Art. 25
Attività di monitoraggio da parte dell'autorità nazionale di certificazione della cibersicurezza
In vigore dal 31 gen 2024
Attività di monitoraggio da parte dell'autorità nazionale di certificazione della cibersicurezza
1. Fatto salvo l'articolo 58, paragrafo 7, del regolamento (UE) 2019/881, l'autorità nazionale di certificazione della cibersicurezza controlla:
(a)
il rispetto, da parte dell'organismo di certificazione e dell'ITSEF, degli obblighi a essi incombenti a norma del presente regolamento e del regolamento (UE) 2019/881;
(b)
il rispetto, da parte dei titolari di un certificato EUCC, degli obblighi a essi incombenti a norma del presente regolamento e del regolamento (UE) 2019/881;
(c)
il rispetto, da parte dei prodotti TIC certificati, dei requisiti stabiliti nell'EUCC;
(d)
il livello di affidabilità espresso nel certificato EUCC in relazione all'evoluzione del panorama delle minacce.
2. L'autorità nazionale di certificazione della cibersicurezza svolge le sue attività di monitoraggio in particolare sulla base:
(a)
delle informazioni provenienti dagli organismi di certificazione, dagli organismi nazionali di accreditamento e dalle autorità di vigilanza del mercato competenti;
(b)
delle informazioni derivanti da audit e indagini propri o di altre autorità;
(c)
del campionamento effettuato in conformità del paragrafo 3;
(d)
dei reclami ricevuti.
3. L'autorità nazionale di certificazione della cibersicurezza, in collaborazione con altre autorità di vigilanza del mercato, campiona annualmente almeno il 4 % dei certificati EUCC, in base a una valutazione dei rischi. Su richiesta e per conto dell'autorità nazionale di certificazione della cibersicurezza competente, gli organismi di certificazione e, se necessario, l'ITSEF assistono tale autorità nel monitoraggio della compliance.
4. L'autorità nazionale di certificazione della cibersicurezza seleziona il campione di prodotti TIC certificati da controllare utilizzando criteri oggettivi tra cui:
(a)
la categoria di prodotti;
(b)
i livelli di affidabilità dei prodotti;
(c)
il titolare di un certificato;
(d)
l'organismo di certificazione e, se del caso, l'ITSEF a cui sono state subappaltate le attività;
(e)
qualsiasi altra informazione portata all'attenzione dell'autorità.
5. L'autorità nazionale di certificazione della cibersicurezza informa i titolari del certificato EUCC in merito ai prodotti TIC selezionati e ai criteri di selezione.
6. Su richiesta dell'autorità nazionale di certificazione della cibersicurezza, e con l'assistenza della rispettiva ITSEF, l'organismo di certificazione che ha certificato il prodotto TIC oggetto di campionamento procede a un riesame supplementare in conformità della procedura di cui all'allegato IV, sezione IV.2, e informa l'autorità nazionale di certificazione della cibersicurezza in merito ai risultati.
7. Qualora abbia motivi sufficienti per ritenere che un prodotto TIC certificato non sia più conforme al presente regolamento o al regolamento (UE) 2019/881, l'autorità nazionale di certificazione della cibersicurezza può svolgere indagini o avvalersi di qualsiasi altro potere di monitoraggio di cui all'articolo 58, paragrafo 8, del regolamento (UE) 2019/881.
8. L'autorità nazionale di certificazione della cibersicurezza informa l'organismo di certificazione e l'ITSEF in questione delle indagini in corso relative ai prodotti TIC selezionati.
9. Se rileva che un'indagine in corso riguarda prodotti TIC certificati da organismi di certificazione stabiliti in altri Stati membri, l'autorità nazionale di certificazione della cibersicurezza ne informa le autorità nazionali di certificazione della cibersicurezza degli Stati membri interessati ai fini della collaborazione alle indagini, se del caso. Tale autorità nazionale di certificazione della cibersicurezza informa inoltre il gruppo europeo per la certificazione della cibersicurezza in merito alle indagini transfrontaliere e ai relativi risultati.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:482:oj#art-25