Kommissionens genomförandeförordning (EU) 2024/482 av den 31 januari 2024 om fastställande av tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) 2019/881 vad gäller antagande av den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering (EUCC)

1.   En IKT-produkt som lämnas in för certifiering ska åtminstone evalueras i enlighet med följande:

2.   I vederbörligen motiverade undantagsfall får ett organ för bedömning av överensstämmelse ansöka om att avstå från att tillämpa de relevanta mönsterdokumenten. I sådana fall ska organet för bedömning av överensstämmelse underrätta den nationella myndigheten för cybersäkerhetscertifiering och lämna en vederbörligen motiverad motivering till sin begäran. Den nationella myndigheten för cybersäkerhetscertifiering ska bedöma motiveringen till ett undantag och godkänna det när så är berättigat . I avvaktan på beslutet från den nationella myndigheten för cybersäkerhetscertifiering får organet för bedömning av överensstämmelse inte utfärda något certifikat. Den nationella myndigheten för cybersäkerhetscertifiering ska utan onödigt dröjsmål anmäla det godkända undantaget till den europeiska gruppen för cybersäkerhetscertifiering, som får utfärda ett yttrande. Den nationella myndigheten för cybersäkerhetscertifiering ska ta största möjliga hänsyn till yttrandet från den europeiska gruppen för cybersäkerhetscertifiering.

3.   Certifiering av IKT-produkter på AVA_VAN-nivå 4 eller 5 ska endast vara möjlig i följande fall:

4.   Om ett organ för bedömning av överensstämmelse anser att ett vederbörligen motiverat undantagsfall enligt punkt 3 c föreligger ska det anmäla den planerade certifieringen till den nationella myndigheten för cybersäkerhetscertifiering tillsammans med en motivering och ett förslag till evalueringsmetodik. Den nationella myndigheten för cybersäkerhetscertifiering ska bedöma motiveringen för ett undantag och, i motiverade fall, godkänna eller ändra den evalueringsmetodik som ska tillämpas av organet för bedömning av överensstämmelse. I avvaktan på beslutet från den nationella myndigheten för cybersäkerhetscertifiering får organet för bedömning av överensstämmelse inte utfärda något certifikat. Den nationella myndigheten för cybersäkerhetscertifiering ska utan onödigt dröjsmål rapportera den planerade certifieringen till den europeiska gruppen för cybersäkerhetscertifiering, som får utfärda ett yttrande. Den nationella myndigheten för cybersäkerhetscertifiering ska ta största möjliga hänsyn till yttrandet från den europeiska gruppen för cybersäkerhetscertifiering.

5.   När det handlar om en IKT-produkt som genomgår en evaluering för en sammansatt produkt i enlighet med de relevanta mönsterdokumenten, ska den ITSEF som utförde evalueringen av den underliggande IKT-produkten utbyta relevant information med den ITSEF som utför den sammansatta IKT-produktevalueringen.

1.   Den som ansöker om certifiering inom ramen för EUCC ska tillhandahålla eller på annat sätt ge certifieringsorganet och ITSEF tillgång till all information som är nödvändig för certifieringsverksamheten.

2.   Den information som avses i punkt 1 ska innefatta alla relevanta underlag i enlighet med avsnitten ”Developer action elements” i lämpligt format enligt avsnitten om ”Content and presentation of evidence element” i Common Criteria och den gemensamma evalueringsmetodiken för den valda assuransnivån och tillhörande säkerhetsassuranskrav. Underlaget ska vid behov innehålla uppgifter om IKT-produkten och dess källkod i enlighet med denna förordning, med förbehåll för skyddsåtgärder mot obehörigt röjande.

3.   Den som ansöker om certifiering får förse certifieringsorganet och ITSEF med lämpliga evalueringsresultat från tidigare certifiering i enlighet med

4.   Om evalueringsresultaten är relevanta för dess arbetsuppgifter får ITSEF återanvända evalueringsresultaten förutsatt att dessa resultat är förenliga med de tillämpliga kraven och att deras autenticitet bekräftas.

5.   Om certifieringsorganet tillåter att produkten genomgår en certifiering för en sammansatt produkt ska den som ansöker om certifieringen förse certifieringsorganet och ITSEF med alla nödvändiga element, i tillämpliga fall i enlighet med mönsterdokumentet.

6.   Den som ansöker om certifiering ska också förse certifieringsorganet och ITSEF med följande:

7.   All relevant dokumentation som avses i denna artikel ska bevaras av certifieringsorganet, ITSEF och sökanden i fem år från det att certifikatet har löpt ut.

1.   Certifieringsorganen ska utfärda ett EUCC-certifikat om samtliga följande villkor uppfylls:

2.   Den som ansöker om certifiering ska förbinda sig att göra följande:

3.   När det handlar om en IKT-produkt som genomgår en certifiering av en sammansatt produkt i enlighet med de relevanta mönsterdokumenten, ska det certifieringsorgan som utförde certifieringen av den underliggande IKT-produkten utbyta relevant information med det certifieringsorgan som utför certifieringen av den sammansatta IKT-produkten.

1.   Ett EUCC-certifikat ska innehålla åtminstone den information som anges i bilaga VII.

2.   Den certifierade produktens omfattning och gränser ska på ett otvetydigt sätt anges i EUCC-certifikatet eller certifieringsrapporten och det ska därvid anges om hela IKT-produkten har certifierats eller endast delar av den.

3.   Certifieringsorganet ska förse sökanden med EUCC-certifikatet i åtminstone elektronisk form.

4.   Certifieringsorganet ska utarbeta en certifieringsrapport i enlighet med bilaga V för varje EUCC-certifikat som det utfärdar. Certifieringsrapporten ska baseras på den tekniska evalueringsrapport som utfärdats av ITSEF. Den tekniska evalueringsrapporten och certifieringsrapporten ska ange de särskilda kriterier och metoder för evaluering som avses i artikel 7 vilka använts för evalueringen.

5.   Certifieringsorganet ska förse den nationella myndigheten för cybersäkerhetscertifiering och Enisa med varje EUCC-certifikat och varje certifieringsrapport i elektronisk form.

1.   Innehavaren av ett certifikat får förse en certifierad IKT-produkt med märkning och etikett. Märkningen och etiketten visar att IKT-produkten har certifierats i enlighet med denna förordning. Märkningen och etiketten ska anbringas i enlighet med denna artikel och med bilaga IX.

2.   Märkningen och etiketten ska anbringas på den certifierade IKT-produkten eller dess typskylt så att den är synlig, enkelt kan läsas och är outplånlig. Om detta inte är möjligt eller lämpligt på grund av produktens art ska den anbringas på förpackningen och de medföljande dokumenten. Om den certifierade IKT-produkten levereras i form av programvara ska märkningen och etiketten finnas i dess medföljande dokumentation så att den är synlig, enkelt kan läsas och är outplånlig, eller också ska användarna ges tillgång till denna dokumentation via en webbplats på ett enkelt och lättillgängligt sätt.

3.   Märkningen och etiketten ska vara i enlighet med bilaga IX och ska innehålla följande:

4.   Märkningen och etiketten ska åtföljas av en QR-kod med en länk till en webbplats som innehåller minst

1.   Certifieringsorganet ska fastställa en giltighetstid för varje EUCC-certifikat som utfärdas med beaktande av den certifierade IKT-produktens egenskaper.

2.   Giltighetstiden för ett EUCC-certifikat ska vara högst fem år.

3.   Med avvikelse från punkt 2 får giltighetstiden överstiga fem år, efter förhandsgodkännande från den nationella myndigheten för cybersäkerhetscertifiering. Den nationella myndigheten för cybersäkerhetscertifiering ska utan onödigt dröjsmål anmäla det beviljade godkännandet till den europeiska gruppen för cybersäkerhetscertifiering.

1.   Certifieringsorganet får, på certifikatinnehavarens begäran eller av andra motiverade skäl, besluta att se över EUCC-certifikatet för en IKT-produkt. Översynen ska utföras i enlighet med bilaga IV. Certifieringsorganet ska fastställa översynens omfattning. När det är nödvändigt för översynen ska certifieringsorganet begära att ITSEF utför en ny evaluering av den certifierade IKT-produkten.

2.   Baserat på resultaten av översynen, och i tillämpliga fall den nya evalueringen, ska certifieringsorganet

3.   Certifieringsorganet får besluta att utan onödigt dröjsmål tillfälligt upphäva EUCC-certifikatet i enlighet med artikel 30, i avvaktan på att innehavaren av EUCC-certifikatet vidtar korrigerande åtgärder.

1.   Utan att det påverkar tillämpningen av artikel 58.8 e i förordning (EU) 2019/881 ska ett EUCC-certifikat återkallas av det certifieringsorgan som utfärdade det berörda certifikatet.

2.   Det certifieringsorgan som avses i punkt 1 ska underrätta den nationella myndigheten för cybersäkerhetscertifiering om återkallandet av certifikatet. Det ska också underrätta Enisa om sådana återkallanden för att underlätta Enisas fullgörande av sina uppgifter enligt artikel 50 i förordning (EU) 2019/881. Den nationella myndigheten för cybersäkerhetscertifiering ska underrätta andra berörda marknadskontrollmyndigheter.

3.   Innehavaren av ett EUCC-certifikat får begära att certifikatet återkallas.

1.   En skyddsprofil ska åtminstone evalueras i enlighet med följande:

2.   I vederbörligen motiverade undantagsfall får ett organ för bedömning av överensstämmelse certifiera en skyddsprofil utan att tillämpa de relevanta mönsterdokumenten. I sådana fall ska det underrätta den behöriga nationella myndigheten för cybersäkerhetscertifiering och lämna en motivering för den planerade certifieringen utan användning av de relevanta mönsterdokumenten tillsammans med den föreslagna evalueringsmetodiken. Den nationella myndigheten för cybersäkerhetscertifiering ska bedöma motiveringen och i motiverade fall godkänna att de relevanta mönsterdokumenten inte används samt, när så är lämpligt, godkänna eller ändra den evalueringsmetodik som ska användas av organet för bedömning av överensstämmelse. I avvaktan på beslutet från den nationella myndigheten för cybersäkerhetscertifiering ska organet för bedömning av överensstämmelse inte utfärda något certifikat för skyddsprofilen. Den nationella myndigheten för cybersäkerhetscertifiering ska utan onödigt dröjsmål anmäla det godkända fallet av icke-användning av de relevanta mönsterdokumenten till den europeiska gruppen för cybersäkerhetscertifiering, som får utfärda ett yttrande. Den nationella myndigheten för cybersäkerhetscertifiering ska ta största möjliga hänsyn till yttrandet från den europeiska gruppen för cybersäkerhetscertifiering.

1.   Den som ansöker om certifiering ska förse certifieringsorganet och ITSEF med all den fullständiga och korrekta information som är nödvändig.

2.   Artiklarna 9 och 10 ska gälla i tillämpliga delar.

3.   ITSEF ska evaluera om en skyddsprofil är fullständig, konsekvent, tekniskt rimlig och ändamålsenlig för den avsedda användningen och säkerhetsmålsättningarna för den IKT-produktkategori som omfattas av den skyddsprofilen.

4.   En skyddsprofil får endast certifieras av

1.   Certifieringsorganet ska fastställa en giltighetstid för varje EUCC-certifikat.

2.   Giltighetstiden får vara upp till den berörda skyddsprofilens livslängd.

1.   På certifikatinnehavarens begäran eller av andra motiverade skäl får certifieringsorganet besluta att se över EUCC-certifikatet för en skyddsprofil. Översynen ska utföras genom tillämpning av de villkor som anges i artikel 15. Certifieringsorganet ska fastställa översynens omfattning. När det är nödvändigt för översynen ska certifieringsorganet begära att ITSEF utför en ny evaluering av den certifierade skyddsprofilen.

2.   Baserat på resultaten av översynen, och i tillämpliga fall den nya evalueringen, ska certifieringsorganet vidta en av följande åtgärder:

1.   Utan att det påverkar tillämpningen av artikel 58.8 e i förordning (EU) 2019/881 ska ett EUCC-certifikat för en skyddsprofil återkallas av det certifieringsorgan som utfärdade det berörda certifikatet. Artikel 14 ska gälla i tillämpliga delar.

2.   Ett certifikat för en skyddsprofil som utfärdats i enlighet med artikel 17.4 b ska återkallas av den nationella myndighet för cybersäkerhetscertifiering som godkände det berörda certifikatet.

1.   Utan att det påverkar tillämpningen av artikel 58.7 i förordning (EU) 2019/881 ska den nationella myndigheten för cybersäkerhetscertifiering övervaka efterlevnaden när det gäller följande:

2.   Den nationella myndigheten för cybersäkerhetscertifiering ska utföra sin övervakningsverksamhet baserat på i synnerhet följande:

3.   Den nationella myndigheten för cybersäkerhetscertifiering ska i samarbete med andra marknadskontrollmyndigheter varje år göra stickprov på minst 4 % av EUCC-certifikaten utifrån en riskbedömning. På begäran ska certifieringsorganen och, om nödvändigt ITSEF, på den behöriga nationella myndigheten för cybersäkerhetscertifierings vägnar, bistå den myndigheten i övervakningen av efterlevnaden.

4.   Den nationella myndigheten för cybersäkerhetscertifiering ska välja ut det stickprov av certifierade IKT-produkter som ska kontrolleras baserat på objektiva kriterier, däribland

5.   Den nationella myndigheten för cybersäkerhetscertifiering ska underrätta innehavarna av EUCC-certifikatet om de utvalda IKT-produkterna och urvalskriterierna.

6.   Det certifieringsorgan som certifierade IKT-produkten i stickprovet ska på begäran av den nationella myndigheten för cybersäkerhetscertifiering och med bistånd av respektive ITSEF, utföra en ytterligare granskning i enlighet med det förfarande som fastställs i avsnitt IV.2 i bilaga IV och informera den nationella myndigheten för cybersäkerhetscertifiering om resultaten.

7.   Om den nationella myndigheten för cybersäkerhetscertifiering har tillräckliga skäl att tro att en certifierad IKT-produkt inte längre uppfyller kraven i denna förordning eller förordning (EU) 2019/881 får den göra utredningar eller utnyttja alla andra övervakningsbefogenheter som anges i artikel 58.8 i förordning (EU) 2019/881.

8.   Den nationella myndigheten för cybersäkerhetscertifiering ska informera certifieringsorganet och berörd ITSEF om pågående utredningar som avser utvalda IKT-produkter.

9.   Om den nationella myndigheten för cybersäkerhetscertifiering fastställer att en pågående utredning rör IKT-produkter som certifierats av certifieringsorgan som är etablerade i andra medlemsstater ska den underrätta de nationella myndigheterna för cybersäkerhetscertifiering i de berörda medlemsstaterna om detta så att de kan samarbeta i utredningsarbetet, när så är relevant. Den berörda nationella myndigheten för cybersäkerhetscertifiering ska också underrätta den europeiska gruppen för cybersäkerhetscertifiering om de gränsöverskridande utredningarna och deras resultat.

1.   Certifieringsorganet ska övervaka följande:

2.   Certifieringsorganet ska utföra sin övervakningsverksamhet baserat på följande:

3.   Den nationella myndigheten för cybersäkerhetscertifiering får utarbeta regler för en regelbunden dialog mellan certifieringsorgan och innehavare av EUCC-certifikat för att kontrollera och rapportera om uppfyllandet av de åtaganden som gjorts i enlighet med artikel 9.2, utan att det påverkar verksamhet hos andra relevanta marknadskontrollmyndigheter.

1.   Innehavaren av ett EUCC-certifikat ska utföra följande uppgifter för att övervaka att den certifierade IKT-produkten överensstämmer med sina säkerhetskrav:

2.   Innehavaren av ett EUCC-certifikat ska samarbeta med certifieringsorganet, ITSEF och, i tillämpliga fall, den nationella myndigheter för cybersäkerhetscertifiering för att stödja deras övervakningsverksamhet.

1.   Om en certifierad IKT-produkt eller skyddsprofil inte överensstämmelser med de krav som fastställs i denna förordning eller förordning (EU) 2019/881 ska certifieringsorganet underrätta innehavaren av EUCC-certifikatet om de identifierade bristerna i överensstämmelsen och begära korrigerande åtgärder.

2.   Om ett fall av bristande överensstämmelse med bestämmelserna i denna förordning kan påverka efterlevnaden av annan relevant unionslagstiftning, som föreskriver möjligheten att påvisa presumtion om överensstämmelse med kraven i den rättsakten genom att använda EUCC-certifikatet, ska certifieringsorganet utan dröjsmål informera den nationella myndigheten för cybersäkerhetscertifiering. Den nationella myndigheten för cybersäkerhetscertifiering ska omedelbart underrätta den marknadskontrollmyndighet som ansvarar för sådan annan relevant unionslagstiftning om det fall av bristande överensstämmelse som identifierats.

3.   Vid mottagandet av den information som avses i punkt 1 ska innehavaren av EUCC-certifikatet inom den tidsfrist som fastställs av certifieringsorganet, vilken inte får överstiga 30 dagar, föreslå certifieringsorganet de korrigerande åtgärder som är nödvändiga för att åtgärda den bristande överensstämmelsen.

4.   Certifieringsorganet får utan onödigt dröjsmål tillfälligt upphäva EUCC-certifikatet i enlighet med artikel 30 vid en nödsituation, eller om innehavaren av EUCC-certifikatet inte samarbetar med certifieringsorganet på vederbörligt sätt.

5.   Certifieringsorganet ska genomföra en översyn i enlighet med artiklarna 13 och 19 för att bedöma om de korrigerande åtgärderna åtgärdar den bristande överensstämmelsen.

6.   Om innehavaren av EUCC-certifikatet inte föreslår ändamålsenliga korrigerande åtgärder inom den tidsfrist som avses i punkt 3 ska certifikatet tillfälligt upphävas i enlighet med artikel 30 eller återkallas i enlighet med artikel 14 eller 20.

7.   Denna artikel ska inte tillämpas på sådana fall där sårbarheter berör en certifierad IKT-produkt, vilka ska hanteras i enlighet med kapitel VI.

1.   Om certifieringsorganet finner att

2.   Om innehavaren av EUCC-certifikatet inte föreslår ändamålsenliga korrigerande åtgärder inom den tidsfrist som avses i punkt 1 ska certifikatet tillfälligt upphävas i enlighet med artikel 30 eller återkallas i enlighet med artiklarna 14 och 20.

3.   Om innehavaren av EUCC-certifikatet fortlöpande eller återkommande överträder de skyldigheter som avses i punkt 1 ska det utlösa ett återkallande av EUCC-certifikatet i enlighet med artikel 14 eller 20.

4.   Certifieringsorganet ska underrätta den nationella myndigheten för cybersäkerhetscertifiering om de iakttagelser som avses i punkt 1. Om fallet av bristande efterlevnad påverkar efterlevnaden av annan relevant unionslagstiftning ska den nationella myndigheten för cybersäkerhetscertifiering omedelbart underrätta den marknadskontrollmyndighet som ansvarar för denna andra relevanta unionslagstiftning om det fall av bristande efterlevnad som identifierats.

1.   I de fall denna förordning hänvisar till ett tillfälligt upphävande av ett EUCC-certifikat ska certifieringsorganet tillfälligt upphäva det berörda EUCC-certifikatet under en period som är lämplig i förhållande till de omständigheter som utlöser ett tillfälligt upphävande, och denna period får inte överstiga 42 dagar. Perioden av tillfälligt upphävande ska inledas den dag som följer på dagen för certifieringsorganets beslut, Det tillfälliga upphävandet ska inte påverka certifikatets giltighet.

2.   Certifieringsorganet ska utan onödigt dröjsmål underrätta certifikatinnehavaren och den nationella myndigheten för cybersäkerhetscertifiering om det tillfälliga upphävandet och ange skälen till det tillfälliga upphävandet, vilka åtgärder som begärts och perioden för det tillfälliga upphävandet.

3.   Certifikatinnehavarna ska underrätta köparna av de berörda IKT-produkterna om det tillfälliga upphävandet och om de skäl som certifieringsorganet angett för det tillfälliga upphävandet, utom de delar av skälen som det skulle innebära en säkerhetsrisk att röja eller som innehåller känslig information. Denna information ska också offentliggöras av certifikatinnehavaren.

4.   Om annan relevant unionslagstiftning föreskriver en presumtion om överensstämmelse baserad på certifikat som utfärdats i enlighet med bestämmelserna i denna förordning ska den nationella myndigheten för cybersäkerhetscertifiering underrätta den marknadskontrollmyndighet som ansvarar för sådan annan relevant unionslagstiftning om det tillfälliga upphävandet.

5.   Det tillfälliga upphävandet av ett certifikat ska anmälas till Enisa i enlighet med artikel 42.3.

6.   I vederbörligen motiverade fall får den nationella myndigheten för cybersäkerhetscertifiering godkänna en förlängning av det tillfälliga upphävandet av ett EUCC-certifikat. Den totala perioden av tillfälligt upphävande får inte överstiga ett år.

1.   Om ett certifieringsorgan brister i uppfyllandet av sina skyldigheter, eller om det berörda certifieringsorganet identifierar bristande efterlevnad hos en ITSEF, ska den nationella myndigheten för cybersäkerhetscertifiering utan onödigt dröjsmål

2.   På grundval av de åtgärder som avses i punkt 1 ska certifieringsorganet anta endera av följande beslut med avseende på varje EUCC-certifikat som berörs:

3.   På grundval av de åtgärder som avses i punkt 1 ska den nationella myndigheten för cybersäkerhetscertifiering

1.   Innehavaren av ett EUCC-certifikat ska inrätta och upprätthålla alla nödvändiga förfaranden för sårbarhetshantering i enlighet med de regler som fastställs i detta avsnitt, vilka vid behov kompletteras av de förfaranden som anges i EN ISO/IEC 30111.

2.   Innehavaren av ett EUCC-certifikat ska upprätthålla och offentliggöra lämpliga metoder för att ta emot information om sårbarheter som rör deras produkter från externa källor, däribland användare, certifieringsorgan och säkerhetsforskare.

3.   Om innehavaren av ett EUCC-certifikat upptäcker eller erhåller information om en potentiell sårbarhet som berör en certifierad IKT-produkt ska den dokumentera den och göra en bedömning av sårbarhetskonsekvenserna.

4.   När en potentiell sårbarhet berör en sammansatt produkt ska innehavaren av EUCC-certifikatet underrätta innehavaren av EUCC-certifikat som är beroende av det om den potentiella sårbarheten.

5.   Vid en rimlig begäran från det certifieringsorgan som utfärdade ett EUCC-certifikat ska innehavaren av ett EUCC-certifikat överlämna all relevant information om potentiella sårbarheter till det certifieringsorganet.

1.   En bedömning av sårbarhetskonsekvenserna ska avse det evalueringsobjekt och den assuransnivå som omfattas av certifikatet. Bedömningen av sårbarhetskonsekvenserna ska göras inom en tidsram som är lämplig med hänsyn till möjligheterna att utnyttja den potentiella sårbarheten i den certifierade IKT-produkten samt dess kritikalitetsnivå.

2.   I tillämpliga fall ska en angreppspotential beräknas i enlighet med den relevanta metodiken i standarderna enligt artikel 3 och relevanta mönsterdokument som förtecknas i bilaga I, så att möjligheterna att utnyttja sårbarheten kan fastställas. EUCC-certifikatets AVA_VAN-nivå ska beaktas.

1.   Innehavaren ska ta fram en rapport om bedömningen av sårbarhetskonsekvenserna om analysen visar att sårbarheten sannolikt påverkar IKT-produktens överensstämmelse med sitt certifikat.

2.   Rapporten om bedömningen av sårbarhetskonsekvenserna ska omfatta en bedömning av följande aspekter:

3.   Rapporten om bedömningen av sårbarhetskonsekvenserna ska, i tillämpliga fall, innehålla uppgifter om möjliga sätt att utnyttja sårbarheten. Information om möjliga sätt att utnyttja sårbarheten ska hanteras i enlighet med ändamålsenliga säkerhetsåtgärder för att skydda uppgifternas konfidentialitet och säkerställa, när så är nödvändigt, en begränsad spridning.

4.   Innehavaren av ett EUCC-certifikat ska utan dröjsmål överlämna en rapport om bedömningen av sårbarhetskonsekvenserna till certifieringsorganet eller den nationella myndigheten för cybersäkerhetscertifiering i enlighet med artikel 56.8 i förordning (EU) 2019/881.

5.   Om rapporten om bedömningen av sårbarhetskonsekvenserna fastställer att sårbarheten inte är kvarstående i den mening som avses i de standarder som avses i artikel 3, och att den kan åtgärdas, ska artikel 36 tillämpas.

6.   Om rapporten om bedömningen av sårbarhetskonsekvenserna fastställer att sårbarheten inte är kvarstående och att det inte kan åtgärdas ska EUCC-certifikatet återkallas i enlighet med artikel 14.

7.   Innehavaren av EUCC-certifikatet ska övervaka alla kvarstående sårbarheter för att säkerställa att de inte kan utnyttjas i händelse av förändringar i den operativa miljön.

1.   Den information som certifieringsorganet lämnar till den nationella myndigheten för cybersäkerhetscertifiering ska innefatta alla aspekter som behövs för att den nationella myndigheten för cybersäkerhetscertifiering ska förstå sårbarhetskonsekvenserna, de ändringar av IKT-produkten som ska göras och eventuell tillgänglig information från certifieringsorganet om denna sårbarhets allmänna konsekvenser för andra certifierade IKT-produkter.

2.   Den information som tillhandahålls i enlighet med punkt 1 ska inte innehålla uppgifter om hur denna sårbarhet kan utnyttjas. Denna bestämmelse påverkar inte utredningsbefogenheterna för den nationella myndigheten för cybersäkerhetscertifiering.

1.   Den nationella myndigheten för cybersäkerhetscertifiering ska utbyta relevant information som mottagits i enlighet med artikel 37 med andra nationella myndigheter för cybersäkerhetscertifiering och Enisa.

2.   Andra nationella myndigheter för cybersäkerhetscertifiering får besluta att ytterligare analysera sårbarheten eller att, efter att ha informerat innehavaren av EUCC-certifikatet, begära att berörda certifieringsorgan bedömer om sårbarheten kan beröra andra certifierade IKT-produkter.