Regulamentul de punere în aplicare (UE) 2024/482 al Comisiei din 31 ianuarie 2024 de stabilire a normelor de aplicare a Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului în ceea ce privește adoptarea sistemului european de certificare a securității cibernetice bazat pe criterii comune (EUCC) (Text cu relevanță pentru SEE)

CAPITOLUL I

Prezentul regulament instituie sistemul european de certificare a securității cibernetice bazat pe criterii comune (EUCC).

Prezentul regulament se aplică tuturor produselor din domeniul tehnologiei informației și comunicațiilor (TIC), inclusiv documentației aferente, care sunt prezentate spre certificare în temeiul EUCC, precum și tuturor profilurilor de protecție care sunt prezentate spre certificare ca parte a procesului TIC care duce la certificarea produselor TIC.

În sensul prezentului regulament, se aplică următoarele definiții:

criterii comune înseamnă criteriile comune de evaluare a securității informatice, astfel cum sunt stabilite în standardele ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 sau ISO/IEC 15408-5:2022 ori în criteriile comune de evaluare a securității informatice, versiunea CC:2022, părțile 1-5, publicate de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice;

metodologie comună de evaluare înseamnă metodologia comună de evaluare a securității informatice, astfel cum este stabilită în standardul ISO/IEC 18045:2022, sau metodologia comună de evaluare a securității informatice, versiunea CEM:2022, publicată de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice;

obiectul evaluării înseamnă un produs TIC sau o componentă a acestuia ori un profil de protecție ca parte a unui proces TIC, care face obiectul unei evaluări a securității cibernetice în vederea obținerii unui certificat EUCC;

obiectiv de securitate înseamnă pretinderea conformității cu cerințele de securitate dependente de implementare pentru un anumit produs TIC;

profil de protecție înseamnă un proces TIC care stabilește cerințele de securitate pentru o anumită categorie de produse TIC, descrie necesitățile în materie de securitate independente de implementare și poate fi utilizat pentru a evalua produse TIC ce se încadrează în categoria respectivă, în vederea certificării acestora;

raport tehnic de evaluare înseamnă un document elaborat de ITSEF care prezintă rezultatele, concluziile și justificările obținute în cursul evaluării unui produs TIC sau a unui profil de protecție în conformitate cu normele și obligațiile prevăzute în prezentul regulament;

ITSEF înseamnă o unitate de evaluare a securității informatice, care este un organism de evaluare a conformității, astfel cum este definit la articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008, care efectuează sarcini de evaluare;

nivel AVA_VAN înseamnă un nivel de analiză a vulnerabilității în ceea ce privește nivelul de asigurare care indică gradul activităților de evaluare a securității cibernetice desfășurate pentru a determina nivelul de rezistență la posibila exploatare a deficiențelor sau a punctelor slabe ale obiectului evaluării în mediul său operațional, astfel cum se prevede în criteriile comune;

certificat EUCC înseamnă un certificat de securitate cibernetică eliberat în temeiul EUCC pentru produse TIC sau pentru profiluri de protecție care pot fi utilizate exclusiv în procesul TIC de certificare a produselor TIC;

produs compozit înseamnă un produs TIC care este evaluat împreună cu un alt produs TIC subiacent ce a primit deja un certificat EUCC și de a cărui funcționalitate de securitate depinde produsul TIC compozit;

autoritate națională de certificare a securității cibernetice înseamnă o autoritate desemnată de un stat membru în temeiul articolului 58 alineatul (1) din Regulamentul (UE) 2019/881;

organism de certificare înseamnă un organism de evaluare a conformității astfel cum este definit la articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008 care desfășoară activități de certificare;

domeniu tehnic înseamnă un cadru tehnic comun legat de o anumită tehnologie pentru o certificare armonizată cu un set de cerințe de securitate caracteristice;

un document ce reflectă stadiul actual al tehnologiei înseamnă un document care specifică metodele, tehnicile și instrumentele de evaluare care se aplică certificării produselor TIC, cerințele de securitate ale unei categorii generice de produse TIC, precum și orice alte cerințe necesare pentru certificare, cu scopul de a armoniza evaluarea, în special cea a domeniilor tehnice sau a profilurilor de protecție;

autoritate de supraveghere a pieței înseamnă o autoritate astfel cum este definită la articolul 3 punctul 4 din Regulamentul (UE) 2019/1020;

serie de produse înseamnă un set de produse TIC ale unui solicitant, construit pe aceeași bază funcțională pentru a răspunde acelorași nevoi în materie de securitate, având un proiect, un hardware, un firmware sau un software care poate varia de la un produs TIC la altul;

modificare minoră înseamnă orice modificare a obiectivului certificat de evaluare sau a mediului său care nu are un impact negativ asupra asigurării exprimate în certificatul EUCC;

modificare majoră înseamnă orice modificare a obiectivului certificat de evaluare sau a mediului său care poate avea un impact negativ asupra asigurării exprimate în certificatul EUCC.

Următoarele standarde se aplică evaluărilor efectuate în cadrul sistemului EUCC:

criteriile comune;

metodologia comună de evaluare.

Până la 31 decembrie 2027, se poate elibera un certificat în cadrul sistemului EUCC, aplicând oricare dintre următoarele standarde:

ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 sau ISO/IEC 15408-3:2008;

Criteriile comune de evaluare a securității informatice, versiunea 3.1, revizia 5, publicate de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice;

ISO/IEC 18045:2008;

Metodologia comună de evaluare a securității informatice, revizuirea 5, versiunea 3.1, publicată de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice.

Până la 31 decembrie 2027, se poate elibera un certificat care aplică standardele menționate la alineatul (1) în cadrul sistemului EUCC și care a fost declarat conform cu un profil de protecție care a aplicat standardele enumerate la alineatul (2).

De asemenea, se poate elibera un certificat care aplică standardele menționate la alineatul (1) în cadrul sistemului EUCC și care a fost declarat conform cu un profil de protecție ce a aplicat oricare dintre următoarele standarde, cu condiția ca utilizarea unui astfel de profil de protecție să fie necesară în temeiul Regulamentului de punere în aplicare (UE) 2016/799 al Comisiei, al Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului sau al Deciziei de punere în aplicare (UE) 2016/650 a Comisiei:

Criteriile comune de evaluare a securității informatice, versiunea 3.1, revizuirile 1-4, publicate de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice;

Metodologia comună de evaluare a securității informatice, versiunea 3.1, revizuirile 1-4, publicată de participanții la Acordul privind recunoașterea certificatelor de criterii comune în domeniul securității informatice.

Organismele de certificare eliberează certificate EUCC pentru nivelul de asigurare substanțial sau ridicat.

Certificatele EUCC pentru nivelul de asigurare substanțial corespund certificatelor care acoperă nivelul AVA_VAN 1 sau 2.

Certificatele EUCC pentru nivelul de asigurare ridicat corespund certificatelor care acoperă nivelul AVA_VAN 3, 4 sau 5.

Nivelul de asigurare confirmat printr-un certificat EUCC face distincție între utilizarea conformă și utilizarea sporită a componentelor de asigurare, astfel cum se specifică în criteriile comune în conformitate cu anexa VIII.

Organismele de evaluare a conformității aplică acele componente ale asigurării de care depinde nivelul AVA_VAN selectat în conformitate cu standardele menționate la articolul 3.

Certificarea unui produs TIC se efectuează în raport cu obiectivul său de securitate:

astfel cum este definit de solicitant sau

declarat conform cu un profil de protecție certificat ca parte a procesului TIC, în cazul în care produsul TIC se încadrează în categoria de produse TIC aflată sub incidența respectivului profil de protecție.

Un profil de protecție trebuie să fie certificat exclusiv în scopul certificării produselor TIC care se încadrează în categoria specifică de produse TIC acoperită de acel profil de protecție.

Un organism de certificare poate permite certificarea unei serii de produse.

Nu este permisă o autoevaluare a conformității în sensul articolului 53 din Regulamentul (UE) 2019/881.

CAPITOLUL II

SECȚIUNEA I

Un produs TIC prezentat spre certificare trebuie evaluat cel puțin în conformitate cu următoarele elemente:

elementele aplicabile ale standardelor menționate la articolul 3;

clasele de cerințe de asigurare a securității pentru evaluarea vulnerabilităților și testarea funcțională independentă, astfel cum sunt prevăzute în standardele de evaluare menționate la articolul 3;

nivelul de risc asociat utilizării preconizate a produselor TIC în cauză în conformitate cu articolul 52 din Regulamentul (UE) 2019/881 și funcțiilor lor de securitate care sprijină obiectivele de securitate prevăzute la articolul 51 din Regulamentul (UE) 2019/881;

documentele ce reflectă stadiul actual al tehnologiei aplicabile enumerate în anexa I și

profilurile de protecție certificate aplicabile enumerate în anexa II.

În cazuri excepționale și justificate în mod corespunzător, un organism de evaluare a conformității poate solicita să nu aplice documentul relevant ce reflectă stadiul actual al tehnologiei. În aceste cazuri, organismul de evaluare a conformității informează autoritatea națională de certificare a securității cibernetice, motivându-și cererea în mod corespunzător. Autoritatea națională de certificare a securității cibernetice evaluează motivele excepției și, dacă aceasta se justifică, aprobă cererea. În așteptarea deciziei autorității naționale de certificare a securității cibernetice, organismul de evaluare a conformității nu eliberează niciun certificat. Autoritatea națională de certificare a securității cibernetice notifică excepția aprobată, fără întârzieri nejustificate, Grupului european pentru certificarea securității cibernetice, care poate emite un aviz. Autoritatea națională de certificare a securității cibernetice ține seama în cea mai mare măsură de avizul Grupului european pentru certificarea securității cibernetice.

Certificarea produselor TIC la nivelul AVA_VAN 4 sau 5 trebuie să fie posibilă numai în următoarele scenarii:

în cazul în care este vizat de oricare dintre domeniile tehnice enumerate în anexa I, produsul TIC este evaluat în conformitate cu documentele ce reflectă stadiul actual al tehnologiei aplicabile respectivelor domenii tehnice;

în cazul în care se încadrează într-o categorie de produse TIC vizate de un profil de protecție certificat care include nivelurile AVA_VAN 4 sau 5 și care figurează în anexa II ca profil de protecție ce reflectă stadiul actual al tehnologiei, produsul TIC este evaluat în conformitate cu metodologia de evaluare specificată pentru respectivul profil de protecție;

în cazul în care literele (a) și (b) de la prezentul alineat nu sunt aplicabile, iar includerea unui domeniu tehnic în anexa I sau a unui profil de protecție certificat în anexa II este puțin probabilă în viitorul apropiat și numai în cazuri excepționale și justificate în mod corespunzător, sub rezerva condițiilor prevăzute la alineatul (4).

În cazul în care un organism de evaluare a conformității consideră că se află într-un caz excepțional și justificat în mod corespunzător dintre cele menționate la alineatul (3) litera (c), acesta notifică certificarea avută în vedere autorității naționale de certificare a securității cibernetice, furnizând o justificare și o propunere de metodologie de evaluare. Autoritatea națională de certificare a securității cibernetice evaluează motivele excepției și, dacă aceasta se justifică, aprobă sau modifică metodologia de evaluare care urmează să fie aplicată de organismul de evaluare a conformității. În așteptarea deciziei autorității naționale de certificare a securității cibernetice, organismul de evaluare a conformității nu eliberează niciun certificat. Autoritatea națională de certificare a securității cibernetice raportează certificarea avută în vedere, fără întârzieri nejustificate, Grupului european pentru certificarea securității cibernetice, care poate emite un aviz. Autoritatea națională de certificare a securității cibernetice ține seama în cea mai mare măsură de avizul Grupului european pentru certificarea securității cibernetice.

În cazul unui produs TIC supus evaluării care vizează un produs compozit în conformitate cu documentele relevante ce reflectă stadiul actual al tehnologiei, unitatea ITSEF care a efectuat evaluarea produsului TIC subiacent pune informațiile relevante la dispoziția unității ITSEF care efectuează evaluarea produsului TIC compozit.

SECȚIUNEA II

Un solicitant al unui certificat EUCC transmite sau pune în alt mod la dispoziția organismului de certificare și a unității ITSEF toate informațiile necesare pentru activitățile de certificare și evaluare.

Informațiile menționate la alineatul (1) includ toate dovezile relevante în conformitate cu secțiunile referitoare la Elementele privind acțiunea dezvoltatorilor, în formatul corespunzător, astfel cum se prevede în secțiunile referitoare la Elementele privind conținutul și prezentarea dovezilor din criteriile comune și metodologia comună de evaluare pentru nivelul de asigurare ales și cerințele de asigurare a securității aferente. Dovezile includ, dacă este necesar, detalii privind produsul TIC și codul sursă al acestuia în conformitate cu prezentul regulament, sub rezerva unor garanții împotriva divulgării neautorizate.

Solicitanții certificatelor pot furniza organismului de certificare și unității ITSEF rezultatele unei evaluări corespunzătoare provenite de la o certificare anterioară realizată în temeiul:

prezentului regulament;

unui alt sistem european de certificare a securității cibernetice adoptat în temeiul articolului 49 din Regulamentul (UE) 2019/881;

unui sistem național dintre cele menționate la articolul 49 din prezentul regulament.

În cazul în care rezultatele evaluării sunt relevante pentru sarcinile sale, ITSEF poate reutiliza rezultatele evaluării, cu condiția ca aceste rezultate să fie conforme cu cerințele aplicabile și ca autenticitatea lor să fie confirmată.

În cazul în care organismul de certificare permite ca produsul să fie supus unei certificări pentru produse compozite, solicitantul certificării pune la dispoziția organismului de certificare și a unității ITSEF toate elementele necesare, după caz, în conformitate cu documentul ce reflectă stadiul actual al tehnologiei.

Solicitanții certificatelor furnizează, de asemenea, organismului de certificare și unității ITSEF următoarele informații:

linkul către site-ul lor care conține informațiile suplimentare în materie de securitate cibernetică menționate la articolul 55 din Regulamentul (UE) 2019/881;

o descriere a procedurilor utilizate de solicitant pentru gestionarea și divulgarea vulnerabilităților.

Toate documentele relevante menționate la prezentul articol sunt păstrate de organismul de certificare, de ITSEF și de solicitant pentru o perioadă de 5 ani de la expirarea certificatului.

Organismele de certificare eliberează un certificat EUCC în cazul în care sunt îndeplinite toate condițiile următoare:

categoria de produse TIC intră în sfera de aplicare a acreditării și, după caz, a autorizării organismului de certificare și a unității ITSEF implicate în certificare;

solicitantul certificatului a semnat o declarație prin care își asumă toate angajamentele enumerate la alineatul (2);

ITSEF a încheiat evaluarea fără obiecții în conformitate cu standardele, criteriile și metodele de evaluare menționate la articolele 3 și 7;

organismul de certificare a încheiat examinarea rezultatelor evaluării fără obiecții;

organismul de certificare a verificat dacă rapoartele tehnice de evaluare furnizate de ITSEF sunt conforme cu dovezile furnizate și dacă standardele, criteriile și metodele de evaluare menționate la articolele 3 și 7 au fost aplicate corect.

Solicitantul certificatului își asumă următoarele angajamente:

să furnizeze organismului de certificare și unității ITSEF toate informațiile necesare, complete și corecte și să furnizeze informații suplimentare necesare, la cerere, inclusiv o versiune în limba engleză a obiectivului de securitate;

să nu promoveze produsul TIC ca fiind certificat în temeiul EUCC înainte de eliberarea certificatului EUCC;

să promoveze produsul TIC ca fiind certificat numai în ceea ce privește sfera de aplicare stabilită în certificatul EUCC;

să înceteze imediat promovarea produsului TIC ca fiind certificat în cazul suspendării, retragerii sau expirării certificatului EUCC;

să se asigure că produsele TIC comercializate cu trimitere la certificatul EUCC sunt strict identice cu produsul TIC care face obiectul certificării;

să respecte normele de utilizare a mărcii și a etichetei stabilite pentru certificatul EUCC în conformitate cu articolul 11.

În cazul unui produs TIC supus certificării care vizează un produs compozit în conformitate cu documentele relevante ce reflectă stadiul actual al tehnologiei, organismul de certificare care a efectuat certificarea produsului TIC subiacent pune informațiile relevante la dispoziția organismului de certificare care efectuează certificarea produsului TIC compozit.

Certificatul EUCC include cel puțin informațiile prevăzute în anexa VII.

Domeniul de aplicare și limitele produsului TIC certificat sunt specificate fără echivoc în certificatul EUCC sau în raportul de certificare, indicându-se dacă a fost certificat întregul produs TIC sau doar părți ale acestuia.

Organismul de certificare furnizează solicitantului certificatul EUCC cel puțin în format electronic.

Organismul de certificare întocmește un raport de certificare în conformitate cu anexa V pentru fiecare certificat EUCC pe care îl eliberează. Raportul de certificare se bazează pe raportul tehnic de evaluare emis de ITSEF. Raportul tehnic de evaluare și raportul de certificare indică criteriile și metodele specifice de evaluare menționate la articolul 7 utilizate pentru evaluare.

Organismul de certificare furnizează autorității naționale de certificare a securității cibernetice și ENISA fiecare certificat EUCC și fiecare raport de certificare în format electronic.

Titularul certificatului poate aplica o marcă și o etichetă pe un produs TIC certificat. Marca și eticheta demonstrează că produsul TIC a fost certificat în conformitate cu prezentul regulament. Marca și eticheta se aplică în conformitate cu prezentul articol și cu anexa IX.

Marca și eticheta se aplică în mod vizibil, lizibil și indelebil pe produsul TIC certificat sau pe plăcuța cu date a acestuia. Dacă acest lucru nu este posibil sau nu se justifică dată fiind natura produsului, marca se aplică pe ambalaj și pe documentele însoțitoare. În cazul în care produsul TIC certificat este livrat sub formă de software, marca și eticheta apar în mod vizibil, lizibil și indelebil în documentația însoțitoare sau această documentație este pusă la dispoziția utilizatorilor ușor și direct prin intermediul unui site web.

Marca și eticheta respectă dispozițiile anexei IX și conțin:

nivelul de asigurare și nivelul AVA_VAN al produsului TIC certificat;

identificarea unică a certificatului, constând în:

denumirea sistemului;

numărul de identificare, în conformitate cu articolul 3 din Regulamentul de punere în aplicare (UE) 2024/3143, al organismului de certificare care a eliberat certificatul;

anul eliberării certificatului inițial;

numărul de identificare atribuit de organismul de certificare care a eliberat certificatul.

denumirea sistemului;

numărul de identificare, în conformitate cu articolul 3 din Regulamentul de punere în aplicare (UE) 2024/3143, al organismului de certificare care a eliberat certificatul;

anul eliberării certificatului inițial;

numărul de identificare atribuit de organismul de certificare care a eliberat certificatul.

Marca și eticheta sunt însoțite de un cod QR cu un link către un site web care conține cel puțin:

informațiile privind valabilitatea certificatului;

informațiile necesare privind certificarea, astfel cum sunt prevăzute în anexele V și VII;

informațiile care trebuie puse la dispoziția publicului de către titularul certificatului în conformitate cu articolul 55 din Regulamentul (UE) 2019/881; și

după caz, informații anterioare legate de certificarea sau certificările specifice ale produsului TIC, pentru a permite trasabilitatea.

Organismul de certificare stabilește o perioadă de valabilitate pentru fiecare certificat EUCC eliberat, în funcție de caracteristicile produsului TIC certificat.

Perioada de valabilitate a certificatului EUCC nu poate depăși cinci ani.

Prin derogare de la alineatul (2), perioada respectivă poate depăși cinci ani sub rezerva aprobării prealabile a autorității naționale de certificare a securității cibernetice. Autoritatea națională de certificare a securității cibernetice notifică Grupului european pentru certificarea securității cibernetice aprobarea acordată, fără întârzieri nejustificate.

La cererea titularului certificatului sau din alte motive justificate, organismul de certificare poate decide să revizuiască certificatul EUCC pentru un produs TIC. Revizuirea se efectuează în conformitate cu anexa IV. Organismul de certificare stabilește amploarea revizuirii. În cazul în care acest lucru este necesar pentru revizuire, organismul de certificare solicită unității ITSEF să efectueze o reevaluare a produsului TIC certificat.

În urma rezultatelor revizuirii și, după caz, ale reevaluării, organismul de certificare:

confirmă certificatul EUCC;

retrage certificatul EUCC în conformitate cu articolul 14;

retrage certificatul EUCC în conformitate cu articolul 14 și eliberează un nou certificat EUCC cu o sferă de aplicare identică și cu o perioadă de valabilitate prelungită; sau

retrage certificatul EUCC în conformitate cu articolul 14 și eliberează un nou certificat EUCC cu o sferă de aplicare diferită.

Organismul de certificare poate decide să suspende, fără întârzieri nejustificate, certificatul EUCC în conformitate cu articolul 30, în așteptarea unor măsuri de remediere pe care trebuie să le ia titularul certificatului EUCC.

Fără a aduce atingere articolului 58 alineatul (8) litera (e) din Regulamentul (UE) 2019/881, certificatul EUCC trebuie retras de organismul de certificare care a eliberat respectivul certificat.

Organismul de certificare menționat la alineatul (1) notifică retragerea certificatului autorității naționale de certificare a securității cibernetice. Aceasta informează și ENISA cu privire la această retragere, în vederea facilitării sarcinilor care îi revin acesteia în temeiul articolului 50 din Regulamentul (UE) 2019/881. Autoritatea națională de certificare a securității cibernetice informează celelalte autorități de supraveghere a pieței relevante.

Titularul unui certificat EUCC poate solicita retragerea certificatului.

CAPITOLUL III

SECȚIUNEA I

Un profil de protecție trebuie evaluat cel puțin în conformitate cu următoarele elemente:

elementele aplicabile ale standardelor menționate la articolul 3;

nivelul de risc asociat utilizării preconizate a produselor TIC în cauză în conformitate cu articolul 52 din Regulamentul (UE) 2019/881 și funcțiile lor de securitate care sprijină obiectivele de securitate prevăzute la articolul 51 din respectivul regulament; și

documentele ce reflectă stadiul actual al tehnologiei aplicabile enumerate în anexa I. Un profil de protecție acoperit de un domeniu tehnic trebuie certificat în raport cu cerințele stabilite în domeniul tehnic respectiv.

În cazuri excepționale și justificate în mod corespunzător, un organism de evaluare a conformității poate certifica un profil de protecție fără a aplica documentele relevante ce reflectă stadiul actual al tehnologiei. În astfel de cazuri, organismul respectiv informează autoritatea națională de certificare a securității cibernetice de resort și furnizează o justificare privind certificarea fără aplicarea documentelor relevante ce reflectă stadiul actual al tehnologiei pe care o are în vedere, precum și metodologia de evaluare propusă. Autoritatea națională de certificare a securității cibernetice evaluează justificarea și, dacă acesta este întemeiată, aprobă neaplicarea documentelor relevante ce reflectă stadiul actual al tehnologiei și aprobă sau modifică, după caz, metodologia de evaluare care urmează să fie aplicată de organismul de evaluare a conformității. În așteptarea deciziei autorității naționale de certificare a securității cibernetice, organismul de evaluare a conformității nu eliberează niciun certificat pentru profilul de protecție. Autoritatea națională de certificare a securității cibernetice notifică autorizarea neaplicării documentelor relevante ce reflectă stadiul actual al tehnologiei, fără întârzieri nejustificate, Grupului european pentru certificarea securității cibernetice, care poate emite un aviz. Autoritatea națională de certificare a securității cibernetice ține seama în cea mai mare măsură de avizul Grupului european pentru certificarea securității cibernetice.

SECȚIUNEA II

Un solicitant al unui certificat pentru un profil de protecție transmite sau pune în alt mod la dispoziția organismului de certificare și a ITSEF toate informațiile necesare pentru activitățile de certificare și evaluare într-o formă completă și corectă. Articolul 8 alineatele (2), (3), (4) și (7) se aplică mutatis mutandis.

Solicitantul unui certificat furnizează organismului de certificare și unității ITSEF toate informațiile necesare, complete și corecte.

Articolele 9 și 10 se aplică mutatis mutandis.

ITSEF determină dacă un profil de protecție este complet, consecvent, solid din punct de vedere tehnic și eficace pentru utilizarea preconizată și pentru obiectivele de securitate ale categoriei de produse TIC acoperite de respectivul profil de protecție.

Un profil de protecție trebuie să fie certificat exclusiv de către:

o autoritate națională de certificare a securității cibernetice sau un alt organism public acreditat ca organism de certificare; sau

un organism de certificare, cu aprobarea prealabilă a autorității naționale de certificare a securității cibernetice pentru fiecare profil de protecție în parte.

Organismul de certificare stabilește o perioadă de valabilitate pentru fiecare certificat EUCC.

Perioada de valabilitate poate acoperi întreaga durată de viață a profilului de protecție în cauză.

La cererea titularului certificatului sau din alte motive justificate, organismul de certificare poate decide să revizuiască un certificat EUCC pentru un profil de protecție. Revizuirea se efectuează în conformitate cu anexa IV. Organismul de certificare stabilește amploarea revizuirii. În cazul în care acest lucru este necesar pentru revizuire, organismul de certificare solicită unității ITSEF să efectueze o reevaluare a profilului de protecție certificat.

În urma rezultatelor revizuirii și, după caz, ale reevaluării, organismul de certificare întreprinde una dintre următoarele acțiuni:

confirmă certificatul EUCC;

retrage certificatul EUCC în conformitate cu articolul 20;

retrage certificatul EUCC în conformitate cu articolul 20 și eliberează un nou certificat EUCC cu o sferă de aplicare identică și cu o perioadă de valabilitate prelungită;

retrage certificatul EUCC în conformitate cu articolul 20 și eliberează un nou certificat EUCC cu o sferă de aplicare diferită.

Fără a aduce atingere articolului 58 alineatul (8) litera (e) din Regulamentul (UE) 2019/881, un certificat EUCC pentru un profil de protecție trebuie retras de organismul de certificare care a eliberat respectivul certificat. Articolul 14 se aplică mutatis mutandis.

Un certificat pentru un profil de protecție eliberat în conformitate cu articolul 17 alineatul (4) litera (b) trebuie retras de autoritatea națională de certificare a securității cibernetice care a aprobat certificatul respectiv.

CAPITOLUL IV

Acreditarea organismelor de evaluare a conformității ține seama de specificarea cerințelor de acreditare a organismelor de certificare și a unităților ITSEF, astfel cum se prevede în documentele care reflectă stadiul actual al tehnologiei și care sunt aplicabile și enumerate la punctul 2 din anexa I.

Un organism de certificare este autorizat de autoritatea națională de certificare a securității cibernetice să elibereze certificate EUCC pentru nivelul de asigurare ridicat în cazul în care demonstrează, pe lângă îndeplinirea cerințelor prevăzute la articolul 60 alineatul (1) și în anexa la Regulamentul (UE) 2019/881 privind acreditarea organismelor de evaluare a conformității, că:

deține expertiza și competențele necesare pentru a lua decizia de certificare pentru nivelul de asigurare ridicat;

își desfășoară activitățile de certificare în cooperare cu o unitate ITSEF autorizată în conformitate cu articolul 22; și

dispune de competențele necesare și a instituit măsuri tehnice și operaționale adecvate pentru a proteja în mod eficace informațiile confidențiale și sensibile pentru nivelul de asigurare ridicat, în plus față de cerințele prevăzute la articolul 43.

Autoritatea națională de certificare a securității cibernetice evaluează dacă un organism de certificare îndeplinește toate cerințele prevăzute la alineatul (1). Această evaluare include cel puțin interviuri structurate și o examinare a cel puțin unei certificări-pilot efectuate de organismul de certificare în conformitate cu prezentul regulament.

prezentului regulament;

unui alt sistem european de certificare a securității cibernetice adoptat în temeiul articolului 49 din Regulamentul (UE) 2019/881;

unui sistem național dintre cele menționate la articolul 49 din prezentul regulament.

Autoritatea națională de certificare a securității cibernetice întocmește un raport de autorizare care face obiectul unei evaluări inter pares în conformitate cu articolul 59 alineatul (3) litera (d) din Regulamentul (UE) 2019/881.

Autoritatea națională de certificare a securității cibernetice precizează categoriile de produse TIC și profilurile de protecție la care se extinde autorizația. Autorizația este valabilă pentru o perioadă care nu depășește perioada de valabilitate a acreditării. Aceasta poate fi reînnoită la cerere, cu condiția ca organismul de certificare să îndeplinească în continuare cerințele prevăzute la prezentul articol. Pentru reînnoirea autorizației, nu sunt necesare evaluări-pilot.

Autoritatea națională de certificare a securității cibernetice retrage autorizația organismului de certificare în cazul în care acesta nu mai îndeplinește condițiile prevăzute la prezentul articol. La retragerea autorizației, organismul de certificare încetează imediat să se declare drept organism de certificare autorizat.

O unitate ITSEF este autorizată de autoritatea națională de certificare a securității cibernetice să realizeze evaluarea produselor TIC care fac obiectul certificării pentru nivelul de asigurare ridicat în cazul în care demonstrează, pe lângă îndeplinirea cerințelor prevăzute la articolul 60 alineatul (1) și în anexa la Regulamentul (UE) 2019/881 privind acreditarea organismelor de evaluare a conformității, că respectă toate condițiile următoare:

dispune de expertiza necesară pentru a efectua activitățile de evaluare în vederea determinării rezistenței la atacurile cibernetice de ultimă generație desfășurate de actori cu competențe și resurse semnificative;

pentru domeniile tehnice și profilurile de protecție care fac parte din procesul TIC pentru respectivele produsele TIC, aceasta are:

expertiza necesară pentru efectuarea activităților de evaluare specifice necesare pentru a determina metodic, în mediul său operațional, rezistența unui obiect al evaluării împotriva atacatorilor calificați, pe baza unui atac potențial clasificat drept moderat sau ridicat potrivit standardelor menționate la articolul 3;

competențele tehnice specificate în documentele ce reflectă stadiul actual al tehnologiei enumerate în anexa I.

dispune de competențele necesare și a instituit măsuri tehnice și operaționale adecvate pentru a proteja în mod eficace informațiile confidențiale și sensibile pentru nivelul de asigurare ridicat, în plus față de cerințele prevăzute la articolul 43.

expertiza necesară pentru efectuarea activităților de evaluare specifice necesare pentru a determina metodic, în mediul său operațional, rezistența unui obiect al evaluării împotriva atacatorilor calificați, pe baza unui atac potențial clasificat drept moderat sau ridicat potrivit standardelor menționate la articolul 3;

competențele tehnice specificate în documentele ce reflectă stadiul actual al tehnologiei enumerate în anexa I.

Autoritatea națională de certificare a securității cibernetice evaluează dacă ITSEF îndeplinește toate cerințele prevăzute la alineatul (1). Această evaluare include cel puțin interviuri structurate și o examinare a cel puțin unei evaluări-pilot efectuate de ITSEF în conformitate cu prezentul regulament.

În evaluarea sa, autoritatea națională de certificare a securității cibernetice poate reutiliza orice dovadă adecvată dintr-o autorizare prealabilă sau din activități similare acordate în temeiul:

prezentului regulament;

unui alt sistem european de certificare a securității cibernetice adoptat în temeiul articolului 49 din Regulamentul (UE) 2019/881;

unui sistem național dintre cele menționate la articolul 49 din prezentul regulament.

Autoritatea națională de certificare a securității cibernetice întocmește un raport de autorizare care face obiectul unei evaluări inter pares în conformitate cu articolul 59 alineatul (3) litera (d) din Regulamentul (UE) 2019/881.

Autoritatea națională de certificare a securității cibernetice precizează categoriile de produse TIC și profilurile de protecție la care se extinde autorizația. Autorizația este valabilă pentru o perioadă care nu depășește perioada de valabilitate a acreditării. Aceasta poate fi reînnoită la cerere, cu condiția ca ITSEF să îndeplinească în continuare cerințele prevăzute la prezentul articol. Pentru reînnoirea autorizației, nu ar trebui să fie necesare evaluări-pilot.

Autoritatea națională de certificare a securității cibernetice retrage autorizația unității ITSEF în cazul în care aceasta nu mai îndeplinește condițiile prevăzute la prezentul articol. La retragerea autorizației, ITSEF încetează să se declare drept unitate ITSEF autorizată.

Autoritatea națională de certificare a securității cibernetice notifică Comisiei organismele de certificare de pe teritoriul său care au competența de a certifica nivelul de asigurare substanțial pe baza acreditării lor.

Autoritatea națională de certificare a securității cibernetice notifică Comisiei organismele de certificare de pe teritoriul său care au competența de a certifica nivelul de asigurare ridicat pe baza acreditării lor și a deciziei de autorizare.

Autoritatea națională de certificare a securității cibernetice furnizează cel puțin următoarele informații atunci când notifică Comisiei organismele de certificare:

nivelul sau nivelurile de asigurare pentru care organismul de certificare este competent să elibereze certificate EUCC;

următoarele informații referitoare la acreditare:

data acreditării;

numele și adresa organismului de certificare;

țara de înregistrare a organismului de certificare;

numărul de referință al acreditării;

sfera de aplicare și durata de valabilitate a acreditării;

adresa, locul și linkul către site-ul web relevant al organismului național de acreditare; și

următoarele informații referitoare la autorizația pentru nivelul ridicat:

data autorizației;

numărul de referință al autorizației;

durata de valabilitate a autorizației;

sfera de aplicare a autorizației, inclusiv cel mai înalt nivel AVA_VAN și, după caz, domeniul tehnic acoperit.

data acreditării;

numele și adresa organismului de certificare;

țara de înregistrare a organismului de certificare;

numărul de referință al acreditării;

sfera de aplicare și durata de valabilitate a acreditării;

adresa, locul și linkul către site-ul web relevant al organismului național de acreditare; și

data autorizației;

numărul de referință al autorizației;

durata de valabilitate a autorizației;

sfera de aplicare a autorizației, inclusiv cel mai înalt nivel AVA_VAN și, după caz, domeniul tehnic acoperit.

Autoritatea națională de certificare a securității cibernetice trimite ENISA o copie a notificării menționate la alineatele (1) și (2) în vederea publicării de informații exacte pe site-ul dedicat certificării securității cibernetice cu privire la eligibilitatea organismelor de certificare.

Autoritatea națională de certificare a securității cibernetice examinează fără întârzieri nejustificate orice informație referitoare la modificarea statutului acreditării transmisă de organismul național de acreditare. În cazul în care acreditarea sau autorizația a fost retrasă, autoritatea națională de certificare a securității cibernetice informează Comisia în acest sens și poate transmite Comisiei o cerere în conformitate cu articolul 61 alineatul (4) din Regulamentul (UE) 2019/881.

Obligațiile de notificare ale autorităților naționale de certificare a securității cibernetice prevăzute la articolul 23 se aplică și în cazul ITSEF. Notificarea include adresa ITSEF, acreditarea valabilă și, după caz, autorizația valabilă a acesteia.

CAPITOLUL V

SECȚIUNEA I

Fără a aduce atingere articolului 58 alineatul (7) din Regulamentul (UE) 2019/881, autoritatea națională de certificare a securității cibernetice monitorizează:

respectarea de către organismul de certificare și ITSEF a obligațiilor care le revin în temeiul prezentului regulament și al Regulamentului (UE) 2019/881;

respectarea titularilor unui certificat EUCC a obligațiilor care le revin în temeiul prezentului regulament și al Regulamentului (UE) 2019/881;

conformitatea produselor TIC certificate cu cerințele stabilite în EUCC;

conformitatea asigurării din certificatul EUCC care abordează evoluțiile în ceea ce privește amenințările cibernetice.

Autoritatea națională de certificare a securității cibernetice își desfășoară activitățile de monitorizare în special pe baza următoarelor elemente:

informații provenind de la organismele de certificare, organismele naționale de acreditare și autoritățile relevante de supraveghere a pieței;

informații rezultate din auditurile și investigațiile proprii sau ale unei alte autorități;

eșantionarea efectuată conform alineatului (3);

reclamațiile primite.

Autoritatea națională de certificare a securității cibernetice, în cooperare cu alte autorități de supraveghere a pieței, eșantionează anual cel puțin 4 % din certificatele EUCC, stabilite printr-o evaluare a riscurilor. La cerere și acționând în numele autorității naționale de certificare a securității cibernetice de resort, organismele de certificare și, dacă este necesar, ITSEF sprijină autoritatea respectivă în ceea ce privește monitorizarea conformității.

Autoritatea națională de certificare a securității cibernetice selectează pe baza unor criterii obiective eșantionul de produse TIC certificate care urmează să fie verificate, criterii care includ:

categoria de produse;

nivelurile de asigurare ale produselor;

titularul unui certificat;

organismul de certificare și, după caz, unitatea ITSEF cu care s-a semnat un subcontract;

orice alte informații aduse la cunoștința autorității.

Autoritatea națională de certificare a securității cibernetice informează titularii certificatelor EUCC cu privire la produsele TIC selectate și la criteriile de selecție.

Organismul de certificare care a certificat produsul TIC eșantionat efectuează, la cererea autorității naționale de certificare a securității cibernetice și cu sprijinul respectivei unități ITSEF, o examinare suplimentară în conformitate cu procedura prevăzută în anexa IV secțiunea IV.2 și informează autoritatea națională de certificare a securității cibernetice cu privire la rezultate.

În cazul în care autoritatea națională de certificare a securității cibernetice are motive suficiente să creadă că un produs TIC certificat nu mai este conform cu prezentul regulament sau cu Regulamentul (UE) 2019/881, aceasta poate efectua investigații sau recurge la orice alte competențe de monitorizare prevăzute la articolul 58 alineatul (8) din Regulamentul (UE) 2019/881.

Autoritatea națională de certificare a securității cibernetice informează organismul de certificare și unitatea ITSEF cu privire la investigațiile în curs privind produsele TIC selectate.

În cazul în care constată că o investigație în curs se referă la produse TIC care sunt certificate de organisme de certificare stabilite în alte state membre, autoritatea națională de certificare a securității cibernetice informează autoritățile naționale de certificare a securității cibernetice din statele membre relevante cu privire la acest lucru pentru a colabora la investigații, dacă este necesar. Respectiva autoritate națională de certificare a securității cibernetice informează și Grupul european pentru certificarea securității cibernetice cu privire la investigațiile transfrontaliere și rezultatele ulterioare.

Organismul de certificare monitorizează:

respectarea de către titularii unui certificat a obligațiilor care le revin în temeiul prezentului regulament și al Regulamentului (UE) 2019/881 în ceea ce privește certificatul EUCC care a fost eliberat de organismul de certificare;

conformitatea produselor TIC pe care le-a certificat cu cerințele de securitate proprii acestora;

asigurarea care figurează în profilurile de protecție certificate.

Organismul de certificare își desfășoară activitățile de monitorizare pe baza următoarelor elemente:

informațiile furnizate pe baza angajamentelor solicitantului certificatului menționate la articolul 9 alineatul (2);

informațiile rezultate din activitățile altor autorități de supraveghere a pieței relevante;

reclamațiile primite;

informațiile privind vulnerabilitățile care ar putea avea un impact asupra produselor TIC pe care le-a certificat.

Autoritatea națională de certificare a securității cibernetice poate elabora norme pentru un dialog periodic între organismele de certificare și titularii de certificate EUCC pentru a verifica și a raporta cu privire la respectarea angajamentelor asumate în temeiul articolului 9 alineatul (2), fără a aduce atingere activităților legate de alte autorități de supraveghere a pieței relevante.

Titularul unui certificat EUCC îndeplinește următoarele sarcini de monitorizare a conformității produsului TIC certificat cu propriile cerințe de securitate:

monitorizarea informațiilor privind vulnerabilitățile produsului TIC certificat, inclusiv a dependențelor cunoscute, prin mijloace proprii, dar și având în vedere:

informație privind vulnerabilitățile publicată sau transmisă de către utilizatori sau cercetători din domeniul securității, astfel cum se menționează la articolul 55 alineatul (1) litera (c) din Regulamentul (UE) 2019/881;

informație transmisă din orice altă sursă;

monitorizarea asigurării care figurează în certificatul EUCC.

informație privind vulnerabilitățile publicată sau transmisă de către utilizatori sau cercetători din domeniul securității, astfel cum se menționează la articolul 55 alineatul (1) litera (c) din Regulamentul (UE) 2019/881;

informație transmisă din orice altă sursă;

Titularul unui certificat EUCC lucrează în cooperare cu organismul de certificare, cu ITSEF și, după caz, cu autoritatea națională de certificare a securității cibernetice pentru a sprijini activitățile de monitorizare ale acestora.

SECȚIUNEA II

În cazul în care un produs TIC sau un profil de protecție certificat nu este conform cu cerințele prevăzute în prezentul regulament și în Regulamentul (UE) 2019/881, organismul de certificare informează titularul certificatului EUCC cu privire la neconformitatea identificată și solicită măsuri de remediere.

În situația în care un caz de neconformitate cu dispozițiile prezentului regulament ar putea afecta conformitatea cu un alt act legislativ relevant al Uniunii, care prevede posibilitatea de a demonstra prezumția de conformitate cu cerințele actului legislativ respectiv prin utilizarea certificatului EUCC, organismul de certificare informează fără întârziere autoritatea națională de certificare a securității cibernetice în acest sens. Autoritatea națională de certificare a securității cibernetice notifică imediat cazul de neconformitate identificat autorității de supraveghere a pieței în a cărei sferă de competență intră respectivul actul legislativ relevant al Uniunii.

La primirea informațiilor menționate la alineatul (1), titularul certificatului EUCC propune organismului de certificare, în termenul stabilit de acesta din urmă, care nu poate depăși 30 de zile, măsurile de remediere necesare pentru a corecta neconformitatea.

Organismul de certificare poate suspenda certificatul EUCC în conformitate cu articolul 30 fără întârzieri nejustificate, în caz de urgență sau în cazul în care titularul certificatului EUCC nu cooperează în mod corespunzător cu organismul de certificare.

Organismul de certificare efectuează o revizuire în conformitate cu articolele 13 și 19, evaluând dacă măsurile de remediere corectează neconformitatea.

În cazul în care titularul certificatului EUCC nu propune măsuri de remediere adecvate în perioada menționată la alineatul (3), certificatul se suspendă în conformitate cu articolul 30 sau se retrage în conformitate cu articolul 14 sau 20.

Prezentul articol nu se aplică în cazul vulnerabilităților care afectează un produs TIC certificat, care sunt gestionate în conformitate cu capitolul VI.

În cazul în care organismul de certificare constată că:

titularul certificatului EUCC sau solicitantul unui certificat nu își respectă angajamentele și obligațiile prevăzute la articolul 9 alineatul (2), la articolul 17 alineatul (2) și la articolele 27 și 41 sau

titularul certificatului EUCC nu respectă articolul 56 alineatul (8) din Regulamentul (UE) 2019/881 sau capitolul VI din prezentul regulament,

În cazul în care titularul certificatului EUCC nu propune măsuri de remediere adecvate în perioada menționată la alineatul (1), certificatul se suspendă în conformitate cu articolul 30 sau se retrage în conformitate cu articolul 14 sau 20.

Încălcarea continuă sau recurentă de către titularul unui certificat EUCC a obligațiilor menționate la alineatul (1) duce la retragerea certificatului EUCC în conformitate cu articolul 14 sau 20.

Organismul de certificare informează autoritatea națională de certificare a securității cibernetice cu privire la constatările menționate la alineatul (1). În cazul în care situația de neconformitate afectează conformitatea cu alte acte legislative relevante ale Uniunii, autoritatea națională de certificare a securității cibernetice notifică imediat situația de neconformitate identificată autorității de supraveghere a pieței în a cărei sferă de competență intră aceste alte acte legislative relevante ale Uniunii.

În cazurile în care prezentul regulament se referă la suspendarea unui certificat EUCC, organismul de certificare suspendă certificatul EUCC în cauză pentru o perioadă corespunzătoare circumstanțelor care declanșează suspendarea, care nu poate depăși 42 de zile. Perioada de suspendare începe în ziua următoare datei deciziei organismului de certificare. Suspendarea nu afectează valabilitatea certificatului.

Organismul de certificare notifică suspendarea certificatului titularului certificatului și autorității naționale de certificare a securității cibernetice fără întârzieri nejustificate și prezintă motivele suspendării, acțiunile care trebuie întreprinse și perioada de suspendare.

Titularii certificatelor informează cumpărătorii produselor TIC în cauză cu privire la suspendare și la motivele furnizate de organismul de certificare privind suspendarea, cu excepția acelor informații a căror divulgare ar constitui un risc la adresa securității sau care conțin date sensibile. Aceste informații trebuie puse, de asemenea, la dispoziția publicului de către titularul certificatului.

În cazul în care alte acte legislative relevante ale Uniunii prevăd o prezumție de conformitate pe baza certificatelor eliberate în temeiul dispozițiilor prezentului regulament, autoritatea națională de certificare a securității cibernetice notifică suspendarea autorității de supraveghere a pieței în a cărei sferă de competență intră aceste alte acte legislative relevante ale Uniunii.

Suspendarea unui certificat trebuie notificată către ENISA în conformitate cu articolul 42 alineatul (3).

În cazuri justificate în mod corespunzător, autoritatea națională de certificare a securității cibernetice poate autoriza o prelungire a perioadei de suspendare a certificatului EUCC. Durata totală a suspendării nu poate depăși un an.

În cazul în care un organism de certificare nu își respectă obligațiile sau în cazul în care un anumit organism de certificare nu își face datoria în cazul identificării neconformității unei unități ITSEF, autoritatea națională de certificare a securității cibernetice trebuie, fără întârzieri nejustificate:

să identifice, cu sprijinul unității ITSEF în cauză, certificatele EUCC care ar putea fi afectate;

să solicite, dacă este necesar, ca unul sau mai multe produse TIC sau profiluri de protecție să fie evaluate fie de către unitatea ITSEF care a efectuat evaluarea, fie de orice altă unitate ITSEF acreditată și, după caz, autorizată, care poate fi mai în măsură din punct de vedere tehnic să sprijine identificarea respectivă;

să analizeze impactul neconformității;

să informeze titularul certificatului EUCC afectat de neconformitate.

Pe baza măsurilor menționate la alineatul (1), organismul de certificare adoptă oricare dintre următoarele decizii cu privire la fiecare certificat EUCC afectat:

menține certificatul EUCC fără modificări;

retrage certificatul EUCC în conformitate cu articolul 14 sau 20 și, după caz, eliberează un nou certificat EUCC.

Pe baza măsurilor menționate la alineatul (1), autoritatea națională de certificare a securității cibernetice:

raportează organismului național de acreditare, dacă este necesar, neconformitatea organismului de certificare sau a unității ITSEF conexe;

evaluează, dacă este cazul, impactul potențial asupra autorizației.

CAPITOLUL VI

Prezentul capitol se aplică produselor TIC pentru care a fost eliberat un certificat EUCC.

SECȚIUNEA I

Titularul unui certificat EUCC instituie și menține toate procedurile necesare de gestionare a vulnerabilităților în conformitate cu normele prevăzute în prezenta secțiune și, dacă este necesar, prin completare cu de procedurile prevăzute în EN ISO/IEC 30111.

Titularul unui certificat EUCC utilizează și publică metode adecvate pentru a primi informații privind vulnerabilitățile legate de produsele sale din surse externe, inclusiv din partea utilizatorilor, a organismelor de certificare și a cercetătorilor din domeniul securității.

În cazul în care detectează sau primește informații cu privire la o potențială vulnerabilitate care afectează un produs TIC certificat, titularul unui certificat EUCC înregistrează informația respectivă și efectuează o analiză a impactului vulnerabilității.

Atunci când o potențială vulnerabilitate vizează un produs compozit, titularul certificatului EUCC informează titularul certificatelor EUCC dependente cu privire la respectiva vulnerabilitate.

Ca răspuns la o cerere rezonabilă din partea organismului de certificare care a eliberat certificatul, titularul unui certificat EUCC transmite organismului de certificare respectiv toate informațiile relevante cu privire la potențialele vulnerabilități.

Analiza impactului vulnerabilităților se referă la obiectul evaluării și la declarațiile de asigurare cuprinse în certificat. Analiza impactului vulnerabilităților se efectuează într-un interval de timp adecvat în ceea ce privește riscul de exploatare și caracterul critic al vulnerabilității potențiale a produsului TIC certificat.

Dacă este cazul, se efectuează un calcul al potențialului de atac în conformitate cu metodologia relevantă inclusă în standardele menționate la articolul 3 și în documentele relevante ce reflectă stadiul actual al tehnologiei enumerate în anexa I, pentru a determina în ce măsură vulnerabilitatea riscă să fie exploatată. Se ia în considerare nivelul AVA_VAN al certificatului EUCC.

Titularul întocmește un raport de analiză a impactului vulnerabilității în cazul în care analiza impactului arată că vulnerabilitatea are un impact probabil asupra conformității produsului TIC cu certificatul său.

Raportul de analiză a impactului vulnerabilității conține o evaluare a următoarelor elemente:

impactul vulnerabilității produsului TIC certificat;

riscurile posibile asociate proximității sau posibilității unui atac;

posibilitatea ca vulnerabilitatea să poată fi remediată;

în cazul în care vulnerabilitatea poate fi remediată, posibilele soluționări ale vulnerabilității.

Raportul de analiză a impactului vulnerabilității conține, după caz, detalii cu privire la mijloacele posibile de exploatare a vulnerabilității. Informațiile referitoare la mijloacele posibile de exploatare a vulnerabilității trebuie tratate în conformitate cu măsurile de securitate adecvate pentru a proteja confidențialitatea și pentru a asigura, dacă este necesar, distribuția limitată a acestora.

Titularul certificatului EUCC transmite raportul de analiză a impactului vulnerabilității organismului de certificare sau autorității naționale de certificare a securității cibernetice în conformitate cu articolul 56 alineatul (8) din Regulamentul (UE) 2019/881, fără întârzieri nejustificate.

În cazul în care raportul de analiză a impactului vulnerabilității stabilește că vulnerabilitatea nu este reziduală în sensul standardelor menționate la articolul 3 și că aceasta poate fi remediată, se aplică articolul 36.

În cazul în care raportul de analiză a impactului vulnerabilității stabilește că vulnerabilitatea nu este reziduală și că nu poate fi remediată, certificatul EUCC se retrage în conformitate cu articolul 14.

Titularul certificatului EUCC monitorizează orice vulnerabilitate reziduală pentru a se asigura că aceasta nu poate fi exploatată în cazul unor modificări ale mediului operațional.

Titularul certificatului EUCC prezintă organismului de certificare o propunere de măsuri de remediere adecvate. Organismul de certificare revizuiește certificatul în conformitate cu articolul 13. Sfera de aplicare a revizuirii este determinată de remedierea propusă a vulnerabilității.

SECȚIUNEA II

Informațiile furnizate de organismul de certificare autorității naționale de certificare a securității cibernetice includ toate elementele necesare pentru ca autoritatea națională de certificare a securității cibernetice să înțeleagă impactul vulnerabilității, modificările care trebuie aduse produsului TIC și orice informații din partea organismului de certificare cu privire la implicațiile mai ample ale vulnerabilității pentru alte produse TIC certificate, dacă aceste informații sunt disponibile.

Informațiile furnizate în conformitate cu alineatul (1) nu conțin detalii privind mijloacele de exploatare a vulnerabilității. Această dispoziție nu aduce atingere competențelor de investigare ale autorității naționale de certificare a securității cibernetice.

Autoritatea națională de certificare a securității cibernetice pune informațiile relevante primite în conformitate cu articolul 37 la dispoziția altor autorități naționale de certificare a securității cibernetice și la dispoziția ENISA.

Alte autorități naționale de certificare a securității cibernetice pot decide să analizeze mai în detaliu vulnerabilitatea sau, după informarea titularului certificatului EUCC, să solicite organismelor de certificare relevante să evalueze dacă vulnerabilitatea poate afecta alte produse TIC certificate.

La retragerea certificatului, titularul certificatului EUCC divulgă și înregistrează orice vulnerabilitate publică și remediată a produsului TIC în baza de date europeană a vulnerabilităților, instituită în conformitate cu articolul 12 din Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului, sau în alte registre online menționate la articolul 55 alineatul (1) litera (d) din Regulamentul (UE) 2019/881.

CAPITOLUL VII

ITSEF și organismele de certificare mențin un sistem de evidență care conține toate documentele elaborate în legătură cu fiecare evaluare și certificare pe care o efectuează.

Organismele de certificare și ITSEF stochează evidențele în mod securizat și le păstrează pe perioada necesară în sensul prezentului regulament și timp de cel puțin 5 ani după retragerea certificatului EUCC relevant. În cazul în care organismul de certificare a emis un nou certificat EUCC în conformitate cu articolul 13 alineatul (2) litera (c), acesta păstrează documentația aferentă certificatului EUCC retras împreună cu cea a noului certificat EUCC și pentru aceeași perioadă de timp ca pe aceasta din urmă.

Informațiile menționate la articolul 55 din Regulamentul (UE) 2019/881 sunt disponibile într-o limbă ușor accesibilă utilizatorilor.

Titularul unui certificat EUCC stochează următoarele elemente în mod securizat pe perioada necesară în sensul prezentului regulament și timp de cel puțin 5 ani după retragerea certificatului EUCC relevant:

evidențele informațiilor furnizate organismului de certificare și unității ITSEF în cursul procesului de certificare;

specimenul produsului TIC certificat.

În cazul în care organismul de certificare a emis un nou certificat EUCC în conformitate cu articolul 13 alineatul (2) litera (c), titularul păstrează documentația aferentă certificatului EUCC retras împreună cu cea a noului certificat EUCC și pentru aceeași perioadă de timp ca pe aceasta din urmă.

La cererea organismului de certificare sau a autorității naționale de certificare a securității cibernetice, titularul certificatului EUCC pune la dispoziție evidențele și copiile menționate la alineatul (2).

ENISA publică următoarele informații pe site-ul web menționat la articolul 50 alineatul (1) din Regulamentul (UE) 2019/881:

toate certificatele EUCC;

informații privind statutul unui certificat EUCC, mai precis dacă acesta este în vigoare, suspendat, retras sau expirat;

rapoarte de certificare corespunzătoare fiecărui certificat EUCC;

o listă a organismelor acreditate de evaluare a conformității;

o listă a organismelor autorizate de evaluare a conformității;

documentele ce reflectă stadiul actual al tehnologiei enumerate în anexa I;

avizele Grupului european pentru certificarea securității cibernetice menționate la articolul 62 alineatul (4) litera (c) din Regulamentul (UE) 2019/881;

rapoartele de evaluare colegială emise în conformitate cu articolul 47;

obiectivul de securitate corespunzător fiecărui certificat EUCC;

Informațiile menționate la alineatul (1) trebuie să fie puse la dispoziție cel puțin în limba engleză. În acest scop, organismele de certificare furnizează ENISA versiunile în limba originală ale rapoartelor de certificare și ale obiectivelor de securitate și, în plus, furnizează, de asemenea, versiunea în limba engleză a acestor documente, fără întârzieri nejustificate.

Organismele de certificare și, după caz, autoritățile naționale de certificare a securității cibernetice informează fără întârziere ENISA cu privire la deciziile lor care afectează conținutul sau statutul certificatului EUCC menționat la alineatul (1) litera (b).

ENISA se asigură că informațiile publicate în conformitate cu alineatul (1) literele (a), (b) și (c) identifică în mod clar versiunile unui produs TIC certificat care fac obiectul certificatului EUCC.

Organismele de evaluare a conformității, autoritățile naționale de certificare a securității cibernetice, ECCG, ENISA, Comisia și toate celelalte părți asigură securitatea și protecția secretelor de afaceri și a altor informații confidențiale, inclusiv a secretelor comerciale, precum și protecția drepturilor de proprietate intelectuală și iau măsurile tehnice și organizatorice necesare și adecvate în acest sens.

CAPITOLUL VIII

Țările terțe care doresc să își certifice produsele în conformitate cu prezentul regulament și care doresc ca o astfel de certificare să fie recunoscută în Uniune încheie un acord de recunoaștere reciprocă cu Uniunea.

Acordul de recunoaștere reciprocă acoperă nivelurile de asigurare aplicabile pentru produsele TIC certificate și, după caz, profilurile de protecție.

Acordurile de recunoaștere reciprocă menționate la alineatul (1) pot fi încheiate numai cu țări terțe care îndeplinesc următoarele condiții:

dețin o autoritate care:

este un organism public și independent de entitățile pe care le supraveghează și le monitorizează în ceea ce privește structura organizațională și juridică, finanțarea financiară și procesul decizional;

dispune de competențe adecvate de monitorizare și supraveghere pentru a efectua investigații și este împuternicită să ia măsurile corective adecvate pentru a asigura conformitatea;

dispune de un sistem de sancțiuni eficace, proporțional și disuasiv pentru a asigura conformitatea;

a convenit să colaboreze cu Grupul european pentru certificarea securității cibernetice și cu ENISA pentru a face schimb de bune practici și de informații privind evoluțiile relevante în domeniul certificării securității cibernetice și a depune eforturi în vederea unei interpretări uniforme a criteriilor și metodelor de evaluare aplicabile în prezent, printre altele prin aplicarea unei documentații armonizate echivalente documentelor ce reflectă stadiul actual al tehnologiei enumerate în anexa I;

dețin un organism de acreditare independent care efectuează acreditări utilizând standarde echivalente celor menționate în Regulamentul (CE) nr. 765/2008;

își iau angajamentul ca procesele și procedurile de evaluare și certificare să se desfășoare cu profesionalismul corespunzător, ținând seama de respectarea standardelor internaționale menționate în prezentul regulament, mai precis la articolul 3;

au capacitatea de a raporta vulnerabilitățile nedetectate anterior și dispun de o procedură consacrată și adecvată de gestionare și divulgare a vulnerabilităților;

au instituit proceduri care permit depunerea și tratarea în mod eficace a plângerilor și oferă reclamantului căi de atac eficace;

instituie un mecanism de cooperare cu alte organisme ale Uniunii și ale statelor membre care sunt relevante pentru certificarea securității cibernetice în temeiul prezentului regulament, inclusiv prin schimbul de informații cu privire la posibila neconformitate a certificatelor, prin monitorizarea evoluțiilor relevante în domeniul certificării și prin asigurarea unei abordări comune privind menținerea și revizuirea certificării.

este un organism public și independent de entitățile pe care le supraveghează și le monitorizează în ceea ce privește structura organizațională și juridică, finanțarea financiară și procesul decizional;

dispune de competențe adecvate de monitorizare și supraveghere pentru a efectua investigații și este împuternicită să ia măsurile corective adecvate pentru a asigura conformitatea;

dispune de un sistem de sancțiuni eficace, proporțional și disuasiv pentru a asigura conformitatea;

a convenit să colaboreze cu Grupul european pentru certificarea securității cibernetice și cu ENISA pentru a face schimb de bune practici și de informații privind evoluțiile relevante în domeniul certificării securității cibernetice și a depune eforturi în vederea unei interpretări uniforme a criteriilor și metodelor de evaluare aplicabile în prezent, printre altele prin aplicarea unei documentații armonizate echivalente documentelor ce reflectă stadiul actual al tehnologiei enumerate în anexa I;

Pe lângă condițiile prevăzute la alineatul (3), acordul de recunoaștere reciprocă menționat la alineatul (1) care acoperă nivelul de asigurare ridicat poate fi încheiat cu țări terțe numai dacă sunt îndeplinite și următoarele condiții:

țara terță deține o autoritate independentă și publică de certificare a securității cibernetice care efectuează sau deleagă activitățile de evaluare necesare pentru a permite certificarea pentru nivelul de asigurare ridicat, aceste activități fiind echivalente cu cerințele și procedurile prevăzute pentru autoritățile naționale de securitate cibernetică în prezentul regulament și în Regulamentul (UE) 2019/881;

acordul de recunoaștere reciprocă instituie un mecanism comun echivalent evaluării colegiale pentru certificarea EUCC, pentru a consolida schimbul de practici și a soluționa în comun problemele din domeniul evaluării și certificării.

CAPITOLUL IX

Un organism de certificare care eliberează certificate EUCC pentru nivelul de asigurare ridicat trebuie să fie supus unei evaluări colegiale periodice și cel puțin o dată la 5 ani. Diferitele tipuri de evaluări colegiale sunt enumerate în anexa VI.

Grupul european pentru certificarea securității cibernetice elaborează și menține un calendar al evaluărilor colegiale care să asigure respectarea acestei periodicități. Cu excepția cazurilor justificate în mod corespunzător, evaluările colegiale se efectuează la fața locului.

Evaluarea colegială se poate baza pe dovezile colectate în cursul evaluărilor colegiale anterioare sau al procedurilor echivalente ale organismului de certificare supus evaluării colegiale ori ale autorității naționale de certificare a securității cibernetice, cu condiția ca:

rezultatele să nu fie mai vechi de 5 ani;

rezultatele să fie însoțite de o descriere a procedurilor de evaluare colegială stabilite pentru sistemul respectiv, în cazul în care acestea se referă la o evaluare colegială efectuată în cadrul unui alt sistem de certificare;

raportul de evaluare colegială menționat la articolul 47 să specifice rezultatele care au fost reutilizate, cu sau fără o evaluare suplimentară.

În cazul în care o evaluare colegială acoperă un domeniu tehnic, unitatea ITSEF în cauză trebuie, de asemenea, evaluată.

Organismul de certificare supus evaluării colegiale și, dacă este necesar, autoritatea națională de certificare a securității cibernetice se asigură că toate informațiile relevante sunt puse la dispoziția echipei de evaluare colegială.

Evaluarea colegială se efectuează de o echipă de evaluare colegială înființată în conformitate cu anexa VI.

În cursul etapei pregătitoare, membrii echipei de evaluare colegială examinează documentația organismului de certificare în ceea ce privește politicile și procedurile acestuia, inclusiv utilizarea documentelor ce reflectă stadiul actual al tehnologiei.

În timpul etapei vizitei la fața locului, echipa de evaluare colegială evaluează competența tehnică a organismului și, după caz, competența unei unități ITSEF care a efectuat cel puțin o evaluare a unui produs TIC supusă evaluării colegiale.

Durata etapei vizitei la fața locului poate fi prelungită sau redusă în funcție factori precum posibilitatea de a reutiliza dovezile și rezultatele evaluării colegiale existente sau numărul de unități ITSEF și de domenii tehnice pentru care organismul de certificare eliberează certificate.

Dacă este cazul, echipa de evaluare colegială stabilește competența tehnică a fiecărei unități ITSEF vizitând laboratorul sau laboratoarele sale tehnice și intervievând evaluatorii săi în ceea ce privește domeniul tehnic și metodele de atac specifice aferente.

În etapa raportării, echipa de evaluare își înscrie constatările într-un raport de evaluare colegială care include un verdict și, după caz, o listă a neconformităților observate, fiecare încadrată în funcție de un nivel critic.

Raportul de evaluare colegială trebuie discutat mai întâi cu organismul de certificare supus evaluării colegiale. În urma acestor discuții, organismul de certificare supus evaluării colegiale stabilește un calendar al măsurilor care trebuie luate pentru a aborda constatările.

Echipa de evaluare colegială furnizează organismului de certificare supus evaluării colegiale un proiect al raportului de evaluare colegială.

Organismul de certificare supus evaluării colegiale prezintă echipei de evaluare colegială observații cu privire la constatări și o listă de angajamente pentru remedierea deficiențelor identificate în proiectul raportului de evaluare colegială.

Echipa de evaluare colegială prezintă Grupului european pentru certificarea securității cibernetice un raport final de evaluare colegială, care include, de asemenea, observațiile și angajamentele asumate de organismul de certificare supus evaluării colegiale. Echipa de evaluare colegială include, de asemenea, poziția sa cu privire la observații și la măsura în care angajamentele respective sunt suficiente pentru a remedia deficiențele identificate.

În cazul în care în raportul de evaluare colegială sunt identificate neconformități, Grupul european pentru certificarea securității cibernetice poate stabili un termen adecvat pentru remedierea neconformităților de către organismul de certificare supus evaluării colegiale.

Grupul european pentru certificarea securității cibernetice adoptă un aviz cu privire la raportul de evaluare colegială:

în cazul în care raportul de evaluare colegială nu identifică neconformități sau în cazul în care neconformitățile au fost abordate în mod corespunzător de organismul de certificare supus evaluării colegiale, Grupul european pentru certificarea securității cibernetice poate emite un aviz pozitiv și toate documentele relevante se publică pe site-ul ENISA privind certificarea;

în cazul în care organismul de certificare supus evaluării colegiale nu abordează neconformitățile în mod corespunzător în termenul stabilit, Grupul european pentru certificarea securității cibernetice poate emite un aviz negativ care se publică pe site-ul ENISA privind certificarea, împreună cu raportul de evaluare colegială și cu toate documentele relevante.

Înainte de publicarea avizului, toate informațiile sensibile, datele cu caracter personal sau informațiile proprietare se elimină din documentele publicate.

CAPITOLUL X

Comisia poate solicita Grupului european pentru certificarea securității cibernetice să adopte un aviz în vederea menținerii EUCC și să întreprindă lucrările pregătitoare necesare.

Grupul european pentru certificarea securității cibernetice poate adopta un aviz pentru a aproba documentele ce reflectă stadiul actual al tehnologiei.

Documentele ce reflectă stadiul actual al tehnologiei care au fost aprobate de Grupul european pentru certificarea securității cibernetice trebuie să fie publicate de ENISA.

Cu excepția cazului în care se prevede altfel în anexa I sau II, documentele ce reflectă stadiul actual al tehnologiei se aplică proceselor de certificare, inclusiv reevaluării, lansate de la data aplicării actului de modificare prin care au fost încorporate documentele ce reflectă stadiul actual al tehnologiei în anexa I sau II.

CAPITOLUL XI

În conformitate cu articolul 57 alineatul (1) din Regulamentul (UE) 2019/881 și fără a aduce atingere articolul 57 alineatul (3) din regulamentul respectiv, toate sistemele naționale de certificare a securității cibernetice și procedurile aferente pentru produsele TIC și procesele TIC care fac obiectul EUCC încetează să producă efecte la 12 luni de la intrarea în vigoare a prezentului regulament.

Prin derogare de la articolul 50, o procedură de certificare poate fi inițiată în cadrul unui sistem național de certificare a securității cibernetice în termen de 12 luni de la intrarea în vigoare a prezentului regulament, cu condiția ca procedura de certificare să fie finalizată în termen de cel mult 24 de luni de la intrarea în vigoare a prezentului regulament.

Certificatele eliberate în cadrul sistemelor naționale de certificare a securității cibernetice pot face obiectul unei revizuiri. Noile certificate care înlocuiesc certificatele revizuite se eliberează în conformitate cu prezentul regulament.

Atunci când se efectuează revizuirea menționată la alineatul (3) în termen de doi ani de la eliberarea certificatului inițial și în cazul în care o astfel de revizuire conduce la eliberarea unui nou certificat în conformitate cu prezentul regulament, se pot aplica standardele enumerate la articolul 3 alineatul (2). Prin data eliberării certificatului inițial se înțelege data eliberării ultimului certificat pentru un produs TIC sau un profil de protecție pe care se bazează certificarea actuală.

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Se aplică de la 27 februarie 2025.

Capitolul IV și anexa V se aplică de la data intrării în vigoare a prezentului regulament.

ANEXA IDocumente ce reflectă stadiul actual al tehnologiei și sprijină domeniile tehnice și alte documente ce reflectă stadiul actual al tehnologiei

ANEXA I

Documente ce reflectă stadiul actual al tehnologiei și sprijină domeniile tehnice și alte documente ce reflectă stadiul actual al tehnologiei

Documente ce reflectă stadiul actual al tehnologiei și sprijină domeniile tehnice la nivelul 4 sau 5 al AVA_VAN:

următoarele documente referitoare la evaluarea armonizată a domeniului tehnic carduri inteligente și dispozitive similare:

Minimum ITSEF requirements for security evaluations of smart cards and similar devices, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Common Criteria to integrated circuits, versiunea 2;

Security Architecture requirements (ADV_ARC) for smart cards and similar devices, versiunea 1.1;

Certification of open smart card products, versiunea 1.1;

Composite product evaluation for smart cards and similar devices for CC3.1, versiunea 2;

Composite product evaluation and certification for CC:2022, versiunea 1;

Application of Attack Potential to Smartcards and Similar Devices, versiunea 2;

Security Evaluation and Certification of Qualified Electronic Signature/Seal Creation Devices, versiunea 1;

ADV_SPM.1 interpretation for CC:2022 transition, versiunea 1.1, aplicabilă proceselor de certificare care utilizează profiluri de protecție după cum urmează:

profiluri de protecție Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 sau Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, inițiate înainte de 1 octombrie 2026;

profilul de protecție Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, inițiat înainte de 29 decembrie 2025;

următoarele documente referitoare la evaluarea armonizată a domeniului tehnic dispozitive hardware cu casete de securitate:

Minimum ITSEF requirements for security evaluations of hardware devices with security boxes, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Attack Potential to hardware devices with security boxes, versiunea 2;

Hardware assessment in EN 419221-5 (HSM PP), versiunea 1;

JIL Tachograph MS PP Clarification, versiunea 1.

Documente ce reflectă stadiul actual al tehnologiei referitoare la acreditarea armonizată a organismelor de evaluare a conformității:

Accreditation of ITSEFs for the EUCC, versiunea 1.1, pentru acreditările emise înainte de 8 iulie 2025;

Accreditation of ITSEFs for the EUCC, versiunea 1.6c, pentru acreditările nou emise sau revizuite după 8 iulie 2025;

Accreditation of CBs for the EUCC, versiunea 1.6b.

următoarele documente referitoare la evaluarea armonizată a domeniului tehnic carduri inteligente și dispozitive similare:

Minimum ITSEF requirements for security evaluations of smart cards and similar devices, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Common Criteria to integrated circuits, versiunea 2;

Security Architecture requirements (ADV_ARC) for smart cards and similar devices, versiunea 1.1;

Certification of open smart card products, versiunea 1.1;

Composite product evaluation for smart cards and similar devices for CC3.1, versiunea 2;

Composite product evaluation and certification for CC:2022, versiunea 1;

Application of Attack Potential to Smartcards and Similar Devices, versiunea 2;

Security Evaluation and Certification of Qualified Electronic Signature/Seal Creation Devices, versiunea 1;

ADV_SPM.1 interpretation for CC:2022 transition, versiunea 1.1, aplicabilă proceselor de certificare care utilizează profiluri de protecție după cum urmează:

profiluri de protecție Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 sau Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, inițiate înainte de 1 octombrie 2026;

profilul de protecție Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, inițiat înainte de 29 decembrie 2025;

profiluri de protecție Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 sau Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, inițiate înainte de 1 octombrie 2026;

profilul de protecție Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, inițiat înainte de 29 decembrie 2025;

următoarele documente referitoare la evaluarea armonizată a domeniului tehnic dispozitive hardware cu casete de securitate:

Minimum ITSEF requirements for security evaluations of hardware devices with security boxes, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Attack Potential to hardware devices with security boxes, versiunea 2;

Hardware assessment in EN 419221-5 (HSM PP), versiunea 1;

JIL Tachograph MS PP Clarification, versiunea 1.

Minimum ITSEF requirements for security evaluations of smart cards and similar devices, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Common Criteria to integrated circuits, versiunea 2;

Security Architecture requirements (ADV_ARC) for smart cards and similar devices, versiunea 1.1;

Certification of open smart card products, versiunea 1.1;

Composite product evaluation for smart cards and similar devices for CC3.1, versiunea 2;

Composite product evaluation and certification for CC:2022, versiunea 1;

Application of Attack Potential to Smartcards and Similar Devices, versiunea 2;

Security Evaluation and Certification of Qualified Electronic Signature/Seal Creation Devices, versiunea 1;

ADV_SPM.1 interpretation for CC:2022 transition, versiunea 1.1, aplicabilă proceselor de certificare care utilizează profiluri de protecție după cum urmează:

profiluri de protecție Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 sau Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, inițiate înainte de 1 octombrie 2026;

profilul de protecție Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, inițiat înainte de 29 decembrie 2025;

profiluri de protecție Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014 sau Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020, inițiate înainte de 1 octombrie 2026;

profilul de protecție Java Card System – Open Configuration (v3.1), BSI-CC-PP-0099-V2-2020, inițiat înainte de 29 decembrie 2025;

Minimum ITSEF requirements for security evaluations of hardware devices with security boxes, versiunea 1.1;

Minimum Site Security Requirements, versiunea 2;

Reusing evaluation results of site audits (STAR), versiunea 1;

Application of Attack Potential to hardware devices with security boxes, versiunea 2;

Hardware assessment in EN 419221-5 (HSM PP), versiunea 1;

JIL Tachograph MS PP Clarification, versiunea 1.

Accreditation of ITSEFs for the EUCC, versiunea 1.1, pentru acreditările emise înainte de 8 iulie 2025;

Accreditation of ITSEFs for the EUCC, versiunea 1.6c, pentru acreditările nou emise sau revizuite după 8 iulie 2025;

Accreditation of CBs for the EUCC, versiunea 1.6b.

ANEXA IIProfiluri de protecție certificate la nivelul AVA_VAN 4 sau 5

ANEXA II

Profiluri de protecție certificate la nivelul AVA_VAN 4 sau 5

Pentru dispozitivele calificate de creare a semnăturii și a sigiliului la distanță:

EN 419241-2: 2019 – Sisteme fiabile de susținere a semnăturii prin server – Partea 2: profilul de protecție pentru QSCD pentru semnătura prin server (v0.16), ANSSI-CC-PP-2018/02-M01;

EN 419221-5:2018 – Profiluri de protecție pentru modulele criptografice ale prestatorilor de servicii de încredere – Partea 5: modulul criptografic pentru serviciile de încredere (v0.15), ANSSI-CC-PP-2016/05-M01.

Profilurile de protecție care au fost adoptate ca documente ce reflectă stadiul actual al tehnologiei:

[NECOMPLETAT].

EN 419241-2: 2019 – Sisteme fiabile de susținere a semnăturii prin server – Partea 2: profilul de protecție pentru QSCD pentru semnătura prin server (v0.16), ANSSI-CC-PP-2018/02-M01;

EN 419221-5:2018 – Profiluri de protecție pentru modulele criptografice ale prestatorilor de servicii de încredere – Partea 5: modulul criptografic pentru serviciile de încredere (v0.15), ANSSI-CC-PP-2016/05-M01.

ANEXA IIIProfiluri de protecție recomandate

ANEXA III

Profiluri de protecție recomandate

Profiluri de protecție utilizate în certificarea produselor TIC, inclusiv a produselor din domeniile tehnice:

Carduri inteligente și dispozitive similare

pașaport:

PP Machine Readable Travel Document with ICAO Application Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

PP Machine Readable Travel Document with ICAO Application Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

dispozitive securizate de creare a semnăturii (SSCD):

EN 419211-2:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 2: dispozitiv cu generare de cheie (v1.03), BSI-CC-PP-0059-2009-MA-02;

EN 419211-3:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 3: dispozitiv cu import de cheie (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

EN 419211-4:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 4: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de generare de certificate (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

EN 419211-5:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 5: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

EN 419211-6:2014 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 6: extensie pentru dispozitive cu import de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

tahograf: Digital Tachograph – Tachograph Card (TC PP) (v1.0), BSI-CC-PP-0091-2017;

CI securizat, platforma Java Card și eUICC:

Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic and SCWS);

Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

Cryptographic Service Provider – CSP (v0.9.8), BSI-CC-PP-0104-2019;

Cryptographic Service Provider – Time Stamp Service and Audit (PPC-CSP-TS-Au) Version 0.9.5, BSI-CC-PP-0107-2019;

Configuration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4, BSI-CC-PP-0108-2019;

Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

Secure Element Protection Profile – GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

Java Card System – Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

Trusted Platform Module: Protection Profile PC Client Specific Trusted Platform Module Specification Family 2.0; Level 0; Revision 1.59 (v1.3), ANSSI-CC-PP-2021/02.

Dispozitive hardware cu casete de securitate

puncte de interacțiune (de plată) și terminale de plăți (POI):

Punctul de interacțiune POI-CHIP-ONLY (v4.0), ANSSI-CC-PP-2015/01;

Punctul de interacțiune POI-CHIP-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/02;

Punctul de interacțiune POI-COMPREHENSIVE (v4.0), ANSSI-CC-PP-2015/03;

Punctul de interacțiune POI-COMPREHENSIVE and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/04;

Punctul de interacțiune POI-PED-ONLY (v4.0), ANSSI-CC-PP-2015/05;

Punctul de interacțiune POI-PED-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/06;

modulul de securitate hardware:

Cryptographic Module for CSP Signing Operations with Backup – PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

Cryptographic Module for CSP Key Generation Services – PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

Cryptographic Module for CSP Signing Operations without Backup – PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

tahograf:

Digital Tachograph – Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

Digital Tachograph – Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

Digital Tachograph – External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

Altele: Trusted Execution Environment Protection Profile – GPD_SPE_021 (v1.3), ANSSI-CC-PP-2014/01-M02.

Carduri inteligente și dispozitive similare

pașaport:

PP Machine Readable Travel Document with ICAO Application Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

PP Machine Readable Travel Document with ICAO Application Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

dispozitive securizate de creare a semnăturii (SSCD):

EN 419211-2:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 2: dispozitiv cu generare de cheie (v1.03), BSI-CC-PP-0059-2009-MA-02;

EN 419211-3:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 3: dispozitiv cu import de cheie (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

EN 419211-4:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 4: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de generare de certificate (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

EN 419211-5:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 5: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

EN 419211-6:2014 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 6: extensie pentru dispozitive cu import de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

tahograf: Digital Tachograph – Tachograph Card (TC PP) (v1.0), BSI-CC-PP-0091-2017;

CI securizat, platforma Java Card și eUICC:

Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic and SCWS);

Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

Cryptographic Service Provider – CSP (v0.9.8), BSI-CC-PP-0104-2019;

Cryptographic Service Provider – Time Stamp Service and Audit (PPC-CSP-TS-Au) Version 0.9.5, BSI-CC-PP-0107-2019;

Configuration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4, BSI-CC-PP-0108-2019;

Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

Secure Element Protection Profile – GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

Java Card System – Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

Trusted Platform Module: Protection Profile PC Client Specific Trusted Platform Module Specification Family 2.0; Level 0; Revision 1.59 (v1.3), ANSSI-CC-PP-2021/02.

PP Machine Readable Travel Document with ICAO Application Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

PP Machine Readable Travel Document with ICAO Application Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

EN 419211-2:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 2: dispozitiv cu generare de cheie (v1.03), BSI-CC-PP-0059-2009-MA-02;

EN 419211-3:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 3: dispozitiv cu import de cheie (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

EN 419211-4:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 4: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de generare de certificate (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

EN 419211-5:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 5: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

EN 419211-6:2014 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 6: extensie pentru dispozitive cu import de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic and SCWS);

Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

Cryptographic Service Provider – CSP (v0.9.8), BSI-CC-PP-0104-2019;

Cryptographic Service Provider – Time Stamp Service and Audit (PPC-CSP-TS-Au) Version 0.9.5, BSI-CC-PP-0107-2019;

Configuration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4, BSI-CC-PP-0108-2019;

Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

Secure Element Protection Profile – GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

Java Card System – Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

Dispozitive hardware cu casete de securitate

puncte de interacțiune (de plată) și terminale de plăți (POI):

Punctul de interacțiune POI-CHIP-ONLY (v4.0), ANSSI-CC-PP-2015/01;

Punctul de interacțiune POI-CHIP-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/02;

Punctul de interacțiune POI-COMPREHENSIVE (v4.0), ANSSI-CC-PP-2015/03;

Punctul de interacțiune POI-COMPREHENSIVE and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/04;

Punctul de interacțiune POI-PED-ONLY (v4.0), ANSSI-CC-PP-2015/05;

Punctul de interacțiune POI-PED-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/06;

modulul de securitate hardware:

Cryptographic Module for CSP Signing Operations with Backup – PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

Cryptographic Module for CSP Key Generation Services – PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

Cryptographic Module for CSP Signing Operations without Backup – PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

tahograf:

Digital Tachograph – Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

Digital Tachograph – Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

Digital Tachograph – External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

Punctul de interacțiune POI-CHIP-ONLY (v4.0), ANSSI-CC-PP-2015/01;

Punctul de interacțiune POI-CHIP-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/02;

Punctul de interacțiune POI-COMPREHENSIVE (v4.0), ANSSI-CC-PP-2015/03;

Punctul de interacțiune POI-COMPREHENSIVE and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/04;

Punctul de interacțiune POI-PED-ONLY (v4.0), ANSSI-CC-PP-2015/05;

Punctul de interacțiune POI-PED-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/06;

Cryptographic Module for CSP Signing Operations with Backup – PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

Cryptographic Module for CSP Key Generation Services – PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

Cryptographic Module for CSP Signing Operations without Backup – PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

Digital Tachograph – Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

Digital Tachograph – Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

Digital Tachograph – External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

Altele: Trusted Execution Environment Protection Profile – GPD_SPE_021 (v1.3), ANSSI-CC-PP-2014/01-M02.

pașaport:

PP Machine Readable Travel Document with ICAO Application Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

PP Machine Readable Travel Document with ICAO Application Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

dispozitive securizate de creare a semnăturii (SSCD):

EN 419211-2:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 2: dispozitiv cu generare de cheie (v1.03), BSI-CC-PP-0059-2009-MA-02;

EN 419211-3:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 3: dispozitiv cu import de cheie (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

EN 419211-4:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 4: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de generare de certificate (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

EN 419211-5:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 5: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

EN 419211-6:2014 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 6: extensie pentru dispozitive cu import de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

tahograf: Digital Tachograph – Tachograph Card (TC PP) (v1.0), BSI-CC-PP-0091-2017;

CI securizat, platforma Java Card și eUICC:

Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic and SCWS);

Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

Cryptographic Service Provider – CSP (v0.9.8), BSI-CC-PP-0104-2019;

Cryptographic Service Provider – Time Stamp Service and Audit (PPC-CSP-TS-Au) Version 0.9.5, BSI-CC-PP-0107-2019;

Configuration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4, BSI-CC-PP-0108-2019;

Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

Secure Element Protection Profile – GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

Java Card System – Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

Trusted Platform Module: Protection Profile PC Client Specific Trusted Platform Module Specification Family 2.0; Level 0; Revision 1.59 (v1.3), ANSSI-CC-PP-2021/02.

PP Machine Readable Travel Document with ICAO Application Basic Access Control (v1.10), BSI-CC-PP-0055-2009;

PP Machine Readable Travel Document using Standard Inspection Procedure with PACE (PACE_PP) (v1), BSI-CC-PP-0068-V2-2011-MA-01;

PP Machine Readable Travel Document with ICAO Application Extended Access Control with PACE (v1.3), BSI-CC-PP-0056-V2-2012-MA-02;

EN 419211-2:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 2: dispozitiv cu generare de cheie (v1.03), BSI-CC-PP-0059-2009-MA-02;

EN 419211-3:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 3: dispozitiv cu import de cheie (v1.0.2), BSI-CC-PP-0075-2012-MA-01;

EN 419211-4:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 4: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de generare de certificate (v1.0.1), BSI-CC-PP-0071-2012-MA-01;

EN 419211-5:2013 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 5: extensie pentru dispozitive cu generare de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.1), BSI-CC-PP-0072-2012-MA-01;

EN 419211-6:2014 – Profiluri de protecție pentru dispozitive securizate de creare a semnăturii – Partea 6: extensie pentru dispozitive cu import de cheie și comunicație securizată cu aplicația de creare a semnăturii (v1.0.4), BSI-CC-PP-0076-2013-MA-01;

Universal SIM Java Card Platform Protection Profile Basic and SCWS Configurations (v2.0.2), ANSSI-CC-PP-2010/04 (Basic), ANSSI-CC-PP-2010/05 (Basic and SCWS);

Security IC Platform PP with Augmentation Packages (v1.0), BSI-CC-PP-0084-2014;

Embedded UICC (eUICC) for Machine-to-Machine Devices (v1.1), BSI-CC-PP-0089-2015;

Cryptographic Service Provider – CSP (v0.9.8), BSI-CC-PP-0104-2019;

Cryptographic Service Provider – Time Stamp Service and Audit (PPC-CSP-TS-Au) Version 0.9.5, BSI-CC-PP-0107-2019;

Configuration Cryptographic Service Provider – Time Stamp Service, Audit and Clustering (PPC-CSP-TS-Au-Cl) Version 0.9.4, BSI-CC-PP-0108-2019;

Java Card System – Closed Configuration (v3.1), BSI-CC-PP-0101-V2-2020;

Secure Element Protection Profile – GPC_SPE_174 (v1.0), CCN-CC-PP-5-2021;

Secure Sub-System in System-on-Chip (3S in SoC) Protection Profile (v1.8), BSI-CC-PP-0117-V2-2023;

Java Card System – Open Configuration (v3.2), BSI-CC-PP-0099-V3-2024;

Embedded UICC for Consumer Devices Protection Profile (v2.1), BSI-CC-PP-0100-V2-2025;

puncte de interacțiune (de plată) și terminale de plăți (POI):

Punctul de interacțiune POI-CHIP-ONLY (v4.0), ANSSI-CC-PP-2015/01;

Punctul de interacțiune POI-CHIP-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/02;

Punctul de interacțiune POI-COMPREHENSIVE (v4.0), ANSSI-CC-PP-2015/03;

Punctul de interacțiune POI-COMPREHENSIVE and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/04;

Punctul de interacțiune POI-PED-ONLY (v4.0), ANSSI-CC-PP-2015/05;

Punctul de interacțiune POI-PED-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/06;

modulul de securitate hardware:

Cryptographic Module for CSP Signing Operations with Backup – PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

Cryptographic Module for CSP Key Generation Services – PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

Cryptographic Module for CSP Signing Operations without Backup – PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

tahograf:

Digital Tachograph – Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

Digital Tachograph – Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

Digital Tachograph – External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

Punctul de interacțiune POI-CHIP-ONLY (v4.0), ANSSI-CC-PP-2015/01;

Punctul de interacțiune POI-CHIP-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/02;

Punctul de interacțiune POI-COMPREHENSIVE (v4.0), ANSSI-CC-PP-2015/03;

Punctul de interacțiune POI-COMPREHENSIVE and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/04;

Punctul de interacțiune POI-PED-ONLY (v4.0), ANSSI-CC-PP-2015/05;

Punctul de interacțiune POI-PED-ONLY and Open Protocol Package (v4.0), ANSSI-CC-PP-2015/06;

Cryptographic Module for CSP Signing Operations with Backup – PP CMCSOB 14167-2 (v0.35), ANSSI-CC-PP-2015/08;

Cryptographic Module for CSP Key Generation Services – PP CMCKG 14167-3 (v0.20), ANSSI-CC-PP-2015/09;

Cryptographic Module for CSP Signing Operations without Backup – PP CMCSO 14167-4 (v0.32), ANSSI-CC-PP-2015/10;

Digital Tachograph – Motion Sensor (MS PP) (v1.0), BSI-CC-PP-0093-2017;

Digital Tachograph – Vehicle Unit (VU PP) (v1.15), BSI-CC-PP-0094-V2-2021;

Digital Tachograph – External GNSS Facility (EGF PP) (v1.10), BSI-CC-PP-0092-V2-2021.

ANEXA IVContinuitatea asigurării și revizuirea certificatelor

ANEXA IV

Continuitatea asigurării și revizuirea certificatelor

Continuitatea asigurării: sfera de aplicare

Următoarele cerințe privind asigurarea continuității se aplică activităților de menținere a certificării legate de următoarele aspecte:

o reevaluare în cazul în care un produs TIC certificat nemodificat îndeplinește în continuare cerințele de securitate;

o evaluare a impactului modificărilor aduse unui produs TIC în ceea ce privește certificarea acestuia;

dacă este inclusă în certificare, aplicarea de corecții în conformitate cu un proces evaluat de gestionare a corecțiilor;

dacă este inclusă, revizuirea gestionării ciclului de viață sau a proceselor de producție ale titularului certificatului.

Titularul unui certificat EUCC poate solicita revizuirea certificatului în următoarele cazuri:

certificatul EUCC urmează să expire în termen de nouă luni;

a avut loc o modificare fie a produsului TIC certificat, fie a unui alt factor care ar putea avea un impact asupra funcționalității sale de securitate;

titularul certificatului solicită ca evaluarea vulnerabilității să se efectueze din nou pentru a reconfirma nivelul de asigurare al certificatului EUCC asociat rezistenței produsului TIC la atacurile cibernetice actuale.

Reevaluarea

În cazul în care este necesar să se evalueze impactul evoluțiilor amenințărilor din mediul unui produs TIC certificat nemodificat, se transmite organismului de certificare o cerere de reevaluare.

Reevaluarea se efectuează de către unitatea ITSEF care a fost implicată în evaluarea anterioară, prin reutilizarea tuturor rezultatelor sale care se aplică în continuare. Evaluarea se concentrează pe activitățile de asigurare care ar putea fi afectate de evoluțiile amenințărilor din mediul produsului TIC certificat, în special familia AVA_VAN relevantă și, în plus, familia ciclului de viață al asigurării, în cazul căreia se colectează din nou suficiente dovezi cu privire la menținerea mediului de dezvoltare.

Unitatea ITSEF descrie modificările și detaliază rezultatele reevaluării, împreună cu o actualizare a raportului tehnic de evaluare anterior.

Organismul de certificare examinează raportul tehnic de evaluare actualizat și întocmește un raport de reevaluare. Statutul certificatului inițial se modifică apoi în conformitate cu articolul 13 sau cu articolul 19. În cazul în care procesul de reevaluare este realizat cu succes, articolul 13 alineatul (2) literele (a) sau (c) se aplică în cazul certificării unui produs, iar articolul 19 alineatul (2) litera (a) sau (c) se aplică în cazul certificării unui profil de protecție. În cazul în care procesul de reevaluare nu este realizat cu succes, articolul 13 alineatul (2) literele (b) sau (d) se aplică în cazul certificării unui produs, iar articolul 19 alineatul (2) litera (b) sau (d) se aplică în cazul certificării unui profil de protecție.

Raportul de reevaluare și certificatul actualizat sunt puse la dispoziția autorității naționale de certificare a securității cibernetice și a ENISA în vederea publicării pe site-ul de certificare a securității cibernetice al acesteia din urmă.

Modificări ale unui produs TIC certificat – întreținere și reevaluare

În cazul în care un produs TIC certificat a făcut obiectul unor modificări, titularul certificatului care dorește să mențină certificatul furnizează organismului de certificare un raport de analiză a impactului.

Raportul de analiză a impactului conține următoarele elemente:

o introducere care să conțină informațiile necesare pentru identificarea raportului de analiză a impactului și a obiectului evaluării care face obiectul modificărilor;

descrierea modificărilor aduse produsului;

identificarea elementelor de probă ale dezvoltatorului în cauză;

o descriere a modificărilor elementelor de probă ale dezvoltatorului;

constatările și concluziile privind impactul fiecărei modificări asupra nivelului de asigurare.

Organismul de certificare examinează modificările descrise în raportul de analiză a impactului pentru a valida impactul acestora asupra nivelului de asigurare al obiectului evaluării certificat, astfel cum este propus în concluziile raportului de analiză a impactului.

În urma examinării, organismul de certificare stabilește amploarea unei modificări ca fiind minoră sau majoră, în funcție de impactul acesteia asupra asigurării prevăzute în certificatul EUCC.

În cazul în care modificările au fost confirmate de organismul de certificare ca fiind minore, nu se eliberează niciun nou certificat pentru produsul TIC modificat în conformitate cu articolul 13 alineatul (2) litera (a) sau cu articolul 19 alineatul (2) litera (a) și se întocmește un raport de menținere a raportului de certificare inițial.

În cazul oricăror modificări ale măsurilor de asigurare în mediul de dezvoltare, inclusiv adăugarea unor cerințe de asigurare ale familiei CC ALC_FLR (remedierea deficiențelor), organismul de certificare poate solicita ITSEF să efectueze o evaluare a unui subansamblu al măsurilor de asigurare afectate. ITSEF emite un raport tehnic de evaluare parțială, pe baza căruia organismul de certificare confirmă că modificările sunt minore sau majore. În cazul în care modificările au fost confirmate de organismul de certificare ca fiind minore, se aplică anexa IV.3 punctul 5. În cazul în care modificările au fost confirmate de organismul de certificare ca fiind majore, se aplică anexa IV.3 punctul 7.

Raportul de menținere menționat la punctul 5 se pune la dispoziția ENISA în vederea publicării pe site-ul acesteia de certificare a securității cibernetice.

În cazul în care modificările au fost confirmate ca fiind majore, se efectuează o reevaluare în contextul evaluării anterioare, în care sunt reutilizate rezultatele evaluării anterioare care sunt în continuare valabile.

După finalizarea evaluării obiectului evaluării modificat, unitatea ITSEF întocmește un nou raport tehnic de evaluare. Organismul de certificare examinează raportul tehnic de evaluare actualizat și, dacă este cazul, întocmește un nou certificat împreună cu un nou raport de certificare.

Noul certificat și noul raport de certificare se transmit ENISA spre publicare.

Gestionarea corecțiilor

Procedura de gestionare a corecțiilor prevede un proces structurat de actualizare a produselor TIC certificate. Procedura de gestionare a corecțiilor – inclusiv mecanismul încorporat în produsul TIC de către solicitantul certificării – poate fi utilizată după certificarea produsului TIC sub responsabilitatea organismului de evaluare a conformității.

Solicitantul certificării poate include în certificarea produsului TIC un mecanism de corecție ca parte a unei proceduri de gestionare certificate încorporate în produsul TIC dacă este îndeplinită una dintre următoarele condiții:

funcționalitățile vizate de corecție se află în afara sferei obiectului evaluării produsului TIC certificat;

corecția se referă la o modificare minoră prestabilită a produsului TIC certificat;

corecția se referă la o vulnerabilitate confirmată cu efecte critice asupra securității produsului TIC certificat.

În cazul în care corecția se referă la o modificare majoră a obiectului evaluării produsului TIC certificat în ceea ce privește o vulnerabilitate nedetectată anterior care nu are efecte critice asupra securității produsului TIC, se aplică dispozițiile articolului 13.

Procedura de gestionare a corecțiilor pentru un produs TIC va fi compusă din următoarele elemente:

procesul de dezvoltare și implementare a corecției pentru produsul TIC;

mecanismul și funcțiile tehnice pentru adoptarea corecției la nivelul produsului TIC;

un set de activități de evaluare legate de eficacitatea și performanța mecanismului tehnic.

În timpul certificării produsului TIC:

solicitantul certificării produsului TIC furnizează descrierea procedurii de gestionare a corecțiilor;

ITSEF verifică următoarele elemente:

dacă dezvoltatorul a încorporat mecanismele de corecție în produsul TIC în conformitate cu procedura de gestionare a corecțiilor care a fost supusă certificării;

dacă limitele obiectului evaluării sunt separate astfel încât modificările aduse proceselor separate să nu afecteze securitatea obiectului evaluării;

dacă mecanismul tehnic de corecție funcționează în conformitate cu dispozițiile prezentei secțiuni și cu informațiile furnizate de solicitant;

dacă organismul de certificare include în raportul de certificare rezultatul procedurii evaluate de gestionare a corecțiilor.

Titularul certificatului poate aplica produsului TIC certificat în cauză corecția obținută în conformitate cu procedura certificată de gestionare a corecțiilor și ia următoarele măsuri în termen de 5 zile lucrătoare în următoarele cazuri:

în cazul menționat la punctul 2 litera (a), acesta raportează respectiva corecție organismului de certificare, care nu modifică certificatul EUCC în cauză;

în cazul menționat la punctul 2 litera (b), acesta transmite unității ITSEF respectiva corecție spre reexaminare. După primirea corecției, ITSEF informează organismul de certificare, iar acesta ia măsurile corespunzătoare cu privire la eliberarea unei noi versiuni a certificatului EUCC corespunzător și la actualizarea raportului de certificare;

în cazul menționat la punctul 2 litera (c), acesta transmite respectiva corecție unității ITSEF pentru reevaluarea necesară, dar poate implementa corecția în paralel. ITSEF informează organismul de certificare, după care acesta începe activitățile de certificare corespunzătoare.

o reevaluare în cazul în care un produs TIC certificat nemodificat îndeplinește în continuare cerințele de securitate;

o evaluare a impactului modificărilor aduse unui produs TIC în ceea ce privește certificarea acestuia;

dacă este inclusă în certificare, aplicarea de corecții în conformitate cu un proces evaluat de gestionare a corecțiilor;

dacă este inclusă, revizuirea gestionării ciclului de viață sau a proceselor de producție ale titularului certificatului.

certificatul EUCC urmează să expire în termen de nouă luni;

a avut loc o modificare fie a produsului TIC certificat, fie a unui alt factor care ar putea avea un impact asupra funcționalității sale de securitate;

titularul certificatului solicită ca evaluarea vulnerabilității să se efectueze din nou pentru a reconfirma nivelul de asigurare al certificatului EUCC asociat rezistenței produsului TIC la atacurile cibernetice actuale.

o introducere care să conțină informațiile necesare pentru identificarea raportului de analiză a impactului și a obiectului evaluării care face obiectul modificărilor;

descrierea modificărilor aduse produsului;

identificarea elementelor de probă ale dezvoltatorului în cauză;

o descriere a modificărilor elementelor de probă ale dezvoltatorului;

constatările și concluziile privind impactul fiecărei modificări asupra nivelului de asigurare.

funcționalitățile vizate de corecție se află în afara sferei obiectului evaluării produsului TIC certificat;

corecția se referă la o modificare minoră prestabilită a produsului TIC certificat;

corecția se referă la o vulnerabilitate confirmată cu efecte critice asupra securității produsului TIC certificat.

procesul de dezvoltare și implementare a corecției pentru produsul TIC;

mecanismul și funcțiile tehnice pentru adoptarea corecției la nivelul produsului TIC;

un set de activități de evaluare legate de eficacitatea și performanța mecanismului tehnic.

solicitantul certificării produsului TIC furnizează descrierea procedurii de gestionare a corecțiilor;

ITSEF verifică următoarele elemente:

dacă dezvoltatorul a încorporat mecanismele de corecție în produsul TIC în conformitate cu procedura de gestionare a corecțiilor care a fost supusă certificării;

dacă limitele obiectului evaluării sunt separate astfel încât modificările aduse proceselor separate să nu afecteze securitatea obiectului evaluării;

dacă mecanismul tehnic de corecție funcționează în conformitate cu dispozițiile prezentei secțiuni și cu informațiile furnizate de solicitant;

dacă organismul de certificare include în raportul de certificare rezultatul procedurii evaluate de gestionare a corecțiilor.

dacă dezvoltatorul a încorporat mecanismele de corecție în produsul TIC în conformitate cu procedura de gestionare a corecțiilor care a fost supusă certificării;

dacă limitele obiectului evaluării sunt separate astfel încât modificările aduse proceselor separate să nu afecteze securitatea obiectului evaluării;

dacă mecanismul tehnic de corecție funcționează în conformitate cu dispozițiile prezentei secțiuni și cu informațiile furnizate de solicitant;

în cazul menționat la punctul 2 litera (a), acesta raportează respectiva corecție organismului de certificare, care nu modifică certificatul EUCC în cauză;

în cazul menționat la punctul 2 litera (b), acesta transmite unității ITSEF respectiva corecție spre reexaminare. După primirea corecției, ITSEF informează organismul de certificare, iar acesta ia măsurile corespunzătoare cu privire la eliberarea unei noi versiuni a certificatului EUCC corespunzător și la actualizarea raportului de certificare;

în cazul menționat la punctul 2 litera (c), acesta transmite respectiva corecție unității ITSEF pentru reevaluarea necesară, dar poate implementa corecția în paralel. ITSEF informează organismul de certificare, după care acesta începe activitățile de certificare corespunzătoare.

ANEXA VConținutul raportului de certificare

ANEXA V

Conținutul raportului de certificare

Raportul de certificare

Pe baza rapoartelor tehnice de evaluare furnizate de ITSEF, organismul de certificare întocmește un raport de certificare care urmează să fie publicat împreună cu certificatul EUCC și cu obiectivul de securitate aferente.

Raportul de certificare este sursa de informații detaliate și practice cu privire la produsul TIC și la implementarea în condiții de siguranță a produsului TIC. Prin urmare, acesta include toate informațiile care sunt publice și pot fi comunicate relevante pentru utilizatori și părțile interesate. Informațiile care sunt publice și pot fi comunicate pot fi menționate în raportul de certificare.

Raportul de certificare conține cel puțin următoarele informații:

rezumatul;

identificarea produsului TIC;

datele de contact referitoare la evaluarea produsului TIC;

politici de securitate;

ipotezele și clarificarea sferei de aplicare;

informații privind arhitectura informatică;

informații suplimentare în materie de securitate cibernetică, dacă este cazul;

rezumatul evaluării produselor TIC și configurația evaluată;

rezultatele evaluării și informații privind certificatul;

observații și recomandări, dacă este cazul;

anexe, dacă este cazul;

o trimitere la obiectivul de securitate al produsului TIC supus certificării;

atunci când este disponibilă, marca sau eticheta asociată sistemului;

glosarul, dacă este cazul;

bibliografia.

Rezumatul menționat la punctul 3 litera (a) este un rezumat succint al întregului raport de certificare. Acesta oferă o imagine de ansamblu clară și concisă a rezultatelor evaluării și include următoarele informații:

denumirea produsului TIC evaluat;

denumirea ITSEF care a efectuat evaluarea;

data finalizării evaluării;

data eliberării certificatului;

dacă este cazul, data eliberării certificatului inițial;

perioada de valabilitate;

identificarea unică a certificatului, astfel cum se descrie la articolul 11;

scurtă descriere a rezultatelor raportului de certificare, inclusiv:

versiunea și, dacă este cazul, ediția criteriilor comune aplicate evaluării;

pachetul aferent asigurării sau lista componentelor asigurării securității din criteriile comune, inclusiv nivelul AVA_VAN aplicat în timpul evaluării și nivelul de asigurare corespunzător, astfel cum se prevede la articolul 52 din Regulamentul (UE) 2019/881, la care se referă certificatul EUCC;

după caz, profilul (profilurile) de protecție cu care produsul TIC declară conformitatea;

trimiterea la politica de securitate a produsului TIC evaluat;

declarație (declarații) de declinare a responsabilității, dacă este cazul.

Identificarea menționată la punctul 3 litera (b) identifică în mod clar produsul TIC evaluat și conține inclusiv următoarele informații:

identificatorul unic al produsului TIC evaluat;

enumerarea componentelor produsului TIC care fac parte din evaluare cu numărul versiunii fiecărei componente;

trimiterea la cerințele suplimentare pentru mediul operarațional al produsului TIC certificat;

Datele de contact menționate la punctul 3 litera (c) includ cel puțin următoarele informații:

denumirea dezvoltatorului;

denumirea și datele de contact ale titularului certificatului EUCC;

denumirea organismului de certificare care a eliberat certificatul;

autoritatea națională competentă de certificare a securității cibernetice;

denumirea unității ITSEF care a efectuat evaluarea și, după caz, lista subcontractanților;

Secțiunea privind politica de securitate menționată la punctul 3 litera (d) conține descrierea politicii de securitate a produsului TIC ca ansamblu de servicii de securitate și a politicilor sau normelor pe care produsul TIC evaluat trebuie să le aplice sau să le respecte. Aceasta trebuie să conțină următoarele informații:

o descriere a procedurilor de gestionare a vulnerabilităților și de divulgare a vulnerabilităților ale titularului certificatului, care trebuie completată exclusiv cu informații care pot fi făcute publice;

politica de continuitate a asigurării a titularului certificatului, inclusiv, după caz, descrierea proceselor de gestionare a ciclului de viață sau de producție ale titularului certificatului, în conformitate cu secțiunea IV.1 din anexa IV;

dacă este cazul, prezența procedurii de gestionare a corecțiilor și rezultatul evaluării sale în conformitate cu secțiunea IV.4 din anexa IV.

Ipotezele și clarificarea domeniului de aplicare menționate la punctul 3 litera (e) conțin informații privind circumstanțele și obiectivele legate de utilizarea preconizată a produsului, astfel cum se menționează la articolul 7 alineatul (1) litera (c), și includ următoarele:

ipoteze privind utilizarea și implementarea produsului TIC sub forma unor cerințe minime, cum ar fi cerințele de instalare și configurare corespunzătoare și cerințele de hardware care sunt îndeplinite;

ipoteze privind mediul necesar pentru funcționarea conformă a produsului TIC;

descrierea oricăror amenințări la adresa produsului TIC care nu sunt contracarate de funcțiile de securitate evaluate ale produsului în funcție de utilizarea preconizată, dacă se consideră că sunt relevante pentru un potențial utilizator al produsului TIC.

Informațiile menționate la primul paragraf trebuie să fie cât mai clare și mai ușor de înțeles pentru, a permite potențialilor utilizatori ai produsului TIC certificat să ia decizii în cunoștință de cauză cu privire la riscurile asociate utilizării acestuia.

Informațiile arhitecturale menționate la punctul 3 litera (f) includ o descriere de nivel înalt a produsului TIC și a principalelor sale componente, pe baza rezultatelor definite în familia de asigurare a criteriilor comune: Development – TOE Design (ADV_TDS).

Informațiile suplimentare privind securitatea cibernetică menționate la punctul 3 litera (g) includ linkul către site-ul web al titularului certificatului EUCC menționat la articolul 55 din Regulamentul (UE) 2019/881.

Evaluarea și configurația produselor TIC menționate la punctul 3 litera (h) descriu efortul de testare atât al dezvoltatorului, cât și al evaluatorului, subliniind abordarea, configurația și amploarea testării. Acestea includ cel puțin următoarele informații:

o identificare a componentelor de asigurare utilizate în standardele menționate la articolul 3;

versiunea documentelor ce reflectă stadiul actual al tehnologiei și criteriile suplimentare de evaluare a securității utilizate în evaluare;

setările și configurația obiectivului de evaluare utilizat pentru testare și analiza vulnerabilității;

orice profil de protecție care a fost utilizat, inclusiv următoarele informații: denumirea, versiunea, data și certificatul profilului de protecție.

Rezultatele evaluării și informațiile privind certificatul menționat la punctul 3 litera (i) includ informații privind nivelul de asigurare atins, astfel cum se menționează la articolul 4 din prezentul regulament și la articolul 52 din Regulamentul (UE) 2019/881.

Observațiile și recomandările menționate la punctul 3 litera (j) sunt utilizate pentru a furniza informații suplimentare cu privire la rezultatele evaluării. Aceste observații și recomandări pot consta în deficiențe ale produsului TIC descoperite în timpul evaluării sau în mențiuni ale unor caracteristici deosebit de utile.

Anexele menționate la punctul 3 litera (k) sunt utilizate pentru a evidenția orice informații suplimentare care ar putea fi utile publicului raportului, dar care nu se încadrează din punct de vedere logic în secțiunile prevăzute ale raportului, inclusiv în cazul unei descrieri complete a politicii de securitate.

Obiectivul de securitate menționat la punctul 3 litera (l) menționează obiectivul de securitate evaluat. Obiectivul de securitate evaluat este însoțit de raportul de certificare în scopul publicării pe site-ul web menționat la articolul 50 alineatul (1) din Regulamentul (UE) 2019/881. În cazul în care este necesară sanitizarea obiectivului de securitate evaluat înainte de publicare, aceasta se realizează în conformitate cu punctul V.2 din anexa V la prezentul regulament.

Mărcile sau etichetele asociate sistemului EUCC menționate la punctul 3 litera (m) se încorporează în raportul de certificare în conformitate cu normele și procedurile prevăzute la articolul 11.

Glosarul menționat la punctul 3 litera (n) este utilizat pentru a spori lizibilitatea raportului prin furnizarea unor definiții ale acronimelor sau termenilor ale căror semnificații ar putea să nu fie ușor vizibile.

Secțiunea bibliografică menționată la punctul 3 litera (o) include trimiteri la toate documentele utilizate pentru întocmirea raportului de certificare. Informațiile respective includ cel puțin următoarele:

criteriile de evaluare a securității, documentele ce reflectă stadiul actual al tehnologiei și specificațiile relevante suplimentare utilizate;

raportul tehnic de evaluare;

raportul tehnic de evaluare pentru evaluarea compozită, dacă este cazul;

documentația tehnică de referință;

orientări în materie de securitate ale dezvoltatorului;

lista de configurație pentru dezvoltatori.

Pentru a garanta reproductibilitatea evaluării, toate documentele la care se face referire trebuie să fie identificate în mod unic cu ajutorul datei exacte a publicării și al numărului exact al versiunii.

Sanitizarea unui obiectiv de securitate pentru publicare

Obiectivul de securitate care trebuie inclus sau la care trebuie să se facă trimitere în raportul de certificare în temeiul secțiunii VI.1 punctul 1 poate fi sanitizat prin eliminarea sau parafrazarea informațiilor tehnice proprietare.

Obiectivul de securitate sanitizat astfel obținut trebuie să fie o reprezentare reală a versiunii sale originale complete. Aceasta înseamnă că obiectivul de securitate sanitizat nu poate omite informații necesare pentru a înțelege proprietățile de securitate ale obiectului evaluării și sfera de aplicare a evaluării.

Conținutul obiectivului de securitate sanitizat trebuie să respecte următoarele cerințe minime:

introducerea sa nu trebuie sanitizată, deoarece în general nu include informații proprietare;

obiectivul de securitate sanitizat trebuie să aibă un identificator unic diferit de versiunea sa originală completă;

descrierea obiectului evaluării poate fi redusă, deoarece poate include informații proprietare și informații detaliate cu privire la designul obiectului evaluării, care nu ar trebui publicate;

descrierea mediului de securitate al obiectului evaluării (ipoteze, amenințări, politici de securitate organizațională) nu se reduce, în măsura în care informațiile respective sunt necesare pentru înțelegerea sferei de aplicare a evaluării;

obiectivele de securitate nu se reduc, deoarece toate informațiile trebuie făcute publice pentru a se înțelege finalitatea obiectivului de securitate și a obiectului evaluării;

toate cerințele de securitate trebuie făcute publice. Notele de aplicare pot oferi informații cu privire la modul în care cerințele funcționale ale criteriilor comune menționate la articolul 3 au fost utilizate pentru a înțelege obiectivul de securitate;

specificarea rezumatului obiectului evaluării include toate funcțiile de securitate ale obiectului evaluării, dar informațiile proprietare suplimentare pot fi sanitizate;

se includ trimiteri la profilurile de protecție aplicate obiectului evaluării;

justificarea poate fi sanitizată pentru a elimina informațiile proprietare.

Chiar dacă obiectivul de securitate sanitizat nu este evaluat în mod oficial în conformitate cu standardele de evaluare menționate la articolul 3, organismul de certificare se asigură că acesta este conform cu obiectivul de securitate complet și evaluat și face trimitere în raportul de certificare atât la obiectivul de securitate complet, cât și la obiectivul de securitate sanitizat.

rezumatul;

identificarea produsului TIC;

datele de contact referitoare la evaluarea produsului TIC;

politici de securitate;

ipotezele și clarificarea sferei de aplicare;

informații privind arhitectura informatică;

informații suplimentare în materie de securitate cibernetică, dacă este cazul;

rezumatul evaluării produselor TIC și configurația evaluată;

rezultatele evaluării și informații privind certificatul;

observații și recomandări, dacă este cazul;

anexe, dacă este cazul;

o trimitere la obiectivul de securitate al produsului TIC supus certificării;

atunci când este disponibilă, marca sau eticheta asociată sistemului;

glosarul, dacă este cazul;

bibliografia.

denumirea produsului TIC evaluat;

denumirea ITSEF care a efectuat evaluarea;

data finalizării evaluării;

data eliberării certificatului;

dacă este cazul, data eliberării certificatului inițial;

perioada de valabilitate;

identificarea unică a certificatului, astfel cum se descrie la articolul 11;

scurtă descriere a rezultatelor raportului de certificare, inclusiv:

versiunea și, dacă este cazul, ediția criteriilor comune aplicate evaluării;

pachetul aferent asigurării sau lista componentelor asigurării securității din criteriile comune, inclusiv nivelul AVA_VAN aplicat în timpul evaluării și nivelul de asigurare corespunzător, astfel cum se prevede la articolul 52 din Regulamentul (UE) 2019/881, la care se referă certificatul EUCC;

după caz, profilul (profilurile) de protecție cu care produsul TIC declară conformitatea;

trimiterea la politica de securitate a produsului TIC evaluat;

declarație (declarații) de declinare a responsabilității, dacă este cazul.

versiunea și, dacă este cazul, ediția criteriilor comune aplicate evaluării;

pachetul aferent asigurării sau lista componentelor asigurării securității din criteriile comune, inclusiv nivelul AVA_VAN aplicat în timpul evaluării și nivelul de asigurare corespunzător, astfel cum se prevede la articolul 52 din Regulamentul (UE) 2019/881, la care se referă certificatul EUCC;

după caz, profilul (profilurile) de protecție cu care produsul TIC declară conformitatea;

trimiterea la politica de securitate a produsului TIC evaluat;

declarație (declarații) de declinare a responsabilității, dacă este cazul.

identificatorul unic al produsului TIC evaluat;

enumerarea componentelor produsului TIC care fac parte din evaluare cu numărul versiunii fiecărei componente;

trimiterea la cerințele suplimentare pentru mediul operarațional al produsului TIC certificat;

denumirea dezvoltatorului;

denumirea și datele de contact ale titularului certificatului EUCC;

denumirea organismului de certificare care a eliberat certificatul;

autoritatea națională competentă de certificare a securității cibernetice;

denumirea unității ITSEF care a efectuat evaluarea și, după caz, lista subcontractanților;

o descriere a procedurilor de gestionare a vulnerabilităților și de divulgare a vulnerabilităților ale titularului certificatului, care trebuie completată exclusiv cu informații care pot fi făcute publice;

politica de continuitate a asigurării a titularului certificatului, inclusiv, după caz, descrierea proceselor de gestionare a ciclului de viață sau de producție ale titularului certificatului, în conformitate cu secțiunea IV.1 din anexa IV;

dacă este cazul, prezența procedurii de gestionare a corecțiilor și rezultatul evaluării sale în conformitate cu secțiunea IV.4 din anexa IV.

ipoteze privind utilizarea și implementarea produsului TIC sub forma unor cerințe minime, cum ar fi cerințele de instalare și configurare corespunzătoare și cerințele de hardware care sunt îndeplinite;

ipoteze privind mediul necesar pentru funcționarea conformă a produsului TIC;

descrierea oricăror amenințări la adresa produsului TIC care nu sunt contracarate de funcțiile de securitate evaluate ale produsului în funcție de utilizarea preconizată, dacă se consideră că sunt relevante pentru un potențial utilizator al produsului TIC.

o identificare a componentelor de asigurare utilizate în standardele menționate la articolul 3;

versiunea documentelor ce reflectă stadiul actual al tehnologiei și criteriile suplimentare de evaluare a securității utilizate în evaluare;

setările și configurația obiectivului de evaluare utilizat pentru testare și analiza vulnerabilității;

orice profil de protecție care a fost utilizat, inclusiv următoarele informații: denumirea, versiunea, data și certificatul profilului de protecție.

criteriile de evaluare a securității, documentele ce reflectă stadiul actual al tehnologiei și specificațiile relevante suplimentare utilizate;

raportul tehnic de evaluare;

raportul tehnic de evaluare pentru evaluarea compozită, dacă este cazul;

documentația tehnică de referință;

orientări în materie de securitate ale dezvoltatorului;

lista de configurație pentru dezvoltatori.

introducerea sa nu trebuie sanitizată, deoarece în general nu include informații proprietare;

obiectivul de securitate sanitizat trebuie să aibă un identificator unic diferit de versiunea sa originală completă;

descrierea obiectului evaluării poate fi redusă, deoarece poate include informații proprietare și informații detaliate cu privire la designul obiectului evaluării, care nu ar trebui publicate;

descrierea mediului de securitate al obiectului evaluării (ipoteze, amenințări, politici de securitate organizațională) nu se reduce, în măsura în care informațiile respective sunt necesare pentru înțelegerea sferei de aplicare a evaluării;

obiectivele de securitate nu se reduc, deoarece toate informațiile trebuie făcute publice pentru a se înțelege finalitatea obiectivului de securitate și a obiectului evaluării;

toate cerințele de securitate trebuie făcute publice. Notele de aplicare pot oferi informații cu privire la modul în care cerințele funcționale ale criteriilor comune menționate la articolul 3 au fost utilizate pentru a înțelege obiectivul de securitate;

specificarea rezumatului obiectului evaluării include toate funcțiile de securitate ale obiectului evaluării, dar informațiile proprietare suplimentare pot fi sanitizate;

se includ trimiteri la profilurile de protecție aplicate obiectului evaluării;

justificarea poate fi sanitizată pentru a elimina informațiile proprietare.

ANEXA VISfera de aplicare și componența echipei în ceea ce privește evaluările colegiale

ANEXA VI

Sfera de aplicare și componența echipei în ceea ce privește evaluările colegiale

Sfera de aplicare a evaluării colegiale

Sunt acoperite următoarele tipuri de evaluări colegiale:

tipul 1 – atunci când un organism de certificare desfășoară activități de certificare pentru nivelul AVA_VAN.3;

tipul 2 – atunci când un organism de certificare desfășoară activități de certificare legate de un domeniu tehnic dintre cele enumerate ca documente ce reflectă stadiul actual al tehnologiei în anexa I;

tipul 3 – atunci când un organism de certificare desfășoară activități de certificare peste nivelul AVA_VAN.3 utilizând un profil de protecție dintre cele enumerate ca documente ce reflectă stadiul actual al tehnologiei în anexa II sau III.

Organismul de certificare supus evaluării colegiale prezintă lista produselor TIC certificate care pot fi eligibile pentru revizuirea de către echipa de evaluare colegială, în conformitate cu următoarele norme:

produsele eligibile acoperă sfera de aplicare tehnică a autorizării organismului de certificare, iar cel puțin două evaluări diferite ale produselor cu nivelul de asigurare ridicat vor fi analizate prin intermediul evaluării colegiale, precum și un profil de protecție, în cazul în care organismul de certificare a eliberat un certificat pentru nivelul de asigurare ridicat;

pentru o evaluare colegială de tip 2, organismul de certificare prezintă cel puțin un produs pentru fiecare domeniu tehnic și pentru fiecare unitate ITSEF vizată;

pentru o evaluare colegială de tip 3, cel puțin un produs eligibil trebuie evaluat în conformitate cu profilul de protecție aplicabil și relevant.

Echipa de evaluare colegială

Echipa de evaluare este formată din cel puțin doi experți selectați din organisme de certificare diferite și din state membre diferite care eliberează certificate pentru nivelul de asigurare ridicat. Experții ar trebui să demonstreze că dețin competențele relevante în ceea ce privește standardele menționate la articolul 3 și documentele ce reflectă stadiul actual al tehnologiei care fac obiectul evaluării colegiale.

În cazul delegării atribuției de eliberare a certificatelor sau în cazul aprobării prealabile, astfel cum se menționează la articolul 56 alineatul (6) din Regulamentul (UE) 2019/881, un expert din partea autorității naționale de certificare a securității cibernetice aflate în legătură cu organismul de certificare în cauză trebuie, de asemenea, să facă parte din echipa de experți selectați în conformitate cu alineatul (1) din prezenta secțiune.

Pentru o evaluare colegială de tip 2, membrii echipei trebuie să fie selectați dintre membrii organismelor de certificare autorizate pentru domeniul tehnic în cauză.

Fiecare membru al echipei de evaluare trebuie să aibă cel puțin doi ani de experiență în desfășurarea activităților de certificare în cadrul unui organism de certificare;

Pentru o evaluare colegială de tip 2 sau 3, fiecare membru al echipei de evaluare trebuie să aibă cel puțin doi ani de experiență în desfășurarea activităților de certificare pentru domeniul tehnic sau profilul de protecție relevant, să aibă cunoștințe de specialitate dovedite și să fi participat la autorizarea unei unități ITSEF.

Autoritatea națională de certificare a securității cibernetice care monitorizează și supraveghează organismul de certificare supus evaluării colegiale și cel puțin o autoritate națională de certificare a securității cibernetice al cărei organism de certificare nu face obiectul evaluării colegiale participă la evaluarea colegială în calitate de observatori. ENISA poate participa, de asemenea, la evaluarea colegială în calitate de observator.

Organismul de certificare supus evaluării colegiale este informat cu privire la componența echipei de evaluare colegială. În cazuri justificate, acesta poate contesta componența echipei de evaluare colegială și poate solicita revizuirea acesteia.

tipul 1 – atunci când un organism de certificare desfășoară activități de certificare pentru nivelul AVA_VAN.3;

tipul 2 – atunci când un organism de certificare desfășoară activități de certificare legate de un domeniu tehnic dintre cele enumerate ca documente ce reflectă stadiul actual al tehnologiei în anexa I;

tipul 3 – atunci când un organism de certificare desfășoară activități de certificare peste nivelul AVA_VAN.3 utilizând un profil de protecție dintre cele enumerate ca documente ce reflectă stadiul actual al tehnologiei în anexa II sau III.

produsele eligibile acoperă sfera de aplicare tehnică a autorizării organismului de certificare, iar cel puțin două evaluări diferite ale produselor cu nivelul de asigurare ridicat vor fi analizate prin intermediul evaluării colegiale, precum și un profil de protecție, în cazul în care organismul de certificare a eliberat un certificat pentru nivelul de asigurare ridicat;

pentru o evaluare colegială de tip 2, organismul de certificare prezintă cel puțin un produs pentru fiecare domeniu tehnic și pentru fiecare unitate ITSEF vizată;

pentru o evaluare colegială de tip 3, cel puțin un produs eligibil trebuie evaluat în conformitate cu profilul de protecție aplicabil și relevant.

ANEXA VIIConținutul unui certificat EUCC

ANEXA VII

Conținutul unui certificat EUCC

Certificatul EUCC conține cel puțin:

un identificator unic stabilit de organismul de certificare care eliberează certificatul;

informații referitoare la produsul TIC certificat sau la profilul de protecție și la titularul certificatului, inclusiv:

denumirea produsului TIC sau a profilului de protecție și, după caz, a obiectului evaluării;

tipul de produs TIC sau de profil de protecție și, după caz, tipul de obiect al evaluării;

versiunea produsului TIC sau a profilului de protecție;

numele, adresa și datele de contact ale titularului certificatului;

linkul către site-ul web al titularului certificatului care conține informațiile suplimentare în materie de securitate cibernetică menționate la articolul 55 din Regulamentul (UE) 2019/881;

informații referitoare la evaluarea și certificarea produsului TIC sau a profilului de protecție, inclusiv:

numele, adresa și datele de contact ale organismului de certificare care a eliberat certificatul;

în cazul în care este diferită de organismul de certificare, numele unității ITSEF care a efectuat evaluarea;

denumirea autorității naționale de certificare a securității cibernetice de resort;

o trimitere la prezentul regulament;

o trimitere la raportul de certificare asociat certificatului menționat în anexa V;

nivelul de asigurare aplicabil în conformitate cu articolul 4;

o trimitere la versiunea standardelor utilizate pentru evaluare menționate la articolul 3;

identificarea nivelului de asigurare sau a pachetului specificat în standardele menționate la articolul 3 și în conformitate cu anexa VIII, inclusiv componentele de asigurare utilizate și nivelul AVA_VAN vizat;

după caz, o trimitere la unul sau mai multe profiluri de protecție cu care este conform produsul TIC sau profilul de protecție;

data eliberării;

perioada de valabilitate a certificatului;

marca și eticheta asociate certificatului în conformitate cu articolul 11.

un identificator unic stabilit de organismul de certificare care eliberează certificatul;

informații referitoare la produsul TIC certificat sau la profilul de protecție și la titularul certificatului, inclusiv:

denumirea produsului TIC sau a profilului de protecție și, după caz, a obiectului evaluării;

tipul de produs TIC sau de profil de protecție și, după caz, tipul de obiect al evaluării;

versiunea produsului TIC sau a profilului de protecție;

numele, adresa și datele de contact ale titularului certificatului;

linkul către site-ul web al titularului certificatului care conține informațiile suplimentare în materie de securitate cibernetică menționate la articolul 55 din Regulamentul (UE) 2019/881;

informații referitoare la evaluarea și certificarea produsului TIC sau a profilului de protecție, inclusiv:

numele, adresa și datele de contact ale organismului de certificare care a eliberat certificatul;

în cazul în care este diferită de organismul de certificare, numele unității ITSEF care a efectuat evaluarea;

denumirea autorității naționale de certificare a securității cibernetice de resort;

o trimitere la prezentul regulament;

o trimitere la raportul de certificare asociat certificatului menționat în anexa V;

nivelul de asigurare aplicabil în conformitate cu articolul 4;

o trimitere la versiunea standardelor utilizate pentru evaluare menționate la articolul 3;

identificarea nivelului de asigurare sau a pachetului specificat în standardele menționate la articolul 3 și în conformitate cu anexa VIII, inclusiv componentele de asigurare utilizate și nivelul AVA_VAN vizat;

după caz, o trimitere la unul sau mai multe profiluri de protecție cu care este conform produsul TIC sau profilul de protecție;

data eliberării;

perioada de valabilitate a certificatului;

marca și eticheta asociate certificatului în conformitate cu articolul 11.

denumirea produsului TIC sau a profilului de protecție și, după caz, a obiectului evaluării;

tipul de produs TIC sau de profil de protecție și, după caz, tipul de obiect al evaluării;

versiunea produsului TIC sau a profilului de protecție;

numele, adresa și datele de contact ale titularului certificatului;

linkul către site-ul web al titularului certificatului care conține informațiile suplimentare în materie de securitate cibernetică menționate la articolul 55 din Regulamentul (UE) 2019/881;

numele, adresa și datele de contact ale organismului de certificare care a eliberat certificatul;

în cazul în care este diferită de organismul de certificare, numele unității ITSEF care a efectuat evaluarea;

denumirea autorității naționale de certificare a securității cibernetice de resort;

o trimitere la prezentul regulament;

o trimitere la raportul de certificare asociat certificatului menționat în anexa V;

nivelul de asigurare aplicabil în conformitate cu articolul 4;

o trimitere la versiunea standardelor utilizate pentru evaluare menționate la articolul 3;

identificarea nivelului de asigurare sau a pachetului specificat în standardele menționate la articolul 3 și în conformitate cu anexa VIII, inclusiv componentele de asigurare utilizate și nivelul AVA_VAN vizat;

după caz, o trimitere la unul sau mai multe profiluri de protecție cu care este conform produsul TIC sau profilul de protecție;

data eliberării;

perioada de valabilitate a certificatului;

ANEXA VIIIDeclarația privind pachetul aferent asigurării

ANEXA VIII

Declarația privind pachetul aferent asigurării

Contrar definițiilor din criteriile comune, o augmentare:

nu se indică prin semnul +;

se detaliază printr-o listă a tuturor componentelor vizate;

se prezintă în detaliu în raportul de certificare.

Nivelul de asigurare confirmat într-un certificat EUCC poate fi completat de nivelul de asigurare al evaluării specificat la articolul 3 din prezentul regulament.

În cazul în care nivelul de asigurare confirmat într-un certificat EUCC nu se referă la o augmentare, certificatul EUCC indică unul dintre următoarele pachete:

pachetul specific aferent asigurării;

pachetul aferent asigurării care este conform cu un profil de protecție, în cazul în care se face trimitere la un profil de protecție fără un nivel de asigurare a evaluării.

nu se indică prin semnul +;

se detaliază printr-o listă a tuturor componentelor vizate;

se prezintă în detaliu în raportul de certificare.

pachetul specific aferent asigurării;

pachetul aferent asigurării care este conform cu un profil de protecție, în cazul în care se face trimitere la un profil de protecție fără un nivel de asigurare a evaluării.

ANEXA IXMarca și eticheta

ANEXA IX

Marca și eticheta

Forma mărcii și a etichetei:

În caz de micșorare sau de mărire a mărcii și a etichetei, trebuie respectate proporțiile menționate la punctul 1.

În cazul în care sunt prezente fizic, marca și eticheta trebuie să aibă o înălțime de cel puțin 5 mm.