(EU) 2024/3143Prováděcí nařízení Komise (EU) 2024/3143 ze dne 18. prosince 2024, kterým se stanoví okolnosti, formáty a postupy pro oznámení podle čl. 61 odst. 5 nařízení Evropského parlamentu a Rady (EU) 2019/881 o agentuře ENISA (Agentuře Evropské unie pro kybernetickou bezpečnost) a o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií

(1)

Podle čl. 61 odst. 1 nařízení (EU) 2019/881 („akt o kybernetické bezpečnosti“) jsou vnitrostátní orgány certifikace kybernetické bezpečnosti odpovědné za to, že Komisi budou oznámeny subjekty posuzování shody akreditovanéh a případně autorizované k vydávání evropských certifikátů kybernetické bezpečnosti s určenými úrovněmi záruky, přičemž tato oznámení by měly průběžně aktualizovat. Kromě toho je Komise podle čl. 61 odst. 2 nařízení (EU) 2019/881 povinna seznam subjektů posuzování shody oznámených v rámci evropského systému certifikace kybernetické bezpečnosti zveřejnit v Úředním věstníku Evropské unie, a to do jednoho roku po vstupu tohoto schématu v platnost. Aby byl zajištěn harmonizovaný přístup k oznamování a usnadnil se postup oznamování vnitrostátním orgánům certifikace kybernetické bezpečnosti, mělo by toto nařízení dále upřesnit okolnosti, formáty a postupy pro oznámení. Tyto aspekty je důležité vyjasnit s ohledem na uplatňování prvního evropského systému certifikace kybernetické bezpečnosti založeného na společných kritériích (EUCC) stanoveného prováděcím nařízením Komise (EU) 2024/482 (2).

(2)

Toto nařízení uznává synergie mezi nařízením (EU) 2019/881 a příslušnými harmonizačními právními předpisy Unie, včetně nařízení Evropského parlamentu a Rady (EU) 2024/2847 (akt o kybernetické odolnosti) (3). Navrhuje se proto, aby vnitrostátní orgány certifikace kybernetické bezpečnosti informovaly Komisi prostřednictvím elektronického nástroje pro oznamování, který vyvinula a spravuje Komise, uvedeného v rozhodnutí Evropského parlamentu a Rady č. 768/2008/ES (4). Aniž by byla dotčena povinnost Komise zveřejnit seznam oznámených subjektů posuzování shody v Úředním věstníku Evropské unie, měl by být tento seznam rovněž zpřístupněn veřejnosti v elektronickém nástroji pro oznamování vyvinutém a spravovaném Komisí.

(3)

Oznamování akreditovaných a případně autorizovaných subjektů posuzování shody znamená, že těmto subjektům lze důvěřovat při provádění hodnotících a certifikačních činností v souladu s nařízením (EU) 2019/881, což přispívá k celkové dobré pověsti evropských systémů certifikace kybernetické bezpečnosti. Je proto nezbytné zajistit, aby oznámené subjekty posuzování shody splňovaly své požadavky a plnily své povinnosti i v průběhu času. Zveřejněný seznam oznámených subjektů posuzování shody by měl být přesný a aktualizovaný a měl by odrážet jejich soulad s požadavky stanovenými v nařízení (EU) 2019/881 a případně se zvláštními nebo dodatečnými požadavky v rámci evropského systému certifikace kybernetické bezpečnosti. Za tímto účelem je nezbytné, aby vnitrostátní orgány certifikace kybernetické bezpečnosti bez zbytečného prodlení oznámily Komisi jakékoli změny oznámení v souladu s čl. 61 odst. 1 nařízení (EU) 2019/881.

(4)

Vnitrostátní orgány certifikace kybernetické bezpečnosti odpovídají za zajištění toho, aby subjekty posuzování shody dodržovaly nařízení (EU) 2019/881 a evropské systémy certifikace kybernetické bezpečnosti, a v této souvislosti zajišťují přesnost oznámení. Tyto činnosti podléhají vzájemnému hodnocení, jehož výsledek by měl pomoci určit veškeré nezbytné změny ke zvýšení jejich účinnosti. Vnitrostátní orgány certifikace kybernetické bezpečnosti mohou na základě obav, které mu byly za různých okolností oznámeny, zjistit, že subjekt posuzování shody již nesplňuje příslušné požadavky. Zjištění mechanismů vzájemného hodnocení by měla v příslušných případech podpořit vnitrostátní orgány certifikace kybernetické bezpečnosti při sledování trvalé způsobilosti oznámených subjektů posuzování shody. Kromě toho mohou jiné vnitrostátní orgány certifikace kybernetické bezpečnosti, Komise nebo zúčastněné strany vznést u oznamujícího vnitrostátního orgánu certifikace kybernetické bezpečnosti obavy týkající se trvalé způsobilosti oznámených subjektů posuzování shody.

(5)

Při rozhodování o pozastavení, omezení nebo zrušení oznámení subjektu posuzování shody má oznamující vnitrostátní orgán certifikace kybernetické bezpečnosti spolupracovat s vnitrostátním akreditačním orgánem jmenovaným podle nařízení Evropského parlamentu a Rady (ES) č. 765/2008 (5). To je v souladu s nařízením (EU) 2019/881, které stanoví, že vnitrostátní orgány certifikace kybernetické bezpečnosti by měly aktivně pomáhat vnitrostátním akreditačním orgánům, podporovat je a spolupracovat s nimi při jejich činnostech v oblasti monitorování a dozoru. Omezení oznámení by se mělo vztahovat na případ, kdy je rozsah akreditace nebo, v příslušných případech, rozsah autorizace, a tedy rozsah oznámení, omezen.

(6)

Podle čl. 54 odst. 1 písm. n) nařízení (EU) 2019/881 každé evropské schéma certifikace kybernetické bezpečnosti zahrnuje v příslušných případech pravidla upravující uchovávání záznamů ze strany subjektů posuzování shody. Je proto nezbytné, aby v případě omezení, pozastavení nebo zrušení oznámení nebo v případě, že oznámený subjekt posuzování shody ukončil svou činnost, oznamující vnitrostátní orgán certifikace kybernetické bezpečnosti zajistil, aby byly záznamy tohoto subjektu posuzování shody uchovávány bezpečným způsobem a po nezbytnou dobu, jak je stanoveno v evropském systému certifikace kybernetické bezpečnosti.

(7)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného podle článku 66 nařízení (EU) 2019/881,