Art. 3
Istituzione di sistemi nazionali di certificazione
In vigore dal 28 nov 2024
Istituzione di sistemi nazionali di certificazione
1. Gli Stati membri assegnano un titolare del sistema a ciascun sistema nazionale di certificazione.
2. L’oggetto della certificazione definita nei sistemi nazionali di certificazione è costituito dalla fornitura e dal funzionamento di soluzioni di portafoglio e dei regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite.
3. Conformemente al regolamento di esecuzione (UE) 2015/1502, l’oggetto della certificazione nei sistemi nazionali di certificazione comprende gli elementi seguenti:
a)
i componenti software, comprese le impostazioni e le configurazioni di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale le soluzioni di portafoglio sono fornite;
b)
i componenti e le piattaforme hardware su cui i componenti software di cui al punto b) vengono eseguiti o da cui tali componenti dipendono per operazioni critiche, nei casi in cui tali componenti sono forniti direttamente o indirettamente dalla soluzione di portafoglio e dal regime di identificazione elettronica nel contesto del quale detta soluzione è fornita e quando sono necessari per soddisfare il livello di garanzia desiderato per tali componenti software. Qualora i componenti e le piattaforme hardware non siano forniti dal fornitore del portafoglio, i sistemi nazionali di certificazione formulano ipotesi per la valutazione dei componenti hardware e delle piattaforme nell’ambito del quale può essere fornita resistenza nei confronti di aggressori con un potenziale di attacco elevato in linea con il regolamento di esecuzione (UE) 2015/1502 della Commissione, e specificano le attività di valutazione volte a confermare tali ipotesi di cui all’allegato IV;
c)
i processi che supportano la fornitura e il funzionamento di una soluzione di portafoglio, compresa la procedura di onboarding degli utenti di cui all’articolo 5 bis del regolamento (UE) n. 910/2014, che riguardano almeno la registrazione, la gestione dei mezzi elettronici e l’organizzazione a norma dell’allegato I, sezioni 2.1, 2.2 e 2.4, del regolamento di esecuzione (UE) 2015/1502.
4. I sistemi nazionali di certificazione comprendono una descrizione dell’architettura specifica delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite. Qualora coprano più di un’architettura specifica, i sistemi nazionali di certificazione prevedono un profilo per ciascuna architettura specifica.
5. Per ciascun profilo, i sistemi nazionali di certificazione stabiliscono almeno quanto segue:
a)
l’architettura specifica di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita;
b)
i controlli di sicurezza associati ai livelli di garanzia di cui all’ del regolamento (UE) n. 910/2014;
c)
un piano di valutazione elaborato conformemente alla sezione 7.4.1 della norma EN ISO/IEC 17065:2012;
d)
i requisiti di sicurezza necessari per affrontare i rischi e le minacce di cibersicurezza che figurano nel registro dei rischi di cui all’allegato I del presente regolamento, fino al livello di garanzia richiesto, e al fine di conseguire, se del caso, gli obiettivi definiti all’articolo 51 del regolamento (UE) 2019/881;
e)
una mappatura dei controlli di cui alla lettera b) del presente paragrafo in relazione ai componenti dell’architettura;
f)
una descrizione del modo in cui i controlli di sicurezza, la mappatura, i requisiti di sicurezza e il piano di valutazione di cui alle lettere da b) a c) consentono ai fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale tali soluzioni sono fornite di affrontare adeguatamente i rischi e le minacce di cibersicurezza individuati nel registro dei rischi di cui alla lettera d), fino al livello di garanzia richiesto sulla base di una valutazione dei rischi per affinare e integrare i rischi e le minacce elencati nel registro dei rischi con rischi e minacce specifici dell’architettura.
6. Il piano di valutazione di cui al paragrafo 5, lettera c), elenca le attività di valutazione da includere nella valutazione di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite.
7. L’attività di valutazione di cui al paragrafo 6 impone ai fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite di fornire informazioni che soddisfino i requisiti di cui all’allegato II.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:2981:oj#art-3