Source: EUR LEX
URL: L_202403143NL.json

{
  "url": "http://www.w3.org/1999/xhtml\"><!--",
  "content": "L_202403143NL.000101.fmx.xml Publicatieblad van de Europese Unie NL L-serie 2024/3143 19.12.2024 UITVOERINGSVERORDENING (EU) 2024/3143 VAN DE COMMISSIE van 18 december 2024 tot vaststelling van de omstandigheden, vormen en procedures van aanmeldingen overeenkomstig artikel 61, lid 5, van Verordening (EU) 2019/881 van het Europees Parlement en de Raad inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie (Voor de EER relevante tekst) DE EUROPESE COMMISSIE, Gezien het Verdrag betreffende de werking van de Europese Unie, Gezien Verordening (EU) 2019/881 van het Europees Parlement en de Raad van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) ( 1 ) , en met name artikel 61, lid 5, Overwegende hetgeen volgt: (1) Overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881 (cyberbeveiligingsverordening) zijn de nationale cyberbeveiligingscertificeringautoriteiten (NCCA’s) verantwoordelijk om de conformiteitsbeoordelingsinstanties (CAB’s) die geaccrediteerd en, in voorkomend geval, gemachtigd zijn om Europese cyberbeveiligingscertificaten af te geven voor gespecificeerde zekerheidsniveaus aan te melden bij de Commissie, en moeten zij bij wijzigingen die aanmelding bijwerken. Bovendien moet de Commissie overeenkomstig artikel 61, lid 2, van die verordening een lijst van CAB’s die krachtens een Europese cyberbeveiligingscertificeringsregeling zijn aangemeld in het Publicatieblad van de Europese Unie bekendmaken, één jaar na de inwerkingtreding van de desbetreffende regeling. Om een geharmoniseerde aanpak voor die aanmeldingen te waarborgen en het aanmeldingsproces voor NCCA’s te vergemakkelijken, moeten in deze verordening de omstandigheden, vormen en procedures voor de aanmeldingen nader worden bepaald. Die aspecten moeten worden verduidelijkt met het oog op de toepassing van de eerste Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC), die is vastgesteld bij Uitvoeringsverordening (EU) 2024/482 van de Commissie ( 2 ) . (2) In deze verordening wordt de samenhang erkend tussen Verordening (EU) 2019/881 en de relevante harmonisatiewetgeving van de EU, zoals Verordening (EU) 2024/2847 van het Europees Parlement en de Raad ( 3 ) (de verordening cyberweerbaarheid). Daarom wordt voorgesteld dat de NCCA’s de aanmelding bij de Commissie verrichten door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem, als bedoeld in Besluit nr. 768/2008/EG van het Europees Parlement en de Raad ( 4 ) . Zonder afbreuk te doen aan de verplichting van de Commissie om de lijst van aangemelde CAB’s in het Publicatieblad van de Europese Unie bekend te maken, moet de lijst ook openbaar worden gemaakt door middel van dat systeem. (3) De aanmelding van geaccrediteerde en, in voorkomend geval, gemachtigde CAB’s betekent dat deze CAB’s vertrouwd kunnen worden bij evaluatie- en certificeringsactiviteiten overeenkomstig Verordening (EU) 2019/881, wat bijdraagt tot de algemene reputatie van Europese cyberbeveiligingscertificeringsregelingen. Het is daarom van essentieel belang ervoor te zorgen dat de aangemelde CAB’s aan hun eisen voldoen en hun verplichtingen mettertijd nakomen. De bekendgemaakte lijst van aangemelde CAB’s moet nauwkeurig en actueel zijn, en aantonen dat zij voldoen aan de eisen van Verordening (EU) 2019/881 en, in voorkomend geval, aan de specifieke of aanvullende eisen in het kader van een Europese cyberbeveiligingscertificeringsregeling. Daartoe moeten de NCCA’s de Commissie onverwijld in kennis stellen van alle wijzigingen in de aanmelding, overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881. (4) De NCCA’s zijn verantwoordelijk voor de naleving van Verordening (EU) 2019/881 en de Europese cyberbeveiligingscertificeringsregelingen door de CAB’s en zorgen in dit verband voor de nauwkeurigheid van de aanmeldingen. Deze activiteiten worden collegiaal getoetst en de resultaten daarvan moeten helpen alle wijzigingen te bepalen die nodig zijn om de doeltreffendheid ervan te vergroten. De NCCA’s kunnen zich ervan vergewissen dat een CAB niet langer aan de desbetreffende eisen voldoet indien zij in andere omstandigheden op de hoogte zijn gesteld van problemen. In voorkomend geval moeten de bevindingen van mechanismen voor collegiale toetsing de NCCA’s ondersteunen bij het toezicht op de blijvende bekwaamheid van de aangemelde CAB’s. Daarnaast kunnen andere NCCA’s, de Commissie of belanghebbenden bij de aanmeldende NCCA hun bezorgdheid uiten over die bekwaamheid van die CAB’s. (5) Indien de aanmeldende NCCA besluit de aanmelding van een CAB op te schorten, te beperken of in te trekken, moet zij samenwerken met de nationale accreditatie-instantie die is aangewezen overeenkomstig Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad ( 5 ) . Dit is in overeenstemming met Verordening (EU) 2019/881, waarin is bepaald dat de NCCA’s de nationale accreditatie-instanties actief moeten bijstaan en ondersteunen en ermee moeten samenwerken bij hun toezichtactiviteiten. De beperking van de aanmelding moet betrekking hebben op een geval waarin het toepassingsgebied van de accreditatie of, in voorkomend geval, dat van de vergunning en dus ook dat van de aanmelding wordt beperkt. (6) Overeenkomstig artikel 54, lid 1, punt n), van Verordening (EU) 2019/881 moet elke Europese cyberbeveiligingscertificeringsregeling indien van toepassing regels over het bewaren van gegevens door CAB’s bevatten. Daarom moet de aanmeldende NCCA bij beperking, opschorting of intrekking van de aanmelding of indien de aangemelde CAB haar activiteiten heeft gestaakt, ervoor zorgen dat de gegevens van die CAB veilig worden opgeslagen en zolang als nodig worden bewaard, zoals voorgeschreven in een bepaalde Europese cyberbeveiligingscertificeringsregeling. (7) De in deze verordening vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 66 van Verordening (EU) 2019/881 opgerichte comité, HEEFT DE VOLGENDE VERORDENING VASTGESTELD: Artikel 1 Onderwerp In deze verordening worden de omstandigheden, vormen en procedures vastgesteld voor de aanmelding van conformiteitsbeoordelingsinstanties (CAB’s) door nationale cyberbeveiligingscertificeringautoriteiten (NCCA’s) overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881. Artikel 2 Aanmeldingsprocedure 1.   Overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881 stellen de NCCA’s de Commissie in kennis van de CAB’s die voldoen aan de eisen van Verordening (EU) 2019/881 en, in voorkomend geval, aan de specifieke of aanvullende eisen in het kader van een Europese cyberbeveiligingscertificeringsregeling. 2.   De NCCA stelt de Commissie daarvan in kennis door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem, als bedoeld in Besluit nr. 768/2008/EG. 3.   De aanmelding bevat de in de bijlage bepaalde informatie. Artikel 3 Identificatienummers en lijsten van conformiteitsbeoordelingsinstanties 1.   De Commissie kent aangemelde CAB’s een identificatienummer toe. Zij kent per CAB slechts één dergelijk nummer toe, ook als de CAB uit hoofde van diverse Europese cyberbeveiligingscertificeringsregelingen of EU-handelingen is aangemeld. 2.   Indien de Commissie de lijst van aangemelde CAB’s beschikbaar stelt door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem, vermeldt zij de identificatienummers die aan die aangemelde CAB’s zijn toegekend en de activiteiten waarvoor zij zijn aangemeld. 3.   Enisa stelt de informatie over de aangemelde CAB’s beschikbaar op de speciale website over Europese cyberbeveiligingscertificeringsregelingen als bedoeld in artikel 50, lid 1, van Verordening (EU) 2019/881. Artikel 4 Wijziging van aanmeldingen 1.   De NCCA’s stellen de Commissie onverwijld in kennis van alle wijzigingen in de in artikel 2 bedoelde aanmelding door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem, overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881. 2.   Indien een NCCA in samenwerking met de nationale accreditatie-instantie, als bedoeld in Verordening (EU) 2019/881, heeft vastgesteld dat een aangemelde CAB niet langer voldoet aan de eisen of verplichtingen waaraan zij onderworpen is, wordt de aanmelding door de NCCA beperkt, opgeschort of ingetrokken, afhankelijk van de ernst van het niet voldoen aan die eisen of het niet nakomen van die verplichtingen. De NCCA stelt de Commissie daarvan onverwijld in kennis door middel van het door de Commissie ontwikkelde en beheerde elektronische aanmeldingssysteem. 3.   Bij beperking, opschorting of intrekking van de aanmelding of indien de aangemelde CAB haar activiteiten heeft gestaakt, zet de NCCA de nodige stappen om ervoor te zorgen dat de gegevens van die CAB veilig worden opgeslagen en zolang als nodig worden bewaard, zoals voorgeschreven in een bepaalde Europese cyberbeveiligingscertificeringsregeling. Artikel 5 Inwerkingtreding Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie . Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat. Gedaan te Brussel, 18 december 2024. Voor de Commissie De voorzitter Ursula VON DER LEYEN ( 1 ) PB L 151 van 7.6.2019, blz. 15 , ELI: http://data.europa.eu/eli/reg/2019/881/oj . ( 2 ) Uitvoeringsverordening (EU) 2024/482 van de Commissie van 31 januari 2024 houdende uitvoeringsbepalingen van Verordening (EU) 2019/881 van het Europees Parlement en de Raad wat betreft de vaststelling van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC) ( PB L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj ). ( 3 ) Verordening (EU) 2024/2847 van het Europees Parlement en de Raad van 23 oktober 2024 betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen en tot wijziging van Verordeningen (EU) nr. 168/2013 en (EU) 2019/1020 en Richtlijn (EU) 2020/1828 (Verordening cyberweerbaarheid) ( PB L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj ). ( 4 ) Besluit nr. 768/2008/EG van het Europees Parlement en de Raad van 9 juli 2008 betreffende een gemeenschappelijk kader voor het verhandelen van producten en tot intrekking van Besluit 93/465/EEG van de Raad ( PB L 218 van 13.8.2008, blz. 82 , ELI: http://data.europa.eu/eli/dec/2008/768(1)/oj ). ( 5 ) Verordening (EG) nr. 765/2008 van het Europees Parlement en de Raad van 9 juli 2008 tot vaststelling van de eisen inzake accreditatie en markttoezicht betreffende het verhandelen van producten en tot intrekking van Verordening (EEG) nr. 339/93 ( PB L 218 van 13.8.2008, blz. 30 , ELI: http://data.europa.eu/eli/reg/2008/765/oj ). BIJLAGE Informatie die moet worden opgenomen in de aanmelding van een conformiteitsbeoordelingsinstantie in het kader van een Europese cyberbeveiligingscertificeringsregeling overeenkomstig artikel 61, lid 1, van Verordening (EU) 2019/881, als bedoeld in artikel 2, lid 3, van deze verordening 1. Algemene informatie: 1) Naam van de cyberbeveiligingscertificeringsregeling 2) Zekerheidsniveau(s) en daarmee verband houdende conformiteitsbeoordelingsprocedures (bv. basis, substantieel, hoog), indien van toepassing 3) Toepassingsgebied (bv. toepassingsgebied van de accreditatie, productcategorieën of -soorten, diensten, processen) 2. Informatie over de aanmeldende nationale cyberbeveiligingscertificeringsautoriteit: 1) Naam 2) Land 3) Postadres 4) E-mailadres(sen) 5) Telefoonnummer(s) 6) Website 3. Informatie over de aangemelde conformiteitsbeoordelingsinstantie: 1) Naam 2) Land 3) Postadres 4) E-mailadres(sen) 5) Telefoonnummer(s) 6) Website 4. Informatie over de accreditatie: 1) Accreditatie: a) Datum van de accreditatie b) Referentienummer van de accreditatie c) Toepassingsgebied van de accreditatie d) Geldigheidsduur van de accreditatie 2) Nationale accreditatie-instantie: a) Naam b) Land c) Postadres d) E-mailadres(sen) e) Telefoonnummer(s) f) Website 5. Informatie over de autorisatie (indien van toepassing): 1) Autorisatie: a) Datum van de autorisatie b) Referentienummer van de autorisatie c) Toepassingsgebied van de autorisatie d) Geldigheidsduur van de autorisatie 2) Autoriserende nationale cyberbeveiligingsautoriteit (indien anders dan de aanmeldende nationale cyberbeveiligingscertificeringsautoriteit): a) Naam b) Land c) Postadres d) E-mailadres(sen) e) Telefoonnummer(s) f) Website 6. Aanvullende informatie: 1) Alle aanvullende informatie die vereist is in het kader van een bepaalde Europese cyberbeveiligingscertificeringsregeling 2) Andere bewijsstukken ELI: http://data.europa.eu/eli/reg_impl/2024/3143/oj ISSN 1977-0758 (electronic edition)",
  "source": "EUR LEX"
}