Art. 8
Requisiti generali
In vigore dal 28 nov 2024
Requisiti generali
1. I sistemi nazionali di certificazione prevedono requisiti di cibersicurezza basati su una valutazione dei rischi di ciascuna architettura specifica supportata. Tali requisiti di cibersicurezza mirano a trattare i rischi e le minacce per la cibersicurezza individuati, come stabilito nel registro dei rischi di cui all’allegato I.
2. In linea con l’articolo 5 bis, paragrafo 23, del regolamento (UE) n. 910/2014, i sistemi nazionali di certificazione esigono che le soluzioni di portafoglio e i regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite siano resistenti nei confronti degli aggressori con un potenziale di attacco elevato per il livello di garanzia elevato di cui al regolamento di esecuzione (UE) 2015/1502.
3. I sistemi nazionali di certificazione stabiliscono criteri di sicurezza, tra cui figurano i requisiti seguenti:
a)
il regolamento sulla ciberresilienza, se del caso, oppure i requisiti che soddisfano gli obiettivi di sicurezza di cui all’articolo 51 del regolamento (UE) 2019/881;
b)
la definizione e l’attuazione di politiche e procedure relative alla gestione dei rischi associati al funzionamento di una soluzione di portafoglio, comprese l’individuazione e la valutazione dei rischi e l’attenuazione dei rischi individuati;
c)
la definizione e l’attuazione di politiche e procedure relative alla gestione delle modifiche e alla gestione delle vulnerabilità conformemente all’ del presente regolamento;
d)
la definizione e l’attuazione di politiche e procedure di gestione delle risorse umane, compresi i requisiti in materia di competenza, affidabilità, esperienza, formazione in materia di sicurezza e qualifiche del personale coinvolto nello sviluppo o nel funzionamento della soluzione di portafoglio;
e)
i requisiti relativi all’ambiente operativo della soluzione di portafoglio, anche sotto forma di ipotesi sulla sicurezza dei dispositivi e delle piattaforme su cui sono eseguiti i componenti software della soluzione di portafoglio, compresi i dispositivi crittografici sicuri per il portafoglio e, ove applicabile e pertinente, i requisiti di valutazione della conformità atti a confermare che tali ipotesi sono verificate sui dispositivi e sulle piattaforme pertinenti;
f)
per ciascuna ipotesi non corroborata da un certificato di conformità o da altre informazioni di garanzia accettabili, una descrizione del meccanismo utilizzato dal fornitore del portafoglio per applicare l’ipotesi, nonché una giustificazione del fatto che il meccanismo è sufficiente a garantire che l’ipotesi in questione sia verificata;
g)
la definizione e l’attuazione di misure volte a garantire l’uso di una versione attualmente certificata della soluzione di portafoglio.
4. I sistemi nazionali di certificazione contengono requisiti funzionali relativi ai meccanismi di aggiornamento per ogni componente software delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite per le operazioni che figurano nell’allegato III.
5. I sistemi nazionali di certificazione esigono che il richiedente la certificazione fornisca o metta altrimenti a disposizione dell’organismo di certificazione le informazioni e la documentazione seguenti:
a)
prove relative alle informazioni di cui all’allegato IV, punto 1, compresi, se necessario, i dettagli sulla soluzione di portafoglio e sul relativo codice sorgente, tra cui:
—
informazioni sull’architettura: per ciascun componente della soluzione di portafoglio (compresi i componenti di prodotto, processo e servizio), una descrizione delle sue proprietà essenziali di sicurezza, comprese le sue dipendenze esterne;
—
controlli e livelli di garanzia: per ciascun controllo di sicurezza della soluzione di portafoglio, una descrizione del controllo e del livello di garanzia richiesto, sulla base dell’allegato del regolamento di esecuzione (UE) 2015/1502, che stabilisce una serie di specifiche tecniche e procedure che si applicano ai vari controlli attuati dai mezzi di identificazione elettronica;
—
mappatura dei controlli relativi ai componenti dell’architettura: una descrizione del modo in cui i controlli del portafoglio sono attuati utilizzando i diversi componenti della soluzione di portafoglio, sulla base di una logica che spieghi il motivo per cui è richiesto un determinato livello di garanzia, così come del modo in cui il controllo è attuato con tutti gli aspetti di sicurezza richiesti al livello adeguato;
—
motivazione e giustificazione della copertura dei rischi: una giustificazione degli elementi seguenti:
—
mappatura dei controlli dei componenti;
—
idoneità del piano di valutazione proposto a coprire adeguatamente tutti i controlli;
—
la copertura conseguita dai controlli dei rischi e delle minacce di cibersicurezza identificati nel registro dei rischi, completati dai controlli dei rischi e delle minacce specifici per l’attuazione, al livello di garanzia adeguato;
b)
le informazioni elencate nell’allegato V;
c)
un elenco completo dei certificati di conformità e di altre informazioni sulla garanzia utilizzati come prova durante le attività di valutazione;
d)
qualsiasi altra informazione pertinente per le attività di valutazione.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_impl:2024:2981:oj#art-8