Art. 22
Requisiti specifici o supplementari per un ITSEF
In vigore dal 31 gen 2024
Requisiti specifici o supplementari per un ITSEF
1. Un'ITSEF è autorizzata dall'autorità nazionale di certificazione della cibersicurezza a effettuare la valutazione dei prodotti TIC soggetti a certificazione con il livello di affidabilità «elevato» se, oltre a soddisfare i requisiti di cui all'articolo 60, paragrafo 1, e all'allegato del regolamento (UE) 2019/881 per quanto riguarda l'accreditamento degli organismi di valutazione della conformità, dimostra di rispettare tutte le condizioni seguenti:
(a)
possesso delle competenze necessarie per svolgere le attività di valutazione al fine di determinare la resistenza agli attacchi informatici avanzati commessi da attori che dispongono di abilità e risorse significative;
(b)
per quanto riguarda i settori tecnici e i profili di protezione, che fanno parte del processo TIC per tali prodotti TIC:
(1)
possesso delle competenze per svolgere le attività di valutazione specifiche necessarie a determinare metodicamente la resistenza di un oggetto della valutazione agli attacchi commessi da soggetti qualificati nel suo ambiente operativo, ipotizzando un potenziale di attacco «moderato» o «elevato», come stabilito nelle norme di cui all';
(2)
possesso delle competenze tecniche specificate nei documenti sullo stato dell'arte di cui all'allegato I;
(c)
possesso delle competenze richieste e adozione di misure tecniche e operative adeguate per proteggere efficacemente le informazioni riservate e sensibili per il livello di affidabilità «elevato», oltre al soddisfacimento dei requisiti di cui all'.
2. L'autorità nazionale di certificazione della cibersicurezza valuta se un'ITSEF soddisfa tutti i requisiti di cui al paragrafo 1. Tale valutazione comprende quanto meno interviste strutturate e un riesame di almeno una valutazione pilota effettuata dall'ITSEF in conformità del presente regolamento.
3. Nella sua valutazione, l'autorità nazionale di certificazione della cibersicurezza può riutilizzare elementi di prova adeguati provenienti da una precedente autorizzazione o da attività analoghe concesse a norma:
(a)
del presente regolamento;
(b)
di un altro sistema europeo di certificazione della cibersicurezza adottato a norma dell' del regolamento (UE) 2019/881;
(c)
di un sistema nazionale di cui all' del presente regolamento.
4. L'autorità nazionale di certificazione della cibersicurezza elabora una relazione di autorizzazione soggetta a valutazione inter pares in conformità dell'articolo 59, paragrafo 3, lettera d), del regolamento (UE) 2019/881.
5. L'autorità nazionale di certificazione della cibersicurezza specifica le categorie di prodotti TIC e i profili di protezione a cui si estende l'autorizzazione. L'autorizzazione è valida per un periodo non superiore alla validità dell'accreditamento. Tale autorizzazione può essere rinnovata su richiesta, a condizione che l'ITSEF continui a soddisfare i requisiti di cui al presente articolo. Per il rinnovo dell'autorizzazione non devono essere richieste valutazioni pilota.
6. L'autorità nazionale di certificazione della cibersicurezza revoca l'autorizzazione dell'ITSEF se quest'ultima non soddisfa più le condizioni di cui al presente articolo. In caso di revoca dell'autorizzazione, l'ITSEF cessa di presentarsi come un'ITSEF autorizzata.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:482:oj#art-22