MEDEDELING VAN DE COMMISSIE

Richtsnoeren inzake de overeenkomstig artikel 15, lid 8, van Richtlijn 2014/40/EU in te dienen jaarlijkse auditverslagen in het kader van het EU-traceringssysteem voor tabaksproducten

(Voor de EER relevante tekst)

(2020/C 167/01)

DISCLAIMER: Dit document is bedoeld om een goedgekeurde auditor meer uitleg te verschaffen over de reikwijdte van de audit en de procedure voor het indienen van het jaarlijkse auditverslag. Het is niet juridisch bindend, maar geeft algemene richtsnoeren met aanbevelingen en gaat in op beste praktijken. Deze richtsnoeren laten eventuele nationale voorschriften onverlet.

1. Inleiding

Artikel 15 van Richtlijn 2014/40/EU van het Europees Parlement en de Raad (1) voorziet in de vaststelling van een EU-breed traceerbaarheidssysteem voor tabaksproducten om de illegale handel in tabaksproducten te bestrijden. Het systeem is sinds 20 mei 2019 operationeel.

In het kader van dat systeem moeten de lidstaten op grond van artikel 15, lid 8, van Richtlijn 2014/40/EU ervoor zorgen dat de producenten en importeurs van tabaksproducten contracten over de opslag van gegevens sluiten met een onafhankelijke derde (“derde aanbieder”) met het oog op de instelling van een faciliteit voor gegevensopslag voor het beheer van gegevens betreffende tabaksproducten van individuele producenten en importeurs (“primaire gegevensopslag”).

Om de onafhankelijke werking van het traceringssysteem te waarborgen, is in artikel 15, lid 8, van Richtlijn 2014/40/EU bepaald dat een externe auditor de activiteiten in verband met de primaire gegevensopslag en de derde aanbieder ervan moet controleren. De auditor wordt door de tabaksproducent voorgesteld en betaald en door de Commissie goedgekeurd. De externe auditor dient zijn beoordeling in de vorm van een jaarverslag, waarin hij met name onregelmatigheden met betrekking tot de toegang beoordeelt, in bij de nationale bevoegde autoriteiten en de Commissie.

Dit document is bedoeld om een goedgekeurde auditor meer uitleg te verschaffen over de reikwijdte van de audit en de procedure voor het indienen van het jaarlijkse auditverslag. Het moet worden gelezen in samenhang met Uitvoeringsverordening (EU) 2018/574 van de Commissie (2), waarin de technische vereisten voor de instelling en de werking van het traceringssysteem, ook voor primaire gegevensopslagplaatsen, zijn vastgesteld, en Gedelegeerde Verordening (EU) 2018/573 van de Commissie (3), waarin de centrale elementen van de gegevensopslagcontracten die als onderdeel van een traceringssysteem moeten worden gesloten, worden omschreven.

Deze niet-bindende richtsnoeren worden aangeboden als hulpmiddel voor goedgekeurde auditors en creëren geen nieuwe wettelijke verplichtingen. Voor zover met deze richtsnoeren wetgeving wordt uitgelegd, laat het standpunt van de Commissie een eventuele uitlegging van deze richtlijn door het Hof van Justitie van de Europese Unie onverlet.

2. Algemene context van de audits

Voor elke primaire gegevensopslag waarvoor een producent een contract heeft gesloten, moet jaarlijks een audit worden uitgevoerd. Indien dezelfde derde aanbieder minstens twee primaire gegevensopslagplaatsen exploiteert, verdient het de voorkeur om voor elke gegevensopslag een afzonderlijke audit uit te voeren en een afzonderlijk auditverslag in te dienen.

Er moet een audit worden uitgevoerd met betrekking tot een primaire gegevensopslag en de bijbehorende diensten, in het kader waarvan ook moet worden beoordeeld of de betreffende derde aanbieder en, indien van toepassing, zijn onderaannemers aan de toepasselijke wettelijke voorschriften van Richtlijn 2014/40/EU, Uitvoeringsverordening (EU) 2018/574 en Gedelegeerde Verordening (EU) 2018/573 voldoen.

Elke producent of importeur moet de Commissie in kennis stellen van de auditor die hij voor de audit van zijn primaire gegevensopslag voorstelt, en van de desbetreffende derde aanbieder. Alle voorgestelde auditors moeten door de Commissie worden goedgekeurd.

3. Reikwijdte van de audits

Reikwijdte en doel

Auditverslagen moeten worden ingediend zodat de nationale bevoegde autoriteiten en de Commissie op de hoogte zijn van de bevindingen van de auditors, met name met betrekking tot eventuele onregelmatigheden in verband met de toegang tot de door primaire gegevensopslagplaatsen opgeslagen gegevens.

In de auditverslagen moeten afzonderlijke hoofdstukken worden gewijd aan elk van de zes gebieden die hieronder worden beschreven. In elk hoofdstuk moeten de controlepunten van het betreffende gebied, die in de controlelijst in de bijlage zijn opgesomd, worden behandeld.

Audits moeten worden uitgevoerd overeenkomstig die controlelijst, waarin de vereiste gebieden en verificatiepunten zijn vastgesteld overeenkomstig norm ISO/IEC 27001:2013 betreffende managementsystemen voor informatiebeveiliging (4). Daartoe moeten auditors opmerken dat in artikel 10 van Gedelegeerde Verordening (EU) 2018/573 wordt verwezen naar ISO/IEC 27001:2013 als de voorkeursnorm voor het beheer van informatiebeveiliging in het kader van de exploitatie van primaire gegevensopslagplaatsen.

Gebied Doelstellingen Organisatorische en fysieke beveiliging Een beheerskader vaststellen voor informatiebeveiliging binnen de organisatie. Waarborgen dat medewerkers en contractanten hun verantwoordelijkheden begrijpen en geschikt zijn voor de rollen waarvoor zij in aanmerking komen. Onbevoegde fysieke toegang tot, schade aan en interferentie met de organisatie, met inbegrip van informatie en informatieverwerkende faciliteiten, voorkomen. Verlies, schade, diefstal of compromittering van bedrijfsmiddelen en onderbreking van de bedrijfsvoering van de organisatie voorkomen. Beveiliging bedrijfsvoering Correcte en veilige bediening van informatieverwerkende faciliteiten waarborgen. Beschermen tegen het verlies van gegevens. Gebeurtenissen vastleggen en bewijs verzamelen. De integriteit van operationele systemen waarborgen. Benutting van technische kwetsbaarheden voorkomen. Toegangsbeveiliging (gebruikers en toepassingen) Toegang tot informatie en informatieverwerkende faciliteiten beperken. Toegang voor bevoegde gebruikers bewerkstelligen en onbevoegde toegang tot systemen en diensten voorkomen. Gebruikers verantwoordelijk maken voor het beschermen van hun authenticatie-informatie. Onbevoegde toegang tot systemen en toepassingen voorkomen. Bewerkstelligen dat informatiebeveiliging wordt ontworpen en geïmplementeerd binnen de ontwikkelingslevenscyclus van informatiesystemen. Communicatiebeveiliging Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, authenticiteit en/of integriteit van informatie te beschermen. De bescherming van informatie in netwerken en de ondersteunende informatieverwerkende faciliteiten waarborgen. Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie en met een externe entiteit. Bedrijfscontinuïteit Een consistente en doeltreffende aanpak bewerkstelligen van het beheer van informatiebeveiligingsincidenten, met inbegrip van communicatie over beveiligingsgebeurtenissen en zwakke plekken in de beveiliging. Informatiebeveiligingscontinuïteit behoort te worden ingebed in de systemen van het bedrijfscontinuïteitsbeheer van de organisatie. Beschikbaarheid van informatieverwerkende faciliteiten bewerkstelligen. Voorkomen van schendingen van wettelijke, statutaire, regelgevende of contractuele verplichtingen betreffende informatiebeveiliging en beveiligingseisen. Bedrijfsmiddelen en gegevensintegriteit Bedrijfsmiddelen van de organisatie identificeren en passende verantwoordelijkheden ter bescherming definiëren. Bewerkstelligen dat informatie een passend beschermingsniveau krijgt. Onbevoegde openbaarmaking, wijziging, verwijdering of vernietiging van informatie die op media is opgeslagen voorkomen.

Conclusies en aanbevelingen

Voor elk in de controlelijst genoemd controlepunt moeten auditconclusies worden verstrekt.

In een auditverslag hoeven alleen bevindingen met betrekking tot gevallen van niet-naleving of andere vastgestelde risico’s te worden benadrukt en uitgewerkt. De bevindingen moeten ook vergezeld gaan van passende aanbevelingen waarin de maatregelen worden uiteengezet die nodig zijn om de bij de audit vastgestelde problemen en tekortkomingen weg te werken.

4. Procedurele aspecten

Frequentie

De auditors moeten hun auditverslagen jaarlijks indienen. Aangezien het traceringssysteem op 20 mei 2019 operationeel werd, wordt auditors verzocht hun eerste jaarlijkse auditverslag voor het eerste operationele jaar van het traceringssysteem (d.w.z. van 20 mei 2019 tot en met 19 mei 2020) uiterlijk op 30 november 2020 in te dienen. De auditors wordt verzocht om daarna voor de volgende operationele jaren vóór het einde van de maand oktober van elk kalenderjaar een jaarverslag in te dienen.

Follow-up van de audit

Wanneer een vervolgcontrole wordt uitgevoerd om te beoordelen of de betrokken derde aanbieder de aanbevelingen in het jaarlijkse auditverslag naar behoren heeft uitgevoerd, wordt de auditor verzocht om, indien mogelijk, de resultaten binnen drie maanden na de indiening van het jaarlijkse auditverslag bij de Commissie en de nationale bevoegde autoriteiten in te dienen.

5. Procedurele aspecten van auditverslagen

Informatie over auditors

De namen van de auditor(s) en, indien van toepassing, van het/de betrokken auditkanto(o)r(en) moeten bij voorkeur in de inleiding van het auditverslag worden vermeld.

Formaat

Het auditverslag moet in elektronische vorm worden verstrekt (doorzoekbare, niet-beschermde PDF).

De auditors wordt verzocht om, indien mogelijk, de jaarverslagen bij de Commissie in het Engels in te dienen.

Indieningsprocedure

Het jaarlijkse auditverslag en eventuele vervolgverslagen moeten per e‐mail op het volgende adres worden ingediend: SANTE-TT-SW@ec.europa.eu. De e‐mail bevat het volgende onderwerp: “Audit report [follow-up to the audit report] voor [jaar] — [naam van de producent die een contract heeft gesloten] — [naam van de gecontroleerde derde aanbieder]”.

Transparantie

Om de algemene transparantie en de verantwoording van het traceringssysteem voor tabaksproducten te bevorderen, verzoekt de Commissie de producenten om op vrijwillige basis met hun respectieve auditors af te spreken dat zij bij de Commissie ook een openbare versie van hun auditverslag, zonder persoonlijke en commercieel gevoelige gegevens, indienen.

Dergelijke openbare versies van de auditverslagen zouden op de speciale webpagina van de Commissie worden gepubliceerd.

(1) Richtlijn 2014/40/EU van het Europees Parlement en de Raad van 3 april 2014 betreffende de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten inzake de productie, de presentatie en de verkoop van tabaks- en aanverwante producten en tot intrekking van Richtlijn 2001/37/EG (PB L 127 van 29.4.2014, blz. 1).

(2) Uitvoeringsverordening (EU) 2018/574 van de Commissie van 15 december 2017 inzake de technische normen voor de instelling en werking van een traceringssysteem voor tabaksproducten (PB L 96 van 16.4.2018, blz. 7).

(3) Gedelegeerde Verordening (EU) 2018/573 van de Commissie van 15 december 2017 betreffende de centrale elementen van de gegevensopslagcontracten die als onderdeel van een traceringssysteem voor tabaksproducten moeten worden gesloten (PB L 96 van 16.4.2018, blz. 1).

(4) ISO/IEC 27001:2013. Informatietechnologie — Beveiligingstechnieken — Managementsystemen voor informatiebeveiliging — Eisen. De voorschriften van ISO/IEC 27001:2013 zijn algemeen en toepasbaar op alle organisaties, ongeacht hun type, omvang of aard.