Art. 13
Attività di valutazione
In vigore dal 28 nov 2024
Attività di valutazione
1. I sistemi nazionali di certificazione prevedono metodi e procedure che gli organismi di valutazione della conformità devono utilizzare nello svolgimento delle loro attività di valutazione conformemente alla norma EN ISO/IEC 17065:2012, che riguardano quanto meno gli aspetti seguenti:
a)
i metodi e le procedure per lo svolgimento delle attività di valutazione, comprese quelle relative al dispositivo crittografico sicuro per il portafoglio, di cui all’allegato IV;
b)
l’audit dell’attuazione della soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita, sulla base del registro dei rischi di cui all’allegato I e integrato, ove necessario, da rischi specifici per l’attuazione;
c)
le attività di collaudo funzionale basate, laddove disponibili e adeguate, su serie di prove definite in base a norme o specifiche tecniche;
d)
la valutazione dell’esistenza e dell’idoneità dei processi di manutenzione, compresa quanto meno la gestione delle versioni, la gestione degli aggiornamenti e la gestione delle vulnerabilità;
e)
la valutazione dell’efficacia operativa dei processi di manutenzione, compresa quanto meno la gestione delle versioni, la gestione degli aggiornamenti e la gestione delle vulnerabilità;
f)
l’analisi della dipendenza messa a disposizione dal fornitore del portafoglio, compresa una metodologia atta a valutare l’accettabilità delle informazioni sulla garanzia, che comprende gli elementi di cui all’allegato VI;
g)
la valutazione delle vulnerabilità, al livello adeguato, comprendente:
—
un riesame della progettazione della soluzione di portafoglio e, se del caso, del suo codice sorgente;
—
lo svolgimento di prove della resistenza della soluzione di portafoglio nei confronti di aggressori con un potenziale di attacco «elevato» ai sensi della sezione 2.2.1 dell’allegato del regolamento di esecuzione (UE) 2015/1502;
h)
la valutazione dell’evoluzione del panorama delle minacce e del suo impatto sulla copertura dei rischi da parte della soluzione di portafoglio, al fine di stabilire quali attività di valutazione siano necessarie in relazione ai vari componenti della soluzione di portafoglio.
2. I sistemi nazionali di certificazione contemplano una valutazione volta a stabilire se l’attuazione delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite corrispondono all’architettura di cui all’, paragrafo 5, lettera a), nonché una valutazione volta a stabilire se il piano di valutazione proposto unitamente all’attuazione corrisponde al piano di valutazione di cui all’, paragrafo 5, lettera c).
3. I sistemi nazionali di certificazione stabiliscono norme in materia di campionamento, al fine di evitare il ripetersi di attività di valutazione identiche e di concentrarsi su attività specifiche di una determinata variante. Tali norme di campionamento consentono di effettuare prove funzionali e di sicurezza soltanto su un campione di varianti di un componente obiettivo di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita e su un campione di dispositivi obiettivo. I sistemi nazionali di certificazione impongono a tutti gli organismi di certificazione di giustificare il ricorso al campionamento.
4. I sistemi nazionali di certificazione richiedono la valutazione, da parte dell’organismo di certificazione, dell’applicazione crittografica sicura per il portafoglio sulla base dei metodi e delle procedure di cui all’allegato IV.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:2981:oj#art-13