Art. 5
Gestione degli incidenti e delle vulnerabilità
In vigore dal 28 nov 2024
Gestione degli incidenti e delle vulnerabilità
1. I sistemi nazionali di certificazione contengono requisiti in materia di gestione degli incidenti e delle vulnerabilità conformemente ai paragrafi da 2 a 9.
2. Il titolare di un certificato di conformità di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale tale soluzione è fornita notificano senza indebito ritardo al proprio organismo di certificazione qualsiasi violazione o compromissione della soluzione di portafoglio o del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita che possa incidere sul suo rispetto dei requisiti di cui ai sistemi nazionali di certificazione.
3. Il titolare di un certificato di conformità stabilisce, mantiene e applica una politica e procedure di gestione delle vulnerabilità, tenendo conto delle procedure stabilite nelle norme europee e internazionali esistenti, compresa la norma EN ISO/IEC 30111:2019.
4. Il titolare del certificato di conformità notifica all’organismo di certificazione emittente le vulnerabilità e le modifiche che incidono sulla soluzione di portafoglio, sulla base di criteri definiti relativi all’impatto di tali vulnerabilità e modifiche.
5. Il titolare del certificato di conformità prepara una relazione sull’analisi dell’impatto delle vulnerabilità per qualsiasi vulnerabilità che incida sui componenti software della soluzione di portafoglio. Tale relazione contiene le informazioni seguenti:
a)
l’impatto della vulnerabilità sulla soluzione di portafoglio certificata;
b)
i possibili rischi associati alla prossimità o alla probabilità di un attacco;
c)
l’eventualità o meno che sia possibile porre rimedio alla vulnerabilità utilizzando i mezzi disponibili;
d)
nei casi in cui sia possibile porre rimedio alla vulnerabilità utilizzando i mezzi disponibili, i possibili modi per porre rimedio a detta vulnerabilità.
6. Qualora sia richiesta la notifica di cui al paragrafo 4, il titolare del certificato di conformità trasmette senza indebito ritardo la relazione sull’analisi dell’impatto delle vulnerabilità di cui al paragrafo 5 all’organismo di certificazione.
7. Il titolare di un certificato di conformità stabilisce, mantiene e applica una politica di gestione delle vulnerabilità che soddisfa i requisiti di cui all’allegato I della legge sulla ciberresilienza (12).
8. I sistemi nazionali di certificazione stabiliscono obblighi di divulgazione delle vulnerabilità applicabili agli organismi di certificazione.
9. Il titolare di un certificato di conformità deve divulgare e registrare qualsiasi vulnerabilità pubblicamente nota e sanata nella soluzione di portafoglio o in uno degli archivi online di cui all’allegato V.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:2981:oj#art-5