56 straipsnis. Kibernetinio saugumo sertifikavimas

1. Laikoma, kad pagal Europos kibernetinio saugumo sertifikavimo schemą, priimtą pagal 49 straipsnį, sertifikuoti IRT produktai, IRT paslaugos, IRT procesai ir valdomos saugumo paslaugos atitinka tokios schemos reikalavimus.

2. Kibernetinio saugumo sertifikavimas yra savanoriškas, išskyrus atvejus, kai Sąjungos ar valstybių narių teisėje nustatyta kitaip.

3. Komisija reguliariai vertina priimtų Europos kibernetinio saugumo sertifikavimo schemų veiksmingumą bei naudojimą ir tai, ar kuri nors konkreti Europos kibernetinio saugumo sertifikavimo schema atitinkamais Sąjungos teisės aktais turi būti nustatyta kaip privaloma siekiant užtikrinti tinkamą IRT produktų, IRT paslaugų, IRT procesų, o nuo 2025 m. vasario 4 d. – valdomų saugumo paslaugų, kibernetinio saugumo lygį Sąjungoje ir pagerinti vidaus rinkos veikimą. Pirmas toks vertinimas atliekamas ne vėliau kaip 2023 m. gruodžio 31 d., o vėlesni vertinimai atliekami bent kas dvejus metus. Remdamasi tų vertinimų rezultatais Komisija nustato tuos IRT produktus, IRT paslaugas, IRT procesus ir valdomas saugumo paslaugas, kuriems taikoma esama sertifikavimo sistema, tačiau kuriems turėtų būti taikoma privaloma sertifikavimo schema.

Pirmiausia Komisija daugiausia dėmesio skiria Direktyvos (ES) 2016/1148 II priede išvardytiems sektoriams, kurių atžvilgiu vertinimas turi būti atliktas ne vėliau kaip praėjus dvejiems metams po pirmos Europos kibernetinio saugumo sertifikavimo schemos priėmimo.

Rengdama vertinimą, Komisija:

a) atsižvelgia į su sąnaudomis susijusį priemonių poveikį tokių IRT produktų gamintojams, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjams bei naudotojams, taip pat į numatomo tikslinių IRT produktų, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų didesnio saugumo visuomeninę ar ekonominę naudą;

b) atsižvelgia į atitinkamų valstybių narių ir trečiųjų šalių teisės aktų buvimą ir taikymą;

c) vykdo atvirą, skaidrų ir įtraukų konsultavimosi procesą su visais atitinkamais suinteresuotaisiais subjektais ir valstybėmis narėmis;

d) atsižvelgia į įgyvendinimo terminus, pereinamojo laikotarpio priemones ir laikotarpius, visų pirma dėl galimo priemonės poveikio IRT produktų gamintojams, IRT paslaugų, IRT procesų ar valdomų saugumo paslaugų teikėjams, įskaitant konkrečius MVĮ, įskaitant labai mažas įmones, interesus ir poreikius;

e) siūlo greičiausią ir veiksmingiausią būdą, kaip įgyvendinti perėjimą nuo savanoriškų prie privalomų sertifikavimo schemų.

4. Europos kibernetinio saugumo sertifikatą, pagal šį straipsnį patvirtinantį bazinį arba pakankamai aukštą saugumo užtikrinimo lygį, išduoda 60 straipsnyje nurodytos atitikties vertinimo įstaigos remdamosi kriterijais, įtrauktais į Europos kibernetinio saugumo sertifikavimo schemą, Komisijos patvirtintą pagal 49 straipsnį.

5. Nukrypstant nuo 4 dalies, tinkamai pagrįstais atvejais Europos kibernetinio saugumo sertifikavimo schemoje gali būti numatyta, kad Europos kibernetinio saugumo sertifikatą pagal tą schemą gali išduoti tik viešoji įstaiga, jeigu nurodomos tokį nukrypimą pagrindžiančios priežastys. Tokia įstaiga yra viena iš šių įstaigų:

a) 58 straipsnio 1 dalyje nurodyta nacionalinė kibernetinio saugumo sertifikavimo institucija arba

b) viešoji įstaiga, kuri pagal 60 straipsnio 1 dalį yra akredituota kaip atitikties vertinimo įstaiga.

6. Kai pagal 49 straipsnį priimtoje Europos kibernetinio saugumo sertifikavimo schemoje reikalaujama aukšto saugumo užtikrinimo lygio, Europos kibernetinio saugumo sertifikatą pagal tą schemą gali išduoti tik nacionalinė kibernetinio saugumo sertifikavimo institucija arba atitikties vertinimo įstaiga šiais atvejais:

a) dėl kiekvieno atitikties vertinimo įstaigos išduodamo Europos kibernetinio saugumo sertifikato turi būti gautas išankstinis nacionalinės kibernetinio saugumo sertifikavimo institucijos patvirtinimas arba

b) nacionalinė kibernetinio saugumo sertifikavimo institucija atitikties vertinimo įstaigai turi būti delegavusi bendrus įgaliojimus dėl tokių Europos kibernetinio saugumo sertifikatų išdavimo.

7. IRT produktus, IRT paslaugas, IRT procesus ar valdomas saugumo paslaugas sertifikuoti teikiantis fizinis arba juridinis asmuo pagal 58 straipsnį paskirtai nacionalinei kibernetinio saugumo sertifikavimo institucijai, kai ta institucija yra Europos kibernetinio saugumo sertifikatą išduodanti įstaiga, arba 60 straipsnyje nurodytai atitikties vertinimo įstaigai leidžia susipažinti su visa sertifikavimo procedūrai atlikti reikalinga informacija.

8. Europos kibernetinio saugumo sertifikato turėtojas informuoja 7 dalyje nurodytą instituciją arba įstaigą apie su sertifikuotu IRT produktu, IRT paslauga, IRT procesu ar valdoma saugumo paslauga susijusias vėliau nustatytas pažeidžiamumo spragas ar neatitikties atvejus, kurie gali daryti poveikį atitikčiai su sertifikavimu susijusiems reikalavimams. Ta institucija ar įstaiga nepagrįstai nedelsdama perduoda tą informaciją atitinkamai nacionalinei kibernetinio saugumo sertifikavimo institucijai.

9. Europos kibernetinio saugumo sertifikatai išduodami konkrečios Europos kibernetinio saugumo sertifikavimo schemos nustatytam laikotarpiui ir gali būti atnaujinami, jeigu ir toliau tenkinami susiję reikalavimai.

10. Pagal šį straipsnį išduotas Europos kibernetinio saugumo sertifikatas pripažįstamas visose valstybėse narėse.