Kommissionens genomförandeförordning (EU) 2024/3143 av den 18 december 2024 om fastställande av förutsättningar, format och förfaranden för anmälningar enligt artikel 61.5 i Europaparlamentets och rådets förordning (EU) 2019/881 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik

(1)

I enlighet med artikel 61.1 i förordning (EU) 2019/881 (cybersäkerhetsakten) ansvarar de nationella myndigheterna för cybersäkerhetscertifiering för att till kommissionen anmäla de organ för bedömning av överensstämmelse som har ackrediterats och, i tillämpliga fall, bemyndigats att utfärda europeiska cybersäkerhetscertifikat på angivna assuransnivåer, och bör hålla dessa anmälningar uppdaterade. Enligt artikel 61.2 i förordning (EU) 2019/881 måste kommissionen dessutom, ett år efter ikraftträdandet av en europeisk ordning för cybersäkerhetscertifiering, offentliggöra en förteckning i Europeiska unionens officiella tidning över de organ för bedömning av överensstämmelse som har anmälts enligt den ordningen. I denna förordning bör det ytterligare specificeras förutsättningar, format och förfaranden för anmälningar för att säkerställa en harmoniserad strategi för anmälningarna och underlätta anmälningsprocessen för de nationella myndigheterna för cybersäkerhetscertifiering. Dessa aspekter är viktiga att klargöra inför tillämpningen av den första europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering (EUCC) som fastställs i kommissionens genomförandeförordning (EU) 2024/482 (2).

(2)

I denna förordning erkänns synergierna mellan förordning (EU) 2019/881 och unionens relevanta harmoniseringslagstiftning, inbegripet Europaparlamentets och rådets förordning (EU) 2024/2847 (cyberresiliensförordningen) (3). Det föreslås därför att de nationella myndigheterna för cybersäkerhetscertifiering lämnar in sina anmälningar till kommissionen via det elektroniska anmälningsverktyg som utvecklats och förvaltas av kommissionen och som avses i Europaparlamentets och rådets beslut nr 768/2008/EG (4). Utan att det påverkar kommissionens skyldighet att offentliggöra förteckningen över anmälda organ för bedömning av överensstämmelse i Europeiska unionens officiella tidning bör förteckningen också offentliggöras i det elektroniska anmälningsverktyg som utvecklats och förvaltas av kommissionen.

(3)

Om ackrediterade och, i tillämpliga fall, bemyndigade organ för bedömning av överensstämmelse är anmälda innebär detta att dessa organ är tillförlitliga när det gäller att utföra utvärderings- och certifieringsverksamhet i enlighet med förordning (EU) 2019/881, vilket bidrar till det övergripande anseendet för europeiska ordningar för cybersäkerhetscertifiering. Det är därför viktigt att säkerställa att de anmälda organen för bedömning av överensstämmelse uppfyller kraven och fullgör sina skyldigheter över tid. Den offentliggjorda förteckningen över anmälda organ för bedömning av överensstämmelse bör vara korrekt och uppdaterad för att visa att organen uppfyller kraven i förordning (EU) 2019/881 och, i tillämpliga fall, de särskilda eller ytterligare kraven enligt en europeisk ordning för cybersäkerhetscertifiering. För detta ändamål är det nödvändigt att de nationella myndigheterna för cybersäkerhetscertifiering, utan onödigt dröjsmål, anmäler till kommissionen alla ändringar av anmälan i enlighet med artikel 61.1 i förordning (EU) 2019/881.

(4)

De nationella myndigheterna för cybersäkerhetscertifiering ansvarar för att säkerställa att organen för bedömning av överensstämmelse uppfyller kraven i förordning (EU) 2019/881 och de europeiska ordningarna för cybersäkerhetscertifiering samt att anmälningarna är korrekta. Denna verksamhet är föremål för inbördes granskning, vars resultat bör bidra till att fastställa de eventuella ändringar som krävs för att öka dess effektivitet. Utifrån farhågor som har kommit till deras kännedom under olika omständigheter kan de nationella myndigheterna för cybersäkerhetscertifiering fastställa att ett organ för bedömning av överensstämmelse inte längre uppfyller de relevanta kraven. I tillämpliga fall bör de iakttagelser som gjorts inom ramen för mekanismerna för inbördes bedömning stödja de nationella myndigheterna för cybersäkerhetscertifiering i övervakningen av den fortsatta kompetensen hos de anmälda organen för bedömning av överensstämmelse. Dessutom kan andra nationella myndigheter för cybersäkerhetscertifiering, kommissionen eller berörda parter ta upp frågor om fortsatt kompetens hos ett anmält organ för bedömning av överensstämmelse med den anmälande nationella myndigheten för cybersäkerhetscertifiering.

(5)

När den anmälande nationella myndigheten för cybersäkerhetscertifiering beslutar att tillfälligt upphäva, begränsa eller återkalla en anmälan av ett organ för bedömning av överensstämmelse bör den samarbeta med det nationella ackrediteringsorgan som utsetts i enlighet med Europaparlamentets och rådets förordning (EG) nr 765/2008 (5). Detta är i överensstämmelse med förordning (EU) 2019/881, där det föreskrivs att de nationella myndigheterna för cybersäkerhetscertifiering aktivt bör bistå, stödja och samarbeta med de nationella ackrediteringsorganen i deras övervaknings- och tillsynsverksamhet. Begränsningen av en anmälan bör avse fall där ackrediteringens tillämpningsområde eller, i tillämpliga fall, bemyndigandets tillämpningsområde, och därmed anmälans tillämpningsområde, är begränsat.

(6)

Enligt artikel 54.1 n i förordning (EU) 2019/881 ska varje europeisk ordning för cybersäkerhetscertifiering innehålla, i tillämpliga fall, bestämmelser om hur organ för bedömning av överensstämmelse ska bevara sina uppgifter. I händelse av begränsning, tillfälligt upphävande eller återkallelse av anmälan, eller om det anmälda organet för bedömning av överensstämmelse har upphört med sin verksamhet, måste den anmälande nationella myndigheten för cybersäkerhetscertifiering således säkerställa att organets uppgifter lagras på ett säkert sätt och bevaras under den tid som krävs, i enlighet med en europeisk ordning för cybersäkerhetscertifiering.

(7)

De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 66 i förordning (EU) 2019/881.