Art. 1
Norme di valutazione
In vigore dal 18 dic 2024
Il regolamento di esecuzione (UE) 2024/482 è così modificato:
1)
all’, i punti 1 e 2 sono sostituiti dai seguenti:
«1)
«criteri comuni»: i criteri comuni per la valutazione della sicurezza delle tecnologie dell’informazione quali definiti nelle norme ISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 o ISO/IEC 15408-5:2022, o quali definiti nella norma «Common Criteria for Information Technology Security Evaluation», versione CC:2022, parti da 1 a 5, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security»;
2)
«metodologia comune di valutazione»: la metodologia comune per la valutazione della sicurezza delle tecnologie dell’informazione quale definita nella norma ISO/IEC 18045:2022, o nella norma «Common Methodology for Information Technology Security Evaluation», versione CEM:2022, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security”;»;
2)
l’ è sostituito dal seguente:
«
Norme di valutazione
1. Alle valutazioni effettuate nell’ambito del sistema EUCC si applicano le norme seguenti:
a)
i criteri comuni;
b)
la metodologia comune di valutazione.
2. Fino al 31 dicembre 2027 può essere rilasciato nell’ambito del sistema EUCC un certificato che applica una delle norme seguenti:
a)
ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 o ISO/IEC 15408-3:2008;
b)
«Common Criteria for Information Technology Security Evaluation», versione 3.1, revisione 5, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security»;
c)
ISO/IEC 18045:2008;
d)
«Common Methodology for Information Technology Security Evaluation», revisione 5, versione 3.1, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security».
3. Fino al 31 dicembre 2027 può essere rilasciato nell’ambito del sistema EUCC un certificato che applica le norme di cui al paragrafo 1 e che dichiari la conformità a un profilo di protezione che ha applicato le norme di cui al paragrafo 2.
4. Può essere rilasciato nell’ambito del sistema EUCC anche un certificato che applica le norme di cui al paragrafo 1 e che dichiari la conformità a un profilo di protezione che ha applicato una delle due norme seguenti, a condizione che l’uso di tale profilo di protezione sia richiesto a norma del regolamento di esecuzione (UE) 2016/799 della Commissione (*1), del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio (*2) o della decisione di esecuzione (UE) 2016/650 della Commissione (*3):
a)
«Common Criteria for Information Technology Security Evaluation», versione 3.1, revisioni da 1 a 4, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security»;
b)
«Common Methodology for Information Technology Security Evaluation», versione 3.1, revisioni da 1 a 4, pubblicata dai partecipanti all’accordo «Arrangement on the Recognition of Common Criteria Certificates in the field of IT Security».
(*1) Regolamento di esecuzione (UE) 2016/799 della Commissione, del 18 marzo 2016, che applica il regolamento (UE) n. 165/2014 del Parlamento europeo e del Consiglio recante le prescrizioni per la costruzione, il collaudo, il montaggio, il funzionamento e la riparazione dei tachigrafi e dei loro componenti (GU L 139 del 26.5.2016, pag. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."
(*2) Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE (GU L 257 del 28.8.2014, pag. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."
(*3) Decisione di esecuzione (UE) 2016/650 della Commissione, del 25 aprile 2016, che stabilisce norme per la valutazione di sicurezza dei dispositivi per la creazione di una firma e di un sigillo qualificati a norma dell’articolo 30, paragrafo 3, e dell’articolo 39, paragrafo 2, del regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno (GU L 109 del 26.4.2016, pag. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).»;"
3)
al capo IV è inserito il seguente articolo 20 bis:
«
Articolo 20 bis
Specificazione dei requisiti per l’accreditamento degli organismi di valutazione della conformità
L’accreditamento degli organismi di valutazione della conformità tiene conto della specificazione dei requisiti per l’accreditamento degli organismi di certificazione e delle ITSEF di cui ai documenti sullo stato dell’arte applicabili figuranti all’allegato I, punto 2.»;
4)
gli articoli 23 e 24 sono soppressi;
5)
all’articolo 48 è aggiunto il seguente paragrafo 4:
«4. Salvo diversa indicazione nell’allegato I o II, i documenti sullo stato dell’arte si applicano a decorrere dalla data di applicazione dell’atto modificativo mediante il quale sono stati introdotti nell’allegato I o II.»
;
6)
all’articolo 49 è aggiunto il seguente paragrafo 4:
«4. Nell’effettuare il riesame di cui al paragrafo 3 entro due anni dal rilascio del certificato iniziale e qualora tale riesame porti al rilascio di un nuovo certificato conformemente al presente regolamento, possono essere applicate le norme di cui all’, paragrafo 2. La data di rilascio del certificato iniziale è intesa come la data di rilascio dell’ultimo certificato per un prodotto TIC o un profilo di protezione su cui si basa l’attuale certificazione.»
;
7)
l’allegato I è sostituito dal testo di cui all’allegato I del presente regolamento;
8)
l’allegato IV è modificato conformemente all’allegato II del presente regolamento.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:3144:oj#art-1