CELEX ID: 32024R0482

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2024/482
7.2.2024
COMMISSION IMPLEMENTING REGULATION (EU) 2024/482
of 31 January 2024
laying down rules for the application of Regulation (EU) 2019/881 of the European Parliament and of the Council as regards the adoption of the European Common Criteria-based cybersecurity certification scheme (EUCC)
(Text with EEA relevance)
THE EUROPEAN COMMISSION,
Having regard to the Treaty on the Functioning of the European Union,
Having regard to Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) 526/2013 (Cybersecurity Act) 
(
1
)
, and in particular Article 49(7) thereof,
Whereas:
(1)
This Regulation specifies the roles, rules and obligations, as well as the structure of the European Common Criteria-based cybersecurity certification scheme (EUCC) in accordance with the European cybersecurity certification framework set out in Regulation (EU) 2019/881. The EUCC builds on the Mutual Recognition Agreement (‘MRA’) of Information Technology Security Certificates of the Senior Officials Group Information Systems Security 
(
2
)
 (‘SOG-IS’) using the Common Criteria, including the group’s procedures and documents.
(2)
The scheme should be based on established international standards. Common Criteria is an international standard for information security evaluation published, for instance, as ISO/IEC 15408 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security. It is based on third party evaluation and envisages seven Evaluation Assurance Levels (‘EAL’). The Common Criteria is accompanied by the Common Evaluation Methodology, published, for instance, as ISO/IEC 18045 - Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Methodology for IT security evaluation. Specifications and documents that apply the provisions of this Regulation may relate to a publicly available standard that mirrors the standard used in certification under this Regulation, such as Common Criteria for Information Technology Security Evaluation and Common Methodology for Information Technology Security Evaluation.
(3)
The EUCC uses the Common Criteria’s vulnerability assessment family (AVA_VAN), components 1 to 5. The five components provide all the main determinants and dependencies for analysing vulnerabilities of ICT products. As the components correspond to the assurance levels in this Regulation, they allow for a well-informed choice of assurance, based on the evaluations carried out of the security requirements and the risk associated with the intended use of the ICT product. The applicant for an EUCC certificate should provide the documentation related to the intended use of the ICT product and the analysis of the levels of risks associated with such usage in order to enable the conformity assessment body to evaluate the suitability of the assurance level selected. Where the evaluation and certification activities are performed by the same conformity assessment body, the applicant should submit the requested information only once.
(4)
A technical domain is a reference framework that covers a group of ICT products that have specific and similar security functionality that mitigates attacks where the characteristics are common to a given assurance level. A technical domain describes in state-of-the-art documents the specific security requirements as well as additional evaluation methods, techniques and tools that apply to the certification of ICT products that are covered by this technical domain. A technical domain therefore also fosters harmonisation of the evaluation of covered ICT products. Two technical domains are currently widely used for certification at levels AVA_VAN.4 and AVA_VAN.5. The first technical domain is the ‘Smart cards and similar devices’ technical domain, where significant portions of the required security functionality depend on specific, tailored and often separable hardware elements (e.g. smart card hardware, integrated circuits, smart card composite products, Trusted Platform Modules as used in Trusted Computing, or digital tachograph cards). The second technical domain is ‘Hardware devices with security boxes’, where significant portions of the required security functionality depend upon a hardware physical envelope (referred to as a ‘Security Box’) that is designed to resist direct attacks, e.g. payment terminals, tachograph vehicle units, smart meters, access control terminals and Hardware Security Modules).
(5)
When applying for certification, the applicant should relate its reasoning for selecting an assurance level to the objectives laid down in Article 51 of Regulation (EU) 2019/881, and to the selection of components from the catalogue of security functional requirements and security assurance requirements contained in Common Criteria. Certification bodies should assess the appropriateness of the chosen assurance level and ensure that the chosen level is commensurate with the level of risk associated with the intended use of the ICT product.
(6)
Under the Common Criteria, certification is carried out against a security target which encompasses a definition of the ICT product’s security problem as well as the security objectives that address the security problem. The security problem provides details on the intended use of the ICT product and the risks associated with such use. A select set of security requirements responds to both the security problem and security objectives of an ICT product.
(7)
Protection profiles are an effective means to predetermine the common criteria that are applicable to a given category of ICT products and therefore also an essential element in the certification process of ICT products covered by the protection profile. A protection profile is used to assess future security targets that fall under the given ICT product category addressed by that protection profile. They further streamline and enhance the efficiency of the ICT product certification process and help users to specify an ICT product’s functionality correctly and effectively. Protection profiles should thus be considered as integral part of the ICT process leading to the certification of ICT products.
(8)
In order to enable their role in the ICT process supporting the development and delivery of a certified ICT product, protection profiles themselves should be able to be certified independently from a certification of the specific ICT product that falls under the respective protection profile. It is therefore essential to apply at least the same level of scrutiny to protection profiles as to security targets in order to ensure a high level of cybersecurity. Protection profiles should be evaluated and certified separately from the related ICT product and solely by applying the Common Criteria’s and Common Evaluation Methodology’s assurance class for protection profiles (APE) and, where applicable, for configurations of protection profiles (ACE). Due to their important and sensitive role as a benchmark in the certification of ICT products, they should be certified only by public bodies or by a certification body that has received prior approval for the specific protection profile by the national cybersecurity certification authority. Due to their fundamental role for certification at assurance level ‘high’, in particular outside of technical domains, protection profiles should be developed as state-of-the-art documents which should be endorsed by the European Cybersecurity Certification Group.
(9)
Certified protection profiles should be included in the EUCC conformity and compliance monitoring by the national cybersecurity certification authorities. Where methodology, tools and skills applied to approaches for the evaluation of ICT products are available for specific certified protection profiles, technical domains may be based on those specific protection profiles.
(10)
To achieve a high level of trust and assurance in certified ICT products, self-assessment should not be permitted under this Regulation. Only third-party conformity assessment by ITSEF and certification bodies should be allowed.
(11)
The SOG-IS community provided joint interpretations and approaches for the application of the Common Criteria and the Common Evaluation Methodology in certification, in particular for the assurance level ‘high’ pursued by the technical domains “Smart cards and similar devices’ and “Hardware devices with security boxes”. The reuse of such supporting documents in the EUCC scheme ensures a smooth transition from the nationally implemented SOG-IS schemes to the harmonised EUCC scheme. Therefore, harmonised evaluation methodologies of general relevance for all certification activities should be included in this Regulation. In addition, the Commission should be able to request the European Cybersecurity Certification Group to adopt an opinion endorsing and recommending the application of evaluation methodologies specified in state-of-the-art documents for the certification of the ICT product or protection profile under the EUCC scheme. This Regulation therefore lists in Annex I the state-of-the-art documents for the evaluation activities carried out by conformity assessment bodies. The European Cybersecurity Certification Group should endorse and maintain state-of-the-art documents. State-of-the-art documents should be used in certification. Only in exceptional and duly justified cases, a conformity assessment body may not use them subject to specific conditions, in particular the approval by the national cybersecurity certification authority.
(12)
Certification of ICT products at AVA_VAN level 4 or 5 should only be possible under specific conditions and where a specific evaluation methodology is available. The specific evaluation methodology may be enshrined in state-of-the-art documents relevant for the technical domain, or in specific protection profiles adopted as state-of-the-art document that are relevant for the product category concerned. Only in exceptional and duly justified cases, certification at these assurance levels should be possible, subject to specific conditions, in particular approval by the national cybersecurity certification authority, including of the applicable evaluation methodology. Such exceptional and duly justified cases may exist where Union or national legislation require certification of an ICT product at AVA_VAN level 4 or 5. Similarly, in exceptional and duly justified cases, protection profiles may be certified without applying the relevant state-of-the-art documents, subject to specific conditions, in particular the approval by the national cybersecurity certification authority, including of the applicable evaluation methodology.
(13)
The marks and labels used under EUCC aim at visibly demonstrating the trustworthiness of the certified ICT product to users and enable them to make an informed choice when purchasing ICT products. The use of marks and labels should also be subject to the rules and conditions set out in ISO/IEC 17065 and, where applicable, ISO/IEC 17030 with the applicable guidance.
(14)
Certification bodies should decide on the duration of the validity of certificates taking into account the life cycle of the ICT product concerned. The duration of the validity should not exceed 5 years. National cybersecurity certification authorities should work on harmonising duration validity in the Union.
(15)
Where the scope of an existing EUCC certificate is reduced, the certificate shall be withdrawn and a new certificate with the new scope should be issued to ensure that users are clearly informed about the current scope and assurance level of the certificate of a given ICT product.
(16)
The certification of protection profiles differs from that of ICT products as it concerns an ICT process. As a protection profile covers a category of ICT products, its evaluation and certification cannot be done on the basis of a single ICT product. As a protection profile unifies the general security requirements regarding a category of ICT products and independent of the ICT product’s manifestation by its vendor, the period of validity of an EUCC certificate for a protection profile should, in principle, cover 5 years as a minimum and may be extended to the lifetime of the protection profile.
(17)
A conformity assessment body is defined as a body that performs conformity assessment activities including calibration, testing, certification and inspection. In order to ensure a high quality of services, this Regulation specifies that testing activities on the one hand, and certification and inspection activities on the other hand, should be carried out by entities operating independently from each other, namely Information Technology Security Evaluation Facilities (‘ITSEF’), and certification bodies, respectively. Both types of conformity assessment bodies should be accredited and, in certain situations, authorised.
(18)
A certification body should be accredited in accordance with standard ISO/IEC 17065 by the national accreditation body for assurance level ‘substantial’ and ‘high’. In addition to the accreditation in accordance with Regulation (EU) 2019/881 in conjunction with Regulation (EC) No 765/2008, conformity assessment bodies should meet specific requirements in order to guarantee their technical competence for the evaluation of cybersecurity requirements under assurance level ‘high’ of the EUCC, which is confirmed by an ‘authorisation’. To support the authorisation process, relevant state-of-the-art documents should be developed, and be published by ENISA after endorsement by the European Cybersecurity Certification Group.
(19)
The technical competence of an ITSEF should be assessed through the accreditation of the testing laboratory in accordance with ISO/IEC 17025 and complemented by ISO/IEC 23532-1 for the full set of evaluation activities that are relevant to the assurance level and specified in ISO/IEC 18045 in conjunction with ISO/IEC 15408. Both the certification body and the ITSEF should establish and maintain an appropriate competence management system for personnel that draws from ISO/IEC 19896-1 for the elements and levels of competence and for the appraisal of competence. For the level of knowledge, skills, experience and education, the applicable requirements for the evaluators should be drawn from ISO/IEC 19896-3. Equivalent provisions and measures dealing with deviations from such competence management systems should be demonstrated, in line with the system’s objectives.
(20)
In order to be authorised, the ITSEF should demonstrate its capability to determine the absence of known vulnerabilities, the correct and consistent implementation of state-of-the art security functionalities for the specific technology concerned and the targeted ICT product’s resistance to skilled attackers. Additionally, for authorisations in the technical domain of ‘Smart cards and similar devices’, the ITSEF should also demonstrate the technical capabilities necessary for the evaluation activities and related tasks as defined in the ‘Minimum ITSEF requirements for security evaluations of smart cards and similar devices’ 
(
3
)
 supporting document under the Common Criteria. For authorisation in the technical domain ‘Hardware devices with security boxes’, the ITSEF should, in addition, demonstrate the minimum technical requirements necessary for carrying out evaluation activities and related tasks on hardware devices with security boxes’ as recommended by the ECCG. In the context of the minimum requirements, the ITSEF should be capable of conducting the different types of attacks set out in ‘Application of Attack Potential to Hardware Devices with Security Boxes’ supporting document under the Common Criteria. Those capabilities encompass the evaluator’s knowledge and skills and the equipment and evaluation methods needed to determine and assess the different types of attacks.
(21)
The national cybersecurity certification authority should monitor the compliance of certification bodies, ITSEF and the holders of certificates with their obligations stemming from this Regulation and the Regulation (EU) 2019/881. National cybersecurity certification authority should use any appropriate sources of information to this end, including information received from certification process participants and own investigations.
(22)
Certification bodies should cooperate with relevant market surveillance authorities and take into account any vulnerability information that could be relevant to ICT products for which they have issued certificates. Certification bodies should monitor the protection profiles they have certified to identify whether the security requirements set out for a category of ICT products continue to reflect the latest developments in the threat landscape.
(23)
In support of the compliance monitoring, the national cybersecurity certification authorities should cooperate with the relevant market surveillance authorities in accordance with Article 58 of Regulation (EU) 2019/881 and Regulation (EU) 2019/1020 of the European Parliament and of the Council 
(
4
)
. Economic operators in the Union are obliged to share information and cooperate with market surveillance authorities, pursuant to Article 4(3) of the Regulation 2019/1020.
(24)
The certification bodies should monitor the compliance of the holders of a certificate and the conformity of all certificates issued under the EUCC. The monitoring should ensure that all evaluation reports provided by an ITSEF, and the conclusions taken therein as well as the evaluation criteria and methods are consistently and correctly applied across all certification activities.
(25)
Where potential non-compliance issues are detected which affect a certified ICT product, it is important to ensure a proportional response. Certificates may therefore be suspended. Suspension should entail certain limitations regarding the promotion and use of the ICT product in question, but not affect the validity of the certificate. Suspension should be notified to the purchasers of the affected ICT products by the holder of the EU certificate, whilst the relevant market surveillance authorities should be notified by the relevant national cybersecurity certification authority. To inform the public, ENISA should publish information about a suspension on a dedicated website.
(26)
The holder of an EUCC certificate should implement necessary vulnerability management procedures and ensure that those procedures are embedded in their organisation. When becoming aware of a potential vulnerability, the holder of the EUCC certificate should perform a vulnerability impact analysis. Where the vulnerability impact analysis confirms that the vulnerability can be exploited, the certificate holder should send a report of the assessment to the certification body which should in turn inform the national cybersecurity certification authority. The report should inform about the impact of the vulnerability, the necessary changes or remedial solutions that are required including possible broader implications of the vulnerability as well as remedial solutions for other products. Where necessary, the standard EN ISO/IEC 29147 should supplement the procedure for the vulnerability disclosure.
(27)
For the purpose of certification, conformity assessment bodies and national cybersecurity certification authorities obtain confidential and sensitive data and business secrets, also relating to intellectual property or compliance monitoring that require adequate protection. They should therefore have the necessary technical competencies and knowledge and should establish systems in place for the protection of information. The requirements and conditions for the protection of information should be met for both accreditation and authorisation.
(28)
ENISA should provide the list of certified protection profiles on its cybersecurity certification website and indicate their status, in accordance with Regulation (EU) 2019/881.
(29)
This Regulation sets out conditions for mutual recognition agreements with third countries. Such mutual recognition agreements may be bi- or multilateral and should replace similar agreements currently in place. In view of facilitating a smooth transition to such mutual recognition agreements, Member States may continue existing cooperation arrangements with third countries for a limited period.
(30)
Certification bodies issuing EUCC certificates at assurance level ‘high’, as well as the relevant associated ITSEFs, should undergo peer assessments. The objective of peer assessments should be to determine the continued compliance of a peer-assessed certification body’s constitution and procedures with the requirements of the EUCC scheme. Peer assessments are different from peer reviews among national cybersecurity certification authorities, as provided for in Article 59 of Regulation (EU) 2019/881. Peer assessments should ascertain that certification bodies work in a harmonised way and produce the same quality of certificates and they should identify any potential strength or weakness in the performance of certification bodies, also in view of sharing best practices. As there are different types of certification bodies, different types of peer assessment should be allowed. In more complex cases, such as certification bodies issuing certificates on different AVA_VAN levels, different types of peer assessment can be used, provided that all the requirements are met.
(31)
The European Cybersecurity Certification Group should play an important role in the maintenance of the scheme. It should, inter alia, be carried out through cooperation with the private sector, the creation of specialised subgroups and relevant preparatory work and assistance requested by the Commission. The European Cybersecurity Certification Group plays an important role in the endorsement of state-of-the-art documents. In the endorsement and adoption of state-of-the-art documents, due account should be taken of the elements referred to in Article 54(1) letter c) of Regulation (EU) 2019/881. Technical domains and state-of-the art documents should be published in Annex I of this Regulation. Protection profiles that have been adopted as state-of-the-art documents should be published in Annex II. In order to ensure that these Annexes are dynamic, the Commission may amend them, in accordance with the procedure set out in Article 66(2) of Regulation (EU) 2019/881, and taking into account the opinion of the European Cybersecurity Certification Group. Annex III contains recommended protection profiles, which at the time of entry into force of this Regulation are not state-of-the-art documents. They should be made public on the ENISA website referred to in Article 50(1) of Regulation (EU) 2019/881.
(32)
This Regulation should start to apply 12 months after its entry into force. The requirements of Chapter IV and Annex V do not require a transition period and should therefore apply as from the entry into force of this Regulation.
(33)
The measures provided for in this Regulation are consistent with the opinion of the European Cybersecurity Certification Committee established by Article 66 of Regulation (EU) 2019/881,
HAS ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter and scope
This Regulation sets out the European Common Criteria-based cybersecurity certification scheme (EUCC).
This Regulation applies to all information and communication technologies (‘ICT’) products, including their documentation, which are submitted for certification under the EUCC, and to all protection profiles which are submitted for certification as part of the ICT process leading to the certification of ICT products.
Article 2
Definitions
For the purposes of this Regulation, the following definitions shall apply:
(1)
‘Common Criteria’ mean the Common Criteria for Information Technology Security Evaluation, as set out in ISO standard ISO/IEC 15408;
(2)
‘Common Evaluation Methodology’ means the Common Methodology for Information Technology Security Evaluation, as set out in ISO/IEC standard ISO/IEC 18045;
(3)
‘target of evaluation’ means an ICT product or part thereof, or a protection profile as part of an ICT process, which is subjected to cybersecurity evaluation to receive EUCC certification;
(4)
‘security target’ means a claim of implementation-dependent security requirements for a specific ICT product;
(5)
‘protection profile’ means an ICT process that lays down the security requirements for a specific category of ICT products, addressing implementation-independent security needs, and that may be used to assess ICT products falling into that specific category for the purpose of their certification;
(6)
‘evaluation technical report’ means a document produced by an ITSEF to present the findings, verdicts and justifications obtained during the evaluation of an ICT product or a protection profile in accordance with the rules and obligations set out in this Regulation;
(7)
‘ITSEF’ means an Information Technology Security Evaluation Facility, which is a conformity assessment body as defined in Article 2, point (13), of Regulation (EC) No 765/2008 that performs evaluation tasks;
(8)
‘AVA_VAN level’ means an assurance vulnerability analysis level that indicates the degree of cybersecurity evaluation activities carried out to determine the level of resistance against potential exploitability of flaws or weaknesses in the target of evaluation in its operational environment as set out in the Common Criteria;
(9)
‘EUCC certificate’ means a cybersecurity certificate issued under the EUCC for ICT products, or for protection profiles that can be used exclusively in the ICT process of certification of ICT products;
(10)
‘composite product’ means an ICT product that is evaluated together with another underlying ICT product that has already received an EUCC certificate and on whose security functionality the composite ICT product depends;
(11)
‘national cybersecurity certification authority’ means an authority designated by a Member State pursuant to Article 58(1) of Regulation (EU) 2019/881;
(12)
‘certification body’ means a conformity assessment body as defined in Article 2, point (13), of Regulation (EC) No 765/2008, which performs certification activities;
(13)
‘technical domain’ means a common technical framework related to a particular technology for the harmonised certification with a set of characteristic security requirements;
(14)
‘state-of-the-art document’ means a document which specifies evaluation methods, techniques and tools that apply to the certification of ICT products, or security requirements of a generic ICT product category, or any other requirements necessary for certification, in order to harmonise evaluation, in particular of technical domains or protection profiles;
(15)
‘market surveillance authority’ means an authority defined in Article 3(4) of Regulation (EU) 2019/1020.
Article 3
Evaluation standards
The following standards shall apply to evaluations performed under the EUCC scheme:
(a)
the Common Criteria;
(b)
the Common Evaluation Methodology.
Article 4
Assurance levels
1.   Certification bodies shall issue EUCC certificates at assurance level ‘substantial’ or ‘high’.
2.   EUCC certificates at assurance level ‘substantial’ shall correspond to certificates that cover AVA_VAN level 1 or 2.
3.   EUCC certificates at assurance level ‘high’ shall correspond to certificates that cover AVA_VAN level 3, 4 or 5.
4.   The assurance level confirmed in a EUCC certificate shall distinguish between the conformant and augmented use of the assurance components as specified in the Common Criteria in accordance with Annex VIII.
5.   Conformity assessment bodies shall apply those assurance components on which the selected AVA_VAN level depends in accordance with the standards referred to in Article 3.
Article 5
Methods for certifying ICT products
1.   Certification of an ICT product shall be carried out against its security target:
(a)
as defined by the applicant; or
(b)
incorporating a certified protection profile as part of the ICT process, where the ICT product falls in the ICT product category covered by that protection profile.
2.   Protection profiles shall be certified for the sole purpose of the certification of ICT products falling in the specific category of ICT products covered by the protection profile.
Article 6
Conformity self-assessment
A conformity self-assessment within the meaning of Article 53 of Regulation (EU) 2019/881 shall not be permitted.
CHAPTER II
CERTIFICATION OF ICT PRODUCTS
SECTION I
Specific standards and requirements for evaluation
Article 7
Evaluation criteria and methods for ICT products
1.   An ICT product submitted for certification shall, as a minimum, be evaluated in accordance with the following:
(a)
the applicable elements of the standards referred to in Article 3;
(b)
the security assurance requirements classes for vulnerability assessment and independent functional testing, as set out in the evaluation standards referred to in Article 3;
(c)
the level of risk associated with the intended use of the ICT products concerned pursuant to Article 52 of Regulation (EU) 2019/881 and their security functions that support the security objectives set out in Article 51 of Regulation (EU) 2019/881;
(d)
the applicable state-of-the-art documents listed in Annex I; and
(e)
the applicable certified protection profiles listed in Annex II.
2.   In exceptional and duly justified cases, a conformity assessment body may request to refrain from applying the relevant state-of-the-art document. In such cases the conformity assessment body shall inform the national cybersecurity certification authority with a duly reasoned justification for its request. The national cybersecurity certification authority shall assess the justification for an exception and, where justified, approve it. Pending the decision of the national cybersecurity certification authority, the conformity assessment body shall not issue any certificate. The national cybersecurity certification authority shall notify the approved exception, without undue delay, to the European Cybersecurity Certification Group, which may issue an opinion. The national cybersecurity certification authority shall take utmost account of the opinion of the European Cybersecurity Certification Group.
3.   Certification of ICT products at AVA_VAN level 4 or 5 shall only be possible in the following scenarios:
(a)
where the ICT product is covered by any technical domain listed in Annex I, it shall be evaluated in accordance with the applicable state-of-the-art documents of those technical domains,
(b)
where the ICT product falls into a category of ICT products covered by a certified protection profile that includes AVA_VAN levels 4 or 5 and that has been listed as a state-of-the-art protection profile in Annex II, it shall be evaluated in accordance with the evaluation methodology specified for that protection profile,
(c)
where points a) and b) of this paragraph are not applicable and where the inclusion of a technical domain in Annex I or of a certified protection profile in Annex II is unlikely in the foreseeable future, and only in exceptional and duly justified cases, subject to the conditions set out in paragraph 4.
4.   Where a conformity assessment body considers to be in an exceptional and duly justified case referred to in point c) of paragraph 3, it shall notify the intended certification to the national cybersecurity certification authority with a justification and a proposed evaluation methodology. The national cybersecurity certification authority shall assess the justification for an exception and, where justified, approve or amend the evaluation methodology to be applied by the conformity assessment body. Pending the decision of the national cybersecurity certification authority, the conformity assessment body shall not issue any certificate. The national cybersecurity certification authority shall report, without undue delay, the intended certification to the European Cybersecurity Certification Group, which may issue an opinion. The national cybersecurity certification authority shall take utmost account of the opinion of the European Cybersecurity Certification Group.
5.   In the case of an ICT product undergoing a composite product evaluation in accordance with the relevant state-of-the-art documents, the ITSEF that carried out the evaluation of the underlying ICT product shall share the relevant information with the ITSEF performing the evaluation of the composite ICT product.
SECTION II
Issuance, renewal and withdrawal of EUCC certificates
Article 8
Information necessary for certification
1.   An applicant for certification under EUCC shall provide or otherwise make available to the certification body and the ITSEF all information necessary for the certification activities.
2.   The information referred to in paragraph 1 shall include all relevant evidence in accordance with the sections on ‘Developer action elements’ in the appropriate format as set out in the sections on ‘Content and presentation of evidence element’ of the Common Criteria and Common Evaluation Methodology for the selected assurance level and associated security assurance requirements. The evidence shall include, where necessary, details on the ICT product and its source code in accordance with this Regulation, subject to safeguards against unauthorised disclosure.
3.   Applicants for certification may provide to the certification body and ITSEF appropriate evaluation results from prior certification pursuant to:
(a)
this Regulation;
(b)
another European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881;
(c)
a national scheme referred to in Article 49 of this Regulation.
4.   Where the evaluation results are pertinent to its tasks, the ITSEF may reuse the evaluation results provided that such results conform to the applicable requirements and its authenticity is confirmed.
5.   Where the certification body allows the product to undergo a composite product certification, the applicant for certification shall make available to the certification body and the ITSEF all necessary elements, where applicable, in accordance with the state-of-the-art document.
6.   Applicants for certification shall also provide the certification body and the ITSEF with the following information:
(a)
the link to their website containing the supplementary cybersecurity information referred to in Article 55 of Regulation (EU) 2019/881;
(b)
a description of the applicant’s vulnerability management and vulnerability disclosure procedures.
7.   All relevant documentation referred to in this Article shall be retained by the certification body, the ITSEF and the applicant for a period of 5 years after the expiry of the certificate.
Article 9
Conditions for issuance of an EUCC certificate
1.   The certification bodies shall issue an EUCC certificate where all of the following conditions are met:
(a)
the category of ICT product falls within the scope of the accreditation, and where applicable of the authorisation, of the certification body and the ITSEF involved in the certification;
(b)
the applicant for certification has signed a statement undertaking all commitments listed in paragraph 2;
(c)
the ITSEF has concluded the evaluation without objection in accordance with the evaluation standards, criteria and methods referred to in Articles 3 and 7;
(d)
the certification body has concluded the review of the evaluation results without objection;
(e)
the certification body has verified that the evaluation technical reports provided by the ITSEF are consistent with the provided evidence and that the evaluation standards, criteria and methods referred to in Articles 3 and 7 have been correctly applied.
2.   The applicant for certification shall undertake the following commitments:
(a)
to provide the certification body and the ITSEF with all the necessary complete and correct information, and to provide additional necessary information if requested;
(b)
not to promote the ICT product as being certified under the EUCC before the EUCC certificate has been issued;
(c)
to promote the ICT product as being certified only with respect to the scope set out in the EUCC certificate;
(d)
to cease immediately the promotion of the ICT product as being certified in the event of the suspension, withdrawal or expiry of the EUCC certificate;
(e)
to ensure that the ICT products sold with reference to the EUCC certificate are strictly identical to the ICT product subject to the certification;
(f)
to respect the rules of use of the mark and label established for the EUCC certificate in accordance with Article 11.
3.   In the case of an ICT product undergoing a composite product certification, in accordance with the relevant state-of-the-art documents, the certification body that carried out the certification of the underlying ICT product shall share the relevant information with the certification body performing the certification of the composite ICT product.
Article 10
Content and format of an EUCC certificate
1.   An EUCC certificate shall include at least the information set out in Annex VII.
2.   The scope and boundaries of the certified ICT product shall be unambiguously specified in the EUCC certificate or the certification report, indicating whether the entire ICT product has been certified or only parts thereof.
3.   The certification body shall provide the applicant with the EUCC certificate at least in electronic form.
4.   The certification body shall produce a certification report in accordance with Annex V for each EUCC certificate it issues. The certification report shall be based on the evaluation technical report issued by the ITSEF. The evaluation technical report and the certification report shall indicate the specific evaluation criteria and methods referred to in Article 7 used for the evaluation.
5.   The certification body shall provide the national cybersecurity certification authority and ENISA with every EUCC certificate and every certification report in electronic form.
Article 11
Mark and label
1.   The holder of a certificate may affix a mark and label to a certified ICT product. Mark and label demonstrate that the ICT product has been certified in accordance with this Regulation. Mark and label shall be affixed in accordance with this Article and with Annex IX.
2.   The mark and label shall be affixed visibly, legibly and indelibly to the certified ICT product or its data plate. Where that is not possible or not warranted on account of the nature of the product, it shall be affixed to the packaging and to the accompanying documents. Where the certified ICT product is delivered in the form of software, the mark and label shall visibly, legibly and indelibly appear in its accompanying documentation or this documentation shall be made easily and directly accessible to users by means of a website.
3.   The mark and label shall be set out as in Annex IX and contain:
(a)
the assurance level and the AVA_VAN level of the certified ICT product;
(b)
the unique identification of the certificate, consisting of:
(1)
the name of the scheme;
(2)
the name and the reference number of the accreditation of the certification body that has issued the certificate;
(3)
year and month of issuance;
(4)
identification number assigned by the certification body that has issued the certificate.
4.   The mark and label shall be accompanied by a QR code with a link to a website containing at least:
(a)
the information on the validity of the certificate;
(b)
the necessary certification information as set out in Annexes V and VII;
(c)
the information to be made publicly available by the holder of the certificate in accordance with Article 55 of Regulation (EU) 2019/881; and
(d)
where applicable, the historic information related to the specific certification or certifications of the ICT product to enable traceability.
Article 12
Period of validity of an EUCC certificate
1.   The certification body shall set a period of validity for each EUCC certificate issued taking into account the characteristics of the certified ICT product.
2.   The period of validity of the EUCC certificate shall not exceed 5 years.
3.   By derogation from paragraph 2 that period may exceed 5 years, subject to the prior approval of the national cybersecurity certification authority. The national cybersecurity certification authority shall notify the European Cybersecurity Certification Group of the granted approval without undue delay.
Article 13
Review of an EUCC certificate
1.   Upon request of the holder of the certificate or for other justified reasons, the certification body may decide to review the EUCC certificate for an ICT product. The review shall be carried out in accordance with Annex IV. The certification body shall determine the extent of the review. Where necessary for the review, the certification body shall request the ITSEF to perform a re-evaluation of the certified ICT product.
2.   Following the results of the review, and where applicable of the re-evaluation, the certification body shall:
(a)
confirm the EUCC certificate;
(b)
withdraw the EUCC certificate in accordance with Article 14;
(c)
withdraw the EUCC certificate in accordance with Article 14 and issue a new EUCC certificate with an identical scope and an extended validity period; or
(d)
withdraw the EUCC certificate in accordance with Article 14 and issue a new EUCC certificate with a different scope.
3.   The certification body may decide to suspend, without undue delay, the EUCC certificate in accordance with Article 30, pending remedial action by the holder of the EUCC certificate.
Article 14
Withdrawal of an EUCC certificate
1.   Without prejudice to Article 58(8), point (e), of Regulation (EU) 2019/881, an EUCC certificate shall be withdrawn by the certification body that issued that certificate.
2.   The certification body referred to in paragraph 1 shall notify the national cybersecurity certification authority of the withdrawal of the certificate. It shall also notify ENISA of such withdrawal in view of facilitating the performance of its task under Article 50 of Regulation (EU) 2019/881. The national cybersecurity certification authority shall notify other relevant market surveillance authorities.
3.   The holder of an EUCC certificate may request the withdrawal of the certificate.
CHAPTER III
CERTIFICATION OF PROTECTION PROFILES
SECTION I
Specific standards and requirements for evaluation
Article 15
Evaluation criteria and methods
1.   A protection profile shall be evaluated, as a minimum, in accordance with the following:
(a)
the applicable elements of the standards referred to in Article 3;
(b)
the level of risk associated with the intended use of the ICT products concerned pursuant to Article 52 of Regulation (EU) 2019/881 and their security functions that support the security objectives set out in Article 51 of that; and
(c)
the applicable state-of-the-art documents listed in Annex I. A protection profile covered by a technical domain shall be certified against the requirements set out in that technical domain.
2.   In exceptional and duly justified cases, a conformity assessment body may certify a protection profile without applying the relevant state-of-the-art documents. In such cases, it shall inform the competent national cybersecurity certification authority and provide a justification for the intended certification without application of the relevant state-of-the-art documents as well as the proposed evaluation methodology. The national cybersecurity certification authority shall assess the justification and, where justified, approve the non-application of the relevant state-of-the-art documents, and approve or amend, where appropriate, the evaluation methodology to be applied by the conformity assessment body. Pending the decision of the national cybersecurity certification authority, the conformity assessment body shall not issue any certificate for the protection profile. The national cybersecurity certification authority shall notify, without undue delay, the authorised non-application of the relevant state-of-the-art documents to the European Cybersecurity Certification Group, which may issue an opinion. The national cybersecurity certification authority shall take utmost account of the opinion of the European Cybersecurity Certification Group.
SECTION II
Issuing, renewing and withdrawing EUCC certificates for protection profiles
Article 16
Information necessary for certification of protection profiles
An applicant for certification of a protection profile shall provide or otherwise make available to the certification body and the ITSEF all information necessary for the certification activities. Article 8(2), (3), (4) and (7) shall apply mutatis mutandis.
Article 17
Issuance of EUCC certificates for protection profiles
1.   The applicant for certification shall provide the certification body and the ITSEF with all the necessary complete and correct information.
2.   Articles 9 and 10 shall apply mutatis mutandis.
3.   The ITSEF shall evaluate whether a protection profile is complete, consistent, technically sound and effective for the intended use and the security objectives of the ICT product’s category covered by that protection profile.
4.   A protection profile shall be certified solely by:
(a)
a national cybersecurity certification authority or another public body accredited as certification body; or
(b)
a certification body, upon prior approval by the national cybersecurity certification authority for each individual protection profile.
Article 18
Period of validity of an EUCC certificate for protection profiles
1.   The certification body shall set a period of validity for each EUCC certificate.
2.   The period of validity may be up to the lifetime of the protection profile concerned.
Article 19
Review of an EUCC certificate for protection profiles
1.   Upon request of the holder of the certificate or for other justified reasons, the certification body may decide to review an EUCC certificate for a protection profile. The review shall be carried out by applying the conditions set out in Article 15. The certification body shall determine the extent of the review. Where necessary for the review, the certification body shall request the ITSEF to perform a re-evaluation of the certified protection profile.
2.   Following the results of the review, and where applicable of the re-evaluation, the certification body shall do one of the following:
(a)
confirm the EUCC certificate;
(b)
withdraw the EUCC certificate in accordance with Article 20;
(c)
withdraw the EUCC certificate in accordance with Article 20 and issue a new EUCC certificate with an identical scope and an extended validity period;
(d)
withdraw the EUCC certificate in accordance with Article 20 and issue a new EUCC certificate with a different scope.
Article 20
Withdrawal of an EUCC certificate for a protection profile
1.   Without prejudice to Article 58(8), point (e) of Regulation (EU) 2019/881, an EUCC certificate for a protection profile shall be withdrawn by the certification body that issued that certificate. Article 14 shall apply mutatis mutandis.
2.   A certificate for a protection profile issued in accordance with Article 17(4), point (b) shall be withdrawn by the national cybersecurity certification authority that approved that certificate.
CHAPTER IV
CONFORMITY ASSESSMENT BODIES
Article 21
Additional or specific requirements for a certification body
1.   A certification body shall be authorised by the national cybersecurity certification authority to issue EUCC certificates at assurance level ‘high’ where that body demonstrates that, in addition to meeting the requirements laid down in Article 60(1) and the Annex to Regulation (EU) 2019/881 regarding accreditation of conformity assessment bodies, the following:
(a)
it has the expertise and competences required for the certification decision at assurance level ‘high’;
(b)
it conducts its certification activities in cooperation with an ITSEF authorised in accordance with Article 22; and
(c)
it has the requisite competences and put in place appropriate technical and operational measures to effectively protect confidential and sensitive information for assurance level ‘high’, in addition to the requirements set out in Article 43.
2.   The national cybersecurity certification authority shall assess whether a certification body fulfils all the requirements set out in paragraph 1. That assessment shall include at least structured interviews and a review of at least one pilot certification performed by the certification body in accordance with this Regulation.
In its assessment, the national cybersecurity certification authority may reuse any appropriate evidence from prior authorisation or similar activities granted pursuant to:
(a)
this Regulation;
(b)
another European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881;
(c)
a national scheme referred to in Article 49 of this Regulation.
3.   The national cybersecurity certification authority shall produce an authorisation report which is subject to peer review in accordance with Article 59(3), point (d), of Regulation (EU) 2019/881.
4.   The national cybersecurity certification authority shall specify the ICT product categories and protection profiles to which the authorisation extends. The authorisation shall be valid for a period no longer than the validity of the accreditation. It may be renewed upon request provided that the certification body still meets the requirements set out in this Article. For the renewal of the authorisation, no pilot evaluations are required.
5.   The national cybersecurity certification authority shall withdraw the authorisation of the certification body where it no longer meets the conditions set out in this Article. Upon withdrawal of the authorisation, the certification body shall cease immediately promoting itself as an authorised certification body.
Article 22
Additional or specific requirements for an ITSEF
1.   An ITSEF shall be authorised by the national cybersecurity certification authority to carry out the evaluation of ICT products which are subject to certification under the assurance level ‘high’, where the ITSEF demonstrates that, in addition to meeting the requirements laid down in Article 60(1) and the Annex to Regulation (EU) 2019/881 regarding accreditation of conformity assessment bodies, it complies with all of the following conditions:
(a)
it has the necessary expertise for performing the evaluation activities to determine the resistance to state-of-the-art cyberattacks carried out by actors with significant skills and resources;
(b)
for the technical domains and protection profiles, which are part of the ICT process for those ICT products, it has:
(1)
the expertise to perform the specific evaluation activities necessary to methodically determine a target of evaluation’s resistance against skilled attackers in its operational environment assuming an attack potential of ‘moderate’ or ‘high’ as set out in the standards referred to in Article 3;
(2)
the technical competences as specified in the state-of-the-art documents listed in Annex I;
(c)
it has the requisite competences and put in place appropriate technical and operational measures to effectively protect confidential and sensitive information for assurance level ’high’ in addition to the requirements set out in Article 43.
2.   The national cybersecurity certification authority shall assess whether an ITSEF fulfils all the requirements set out in paragraph 1. That assessment shall include at least structured interviews and a review of at least one pilot evaluation performed by the ITSEF in accordance with this Regulation.
3.   In its assessment, the national cybersecurity certification authority may reuse any appropriate evidence from prior authorisation or similar activities granted pursuant to:
(a)
this Regulation;
(b)
another European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881;
(c)
a national scheme referred to in Article 49 of this Regulation.
4.   The national cybersecurity certification authority shall produce an authorisation report which is subject to peer review in accordance with Article 59(3), point (d) of Regulation (EU) 2019/881.
5.   The national cybersecurity certification authority shall specify the ICT product categories and protection profiles to which the authorisation extends. The authorisation shall be valid for period no longer than the validity of the accreditation. It may be renewed upon request provided that the ITSEF still meets the requirements set out in this Article. For the renewal of the authorisation, no pilot evaluations should be required.
6.   The national cybersecurity certification authority shall withdraw the authorisation of the ITSEF where it no longer meets the conditions set out in this Article. Upon withdrawal of the authorisation, the ITSEF shall stop promoting itself as being an authorised ITSEF.
Article 23
Notification of certification bodies
1.   The national cybersecurity certification authority shall notify the Commission of the certification bodies in its territory that are competent to certify at assurance level ‘substantial’ based on their accreditation.
2.   The national cybersecurity certification authority shall notify the Commission of the certification bodies in their territory that are competent to certify at assurance level ‘high’ based on their accreditation and the authorisation decision.
3.   The national cybersecurity certification authority shall provide at least the following information when notifying the Commission of the certification bodies:
(a)
the assurance level or levels for which the certification body is competent to issue EUCC certificates;
(b)
the following information related to accreditation:
(1)
date of the accreditation;
(2)
name and address of the certification body;
(3)
country of registration of the certification body;
(4)
reference number of the accreditation;
(5)
scope and duration of validity of the accreditation;
(6)
the address, location and link to the relevant website of the national accreditation body; and
(c)
the following information related to authorisation for level ‘high’:
(1)
date of the authorisation;
(2)
reference number of the authorisation;
(3)
duration of validity of the authorisation;
(4)
scope of the authorisation including the highest AVA_VAN level and, where applicable, the covered technical domain.
4.   The national cybersecurity certification authority shall send a copy of the notification referred to in paragraphs 1 and 2 to ENISA for the publication of accurate information on the cybersecurity certification website regarding the eligibility of certification bodies.
5.   The national cybersecurity certification authority shall examine without undue delay any information regarding a change in the status of the accreditation provided by the national accreditation body. Where the accreditation or authorisation have been withdrawn, the national cybersecurity certification authority shall inform the Commission thereof, and may submit to the Commission a request in accordance with Article 61(4) of Regulation (EU) 2019/881.
Article 24
Notification of ITSEF
The notification obligations of the national cybersecurity certification authorities set out in Article 23 shall also apply to ITSEF. The notification shall include the address of the ITSEF, the valid accreditation and, where applicable, the valid authorisation of that ITSEF.
CHAPTER V
MONITORING, NON-CONFORMITY AND NON-COMPLIANCE
SECTION I
Compliance monitoring
Article 25
Monitoring activities by the national cybersecurity certification authority
1.   Without prejudice to Article 58(7) of Regulation (EU) 2019/881, the national cybersecurity certification authority shall monitor the compliance of:
(a)
the certification body and the ITSEF with their obligations pursuant to this Regulation and Regulation (EU) 2019/881;
(b)
the holders of an EUCC certificate with their obligations pursuant to this Regulation and Regulation (EU) 2019/881;
(c)
the certified ICT products with the requirements set out in the EUCC;
(d)
the assurance expressed in the EUCC certificate addressing the evolving threat landscape.
2.   The national cybersecurity certification authority shall perform its monitoring activities in particular on the basis of:
(a)
information coming from certification bodies, national accreditation bodies and relevant market surveillance authorities;
(b)
information resulting from its own or another authority’s audits and investigations;
(c)
sampling, carried out in accordance with paragraph 3;
(d)
complaints received.
3.   The national cybersecurity certification authority shall, in cooperation with other market surveillance authorities, sample annually at least 4% of the EUCC certificates as determined by a risk assessment. Upon request and acting on behalf of the competent national cybersecurity certification authority, certification bodies and, if necessary, ITSEF shall assist that authority in monitoring compliance.
4.   The national cybersecurity certification authority shall select the sample of certified ICT products to be checked using objective criteria, including:
(a)
product category;
(b)
assurance levels of products;
(c)
holder of a certificate;
(d)
certification body and, where applicable, the subcontracted ITSEF;
(e)
any other information brought to the authority’s attention.
5.   The national cybersecurity certification authority shall inform the holders of the EUCC certificate about the selected ICT products and the selection criteria.
6.   The certification body that certified the sampled ICT product shall, upon request of the national cybersecurity certification authority, with the assistance of the respective ITSEF, conduct additional review in accordance with the procedure laid down in Section IV.2 of Annex IV and inform the national cybersecurity certification authority of the results.
7.   Where the national cybersecurity certification authority has sufficient reason to believe that a certified ICT product is no longer in compliance with this Regulation or Regulation (EU) 2019/881, it may carry out investigations or make use of any other monitoring powers set out in Article 58(8) of Regulation (EU) 2019/881.
8.   The national cybersecurity certification authority shall inform the certification body and ITSEF concerned about ongoing investigations regarding selected ICT products.
9.   Where the national cybersecurity certification authority identifies that an ongoing investigation concerns ICT products that are certified by certification bodies established in other Member States, it shall inform thereof the national cybersecurity certification authorities of the relevant Member States in order to collaborate in the investigations, where relevant. Such national cybersecurity certification authority shall also notify the European Cybersecurity Certification Group of the cross-border investigations and the subsequent results.
Article 26
Monitoring activities by the certification body
1.   The certification body shall monitor:
(a)
the compliance of the holders of a certificate with their obligations under this Regulation and Regulation (EU) 2019/881 towards the EUCC certificate that was issued by the certification body;
(b)
the compliance of the ICT products it has certified with their respective security requirements;
(c)
the assurance expressed in the certified protection profiles.
2.   The certification body shall undertake its monitoring activities on the basis of:
(a)
the information provided on the basis of the commitments of the applicant for certification referred to in Article 9(2);
(b)
information resulting from activities of other relevant market surveillance authorities;
(c)
complaints received;
(d)
vulnerability information that could impact the ICT products it has certified.
3.   The national cybersecurity certification authority may draw up rules for a periodical dialogue between certification bodies and holders of EUCC certificates to verify and report on compliance with the commitments made pursuant to Article 9(2), without prejudice to activities related to other relevant market surveillance authorities.
Article 27
Monitoring activities by the holder of the certificate
1.   The holder of an EUCC certificate shall perform the following tasks to monitor the conformity of the certified ICT product with its security requirements:
(a)
monitor vulnerability information regarding the certified ICT product, including known dependencies by its own means but also in consideration of:
(1)
a publication or a submission regarding vulnerability information by a user or security researcher referred to in Article 55(1), point (c) of Regulation (EU) 2019/881;
(2)
a submission by any other source;
(b)
monitor the assurance expressed in the EUCC certificate.
2.   The holder of an EUCC certificate shall work in cooperation with the certification body, the ITSEF, and, where applicable, the national cybersecurity certification authority to support their monitoring activities.
SECTION II
Conformity and compliance
Article 28
Consequences of non-conformity of a certified ICT product or protection profile
1.   Where a certified ICT product or protection profile does not conform with the requirements laid down in this Regulation and in Regulation (EU) 2019/881, the certification body shall inform the holder of the EUCC certificate about the identified non-conformity and request remedial actions.
2.   Where an instance of non-conformity with the provisions of this Regulation might affect compliance with other relevant Union legislation, which provides for the possibility to demonstrate the presumption of conformity with the requirements of that legal act by using the EUCC certificate, the certification body shall inform the national cybersecurity certification authority without delay. The national cybersecurity certification authority shall immediately notify the market surveillance authority responsible for such other relevant Union legislation regulation about the instance of non-conformity identified.
3.   Upon receipt of the information referred to in paragraph 1, the holder of the EUCC certificate shall within the time period set by the certification body, which shall not exceed 30 days, propose to the certification body the remedial action necessary to address the non-conformity.
4.   The certification body may suspend, without undue delay, the EUCC certificate in accordance with Article 30 in case of emergency, or where the holder of the EUCC certificate does not duly cooperate with the certification body.
5.   The certification body shall carry out a review in accordance with Articles 13 and 19, assessing whether the remedial action addresses the non-conformity.
6.   Where the holder of the EUCC certificate does not propose appropriate remedial action during the period referred to in paragraph 3, the certificate shall be suspended in accordance with Article 30 or withdrawn in accordance with Articles 14 or 20.
7.   This Article shall not apply to cases of vulnerabilities affecting a certified ICT product, which shall be handled in accordance with Chapter VI.
Article 29
Consequences of non-compliance by the holder of the certificate
1.   Where the certification body finds that:
(a)
the holder of the EUCC certificate or the applicant for certification is not compliant with its commitments and obligations as set out in Articles 9(2), 17(2), 27 and 41; or
(b)
the holder of the EUCC certificate does not comply with Article 56(8) of Regulation (EU) 2019/881 or Chapter VI of this Regulation;
it shall set a time period of not more than 30 days within which the holder of the EUCC certificate shall take remedial action.
2.   Where the holder of the EUCC certificate does not propose appropriate remedial action during the time period referred to in paragraph 1, the certificate shall be suspended in accordance with Article 30 or withdrawn in accordance with Article 14 and Article 20.
3.   Continued or recurring infringement by the holder of the EUCC certificate of the obligations referred to in paragraph 1 shall trigger the withdrawal of the EUCC certificate in accordance with Articles 14 or Article 20.
4.   The certification body shall inform the national cybersecurity certification authority of the findings referred to in paragraph 1. Where the instance of non-compliance affects compliance with other relevant Union legislation, the national cybersecurity certification authority shall immediately notify the market surveillance authority responsible for such other relevant Union legislation about the instance of non-compliance identified.
Article 30
Suspension of the EUCC certificate
1.   Where this Regulation refers to suspension of an EUCC certificate, the certification body shall suspend an EUCC certificate concerned for a period appropriate to the circumstances triggering suspension, that does not exceed 42 days. The suspension period shall begin on the day following the day of the decision of the certification body. The suspension shall not affect the validity of the certificate.
2.   The certification body shall notify the holder of the certificate and the national cybersecurity certification authority of the suspension without undue delay and shall provide the reasons for the suspension, the requested actions to be taken and the suspension period.
3.   Certification holders shall notify the purchasers of the ICT products concerned about the suspension and the reasons provided by the certification body for the suspension, except those parts of the reasons the sharing of which would constitute a security risk or which contain sensitive information. This information shall also be made publicly available by the holder of the certificate.
4.   Where other relevant Union legislation provides for a presumption of conformity based on certificates issued under the provisions of this Regulation, the national cybersecurity certification authority shall inform the market surveillance authority responsible for such other relevant Union legislation about the suspension.
5.   The suspension of a certificate shall be notified to ENISA in accordance with Article 42(3).
6.   In duly justified cases, the national cybersecurity certification authority may authorise an extension of the period of suspension of an EUCC certificate. The total period of suspension may not exceed 1 year.
Article 31
Consequences of non-compliance by the conformity assessment body
1.   In case of non-compliance by a certification body with its obligations, or by the relevant certification body in case of identifying non-compliance by an ITSEF, the national cybersecurity certification authority shall, without undue delay:
(a)
identify, with the support of the concerned ITSEF, the potentially affected EUCC certificates;
(b)
where necessary, request evaluation activities to be performed on one or more ICT products or protection profiles by either the ITSEF which performed the evaluation, or any other accredited and, where applicable, authorised ITSEF that may be in a better technical position to support that identification;
(c)
analyse the impacts of non-compliance;
(d)
notify the holder of the EUCC certificate affected by non-compliance.
2.   On the basis of the measures referred to in paragraph 1, the certification body shall adopt either of the following decisions with respect to each affected EUCC certificate:
(a)
maintain the EUCC certificate unaltered;
(b)
withdraw the EUCC certificate in accordance with Article 14 or Article 20, and, where appropriate, issue a new EUCC certificate.
3.   On the basis of the measures referred to in paragraph 1, the national cybersecurity certification authority shall:
(a)
where necessary, report the non-compliance of the certification body or related ITSEF to the national accreditation body;
(b)
where applicable, assess the potential impact on the authorisation.
CHAPTER VI
VULNERABILITY MANAGEMENT AND DISCLOSURE
Article 32
Scope of vulnerability management
This Chapter applies to ICT products for which an EUCC certificate was issued.
SECTION I
Vulnerability management
Article 33
Vulnerability management procedures
1.   The holder of an EUCC certificate shall establish and maintain all necessary vulnerability management procedures in accordance with the rules laid down in this Section and, where necessary, supplemented by the procedures set out in EN ISO/IEC 30111.
2.   The holder of an EUCC certificate shall maintain and publish appropriate methods for receiving information on vulnerabilities related to their products from external sources, including users, certification bodies and security researchers.
3.   Where a holder of an EUCC certificate detects or receives information about a potential vulnerability affecting a certified ICT product, it shall record it and carry out a vulnerability impact analysis.
4.   When a potential vulnerability impacts a composite product, the holder of the EUCC certificate shall inform the holder of dependent EUCC certificates about potential vulnerability.
5.   In response to a reasonable request by the certification body that issued the certificate, the holder of an EUCC certificate shall transmit all relevant information about potential vulnerabilities to that certification body.
Article 34
Vulnerability impact analysis
1.   Vulnerability impact analysis shall refer to the target of evaluation and the assurance statements contained in the certificate. Vulnerability impact analysis shall be carried out in a timeframe appropriate for the exploitability and criticality of the potential vulnerability of the certified ICT product.
2.   Where applicable, an attack potential calculation shall be performed in accordance with the relevant methodology included in the standards referred to in Article 3 and the relevant state-of-the-art documents listed in Annex I, in order to determine the exploitability of the vulnerability. The AVA_VAN level of the EUCC certificate shall be taken into account.
Article 35
Vulnerability impact analysis report
1.   The holder shall produce a vulnerability impact analysis report where the impact analysis shows that the vulnerability has a likely impact on the conformity of the ICT product with its certificate.
2.   The vulnerability impact analysis report shall contain an assessment of the following elements:
(a)
the impact of the vulnerability on the certified ICT product;
(b)
possible risks associated with the proximity or availability of an attack;
(c)
whether the vulnerability may be remedied;
(d)
where the vulnerability may be remedied, possible resolutions of the vulnerability.
3.   The vulnerability impact analysis report shall, where applicable, contain details about the possible means of exploitation of the vulnerability. Information pertaining to possible means of exploitation of the vulnerability shall be handled in accordance with appropriate security measures to protect its confidentiality and ensure, where necessary, its limited distribution.
4.   The holder of an EUCC certificate shall transmit a vulnerability impact analysis report to the certification body or the national cybersecurity certification authority in accordance with Article 56(8) of Regulation (EU) 2019/881, without undue delay.
5.   Where the vulnerability impact analysis report determines that the vulnerability is not residual within the meaning of standards referred to in Article 3, and that it can be remedied, Article 36 shall apply.
6.   Where the vulnerability impact analysis report determines that the vulnerability is not residual and that it cannot be remedied, the EUCC certificate shall be withdrawn in accordance with Article 14.
7.   The holder of the EUCC certificate shall monitor any residual vulnerabilities to ensure that it cannot be exploited in case of the changes in the operational environment.
Article 36
Vulnerability remediation
The holder of an EUCC certificate shall submit a proposal for an appropriate remedial action to the certification body. Certification body shall review the certificate in accordance with Article 13. The scope of the review shall be determined by the proposed remediation of the vulnerability.
SECTION II
Vulnerability disclosure
Article 37
Information shared with the national cybersecurity certification authority
1.   The information provided by the certification body to the national cybersecurity certification authority shall include all elements necessary for the national cybersecurity certification authority to understand the impact of the vulnerability, the changes to be made to the ICT product and, where available, any information from the certification body on the broader implications of the vulnerability for other certified ICT products.
2.   The information provided in accordance with paragraph 1 shall not contain details of the means of exploitation of the vulnerability. This provision is without prejudice to the investigative powers of the national cybersecurity certification authority.
Article 38
Cooperation with other national cybersecurity certification authorities
1.   The national cybersecurity certification authority shall share the relevant information received in accordance with Article 37 with other national cybersecurity certification authorities and ENISA.
2.   Other national cybersecurity certification authorities may decide to further analyse the vulnerability or, after informing the holder of the EUCC certificate, request the relevant certification bodies to assess whether the vulnerability may affect other certified ICT products.
Article 39
Publication of the vulnerability
Upon withdrawal of a certificate, the holder of the EUCC certificate shall disclose and register any publicly known and remediated vulnerability in the ICT product on the European vulnerability database, established in accordance with Article 12 of Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
5
)
 or other online repositories referred to in Article 55(1), point (d) of Regulation (EU) 2019/881.
CHAPTER VII
RETENTION, DISCLOSURE AND PROTECTION OF INFORMATION
Article 40
Retention of records by certification bodies and the ITSEF
1.   The ITSEF and certification bodies shall maintain a record system, which shall contain all documents produced in connection with each evaluation and certification they perform.
2.   Certification bodies and the ITSEF shall store the records in a secure manner and shall keep those records for the period necessary for the purposes of this Regulation and for at least 5 years after the withdrawal of the relevant EUCC certificate. When the certification body has issued a new EUCC certificate in accordance with Article 13(2), point (c), it shall retain the documentation of the withdrawn EUCC certificate together with and as long as for the new EUCC certificate.
Article 41
Information made available by the holder of a certificate
1.   The information referred to in Article 55 of Regulation (EU) 2019/881 shall be available in a language that can be easily accessible to users.
2.   The holder of an EUCC certificate shall store the following securely for the period necessary for the purposes of this Regulation and for at least 5 years after the withdrawal of the relevant EUCC certificate:
(a)
records of the information provided to the certification body and to the ITSEF during the certification process;
(b)
specimen of the certified ICT product.
3.   When the certification body has issued a new EUCC certificate in accordance with Article 13(2), point (c), the holder shall retain the documentation of the withdrawn EUCC certificate together with and as long as for the new EUCC certificate.
4.   Upon request by the certification body or the national cybersecurity certification authority, the holder of an EUCC certificate shall make available the records and copies referred to in paragraph 2.
Article 42
Information to be made available by ENISA
1.   ENISA shall publish the following information on the website referred to in Article 50(1) of Regulation (EU) 2019/881:
(a)
all EUCC certificates;
(b)
the information on the status of an EUCC certificate, notably whether it is in force, suspended, withdrawn, or expired;
(c)
certification reports corresponding to each EUCC certificate;
(d)
a list of accredited conformity assessment bodies;
(e)
a list of authorised conformity assessment bodies;
(f)
the state-of-the-art documents listed in Annex I
(g)
the opinions of the European Cybersecurity Certification Group referred to in Article 62(4), point (c), of Regulation (EU) 2019/881;
(h)
peer assessment reports issued in accordance with Article 47.
2.   The information referred to in paragraph 1 shall be made available at least in English.
3.   Certification bodies and, where applicable, national cybersecurity certification authorities shall inform ENISA without delay about their decisions which affect the content or the status of an EUCC certificate referred to in paragraph 1, point (b).
4.   ENISA shall ensure that the information published in accordance with paragraph 1 points (a), (b) and (c), clearly identifies the versions of a certified ICT product which are covered by an EUCC certificate.
Article 43
Protection of information
Conformity assessment bodies, national cybersecurity certification authorities, ECCG, ENISA, the Commission and all other parties shall ensure the security and protection of business secrets and other confidential information, including trade secrets, as well as the preserving intellectual property rights, and take the necessary and appropriate technical and organisational measures.
CHAPTER VIII
MUTUAL RECOGNITION AGREEMENTS WITH THIRD COUNTRIES
Article 44
Conditions
1.   Third countries willing to certify their products in accordance with this Regulation, and who wish to have such certification recognised within the Union, shall conclude a mutual recognition agreement with the Union.
2.   The mutual recognition agreement shall cover the applicable assurance levels for certified ICT products and, where applicable, protection profiles.
3.   Mutual recognition agreements referred to in paragraph 1, may only be concluded with third countries that meet the following conditions:
(a)
have an authority that:
(1)
is a public body, independent of the entities it supervises and monitors in terms of organisational and legal structure, financial funding and decision making;
(2)
has appropriate monitoring and supervising powers to carry out investigations and is empowered to take appropriate corrective measures to ensure compliance;
(3)
has an effective, proportionate and dissuasive penalty system to ensure compliance;
(4)
agrees to collaborate with the European Cybersecurity Certification Group and ENISA to exchange best practice and relevant developments in the field of cybersecurity certification and to work towards a uniform interpretation of the currently applicable evaluation criteria and methods, amongst others, by applying harmonised documentation that is equivalent to the state-of-the-art documents listed in Annex I
(b)
have an independent accreditation body performing accreditations using equivalent standards to those referred to in Regulation (EC) No 765/2008;
(c)
commit that the evaluation and certification processes and procedures will be carried out in a duly professional manner, taking into account compliance with the international standards referred to in this Regulation, in particular in Article 3;
(d)
have the capacity to report previously undetected vulnerabilities and an established, adequate vulnerability management and disclosure procedure in place;
(e)
have established procedures that enable it to effectively lodge and handle complaints and provide effective legal remedy for the complainant;
(f)
establishing a mechanism for cooperation with other Union and Member States’ bodies relevant to the cybersecurity certification under this Regulation including the sharing of information about the possible non-compliance of certificates, monitoring relevant developments in the field of certification and ensuring a joint approach on certification maintenance and review.
4.   In addition to the conditions set out in paragraph 3, a mutual recognition agreement referred to in paragraph 1 covering assurance level “high” may only be concluded with third countries where also the following conditions are met:
(a)
the third country has an independent and public cybersecurity certification authority performing or delegating evaluation activities necessary to allow certification under assurance level ‘high’ that are equivalent to the requirements and procedures laid down for national cybersecurity authorities in this Regulation and in Regulation (EU) 2019/881;
(b)
the mutual recognition agreement establishes a joint mechanism equivalent to the peer assessment for EUCC certification to enhance the exchange of practices and jointly solve issues in the area of evaluation and certification.
CHAPTER IX
PEER ASSESSMENT OF CERTIFICATION BODIES
Article 45
Peer assessment procedure
1.   A certification body issuing EUCC certificates at assurance level ‘high’ shall undergo a peer assessment on a regular basis and at least every 5 years. The different types of peer assessment are listed in Annex VI.
2.   The European Cybersecurity Certification Group shall draw up and maintain a schedule of peer assessments ensuring that such periodicity is respected. Except in duly justified cases, peer assessments shall be performed on-site.
3.   The peer assessment may rely on evidence gathered in the course of previous peer assessments or equivalent procedures of the peer-assessed certification body or national cybersecurity certification authority, provided that:
(a)
the results are not older than 5 years;
(b)
the results are accompanied by a description of the peer assessment procedures established for that scheme where they relate to a peer assessment conducted under a different certification scheme;
(c)
the peer assessment report referred to in Article 47 specifies which results were reused with or without further assessment.
4.   Where a peer assessment covers a technical domain, the concerned ITSEF shall also be assessed.
5.   The peer-assessed certification body and, where necessary, the national cybersecurity certification authority shall ensure that all relevant information is made available to the peer assessment team.
6.   The peer assessment shall be carried out by a peer assessment team set up in accordance with Annex VI.
Article 46
Peer assessment phases
1.   During the preparatory phase, the members of the peer assessment team shall review the certification body’s documentation, covering its policies and procedures, including the use of state-of-the-art documents.
2.   During site visit phase, the peer assessment team assesses the body’s technical competence and, where applicable, the competence of an ITSEF that performed at least one ICT product evaluation covered by peer assessment.
3.   The duration of the site visit phase may be extended or reduced depending on such factors as the possibility of reusing existing peer assessment evidence and results or the number of ITSEF and technical domains for which the certification body issues certificates.
4.   If applicable, the peer assessment team shall determine the technical competence of each ITSEF by visiting its technical laboratory or laboratories and interviewing its evaluators as regards the technical domain and related specific attack methods.
5.   In the reporting phase, the assessment team shall document their findings in a peer assessment report including a verdict and, where applicable, a list of observed non-conformities, each graded by a criticality level.
6.   The peer assessment report must be first discussed with the peer-assessed certification body. Following those discussions, the peer-assessed certification body establishes a schedule of the measures to be taken to address the findings.
Article 47
Peer assessment report
1.   The peer assessment team shall provide the peer-assessed certification body with a draft of the peer assessment report.
2.   The peer-assessed certification body shall submit to the peer assessment team comments regarding the findings and a list of commitments to address the shortcomings identified in the draft peer assessment report.
3.   The peer assessment team shall submit to the European Cybersecurity Certification Group a final peer assessment report, which shall also include the comments and the commitments made by the peer-assessed certification body. The peer assessment team shall also include their position on the comments and on whether those commitments are sufficient to address the shortcomings identified.
4.   Where non-conformities are identified in the peer-assessment report, the European Cybersecurity Certification Group may set an appropriate time limit for the peer-assessed certification body to address the non-conformities.
5.   The European Cybersecurity Certification Group shall adopt an opinion on the peer assessment report:
(a)
where the peer-assessment report does not identify non-conformities or where non-conformities have been appropriately addressed by the peer-assessed certification body, the European Cybersecurity Certification Group may issue a positive opinion and all relevant documents shall be published on ENISA’s certification website;
(b)
where the peer-assessed certification body does not address the non-conformities appropriately within the set time limit, the European Cybersecurity Certification Group may issue a negative opinion that shall be published on ENISA’s certification website, including the peer assessment report and all relevant documents.
6.   Prior to the publication of the opinion, all sensitive, personal or proprietary information shall be removed from the published documents.
CHAPTER X
MAINTENANCE OF THE SCHEME
Article 48
Maintenance of the EUCC
1.   The Commission may request the European Cybersecurity Certification Group to adopt an opinion in view of maintaining the EUCC and to undertake the necessary preparatory works.
2.   The European Cybersecurity Certification Group may adopt an opinion to endorse state-of-the-art documents.
3.   State-of-the-art documents which have been endorsed by the European Cybersecurity Certification Group shall be published by ENISA.
CHAPTER XI
FINAL PROVISIONS
Article 49
National schemes covered by the EUCC
1.   In accordance with Article 57(1) of Regulation (EU) 2019/881 and without prejudice to Article 57(3) of that Regulation, all national cybersecurity certification schemes and the related procedures for ICT products and ICT processes that are covered by the EUCC shall cease to produce effects from 12 months after the entry into force of this Regulation.
2.   By derogation from Article 50, a certification process may be initiated under a national cybersecurity certification scheme within 12 months from the entry into force of this Regulation provided that the certification process is finalised not later than 24 months after entry into force of this Regulation.
3.   Certificates issued under national cybersecurity certification schemes may be subject to review. New certificates replacing the reviewed certificates shall be issued in accordance with this Regulation.
Article 50
Entry into force
This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
It shall apply from 27 February 2025.
Chapter IV and Annex V shall apply from the date of entry into force of this Regulation.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 31 January 2024.
For the Commission
The President
Ursula VON DER LEYEN
(
1
)
  
            
OJ L 151, 7.6.2019, p. 15
.
(
2
)
  Mutual Recognition Agreement of Information Technology Security Evaluation Certificates, version 3.0 of January 2010, available on sogis.eu, approved by Senior Officials Group Information Systems Security of the European Commission in response to point 3 of Council Recommendation 95/144/EC of 7 April 1995 on common information technology security evaluation criteria (
OJ L 93, 26.4.1995, p. 27
).
(
3
)
  Joint Interpretation Library: Minimum ITSEF Requirements for Security Evaluations of Smart cards and similar devices, version 2.1 of February 2020, available at sogis.eu.
(
4
)
  Regulation (EU) 2019/1020 of the European Parliament and of the Council of 20 June 2019 on market surveillance and compliance of products and amending Directive 2004/42/EC and Regulations (EC) No 765/2008 and (EU) No 305/2011 (
OJ L 169, 25.6.2019, p. 1
).
(
5
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
ANNEX I
Technical domains and state-of-the-art documents
1.
Technical domains at AVA_VAN level 4 or 5:
(a)
documents related to the harmonised evaluation of technical domain ‘smart cards and similar devices’ and in particular the following documents in their respective version in force on [date of entry into force]:
(1)
‘Minimum ITSEF requirements for security evaluations of smart cards and similar devices’, initially approved by ECCG on 20 October 2023;
(2)
‘Minimum Site Security Requirements’, initially approved by ECCG on 20 October 2023;
(3)
‘Application of Common Criteria to integrated circuits’, initially approved by ECCG on 20 October 2023;
(4)
‘Security Architecture requirements (ADV_ARC) for smart cards and similar devices’, initially approved by ECCG on 20 October 2023;
(5)
‘Certification of “open” smart card products’, initially approved by ECCG on 20 October 2023;
(6)
‘Composite product evaluation for smart cards and similar devices’, initially approved by ECCG on 20 October 2023;
(7)
‘Application of Attack Potential to Smartcards’, initially approved by ECCG on 20 October 2023;
(b)
documents related to the harmonised evaluation of technical domain ‘hardware devices with security boxes’ and in particular the following documents in their respective version in force on [date of entry into force]:
(1)
‘Minimum ITSEF requirements for security evaluations of hardware devices with security boxes’, initially approved by ECCG on 20 October 2023;
(2)
‘Minimum Site Security Requirements’, initially approved by ECCG on 20 October 2023;
(3)
‘Application of Attack Potential to hardware devices with security boxes’, initially approved by ECCG on 20 October 2023.
2.
State-of-the-art documents in their respective version in force on [date of entry into force]:
(a)
document related to the harmonised accreditation of conformity assessment bodies: ‘Accreditation of ITSEFs for the EUCC’, initially approved by ECCG on 20 October 2023.
ANNEX II
Protection profiles certified at AVA_VAN level 4 or 5
1.
For the category of remote qualified signature and seal creation devices:
(1)
EN 419241-2:2019 – Trustworthy Systems Supporting Server Signing - Part 2: Protection Profile for QSCD for Server Signing ;
(2)
EN 419221-5:2018 - Protection profiles for Trust Service Provider Cryptographic modules - Part 5: Cryptographic Module for Trust Services
2.
Protection profiles that have been adopted as state-of-the-art documents:
[BLANK]
ANNEX III
Recommended protection profiles (illustrating technical domains from Annex I)
Protection profiles used in certification of ICT products falling under the below stated ICT product category:
(a)
for the category of machine readable travel documents:
(1)
PP Machine Readable Travel Document using Standard Inspection Procedure with PACE, BSI-CC-PP-0068-V2-2011-MA-01;
(2)
PP for a Machine Readable Travel Document with "ICAO Application" Extended Access Control, BSI-CC-PP-0056-2009;
(3)
PP for a Machine Readable Travel Document with "ICAO Application" Extended Access Control with PACE, BSI-CC-PP-0056-V2-2012-MA-02;
(4)
PP for a Machine Readable Travel Document with "ICAO Application" Basic Access Control, BSI-CC-PP-0055-2009;
(b)
for the category of secure signature creation devices:
(1)
EN 419211-1:2014 - Protection profiles for secure signature creation device - Part 1: Overview
(2)
EN 419211-2:2013 - Protection profiles for secure signature creation device - Part 2: Device with key generation;
(3)
EN 419211-3:2013 - Protection profiles for secure signature creation device - Part 3: Device with key import;
(4)
EN 419211-4:2013 - Protection profiles for secure signature creation device - Part 4: Extension for device with key generation and trusted channel to certificate generation application
(5)
EN 419211-5:2013 - Protection profiles for secure signature creation device - Part 5: Extension for device with key generation and trusted channel to signature creation application;
(6)
EN 419211-6:2014 - Protection profiles for secure signature creation device - Part 6: Extension for device with key import and trusted channel to signature creation application;
(c)
for the category of digital tachographs:
(1)
Digital Tachograph - Tachograph Card, as referred in Commission Implementing Regulation (EU) 2016/799 of 18 March 2016 implementing Regulation (EU) 165/2014 (Annex 1C);
(2)
Digital Tachograph - Vehicle unit as referred in Annex IB of Commission Regulation (EC) No. 1360/2002 intended to be installed in road transport vehicles;
(3)
Digital Tachograph - External GNSS Facility (EGF PP) as referred in Annex 1C of Commission Implementing Regulation (EU) 2016/799 of 18 March 2016 implementing Regulation (EU) 165/2014 of the European Parliament and of the Council;
(4)
Digital Tachograph - Motion Sensor (MS PP) as referred in Annex 1C of Commission Implementing Regulation (EU) 2016/799 of 18 March 2016 implementing Regulation (EU) 165/2014 of the European Parliament and of the Council;
(d)
for the category of secure integrated circuits, smart cards and related devices:
(1)
Security IC Platform PP, BSI-CC-PP-0084-2014;
(2)
Java Card System - Open Configuration, V3.0.5 BSI-CC-PP-0099-2017;
(3)
Java Card System - Closed Configuration, BSI-CC-PP-0101-2017;
(4)
PP for a PC Client Specific Trusted Platform Module Family 2.0 Level 0 Revision 1.16, ANSSI-CC-PP-2015/07;
(5)
Universal SIM card, PU-2009-RT-79, ANSSI-CC-PP-2010/04;
(6)
Embedded UICC (eUICC) for Machine-to-Machine Devices, BSI-CC-PP-0089-2015;
(e)
for the category of points of (payment) interaction and payment terminals:
(1)
Point of Interaction "POI-CHIP-ONLY", ANSSI-CC-PP-2015/01;
(2)
Point of Interaction "POI-CHIP-ONLY and Open Protocol Package", ANSSI-CC-PP-2015/02;
(3)
Point of Interaction "POI-COMPREHENSIVE", ANSSI-CC-PP-2015/03;
(4)
Point of Interaction "POI-COMPREHENSIVE and Open Protocol Package", ANSSI-CC-PP-2015/04;
(5)
Point of Interaction "POI-PED-ONLY", ANSSI-CC-PP-2015/05;
(6)
Point of Interaction "POI-PED-ONLY and Open Protocol Package", ANSSI-CC-PP-2015/06;
(f)
for the category of hardware devices with security boxes:
(1)
Cryptographic Module for CSP Signing Operations with Backup - PP CMCSOB, PP HSM CMCSOB 14167-2, ANSSI-CC-PP-2015/08;
(2)
Cryptographic Module for CSP key generation services - PP CMCKG, PP HSM CMCKG 14167-3, ANSSI-CC-PP-2015/09;
(3)
Cryptographic Module for CSP Signing Operations without Backup - PP CMCSO, PP HSM CMCKG 14167-4, ANSSI-CC-PP-2015/10.
ANNEX IV
Assurance continuity and certificate review
IV.1   
Assurance continuity: scope
1.
The following requirements for assurance continuity apply to the maintenance activities related to the following:
(a)
a re-assessment if an unchanged certified ICT product still meets its security requirements;
(b)
an evaluation of the impacts of changes to a certified ICT product on its certification;
(c)
if included in the certification, the application of patches in accordance with an assessed patch management process;
(d)
if included, the review of the certificate holder’s lifecycle management or production processes.
2.
The holder of an EUCC certificate may request the review of the certificate in the following cases:
(a)
the EUCC certificate is due to expire within nine months;
(b)
there has been a change either in the certified ICT product or in another factor which could impact its security functionality;
(c)
the holder of the certificate demands that the vulnerability assessment is carried out again in order to reconfirm the EUCC certificate’s assurance associated with the ICT product’s resistance against present cyberattacks.
IV.2   
Re-assessment
1.
Where there is a need to assess the impact of changes in the threat environment of an unchanged certified ICT product, a re-assessment request shall be submitted to the certification body.
2.
The re-assessment shall be carried out by the same ITSEF that was involved in the previous evaluation by reusing all its results that still apply. The evaluation shall focus on assurance activities which are potentially impacted by the changed threat environment of the certified ICT product, in particular the relevant AVA_VAN family and in addition the assurance lifecycle (ALC) family where sufficient evidence about the maintenance of the development environment shall be collected again.
3.
The ITSEF shall describe the changes and detail the results of the re-assessment with an update of the previous evaluation technical report.
4.
The certification body shall review the updated evaluation technical report and establish a re-assessment report. The status of the initial certificate shall then be modified in accordance with Article 13.
5.
The re-assessment report and updated certificate shall be provided to the national cybersecurity certification authority and ENISA for publication on its cybersecurity certification website.
IV.3   
Changes to a certified ICT product
1.
Where a certified ICT product has been subject to changes, the holder of the certificate wishing to maintain the certificate shall provide to the certification body an impact analysis report.
2.
The impact analysis report shall provide the following elements:
(a)
an introduction containing necessary information to identify the impact analysis report and the target of evaluation subject to changes;
(b)
a description of the changes to the product;
(c)
the identification of affected developer evidence;
(d)
a description of the developer evidence modifications;
(e)
the findings and the conclusions on the impact on assurance for each change.
3.
The certification body shall examine the changes described in the impact analysis report in order to validate their impact upon the assurance of the certified target of evaluation, as proposed in the conclusions of the impact analysis report.
4.
Following the examination, the certification body determines the scale of a change as minor or major in correspondence to its impact.
5.
Where the changes have been confirmed by the certification body to be minor, a new certificate shall be issued for the modified ICT product and a maintenance report to the initial certification report shall be established, under following conditions:
(a)
the maintenance report shall be included as a subset of the impact analysis report, containing following sections:
(1)
introduction;
(2)
description of changes;
(3)
affected developer evidence;
(b)
the validity date of the new certificate shall not exceed the date of the initial certificate.
6.
The new certificate including the maintenance report shall be provided to ENISA for publication on its cybersecurity certification website.
7.
Where the changes have been confirmed to be major, a re-evaluation shall be carried out in the context of the previous evaluation and by reusing any results from the previous evaluation that still apply.
8.
After completion of the evaluation of the changed target of evaluation, the ITSEF shall establish a new evaluation technical report. The certification body shall review the updated evaluation technical report and, where applicable, establish a new certificate with a new certification report.
9.
The new certificate and certification report shall be provided to ENISA for publication.
IV.4   
Patch management
1.
A patch management procedure provides for a structured process of updating a certified ICT product. The patch management procedure including the mechanism as implemented into the ICT product by the applicant for certification can be used after the certification of the ICT product under the responsibility of the conformity assessment body.
2.
The applicant for certification may include into the certification of the ICT product a patch mechanism as part of a certified management procedure implemented into the ICT product under one of the following conditions:
(a)
the functionalities affected by the patch reside outside the target of evaluation of the certified ICT product;
(b)
the patch relates to a predetermined minor change to the certified ICT product;
(c)
the patch relates to a confirmed vulnerability with critical effects on the security of the certified ICT product.
3.
If the patch relates to a major change to the target of evaluation of the certified ICT product in relation to a previously undetected vulnerability having no critical effects to the security of the ICT product, the provisions of Article 13 apply.
4.
The patch management procedure for an ICT product will be composed of the following elements:
(a)
the process for the development and release of the patch for the ICT product;
(b)
the technical mechanism and functions for the adoption of the patch into the ICT product;
(c)
a set of evaluation activities related to the effectiveness and performance of the technical mechanism.
5.
During the certification of the ICT product:
(a)
the applicant for certification of the ICT product shall provide the description of the patch management procedure;
(b)
the ITSEF shall verify the following elements:
(1)
the developer implemented the patch mechanisms into the ICT product in accordance to the patch management procedure that was submitted to certification;
(2)
the target of evaluation boundaries are separated in a way that the changes made to the separated processes do not affect the security of the target of evaluation;
(3)
the technical patch mechanism performs in accordance with the provisions of this section and the applicant’s claims;
(c)
the certification body shall include in the certification report the outcome of the assessed patch management procedure.
6.
The holder of the certificate may proceed to apply the patch produced in compliance of the certified patch management procedure to the concerned certified ICT product and shall take the following steps within 5 working days in the following cases:
(a)
in the case referred to in point 2(a), report the patch concerned to the certification body that shall not change the corresponding EUCC certificate;
(b)
in the case referred to in point 2(b), submit the patch concerned to the ITSEF for review. The ITSEF shall inform the certification body after the reception of the patch upon which the certification body takes the appropriate action on the issuance of a new version of the corresponding EUCC certificate and the update of the certification report;
(c)
in the case referred to in point 2(c), submit the patch concerned to the ITSEF for the necessary re-evaluation but may deploy the patch in parallel. The ITSEF shall inform the certification body after which the certification body starts the related certification activities.
ANNEX V
CONTENT OF A CERTIFICATION REPORT
V.1   
Certification report
1.
On the basis of the evaluation technical reports provided by the ITSEF, the certification body establishes a certification report to be published together with the corresponding EUCC certificate.
2.
The certification report is the source of detailed and practical information about the ICT product or the category of ICT products and about the ICT product’s secure deployment and shall therefore include all publicly available and sharable information of relevance to users and interested parties. Publicly available and sharable information can be referenced by the certification report.
3.
The certification report shall at least contain the following sections:
(a)
executive summary;
(b)
identification of the ICT product or the ICT product category for protection profiles;
(c)
security services;
(d)
assumptions and clarification of scope;
(e)
architectural information;
(f)
supplementary cybersecurity information, if applicable;
(g)
ICT product testing, if it was performed;
(h)
where applicable, an identification of the certificate holder’s lifecycle management processes and production facilities;
(i)
results of the evaluation and information regarding the certificate;
(j)
summary of the security target of the ICT product submitted to certification;
(k)
when available, the mark or label associated to the scheme;
(l)
bibliography.
4.
The executive summary shall be a brief summary of the entire certification report. The executive summary shall provide a clear and concise overview of the evaluation results and shall include the following information:
(a)
name of the evaluated ICT product, enumeration of the product’s components that are part of the evaluation and the ICT product version;
(b)
name of the ITSEF that performed the evaluation and, where applicable, the list of subcontractors;
(c)
completion date of evaluation;
(d)
reference to the evaluation technical report established by the ITSEF;
(e)
brief description of the certification report results, including:
(1)
the version and if applicable release of the Common Criteria applied to the evaluation;
(2)
the Common Criteria assurance package and security assurance components including the AVA_VAN level applied during the evaluation and its corresponding assurance level as set out in Article 52 of Regulation (EU) 2019/881 to which the EUCC certificate refers to;
(3)
the security functionality of the evaluated ICT product;
(4)
a summary of threats and organisational security policies addressed by the evaluated ICT product;
(5)
special configuration requirements;
(6)
assumptions about the operating environment;
(7)
where applicable, the presence of an approved patch management procedure in accordance with Section IV.4 of Annex IV;
(8)
disclaimer(s).
5.
The evaluated ICT product shall be clearly identified, including the following information:
(a)
the name of the evaluated ICT product;
(b)
an enumeration of the ICT product’s components that are part of the evaluation;
(c)
the version number of the ICT product’s components;
(d)
identification of additional requirements to the operating environment of the certified ICT product;
(e)
name and contact information of the holder of the EUCC certificate;
(f)
where applicable, the patch management procedure included into the certificate;
(g)
link to the website of the holder of the EUCC certificate where supplementary cybersecurity information for the certified ICT product in accordance with Article 55 of Regulation (EU) 2019/881 is provided.
6.
The information included in this Section shall be as accurate as possible in order to ensure a complete and accurate representation of the ICT product that can be re-used in future evaluations.
7.
The security policy section shall contain the description of the ICT product's security policy and the policies or rules that the evaluated ICT product shall enforce or comply with. It shall include a reference and a description of the following policies:
(a)
the vulnerability handling policy of the holder of the certificate;
(b)
the assurance continuity policy of the holder of the certificate.
8.
Where applicable, the policy may include the conditions related to the use of a patch management procedure during the validity of the certificate.
9.
The section for the assumptions and clarification of scope shall contain exhaustive information regarding the circumstances and objectives related to the intended use of the product as referred to in Article 7(1), point (c). The information shall include the following:
(a)
assumptions on the ICT product’s usage and deployment in the form of minimum requirements, such as proper installation and configuration and hardware requirements being satisfied;
(b)
assumptions on the environment for the compliant operation of the ICT product;
10.
The information listed in point 9 shall be as understandable as possible in order to let users of the certified ICT product make informed decisions about the risks associated with its use.
11.
The architectural information section shall include a high-level description of the ICT product and its main components in accordance with Common Criteria’s ADV_TDS subsystems design.
12.
A complete listing of the ICT product supplementary cybersecurity information shall be provided in accordance with Article 55 of Regulation (EU) 2019/881. All relevant documentation shall be denoted by the version numbers.
13.
The ICT product testing section shall include the following information:
(a)
the name and point of contact of the authority or body that issued the certificate including the responsible national cybersecurity certification authority;
(b)
the name of the ITSEF which performed the evaluation, when different from the certification body;
(c)
an identification of the used assurance components from the standards referred by Article 3;
(d)
the version of the state-of-the-art document and further security evaluation criteria used in the evaluation;
(e)
the complete and precise settings and configuration of the ICT product during the evaluation, including operational notes and observations if available;
(f)
any protection profile that has been used, including the following information:
(1)
the author of the protection profile;
(2)
the name and identifier of the protection profile;
(3)
the identifier of the protection profile’s certificate;
(4)
the name and contact details of the certification body and of the ITSEF involved in the evaluation of the protection profile;
(5)
the assurance package(s) required for a product conforming to the protection profile.
14.
The results of the evaluation and information regarding the certificate section shall include the following information:
(a)
confirmation of the attained assurance level as referred to in Article 4 of this Regulation and Article 52 in Regulation (EU) 2019/881;
(b)
assurance requirements from the standards referred by Article 3 that the ICT product or protection profile actually meets, including the AVA_VAN level;
(c)
detailed description of the assurance requirements, as well as the details of how the product meets each of them;
(d)
date of issuance and period of validity of the certificate;
(e)
unique identifier of the certificate.
15.
The security target shall be included in the certification report or referenced and summarised in the certification report and provided with the certification report association with it for the purposes of publication.
16.
The security target may be sanitised in accordance with Section VI.2.
17.
The mark or label associated to the EUCC may be inserted the certification report in accordance with the rules and procedures laid down Article 11
18.
The bibliography section shall include references to all documents used in the compilation of the certification report. That information shall include at least the following:
(a)
the security evaluation criteria, state-of-the-art documents and further relevant specifications used and their version;
(b)
the evaluation technical report;
(c)
the evaluation technical report for composite evaluation, where applicable;
(d)
technical reference documentation;
(e)
developer documentation used in the evaluation effort.
19.
In order to guarantee the reproducibility of the evaluation, all documentation referred to has to be uniquely identified with the proper release date, and proper version number.
V.2   
Sanitization of a security target for publication
1.
The security target to be included in or referenced by the certification report pursuant to point 1 of Section VI.1 may be sanitised by the removal or paraphrasing of proprietary technical information.
2.
The resulting sanitised security target shall be a real representation of its complete original version. This means that the sanitised security target cannot omit information which is necessary to understand the security properties of the target of evaluation and the scope of the evaluation.
3.
The content of the sanitised security target shall conform to the following minimum requirements:
(a)
its introduction shall not be sanitised as it includes no proprietary information in general;
(b)
the sanitised security target has to have a unique identifier that is distinct from its complete original version;
(c)
the target of evaluation description may be reduced as it may include proprietary and detailed information about the target of evaluation design which should not be published;
(d)
the target of evaluation security environment description (assumptions, threats, organisational security policies) shall not be reduced, in so far as that information is necessary to understand the scope of the evaluation;
(e)
the security objectives shall not be reduced as all information is to be made public to understand the intention of the security target and target of evaluation;
(f)
all security requirements shall be made public. Application notes may give information on how the functional requirements of the Common Criteria as referred to in Article 3 were used to understand the security target;
(g)
the target of evaluation summary specification shall include all target of evaluation security functions but additional proprietary information may be sanitised;
(h)
references to protection profiles applied to the target of evaluation shall be included;
(i)
the rationale may be sanitised to remove proprietary information.
4.
Even if the sanitised security target is not formally evaluated in accordance with the evaluation standards referred to in Article 3, the certification body shall ensure that it complies with the complete and evaluated security target, and reference both the complete and the sanitised security target in the certification report.
ANNEX VI
SCOPE AND TEAM COMPOSITION FOR PEER ASSESSMENTS
VI.1   
Scope of the peer assessment
1.
The following types of peer assessments are covered:
(a)
Type 1: when a certification body performs certification activities at the AVA_VAN.3 level;
(b)
Type 2: when a certification body performs certification activities related to a technical domain listed as state-of-the-art documents in Annex I;
(c)
Type 3: when a certification body performs certification activities above the AVA_VAN.3 level making use of a protection profile listed as state-of-the-art documents in Annex II or III.
2.
The peer-assessed certification body shall submit the list of certified ICT products that may be candidate to the review by the peer assessment team, in accordance with the following rules:
(a)
the candidate products shall cover the technical scope of the certification body authorisation, of which at least two different products evaluations at assurance level ‘high’ will be analysed through the peer assessment, and one protection profile if the certification body has issued certificate at assurance level ‘high’;
(b)
for a Type 2 peer assessment, the certification body shall submit at least one product per technical domain and per concerned ITSEF;
(c)
for a Type 3 peer assessment, at least one candidate product shall be evaluated in accordance with an applicable and relevant protection profiles.
VI.2   
Peer assessment team
1.
The assessment team shall consist of at least two experts each selected from a different certification body from different Member States that issues certificates at the assurance level ‘high’. The experts should demonstrate the relevant expertise in the standards as referred in Article 3 and state-of-the-art documents that are in scope of the peer assessment.
2.
In the case of a delegation of certificate issuance or prior approval of certificates as referred to in Article 56(6) of Regulation (EU) 2019/881, an expert from the national cybersecurity certification authority related to the concerned certification body shall in addition participate in the team of experts selected in accordance with paragraph 1 of this Section.
3.
For a Type 2 peer assessment the team members shall be selected from certification bodies being authorised for the concerned technical domain.
4.
Each member of the assessment team shall have at least two years of experience of carrying out certification activities in a certification body;
5.
For a Type 2 or 3 peer assessment, each member of the assessment team shall have at least two years of experience of carrying out certification activities in that relevant technical domain or protection profile and proven expertise and participation in the authorisation of an ITSEF
6.
The national cybersecurity certification authority monitoring and supervising the peer-assessed certification body and at least one national cybersecurity certification authority whose certification body is not subject to the peer assessment shall participate in the peer assessment as an observer. ENISA may also participate in the peer assessment as an observer.
7.
The peer-assessed certification body is presented with the composition of the peer assessment team. In justified cases, it may challenge the composition of the peer assessment team and ask for its review.
ANNEX VII
Content of an EUCC Certificate
An EUCC certificate shall at least contain:
(a)
a unique identifier established by the certification body issuing the certificate;
(b)
information related to the certified ICT product or protection profile and the holder of the certificate, including:
(1)
name of the ICT product or protection profile and, where applicable, of the target of evaluation;
(2)
type of ICT product or protection profile and, where applicable, of the target of evaluation;
(3)
version of the ICT product or protection profile;
(4)
name, address and contact information of the holder of the certificate;
(5)
link to the website of the holder of the certificate containing the supplementary cybersecurity information referred to in Article 55 of Regulation (EU) 2019/881;
(c)
information related to the evaluation and certification of the ICT product or protection profile, including:
(1)
name, address and contact information of the certification body that issued the certificate;
(2)
where different from the certification body, name of the ITSEF which performed the evaluation;
(3)
name of the responsible national cybersecurity certification authority;
(4)
a reference to this Regulation;
(5)
a reference to the certification report associated with the certificate referred to in Annex V;
(6)
the applicable assurance level in accordance with Article 4;
(7)
a reference to the version of the standards used for the evaluation, referred to in Article 3;
(8)
identification of the assurance level or package specified in the standards referred to in Article 3 and in conformity with Annex VIII, including the assurance components used and the AVA_VAN level covered;
(9)
where applicable, reference to one or more protection profiles with which the ICT product or protection profile complies;
(10)
date of issuance;
(11)
period of validity of the certificate;
(d)
the mark and label associated with the certificate in accordance with Article 11.
ANNEX VIII
Assurance package declaration
1.
Contrary to the definitions in the Common Criteria, an augmentation:
(a)
shall not be denoted by the abbreviation ‘+’;
(b)
shall be detailed by a list of all concerned components;
(c)
shall be outlined in detail in the certification report.
2.
The assurance level confirmed in an EUCC certificate may be complemented by the evaluation assurance level as specified in Article 3 of this Regulation.
3.
If the assurance level confirmed in an EUCC certificate does not refer to an augmentation, the EUCC certificate shall indicate one of the following packages:
(a)
“the specific assurance package”;
(b)
“the assurance package conformant to a protection profile” in case of referencing a protection profile without an evaluation assurance level.
ANNEX IX
Mark and label
1.
The form of mark and label:
2.
If the mark and label are reduced or enlarged, the proportions given in the drawing above shall be respected.
3.
Where physically present, the mark and label shall be at least 5 mm high.
ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj
ISSN 1977-0677 (electronic edition)

Summary:
European common criteria-based cybersecurity certification scheme (EUCC)
SUMMARY OF:
Implementing Regulation (EU) 2024/482 – rules for the application of Regulation (EU) 2019/881 on the adoption of the European common criteria-based cybersecurity certification scheme
WHAT IS THE AIM OF THE REGULATION?
This 
implementing regulation
 sets out rules for applying Regulation (EU) 
2019/881
 (see 
summary
) for the European common criteria-based 
cybersecurity
 certification scheme (EUCC).
The EUCC is a framework for assessing and certifying the cybersecurity of 
information and communication technology
(ICT) products and protection profiles. The scheme aims to ensure that ICT products meet 
stringent security standards
 through a structured process, aiming to enhance cybersecurity, achieve consistency across the 
European Union
 (EU) and provide trusted certification. The EUCC builds on the mutual recognition agreement (‘MRA’) of information technology security certificates of the Senior Officials Group Information Systems Security (‘SOG-IS’).
KEY POINTS
EVALUATION STANDARDS AND METHODS
The scheme uses the 
common criteria
 (
ISO/IEC 15408
) and the 
common evaluation methodology
 (
ISO/IEC 18045
) for evaluations.
Certification bodies issue 
EUCC certificates at two assurance levels
: ‘substantial’ (AVA_VAN levels
*
 1 or 2) and ‘high’ (AVA_VAN levels 3, 4 or 5). The assurance level determines the depth and rigour of the evaluation.
ICT products are 
certified against their security targets
, which can incorporate a certified protection profile if applicable.
Self-assessment
 for conformity is not permitted under the EUCC scheme.
CERTIFICATION OF ICT PRODUCTS
Evaluations
 must adhere to the common criteria, the common evaluation methodology and applicable state-of-the-art documents.
Certification at 
higher assurance levels
 (AVA_VAN levels 4 or 5) has to be carried out as a rule on the basis of technical domains or protection profiles adopted as state-of-the-art documents and listed in Annex I.
Applicants must provide 
comprehensive documentation
, including previous evaluation results if applicable, to support the certification process.
Certification bodies issue certificates
 if all conditions are met, and these certificates include the specific information outlined in Annex VII.
National cybersecurity certification schemes
 must align with the EUCC and cease to produce effects within 12 months of the regulation’s entry into force. A national certification process started during that period must be completed within 24 months following the entry into force.
Certificates are: 
valid for up to 5 years
, with possible extensions upon approval;
reviewed periodically
 to ensure ongoing compliance with security requirements;
withdrawn
 if the certified product no longer meets the required standards or if there are significant non-conformities.
CERTIFICATION OF PROTECTION PROFILES
Protection profiles lay down security requirements for specific ICT product categories. These profiles are:
evaluated similarly to ICT products
, ensuring they meet the necessary security requirements for specific ICT categories;
certified by national cybersecurity certification authorities
 or accredited public bodies, or a certification body, upon prior approval.
MARKING AND LABELLING
Certified products may bear a mark and label indicating their 
certification status
.
These must be 
clearly visible
 and contain details such as the assurance level, unique identification number and a QR code linking to certification information.
CONFORMITY ASSESSMENT BODIES
Certification bodies
 and information technology security evaluation facilities (ITSEFs) must be 
accredited
 in line with Regulation (EC) No 
765/2008
 (see 
summary
), and, for high assurance levels, authorised by national cybersecurity certification authorities.
National cybersecurity certification authorities
 monitor compliance of certification bodies, ITSEFs and certificate holders. They also handle complaints and conduct investigations into non-conformity.
Non-conforming products must undergo 
remedial measures
, and certificates may be suspended or withdrawn if issues are not resolved.
Certification bodies issuing high assurance certificates must undergo 
regular peer assessments
 to ensure consistency and high standards in certification practices.
The 
European Cybersecurity Certification Group
 plays a crucial role in maintaining the scheme, endorsing state-of-the-art documents and ensuring ongoing relevance and effectiveness.
VULNERABILITY MANAGEMENT AND DISCLOSURE
Certificate holders must establish 
procedures to manage and disclose vulnerabilities
, carry out vulnerability impact analyses and report significant vulnerabilities to certification bodies and authorities.
Withdrawn certificates must be disclosed
 in relevant databases, ensuring transparency about known vulnerabilities.
RETAINING AND PROTECTING INFORMATION
Certification bodies and ITSEFs must 
maintain records
 of evaluations and certifications for at least 5 years after certificate withdrawal.
All parties involved in the certification process must 
protect confidential information
 and business secrets.
MUTUAL RECOGNITION AGREEMENTS WITH NON-EU COUNTRIES
Non-EU countries can 
recognise EUCC certifications
 through mutual recognition agreements, provided they meet criteria on monitoring, supervision and vulnerability management.
FROM WHEN DOES THE REGULATION APPLY?
It applies from 27 February 2025.
BACKGROUND
For further information, see:
EU cybersecurity certification
 (European Union Agency for Cybersecurity)
Cybersecurity certification framework
 (European Union Agency for Cybersecurity).
KEY TERMS
AVA_VAN level.
 An assurance vulnerability analysis level indicating the degree of cybersecurity evaluation activities carried out to determine the level of resistance against potential exploitability of flaws or weaknesses in the target of evaluation in its operational environment as set out in the common criteria.
MAIN DOCUMENT
Commission Implementing Regulation (EU) 
2024/482
 of 31 January 2024 laying down rules for the application of Regulation (EU) 2019/881 of the European Parliament and of the Council as regards the adoption of the European Common Criteria-based cybersecurity certification scheme (EUCC) (OJ L, 2024/482, 7.2.2024).
RELATED DOCUMENTS
Directive (EU) 
2022/2555
 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (OJ L 333, 27.12.2022, pp. 80–152).
Successive amendments to Directive (EU) 2022/2555 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (OJ L 151, 7.6.2019, pp. 15–69).
Regulation (EU) 
2019/1020
 of the European Parliament and of the Council of 20 June 2019 on market surveillance and compliance of products and amending Directive 2004/42/EC and Regulations (EC) No 765/2008 and (EU) No 305/2011 (OJ L 169, 25.6.2019, pp. 1–44).
See 
consolidated version
.
Regulation (EC) No 
765/2008
 of the European Parliament and of the Council of 9 July 2008 setting out the requirements for accreditation and market surveillance relating to the marketing of products and repealing Regulation (EEC) No 339/93 (OJ L 218, 13.8.2008, pp. 30–47).
See 
consolidated version
.
Council Recommendation 
95/144/EC
 of 7 April 1995 on common information technology security evaluation criteria (OJ L 93, 26.4.1995, pp. 27–28).
last update 01.07.2024

--- DANISH ---

Document:
Tidende 
Den Europæiske Unions
DA
L-udgaven
2024/482
7.2.2024
KOMMISSIONENS GENNEMFØRELSESFORORDNING (EU) 2024/482
af 31. januar 2024
om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2019/881 for så vidt angår vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC)
(EØS-relevant tekst)
EUROPA-KOMMISSIONEN HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) 
(
1
)
, særlig artikel 49, stk. 7, og
ud fra følgende betragtninger:
(1)
I nærværende forordning præciseres roller, regler og forpligtelser samt strukturen for den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) i overensstemmelse med den europæiske ramme for cybersikkerhedscertificering, der er fastsat i forordning (EU) 2019/881. EUCC bygger på Gruppen af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerheds (SOG-IS') aftale om gensidig anerkendelse (MRA) 
(
2
)
 under anvendelse af de fælles kriterier, herunder gruppens procedurer og dokumenter.
(2)
Ordningen bør baseres på etablerede internationale standarder. Fælles kriterier er en international standard for evaluering af informationssikkerhed, der f.eks. er offentliggjort som ISO/IEC 15408 Informationssikkerhed, cybersikkerhed og beskyttelse af privatlivets fred — Evalueringskriterier for IT-sikkerhed. Den er baseret på tredjepartsevalueringer og arbejder med syv Evaluation Assurance Levels (»EAL«). De fælles kriterier ledsages af den fælles evalueringsmetode, der f.eks. er offentliggjort som ISO/IEC 18045 — Informationssikkerhed, cybersikkerhed og privatlivsbeskyttelse — Evalueringskriterier for IT-sikkerhed — Metodik for IT-sikkerhedsevaluering. Specifikationer og dokumenter, der anvender bestemmelserne i denne forordning, kan vedrøre en offentligt tilgængelig standard, der afspejler den standard, der anvendes ved certificering i henhold til denne forordning, såsom fælles kriterier for evaluering af informationsteknologisk sikkerhed og fælles metode til informationsteknologisk sikkerhedsevaluering.
(3)
EUCC anvender de fælles kriteriers sårbarhedsvurderingsfamilie (AVA_VAN), komponent 1-5. De fem komponenter omfatter alle de vigtigste determinanter og afhængighedsforhold til analyse af IKT-produkters sårbarheder. Da komponenterne svarer til tillidsniveauerne i denne forordning, giver de mulighed for et velinformeret valg af sikkerhed på grundlag af de evalueringer af sikkerhedskravene, der er foretaget, og den risiko, der er forbundet med den tilsigtede anvendelse af IKT-produktet. Ansøgere om en EUCC-attest bør fremlægge dokumentationen vedrørende den påtænkte anvendelse af IKT-produktet og en analyse af de risikoniveauer, der er forbundet med en sådan anvendelse, for at gøre det muligt for overensstemmelsesvurderingsorganet at vurdere egnetheden af det valgte tillidsniveau. Hvis evaluerings- og certificeringsaktiviteterne udføres af det samme overensstemmelsesvurderingsorgan, bør ansøgeren kun indsende de ønskede oplysninger én gang.
(4)
Et teknisk område udgør en referenceramme, der dækker en gruppe IKT-produkter, som har specifikke og ensartede sikkerhedsfunktioner, som afbøder angreb, hvor karakteristikaene er fælles for et givet tillidsniveau. I statusdokumentet for et teknisk område beskrives de specifikke sikkerhedskrav samt yderligere evalueringsmetoder, -teknikker og -værktøjer, der finder anvendelse ved certificering af IKT-produkter, som er omfattet af det pågældende tekniske område. Et teknisk område fremmer derfor også harmoniseringen af evalueringen af de omfattede IKT-produkter. Der anvendes i øjeblikket i vid udstrækning to tekniske områder til certificering på niveauerne AVA_VAN.4 og AVA_VAN.5. Det første tekniske område er det tekniske område »smartcards og lignende enheder«, hvor betydelige dele af de krævede sikkerhedsfunktioner afhænger af specifikke, skræddersyede og ofte adskillelige hardwareelementer (f.eks. smartcardhardware, integrerede kredsløb, sammensatte produkter til smartcards, Trusted Platform Modules som anvendt i sikre computersystemer eller digitale takografkort). Det andet tekniske område er »hardwareenheder med sikkerhedsbokse«, hvor væsentlige dele af de krævede sikkerhedsfunktioner afhænger af en fysisk hardwareramme (en såkaldt »sikkerhedsboks«), der er udformet til at modstå direkte angreb, f.eks. betalingsterminaler, takografkøretøjsenheder, intelligente målere, adgangskontrolterminaler og hardwaresikkerhedsmoduler).
(5)
Ved ansøgning om certificering bør ansøgeren knytte sin begrundelse for valget af et sikringsniveau til de mål, der er fastsat i artikel 51 i forordning (EU) 2019/881, og til udvælgelsen af komponenter fra kataloget over sikkerhedskrav og sikkerhedskrav i de fælles kriterier. Certificeringsorganerne bør vurdere hensigtsmæssigheden af det valgte tillidsniveau og sikre, at det valgte niveau står i et rimeligt forhold til det risikoniveau, der er forbundet med den tilsigtede anvendelse af IKT-produktet.
(6)
I henhold til de fælles kriterier foretages certificeringen i forhold til et konkret sikkerhedsmål, der omfatter en definition af IKT-produktets sikkerhedsproblem samt de sikkerhedsmålsætninger, der afhjælper sikkerhedsproblemet. Sikkerhedsproblemet indeholder nærmere oplysninger om den tilsigtede anvendelse af IKT-produktet og de risici, der er forbundet med en sådan anvendelse. Et udvalgt sæt sikkerhedskrav svarer til både sikkerhedsproblemet og sikkerhedsmålsætningerne for et IKT-produkt.
(7)
Beskyttelsesprofiler er et effektivt middel til at fastsætte de fælles kriterier, der gælder for en given kategori af IKT-produkter, og derfor også et væsentligt element i certificeringsprocessen for IKT-produkter, der er omfattet af beskyttelsesprofilen. Til at vurdere fremtidige sikkerhedsmål, som falder ind under den pågældende IKT-produktkategori, der er omfattet af denne beskyttelsesprofil, anvendes en beskyttelsesprofil. De strømliner og øger effektiviteten af IKT-produktcertificeringsprocessen yderligere og hjælper brugerne med korrekt og effektivt at specificere et IKT-produkts funktioner. Beskyttelsesprofiler bør derfor betragtes som en integreret del af den IKT-proces, der fører til certificering af IKT-produkter.
(8)
For at muliggøre beskyttelsesprofilernes rolle i IKT-processen, som støtter udviklingen og leveringen af et certificeret IKT-produkt, bør de kunne certificeres uafhængigt af en certificering af det specifikke IKT-produkt, som er omfattet af den pågældende beskyttelsesprofil. Det er derfor vigtigt at anvende mindst samme grad af kontrol af beskyttelsesprofiler som af sikkerhedsmål for at sikre et højt cybersikkerhedsniveau. Beskyttelsesprofilerne bør evalueres og certificeres særskilt fra det relaterede IKT-produkt og udelukkende ved anvendelse af de fælles kriteriers og den fælles evalueringsmetodes tillidsklasse for beskyttelsesprofiler og, hvor det er relevant, for konfigurationerne af beskyttelsesprofiler. På grund af deres vigtige og følsomme rolle som benchmark i forbindelse med certificering af IKT-produkter bør de kun certificeres af offentlige organer eller af et certificeringsorgan, der har fået forhåndsgodkendelse til den specifikke beskyttelsesprofil af den nationale cybersikkerhedscertificeringsmyndighed. På grund af deres afgørende rolle med hensyn til certificering på tillidsniveauet »højt«, navnlig uden for tekniske områder, bør beskyttelsesprofiler udarbejdes som statusdokumenter, der bør godkendes af Den Europæiske Cybersikkerhedscertificeringsgruppe.
(9)
Certificerede beskyttelsesprofiler bør medtages i de nationale cybersikkerhedscertificeringsmyndigheders EUCC-overensstemmelses- og -overholdelsesovervågning. Hvis metoder, værktøjer og færdigheder, der anvendes i forbindelse med tilgange til evaluering af IKT-produkter, er tilgængelige for specifikke certificerede beskyttelsesprofiler, kan tekniske områder baseres på disse specifikke beskyttelsesprofiler.
(10)
For at opnå en høj grad af tillid til certificerede IKT-produkter bør selvvurderinger ikke være tilladt i henhold til denne forordning. Kun overensstemmelsesvurderinger foretaget af ITSEF og certificeringsorganer bør tillades.
(11)
SOG-IS-fællesskabet bidrog med fælles fortolkninger og tilgange til anvendelsen af de fælles kriterier og den fælles evalueringsmetode i forbindelse med certificering, navnlig med hensyn til sikringsniveauet »høj«, der forfølges inden for de tekniske områder »smartcards og lignende enheder« og »hardwareenheder med sikkerhedsbokse«. Videreanvendelse af sådanne støttedokumenter i EUCC-ordningen sikrer en gnidningsløs overgang fra de nationalt gennemførte SOG-IS-ordninger til den harmoniserede EUCC-ordning. Derfor bør harmoniserede evalueringsmetoder, som generelt er relevante for alle certificeringsaktiviteter, medtages i denne forordning. Kommissionen bør desuden kunne anmode Den Europæiske Cybersikkerhedscertificeringsgruppe om at vedtage en udtalelse, der godkender og anbefaler anvendelsen af de evalueringsmetoder, der er angivet i statusdokumenterne, til certificering af IKT-produktet eller beskyttelsesprofilen under EUCC-ordningen. Bilag I til denne forordning indeholder derfor en liste over statusdokumenter til de evalueringsaktiviteter, der udføres af overensstemmelsesvurderingsorganer. Den Europæiske Cybersikkerhedscertificeringsgruppe bør godkende og vedligeholde statusdokumenterne. Statusdokumenterne bør anvendes i forbindelse med certificering. Kun i ekstraordinære og behørigt begrundede tilfælde må et overensstemmelsesvurderingsorgan undlade at anvende dem på særlige betingelser, navnlig den nationale cybersikkerhedscertificeringsmyndigheds godkendelse.
(12)
Certificering af IKT-produkter på AVA_VAN-niveau 4 eller 5 bør kun være mulig på særlige betingelser, og hvis der findes en specifik evalueringsmetode. Den specifikke evalueringsmetode kan være nedfældet i statusdokumenter, der er relevante for det tekniske område, eller i specifikke beskyttelsesprofiler, der er vedtaget som statusdokument, og som er relevante for den pågældende produktkategori. Kun i ekstraordinære og behørigt begrundede tilfælde bør certificering på disse tillidsniveauer være mulig på særlige betingelser, navnlig den nationale cybersikkerhedscertificeringsmyndigheds godkendelse, herunder af den gældende evalueringsmetode. Sådanne ekstraordinære og behørigt begrundede tilfælde kan forekomme, hvor EU-lovgivning eller national lovgivning kræver certificering af et IKT-produkt på AVA_VAN-niveau 4 eller 5. Tilsvarende kan beskyttelsesprofiler i ekstraordinære og behørigt begrundede tilfælde certificeres uden anvendelse af de relevante statusdokumenter på særlige betingelser, navnlig med den nationale cybersikkerhedscertificeringsmyndigheds godkendelse, herunder af den gældende evalueringsmetode.
(13)
De mærker og etiketter, der anvendes under EUCC, har til formål tydeligt at dokumentere det certificerede IKT-produkts troværdighed over for brugerne og sætte dem i stand til at træffe et informeret valg, når de køber IKT-produkter. Brugen af mærker og etiketter bør også være underlagt de regler og betingelser, der er fastsat i ISO/IEC 17065 og, hvor det er relevant, ISO/IEC 17030 med den gældende vejledning.
(14)
Certificeringsorganerne bør træffe afgørelse om attesternes gyldighedsperiode under hensyntagen til det pågældende IKT-produkts livscyklus. Gyldighedsperioden bør ikke overstige fem år. De nationale cybersikkerhedscertificeringsmyndigheder bør arbejde på at harmonisere gyldighedsperioden i Unionen.
(15)
Hvis anvendelsesområdet for en eksisterende EUCC-attest indskrænkes, tilbagekaldes attesten, og der bør udstedes en ny attest med det nye anvendelsesområde for at sikre, at brugerne er klart informeret om det nuværende anvendelsesområde og tillidsniveau for attesten for et givet IKT-produkt.
(16)
Certificeringen af beskyttelsesprofiler adskiller sig fra certificeringen af IKT-produkter, da den vedrører en IKT-proces. Eftersom en beskyttelsesprofil dækker en kategori af IKT-produkter, kan evaluering og certificering heraf ikke foretages på grundlag af et enkelt IKT-produkt. Da en beskyttelsesprofil forener de generelle sikkerhedskrav vedrørende en kategori af IKT-produkter og uafhængigt af, hvordan IKT-produktet kommer til udtryk ved leverandøren, bør gyldighedsperioden for en EUCC-attest til en beskyttelsesprofil i princippet gælde i mindst fem år og kunne forlænges til beskyttelsesprofilens levetid.
(17)
Et overensstemmelsesvurderingsorgan defineres som et organ, der udfører overensstemmelsesvurderingsaktiviteter, herunder kalibrering, afprøvning, certificering og inspektion. For at sikre tjenester af høj kvalitet præciseres det i denne forordning, at prøvningsaktiviteter på den ene side og certificerings- og inspektionsaktiviteter på den anden bør udføres af enheder, der opererer uafhængigt af hinanden, nemlig henholdsvis informationsteknologisikkerhedsvurderingsfaciliteter (»ITSEF«) og certificeringsorganer. Begge typer overensstemmelsesvurderingsorganer bør akkrediteres og i visse situationer godkendes.
(18)
Et certificeringsorgan bør akkrediteres i overensstemmelse med ISO/IEC 17065 af det nationale akkrediteringsorgan for tillidsniveauet »betydeligt« og »højt«. Ud over akkrediteringen i overensstemmelse med forordning (EU) 2019/881 sammenholdt med forordning (EF) nr. 765/2008 bør overensstemmelsesvurderingsorganerne opfylde specifikke krav for at garantere deres tekniske kompetence til at evaluere cybersikkerhedskravene på tillidsniveauet »højt« i EUCC, hvilket bekræftes af en »bemyndigelse«. For at støtte bemyndigelsesprocessen bør der udvikles relevante statusdokumenter, som ENISA offentliggør efter godkendelse fra Den Europæiske Cybersikkerhedscertificeringsgruppe.
(19)
En ITSEF's tekniske kompetencer bør vurderes gennem akkreditering af prøvningslaboratoriet i overensstemmelse med ISO/IEC 17025 suppleret med ISO/IEC 23532-1 for alle evalueringsaktiviteter, der er relevante for tillidsniveauet og specificeret i ISO/IEC 18045 sammenholdt med ISO/IEC 15408. Både certificeringsorganet og ITSEF'en bør etablere og vedligeholde et passende kompetencestyringssystem for personalet, der er baseret på ISO/IEC 19896-1, for så vidt angår kompetenceelementerne og -niveauerne og for så vidt angår bedømmelsen af kompetencerne. For så vidt angår niveauet af viden, færdigheder, erfaring og uddannelse bør de gældende krav til bedømmerne baseres på ISO/IEC 19896-3. Tilsvarende bestemmelser og foranstaltninger vedrørende afvigelser fra sådanne kompetenceforvaltningssystemer bør påvises i overensstemmelse med systemets mål.
(20)
For at blive godkendt bør en ITSEF dokumentere, at den kan fastslå, at der ikke foreligger kendte sårbarheder, at de nyeste sikkerhedsfunktioner for den pågældende specifikke teknologi gennemføres korrekt og konsekvent, og at det pågældende IKT-produkt er modstandsdygtigt over for drevne angribere. For så vidt angår bemyndigelser på det tekniske område »smartcards og lignende enheder« bør en ITSEF desuden dokumentere den tekniske kapacitet, der er nødvendig for evalueringsaktiviteterne og de dermed forbundne opgaver som defineret i støttedokumentet »Minimum ITSEF requirements for security evaluations of smart cards and similar devices« 
(
3
)
 i henhold til de fælles kriterier. For så vidt angår bemyndigelser på det tekniske område »hardwareenheder med sikkerhedsbokse« bør en ITSEF desuden dokumentere de tekniske minimumskrav, der er nødvendige for at udføre evalueringsaktiviteter og relaterede opgaver på hardwareudstyr med sikkerhedsbokse som anbefalet af ECCG. I forbindelse med minimumskravene bør ITSEF kunne udføre de forskellige typer angreb, der er fastsat i støttedokumentet »Application of Attack Potential to Hardware Devices with Security Boxes« i henhold til de fælles kriterier. Disse kapaciteter omfatter evaluatorens viden og færdigheder samt det udstyr og de evalueringsmetoder, der er nødvendige for at fastlægge og vurdere de forskellige typer angreb.
(21)
Den nationale cybersikkerhedscertificeringsmyndighed bør overvåge certificeringsorganernes, ITSEF og attestindehaveres overholdelse af deres forpligtelser i henhold til nærværende forordning og forordning (EU) 2019/881. Den nationale cybersikkerhedscertificeringsmyndighed bør anvende alle relevante informationskilder til dette formål, herunder oplysninger modtaget fra deltagere i certificeringsprocessen og egne undersøgelser.
(22)
Certificeringsorganerne bør samarbejde med relevante markedsovervågningsmyndigheder og tage hensyn til eventuelle sårbarhedsoplysninger, der kan være relevante for IKT-produkter, som de har udstedt attester for. Certificeringsorganerne bør overvåge de beskyttelsesprofiler, de har certificeret, for at fastslå, om de sikkerhedskrav, der er fastsat for en kategori af IKT-produkter, fortsat afspejler den seneste udvikling i trusselsbilledet.
(23)
Til støtte for overensstemmelsesovervågningen bør de nationale cybersikkerhedscertificeringsmyndigheder samarbejde med de relevante markedsovervågningsmyndigheder i overensstemmelse med artikel 58 i forordning (EU) 2019/881 og Europa-Parlamentets og Rådets forordning (EU) 2019/1020 
(
4
)
. Erhvervsdrivende i Unionen er forpligtet til at udveksle oplysninger og samarbejde med markedsovervågningsmyndighederne i henhold til artikel 4, stk. 3, i forordning (EU) 2019/1020.
(24)
Certificeringsorganerne bør overvåge, at indehavere af en attest overholder kravene, og at alle attester, der er udstedt under EUCC, er i overensstemmelse med bestemmelserne. Ved overvågningen bør det sikres, at alle evalueringsrapporter fra et ITSEF organ og konklusionerne deri samt evalueringskriterierne og -metoderne anvendes konsekvent og korrekt i alle certificeringsaktiviteter.
(25)
Hvis der konstateres potentielle problemer med manglende overholdelse, som påvirker et certificeret IKT-produkt, er det vigtigt at sikre en forholdsmæssig reaktion. Attester kan derfor suspenderes. Suspensionen bør medføre visse begrænsninger med hensyn til fremme og anvendelse af det pågældende IKT-produkt, men bør ikke berøre attestens gyldighed. Indehaveren af EU-attesten bør underrette køberne af de berørte IKT-produkter om suspensionen, mens de relevante markedsovervågningsmyndigheder bør underrettes af den relevante nationale cybersikkerhedscertificeringsmyndighed. For at informere offentligheden bør ENISA offentliggøre oplysninger om en suspension på et særligt websted.
(26)
Indehaveren af en EUCC-attest bør gennemføre de nødvendige procedurer for sårbarhedsstyring og sikre, at disse procedurer er integreret i deres organisation. Når indehaveren af EUCC-attesten bliver opmærksom på en potentiel sårbarhed, bør vedkommende foretage en sårbarhedskonsekvensanalyse. Hvis sårbarhedsanalysen bekræfter, at sårbarheden kan udnyttes, bør attestindehaveren sende en rapport om vurderingen til certificeringsorganet, som derefter bør underrette den nationale cybersikkerhedscertificeringsmyndighed. Rapporten bør indeholde oplysninger om virkningen af sårbarheden, de nødvendige ændringer eller afhjælpende løsninger, der er nødvendige, herunder eventuelle bredere konsekvenser af sårbarheden samt afhjælpende løsninger for andre produkter. Om nødvendigt bør standarden EN ISO/IEC 29147 supplere proceduren for offentliggørelse af sårbarheder.
(27)
Med henblik på certificering indhenter overensstemmelsesvurderingsorganer og nationale cybersikkerhedscertificeringsmyndigheder fortrolige og følsomme data og forretningshemmeligheder, også vedrørende intellektuel ejendomsret eller overvågning af overholdelse, der kræver tilstrækkelig beskyttelse. De bør derfor have den nødvendige tekniske kompetence og viden og bør etablere systemer til beskyttelse af oplysninger. Kravene og betingelserne for beskyttelse af oplysninger bør opfyldes i forbindelse med både akkreditering og bemyndigelse.
(28)
ENISA bør fremlægge listen over certificerede beskyttelsesprofiler på sit websted for cybersikkerhedscertificering og angive deres status i overensstemmelse med forordning (EU) 2019/881.
(29)
I nærværende forordning fastsættes betingelserne for aftaler om gensidig anerkendelse med tredjelande. Sådanne aftaler om gensidig anerkendelse kan være bi- eller multilaterale og bør erstatte lignende eksisterende aftaler. For at lette en gnidningsløs overgang til sådanne aftaler om gensidig anerkendelse kan medlemsstaterne fortsætte de eksisterende samarbejdsordninger med tredjelande i en begrænset periode.
(30)
Certificeringsorganer, der udsteder EUCC-attester på tillidsniveauet »højt«, samt de relevante tilknyttede ITSEF bør underkastes peervurderinger. Formålet med peervurderinger bør være at fastslå, om et peervurderet certificeringsorgans vedtægter og procedurer fortsat er i overensstemmelse med kravene i EUCC-ordningen. Peervurderinger adskiller sig fra peerreviews blandt nationale cybersikkerhedscertificeringsmyndigheder, jf. artikel 59 i forordning (EU) 2019/881. Med peervurderinger bør det sikres, at certificeringsorganerne arbejder på en harmoniseret måde og producerer attester af samme kvalitet, og de bør identificere enhver potentiel styrke eller svaghed i certificeringsorganernes præstationer, også med henblik på at udveksle bedste praksis. Eftersom der er forskellige typer certificeringsorganer, bør forskellige typer peervurderinger tillades. I mere komplekse tilfælde, f.eks. ved certificeringsorganer, der udsteder attester på forskellige AVA_VAN-niveauer, kan der anvendes forskellige typer peervurderinger, forudsat at alle krav er opfyldt.
(31)
Den Europæiske Cybersikkerhedscertificeringsgruppe bør spille en vigtig rolle i forbindelse med vedligeholdelse af ordningen. Ordningen bør bl.a. gennemføres i samarbejde med den private sektor, oprettelse af specialiserede undergrupper og relevant forberedende arbejde og bistand, som Kommissionen anmoder om. Den Europæiske Cybersikkerhedscertificeringsgruppe spiller en vigtig rolle i godkendelsen af statusdokumenter. Ved godkendelse og vedtagelse af statusdokumenter bør der tages behørigt hensyn til de elementer, der er omhandlet i artikel 54, stk. 1, litra c), i forordning (EU) 2019/881. Tekniske områder og statusdokumenter bør offentliggøres i bilag I til nærværende forordning. Beskyttelsesprofiler, der er vedtaget som statusdokumenter, bør offentliggøres i bilag II. For at sikre, at disse bilag er dynamiske, kan Kommissionen ændre dem i overensstemmelse med proceduren i artikel 66, stk. 2, i forordning (EU) 2019/881 og under hensyntagen til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe. Bilag III indeholder anbefalede beskyttelsesprofiler, som på tidspunktet for nærværende forordnings ikrafttræden ikke er statusdokumenter. De bør offentliggøres på ENISA's websted, jf. artikel 50, stk. 1, i forordning (EU) 2019/881.
(32)
Nærværende forordning bør finde anvendelse 12 måneder efter dens ikrafttræden. Kravene i kapitel IV og bilag V kræver ikke en overgangsperiode og bør derfor finde anvendelse fra nærværende forordnings ikrafttræden.
(33)
Foranstaltningerne i nærværende forordning er i overensstemmelse med udtalelsen fra Det Europæiske Udvalg for Cybersikkerhed, der er nedsat ved artikel 66 i forordning (EU) 2019/881 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
GENERELLE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
I denne forordning fastsættes den europæiske ordning for cybersikkerhedscertificering baseret på fælles kriterier (EUCC).
Denne forordning finder anvendelse på alle informations- og kommunikationsteknologiprodukter (»IKT«), herunder deres dokumentation, som indgives med henblik på certificering i henhold til EUCC, og på alle beskyttelsesprofiler, som indgives med henblik på certificering som led i den IKT-proces, der fører til certificering af IKT-produkter.
Artikel 2
Definitioner
I denne forordning forstås ved:
1)
»fælles kriterier«: de fælles kriterier for evaluering af informationsteknologisikkerhed som fastsat i ISO-standarden ISO/IEC 15408
2)
»fælles evalueringsmetode«: den fælles metode til evaluering af informationsteknologisikkerhed som fastsat i ISO/IEC-standarden ISO/IEC 18045
3)
»evalueringsmål«: et IKT-produkt eller en del heraf eller en beskyttelsesprofil som led i en IKT-proces, som underkastes en cybersikkerhedsevaluering med henblik på at opnå EUCC-certificering
4)
»sikkerhedsmål«: en påstand om implementeringsafhængige sikkerhedskrav for et specifikt IKT-produkt
5)
»beskyttelsesprofil«: en IKT-proces, der fastsætter sikkerhedskrav for en specifik kategori af IKT-produkter, imødekommer implementeringsuafhængige sikkerhedsbehov, og som kan anvendes til at vurdere IKT-produkter, der er omfattet af denne specifikke kategori, med henblik på certificering heraf
6)
»rapport om teknisk evaluering«: et dokument udarbejdet af en ITSEF med henblik på at fremlægge de resultater, bedømmelser og begrundelser, der er fremkommet under evalueringen af et IKT-produkt eller en beskyttelsesprofil i overensstemmelse med de regler og forpligtelser, der er fastsat i denne forordning
7)
»ITSEF«: en facilitet til evaluering af informationsteknologisk sikkerhed, som er et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008, der udfører evalueringsopgaver
8)
»AVA_VAN-niveau«: et tillids- og sårbarhedsanalyseniveau, der angiver graden af cybersikkerhedsevalueringsaktiviteter, der er udført for at bestemme graden af modstandsdygtighed over for potentiel udnyttelse af fejl eller svagheder i evalueringsmålet i det operationelle miljø som fastsat i de fælles kriterier
9)
»EUCC-attest«: en cybersikkerhedsattest udstedt i henhold til EUCC for IKT-produkter eller for beskyttelsesprofiler, der udelukkende kan anvendes i IKT-certificeringsprocessen for IKT-produkter
10)
»sammensat produkt«: et IKT-produkt, der evalueres sammen med et andet underliggende IKT-produkt, som allerede har modtaget en EUCC-attest, og hvis sikkerhedsfunktion det sammensatte IKT-produkt afhænger af
11)
»national cybersikkerhedscertificeringsmyndighed«: en myndighed, der er udpeget af en medlemsstat i henhold til artikel 58, stk. 1, i forordning (EU) 2019/881
12)
»certificeringsorgan«: et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008, som udfører certificeringsaktiviteter
13)
»teknisk område«: en fælles teknisk ramme vedrørende en bestemt teknologi for harmoniseret certificering med en række karakteristiske sikkerhedskrav
14)
»statusdokument«: et dokument, der specificerer de evalueringsmetoder, -teknikker og -værktøjer, der gælder for certificering af IKT-produkter, eller sikkerhedskravene til en generisk IKT-produktkategori eller andre krav, der er nødvendige for certificering, med henblik på at harmonisere evalueringen, navnlig af tekniske områder eller beskyttelsesprofiler
15)
»markedsovervågningsmyndighed«: en myndighed som defineret i artikel 3, nr. 4), i forordning (EU) 2019/1020.
Artikel 3
Evalueringsstandarder
Følgende standarder finder anvendelse på evalueringer, der foretages under EUCC-ordningen:
a)
de fælles kriterier
b)
den fælles evalueringsmetode.
Artikel 4
Tillidsniveauer
1.   Certificeringsorganerne udsteder EUCC-attester på tillidsniveauet »væsentligt« eller »højt«.
2.   EUCC-attester på tillidsniveauet »væsentligt« skal svare til attester, der dækker AVA_VAN-niveau 1 eller 2.
3.   EUCC-attester på tillidsniveauet »højt« skal svare til attester, der dækker AVA_VAN-niveau 3, 4 eller 5.
4.   Det sikkerhedsniveau, der bekræftes i en EUCC-attest, skal skelne mellem overensstemmende og udvidet anvendelse af sikkerhedskomponenterne som angivet i de fælles kriterier i overensstemmelse med bilag VIII.
5.   Overensstemmelsesvurderingsorganerne anvender de tillidskomponenter, som det valgte AVA_VAN-niveau afhænger af, i overensstemmelse med de standarder, der er omhandlet i artikel 3.
Artikel 5
Metoder til certificering af IKT-produkter
1.   Certificering af et IKT-produkt foretages i forhold til dets sikkerhedsmål:
a)
som defineret af ansøgeren eller
b)
ved at indarbejde en certificeret beskyttelsesprofil som en del af IKT-processen, hvor IKT-produktet falder ind under den IKT-produktkategori, der er omfattet af den pågældende beskyttelsesprofil.
2.   Beskyttelsesprofiler certificeres udelukkende med henblik på certificering af IKT-produkter, der falder ind under den specifikke kategori af IKT-produkter, der er omfattet af beskyttelsesprofilen.
Artikel 6
Selvvurdering af overensstemmelse
Selvvurdering af overensstemmelse som omhandlet i artikel 53 i forordning (EU) 2019/881 er ikke tilladt.
KAPITEL II
CERTIFICERING AF IKT-PRODUKTER
AFDELING I
Specifikke standarder og krav til evaluering
Artikel 7
Evalueringskriterier og -metoder for IKT-produkter
1.   Et IKT-produkt, som indgives med henblik på certificering, evalueres som minimum i overensstemmelse med følgende:
a)
de relevante elementer i de standarder, der er omhandlet i artikel 3
b)
sikkerhedskravene til sårbarhedsvurdering og uafhængig funktionstest som fastsat i de evalueringsstandarder, der er omhandlet i artikel 3
c)
det risikoniveau, der er forbundet med den tilsigtede anvendelse af de pågældende IKT-produkter i henhold til artikel 52 i forordning (EU) 2019/881, og deres sikkerhedsfunktioner, der understøtter de sikkerhedsmål, der er fastsat i artikel 51 i forordning (EU) 2019/881
d)
de i bilag I anførte relevante statusdokumenter og
e)
de i bilag II anførte relevante certificerede beskyttelsesprofiler.
2.   I ekstraordinære og behørigt begrundede tilfælde kan et overensstemmelsesvurderingsorgan anmode om at undlade at anvende det relevante statusdokument. I sådanne tilfælde underretter overensstemmelsesvurderingsorganet den nationale cybersikkerhedscertificeringsmyndighed med en behørigt begrundet begrundelse for sin anmodning. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen for en undtagelse og godkender den, hvis det er berettiget. Overensstemmelsesvurderingsorganet udsteder ingen attest, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse, om den godkendte undtagelse. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.
3.   Certificering af IKT-produkter på AVA_VAN-niveau 4 eller 5 er kun mulig i følgende scenarier:
a)
hvis IKT-produktet er omfattet af et af de tekniske områder, der er opført i bilag I, evalueres det i overensstemmelse med de gældende statusdokumenter på disse tekniske områder
b)
hvis IKT-produktet hører under en IKT-produktkategori, der er omfattet af en certificeret beskyttelsesprofil, som omfatter AVA_VAN-niveau 4 eller 5, og som er opført som en avanceret beskyttelsesprofil i bilag II, evalueres det i overensstemmelse med den evalueringsmetode, der er angivet for den pågældende beskyttelsesprofil
c)
hvis litra a) og b) i dette stykke ikke finder anvendelse, og det er usandsynligt, at et teknisk område i bilag I eller en certificeret beskyttelsesprofil i bilag II vil blive optaget i en overskuelig fremtid, og kun i ekstraordinære og behørigt begrundede tilfælde på de betingelser, der er fastsat i stk. 4.
4.   Hvis et overensstemmelsesvurderingsorgan vurderer, at det befinder sig i en ekstraordinær og behørigt begrundet situation som omhandlet i stk. 3, litra c), underretter det den nationale cybersikkerhedscertificeringsmyndighed om den påtænkte certificering med en begrundelse og en foreslået evalueringsmetode. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen for, at der skulle være tale om en undtagelse, og godkender eller ændrer den evalueringsmetode, som overensstemmelsesvurderingsorganet skal anvende, hvis det er berettiget. Overensstemmelsesvurderingsorganet udsteder ingen attest, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed indberetter uden unødigt ophold den planlagte certificering til Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.
5.   Hvis et IKT-produkt underkastes en evaluering af et sammensat produkt i overensstemmelse med de relevante statusdokumenter, skal den ITSEF, der foretog evalueringen af det underliggende IKT-produkt, dele de relevante oplysninger med den facilitet, der foretager evalueringen af det sammensatte IKT-produkt.
AFDELING II
Udstedelse, fornyelse og tilbagekaldelse af eucc-attester
Artikel 8
Nødvendige oplysninger ved certificering
1.   En ansøger, der ansøger om certificering i henhold til EUCC, skal forelægge eller på anden måde stille alle de oplysninger, der er nødvendige for certificeringsaktiviteterne, til rådighed for certificeringsorganet og ITSEF.
2.   De oplysninger, der er omhandlet i stk. 1, omfatter al relevant dokumentation i overensstemmelse med afsnittene om »Developer action elements« (aktionselementer for udviklere) i det relevante format som fastsat i afsnittene om »Content and presentation of evidence element« (indhold og fremlæggelse af dokumentationselement) i de fælles kriterier og den fælles evalueringsmetode for det valgte sikkerhedstillidsniveau og de tilhørende sikkerhedstillidskrav. Dokumentationen skal om nødvendigt omfatte oplysninger om IKT-produktet og dets kildekode i overensstemmelse med denne forordning med forbehold af sikkerhedsforanstaltninger mod uautoriseret videregivelse.
3.   Ansøgere om certificering kan forelægge certificeringsorganet og ITSEF relevante evalueringsresultater fra forudgående certificering i henhold til:
a)
denne forordning
b)
en anden europæisk cybersikkerhedscertificeringsordning vedtaget i henhold til artikel 49 i forordning (EU) 2019/881
c)
en national ordning som omhandlet i nærværende forordnings artikel 49.
4.   Hvis evalueringsresultaterne er relevante for ITSEF's opgaver, kan den genanvende evalueringsresultaterne, forudsat at resultaterne er i overensstemmelse med de gældende krav, og at deres ægthed bekræftes.
5.   Hvis certificeringsorganet tillader, at produktet underkastes certificering af et sammensat produkt, skal ansøgeren om certificering stille alle nødvendige elementer til rådighed for certificeringsorganet og ITSEF'en, hvis det er relevant, i overensstemmelse med statusdokumentet.
6.   Ansøgere om certificering skal også give certificeringsorganet og ITSEF'en følgende oplysninger:
a)
linket til deres websted, som indeholder de supplerende cybersikkerhedsoplysninger, der er omhandlet i artikel 55 i forordning (EU) 2019/881
b)
en beskrivelse af ansøgerens procedurer for sårbarhedsstyring og offentliggørelse af sårbarheder.
7.   Al relevant dokumentation, som er omhandlet i denne artikel, skal opbevares af certificeringsorganet, ITSEF'en og ansøgeren i en periode på fem år efter attestens udløb.
Artikel 9
Betingelser for udstedelse af en EUCC-attest
1.   Certificeringsorganerne udsteder en EUCC-attest, hvis alle følgende betingelser er opfyldt:
a)
kategorien af IKT-produkter er omfattet af akkrediteringens anvendelsesområde og, hvor det er relevant, bemyndigelsen af det certificeringsorgan og den ITSEF, der er involveret i certificeringen
b)
ansøgeren om en certificering har underskrevet en erklæring, hvori denne påtager sig alle de forpligtelser, der er anført i stk. 2
c)
ITSEF'en har afsluttet evalueringen uden indsigelse i overensstemmelse med de evalueringsstandarder, -kriterier og -metoder, der er omhandlet i artikel 3 og 7
d)
certificeringsorganet har afsluttet gennemgangen af evalueringsresultaterne uden indsigelser
e)
certificeringsorganet har kontrolleret, at ITSEF'ens tekniske evalueringsrapporter er i overensstemmelse med den fremlagte dokumentation, og at de evalueringsstandarder, -kriterier og -metoder, der er omhandlet i artikel 3 og 7, er anvendt korrekt.
2.   Ansøgere om en certificering skal påtage sig følgende forpligtelser:
a)
at give certificeringsorganet og ITSEF'en alle de nødvendige fuldstændige og korrekte oplysninger og give yderligere nødvendige oplysninger, hvis der anmodes herom
b)
at undlade at markedsføre IKT-produktet som certificeret i henhold til EUCC, før EUCC-attesten er udstedt
c)
udelukkende at markedsføre IKT-produktet som certificeret med hensyn til det anvendelsesområde, der er fastsat i EUCC-attesten
d)
straks at ophøre med at markedsføre IKT-produktet som certificeret i tilfælde af suspension, tilbagekaldelse eller udløb af EUCC-attesten
e)
at sikre, at de IKT-produkter, der sælges med henvisning til EUCC-attesten, er fuldstændig identiske med det IKT-produkt, der er omfattet af certificeringen
f)
at overholde reglerne for anvendelse af mærkningen og etiketten, der er fastsat for EUCC-attesten i overensstemmelse med artikel 11.
3.   I tilfælde af, at et IKT-produkt er omfattet af en certificering af et sammensat produkt i overensstemmelse med de relevante statusdokumenter, deler det certificeringsorgan, der har foretaget certificeringen af det underliggende IKT-produkt, de relevante oplysninger med det certificeringsorgan, der udfører certificeringen af det sammensatte IKT-produkt.
Artikel 10
EUCC-attestens indhold og format
1.   En EUCC-attest skal mindst indeholde de oplysninger, der er fastsat i bilag VII.
2.   Omfanget af og grænserne for det certificerede IKT-produkt angives utvetydigt i EUCC-attesten eller certificeringsrapporten med angivelse af, om hele IKT-produktet er blevet certificeret eller kun dele heraf.
3.   Certificeringsorganet fremsender EUCC-attesten til ansøgeren i det mindste i elektronisk form.
4.   Certificeringsorganet udarbejder en certificeringsrapport i overensstemmelse med bilag V for hver EUCC-attest, det udsteder. Certificeringsrapporten baseres på den rapport om teknisk evaluering, der er udarbejdet af ITSEF. I rapporten om teknisk evaluering og certificeringsrapporten angives de specifikke evalueringskriterier og -metoder, der er omhandlet i artikel 7, og som er anvendt til evalueringen.
5.   Certificeringsorganet fremsender alle EUCC-attester og alle certificeringsrapporter til den nationale cybersikkerhedscertificeringsmyndighed og ENISA i elektronisk form.
Artikel 11
Mærkning og etiketter
1.   En attestindehaver kan anbringe en mærkning og en etiket på et certificeret IKT-produkt. Mærkningen og etiketten viser, at IKT-produktet er certificeret i overensstemmelse med denne forordning. Mærkningen og etiketten anbringes i overensstemmelse med denne artikel og bilag IX.
2.   Mærkningen og etiketten skal anbringes synligt, letlæseligt og uudsletteligt på det certificerede IKT-produkt eller dets dataskilt. Hvis produktet er af en sådan art, at dette ikke er muligt eller berettiget, skal mærkningen og etiketten anbringes på emballagen og i følgedokumenterne. Hvis det certificerede IKT-produkt leveres i form af software, skal mærkningen og etiketten fremgå tydeligt, letlæseligt og uudsletteligt i den ledsagende dokumentation, eller denne dokumentation skal gøres let og direkte tilgængelig for brugerne via et websted.
3.   Mærkningen og etiketten skal være i overensstemmelse med bilag IX og indeholde:
a)
tillidsniveauet og AVA_VAN-niveauet for det certificerede IKT-produkt
b)
den entydige identifikation af attesten bestående af:
1)
ordningens navn
2)
navnet og referencenummeret på akkrediteringen af det certificeringsorgan, der har udstedt attesten
3)
udstedelsesår og -måned
4)
identifikationsnummer tildelt af det certificeringsorgan, der har udstedt attesten.
4.   Mærkningen og etiketten skal ledsages af en QR-kode med et link til et websted, der som minimum indeholder:
a)
oplysninger om attestens gyldighedsperiode
b)
de nødvendige certificeringsoplysninger, jf. bilag V og VII
c)
de oplysninger, som attestindehaveren skal gøre offentligt tilgængelige i henhold til artikel 55 i forordning (EU) 2019/881, og
d)
hvis det er relevant, historiske oplysninger vedrørende den specifikke certificering eller de specifikke certificeringer af IKT-produktet for at muliggøre sporbarhed.
Artikel 12
EUCC-attestens gyldighedsperiode
1.   Certificeringsorganet fastsætter en gyldighedsperiode for hver EUCC-attest, der udstedes, under hensyntagen til det certificerede IKT-produkts karakteristika.
2.   EUCC-attestens gyldighedsperiode må ikke overstige fem år.
3.   Uanset stk. 2 må denne periode overstige fem år med forbehold af forudgående godkendelse fra den nationale cybersikkerhedscertificeringsmyndighed. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe om den meddelte godkendelse.
Artikel 13
Revision af en EUCC-attest
1.   Efter anmodning fra attestindehaveren eller af andre begrundede årsager kan certificeringsorganet beslutte at revidere EUCC-attesten for et IKT-produkt. Revisionen foretages i overensstemmelse med bilag IV. Certificeringsorganet fastsætter omfanget af revisionen. Hvis det er nødvendigt for revisionen, anmoder certificeringsorganet ITSEF'en om at foretage en fornyet evaluering af det certificerede IKT-produkt.
2.   Efter resultaterne af revisionen og, hvor det er relevant, af den fornyede evaluering skal certificeringsorganet:
a)
bekræfte EUCC-attesten
b)
tilbagekalde EUCC-attesten i henhold til artikel 14
c)
tilbagekalde EUCC-attesten i henhold til artikel 14 og udstede en ny EUCC-attest med samme anvendelsesområde og en forlænget gyldighedsperiode eller
d)
tilbagekalde EUCC-attesten i henhold til artikel 14 og udstede en ny EUCC-attest med et andet anvendelsesområde.
3.   Certificeringsorganet kan uden unødigt ophold beslutte at suspendere EUCC-attesten i henhold til artikel 30, indtil indehaveren af EUCC-attesten har truffet afhjælpende foranstaltninger.
Artikel 14
Tilbagekaldelse af en EUCC-attest
1.   Med forbehold af artikel 58, stk. 8, litra e), i forordning (EU) 2019/881 tilbagekaldes en EUCC-attest af det certificeringsorgan, der udstedte attesten.
2.   Certificeringsorganet i stk. 1 underretter den nationale cybersikkerhedscertificeringsmyndighed om tilbagekaldelsen af attesten. Det underretter også ENISA om tilbagekaldelsen med henblik på at lette udførelsen af dets opgaver i henhold til artikel 50 i forordning (EU) 2019/881. Den nationale cybersikkerhedscertificeringsmyndighed underretter andre relevante markedsovervågningsmyndigheder.
3.   Indehaveren af en EUCC-attest kan anmode om tilbagekaldelse af attesten.
KAPITEL III
CERTIFICERING AF BESKYTTELSESPROFILER
AFDELING I
SPECIFIKKE STANDARDER OG KRAV TIL EVALUERING
Artikel 15
Evalueringskriterier og -metoder
1.   En beskyttelsesprofil vurderes som minimum i overensstemmelse med følgende:
a)
de relevante elementer i de standarder, der er omhandlet i artikel 3
b)
det risikoniveau, der er forbundet med den tilsigtede anvendelse af de pågældende IKT-produkter i henhold til artikel 52 i forordning (EU) 2019/881, og de sikkerhedsfunktioner, der understøtter de sikkerhedsmål, som er fastsat i nævnte forordnings artikel 51, og
c)
de relevante statusdokumenter, som er anført i bilag I. En beskyttelsesprofil, der er omfattet af et teknisk område, skal certificeres efter kravene på det pågældende tekniske område.
2.   I ekstraordinære og behørigt begrundede tilfælde kan et overensstemmelsesvurderingsorgan certificere en beskyttelsesprofil uden at anvende de relevante statusdokumenter. I sådanne tilfælde underretter det den kompetente nationale cybersikkerhedscertificeringsmyndighed og giver en begrundelse for den påtænkte certificering uden anvendelse af de relevante statusdokumenter samt den foreslåede evalueringsmetode. Den nationale cybersikkerhedscertificeringsmyndighed vurderer begrundelsen og godkender, hvor det er berettiget, den manglende anvendelse af de relevante statusdokumenter og godkender eller ændrer, hvor det er relevant, den evalueringsmetode, som overensstemmelsesvurderingsorganet skal anvende. Overensstemmelsesvurderingsorganet udsteder ingen attest til beskyttelsesprofilen, før den nationale cybersikkerhedscertificeringsmyndighed har truffet afgørelse. Den nationale cybersikkerhedscertificeringsmyndighed underretter uden unødigt ophold Den Europæiske Cybersikkerhedscertificeringsgruppe, som kan afgive en udtalelse, om den tilladte manglende anvendelse af de relevante statusdokumenter. Den nationale cybersikkerhedscertificeringsmyndighed tager størst muligt hensyn til udtalelsen fra Den Europæiske Cybersikkerhedscertificeringsgruppe.
AFDELING II
Udstedelse, fornyelse og tilbagekaldelse af eucc-attester for beskyttelsesprofiler
Artikel 16
Oplysninger, der er nødvendige for certificering af beskyttelsesprofiler
En ansøger, der ansøger om certificering af en beskyttelsesprofil, skal forelægge eller på anden måde stille alle de oplysninger, der er nødvendige for certificeringsaktiviteterne, til rådighed for certificeringsorganet og ITSEF'en. Artikel 8, stk. 2, 3, 4 og 7 finder tilsvarende anvendelse.
Artikel 17
Udstedelse af EUCC-attester for beskyttelsesprofiler
1.   Ansøgere om en certificering skal give certificeringsorganet og ITSEF'en alle de nødvendige fuldstændige og korrekte oplysninger.
2.   Artikel 9 og 10 finder tilsvarende anvendelse.
3.   ITSEF'en vurderer, om en beskyttelsesprofil er fuldstændig, konsekvent, teknisk forsvarlig og effektiv i forhold til den tilsigtede brug og sikkerhedsmålene for den kategori af IKT-produkter, der er omfattet af beskyttelsesprofilen.
4.   En beskyttelsesprofil certificeres udelukkende af:
a)
en national cybersikkerhedscertificeringsmyndighed eller et andet offentligt organ, der er akkrediteret som certificeringsorgan, eller
b)
et certificeringsorgan efter forudgående godkendelse fra den nationale cybersikkerhedscertificeringsmyndighed for hver enkelt beskyttelsesprofil.
Artikel 18
Gyldighedsperiode for en EUCC-attest for beskyttelsesprofiler
1.   Certificeringsorganet fastsætter en gyldighedsperiode for hver EUCC-attest.
2.   Gyldighedsperioden kan være op til beskyttelsesprofilens levetid.
Artikel 19
Revision af en EUCC-attest for beskyttelsesprofiler
1.   Efter anmodning fra attestindehaveren eller af andre begrundede årsager kan certificeringsorganet beslutte at revidere EUCC-attesten for en beskyttelsesprofil. Revisionen foretages under anvendelse af betingelserne i artikel 15. Certificeringsorganet fastsætter omfanget af revisionen. Hvis det er nødvendigt for revisionen, anmoder certificeringsorganet ITSEF'en om at foretage en fornyet evaluering af den certificerede beskyttelsesprofil.
2.   Efter resultaterne af revisionen og, hvor det er relevant, af den fornyede evaluering skal certificeringsorganet:
a)
bekræfte EUCC-attesten
b)
tilbagekalde EUCC-attesten i henhold til artikel 20
c)
tilbagekalde EUCC-attesten i henhold til artikel 20 og udstede en ny EUCC-attest med samme anvendelsesområde og en forlænget gyldighedsperiode
d)
tilbagekalde EUCC-attesten i henhold til artikel 20 og udstede en ny EUCC-attest med et andet anvendelsesområde.
Artikel 20
Tilbagekaldelse af en EUCC-attest for beskyttelsesprofiler
1.   Med forbehold af artikel 58, stk. 8, litra e), i forordning (EU) 2019/881 tilbagekaldes en EUCC-attest til en beskyttelsesprofil af det certificeringsorgan, der udstedte attesten. Artikel 14 finder tilsvarende anvendelse.
2.   En attest for en beskyttelsesprofil, der er udstedt i overensstemmelse med artikel 17, stk. 4, litra b), trækkes tilbage af den nationale cybersikkerhedscertificeringsmyndighed, der godkendte attesten.
KAPITEL IV
OVERENSSTEMMELSESVURDERINGSORGANER
Artikel 21
Yderligere eller specifikke krav til et certificeringsorgan
1.   Et certificeringsorgan bemyndiges af den nationale cybersikkerhedscertificeringsmyndighed til at udstede EUCC-attester på tillidsniveauet »højt«, hvis dette organ ud over at opfylde kravene i artikel 60, stk. 1, og bilaget til forordning (EU) 2019/881 vedrørende akkreditering af overensstemmelsesvurderingsorganer dokumenterer følgende:
a)
det har den ekspertise og de kompetencer, der er nødvendige for afgørelsen om certificering på tillidsniveauet »højt«
b)
det udfører sine certificeringsaktiviteter i samarbejde med et organ, der er bemyndiget i henhold til artikel 22 og
c)
det har de nødvendige kompetencer og træffer passende tekniske og operationelle foranstaltninger for effektivt at beskytte fortrolige og følsomme oplysninger med sikringsniveauet »høj« ud over de krav, der er fastsat i artikel 43.
2.   Den nationale cybersikkerhedscertificeringsmyndighed vurderer, om et certificeringsorgan opfylder alle kravene i stk. 1. Denne vurdering skal som minimum omfatte strukturerede interviews og en gennemgang af mindst én pilotcertificering udført af certificeringsorganet i overensstemmelse med denne forordning.
Den nationale cybersikkerhedscertificeringsmyndighed kan i sin vurdering genanvende relevant dokumentation fra forudgående bemyndigelse eller lignende aktiviteter, der er fremlagt i henhold til:
a)
denne forordning
b)
en anden europæisk cybersikkerhedscertificeringsordning vedtaget i henhold til artikel 49 i forordning (EU) 2019/881
c)
en national ordning som omhandlet i nærværende forordnings artikel 49.
3.   Den nationale cybersikkerhedscertificeringsmyndighed udarbejder en bemyndigelsesrapport, som er genstand for peerevaluering i overensstemmelse med artikel 59, stk. 3, litra d), i forordning (EU) 2019/881.
4.   Den nationale cybersikkerhedscertificeringsmyndighed angiver de IKT-produktkategorier og beskyttelsesprofiler, som bemyndigelsen omfatter. Bemyndigelsen er gyldig i en periode, der ikke er længere end akkrediteringens gyldighedsperiode. Den kan forlænges efter anmodning, forudsat at certificeringsorganet stadig opfylder kravene i denne artikel. Der kræves ingen pilotevalueringer i forbindelse med bemyndigelsens fornyelse.
5.   Den nationale cybersikkerhedscertificeringsmyndighed tilbagekalder certificeringsorganets bemyndigelse, hvis det ikke længere opfylder betingelserne i denne artikel. Når bemyndigelsen tilbagekaldes, ophører certificeringsorganet straks med at markedsføre sig som et bemyndiget certificeringsorgan.
Artikel 22
Yderligere eller specifikke krav til en ITSEF
1.   En ITSEF bemyndiges af den nationale cybersikkerhedscertificeringsmyndighed til at udføre evaluering af IKT-produkter, der er genstand for certificering på tillidsniveauet »højt«, hvis den pågældende ITSEF ud over at opfylde kravene i artikel 60, stk. 1, og bilaget til forordning (EU) 2019/881 vedrørende akkreditering af overensstemmelsesvurderingsorganer dokumenterer, at den overholder alle følgende betingelser:
a)
den har den nødvendige ekspertise til at udføre evalueringsaktiviteterne med henblik på at fastslå modstandsdygtigheden over for de mest avancerede cyberangreb, der udføres af aktører med betydelige færdigheder og ressourcer
b)
for så vidt angår de tekniske områder og beskyttelsesprofiler, som er en del af IKT-processen for disse IKT-produkter, har den:
1)
ekspertisen til at udføre de specifikke evalueringsaktiviteter, der er nødvendige for metodisk at fastlægge et mål for evalueringens resistens over for kvalificerede angribere i det operationelle miljø, idet det antages, at angrebspotentialet er »moderat« eller »højt« som fastsat i de standarder, der er omhandlet i artikel 3
2)
de tekniske kompetencer, der fremgår af de statusdokumenter, der er anført i bilag I
c)
den har de nødvendige kompetencer og har truffet passende tekniske og operationelle foranstaltninger til effektivt at beskytte fortrolige og følsomme oplysninger med tillidsniveauet »højt« ud over de krav, der er fastsat i artikel 43.
2.   Den nationale cybersikkerhedscertificeringsmyndighed vurderer, om en ITSEF opfylder alle kravene i stk. 1. Denne vurdering skal som minimum omfatte strukturerede interviews og en gennemgang af mindst én pilotevaluering udført af udvalget i overensstemmelse med denne forordning.
3.   Den nationale cybersikkerhedscertificeringsmyndighed kan i sin vurdering genanvende relevant dokumentation fra forudgående bemyndigelse eller lignende aktiviteter, der er fremlagt i henhold til:
a)
denne forordning
b)
en anden europæisk cybersikkerhedscertificeringsordning vedtaget i henhold til artikel 49 i forordning (EU) 2019/881
c)
en national ordning som omhandlet i nærværende forordnings artikel 49.
4.   Den nationale cybersikkerhedscertificeringsmyndighed udarbejder en bemyndigelsesrapport, som er genstand for peerevaluering i overensstemmelse med artikel 59, stk. 3, litra d), i forordning (EU) 2019/881.
5.   Den nationale cybersikkerhedscertificeringsmyndighed angiver de IKT-produktkategorier og beskyttelsesprofiler, som bemyndigelsen omfatter. Bemyndigelsen er gyldig i en periode, der ikke er længere end akkrediteringens gyldighedsperiode. Den kan forlænges efter anmodning, forudsat at den pågældende ITSEF stadig opfylder kravene i denne artikel. Der kræves ingen pilotevalueringer i forbindelse med bemyndigelsens fornyelse.
6.   Den nationale cybersikkerhedscertificeringsmyndighed tilbagekalder en ITSEF's bemyndigelse, hvis den ikke længere opfylder betingelserne i denne artikel. Når bemyndigelsen tilbagekaldes, ophører ITSEF'en med at promovere sig som en bemyndiget ITSEF.
Artikel 23
Anmeldelse af certificeringsorganer
1.   Den nationale cybersikkerhedscertificeringsmyndighed underretter Kommissionen om, hvilke certificeringsorganer på dens område der er kompetente til at certificere på tillidsniveauet »væsentligt« på grundlag af deres akkreditering.
2.   Den nationale cybersikkerhedscertificeringsmyndighed underretter Kommissionen om, hvilke certificeringsorganer på dens område der er kompetente til at certificere på tillidsniveauet »højt« på grundlag af deres akkreditering og afgørelsen om bemyndigelse.
3.   Den nationale cybersikkerhedscertificeringsmyndighed skal som minimum give følgende oplysninger, når den underretter Kommissionen om certificeringsorganerne:
a)
det eller de tillidsniveauer, som certificeringsorganet har kompetence til at udstede EUCC-attester for
b)
følgende oplysninger vedrørende akkreditering:
1)
akkrediteringsdatoen
2)
certificeringsorganets navn og adresse
3)
certificeringsorganets registrerede hjemland
4)
akkrediteringens referencenummer
5)
akkrediteringens anvendelsesområde og gyldighedsperiode
6)
adresse, beliggenhed og link til det nationale akkrediteringsorgans relevante websted og
c)
følgende oplysninger vedrørende bemyndigelse for niveauet »høj«:
1)
bemyndigelsesdatoen
2)
bemyndigelsens referencenummer
3)
bemyndigelsens gyldighedsperiode
4)
bemyndigelsens anvendelsesområde, herunder det højeste AVA_VAN-niveau og det omfattede tekniske område, hvor det er relevant.
4.   Den nationale cybersikkerhedscertificeringsmyndighed sender en kopi af den underretning, der er omhandlet i stk. 1 og 2, til ENISA med henblik på offentliggørelse af nøjagtige oplysninger på webstedet for cybersikkerhedscertificering om certificeringsorganernes bemyndigelse.
5.   Den nationale cybersikkerhedscertificeringsmyndighed undersøger uden unødigt ophold alle oplysninger fra det nationale akkrediteringsorgan om ændring af status for akkrediteringen. Hvis akkrediteringen eller bemyndigelsen er blevet tilbagekaldt, underretter den nationale cybersikkerhedscertificeringsmyndighed Kommissionen herom og kan indgive en anmodning til Kommissionen i overensstemmelse med artikel 61, stk. 4, i forordning (EU) 2019/881.
Artikel 24
Anmeldelse af en ITSEF
De nationale cybersikkerhedscertificeringsmyndigheders anmeldelsesforpligtelser, jf. artikel 23, finder også anvendelse på ITSEF. Meddelelsen skal indeholde adressen på den pågældende enhed, den gyldige akkreditering og, hvor det er relevant, den pågældende ITSEF's gyldige bemyndigelse.
KAPITEL V
OVERVÅGNING, MANGLENDE OVERENSSTEMMELSE OG MANGLENDE OVERHOLDELSE
AFDELING I
Overvågning af overholdelse
Artikel 25
Den nationale cybersikkerhedscertificeringsmyndigheds overvågningsaktiviteter
1.   Med forbehold af artikel 58, stk. 7, i forordning (EU) 2019/881 overvåger den nationale cybersikkerhedscertificeringsmyndighed:
a)
at certificeringsorganet og ITSEF'en overholder deres forpligtelser i henhold til nærværende forordning og forordning (EU) 2019/881
b)
at EUCC-attestindehavere overholder deres forpligtelser i henhold til nærværende forordning og forordning (EU) 2019/881
c)
at de certificerede IKT-produkter overholder de krav, der er fastsat i EUCC-attesten
d)
at det tillidsniveau, der er anført i EUCC-attesten, overholder kravene i overensstemmelse med det skiftende trusselsbillede.
2.   Den nationale cybersikkerhedscertificeringsmyndighed udfører sine overvågningsaktiviteter på grundlag af især:
a)
oplysninger fra certificeringsorganer, nationale akkrediteringsorganer og relevante markedsovervågningsmyndigheder
b)
oplysninger fra dens egne eller en anden myndigheds revisioner og undersøgelser
c)
stikprøvekontrol gennemført i overensstemmelse med stk. 3
d)
indkomne klager.
3.   Den nationale cybersikkerhedscertificeringsmyndighed udtager i samarbejde med andre markedsovervågningsmyndigheder årligt prøver af mindst 4 % af EUCC-attesterne som fastsat ved en risikovurdering. Efter anmodning og på vegne af den kompetente nationale cybersikkerhedscertificeringsmyndighed bistår certificeringsorganerne og om nødvendigt ITSEF den pågældende myndighed med at overvåge overholdelsen.
4.   Den nationale cybersikkerhedscertificeringsmyndighed udvælger stikprøven af certificerede IKT-produkter, der skal kontrolleres ved hjælp af objektive kriterier, herunder:
a)
produktkategori
b)
produkternes tillidsniveauer
c)
attestindehaver
d)
certificeringsorgan og, hvis det er relevant, den relevante ITSEF
e)
alle andre oplysninger, som myndigheden har fået kendskab til.
5.   Den nationale cybersikkerhedscertificeringsmyndighed underretter indehaverne af EUCC-attesten om de udvalgte IKT-produkter og udvælgelseskriterierne.
6.   Det certificeringsorgan, der har certificeret det IKT-produkt, der er udtaget prøver af, foretager efter anmodning fra den nationale cybersikkerhedscertificeringsmyndighed og med bistand fra den pågældende ITSEF yderligere gennemgang i overensstemmelse med proceduren i afsnit IV.2 i bilag IV og underretter den nationale cybersikkerhedscertificeringsmyndighed om resultaterne.
7.   Hvis den nationale cybersikkerhedscertificeringsmyndighed har tilstrækkelig grund til at tro, at et certificeret IKT-produkt ikke længere er i overensstemmelse med denne forordning eller forordning (EU) 2019/881, kan den foretage undersøgelser eller gøre brug af andre overvågningsbeføjelser, der er fastsat i artikel 58, stk. 8, i forordning (EU) 2019/881.
8.   Den nationale cybersikkerhedscertificeringsmyndighed underretter certificeringsorganet og ITSEF'en om igangværende undersøgelser vedrørende udvalgte IKT-produkter.
9.   Hvis den nationale cybersikkerhedscertificeringsmyndighed konstaterer, at en igangværende undersøgelse vedrører IKT-produkter, der er certificeret af certificeringsorganer, som er etableret i andre medlemsstater, underretter den de nationale cybersikkerhedscertificeringsmyndigheder i de relevante medlemsstater herom med henblik på at samarbejde om undersøgelserne, hvor det er relevant. Den nationale cybersikkerhedscertificeringsmyndighed underretter Den Europæiske Cybersikkerhedscertificeringsgruppe om de grænseoverskridende undersøgelser og de efterfølgende resultater.
Artikel 26
Certificeringsorganets overvågningsaktiviteter
1.   Certificeringsorganet overvåger:
a)
at attestindehavere overholder deres forpligtelser i henhold til nærværende forordning og forordning (EU) 2019/881 i forhold til den EUCC-attest, der er udstedt af certificeringsorganet
b)
at de IKT-produkter, som det har certificeret, overholder deres respektive sikkerhedskrav
c)
at det tillidsniveau, der er anført i de certificerede beskyttelsesprofiler, overholdes.
2.   Certificeringsorganet udfører sine overvågningsaktiviteter på grundlag af:
a)
de oplysninger, der er givet på grundlag af de forpligtelser, som ansøgeren om certificering har påtaget sig, jf. artikel 9, stk. 2
b)
oplysninger, der følger af andre relevante markedsovervågningsmyndigheders aktiviteter
c)
indkomne klager
d)
sårbarhedsoplysninger, der kan påvirke de IKT-produkter, det har certificeret.
3.   Den nationale cybersikkerhedscertificeringsmyndighed kan udarbejde regler for en regelmæssig dialog mellem certificeringsorganer og EUCC-attestindehavere for at kontrollere og rapportere om overholdelsen af de forpligtelser, der er indgået i henhold til artikel 9, stk. 2, uden at dette berører aktiviteter vedrørende andre relevante markedsovervågningsmyndigheder.
Artikel 27
Overvågningsaktiviteter udført af attestindehaveren
1.   EUCC-attestindehavere udfører følgende opgaver med henblik på at overvåge, at certificerede IKT-produkt er i overensstemmelse med dets sikkerhedskrav:
a)
overvåge sårbarhedsoplysninger vedrørende det certificerede IKT-produkt, herunder kendt afhængighed, med egne midler, men også under hensyntagen til:
1)
en offentliggørelse eller et indlæg vedrørende sårbarhedsoplysninger fra en bruger eller sikkerhedsforsker som omhandlet i artikel 55, stk. 1, litra c), i forordning (EU) 2019/881
2)
oplysninger fra enhver anden kilde
b)
overvåge tillidsniveauet som anført i EUCC-attesten.
2.   Indehaveren af en EUCC-attest samarbejder med certificeringsorganet, ITSEF og, hvor det er relevant, den nationale cybersikkerhedscertificeringsmyndighed for at støtte deres overvågningsaktiviteter.
AFDELING II
Overensstemmelse og overholdelse
Artikel 28
Konsekvenser af et certificeret IKT-produkts eller en certificeret beskyttelsesprofils manglende overensstemmelse
1.   Hvis et certificeret IKT-produkt eller en certificeret beskyttelsesprofil ikke er i overensstemmelse med kravene i nærværende forordning og forordning (EU) 2019/881, underretter certificeringsorganet indehaveren af EUCC-attesten om den konstaterede manglende overensstemmelse og anmoder om afhjælpende foranstaltninger.
2.   Hvis et tilfælde af manglende overensstemmelse med bestemmelserne i nærværende forordning kan påvirke overholdelsen af anden relevant EU-lovgivning, som giver mulighed for at påvise formodningen om overensstemmelse med kravene i den pågældende retsakt ved hjælp af EUCC-attesten, underretter certificeringsorganet straks den nationale cybersikkerhedscertificeringsmyndighed herom. Den nationale cybersikkerhedscertificeringsmyndighed underretter straks den markedsovervågningsmyndighed, der er ansvarlig for en sådan anden relevant EU-lovgivning, om den konstaterede manglende overensstemmelse.
3.   Efter modtagelsen af de oplysninger, der er omhandlet i stk. 1, foreslår EUCC-attestindehaveren inden for den frist, som certificeringsorganet har fastsat, og som ikke må overstige 30 dage, certificeringsorganet de afhjælpende foranstaltninger, som er nødvendige for at afhjælpe den manglende overensstemmelse.
4.   Certificeringsorganet kan uden unødigt ophold suspendere EUCC-attesten i henhold til artikel 30 i nødsituationer, eller hvis EUCC-attestindehaveren ikke samarbejder behørigt med certificeringsorganet.
5.   Certificeringsorganet foretager en gennemgang i henhold til artikel 13 og 19 og vurderer, om de afhjælpende foranstaltninger afhjælper den manglende overensstemmelse.
6.   Hvis indehaveren af EUCC-attesten ikke foreslår passende afhjælpende foranstaltninger i den periode, der er omhandlet i stk. 3, suspenderes attesten i overensstemmelse med artikel 30 eller tilbagekaldes i overensstemmelse med artikel 14 eller 20.
7.   Denne artikel finder ikke anvendelse på tilfælde af sårbarheder, der påvirker et certificeret IKT-produkt, som håndteres i overensstemmelse med kapitel VI.
Artikel 29
Konsekvenser af manglende overensstemmelse fra attestindehaverens side
1.   Hvis certificeringsorganet finder, at:
a)
EUCC-attestindehaveren eller ansøgeren om certificering ikke opfylder sine forpligtelser som fastsat i artikel 9, stk. 2, artikel 17, stk. 2, artikel 27 og 41 eller
b)
EUCC-attestindehaveren ikke opfylder artikel 56, stk. 8, i forordning (EU) 2019/881 eller kapitel VI i nærværende forordning
fastsætter det en frist på højst 30 dage, inden for hvilken EUCC-attestindehaveren skal træffe afhjælpende foranstaltninger.
2.   Hvis EUCC-attestindehaveren ikke foreslår passende afhjælpende foranstaltninger i den periode, der er omhandlet i stk. 1, suspenderes attesten i overensstemmelse med artikel 30 eller tilbagekaldes i overensstemmelse med artikel 14 og 20.
3.   EUCC-attestindehaverens fortsatte eller tilbagevendende overtrædelse af de forpligtelser, der er omhandlet i stk. 1, udløser tilbagekaldelse af EUCC-attesten i overensstemmelse med artikel 14 eller 20.
4.   Certificeringsorganet underretter den nationale cybersikkerhedscertificeringsmyndighed om de resultater, der er omhandlet i stk. 1. Hvis den manglende overensstemmelse påvirker overholdelsen af anden relevant EU-lovgivning, underretter den nationale cybersikkerhedscertificeringsmyndighed straks den markedsovervågningsmyndighed, der er ansvarlig for denne anden relevante EU-lovgivning, om det konstaterede tilfælde af manglende overensstemmelse.
Artikel 30
Suspension af EUCC-attesten
1.   Hvis der i denne forordning henvises til suspension af en EUCC-attest, suspenderer certificeringsorganet den pågældende EUCC-attest i en periode, der er passende i forhold til de omstændigheder, der udløser suspensionen, og som ikke overstiger 42 dage. Suspensionsperioden begynder dagen efter den dag, hvor certificeringsorganet har truffet sin afgørelse. Suspensionen berører ikke attestens gyldighed.
2.   Certificeringsorganet underretter uden unødigt ophold attestindehaveren og den nationale cybersikkerhedscertificeringsmyndighed om suspensionen og angiver årsagerne til suspensionen, de foranstaltninger, der anmodes om, og suspensionsperioden.
3.   Attestindehavere underretter køberne af de pågældende IKT-produkter om suspensionen og om certificeringsorganets begrundelse for suspensionen, undtagen de dele af årsagerne, hvis deling ville udgøre en sikkerhedsrisiko, eller som indeholder følsomme oplysninger. Disse oplysninger skal også gøres offentligt tilgængelige af attestindehaveren.
4.   Hvis anden relevant EU-lovgivning indeholder bestemmelser om en formodning om overensstemmelse på grundlag af attester, der er udstedt i henhold til bestemmelserne i denne forordning, underretter den nationale cybersikkerhedscertificeringsmyndighed den markedsovervågningsmyndighed, der er ansvarlig for den anden relevante EU-lovgivning, om suspensionen.
5.   ENISA underrettes om suspensionen af en attest i overensstemmelse med artikel 42, stk. 3.
6.   I behørigt begrundede tilfælde kan den nationale cybersikkerhedscertificeringsmyndighed give tilladelse til en forlængelse af perioden for suspension af en EUCC-attest. Den samlede suspensionsperiode må ikke overstige et år.
Artikel 31
Konsekvenser af overensstemmelsesvurderingsorganets manglende overensstemmelse
1.   Hvis et certificeringsorgan eller en ITSEF ikke overholder sine forpligtelser, skal den nationale cybersikkerhedscertificeringsmyndighed uden unødigt ophold:
a)
med støtte fra den berørte ITSEF identificere de potentielt berørte EUCC-attester
b)
om nødvendigt anmode om, at evalueringsaktiviteter udføres på et eller flere IKT-produkter eller en eller flere beskyttelsesprofiler af enten den enhed, der har foretaget evalueringen, eller enhver anden akkrediteret og, hvor det er relevant, bemyndiget ITSEF, der kan være i en bedre teknisk position med hensyn til at støtte denne identifikation
c)
analysere virkningerne af manglende overensstemmelse
d)
underrette den EUCC-attestindehaver, der er berørt af den manglende overensstemmelse.
2.   På grundlag af de foranstaltninger, der er omhandlet i stk. 1, vedtager certificeringsorganet en af følgende afgørelser for hver berørt EUCC-attest:
a)
at opretholde EUCC-attesten uændret
b)
at tilbagekalde EUCC-attesten i overensstemmelse med artikel 14 eller 20 og, hvor det er relevant, udstede en ny EUCC-attest.
3.   På grundlag af de foranstaltninger, der er omhandlet i stk. 1, skal den nationale cybersikkerhedscertificeringsmyndighed:
a)
om nødvendigt indberette certificeringsorganets eller den tilknyttede ITSEF's manglende overensstemmelse til det nationale akkrediteringsorgan
b)
hvis det er relevant, vurdere den potentielle indvirkning på bemyndigelsen.
KAPITEL VI
SÅRBARHEDSSTYRING OG OFFENTLIGGØRELSE AF SÅRBARHEDER
Artikel 32
Omfanget af sårbarhedsstyring
Dette kapitel finder anvendelse på IKT-produkter, for hvilke der er udstedt en EUCC-attest.
AFDELING I
Sårbarhedsstyring
Artikel 33
Procedurer for sårbarhedsstyring
1.   En EUCC-attestindehaver indfører og opretholder alle nødvendige procedurer for sårbarhedsstyring i overensstemmelse med reglerne i denne afdeling om nødvendigt suppleret med procedurerne i EN ISO/IEC 30111.
2.   Indehaveren af en EUCC-attest vedligeholder og offentliggør passende metoder til at modtage oplysninger om sårbarheder i forbindelse med deres produkter fra eksterne kilder, herunder brugere, certificeringsorganer og sikkerhedsforskere.
3.   Hvis en indehaver af en EUCC-attest opdager eller modtager oplysninger om en potentiel sårbarhed, der påvirker et certificeret IKT-produkt, registrerer indehaveren dette og foretager en sårbarhedskonsekvensanalyse.
4.   Når en potentiel sårbarhed påvirker et sammensat produkt, underretter EUCC-attestindehaveren indehavere af afhængige EUCC-attester om potentiel sårbarhed.
5.   Som svar på en rimelig anmodning fra det certificeringsorgan, der udstedte attesten, fremsender EUCC-attestindehaveren alle relevante oplysninger om potentielle sårbarheder til det pågældende certificeringsorgan.
Artikel 34
Sårbarhedskonsekvensanalyse
1.   I sårbarhedskonsekvensanalysen henvises til målet for evalueringen og de sikkerhedserklæringer, der er indeholdt i attesten. Sårbarhedskonsekvensanalyser gennemføres inden for en frist, der er passende for det certificerede IKT-produkts risiko for at blive udnyttet og kritiske karakter.
2.   Hvis det er relevant, foretages en beregning af angrebspotentialet i overensstemmelse med den relevante metode i de standarder, der er omhandlet i artikel 3, og de relevante statusdokumenter, der er opført i bilag I, med henblik på at fastslå sårbarhedens risiko for at blive udnyttet. Der skal tages hensyn til EUCC-attestens AVA_VAN-niveau.
Artikel 35
Rapport om sårbarhedskonsekvensanalyse
1.   Indehaveren udarbejder en rapport om sårbarhedskonsekvensanalysen, hvis konsekvensanalysen viser, at sårbarheden sandsynligvis har en indvirkning på IKT-produktets overensstemmelse med dets attest.
2.   Rapporten om sårbarhedskonsekvensanalysen skal indeholde en vurdering af følgende elementer:
a)
sårbarhedens indvirkning på det certificerede IKT-produkt
b)
mulige risici i forbindelse med et angrebs nærhed eller tilgængelighed
c)
hvorvidt sårbarheden kan afhjælpes
d)
mulige løsninger på sårbarheden, hvis sårbarheden kan afhjælpes.
3.   Rapporten om sårbarhedskonsekvensanalysen skal, hvor det er relevant, indeholde nærmere oplysninger om, hvordan sårbarheden eventuelt kan udnyttes. Oplysninger om, hvordan sårbarheden eventuelt kan udnyttes, behandles i overensstemmelse med passende sikkerhedsforanstaltninger for at beskytte fortroligheden og om nødvendigt sikre, at de kun videregives i begrænset omfang.
4.   Indehaveren af en EUCC-attest fremsender uden unødigt ophold en rapport om sårbarhedskonsekvensanalysen til certificeringsorganet eller den nationale cybersikkerhedscertificeringsmyndighed i overensstemmelse med artikel 56, stk. 8, i forordning (EU) 2019/881.
5.   Hvis det i rapporten om sårbarhedskonsekvensanalysen fastslås, at sårbarheden ikke udgør en fortsat risiko i henhold til de standarder, der er omhandlet i artikel 3, og at den kan afhjælpes, finder artikel 36 anvendelse.
6.   Hvis det i rapporten om sårbarhedskonsekvensanalysen fastslås, at sårbarheden ikke udgør en fortsat risiko, og at den ikke kan afhjælpes, tilbagekaldes EUCC-attesten i overensstemmelse med artikel 14.
7.   EUCC-attestindehaveren overvåger eventuelle tilbageværende sårbarheder for at sikre, at de ikke kan udnyttes i tilfælde af ændringer i det operationelle miljø.
Artikel 36
Afhjælpning af sårbarheder
EUCC-attestindehaveren forelægger certificeringsorganet et forslag til passende afhjælpende foranstaltninger. Certificeringsorganet reviderer attesten i overensstemmelse med artikel 13. Revisionens omfang bestemmes af den foreslåede afhjælpning af sårbarheden.
AFDELING II
Offentliggørelse af sårbarheder
Artikel 37
Oplysninger, der deles med den nationale cybersikkerhedscertificeringsmyndighed
1.   De oplysninger, som certificeringsorganet giver den nationale cybersikkerhedscertificeringsmyndighed, skal omfatte alle de elementer, der er nødvendige for, at den nationale cybersikkerhedscertificeringsmyndighed kan forstå virkningen af sårbarheden, de ændringer, der skal foretages af IKT-produktet, og eventuelle oplysninger fra certificeringsorganet om de bredere konsekvenser af sårbarheden for andre certificerede IKT-produkter.
2.   De oplysninger, der gives i henhold til stk. 1, må ikke indeholde nærmere oplysninger om, hvordan sårbarheden kan udnyttes. Denne bestemmelse berører ikke den nationale cybersikkerhedscertificeringsmyndigheds undersøgelsesbeføjelser.
Artikel 38
Samarbejde med andre nationale cybersikkerhedscertificeringsmyndigheder
1.   Den nationale cybersikkerhedscertificeringsmyndighed deler de relevante oplysninger, der er modtaget i overensstemmelse med artikel 37, med andre nationale cybersikkerhedscertificeringsmyndigheder og ENISA.
2.   Andre nationale cybersikkerhedscertificeringsmyndigheder kan beslutte at analysere sårbarheden yderligere eller, efter at have underrettet indehaveren af EUCC-attesten, anmode de relevante certificeringsorganer om at vurdere, om sårbarheden kan påvirke andre certificerede IKT-produkter.
Artikel 39
Offentliggørelse af sårbarheden
Efter tilbagekaldelse af en attest offentliggør og registrerer EUCC-attestindehaveren enhver offentligt kendt og afhjulpet sårbarhed i IKT-produktet i den europæiske sårbarhedsdatabase, der er oprettet i overensstemmelse med artikel 12 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
5
)
, eller andre onlinedatabaser som omhandlet i artikel 55, stk. 1, litra d), i forordning (EU) 2019/881.
KAPITEL VII
OPBEVARING, VIDEREGIVELSE OG BESKYTTELSE AF OPLYSNINGER
Artikel 40
Certificeringsorganernes og ITSEF's opbevaring af optegnelser
1.   ITSEF og certificeringsorganerne fører et registreringssystem med alle de dokumenter, der er udarbejdet i forbindelse med hver evaluering og certificering, som de udfører.
2.   Certificeringsorganerne og ITSEF lagrer registreringerne på en sikker måde og opbevarer disse fortegnelser i det tidsrum, der er nødvendigt med henblik på denne forordning, og i mindst fem år efter tilbagekaldelsen af den relevante EUCC-attest. Når certificeringsorganet har udstedt en ny EUCC-attest i overensstemmelse med artikel 13, stk. 2, litra c), opbevarer det dokumentationen for den tilbagekaldte EUCC-attest sammen med og så længe som dokumentationen for den nye EUCC-attest.
Artikel 41
Oplysninger, der gøres tilgængelige af en attestindehaver
1.   De oplysninger, der er omhandlet i artikel 55 i forordning (EU) 2019/881, skal være tilgængelige på et sprog, der er let tilgængeligt for brugerne.
2.   EUCC-attestindehaveren opbevarer følgende sikkert i det tidsrum, der er nødvendigt med henblik på denne forordning, og i mindst fem år efter tilbagekaldelsen af den relevante EUCC-attest:
a)
optegnelser over de oplysninger, der gives til certificeringsorganet og til ITSEF under certificeringsprocessen,
b)
et prøveeksemplar af det certificerede IKT-produkt.
3.   Når certificeringsorganet har udstedt en ny EUCC-attest i overensstemmelse med artikel 13, stk. 2, litra c), opbevarer indehaveren dokumentationen for den tilbagekaldte EUCC-attest sammen med og så længe som dokumentationen for den nye EUCC-attest.
4.   Efter anmodning fra certificeringsorganet eller den nationale cybersikkerhedscertificeringsmyndighed stiller EUCC-attestindehaveren de optegnelser og prøveeksemplarer, der er omhandlet i stk. 2, til rådighed.
Artikel 42
Oplysninger, der gøres tilgængelige af ENISA
1.   ENISA offentliggør følgende oplysninger på det websted, der er omhandlet i artikel 50, stk. 1, i forordning (EU) 2019/881:
a)
alle EUCC-attester
b)
oplysninger om status for en EUCC-attest, navnlig om den er i kraft, suspenderet, tilbagekaldt eller udløbet
c)
certificeringsrapporter svarende til hver EUCC-attest
d)
en liste over akkrediterede overensstemmelsesvurderingsorganer
e)
en liste over bemyndigede overensstemmelsesvurderingsorganer
f)
de statusdokumenter, der er anført i bilag I
g)
udtalelserne fra Den Europæiske Cybersikkerhedscertificeringsgruppe, jf. artikel 62, stk. 4, litra c), i forordning (EU) 2019/881
h)
peervurderingsrapporter udstedt i overensstemmelse med artikel 47.
2.   De oplysninger, der er omhandlet i stk. 1, stilles til rådighed på mindst engelsk.
3.   Certificeringsorganerne og, hvor det er relevant, de nationale cybersikkerhedscertificeringsmyndigheder underretter straks ENISA om deres afgørelser, der påvirker indholdet af eller status for en EUCC-attest som omhandlet i stk. 1, litra b).
4.   ENISA sikrer, at de oplysninger, der offentliggøres i overensstemmelse med stk. 1, litra a), b) og c), klart identificerer de versioner af et certificeret IKT-produkt, der er omfattet af en EUCC-attest.
Artikel 43
Beskyttelse af oplysninger
Overensstemmelsesvurderingsorganer, nationale cybersikkerhedscertificeringsmyndigheder, ECCG, ENISA, Kommissionen og alle andre parter sørger for at sikre og beskytte forretningshemmeligheder og andre fortrolige oplysninger, herunder handelshemmeligheder, og for at beskytte intellektuelle ejendomsrettigheder, og de træffer de nødvendige og passende tekniske og organisatoriske foranstaltninger.
KAPITEL VIII
AFTALER OM GENSIDIG ANERKENDELSE MED TREDJELANDE
Artikel 44
Betingelser
1.   Tredjelande, der er villige til at certificere deres produkter i henhold til denne forordning, og som ønsker en sådan certificering anerkendt i Unionen, indgår en aftale om gensidig anerkendelse med Unionen.
2.   Aftalen om gensidig anerkendelse skal omfatte de gældende tillidsniveauer for certificerede IKT-produkter og, hvor det er relevant, beskyttelsesprofiler.
3.   De i stk. 1 omhandlede aftaler om gensidig anerkendelse kan kun indgås med tredjelande, der opfylder følgende betingelser:
a)
har en myndighed, der:
1)
er et offentligt organ, som er uafhængigt af de enheder, det fører tilsyn med og overvåger, med hensyn til organisatorisk og juridisk struktur, finansiel finansiering og beslutningstagning
2)
har passende overvågnings- og tilsynsbeføjelser til at foretage undersøgelser og har beføjelse til at træffe passende korrigerende foranstaltninger for at sikre overensstemmelse
3)
har et sanktionssystem, der er effektivt, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, for at sikre overensstemmelse
4)
accepterer at samarbejde med Den Europæiske Cybersikkerhedscertificeringsgruppe og ENISA om at udveksle bedste praksis og relevant udvikling inden for cybersikkerhedscertificering og at arbejde hen imod en ensartet fortolkning af de gældende evalueringskriterier og -metoder, bl.a. ved at anvende harmoniseret dokumentation, der svarer til de statusdokumenter, der er opført i bilag I
b)
har et uafhængigt akkrediteringsorgan, der udfører akkrediteringer baseret på standarder, der svarer til de standarder, der er omhandlet i forordning (EF) nr. 765/2008
c)
garanterer, at evaluerings- og certificeringsprocesserne og -procedurerne gennemføres på en tilstrækkelig professionel måde under hensyntagen til overholdelsen af de internationale standarder, der er omhandlet i denne forordning, navnlig artikel 3
d)
har kapacitet til at indberette tidligere uopdagede sårbarheder og en etableret og passende procedure for sårbarhedsstyring og offentliggørelse
e)
har indført procedurer, der sætter det i stand til effektivt at indgive og behandle klager og stille effektive retsmidler til rådighed for klageren
f)
opretter en mekanisme for samarbejde med andre EU-organer og medlemsstatsorganer, der er relevante for cybersikkerhedscertificeringen i henhold til denne forordning, herunder udveksling af oplysninger om attesters mulige manglende overensstemmelse, overvågning af relevant udvikling på certificeringsområdet og sikring af en fælles tilgang til vedligeholdelse og revision af certificering.
4.   Ud over de betingelser, der er fastsat i stk. 3, kan der kun indgås en aftale om gensidig anerkendelse som omhandlet i stk. 1, der dækker tillidsniveauet »højt«, med tredjelande, hvis følgende betingelser også er opfyldt:
a)
tredjelandet har en uafhængig og offentlig cybersikkerhedscertificeringsmyndighed, der udfører eller uddelegerer de evalueringsaktiviteter, der er nødvendige for at muliggøre certificering på tillidsniveauet »højt«, som svarer til de krav og procedurer, der er fastsat for nationale cybersikkerhedsmyndigheder i nærværende forordning og i forordning (EU) 2019/881
b)
ved aftalen om gensidig anerkendelse indføres der en fælles mekanisme, som svarer til peervurdering af EUCC-attester med henblik på at forbedre udvekslingen af praksis og i fællesskab løse problemer med evaluering og certificering.
KAPITEL IX
PEERVURDERING AF CERTIFICERINGSORGANER
Artikel 45
Peervurderingsprocedure
1.   Et certificeringsorgan, der udsteder EUCC-attester på tillidsniveauet »højt«, skal regelmæssigt og mindst hvert femte år gennemgå en peervurdering. De forskellige typer peervurderinger er anført i bilag VI.
2.   Den Europæiske Cybersikkerhedscertificeringsgruppe udarbejder og ajourfører en oversigt over peervurderinger, der sikrer, at dette krav om hyppighed overholdes. Undtagen i behørigt begrundede tilfælde foretages peervurderinger på stedet.
3.   Peervurderinger kan baseres på dokumentation, der er indsamlet i forbindelse med tidligere peervurderinger eller tilsvarende procedurer foretaget af det peervurderede certificeringsorgan eller den nationale cybersikkerhedscertificeringsmyndighed, forudsat at:
a)
resultaterne ikke er ældre end fem år
b)
resultaterne ledsages af en beskrivelse af de peervurderingsprocedurer, der er fastsat for den pågældende ordning, hvis de vedrører en peervurdering foretaget under en anden certificeringsordning
c)
det i den peervurderingsrapport, der er omhandlet i artikel 47, angives, hvilke resultater der er genanvendt med eller uden yderligere vurdering.
4.   Hvis en peervurdering dækker et teknisk område, skal den pågældende ITSEF også vurderes.
5.   Det peervurderede certificeringsorgan og om nødvendigt den nationale cybersikkerhedscertificeringsmyndighed sikrer, at alle relevante oplysninger stilles til rådighed for peervurderingsteamet.
6.   Peervurderingen foretages af et peervurderingsteam, der er oprettet i overensstemmelse med bilag VI.
Artikel 46
Faser i peervurdering
1.   I den forberedende fase gennemgår medlemmerne af peervurderingsteamet certificeringsorganets dokumentation, der omfatter dets politikker og procedurer, herunder anvendelsen af statusdokumenterne.
2.   I fasen for besøg på stedet vurderer peervurderingsteamet organets tekniske kompetence og, hvor det er relevant, kompetencen hos en ITSEF, der har udført mindst én evaluering af IKT-produkter, som er omfattet af peervurderingen.
3.   Varigheden af fasen for besøg på stedet kan forlænges eller forkortes afhængigt af faktorer som f.eks. muligheden for at genanvende eksisterende peervurderingsdokumentation og -resultater eller af antallet af ITSEF'er og tekniske områder, som certificeringsorganet udsteder attester for.
4.   Hvis det er relevant, fastlægger peervurderingsteamet hver ITSEF's tekniske kompetence ved at besøge dens tekniske laboratorium eller laboratorier og interviewe dens evalueringseksperter for så vidt angår det tekniske område og relaterede specifikke angrebsmetoder.
5.   I rapporteringsfasen dokumenterer vurderingsteamet sine resultater i en peervurderingsrapport, som omfatter en bedømmelse og, hvor det er relevant, en liste over observerede afvigelser, der hver er klassificeret efter alvorlighed.
6.   Peervurderingsrapporten skal først drøftes med det peervurderede certificeringsorgan. Efter disse drøftelser fastlægger det peervurderede certificeringsorgan en tidsplan for de foranstaltninger, der skal træffes for at afhjælpe resultaterne.
Artikel 47
Rapport om peervurdering
1.   Peervurderingsteamet forelægger det peervurderede certificeringsorgan et udkast til peervurderingsrapporten.
2.   Det peervurderede certificeringsorgan indgiver bemærkninger vedrørende resultaterne og en liste over tilsagn med henblik på at afhjælpe de mangler, der er identificeret i udkastet til peervurderingsrapporten, til peervurderingsteamet.
3.   Peervurderingsteamet indgiver en endelig peervurderingsrapport, som også indeholder det peervurderede certificeringsorgans bemærkninger og tilsagn, til Den Europæiske Cybersikkerhedscertificeringsgruppe. Peervurderingsteamet anfører også sin holdning til bemærkningerne og til, hvorvidt disse tilsagn er tilstrækkelige til at afhjælpe de konstaterede mangler.
4.   Hvis der konstateres manglende overensstemmelse i peervurderingsrapporten, kan Den Europæiske Cybersikkerhedscertificeringsgruppe fastsætte en passende frist for, hvornår det peervurderede certificeringsorgan skal have afhjulpet manglerne.
5.   Den Europæiske Cybersikkerhedscertificeringsgruppe vedtager en udtalelse om peervurderingsrapporten:
a)
hvis peervurderingsrapporten ikke identificerer manglende overensstemmelse, eller hvis det peervurderede certificeringsorgan på passende vis har afhjulpet den manglende overensstemmelse, kan Den Europæiske Cybersikkerhedscertificeringsgruppe afgive en positiv udtalelse, og alle relevante dokumenter offentliggøres på ENISA's certificeringswebsted
b)
hvis det peervurderede certificeringsorgan ikke på passende vis afhjælper manglerne inden for den fastsatte frist, kan Den Europæiske Cybersikkerhedscertificeringsgruppe afgive en negativ udtalelse, der offentliggøres på ENISA's certificeringswebsted, inklusive peervurderingsrapporten og alle relevante dokumenter.
6.   Forud for offentliggørelsen af udtalelsen fjernes alle følsomme, personlige eller ejendomsretligt beskyttede oplysninger fra de offentliggjorte dokumenter.
KAPITEL X
VEDLIGEHOLDELSE AF ORDNINGEN
Artikel 48
Vedligeholdelse af EUCC
1.   Kommissionen kan anmode Den Europæiske Cybersikkerhedscertificeringsgruppe om at vedtage en udtalelse med henblik på at opretholde EUCC og foretage det nødvendige forberedende arbejde.
2.   Den Europæiske Cybersikkerhedscertificeringsgruppe kan vedtage en udtalelse om godkendelse af statusdokumenter.
3.   Statusdokumenter, der er godkendt af Den Europæiske Cybersikkerhedscertificeringsgruppe, offentliggøres af ENISA.
KAPITEL XI
AFSLUTTENDE BESTEMMELSER
Artikel 49
Nationale ordninger, der er omfattet af EUCC
1.   I overensstemmelse med artikel 57, stk. 1, i forordning (EU) 2019/881 og med forbehold af denne forordnings artikel 57, stk. 3, ophører alle nationale cybersikkerhedscertificeringsordninger og de relaterede procedurer for IKT-produkter og -processer, der er omfattet af EUCC, med at have virkning fra 12 måneder efter nærværende forordnings ikrafttræden.
2.   Uanset artikel 50 kan der indledes en certificeringsproces inden for rammerne af en national cybersikkerhedscertificeringsordning senest 12 måneder efter denne forordnings ikrafttræden, forudsat at certificeringsprocessen er afsluttet senest 24 måneder efter forordningens ikrafttræden.
3.   Attester, der er udstedt i henhold til nationale cybersikkerhedscertificeringsordninger, kan revideres. Nye attester, der erstatter de reviderede attester, udstedes i overensstemmelse med denne forordning.
Artikel 50
Ikrafttræden
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den finder anvendelse fra den 27. februar 2025.
Kapitel IV og bilag V finder anvendelse fra datoen for denne forordnings ikrafttræden.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 31. januar 2024.
På Kommissionens vegne
Ursula VON DER LEYEN
Formand
(
1
)
  
            
EUT L 151 af 7.6.2019, s. 15
.
(
2
)
  Mutual Recognition Agreement of Information Technology Security Evaluation Certificates, version 3.0 fra januar 2010 findes på sogis.eu, godkendt af Gruppen af Højtstående Embedsmænd vedrørende Informationssystemers Sikkerhed under Europa-Kommissionen som svar på punkt 3 i Rådets henstilling 95/144/EF af 7. april 1995 om ensartede kriterier for vurdering af informationsteknologisk sikkerhed (
EFT L 93 af 26.4.1995, s. 27
).
(
3
)
  Joint Interpretation Library: Minimum ITSEF Requirements for Security Evaluations of Smart cards and similar devices, version 2.1 fra februar 2020 findes på sogis.eu.
(
4
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1020 af 20. juni 2019 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (
EUT L 169 af 25.6.2019, s. 1
).
(
5
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
BILAG I
Tekniske områder og statusdokumenter
1.
Tekniske områder på AVA_VAN-niveau 4 eller 5:
a)
dokumenter vedrørende harmoniseret evaluering af det tekniske område »smartcards og lignende enheder«, herunder navnlig følgende dokumenter i deres respektive udgaver i kraft den [ikrafttrædelsesdato]:
1)
»Minimum ITSEF requirements for security evaluations of smart cards and similar devices« (minimumskrav til sikkerhedsevalueringer af smartcards og lignende enheder), oprindelig godkendt af ECCG den 20. oktober 2023
2)
»Minimum Site Security Requirements« (minimumskrav til sikkerhed på stedet), oprindelig godkendt af ECCG den 20. oktober 2023
3)
»Application of Common Criteria to integrated circuits« (anvendelse af fælles kriterier på integrerede kredsløb), oprindelig godkendt af ECCG den 20. oktober 2023
4)
»Security Architecture requirements (ADV_ARC) for smart cards and similar devices« (krav til sikkerhedsarkitektur (ADV_ARC) for smartcards og lignende enheder), oprindelig godkendt af ECCG den 20. oktober 2023
5)
»Certification of »open« smart card products« (certificering af »åbne« smartcardprodukter), oprindelig godkendt af ECCG den 20. oktober 2023
6)
»Composite product evaluation for smart cards and similar devices« (evaluering af sammensatte produkter til smartcards og lignende enheder), oprindelig godkendt af ECCG den 20. oktober 2023
7)
»Application of Attack Potential to Smartcards« (anvendelse af angrebspotentiale på smartcards), oprindelig godkendt af ECCG den 20. oktober 2023
b)
dokumenter vedrørende harmoniseret evaluering af det tekniske område »hardwareenheder med sikkerhedsbokse«, herunder navnlig følgende dokumenter i deres respektive udgaver i kraft den [ikrafttrædelsesdato]:
1)
»Minimum ITSEF requirements for security evaluations of hardware devices with security boxes« (minimumskrav til sikkerhedsevalueringer af hardwareenheder med sikkerhedsbokse), oprindelig godkendt af ECCG den 20. oktober 2023
2)
»Minimum Site Security Requirements« (minimumskrav til sikkerhed på stedet), oprindelig godkendt af ECCG den 20. oktober 2023
3)
»Application of Attack Potential to hardware devices with security boxes« (anvendelse af angrebspotentiale på hardwareenheder med sikkerhedsbokse), oprindelig godkendt af ECCG den 20. oktober 2023.
2.
Statusdokumenter i deres respektive udgaver i kraft den [ikrafttrædelsesdato]:
a)
dokument vedrørende harmoniseret akkreditering af overensstemmelsesvurderingsorganer: »Accreditation of ITSEFs for the EUCC« (akkreditering af ITSEF'er med henblik på EUCC), oprindelig godkendt af ECCG den 20. oktober 2023.
BILAG II
Beskyttelsesprofiler certificeret på AVA_VAN-niveau 4 eller 5
1.
For kategorien kvalificerede systemer til signatur- og seglgenerering på afstand:
1)
EN 419241-2:2019 — Trustworthy Systems Supporting Server Signing — Part 2: Protection Profile for QSCD for Server Signing (pålidelige systemer, der understøtter serversignatur — del 2: beskyttelsesprofil for QSCD-enheder til serversignering)
2)
EN 419221-5:2018 - Protection profiles for Trust Service Provider Cryptographic modules - Part 5: Cryptographic Module for Trust Services Protection profile (beskyttelsesprofiler for tillidstjenesteudbydere — Kryptografiske moduler — Del 5: Kryptografisk modul til trust service-beskyttelsesprofiler), der er vedtaget som statusdokumenter:
2.
Protection profiles that have been adopted as state-of-the-art documents:
[TOM]
BILAG III
Anbefalede beskyttelsesprofiler (der illustrerer tekniske områder fra bilag I)
Beskyttelsesprofiler, der anvendes i forbindelse med certificering af IKT-produkter, som er omfattet af nedenstående IKT-produktkategori:
a)
for kategorien maskinlæsbare rejsedokumenter:
1)
beskyttelsesprofil til maskinlæsbare rejsedokumenter ved brug af Standard Inspection Procedure med PACE, BSI-CC-PP-0068-V2-2011-MA-01
2)
beskyttelsesprofil til maskinlæsbare rejsedokumenter med »ICAO Application« Extended Access Control, BSI-CC-PP-0056-2009
3)
beskyttelsesprofil til maskinlæsbare rejsedokumenter med »ICAO Application« Extended Access Control med PACE, BSI-CC-PP-0056-V2-2012-MA-02
4)
beskyttelsesprofil til maskinlæsbare rejsedokumenter med »ICAO Application« Basic Access Control, BSI-CC-PP-0055-2009
b)
for kategorien enheder til generering af sikker signatur:
1)
EN 419211-1:2014 - Protection profiles for secure signature creation device - Part 1: Overview (beskyttelsesprofiler til enheder til af sikker signatur — del 1: Oversigt)
2)
EN 419211-2:2013 - Protection profiles for secure signature creation device - Part 2: Device with key generation (beskyttelsesprofiler til udstyr til generering af sikker signatur — del 2: udstyr med nøglegenerering)
3)
EN 419211-3:2013 - Protection profiles for secure signature creation device - Part 3: Device with key import (beskyttelsesprofiler til generering af sikker signatur — del 3: enheder med nøgleimport)
4)
EN 419211-4:2013 - Protection profiles for secure signature creation device - Part 4: Extension for device with key generation and trusted channel to certificate generation application (beskyttelsesprofiler til enheder til generering af sikker signatur — del 4: udvidelse for enheder med nøglegenerering og pålidelig kanal til certifikatgenereringsapplikation)
5)
EN 419211-5:2013 - Protection profiles for secure signature creation device - Part 5: Extension for device with key generation and trusted channel to signature creation application (beskyttelsesprofiler til enheder til generering af sikker signatur — del 5: udvidelse til enheder med nøglegenerering og pålidelig kanal til signaturgenereringsapplikation)
6)
EN 419211-6:2014 - Protection profiles for secure signature creation device - Part 6: Extension for device with key import and trusted channel to signature creation application (beskyttelsesprofiler til enheder til generering af sikker signatur — del 6: udvidelse til enheder med nøgleimport og pålidelig kanal til signaturgenereringsapplikation)
c)
for kategorien digitale takografer:
1)
digitale takografer — takografkort som omhandlet i Kommissionens gennemførelsesforordning (EU) 2016/799 af 18. marts 2016 om gennemførelse af forordning (EU) nr. 165/2014 (bilag 1C)
2)
digitale takografer — køretøjsenhed som omhandlet i bilag IB til Kommissionens forordning (EF) nr. 1360/2002 bestemt til montering i køretøjer til vejtransport
3)
digitale takografer — eksternt GNSS-udstyr (EGF PP) som omhandlet i bilag 1C til Kommissionens gennemførelsesforordning (EU) 2016/799 af 18. marts 2016 om gennemførelse af Europa-Parlamentets og Rådets forordning (EU) nr. 165/2014
4)
digitale takografer — bevægelsessensor (MS PP) som omhandlet i bilag 1C til Kommissionens gennemførelsesforordning (EU) 2016/799 af 18. marts 2016 om gennemførelse af Europa-Parlamentets og Rådets forordning (EU) nr. 165/2014
d)
for kategorien sikre integrerede kredsløb, smartcards og tilhørende udstyr eller systemer:
1)
Security IC Platform PP, BSI-CC-PP-0084-2014
2)
Java Card System — Open Configuration, V3.0.5 BSI-CC-PP-0099-2017
3)
Java Card System — Closed Configuration, BSI-CC-PP-0101-2017
4)
PP til en PC Client Specific Trusted Platform Module Family 2.0 Level 0 Revision 1.16, ANSSI-CC-PP-2015/07
5)
Universelt SIM-kort, PU-2009-RT-79, ANSSI-CC-PP-2010/04
6)
Embedded UICC (eUICC) til Machine-to-Machine Devices, BSI-CC-PP-0089-2015
e)
for kategorien (betalings-)interaktionspunkter og betalingsterminaler:
1)
Point of Interaction »POI-CHIP-ONLY«, ANSSI-CC-PP-2015/01
2)
Point of Interaction »POI-CHIP-ONLY and Open Protocol Package«, ANSSI-CC-PP-2015/02
3)
Point of Interaction »POI-COMPREHENSIVE«, ANSSI-CC-PP-2015/03
4)
Point of Interaction »POI-COMPREHENSIVE and Open Protocol Package«, ANSSI-CC-PP-2015/04
5)
Point of Interaction »POI-PED-ONLY«, ANSSI-CC-PP-2015/05
6)
Point of Interaction »POI-PED-ONLY and Open Protocol Package«, ANSSI-CC-PP-2015/06
f)
for kategorien hardwareenheder med sikkerhedsbokse:
1)
Cryptographic Module for CSP Signing Operations with Backup — PP CMCSOB, PP HSM CMCSOB 14167-2, ANSSI-CC-PP-2015/08
2)
Cryptographic Module for CSP key generation services — PP CMCKG, PP HSM CMCKG 14167-3, ANSSI-CC-PP-2015/09
3)
Cryptographic Module for CSP Signing Operations without Backup — PP CMCSO, PP HSM CMCKG 14167-4, ANSSI-CC-PP-2015/10.
BILAG IV
Tillidskontinuitet og revision af attester
IV.1   
Tillidskontinuitet: omfang
1.
Følgende krav til tillidskontinuitet finder anvendelse på vedligeholdelsesaktiviteter i forbindelse med følgende:
a)
en fornyet vurdering, hvis et uændret certificeret IKT-produkt stadig opfylder sikkerhedskravene
b)
en evaluering af virkningerne af ændringer af et certificeret IKT-produkt på dets certificering
c)
anvendelse af patches i overensstemmelse med en vurderet patchstyringsproces, hvis de indgår i certificeringen
d)
hvis det inkluderes, revision af indehaveren af attestens livscyklusforvaltning eller fremstillingsprocesser.
2.
En EUCC-attestindehaver kan anmode om revision af attesten i følgende tilfælde:
a)
EUCC-attesten udløber inden for ni måneder
b)
der er sket en ændring i enten det certificerede IKT-produkt eller i en anden faktor, som kan påvirke dets sikkerhedsfunktioner
c)
attestindehaveren kræver, at sårbarhedsvurderingen foretages igen for at bekræfte EUCC-attestens sikkerhed i forbindelse med IKT-produktets modstandsdygtighed over for aktuelle cyberangreb.
IV.2   
Fornyet vurdering
1.
Hvis der er behov for at vurdere virkningen af ændringer i trusselsmiljøet for et uændret certificeret IKT-produkt, indgives der en anmodning om fornyet vurdering til certificeringsorganet.
2.
Den fornyede vurdering foretages af den samme ITSEF som den, der var involveret i den foregående evaluering, og ved at genbruge alle de resultater, der stadig er gældende. Evalueringen skal fokusere på tillidsaktiviteter, der potentielt påvirkes af det certificerede IKT-produkts ændrede trusselsmiljø, navnlig den relevante AVA_VAN-familie, og desuden tillidslivscyklusfamilien (ALC), hvor der igen indsamles tilstrækkelig dokumentation for vedligeholdelse af udviklingsmiljøet.
3.
ITSEF'en beskriver ændringerne og specificerer resultaterne af den fornyede vurdering sammen med en ajourføring af den tekniske rapport fra den foregående evaluering.
4.
Certificeringsorganet reviderer den ajourførte rapport om teknisk evaluering og udarbejder en rapport om fornyet vurdering. Status for den oprindelige attest ændres derefter i overensstemmelse med artikel 13.
5.
Rapporten om den fornyede vurdering og den ajourførte attest forelægges den nationale cybersikkerhedscertificeringsmyndighed og ENISA med henblik på offentliggørelse på dets cybersikkerhedscertificeringswebsted.
IV.3   
Ændringer af et certificeret IKT-produkt
1.
Hvis et certificeret IKT-produkt har været genstand for ændringer, skal den attestindehaver, der ønsker at bevare attesten, indgive en konsekvensanalyserapport til certificeringsorganet.
2.
Konsekvensanalyserapporten skal omfatte følgende elementer:
a)
en indledning med de oplysninger, der er nødvendige for at identificere konsekvensanalyserapporten og det ændrede evalueringsmål
b)
en beskrivelse af ændringerne af produktet
c)
identifikation af, hvilken af udviklerens dokumentation, der påvirkes
d)
en beskrivelse af ændringerne af udviklerens dokumentation
e)
resultaterne og konklusionerne om hver ændrings indvirkning på tilliden.
3.
Certificeringsorganet undersøger de ændringer, der er beskrevet i konsekvensanalyserapporten, med henblik på at validere deres indvirkning på tillidsniveauet for det certificerede evalueringsmål i overensstemmelse med konklusionerne i konsekvensanalyserapporten.
4.
Efter undersøgelsen fastlægger certificeringsorganet omfanget af en ændring som mindre eller væsentlig i forhold til dens indvirkning.
5.
Hvis ændringerne er blevet bekræftet af certificeringsorganet som ændringer af mindre omfang, udstedes der en ny attest for det ændrede IKT-produkt, og der udarbejdes en vedligeholdelsesrapport til den indledende certificeringsrapport på følgende betingelser:
a)
vedligeholdelsesrapporten skal indgå som en del af konsekvensanalyserapporten med følgende afsnit:
1)
indledning
2)
beskrivelse af ændringerne
3)
hvilken af udviklerens dokumentation, der påvirkes
b)
den nye attests gyldighedsdato må ikke overskride den oprindelige attests gyldighedsdato.
6.
Den nye attest, herunder vedligeholdelsesrapporten, fremsendes til ENISA med henblik på offentliggørelse på dets cybersikkerhedscertificeringswebsted.
7.
Hvis det bekræftes, at ændringerne er væsentlige, skal der foretages en fornyet evaluering under hensyntagen til den foregående evaluering og ved at genanvende eventuelle resultater fra den foregående evaluering, der stadig er gældende.
8.
Når evalueringen af det ændrede evalueringsmål er afsluttet, udarbejder ITSEF'en en ny rapport om teknisk evaluering. Certificeringsorganet reviderer den ajourførte rapport om teknisk evaluering og udarbejder, hvis det er relevant, en ny attest med en ny certificeringsrapport.
9.
Den nye attest og den nye certificeringsrapport indgives til ENISA med henblik på offentliggørelse.
IV.4   
Patchstyring
1.
En patchstyringsprocedure giver mulighed for at indføre en struktureret proces for ajourføring af et certificeret IKT-produkt. Patchstyringsproceduren, herunder den mekanisme, som ansøgeren om certificering har implementeret i IKT-produktet, kan anvendes efter certificeringen af IKT-produktet på overensstemmelsesvurderingsorganets ansvar.
2.
En ansøger om certificering kan i certificeringen af IKT-produktet inkludere en patchmekanisme som led i en certificeret styringsprocedure, der er implementeret i IKT-produktet, på en af følgende betingelser:
a)
de funktioner, der påvirkes af patchen, ligger uden for evalueringsmålet i det certificerede IKT-produkt
b)
patchen vedrører en på forhånd fastlagt mindre ændring af det certificerede IKT-produkt
c)
patchen vedrører en bekræftet sårbarhed med kritiske konsekvenser for det certificerede IKT-produkts sikkerhed.
3.
Hvis patchen vedrører en væsentlig ændring af evalueringsmålet i det certificerede IKT-produkt i forbindelse med en tidligere uopdaget sårbarhed, der ikke har kritisk virkning for IKT-produktets sikkerhed, finder bestemmelserne i artikel 13 anvendelse.
4.
Patchstyringsproceduren for et IKT-produkt består af følgende elementer:
a)
processen for udvikling og frigivelse af patchen til IKT-produktet
b)
den tekniske mekanisme og de tekniske funktioner til implementering af patchen i IKT-produktet
c)
en række evalueringsaktiviteter vedrørende den tekniske mekanismes effektivitet og ydeevne.
5.
Under certificeringen af IKT-produktet:
a)
ansøgeren om certificering af IKT-produktet skal fremlægge en beskrivelse af patchstyringsproceduren
b)
kontrollerer ITSEF'en følgende elementer:
1)
de patchmekanismer, som udvikleren har implementeret i IKT-produktet i overensstemmelse med den patchstyringsprocedure, der blev forelagt til certificering
2)
grænserne for evalueringsmålet er adskilt på en sådan måde, at de ændringer, der foretages i de adskilte processer, ikke påvirker evalueringsmålets sikkerhed
3)
den tekniske patchmekanisme fungerer i overensstemmelse med bestemmelserne i dette afsnit og ansøgerens oplysninger
c)
certificeringsorganet medtager resultatet af den vurderede patchstyringsprocedure i certificeringsrapporten.
6.
Attestindehaveren kan anvende patchen, som er frembragt i overensstemmelse med den certificerede patchstyringsprocedure, i det pågældende certificerede IKT-produkt og træffer følgende foranstaltninger inden for fem arbejdsdage i følgende tilfælde:
a)
i det tilfælde, der er omhandlet i punkt 2, litra a), indberettes den pågældende patch til certificeringsorganet, som ikke ændrer den tilsvarende EUCC-attest
b)
i det tilfælde, der er omhandlet i punkt 2, litra b), indgives patchen til ITSEF'en med henblik på revision. ITSEF'en underretter certificeringsorganet efter modtagelsen af patchen, hvorefter certificeringsorganet træffer passende foranstaltninger med hensyn til udstedelse af en ny version af den tilsvarende EUCC-attest og ajourføringen af certificeringsrapporten
c)
i det tilfælde, der er omhandlet i punkt 2, litra c), indgives patchen til ITSEF'en med henblik på fornyet vurdering, samtidig med at patchen implementeres. ITSEF'en underretter certificeringsorganet, hvorefter certificeringsorganet påbegynder de tilknyttede certificeringsaktiviteter.
BILAG V
INDHOLDET AF EN CERTIFICERINGSRAPPORT
V.1   
Certificeringsrapport
1.
På grundlag af rapporterne om teknisk evaluering fra certificeringsorganet udarbejder certificeringsorganet en certificeringsrapport, der skal offentliggøres sammen med den tilsvarende EUCC-attest.
2.
Certificeringsrapporten er kilden til detaljerede og praktiske oplysninger om IKT-produktet eller kategorien af IKT-produkter og om sikker implementering af IKT-produktet og skal derfor indeholde alle offentligt tilgængelige oplysninger, som kan deles, og som er relevante for brugere og interesserede parter. Der kan henvises til offentligt tilgængelige oplysninger, som kan deles, i certificeringsrapporten.
3.
Certificeringsrapporten skal som minimum indeholde følgende afsnit:
a)
resumé
b)
identifikation af IKT-produktet eller IKT-produktkategorien, hvis der er tale om beskyttelsesprofiler
c)
sikkerhedstjenester
d)
antagelser om og præcisering af anvendelsesområdet
e)
oplysninger om arkitektur
f)
supplerende oplysninger om cybersikkerhed, hvis det er relevant
g)
afprøvning af IKT-produkter, der måtte være foretaget
h)
hvor det er relevant, en identificering af indehaveren af attestens livscyklusforvaltning og fremstillingsfaciliteter
i)
resultaterne af evalueringen og oplysninger om attesten
j)
resumé af sikkerhedsmålet for det IKT-produkt, der skal certificeres
k)
den mærkning eller etiket, der eventuelt er knyttet til ordningen
l)
bibliografi.
4.
Resuméet skal være et kort sammendrag af hele certificeringsrapporten. Resuméet skal give et klart og præcist overblik over evalueringsresultaterne og indeholde følgende oplysninger:
a)
navnet på det evaluerede IKT-produkt, opremsning af de af produktets komponenter, der indgår i evalueringen, og IKT-produktversionen
b)
navnet på den ITSEF, der har foretaget evalueringen, og listen over underleverandører, hvis det er relevant
c)
dato for evalueringens afslutning
d)
henvisning til rapporten om teknisk evaluering fastlagt af ITSEF
e)
kort beskrivelse af certificeringsrapportens resultater, herunder:
1)
versions- og frigivelsesnummer, hvis det er relevant, for de fælles kriterier, der er anvendt ved evalueringen
2)
tillidspakke og sikkerhedstillidskomponenter under de fælles kriterier, herunder det AVA_VAN-niveau, der er anvendt ved evalueringen, og det tilsvarende tillidsniveau som fastsat i artikel 52 i forordning (EU) 2019/881, som EUCC-attesten henviser til
3)
det evaluerede IKT-produkts sikkerhedsfunktioner
4)
en sammenfatning af trusler og organisatoriske sikkerhedspolitikker, som det evaluerede IKT-produkt imødegår
5)
særlige konfigurationskrav
6)
antagelser om driftsmiljøet
7)
hvis det er relevant, tilstedeværelsen af en godkendt patchstyringsprocedure i overensstemmelse med bilag IV, afsnit IV.4
8)
ansvarsfraskrivelse.
5.
Det evaluerede IKT-produkt skal være klart identificeret, bl.a. ved følgende oplysninger:
a)
det evaluerede IKT-produkts navn
b)
en opremsning af de af IKT-produktets komponenter, som indgår i evalueringen
c)
versionsnummeret for IKT-produktets komponenter
d)
identifikation af yderligere krav til det certificerede IKT-produkts driftsmiljø
e)
navn og kontaktoplysninger på EUCC-attestindehaveren
f)
hvis det er relevant, den anvendte patchstyringsprocedure, som indgår i attesten
g)
link til EUCC-attestindehaverens websted, hvor der gives supplerende cybersikkerhedsoplysninger om det certificerede IKT-produkt i overensstemmelse med artikel 55 i forordning (EU) 2019/881.
6.
Oplysningerne i dette afsnit skal være så nøjagtige som muligt for at sikre en fuldstændig og nøjagtig gengivelse af IKT-produktet, som kan genanvendes i fremtidige evalueringer.
7.
Afsnittet om sikkerhedspolitik skal indeholde en beskrivelse af IKT-produktets sikkerhedspolitik og de politikker eller regler, som det evaluerede IKT-produkt skal håndhæve eller overholde. Det skal indeholde en henvisning til og en beskrivelse af følgende politikker:
a)
attestindehaverens politik for håndtering af sårbarheder
b)
attestindehaverens politik for tillidskontinuitet.
8.
Hvor det er relevant, kan politikken omfatte betingelserne for anvendelse af en patchstyringsprocedure i attestens gyldighedsperiode.
9.
Afsnittet om antagelser og præcisering af anvendelsesområdet skal indeholde udtømmende oplysninger om omstændighederne og målene i forbindelse med den påtænkte anvendelse af produktet, jf. artikel 7, stk. 1, litra c). Oplysningerne skal omfatte følgende:
a)
antagelser om IKT-produktets anvendelse og implementering i form af minimumskrav, f.eks. korrekt installation og konfiguration, og hardwarekrav, der skal opfyldes
b)
antagelser om miljøet for overensstemmende drift af IKT-produktet.
10.
Oplysningerne i punkt 9 skal være så forståelige som muligt, således at brugerne af det certificerede IKT-produkt kan træffe informerede beslutninger om de risici, der er forbundet med dets anvendelse.
11.
Afsnittet med oplysninger om arkitektur skal indeholde en overordnet beskrivelse af IKT-produktet og dets hovedkomponenter i overensstemmelse med ADV_TDS-delsystemernes konstruktion efter de fælles kriterier.
12.
Der skal gives en fuldstændig liste over IKT-produktets supplerende cybersikkerhedsoplysninger som omhandlet i artikel 55 i forordning (EU) 2019/881. Al relevant dokumentation skal angives med versionsnumrene.
13.
Afsnittet om afprøvning af IKT-produktet skal indeholde følgende oplysninger:
a)
navn og kontaktpunkt for den myndighed eller det organ, der har udstedt attesten, herunder den ansvarlige nationale cybersikkerhedscertificeringsmyndighed
b)
navnet på den ITSEF, der har foretaget evalueringen, hvis denne er forskellig fra certificeringsorganet
c)
en identifikation af de anvendte tillidselementer fra de standarder, der er omhandlet i artikel 3
d)
statusdokumentets version og yderligere sikkerhedsevalueringskriterier, der er anvendt i evalueringen
e)
IKT-produktets fuldstændige og præcise indstillinger og konfiguration under evalueringen, herunder operationelle noter og observationer, hvis sådanne foreligger
f)
alle beskyttelsesprofiler, der er blevet anvendt, herunder følgende oplysninger:
1)
ophavsmanden til beskyttelsesprofilen
2)
beskyttelsesprofilens navn og identifikator
3)
identifikator for beskyttelsesprofilens attest
4)
navn og kontaktoplysninger på certificeringsorganet og den ITSEF, der er involveret i evalueringen af beskyttelsesprofilen
5)
den eller de tillidspakker, der kræves for et produkt, som er i overensstemmelse med beskyttelsesprofilen.
14.
Resultaterne af evalueringen og oplysninger vedrørende afsnittet om attesten skal omfatte følgende oplysninger:
a)
bekræftelse af det opnåede tillidsniveau som omhandlet i nærværende forordnings artikel 4 og artikel 52 i forordning (EU) 2019/881
b)
krav til tillid fra de standarder, der er omhandlet i artikel 3, som IKT-produktet eller beskyttelsesprofilen faktisk opfylder, herunder AVA_VAN-niveauet
c)
en detaljeret beskrivelse af kravene til tillid og nærmere oplysninger om, hvordan produktet opfylder hvert enkelt krav
d)
attestens udstedelsesdato og gyldighedsperiode
e)
attestens entydige identifikator.
15.
Sikkerhedsmålet skal indgå i certificeringsrapporten eller refereres til og sammenfattes i certificeringsrapporten og indgives sammen med den tilhørende certificeringsrapport med henblik på offentliggørelse.
16.
Sikkerhedsmålet kan renses i overensstemmelse med afsnit VI.2.
17.
Den mærkning eller etiket, der er knyttet til EUCC, må indsættes i certificeringsrapporten i overensstemmelse med de regler og procedurer, der er fastsat i artikel 11.
18.
Bibliografiafsnittet skal indeholde henvisninger til alle dokumenter, der er anvendt ved udarbejdelsen af certificeringsrapporten. Disse oplysninger skal som minimum omfatte følgende:
a)
sikkerhedsevalueringskriterierne, statusdokumenterne og yderligere relevante specifikationer, der er anvendt, og deres version
b)
rapporten om teknisk evaluering
c)
rapporten om teknisk evaluering for den sammensatte evaluering, hvis det er relevant
d)
teknisk referencedokumentation
e)
udviklerens dokumentation, som er anvendt i evalueringen.
19.
For at sikre, at evalueringen er reproducerbar, skal al den dokumentation, der henvises til, identificeres entydigt med den korrekte udgivelsesdato og det korrekte versionsnummer.
V.2   
Rensning af sikkerhedsmål med henblik på offentliggørelse
1.
Det sikkerhedsmål, der skal indgå i eller henvises til i certificeringsrapporten i henhold til afsnit VI.1, punkt 1, kan renses ved at fjerne eller omskrive ejendomsretligt beskyttede tekniske oplysninger.
2.
Det resulterende rensede sikkerhedsmål skal være en reel gengivelse af den fuldstændige originale version. Det betyder, at der i det rensede sikkerhedsmål ikke må udelades oplysninger, der er nødvendige for at forstå sikkerhedsegenskaberne ved evalueringsmålet og evalueringens omfang.
3.
Indholdet af det rensede sikkerhedsmål skal opfylde følgende minimumskrav:
a)
indledningen må ikke renses, da den generelt ikke indeholder ejendomsretligt beskyttede oplysninger
b)
det rensede sikkerhedsmål skal have en entydig identifikator, der adskiller det fra den fuldstændige oprindelige version.
c)
beskrivelsen af evalueringsmålet kan forkortes, da den kan omfatte ejendomsretligt beskyttede og detaljerede oplysninger om evalueringsmålets konstruktion, som ikke bør offentliggøres
d)
beskrivelsen af evalueringsmålets sikkerhedsmiljø (antagelser, trusler og organisatoriske sikkerhedspolitikker) må ikke forkortes, for så vidt som disse oplysninger er nødvendige for at forstå evalueringens omfang
e)
sikkerhedsmålsætningerne må ikke begrænses, da alle oplysninger skal offentliggøres for at forstå hensigten med sikkerhedsmålet og evalueringsmålet
f)
alle sikkerhedskrav skal offentliggøres. Bemærkninger i ansøgningen kan indeholde oplysninger om, hvordan funktionskravene i de fælles kriterier, jf. artikel 3, er blevet anvendt til at forstå sikkerhedsmålet
g)
resuméet af specifikationerne for evalueringsmålet skal omfatte alle evalueringsmålets sikkerhedsfunktioner, men yderligere ejendomsretligt beskyttede oplysninger må gerne renses
h)
der skal medtages henvisninger til beskyttelsesprofiler, der er anvendt på evalueringsmålet
i)
rationalet kan renses for at udlade ejendomsretligt beskyttede oplysninger.
4.
Selv om det rensede sikkerhedsmål ikke formelt er evalueret i overensstemmelse med de evalueringsstandarder, der er omhandlet i artikel 3, sikrer certificeringsorganet, at det opfylder det fuldstændige og evaluerede sikkerhedsmål, og at der henvises til både det fuldstændige og det rensede sikkerhedsmål i certificeringsrapporten.
BILAG VI
OMFANG OG SAMMENSÆTNING AF TEAM MED HENBLIK PÅ PEERVURDERINGER
VI.1   
Peervurderingens omfang
1.
Følgende typer peervurderinger er omfattet:
a)
Type 1: når et certificeringsorgan udfører certificeringsaktiviteter på AVA_VAN.3-niveau
b)
Type 2: når et certificeringsorgan udfører certificeringsaktiviteter vedrørende et teknisk område, der er opført som statusdokumenter i bilag I
c)
Type 3: når et certificeringsorgan udfører certificeringsaktiviteter over AVA_VAN.3-niveau ved brug af en beskyttelsesprofil, der er opført som statusdokumenter i bilag II eller III.
2.
Det peervurderede certificeringsorgan indsender listen over certificerede IKT-produkter, der eventuelt skal revideres af peervurderingsteamet (»kandidatprodukter«), i overensstemmelse med følgende regler:
a)
kandidatprodukterne skal dække det tekniske anvendelsesområde for certificeringsorganets bemyndigelse, hvoraf mindst to forskellige produktevalueringer på tillidsniveauet »højt« vil blive analyseret ved peervurdering, og én beskyttelsesprofil, hvis certificeringsorganet har udstedt en attest på tillidsniveauet »højt«
b)
for en type 2-peervurdering indsender certificeringsorganet mindst ét produkt pr. teknisk område og pr. berørt ITSEF
c)
for en type 3-peervurdering evalueres mindst ét kandidatprodukt i overensstemmelse med en gældende og relevant beskyttelsesprofil.
VI.2   
Peervurderingsteam
1.
Vurderingsteamet skal bestå af mindst to eksperter, der hver udvælges fra et forskelligt certificeringsorgan fra forskellige medlemsstater, der udsteder attester på tillidsniveauet »højt«. Eksperterne bør godtgøre, at de har den relevante ekspertise inden for de standarder, der er omhandlet i artikel 3, og de statusdokumenter, der er omfattet af peervurderingen.
2.
Hvis udstedelse af attester eller forudgående godkendelse af attester som omhandlet i artikel 56, stk. 6, i forordning (EU) 2019/881 uddelegeres, skal en ekspert fra den nationale cybersikkerhedscertificeringsmyndighed, som er tilknyttet det pågældende certificeringsorgan, desuden deltage i det ekspertteam, der er udvalgt i overensstemmelse med punkt 1 i dette afsnit.
3.
For en type 2-peervurdering udvælges teammedlemmerne blandt certificeringsorganer med bemyndigelse inden for det pågældende tekniske område.
4.
Hvert medlem af vurderingsteamet skal have mindst to års erfaring med certificeringsaktiviteter i et certificeringsorgan
5.
I forbindelse med en type 2- eller 3-peervurdering skal hvert medlem af vurderingsteamet have mindst to års erfaring med certificeringsaktiviteter inden for det pågældende relevante tekniske område eller den pågældende relevante beskyttelsesprofil og dokumenteret ekspertise og deltagelse i bemyndigelsen af en ITSEF
6.
Den nationale cybersikkerhedscertificeringsmyndighed, der overvåger og fører tilsyn med det peervurderede certificeringsorgan, og mindst én national cybersikkerhedscertificeringsmyndighed, hvis certificeringsorgan ikke er underlagt peervurderingen, deltager i peervurderingen som observatør. ENISA kan også deltage i peervurderingen som observatør.
7.
Det peervurderede certificeringsorgan forelægges peervurderingsteamets sammensætning. I begrundede tilfælde kan det anfægte peervurderingsteamets sammensætning og anmode om en revision heraf.
BILAG VII
EUCC-attestens indhold
EUCC-attesten skal som minimum indeholde:
a)
en entydig identifikator, der er fastlagt af det certificeringsorgan, der udsteder attesten
b)
oplysninger vedrørende det certificerede IKT-produkt eller den certificerede beskyttelsesprofil og attestindehaveren, herunder:
1)
navnet på IKT-produktet eller beskyttelsesprofilen og, hvor det er relevant, evalueringsmålet
2)
typen af IKT-produkt eller beskyttelsesprofil og, hvor det er relevant, evalueringsmål
3)
version af IKT-produktet eller beskyttelsesprofilen
4)
navn og kontaktoplysninger på attestindehaveren
5)
link til attestindehaverens websted med de supplerende cybersikkerhedsoplysninger, der er omhandlet i artikel 55 i forordning (EU) 2019/881
c)
oplysninger vedrørende evaluering og certificering af IKT-produktet eller beskyttelsesprofilen, herunder:
1)
navn og kontaktoplysninger på det certificeringsorgan, der udstedte attesten
2)
navnet på den ITSEF, der har foretaget evalueringen, hvis denne er forskellig fra certificeringsorganet
3)
navnet på den ansvarlige nationale cybersikkerhedscertificeringsmyndighed
4)
en henvisning til denne forordning
5)
en henvisning til den certificeringsrapport, der er knyttet til den attest, der er omhandlet i bilag V
6)
det relevante tillidsniveau i henhold til artikel 4
7)
en henvisning til den version af standarder, der er anvendt til evalueringen som omhandlet i artikel 3
8)
identifikation af det tillidsniveau eller den pakke, der er anført i de standarder, der er omhandlet i artikel 3, og i overensstemmelse med bilag VIII, herunder de anvendte sikkerhedskomponenter og det AVA_VAN-niveau, der er omfattet
9)
hvis det er relevant, henvisning til en eller flere beskyttelsesprofiler, som IKT-produktet eller beskyttelsesprofilen er i overensstemmelse med
10)
udstedelsesdato
11)
attestens gyldighedsperiode
d)
den mærkning og etiket, der er knyttet til attesten, jf. artikel 11.
BILAG VIII
Erklæring om tillidspakke
1.
I modsætning til definitionerne i de fælles kriterier:
a)
må en forøgelse ikke betegnes med forkortelsen »+«
b)
skal en forøgelse beskrives med en liste over alle berørte komponenter
c)
skal en forøgelse beskrives i detaljer i certificeringsrapporten.
2.
Det tillidsniveau, der bekræftes i en EUCC-attest, kan suppleres med det evalueringstillidsniveau, der er fastsat i denne forordnings artikel 3.
3.
Hvis det tillidsniveau, der bekræftes i en EUCC-attest, ikke henviser til en forøgelse, skal EUCC-attesten angive en af følgende pakker:
a)
»den specifikke tillidspakke«
b)
»den tillidspakke, der er i overensstemmelse med en beskyttelsesprofil«, hvis der henvises til en beskyttelsesprofil uden et evalueringstillidsniveau.
BILAG IX
Mærkning og etiketter
1.
Mærkningens og etikettens form:
2.
Hvis mærkningen og etiketten formindskes eller forstørres, skal størrelsesforhold i tegningen ovenfor overholdes.
3.
Hvis mærkningen og etiketten er påført fysisk, skal den være mindst 5 mm høj.
ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj
ISSN 1977-0634 (electronic edition)

Summary:
Den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC)
RESUMÉ AF:
Gennemførelsesforordning (EU) 2024/482 — regler for anvendelsen af forordning (EU) 2019/881 om vedtagelse af den 
europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier(EUCC)
.
HVAD ER FORMÅLET MED FORORDNINGEN?
Gennemførelsesforordningen
 fastsætter regler for anvendelse af forordning (EF) nr. 
2019/881
 (se 
resumé
) om den europæiske 
cybersikkerheds
certificeringsordning baseret på fælles kriterier (EUCC).
EUCC er rammebestemmelser for vurdering og certificering af cybersikkerheden i 
information- og kommunikationsteknologi
(IKT) -produkter og beskyttelsesprofiler. Ordningen har til formål at sikre, at IKT-produkter opfylder 
strenge sikkerhedsstandarder
 gennem en struktureret proces, der sigter mod at forbedre cybersikkerhed, opnå konsistens på tværs af 
Den Europæiske Union
 (EU) og give pålidelig certificering. EUCC bygger på aftalen om gensidig anerkendelse (»MRA«) af informationsteknologisikkerhedscertifikater fra Senior Officials Group Information Systems Security (»SOG-IS«).
HOVEDPUNKTER
EVALUERINGSSTANDARDER OG MÅLEMETODER
Ordningen anvender de 
fælles kriterier
 (
ISO/IEC 15408
) og den 
fælles evalueringsmetodologi
 (
ISO/IEC 18045
) til evalueringer.
 
Certificeringsorganer udsteder 
EUPC-certifikater på to sikkerhedsniveauer
: »væsentlig« (AVA_VAN-niveauer
*
 1 og 2) og »høj« (AVA_VAN-niveauer 3, 4 og 5). Sikkerhedsniveauet bestemmer hvor dyb og streng evalueringen er.
 
IKT-produkter er 
certificeret i forhold til deres sikkerhedsmål
, som kan inkorporere en certificeret beskyttelsesprofil, hvis det er relevant.
 
Selvevaluering
 af overensstemmelse er ikke tilladt indenfor EUCC-ordningen.
CERTIFICERING AF IKT-PRODUKTER
Evalueringer
 skal overholde de fælles kriterier, den fælles evalueringsmetodologi og gældende avancerede dokumenter.
 
Certificering på 
højere sikringsniveauer
 (AVA_VAN niveau 4 eller 5) skal som regel udføres på grundlag af tekniske domæner eller beskyttelsesprofiler, der er vedtaget som avancerede dokumenter og opført i bilag I.
 
Ansøgere skal levere 
omfattende dokumentation
, herunder tidligere evalueringsresultater, hvis det er relevant, for at understøtte certificeringsprocessen.
 
Certificeringsorganer udsteder certifikater
, hvis alle betingelser er opfyldt, og disse certifikater omfatter de specifikke oplysninger, der er beskrevet i bilag VII.
 
Nationale cybersikkerhedscertificeringsordninger
 skal tilpasses EUCC og sættes ud af kraft inden for 12 måneder efter forordningens ikrafttræden. En national certificeringsproces påbegyndt i denne periode skal afsluttes inden for 24 måneder efter ikrafttrædelsen.
 
Certifikaterne er:
gyldige i op til 5 år
, med mulige forlængelser ved godkendelse
revideret regelmæssigt
 for at sikre løbende overholdelse af sikkerhedskravene
trukket tilbage
, hvis det certificerede produkt ikke længere opfylder de krævede standarder, eller hvis der er væsentlige afvigelser.
CERTIFICERING AF BESKYTTELSESPROFILER
Beskyttelsesprofiler fastlægger sikkerhedskrav for specifikke ikt-produktkategorier. Disse profiler bliver:
evalueret på samme måde som IKT-produkter
, hvilket sikrer, at de opfylder de nødvendige sikkerhedskrav for specifikke IKT-kategorier;
 
certificeret af nationale cybersikkerhedscertificeringsmyndigheder
 eller akkrediterede offentlige organer eller et certificeringsorgan efter forudgående godkendelse.
MÆRKNING OG ETIKETTERING
Certificerede produkter kan bære et mærke og en etiket, der angiver deres 
certificeringsstatus
.
 
Disse skal være 
tydeligt synlige
 og indeholde oplysninger såsom sikringsniveau, unikt identifikationsnummer og en QR-kode, der linker til certificeringsoplysninger.
OVERENSSTEMMELSESVURDERINGSORGANER
Certificeringsorganer
 og tjenester til vurdering af informationsteknologisk sikkerhed (ITSEF’er) skal være 
akkrediteret
 i overensstemmelse med forordning (EF) nr. 
765/2008
 (se 
resumé
) og, for høje sikkerhedsniveauer, autoriseret af nationale cybersikkerhedscertificeringsmyndigheder.
 
Nationale cybersikkerhedscertificeringsmyndigheder
 overvåger overholdelse hos certificeringsorganer, ITSEF’er og certifikatindehavere. De behandler også klager og foretager undersøgelser af manglende overensstemmelse.
 
Ikke-overensstemmende produkter skal underkastes 
korrigerende foranstaltninger
, og certifikater kan suspenderes eller trækkes tilbage, hvis problemer ikke løses.
 
Certificeringsorganer, der udsteder certifikater med høj sikkerhed, skal gennemgå 
regelmæssige peer-evalueringer
 for at sikre sammenhæng og høje standarder i certificeringspraksis.
 
Den Europæiske Cybersikkerhedscertificeringsgruppe
 spiller en afgørende rolle i at opretholde ordningen, godkende avancerede dokumenter og sikre løbende relevans og effektivitet.
SÅRBARHEDSHÅNDTERING OG OFFENTLIGGØRELSE
Certifikatindehavere skal etablere
 procedurer for at håndtere og afsløre sårbarheder
, udføre analyser af sårbarhed mod påvirkninger og indberette væsentlige sårbarheder til certificeringsorganer og myndigheder.
 
Tilbagekaldte certifikater skal offentliggøres
 i relevante databaser, hvilket sikrer gennemsigtighed om kendte sårbarheder.
BEVARELSE OG BESKYTTELSE AF INFORMATION
Certificeringsorganer og ITSEF’er skal 
bevare registre
 over evalueringer og certificeringer i mindst 5 år efter tilbagetrækning af certifikatet.
 
Alle parter involveret i certificeringsprocessen skal 
beskytte fortrolige oplysninger
 og forretningshemmeligheder.
GENSIDIGE ANERKENDELSESAFTALER MED IKKE-EU-LANDE
Ikke-EU-lande kan 
anerkende EUCC-certificeringer
 gennem aftaler om gensidig anerkendelse, forudsat at de opfylder kriterierne for overvågning, tilsyn og sårbarhedshåndtering.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den træder i kraft den 27. februar 2025.
BAGGRUND
For yderligere oplysninger henvises til:
EU informationssikkerhedscertificering
 (Den Europæiske Unions Agentur for Cybersikkerhed)
 
Rammer for cybersikkerhedscertificering
 (Den Europæiske Unions Agentur for Cybersikkerhed).
VIGTIGE BEGREBER
AVA_VAN-niveau.
 Et analyseniveau af sikkerhedens sårbarhed, der angiver graden af de evalueringsaktiviteter af cybersikkerheden, der udføres for at bestemme niveauet af modstand mod potentiel udnyttelse af fejl og svagheder i det evaluerede system i dets operationelle miljø som fastsat i de fælles kriterier.
HOVEDDOKUMENT
Kommissionens gennemførelsesforordning (EU) 
2024/482
 af 31. januar 2024 om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2019/881 for så vidt angår vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) (EUT L, 2024/482, 7. februar 2024).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets direktiv (EU) 
2022/2555
 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 27.12.2022, s. 80-152).
Efterfølgende ændringer til direktiv (EU) 2022/2555 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2019/881
 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (EUT L 151 af 7.6.2019, s. 15-69).
Europa-Parlamentets og Rådets forordning (EU) 
2019/1020
 af 20. juni 2019 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (EUT L 169 af 25.6.2019, s. 1-44).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EF) nr. 
765/2008
 af 9. juli 2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 (EUT L 218 af 13.8.2008, s. 30-47).
Se den 
konsoliderede udgave
.
Rådets henstilling 
95/144/EF
 af 7. april 1995 om ensartede kriterier for vurdering af informationsteknologisk sikkerhed (EUT L 93 af 26.4.1995, s. 27-28).
seneste ajourføring 01.07.2024