(EU) 2025/2540Prováděcí nařízení Komise (EU) 2025/2540 ze dne 9. prosince 2025, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2019/881, pokud jde o stanovení plánu vzájemného hodnocení

1.   Vzájemná hodnocení vnitrostátních orgánů certifikace kybernetické bezpečnosti se budou provádět v souladu s harmonogramem stanoveným v příloze I. Každé vzájemné hodnocení bude dokončeno do data uvedeného v tomto harmonogramu a poté se bude provádět každých pět let.

2.   Vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, může za výjimečných okolností Komisi požádat, aby jeho vzájemné hodnocení posunula na pozdější datum, než je uvedeno v harmonogramu stanoveném v příloze I. Komise ve spolupráci s Evropskou skupinou pro certifikaci kybernetické bezpečnosti (ECCG) zřízenou článkem 62 nařízení (EU) 2019/881 žádost posoudí a všechny příslušné strany o výsledku včas informuje.

3.   Pokud členský stát v souladu s čl. 58 odst. 1 nařízení (EU) 2019/881 určil:

4.   Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) zveřejní na internetových stránkách o evropských schématech certifikace kybernetické bezpečnosti vytvořených podle článku 50 nařízení (EU) 2019/881:

5.   Každý vnitrostátní orgán certifikace kybernetické bezpečnosti, který se účastní procesu vzájemného hodnocení, nese vlastní náklady na účast.

1.   V souladu s čl. 59 odst. 4 nařízení (EU) 2019/881 mají každé vzájemné hodnocení provádět dva vnitrostátní orgány certifikace kybernetické bezpečnosti jiných členských států, které provádějí vzájemné hodnocení, a Komise. Vnitrostátní orgány certifikace kybernetické bezpečnosti každého členského státu se během každého období stanoveného v příloze I zúčastní vzájemného hodnocení alespoň dvou vnitrostátních orgánů certifikace kybernetické bezpečnosti.

2.   Vnitrostátní orgány certifikace kybernetické bezpečnosti jiných členských států se mohou účastnit vzájemného hodnocení jako pozorovatelé s jedním nebo více zástupci, a to se souhlasem vnitrostátního orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, vnitrostátního orgánu certifikace kybernetické bezpečnosti, který vzájemné hodnocení provádí, a Komise.

3.   Vzájemného hodnocení se může jako pozorovatel zúčastnit jeden zástupce agentury ENISA. Se souhlasem vnitrostátního orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, vnitrostátního orgánu certifikace kybernetické bezpečnosti, který vzájemné hodnocení provádí, a Komise se mohou rovněž účastnit další zástupci.

4.   Pozorovatelé mají přístup ke stejným informacím jako ostatní členové týmu pro vzájemné hodnocení, ale neplní úkoly související s prováděním vzájemného hodnocení.

5.   Agentura ENISA ve spolupráci s Komisí a skupinou ECCG navrhne a vede seznam vnitrostátních orgánů certifikace kybernetické bezpečnosti, které provádějí vzájemné hodnocení, jež mají vypracovat harmonogram stanovený v příloze I. Agentura ENISA ve spolupráci s Komisí během daného roku vnitrostátní orgány certifikace kybernetické bezpečnosti požádá, aby vyjádřily svůj zájem o provedení vzájemných hodnocení vnitrostátních orgánů certifikace kybernetické bezpečnosti podle harmonogramu v příloze I na následující rok nebo o účast v roli pozorovatele.

6.   Pokud o provedení vzájemného hodnocení téhož vnitrostátního orgánu certifikace kybernetické bezpečnosti vyjádří zájem více než dva vnitrostátní orgány certifikace kybernetické bezpečnosti, Komise a agentura ENISA zúčastněné vnitrostátní orgány certifikace kybernetické bezpečnosti konzultují a rozhodnou o účastnících vzájemného hodnocení.

7.   Pokud v daném roce není dostatek vnitrostátních orgánů certifikace kybernetické bezpečnosti, které mají provádět vzájemné hodnocení, jež vyjádří svůj zájem o provedení vzájemných hodnocení, Komise po konzultaci se skupinou ECCG vybere vnitrostátní orgány certifikace kybernetické bezpečnosti, které vzájemné hodnocení provedou. Komise při svém výběru zohlední povinnost vnitrostátních orgánů certifikace kybernetické bezpečnosti každého členského státu zúčastnit se vzájemného hodnocení alespoň dvou vnitrostátních orgánů certifikace kybernetické bezpečnosti uvedenou v odstavci 1.

1.   Vnitrostátní orgán certifikace kybernetické bezpečnosti, který provádí vzájemné hodnocení, v dostatečném předstihu před zahájením vzájemného hodnocení určí jednoho zástupce, který vzájemné hodnocení provede. Vnitrostátní orgán certifikace kybernetické bezpečnosti, který provádí vzájemné hodnocení, může jmenovat více než jednoho zástupce, je-li to nezbytné k zajištění toho, aby měl tým pro vzájemné hodnocení nezbytné kompetence k provedení vzájemného hodnocení.

2.   Zástupce vnitrostátního orgánu certifikace kybernetické bezpečnosti, který provádí vzájemné hodnocení, s výjimkou zástupců vnitrostátního orgánu certifikace kybernetické bezpečnosti, kteří se účastní jako pozorovatelé, musí splňovat tato kritéria:

3.   Vnitrostátní orgány certifikace kybernetické bezpečnosti, které vzájemné hodnocení provádějí, zajistí, aby před zahájením procesu vzájemného hodnocení bylo ostatním vnitrostátním orgánům certifikace kybernetické bezpečnosti, Komisi a agentuře ENISA sděleno jakékoli riziko střetu zájmů týkající se určených zástupců. Vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, může proti jmenování konkrétních zástupců v souladu s odstavcem 5 vznést námitku.

4.   Vnitrostátní orgány certifikace kybernetické bezpečnosti, které provádějí vzájemné hodnocení, si ze svých řad vyberou jednoho zástupce (dále jen „vedoucí týmu“), který bude vzájemné hodnocení koordinovat.

5.   Před zahájením procesu vzájemného hodnocení poskytne Komise vnitrostátnímu orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, jména a kontaktní údaje zástupců vnitrostátních orgánů certifikace kybernetické bezpečnosti, které vzájemné hodnocení provádějí. Pokud si vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, přeje vznést námitku proti jmenování jednoho nebo více zástupců, poskytne do dvou týdnů Komisi jasné odůvodnění, informuje agenturu ENISA a skupinu ECCG a požádá je, aby vnitrostátní orgán certifikace kybernetické bezpečnosti, který vzájemné hodnocení provádí, jmenoval jiného zástupce.

6.   Pokud postup stanovený v odstavci 5 způsobí z důvodu výjimečných okolností zbytečné prodlevy při zahájení vzájemného hodnocení, rozhodne o složení týmu pro vzájemné hodnocení Komise po konzultaci s agenturou ENISA a skupinou ECCG.

1.   Vzájemné hodnocení posoudí aspekty uvedené v příloze II v souladu s čl. 59 odst. 3 nařízení (EU) 2019/881.

2.   Agentura ENISA může ve spolupráci se skupinou ECCG a Komisí vypracovat vzory pro posuzování procesů stanovených vnitrostátním orgánem certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení.

3.   Vzájemné hodnocení se zaměří na:

4.   Délka vzájemného hodnocení může být mezi týmem pro vzájemné hodnocení a vnitrostátním orgánem certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, předem dohodnuta v závislosti na rozsahu a složitosti činností vnitrostátního orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení. Návštěva na místě nesmí trvat déle než tři pracovní dny.

5.   Nedohodnou-li se tým pro vzájemné hodnocení, vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, a Komise jinak, je jazykem spolupráce angličtina. Zpráva o vzájemném hodnocení uvedená v článku 5 se vypracuje alespoň v angličtině.

6.   Vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, musí spolupracovat a týmu pro vzájemné hodnocení poskytnout přístup k informacím a dokumentům, které jsou k provedení vzájemného hodnocení nezbytné. Vnitrostátní orgán certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, předloží alespoň 21 dnů před datem návštěvy na místě dotazník se sebehodnocením a poslední každoroční souhrnnou zprávu přijatou v souladu s čl. 58 odst. 7 písm. g) nařízení (EU) 2019/881. Další dokumenty se na žádost týmu pro vzájemné hodnocení předkládají do sedmi dnů od obdržení těchto žádostí.

7.   Dokumenty se poskytují v angličtině, není-li podle odstavce 5 dohodnuto jinak. Nejsou-li dokumenty poskytnuty v angličtině, může tým pro vzájemné hodnocení požádat, aby byly dokumenty nezbytné k provedení vzájemného hodnocení přeloženy do angličtiny.

8.   Před vypracováním zprávy o vzájemném hodnocení v souladu s článkem 5 projedná tým pro vzájemné hodnocení předběžná zjištění s vnitrostátním orgánem certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení.

1.   Tým pro vzájemné hodnocení vypracuje do 21 dnů od provedení tohoto hodnocení návrh zprávy o vzájemném hodnocení, která obsahuje podrobnosti o členském státě vnitrostátního orgánu certifikace kybernetické bezpečnosti, který byl předmětem vzájemného hodnocení, o vnitrostátních orgánech certifikace kybernetické bezpečnosti, které hodnocení provedly, o Komisi a jakémkoliv pozorovateli, jakož i zjištění a závěry vzájemného hodnocení. V případě potřeby obsahují zprávy doporučení, jejichž cílem je dosáhnout zlepšení v aspektech, jichž se vzájemné hodnocení týká.

2.   Agentura ENISA může ve spolupráci s Komisí a skupinou ECCG vypracovat vzor pro zprávu o vzájemném hodnocení.

3.   Po vypracování návrhu zprávy o vzájemném hodnocení v souladu s odstavcem 1 jej tým pro vzájemné hodnocení poskytne vnitrostátnímu orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, aby se k němu do 14 dnů vyjádřil. Tým pro vzájemné hodnocení tyto připomínky vyhodnotí a pokud možno je začlení do závěrečné zprávy s cílem zajistit konsensus. V případě neshody se odpověď vnitrostátního orgánu certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, připojí k závěrečné zprávě.

4.   Závěrečná zpráva se zašle skupině ECCG do dvou měsíců od provedení vzájemného hodnocení, včetně shrnutí určeného ke zveřejnění. V souladu s čl. 59 odst. 6 nařízení (EU) 2019/881 skupina ECCG zprávu posoudí a schválí její shrnutí, které se zveřejní na internetových stránkách o evropských schématech certifikace kybernetické bezpečnosti vytvořených podle článku 50 nařízení (EU) 2019/881. Po dohodě s vnitrostátním orgánem certifikace kybernetické bezpečnosti, který je předmětem vzájemného hodnocení, zahrnuje shrnutí rovněž jeho odpověď nebo její části.

5.   Před tím, než tým pro vzájemné hodnocení rozešle zprávu o vzájemném hodnocení mimo tento tým, anonymizuje osobní údaje, které během vzájemného hodnocení případně shromáždil.

1.   Všechny strany, které se podílejí na vzájemném hodnocení, zachovávají důvěrnost informací a údajů, jež získají při provádění svých úkolů a činnosti, takovým způsobem, aby chránily zejména:

2.   Tým pro vzájemné hodnocení zajistí, aby s veškerými informacemi získanými v rámci procesu vzájemného hodnocení bylo nakládáno bezpečně. Po vypracování závěrečné zprávy a shrnutí podle čl. 5 odst. 4 tým pro vzájemné hodnocení, včetně případného pozorovatele, vymaže nebo zničí všechny dokumenty, které byly v rámci procesu vzájemného hodnocení shromážděny nebo vytvořeny, kromě závěrečné zprávy a shrnutí.

3.   Agentura ENISA může s přihlédnutím ke stávajícím osvědčeným postupům vnitrostátních orgánů certifikace kybernetické bezpečnosti ve spolupráci se skupinou ECCG vypracovat pokyny pro bezpečnou a důvěrnou komunikaci.