Regolamento di esecuzione (UE) 2024/482 della Commissione del 31 gennaio 2024 recante modalità di applicazione del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio per quanto riguarda l'adozione del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC) (Testo rilevante ai fini del SEE)

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 («regolamento sulla cibersicurezza»)¹, in particolare l'articolo 49, paragrafo 7,

Il presente regolamento specifica i ruoli, le norme e gli obblighi, nonché la struttura del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (European Common Criteria-based cybersecurity certification – EUCC) in conformità del quadro europeo di certificazione della cibersicurezza di cui al regolamento (UE) 2019/881. L'EUCC si fonda sull'accordo sul reciproco riconoscimento (ARR) dei certificati di valutazione della sicurezza delle tecnologie dell'informazione del gruppo di alti funzionari competente in materia di sicurezza dei sistemi d'informazione² (Senior Officials Group – Information Systems Security, SOG-IS) e si basa sui criteri comuni, comprese le procedure e i documenti del gruppo.

Il sistema dovrebbe basarsi su norme internazionali consolidate. I criteri comuni (Common Criteria) sono una norma internazionale per la valutazione della sicurezza delle informazioni pubblicata, ad esempio, come ISO/IEC 15408 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security. Essa si basa sulla valutazione da parte di terzi e prevede sette livelli di garanzia della valutazione (Evaluation Assurance Level – EAL). I criteri comuni sono accompagnati dalla metodologia comune di valutazione (Common Evaluation Methodology), pubblicata, ad esempio come ISO/IEC 18045 - Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Methodology for IT security evaluation. Le specifiche e i documenti che applicano le disposizioni del presente regolamento possono riferirsi a una norma disponibile al pubblico che rispecchia la norma utilizzata per la certificazione nel quadro del presente regolamento, ad esempio i criteri comuni per la valutazione della sicurezza delle tecnologie dell'informazione (Common Criteria for Information Technology Security Evaluation) e la metodologia comune per la valutazione della sicurezza delle tecnologie dell'informazione (Common Methodology for Information Technology Security Evaluation).

L'EUCC utilizza la famiglia di valutazione delle vulnerabilità dei criteri comuni (AVA_VAN), componenti da 1 a 5. I cinque componenti forniscono tutti i determinanti e tutte le dipendenze principali per l'analisi delle vulnerabilità dei prodotti TIC. Dal momento che corrispondono ai livelli di affidabilità del presente regolamento, i componenti consentono di compiere una scelta consapevole in merito all'affidabilità sulla base delle valutazioni dei requisiti di sicurezza e del rischio associato all'uso previsto del prodotto TIC che sono state effettuate. Il richiedente di un certificato EUCC dovrebbe fornire la documentazione relativa all'uso previsto del prodotto TIC e l'analisi dei livelli di rischio associati a tale uso per consentire all'organismo di valutazione della conformità di valutare l'idoneità del livello di affidabilità selezionato. Se le attività di valutazione e certificazione sono svolte dallo stesso organismo di valutazione della conformità, il richiedente dovrebbe presentare le informazioni richieste un'unica volta.

Un settore tecnico costituisce un quadro di riferimento in cui rientra un gruppo di prodotti TIC con funzionalità di sicurezza specifiche e simili in grado di attenuare gli attacchi e nell'ambito del quale le caratteristiche sono comuni a un determinato livello di affidabilità. Esso indica nei documenti sullo stato dell'arte i requisiti di sicurezza specifici, nonché i metodi, le tecniche e gli strumenti di valutazione supplementari applicabili alla certificazione dei prodotti TIC che rientrano in tale settore tecnico. Pertanto promuove anche l'armonizzazione della valutazione dei prodotti TIC contemplati. Attualmente sono ampiamente utilizzati due settori tecnici per la certificazione ai livelli AVA_VAN.4 e AVA_VAN.5. Il primo è quello relativo a «smart card e dispositivi analoghi» in cui porzioni significative della funzionalità di sicurezza richiesta dipendono da elementi hardware specifici, personalizzati e spesso separabili (ad esempio hardware per smart card, circuiti integrati, prodotti compositi per smart card, Trusted Platform Modules utilizzati nel trusted computing o carte tachigrafiche digitali). Il secondo è quello dei «dispositivi hardware con box di sicurezza» in cui porzioni significative della funzionalità di sicurezza richiesta dipendono da un involucro fisico hardware (denominato «box di sicurezza») progettato per resistere agli attacchi diretti (ad esempio terminali di pagamento, tachigrafi, contatori intelligenti, terminali di controllo degli accessi e moduli di sicurezza hardware).

Al momento della richiesta di certificazione il richiedente dovrebbe mettere in relazione le proprie motivazioni per la selezione di un livello di affidabilità con gli obiettivi stabiliti nell'articolo 51 del regolamento (UE) 2019/881 e con la selezione dei componenti dal catalogo dei requisiti funzionali di sicurezza e dei requisiti di garanzia della sicurezza contenuto nei criteri comuni. Gli organismi di certificazione dovrebbero valutare l'adeguatezza del livello di affidabilità selezionato e garantire che esso sia commisurato al livello di rischio associato all'uso previsto del prodotto TIC.

Nell'ambito dei criteri comuni la certificazione è effettuata rispetto a un traguardo di sicurezza che comprende una definizione del problema di sicurezza del prodotto TIC, nonché gli obiettivi di sicurezza che affrontano tale problema. Il problema di sicurezza fornisce dettagli sull'uso previsto del prodotto TIC e sui rischi associati a tale uso. Un insieme selezionato di requisiti di sicurezza risponde sia al problema sia agli obiettivi di sicurezza di un prodotto TIC.

I profili di protezione sono uno strumento efficace per determinare a priori i criteri comuni applicabili a una determinata categoria di prodotti TIC e pertanto costituiscono anche un elemento essenziale nel processo di certificazione dei prodotti TIC contemplati dal profilo di protezione. Il profilo di protezione è utilizzato ai fini della valutazione dei futuri traguardi di sicurezza che rientrano nella categoria di prodotti TIC a cui si rivolge. I profili di protezione semplificano e migliorano ulteriormente l'efficienza del processo di certificazione dei prodotti TIC e aiutano gli utenti a specificare in modo corretto ed efficace le funzionalità degli stessi. I profili di protezione dovrebbero quindi essere considerati parte integrante del processo TIC che porta alla certificazione dei prodotti TIC.

Affinché possano esercitare il proprio ruolo nel processo TIC a sostegno dello sviluppo e della messa a disposizione di un prodotto TIC certificato, i profili di protezione dovrebbero anch'essi poter essere certificati indipendentemente dalla certificazione del prodotto TIC specifico che vi rientra. È quindi essenziale che ai profili di protezione sia applicato almeno lo stesso livello di controllo previsto per i traguardi di sicurezza al fine di garantire un elevato livello di cibersicurezza. I profili di protezione dovrebbero essere valutati e certificati separatamente dal relativo prodotto TIC e unicamente applicando la classe di affidabilità per i profili di protezione (APE) e, ove applicabile, per le configurazioni dei profili di protezione (ACE) di cui ai criteri comuni e alla metodologia comune di valutazione. In considerazione del loro importante e delicato ruolo di riferimento nella certificazione dei prodotti TIC, tali profili dovrebbero essere certificati solo dagli enti pubblici o da un organismo di certificazione che ha ricevuto la previa approvazione dell'autorità nazionale di certificazione della cibersicurezza per tale profilo di protezione specifico. Dato il loro ruolo fondamentale per la certificazione al livello di affidabilità «elevato», in particolare al di fuori dei settori tecnici, i profili di protezione dovrebbero essere elaborati come documenti sullo stato dell'arte che dovrebbero essere approvati dal gruppo europeo per la certificazione della cibersicurezza (European Cybersecurity Certification Group, ECCG).

Le autorità nazionali di certificazione della cibersicurezza dovrebbero includere i profili di protezione certificati nel monitoraggio della conformità e della compliance nell'ambito dell'EUCC. Se le metodologie, gli strumenti e le competenze applicati agli approcci di valutazione dei prodotti TIC sono disponibili per profili di protezione certificati specifici, i settori tecnici possono basarsi su tali profili di protezione specifici.

Al fine di garantire un elevato livello di fiducia e affidabilità dei prodotti TIC certificati, a norma del presente regolamento non dovrebbe essere consentita l'autovalutazione. Dovrebbe essere consentita solo la valutazione di conformità da parte di terzi effettuata dalle strutture di valutazione della sicurezza delle tecnologie dell'informazione (Information Technology Security Evaluation Facilities – ITSEF) e dagli organismi di certificazione.

La comunità SOG-IS ha fornito interpretazioni e approcci comuni per l'applicazione dei criteri comuni e della metodologia comune di valutazione nella certificazione, in particolare per il livello di affidabilità «elevato» perseguito dai settori tecnici «smart card e dispositivi simili» e «dispositivi hardware con box di sicurezza». Il riutilizzo di tali documenti di sostegno nel sistema EUCC garantisce una transizione agevole dai sistemi SOG-IS attuati a livello nazionale al sistema EUCC armonizzato. Pertanto il presente regolamento dovrebbe includere metodologie di valutazione armonizzate di rilevanza generale per tutte le attività di certificazione. Inoltre la Commissione dovrebbe poter richiedere al gruppo europeo per la certificazione della cibersicurezza di adottare un parere che approvi e raccomandi l'applicazione delle metodologie di valutazione specificate nei documenti sullo stato dell'arte per la certificazione del prodotto TIC o del profilo di protezione nell'ambito del sistema EUCC. Nell'allegato I del presente regolamento figurano pertanto i documenti sullo stato dell'arte per le attività di valutazione svolte dagli organismi di valutazione della conformità. Il gruppo europeo per la certificazione della cibersicurezza dovrebbe approvare e tenere aggiornati i documenti sullo stato dell'arte. Nell'ambito della certificazione è opportuno ricorrere a tali documenti. Un organismo di valutazione della conformità può non ricorrere a tali documenti solo in casi eccezionali e debitamente giustificati e a determinate condizioni, in particolare previa approvazione dell'autorità nazionale di certificazione della cibersicurezza.

La certificazione dei prodotti TIC al livello AVA_VAN 4 o 5 dovrebbe essere possibile solo a determinate condizioni e qualora sia disponibile una metodologia di valutazione specifica. La metodologia di valutazione specifica può essere contenuta in documenti sullo stato dell'arte pertinenti per il settore tecnico in questione o in profili di protezione specifici adottati come documenti sullo stato dell'arte che sono pertinenti per la categoria di prodotti in questione. La certificazione a tali livelli di affidabilità dovrebbe essere possibile solo in casi eccezionali e debitamente giustificati e a determinate condizioni, in particolare previa approvazione dell'autorità nazionale di certificazione della cibersicurezza, anche della metodologia di valutazione applicabile. Tali casi eccezionali e debitamente giustificati possono verificarsi qualora la legislazione dell'Unione o nazionale richieda la certificazione di un prodotto TIC al livello AVA_VAN 4 o 5. Analogamente, i profili di protezione possono essere certificati senza che siano applicati i documenti sullo stato dell'arte pertinenti in casi eccezionali e debitamente giustificati e a determinate condizioni, in particolare previa approvazione dell'autorità nazionale di certificazione della cibersicurezza, anche della metodologia di valutazione applicabile.

I marchi e le etichette utilizzati nel quadro dell'EUCC hanno lo scopo di dimostrare visibilmente agli utenti l'affidabilità del prodotto TIC certificato e a consentire loro di compiere una scelta consapevole quando acquistano prodotti TIC. L'uso di marchi ed etichette dovrebbe essere soggetto anche alle norme e alle condizioni stabilite dalla norma ISO/IEC 17065 e, ove applicabile, dalla norma ISO/IEC 17030 con i relativi orientamenti.

Gli organismi di certificazione dovrebbero decidere in merito alla durata della validità dei certificati tenendo conto del ciclo di vita del prodotto TIC in questione. Tale durata non dovrebbe superare i cinque anni. Le autorità nazionali di certificazione della cibersicurezza dovrebbero adoperarsi per armonizzare la durata della validità nell'Unione.

Se l'ambito di applicazione di un certificato EUCC esistente è ridotto, il certificato deve essere revocato e dovrebbe essere rilasciato un nuovo certificato con il nuovo ambito di applicazione in modo da garantire che gli utenti siano chiaramente informati in merito all'attuale ambito di applicazione e al livello di affidabilità del certificato di un determinato prodotto TIC.

La certificazione dei profili di protezione si differenzia da quella dei prodotti TIC in quanto riguarda un processo TIC. Dal momento che un profilo di protezione riguarda una categoria di prodotti TIC, la sua valutazione e certificazione non possono essere effettuate sulla base di un singolo prodotto TIC. Poiché un profilo di protezione unifica i requisiti generali di sicurezza relativi a una categoria di prodotti TIC ed è indipendente dalla manifestazione del prodotto TIC da parte del suo fornitore, il periodo di validità di un certificato EUCC per un profilo di protezione dovrebbe in linea di principio essere di almeno cinque anni e dovrebbe poter essere prorogato per tutto il ciclo di vita del profilo di protezione.

Per organismo di valutazione della conformità si intende un organismo che svolge attività di valutazione della conformità, fra cui tarature, prove, certificazioni e ispezioni. Al fine di garantire una qualità elevata dei servizi, nel presente regolamento si specifica che le attività di prova, da un lato, e le attività di certificazione e ispezione, dall'altro, dovrebbero essere svolte da soggetti che operano in modo indipendente l'uno dall'altro, ossia, rispettivamente, dalle strutture di valutazione della sicurezza delle tecnologie dell'informazione (ITSEF) e dagli organismi di certificazione. Entrambi i tipi di organismi di valutazione della conformità dovrebbero essere accreditati e, in determinate situazioni, autorizzati.

Un organismo di certificazione dovrebbe essere accreditato in conformità della norma ISO/IEC 17065 dall'organismo nazionale di accreditamento per i livelli di affidabilità «sostanziale» ed «elevato». Oltre all'accreditamento conformemente al regolamento (UE) 2019/881, in combinato disposto con il regolamento (CE) n. 765/2008, gli organismi di valutazione della conformità dovrebbero soddisfare requisiti specifici al fine di garantire di possedere la competenza tecnica per valutare i requisiti di cibersicurezza nell'ambito del livello di affidabilità «elevato» dell'EUCC, e ciò è confermato mediante un'«autorizzazione». Al fine di sostenere il processo di autorizzazione l'ENISA, previa approvazione da parte del gruppo europeo per la certificazione della cibersicurezza, dovrebbe elaborare e pubblicare i pertinenti documenti sullo stato dell'arte.

La competenza tecnica di un'ITSEF dovrebbe essere valutata attraverso l'accreditamento del laboratorio di prova in conformità della norma ISO/IEC 17025 e integrata dalla norma ISO/IEC 23532-1 per l'intera serie di attività di valutazione pertinenti al livello di affidabilità e specificate nella norma ISO/IEC 18045 congiuntamente alla norma ISO/IEC 15408. Sia l'organismo di certificazione che l'ITSEF dovrebbero istituire e mantenere in essere un adeguato sistema di gestione delle competenze del personale basato sulla norma ISO/IEC 19896-1 per gli elementi e i livelli di competenza e per la valutazione della competenza. Per quanto riguarda il livello di conoscenza, competenze, esperienza e istruzione, i requisiti applicabili per i valutatori dovrebbero essere tratti dalla norma ISO/IEC 19896-3. È opportuno dimostrare le disposizioni e le misure equivalenti che trattano gli scostamenti da tali sistemi di gestione delle competenze in linea con gli obiettivi del sistema.

Per essere autorizzata, l'ITSEF dovrebbe dimostrare di essere in grado di determinare l'assenza di vulnerabilità note, l'attuazione corretta e coerente delle funzionalità di sicurezza avanzate per la tecnologia specifica in questione e la resistenza agli attacchi commessi da soggetti qualificati del prodotto TIC oggetto degli attacchi. Inoltre, per le autorizzazioni nel settore tecnico «smart card e dispositivi simili», l'ITSEF dovrebbe anche dimostrare di possedere le capacità tecniche necessarie per lo svolgimento delle attività di valutazione e dei relativi compiti, come definito nel documento di sostegno Minimum ITSEF requirements for security evaluations of smart cards and similar devices³ nell'ambito dei criteri comuni. Per l'autorizzazione nel settore tecnico «dispositivi hardware con box di sicurezza», l'ITSEF dovrebbe altresì dimostrare di possedere i requisiti tecnici minimi necessari per lo svolgimento delle attività di valutazione e dei relativi compiti per quanto riguarda i dispositivi hardware con box di sicurezza, come raccomandato dall'ECCG. Nel contesto dei requisiti minimi l'ITSEF dovrebbe essere in grado di condurre i diversi tipi di attacchi indicati nel documento di sostegno Application of Attack Potential to Hardware Devices with Security Boxes nell'ambito dei criteri comuni. Tali capacità comprendono le conoscenze e le competenze del valutatore, nonché gli strumenti e i metodi di valutazione necessari per determinare e valutare i diversi tipi di attacchi.

L'autorità nazionale di certificazione della cibersicurezza dovrebbe monitorare il rispetto, da parte degli organismi di certificazione, delle ITSEF e dei titolari di certificati, degli obblighi derivanti dal presente regolamento e dal regolamento (UE) 2019/881. A tal fine dovrebbe utilizzare qualsiasi fonte di informazione appropriata, comprese le informazioni ricevute dai partecipanti al processo di certificazione e quelle raccolte nell'ambito delle proprie indagini.

Gli organismi di certificazione dovrebbero collaborare con le autorità di vigilanza del mercato competenti e tenere conto di tutte le informazioni sulle vulnerabilità che potrebbero essere pertinenti per i prodotti TIC per i quali hanno rilasciato i certificati. Gli organismi di certificazione dovrebbero monitorare i profili di protezione che hanno certificato per verificare se i requisiti di sicurezza stabiliti per una categoria di prodotti TIC continuino a tenere conto degli ultimi sviluppi del panorama delle minacce.

A sostegno del monitoraggio della compliance le autorità nazionali di certificazione della cibersicurezza dovrebbero cooperare con le autorità di vigilanza del mercato competenti in conformità dell'articolo 58 del regolamento (UE) 2019/881 e del regolamento (UE) 2019/1020 del Parlamento europeo e del Consiglio⁴. Gli operatori economici dell'Unione sono tenuti a condividere le informazioni e a collaborare con le autorità di vigilanza del mercato a norma dell'articolo 4, paragrafo 3, del regolamento (UE) 2019/1020.

Gli organismi di certificazione dovrebbero monitorare la compliance dei titolari di un certificato e la conformità di tutti i certificati rilasciati nell'ambito dell'EUCC. Il monitoraggio dovrebbe garantire che tutte le relazioni di valutazione fornite da un'ITSEF e le conclusioni in esse contenute, nonché i criteri e i metodi di valutazione, siano applicati in modo coerente e corretto in tutte le attività di certificazione.

Qualora siano rilevati potenziali problemi di non compliance che riguardano un prodotto TIC certificato, è importante garantire una risposta proporzionata. I certificati possono quindi essere sospesi. La sospensione dovrebbe comportare alcune limitazioni per quanto riguarda la promozione e l'uso del prodotto TIC in questione, ma non incidere sulla validità del certificato. La sospensione dovrebbe essere notificata agli acquirenti dei prodotti TIC in questione da parte del titolare del certificato UE, mentre le autorità di vigilanza del mercato competenti dovrebbero essere informate al riguardo dall'autorità nazionale di certificazione della cibersicurezza competente. Per informare il pubblico, l'ENISA dovrebbe pubblicare le informazioni sulla sospensione su un sito web apposito.

Il titolare di un certificato EUCC dovrebbe attuare le procedure di gestione delle vulnerabilità necessarie e garantire che tali procedure siano integrate all'interno della propria organizzazione. Qualora venga a conoscenza di una potenziale vulnerabilità, il titolare del certificato EUCC dovrebbe eseguire un'analisi dell'impatto della vulnerabilità. Se quest'ultima conferma che la vulnerabilità può essere sfruttata, il titolare del certificato dovrebbe inviare una relazione della valutazione all'organismo di certificazione, che a sua volta dovrebbe informare l'autorità nazionale di certificazione della cibersicurezza. La relazione dovrebbe fornire informazioni in merito all'impatto della vulnerabilità, alle modifiche o alle soluzioni correttive necessarie, comprese le possibili implicazioni più ampie della vulnerabilità, nonché alle soluzioni correttive per altri prodotti. La norma EN ISO/IEC 29147 dovrebbe integrare, ove necessario, la procedura per la divulgazione delle vulnerabilità.

Ai fini della certificazione, gli organismi di valutazione della conformità e le autorità nazionali di certificazione della cibersicurezza ottengono dati riservati e sensibili e segreti aziendali, anche relativi alla proprietà intellettuale o al monitoraggio della compliance, che richiedono un'adeguata protezione. Essi dovrebbero pertanto possedere le competenze e le conoscenze tecniche necessarie e istituire sistemi per la protezione delle informazioni. I requisiti e le condizioni per la protezione delle informazioni dovrebbero essere soddisfatti sia per l'accreditamento che per l'autorizzazione.

L'ENISA dovrebbe fornire l'elenco dei profili di protezione certificati sul suo sito web relativo alla certificazione della cibersicurezza e indicarne lo stato in conformità del regolamento (UE) 2019/881.

Il presente regolamento stabilisce le condizioni per gli accordi sul reciproco riconoscimento con i paesi terzi. Tali accordi possono essere bilaterali o multilaterali e dovrebbero sostituire accordi analoghi attualmente in vigore. Al fine di facilitare un'agevole transizione verso tali accordi sul reciproco riconoscimento, per un periodo limitato gli Stati membri possono mantenere gli accordi di cooperazione esistenti con paesi terzi.

Gli organismi di certificazione che rilasciano certificati EUCC di livello di affidabilità «elevato», nonché le relative ITSEF associate, dovrebbero essere sottoposti a valutazioni inter pares. L'obiettivo delle valutazioni inter pares dovrebbe essere quello di determinare se la costituzione e le procedure di un organismo di certificazione oggetto di valutazione inter pares continuino a rispettare i requisiti del sistema EUCC. Tali valutazioni inter pares sono diverse dalle valutazioni inter pares tra le autorità nazionali di certificazione della cibersicurezza di cui all'articolo 59 del regolamento (UE) 2019/881. Le valutazioni inter pares dovrebbero accertare che gli organismi di certificazione lavorino in modo armonizzato e producano la stessa qualità di certificati, nonché individuare qualsiasi potenziale punto di forza o punto debole nelle prestazioni degli organismi di certificazione, anche ai fini dello scambio delle migliori pratiche. Poiché esistono diversi tipi di organismi di certificazione, è opportuno consentire diversi tipi di valutazioni inter pares. Nei casi più complessi, come nel caso di organismi di certificazione che rilasciano certificati per livelli AVA_VAN differenti, è possibile utilizzare diversi tipi di valutazione inter pares purché siano soddisfatti tutti i requisiti.

Il gruppo europeo per la certificazione della cibersicurezza dovrebbe svolgere un ruolo importante nel mantenimento del sistema. Ciò dovrebbe essere realizzato, tra l'altro, attraverso la cooperazione con il settore privato e la creazione di sottogruppi specializzati, nonché i lavori preparatori e l'assistenza pertinenti richiesti dalla Commissione. Il gruppo europeo per la certificazione della cibersicurezza svolge un ruolo importante nell'approvazione dei documenti sullo stato dell'arte. Nell'approvazione e nell'adozione dei documenti sullo stato dell'arte è opportuno tenere debitamente conto degli elementi di cui all'articolo 54, paragrafo 1, lettera c), del regolamento (UE) 2019/881. I settori tecnici e i documenti sullo stato dell'arte dovrebbero essere pubblicati nell'allegato I del presente regolamento. I profili di protezione che sono stati adottati come documenti sullo stato dell'arte dovrebbero essere pubblicati nell'allegato II. Al fine di garantire la dinamicità di tali allegati, la Commissione può modificarli conformemente alla procedura di cui all'articolo 66, paragrafo 2, del regolamento (UE) 2019/881 e tenendo conto del parere del gruppo europeo per la certificazione della cibersicurezza. L'allegato III contiene i profili di protezione raccomandati, che al momento dell'entrata in vigore del presente regolamento non sono documenti sullo stato dell'arte. Tali profili dovrebbero essere pubblicati sul sito web dell'ENISA di cui all'articolo 50, paragrafo 1, del regolamento (UE) 2019/881.

Il presente regolamento dovrebbe iniziare ad applicarsi 12 mesi dopo la sua entrata in vigore. I requisiti del capo IV e dell'allegato V non richiedono un periodo di transizione e dovrebbero pertanto applicarsi a partire dall'entrata in vigore del presente regolamento.

Le misure previste dal presente regolamento sono conformi al parere del comitato europeo per la certificazione della cibersicurezza istituito dall'articolo 66 del regolamento (UE) 2019/881,