Regolamento di esecuzione (UE) 2024/482 della Commissione del 31 gennaio 2024 recante modalità di applicazione del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio per quanto riguarda l'adozione del sistema europeo di certificazione della cibersicurezza basato sui criteri comuni (EUCC) (Testo rilevante ai fini del SEE)

1. L'ITSEF e gli organismi di certificazione mantengono un sistema di registri in cui sono contenuti tutti i documenti prodotti in relazione a ciascuna valutazione e certificazione da essi effettuata.

2. Gli organismi di certificazione e l'ITSEF archiviano i registri in modo sicuro e li conservano per il periodo necessario ai fini del presente regolamento e per almeno cinque anni dopo la revoca del relativo certificato EUCC. Qualora abbia rilasciato un nuovo certificato EUCC in conformità dell'articolo 13, paragrafo 2, lettera c), l'organismo di certificazione conserva la documentazione relativa al certificato EUCC revocato insieme a quella relativa al nuovo certificato EUCC, per lo stesso periodo di tempo.

1. Le informazioni di cui all'articolo 55 del regolamento (UE) 2019/881 sono disponibili in un linguaggio facilmente comprensibile dagli utenti.

2. Il titolare di un certificato EUCC archivia in modo sicuro per il periodo necessario ai fini del presente regolamento e per almeno cinque anni dopo la revoca del relativo certificato EUCC:

1. (a) i registri delle informazioni fornite all'organismo di certificazione e all'ITSEF durante il processo di certificazione;

2. (b) un esemplare del prodotto TIC certificato.

3. Qualora l'organismo di certificazione abbia rilasciato un nuovo certificato EUCC in conformità dell'articolo 13, paragrafo 2, lettera c), il titolare conserva la documentazione relativa al certificato EUCC revocato insieme a quella relativa al nuovo certificato EUCC, per lo stesso periodo di tempo.

4. Su richiesta dell'organismo di certificazione o dell'autorità nazionale di certificazione della cibersicurezza, il titolare di un certificato EUCC mette a disposizione i registri e le copie di cui al paragrafo 2.

1. L'ENISA pubblica sul sito web di cui all'articolo 50, paragrafo 1, del regolamento (UE) 2019/881, le informazioni seguenti:

1. (a) tutti i certificati EUCC;

2. (b) le informazioni sullo stato dei certificati EUCC, in particolare se sono in vigore, sospesi, revocati o scaduti;

3. (c) le relazioni di certificazione corrispondenti a ciascun certificato EUCC;

4. (d) un elenco degli organismi di valutazione della conformità accreditati;

5. (e) un elenco degli organismi di valutazione della conformità autorizzati;

6. (f) i documenti sullo stato dell'arte di cui all'allegato I;

7. (g) i pareri del gruppo europeo per la certificazione della cibersicurezza di cui all'articolo 62, paragrafo 4, lettera c), del regolamento (UE) 2019/881;

8. (h) le relazioni di valutazione inter pares emesse in conformità dell'articolo 47.

9. i) il traguardo di sicurezza corrispondente a ciascun certificato EUCC.

2. Le informazioni di cui al paragrafo 1 sono messe a disposizione almeno in inglese. A tal fine gli organismi di certificazione forniscono all’ENISA, unitamente alle versioni linguistiche originali delle relazioni di certificazione e dei traguardi di sicurezza, anche la versione in inglese di tali documenti senza indebito ritardo.

3. Gli organismi di certificazione e, se del caso, le autorità nazionali di certificazione della cibersicurezza informano senza indugio l'ENISA in merito alle loro decisioni che incidono sul contenuto o sullo stato di un certificato EUCC di cui al paragrafo 1, lettera b).

4. L'ENISA garantisce che le informazioni pubblicate in conformità del paragrafo 1, lettere a), b) e c), identifichino chiaramente le versioni di un prodotto TIC certificato che sono contemplate da un certificato EUCC.

1. I paesi terzi che intendono certificare i propri prodotti in conformità del presente regolamento e che desiderano che tale certificazione sia riconosciuta all'interno dell'Unione concludono un accordo sul reciproco riconoscimento con l'Unione.

2. L'accordo sul reciproco riconoscimento riguarda i livelli di affidabilità applicabili ai prodotti TIC certificati e, se del caso, i profili di protezione.

3. Gli accordi sul reciproco riconoscimento di cui al paragrafo 1 possono essere conclusi solo con i paesi terzi che soddisfano le condizioni seguenti:

1. (a) dispongono di un'autorità che:

   1. (1) è un ente pubblico, indipendente dagli enti che vigila e monitora in termini di struttura organizzativa e giuridica, finanziamento e processo decisionale;

   2. (2) dispone di adeguati poteri di monitoraggio e vigilanza per svolgere indagini e ha il potere di adottare misure correttive adeguate per garantire la compliance;

   3. (3) dispone di un sistema sanzionatorio efficace, proporzionato e dissuasivo per garantire la compliance;

   4. (4) accetta di collaborare con il gruppo europeo per la certificazione della cibersicurezza e con l'ENISA al fine di scambiare le migliori pratiche e informazioni sugli sviluppi pertinenti nel campo della certificazione della cibersicurezza e di lavorare a un'interpretazione uniforme dei criteri e dei metodi di valutazione attualmente applicabili, tra l'altro applicando una documentazione armonizzata equivalente ai documenti sullo stato dell'arte elencati di cui all'allegato I;

2. (b) dispongono di un organismo di accreditamento indipendente che effettua accreditamenti utilizzando norme equivalenti a quelle di cui al regolamento (CE) n. 765/2008;

3. (c) si impegnano affinché i processi e le procedure di valutazione e certificazione siano svolti in modo debitamente professionale, tenendo conto del rispetto delle norme internazionali di cui al presente regolamento, in particolare all'articolo 3;

4. (d) sono in grado di segnalare le vulnerabilità non rilevate in precedenza e dispongono di una procedura consolidata e adeguata di gestione e divulgazione delle vulnerabilità;

5. (e) dispongono di procedure consolidate che consentono loro di presentare e trattare efficacemente i reclami e di fornire effettivi mezzi di ricorso giurisdizionale al reclamante;

6. (f) istituiscono un meccanismo di cooperazione con gli altri organismi dell'Unione e degli Stati membri competenti per la certificazione della cibersicurezza a norma del presente regolamento, compresa la condivisione di informazioni sull'eventuale non compliance dei certificati, il monitoraggio degli sviluppi pertinenti nel campo della certificazione e la garanzia di un approccio comune al mantenimento e al riesame delle certificazioni.

4. Oltre alle condizioni di cui al paragrafo 3, è possibile concludere un accordo sul reciproco riconoscimento di cui al paragrafo 1 relativo al livello di affidabilità «elevato» con i paesi terzi solo se sono soddisfatte anche le condizioni seguenti:

1. (a) il paese terzo dispone di un'autorità pubblica e indipendente di certificazione della cibersicurezza che svolge o delega le attività di valutazione necessarie per consentire la certificazione al livello di affidabilità «elevato», che sono equivalenti ai requisiti e alle procedure stabiliti per le autorità nazionali di cibersicurezza nel presente regolamento e nel regolamento (UE) 2019/881;

2. (b) l'accordo sul reciproco riconoscimento stabilisce un meccanismo congiunto equivalente alla valutazione inter pares per la certificazione EUCC al fine di migliorare lo scambio di pratiche e risolvere congiuntamente i problemi nell'ambito della valutazione e della certificazione.

1. Un organismo di certificazione che rilascia certificati EUCC per il livello di affidabilità «elevato» si sottopone a una valutazione inter pares su base periodica e almeno ogni cinque anni. I diversi tipi di valutazione inter pares figurano nell'allegato VI.

2. Il gruppo europeo per la certificazione della cibersicurezza elabora e mantiene un calendario di valutazioni inter pares che garantisce il rispetto di tale periodicità. Salvo casi debitamente giustificati, le valutazioni inter pares sono effettuate in loco.

3. La valutazione inter pares può basarsi su elementi di prova raccolti nel corso di precedenti valutazioni inter pares o procedure equivalenti dell'organismo di certificazione oggetto di valutazione inter pares o dell'autorità nazionale di certificazione della cibersicurezza, a condizione che:

1. (a) i risultati non risalgano a oltre cinque anni prima;

2. (b) qualora si riferiscano a una valutazione inter pares effettuata nell'ambito di un sistema di certificazione diverso, i risultati siano accompagnati da una descrizione delle procedure di valutazione inter pares stabilite per tale sistema;

3. (c) la relazione di valutazione inter pares di cui all'articolo 47 specifichi quali risultati sono stati riutilizzati con o senza ulteriore valutazione.

4. Qualora la valutazione inter pares riguardi un settore tecnico, è valutata anche l'ITSEF interessata.

5. L'organismo di certificazione oggetto di valutazione inter pares e, se necessario, l'autorità nazionale di certificazione della cibersicurezza assicurano che tutte le informazioni pertinenti siano messe a disposizione del gruppo di valutazione inter pares.

6. La valutazione inter pares è effettuata da un gruppo di valutazione inter pares istituito in conformità dell'allegato VI.

1. Durante la fase preparatoria i membri del gruppo di valutazione inter pares esaminano la documentazione dell'organismo di certificazione riguardante le sue politiche e procedure, compreso l'uso dei documenti sullo stato dell'arte.

2. Durante la fase di visita in loco il gruppo di valutazione inter pares valuta la competenza tecnica dell'organismo e, se del caso, la competenza di un'ITSEF che ha effettuato almeno una valutazione dei prodotti TIC oggetto della valutazione inter pares.

3. La durata della fase di visita in loco può essere prolungata o ridotta in base a fattori quali la possibilità di riutilizzare elementi di prova e risultati di una valutazione inter pares esistente o il numero di settori tecnici e ITSEF per cui l'organismo di certificazione rilascia i certificati.

4. Se applicabile, il gruppo di valutazione inter pares determina la competenza tecnica di ciascuna ITSEF visitando il suo laboratorio o i suoi laboratori tecnici e intervistandone i valutatori per quanto riguarda il settore tecnico e i relativi metodi di attacco specifici.

5. Nella fase di stesura della relazione il gruppo di valutazione documenta i propri risultati in una relazione di valutazione inter pares che include un verdetto e, se del caso, un elenco delle non conformità osservate, ciascuna classificata in base a un livello di criticità.

6. La relazione di valutazione inter pares deve essere innanzitutto discussa con l'organismo di certificazione oggetto di valutazione inter pares. A seguito di tali discussioni, l'organismo di certificazione oggetto di valutazione inter pares stabilisce un calendario delle misure da adottare per tenere conto dei risultati emersi.

1. Il gruppo di valutazione inter pares fornisce all'organismo di certificazione oggetto di valutazione inter pares un progetto di relazione di valutazione inter pares.

2. L'organismo di certificazione oggetto di valutazione inter pares trasmette al gruppo di valutazione inter pares i commenti relativi ai risultati e un elenco degli impegni assunti per far fronte alle carenze individuate nel progetto di relazione di valutazione inter pares.

3. Il gruppo di valutazione inter pares trasmette al gruppo europeo per la certificazione della cibersicurezza una relazione finale di valutazione inter pares, che comprende anche i commenti e gli impegni assunti da parte dall'organismo di certificazione oggetto di valutazione inter pares. Il gruppo di valutazione inter pares indica anche la propria posizione in merito ai commenti e se ritiene che tali impegni siano sufficienti a colmare le carenze individuate.

4. Qualora nella relazione di valutazione inter pares siano individuate non conformità, il gruppo europeo per la certificazione della cibersicurezza può stabilire un termine adeguato entro il quale l'organismo di certificazione oggetto di valutazione inter pares deve far fronte a tali non conformità.

5. Il gruppo europeo per la certificazione della cibersicurezza adotta un parere sulla relazione di valutazione inter pares:

1. (a) se nella relazione di valutazione inter pares non sono state individuate non conformità o se l'organismo di certificazione oggetto di valutazione inter pares le ha affrontate adeguatamente, il gruppo europeo per la certificazione della cibersicurezza può formulare un parere positivo e tutti i documenti pertinenti sono pubblicati sul sito web dell'ENISA relativo alla certificazione;

2. (b) se l'organismo di certificazione oggetto di valutazione inter pares non affronta adeguatamente le non conformità entro il termine stabilito, il gruppo europeo per la certificazione della cibersicurezza può formulare un parere negativo che è pubblicato sul sito web dell'ENISA relativo alla certificazione, insieme alla relazione di valutazione inter pares e a tutti i documenti pertinenti.

6. Prima della pubblicazione del parere, tutte le informazioni sensibili, personali o proprietarie sono rimosse dai documenti pubblicati.

1. La Commissione può chiedere al gruppo europeo per la certificazione della cibersicurezza di adottare un parere al fine di mantenere l'EUCC e di intraprendere i lavori preparatori necessari.

2. Il gruppo europeo per la certificazione della cibersicurezza può adottare un parere per approvare documenti sullo stato dell'arte.

3. I documenti sullo stato dell'arte che sono stati approvati dal gruppo europeo per la certificazione della cibersicurezza sono pubblicati dall'ENISA.

4. Salvo diversa indicazione nell’allegato I o II, i documenti sullo stato dell’arte si applicano ai processi di certificazione, compresa la nuova valutazione, avviati a decorrere dalla data di applicazione dell’atto modificativo mediante il quale detti documenti sono stati introdotti nell’allegato I o II.