių standartų nėra arba jie netinkami, į technines specifikacijas, atitinkančias Reglamento (ES) Nr. 1025/2012 II priede nustatytus reikalavimus, arba, jeigu tokių specifikacijų nėra, į technines specifikacijas arba kitus kibernetinio saugumo reikalavimus, apibrėžtus Europos kibernetinio saugumo sertifikavimo schemoje;

d) kai taikytina, vienas ar daugiau saugumo užtikrinimo lygių;

e) informacija, ar pagal schemą leidžiama atlikti savarankišką atitikties vertinimą;

f) kai taikytina, specialūs ar papildomi reikalavimai, taikomi atitikties vertinimo įstaigoms, siekiant garantuoti jų techninę kompetenciją kibernetinio saugumo reikalavimų įvertinimo srityje;

g) naudojami specifiniai vertinimo kriterijai ir metodai, įskaitant vertinimo rūšis, siekiant įrodyti, kad yra pasiekti 51 ir 51a straipsniuose nurodyti taikytini saugumo tikslai;

h) kai taikytina, informacija, kurią pareiškėjas turi pateikti arba su kuria turi kitaip leisti susipažinti atitikties vertinimo įstaigoms ir kuri yra reikalinga sertifikavimui;

i) jeigu schemoje numatomas ženklų arba etikečių naudojimas, tokių ženklų arba etikečių naudojimo sąlygos;

j) IRT produktų, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų atitikties Europos kibernetinio saugumo sertifikatų arba ES atitikties pareiškimų reikalavimams stebėsenos taisyklės, įskaitant mechanizmus, kuriais įrodoma, kad nuolat laikomasi nurodytų kibernetinio saugumo reikalavimų;

k) kai taikytina, Europos kibernetinio saugumo sertifikatų išdavimo, išlaikymo, galiojimo pratęsimo ir atnaujinimo sąlygos, taip pat sertifikavimo taikymo srities išplėtimo arba susiaurinimo sąlygos;

l) taisyklės, susijusios su padariniais IRT produktams, IRT paslaugoms, IRT procesams ar valdomoms saugumo paslaugoms, kurie buvo sertifikuoti arba kuriems išduotas ES atitikties pareiškimas, tačiau kurie neatitinka schemos reikalavimų;

m) taisyklės, nustatančios, kaip turi būti pranešama apie anksčiau nenustatytas IRT procesų, produktų ir paslaugų kibernetinio saugumo pažeidžiamumo spragas ir kaip jos turi būti šalinamos;

n) kai taikytina, taisyklės dėl atitikties vertinimo įstaigų įrašų laikymo;

o) informacija apie nacionalines arba tarptautines kibernetinio saugumo sertifikavimo schemas, taikomas tos pačios rūšies ar kategorijų IRT produktams, IRT paslaugoms, IRT procesams ar valdomoms saugumo paslaugoms, saugumo reikalavimus, vertinimo kriterijus bei metodus ir saugumo užtikrinimo lygius;

p) išduodamo Europos kibernetinio saugumo sertifikato arba ES atitikties pareiškimo turinys ir forma;

q) laikotarpis, kurį turi būti prieinamas ES atitikties pareiškimas, techninė dokumentacija ir visa kita aktuali informacija, kurią IRT produktų gamintojas, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjas turi galėti pateikti susipažinti;

r) ilgiausias pagal schemą išduotų Europos kibernetinio saugumo sertifikatų galiojimo laikotarpis;

s) suteiktų, pakeistų ar atšauktų Europos kibernetinio saugumo sertifikatų, išduotų pagal schemą, atskleidimo politika;

t) sertifikavimo schemų tarpusavio pripažinimo su trečiosiomis valstybėmis sąlygos;

u) kai taikytina, taisyklės, susijusios su visais tarpusavio vertinimo mechanizmais, nustatytais schemoje, skirtoje institucijoms ar įstaigoms, išduodančioms Europos kibernetinio saugumo sertifikatus dėl aukšto saugumo užtikrinimo lygio pagal 56 straipsnio 6 dalį. Tokiais mechanizmais nedaromas poveikis 59 straipsnyje numatytai tarpusavio peržiūrai;

v) formatas ir procedūros, kurių IRT produktų, paslaugų ar procesų gamintojai ar teikėjai turi laikytis teikdami ir atnaujindami papildomą informaciją apie kibernetinį saugumą pagal 55 straipsnį.

2. Nurodyti Europos kibernetinio saugumo sertifikavimo schemos reikalavimai turi neprieštarauti jokiems taikytiniems teisiniams reikalavimams, visų pirma suderintais Sąjungos teisės aktais nustatytiems reikalavimams.

3. Kai tai numatoma konkrečiame Sąjungos teisės akte, sertifikavimas arba ES atitikties pareiškimas pagal Europos kibernetinio saugumo sertifikavimo schemą gali būti naudojamas siekiant pagrįsti atitikties to teisės akto reikalavimams prielaidą.

4. Nesant suderintų Sąjungos teisės aktų, valstybės narės teisėje taip pat gali būti numatyta, kad Europos kibernetinio saugumo sertifikavimo schema gali būti naudojama siekiant pagrįsti atitikties teisiniams reikalavimams prielaidą.