Opdatering af internationale standarder for EU's fælles cybersikkerhedscertificering

1)

Artikel 2, nr. 1) og 2), affattes således: »1) »fælles kriterier«: de fælles kriterier for evaluering af informationsteknologisikkerhed som fastsat i ISO-standarderne IISO/IEC 15408-1:2022, ISO/IEC 15408-2:2022, ISO/IEC 15408-3:2022, ISO/IEC 15408-4:2022 eller ISO/IEC 15408-5:2022 eller som fastsat i de fælles kriterier for evaluering af informationsteknologisikkerhed, version CC:2022, del 1-5, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed 2) »fælles evalueringsmetode«: den fælles metode til evaluering af informationsteknologisikkerhed som fastsat i ISO-standarden ISO/IEC 18045:2022 eller den fælles metode til informationsteknologisk sikkerhedsevaluering, version CEM:2022, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed«

2)

Artikel 3 affattes således: »Artikel 3 Evalueringsstandarder 1. Følgende standarder finder anvendelse på evalueringer, der foretages under EUCC-ordningen: a) de fælles kriterier b) den fælles evalueringsmetode. 2. Indtil den 31. december 2027 kan der udstedes attester i henhold til EUCC-ordningen med anvendelse af en af følgende standarder: a) ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008 eller ISO/IEC 15408-3:2008 b) fælles kriterier for evaluering af informationsteknologisikkerhed, version 3.1, revision 5, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed c) ISO/IEC 18045:2008 d) fælles metode til evaluering af informationsteknologisikkerhed, revision 5, version 3.1, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed. 3. Indtil den 31. december 2027 kan der i henhold til EUCC-ordningen udstedes en attest, der anvender de standarder, der er omhandlet i stk. 1, og som påberåbes at være i overensstemmelse med en beskyttelsesprofil, der har anvendt de standarder, der er anført i stk. 2. 4. Der kan også i henhold til EUCC-ordningen udstedes en attest, der anvender de standarder, der er omhandlet i stk. 1, og som påberåbes at være i overensstemmelse med en beskyttelsesprofil, der har anvendt en af følgende standarder, forudsat at anvendelsen af en sådan beskyttelsesprofil er påkrævet i henhold til Kommissionens gennemførelsesforordning (EU) 2016/799, Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 eller Kommissionens gennemførelsesafgørelse (EU) 2016/650: a) fælles kriterier for evaluering af informationsteknologisikkerhed, version 3.1, revision 1-4, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed b) fælles metode til evaluering af informationsteknologisikkerhed, version 3.1, revision 1-4, offentliggjort af deltagerne i ordningen for anerkendelse af attester baseret på fælles kriterier inden for IT-sikkerhed. Kommissionens gennemførelsesforordning (EU) 2016/799 af 18. marts 2016 om gennemførelse af Europa-Parlamentets og Rådets forordning (EU) nr. 165/2014 om fastsættelse af forskrifter for konstruktion, afprøvning, installering, brug og reparation af takografer og deres komponenter (EUT L 139 af 26.5.2016, s. 1, ELI: data.europa.eu/eli/reg%5Fimpl/2016/799/oj)." Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (EUT L 257 af 28.8.2014, s. 73, ELI: data.europa.eu/eli/reg/2014/910/oj)." Kommissionens gennemførelsesafgørelse (EU) 2016/650 af 25. april 2016 om fastlæggelse af standarder for sikkerhedsvurdering af kvalificerede signatur- og seglgenereringssystemer, jf. artikel 30, stk. 3, og artikel 39, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked (EUT L 109 af 26.4.2016, s. 40, ELI: data.europa.eu/eli/dec%5Fimpl/2016/650/oj).« "

3)

Følgende indsættes som artikel 20a i kapitel IV: »Artikel 20a Specifikation af kravene til akkreditering af overensstemmelsesvurderingsorganer Ved akkrediteringen af overensstemmelsesvurderingsorganer skal der tages hensyn til specifikationen af kravene til akkreditering af certificeringsorganer og ITSEF'er som fastsat i de relevante statusdokumenter, der er anført i punkt 2 i bilag I.«

4)

Artikel 23 og 24 udgår

5)

I artikel 48 tilføjes følgende som stk. 4: »4. Medmindre andet er fastsat i bilag I eller II, finder statusdokumenter anvendelse fra anvendelsesdatoen for den ændringsretsakt, ved hvilken de er blevet indarbejdet i bilag I eller II.«

6)

I artikel 49 tilføjes følgende som stk. 4: »4. De i artikel 3, stk. 2, anførte standarder kan anvendes i forbindelse med den revision, der er omhandlet i stk. 3, senest to år efter udstedelsen af den oprindelige attest, hvor en sådan revision fører til udstedelsen af en ny attest i overensstemmelse med denne forordning. Udstedelsesdatoen for den oprindelige attest skal forstås som udstedelsesdatoen for den seneste attest for det pågældende IKT-produkt eller en beskyttelsesprofil, som den nuværende attest er baseret på.«

7)

Bilag I erstattes af teksten i bilag I til nærværende forordning

8)

Bilag IV ændres i overensstemmelse med bilag II til denne forordning.

1)

Artikel 5, stk. 1, litra b), affattes således: »b) ved at påberåbe overensstemmelse med en certificeret beskyttelsesprofil som en del af IKT-processen, hvor IKT-produktet falder ind under den IKT-produktkategori, der er omfattet af den pågældende beskyttelsesprofil.«

2)

Artikel 8 berigtiges således: a) Titlen affattes således: »Oplysninger, der er nødvendige for certificering og evaluering« b) Stk. 1 affattes således: »1. En ansøger, der ansøger om certificering i henhold til EUCC, skal forelægge eller på anden måde stille alle de oplysninger, der er nødvendige for certificerings- og evalueringsaktiviteterne, til rådighed for certificeringsorganet og ITSEF.«

3)

Artikel 16 affattes således: » Artikel 16 Oplysninger, der er nødvendige for certificering og vurdering af beskyttelsesprofiler En ansøger, der ansøger om certificering af en beskyttelsesprofil, skal forelægge eller på anden måde stille alle de oplysninger, der er nødvendige for certificerings- og vurderingsaktiviteterne, til rådighed for certificeringsorganet og ITSEF'en i fuldstændig og korrekt form. Artikel 8, stk. 2, 3, 4 og 7, finder tilsvarende anvendelse.«

4)

Artikel 17, stk. 1, udgår

5)

Artikel 29, stk. 2, affattes således: »2. Hvis EUCC-attestindehaveren ikke foreslår passende afhjælpende foranstaltninger i den periode, der er omhandlet i stk. 1, suspenderes attesten i overensstemmelse med artikel 30 eller tilbagekaldes i overensstemmelse med artikel 14 eller 20.« .

a)

følgende dokumenter vedrørende den harmoniserede evaluering af det tekniske område »smartcards og lignende enheder«: (1) »Minimum ITSEF requirements for security evaluations of smart cards and similar devices« (minimumskrav til sikkerhedsevalueringer af smartcards og lignende enheder), version 1.1 (2) »Minimum Site Security Requirements« (minimumssikkerhedskrav til sikkerhed på stedet), version 1.1 (3) »Application of Common Criteria to integrated circuits« (anvendelse af fælles kriterier på integrerede kredsløb), version 1.1 (4) »Security Architecture requirements (ADV_ARC) for smart cards and similar devices« (krav til sikkerhedsarkitektur (ADV_ARC) for smartcards og lignende enheder), version 1.1 (5) »Certification of »open« smart card products« (certificering af »åbne« smartcardprodukter), version 1.1 (6) »Composite product evaluation for smart cards and similar devices« (evaluering af sammensatte produkter til smartcards og lignende enheder), version 1.1 (7) »Application of Attack Potential to Smartcards and Similar Devices« (anvendelse af angrebspotentiale på smartcards og lignende enheder), version 1.2.

b)

følgende dokumenter vedrørende den harmoniserede evaluering af det tekniske område »hardwareenheder med sikkerhedsbokse«: (1) »Minimum ITSEF requirements for security evaluations of hardware devices with security boxes« (minimumskrav til sikkerhedsevalueringer af hardwareenheder med sikkerhedsbokse), version 1.1 (2) »Minimum Site Security Requirements« (minimumssikkerhedskrav til sikkerhed på stedet), version 1.1 (3) »Application of Attack Potential to hardware devices with security boxes« (anvendelse af angrebspotentiale på hardwareenheder med sikkerhedsbokse), version 1.2.

a)

»Accreditation of ITSEFs for the EUCC« (akkreditering af ITSEF'er med henblik på EUCC), version 1.1 for akkrediteringer udstedt før den 8. juli 2025.

b)

»Accreditation of ITSEFs for the EUCC« (akkreditering af ITSEF'er med henblik på EUCC), version 1.6c for nyudstedte akkrediteringer eller akkrediteringer, der revideres efter den 8. juli 2025.

c)

»Accreditation of CBs for the EUCC« (akkreditering af certificeringsorganer med henblik på EUCC), version 1.6b.