Член 1 Изменения на Регламент (ЕС) 2019/881
Регламент (ЕС) 2019/881 се изменя, както следва:
1. В член 1, параграф 1, първа алинея буква б) се заменя със следното: „б) се определя рамка за създаването на европейски схеми за сертифициране на киберсигурността с цел да се гарантира подходящо ниво на киберсигурност за ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност в Съюза, както и с цел да се избегне разпокъсаност на вътрешния пазар по отношение на схемите за сертифициране на киберсигурността в Съюза.“
2. Член 2 се изменя, както следва:
а) точки 9, 10 и 11 се заменят със следното: „9) „европейска схема за сертифициране на киберсигурността“ означава определен на равнището на Съюза цялостен набор от правила, технически изисквания, стандарти и процедури, установени на равнище на Съюза и които се прилагат по отношение на сертифицирането или оценката на съответствието на специфични ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност;
10. „национална схема за сертифициране на киберсигурността“ означава цялостен набор от правила, технически изисквания, стандарти и процедури, разработени и приети от национален публичен орган и които се прилагат по отношение на сертифицирането или оценката на съответствието на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, попадащи в обхвата на конкретната схема;
11. „европейски сертификат за киберсигурност“ означава издаден от съответния орган документ, удостоверяващ, че за даден ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност е извършена оценка за съответствие спрямо специфичните изисквания за сигурност, определени в дадена европейска схема за сертифициране на киберсигурността;“ ;
б) вмъква се следната точка: „14a) „управлявана услуга за сигурност“ означава услуга, предоставяна на трета страна, по извършване или съдействие за извършване на дейности, свързани с управлението на риска за киберсигурността, като например справяне с инциденти, тестване за проникване, одити на сигурността и консултантски услуги, включително експертни съвети, свързани с техническата подкрепа;“ ;
в) точки 20, 21 и 22 се заменят със следното: „20) „техническа спецификация“ означава документ, определящ техническите изисквания, които трябва да бъдат изпълнени от ИКТ продукт, ИКТ услуга или ИКТ процес, или процедурите за оценяване на съответствието, свързани с ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност;
21. „ниво на увереност“ означава основа за увереност, че даден ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност отговаря на изискванията за сигурност на конкретна европейска схема за сертифициране на киберсигурността, и указва на какво ниво е бил оценен ИКТ продуктът, ИКТ услугата, ИКТ процесът или управляваната услуга за сигурност, но само по себе си не измерва сигурността на съответния ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност;
22. „самооценяване на съответствието“ означава действие, извършвано от производител или доставчик на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, с което се оценява дали тези ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност отговарят на изискванията на конкретна европейска схема за сертифициране на киберсигурността.“
3. В член 4 параграф 6 се заменя със следното: „6. ENISA насърчава използването на европейското сертифициране с оглед на избягването на разпокъсаността на вътрешния пазар. ENISA допринася за създаването и поддържането на европейската рамка за сертифициране на киберсигурността съгласно дял III от настоящия регламент, с цел постигане на повече прозрачност в увереността за киберсигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност като по този начин се укрепва доверието в цифровия вътрешен пазар и неговата конкурентоспособност.“
4. Член 8 се изменя, както следва:
а-2) параграф 1 се изменя, както следва:
уводната част се заменя със следното: „1. ENISA насърчава разработването и изпълнението на политиката на Съюза за сертифициране на киберсигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност, както е предвидено в дял III от настоящия регламент, като:“ ;
буква б) се заменя със следното: „б) изготвя проекти за европейски схеми за сертифициране на киберсигурността („проекти за схеми“) на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност в съответствие с член 49;“ ;
б-2) параграф 3 се заменя със следното: „3. ENISA съставя и публикува насоки и разработва добри практики относно изискванията за киберсигурност за ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност в сътрудничество с националните органи по сертифицирането на киберсигурността и с отрасъла по формален, структуриран и прозрачен начин.“ ;
в-2) параграф 5 се заменя със следното: „5. ENISA улеснява въвеждането и използването на европейски и международни стандарти за управление на риска и за сигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност.“
5. Член 46 се заменя със следното: „Член 46 Европейска рамка за сертифициране на киберсигурността
(1) Европейската рамка за сертифициране на киберсигурността се създава с цел да се подобрят условията за функционирането на вътрешния пазар, като се повиши нивото на киберсигурност в Съюза и се даде възможност за хармонизиран подход на равнището на Съюза спрямо европейските схеми за сертифициране на киберсигурността, с оглед на създаването на цифров единен пазар за ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност.
(2) Европейската рамка за сертифициране на киберсигурността предвижда механизъм за създаване на европейски схеми за сертифициране на киберсигурността и удостоверяване, че ИКТ продуктите, ИКТ услугите и ИКТ процесите, които са били оценени в съответствие с такива схеми, отговарят на определени изисквания за сигурност с цел да се защити наличността, автентичността, целостта или поверителността на съхраняваните, предаваните или обработваните данни или на функциите и услугите, предлагани или направени достъпни чрез тези продукти, услуги и процеси през целия им жизнен цикъл. Освен това тя удостоверява, че управляваните услуги за сигурност, оценени в съответствие с тези схеми, отговарят на определени изисквания за сигурност с цел защита на наличността, автентичността, целостта и поверителността на данните, до които се осъществява достъп, които се обработват, съхраняват или предават във връзка с предоставянето на тези услуги, и че тези услуги се предоставят непрекъснато с необходимата компетентност, експертни познания и опит от персонал с достатъчно и подходящо ниво на съответните технически познания и професионална почтеност.“
6. Член 47 се изменя, както следва:
а) параграф 2 се заменя със следното: „2. Непрекъснатата работна програма на Съюза включва по-специално списък на ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност или категориите такива продукти, услуги и процеси, които могат да се възползват от включване в обхвата на дадена европейска схема за сертифициране на киберсигурността.“ ;
б) параграф 3 се изменя, както следва:
7. Член 49 се изменя, както следва:
а-2) параграфи 1—4 се заменят със следното: „1. По искане на Комисията съгласно член 48 ENISA изготвя проект за схема, която отговаря на приложимите изисквания, определени в членове 51, 51а, 52 и 54. 2. По искане на Европейската група за сертифициране на киберсигурността съгласно член 48, параграф 2, ENISA може да изготви проект за схема, която отговаря на приложимите изисквания, определени в членове 51, 51а, 52 и 54. Ако ENISA отхвърли такова искане, тя мотивира отказа си. Всяко решение за отхвърляне на такова искане се взема от управителния съвет.
(3) При изготвянето на проект за схема ENISA провежда своевременни консултации с всички съответни заинтересовани страни посредством официален, отворен, прозрачен и приобщаващ процес на консултация. При предаването на проекта на схема на Комисията съгласно параграф 6 ENISA предоставя информация за начина, по който е спазила настоящия параграф.
(4) За всеки проект за схема ENISA създава ad hoc работна група в съответствие с член 20, параграф 4, която да предостави на ENISA конкретни съвети и експертно мнение. Тези ad hoc работни групи по целесъобразност и без да се засягат процедурите и свободата на преценка, предвидени в член 20, параграф 4, включват експерти от публичните администрации на държавите членки, институциите, органите, службите и агенциите на Съюза и частния сектор.“ ;
б) параграф 7 се заменя със следното: „7. На основата на проекта за схема, изготвен от ENISA, Комисията може да приема актове за изпълнение, с които да установи европейска схема за сертифициране на киберсигурността за ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност, отговаряща на съответните изисквания на членове 51, 51а, 52 и 54. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 66, параграф 2.“
8. Вмъква се следният член: „Член 49а Информация и провеждане на консултации относно европейските схеми за сертифициране на киберсигурността 1. Комисията прави публично достояние информацията относно своето искане, отправено до ENISA, за изготвяне на проект за схема или за извършване на преглед на съществуваща европейска схема за сертифициране на киберсигурността, както е посочено в член 48. 2. По време на изготвянето на проект за схема от ENISA съгласно член 49 Европейският парламент, Съветът или и двете институции могат да поискат от Комисията в качеството ѝ на председател на Европейската група за сертифициране на киберсигурността и ENISA да представят на всеки три месеца съответната информация относно проекта на проект за схема. По искане на Европейския парламент или на Съвета ENISA, в съгласие с Комисията и без да се засяга член 27, може да предоставя на Европейския парламент и на Съвета съответните части от проекта на проект за схема по начин, съответстващ на изискваното ниво на поверителност, и когато е целесъобразно, по ограничен начин. 3. За да се засилва диалогът между институциите на Съюза и да се допринася за официален, открит, прозрачен и приобщаващ процес на консултации, Европейският парламент, Съветът или и двете институции могат да приканват Комисията и ENISA да обсъждат въпроси, свързани с функционирането на европейските схеми за сертифициране на киберсигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност. 4. При оценката на настоящия регламент съгласно член 67 Комисията взема предвид елементите, произтичащи от становищата, изразени от Европейския парламент и от Съвета по въпросите, посочени в параграф 3 от настоящия член, когато е целесъобразно.“
9. Член 51 се изменя, както следва:
а) заглавието се заменя със следното: „Цели, свързани със сигурността на европейските схеми за сертифициране на киберсигурността на ИКТ продукти, ИКТ услуги и ИКТ процеси“ ;
б-2) уводното изречение се заменя със следното: „Европейските схеми за сертифициране на киберсигурността на ИКТ продукти, ИКТ услуги или ИКТ процеси се проектират така, че да постигнат, според нуждите, най-малко следните цели, свързани със сигурността:“
10. Вмъква се следният член: „Член 51a Цели, свързани със сигурността на европейските схеми за сертифициране на киберсигурността на управлявани услуги за сигурност Европейските схеми за сертифициране на киберсигурността на управлявани услуги за сигурност се проектират така, че да постигнат, според нуждите, най-малко следните цели, свързани със сигурността:
а-2) управляваните услуги за сигурност да разполагат с необходимата компетентност, експертни познания и опит, включително персоналът, на когото е възложено предоставянето на тези услуги, да притежава достатъчно и подходящо ниво на технически познания и компетентност в конкретната област, достатъчен и подходящ опит и най-висока степен на професионална почтеност;
б-3) доставчикът да разполага с подходящи вътрешни процедури, за да гарантира, че управляваните услуги за сигурност се предоставят с достатъчно и подходящо качество по всяко време;
в) данните, до които се осъществява достъп и които се съхраняват, предават или обработват по друг начин във връзка с предоставянето на управлявани услуги за сигурност, да са защитени срещу случаен или неразрешен достъп, съхранение, разкриване, унищожаване, друга обработка, загуба, промяна или липса;
г) своевременно да се възстановяват наличието и достъпът до данни, услуги и функции в случай на физически или технически инцидент;
д) оправомощените лица, програми и машини да имат достъп единствено до данните, услугите и функциите, за които се отнасят правата им на достъп;
е) да се пази запис на данните, услугите или функциите, до които е бил осъществен достъп или са били използвани или обработвани по друг начин, кога и от кого, както и този запис да е наличен за оценка;
ж) ИКТ продуктите, ИКТ услугите и ИКТ процесите, внедрени при предоставянето на управляваните услуги за сигурност, да са защитени още при разработването и по подразбиране и, когато е приложимо, да включват последните актуализации на сигурността и да не съдържат публично известни уязвимости.“
11. Член 52 се изменя, както следва:
а-3) параграф 1 се заменя със следното: „1. Европейските схеми за сертифициране на киберсигурността могат да предвиждат едно или повече от следните нива на увереност за ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност: „базово“, „съществено“ или „високо“. Нивото на увереност следва да е съизмеримо със степента на риска, свързан с предвидената употреба на ИКТ продукта, ИКТ услугата, ИКТ процеса или управляваната услуга за сигурност, с оглед на вероятността от инцидент и неговото въздействие.“ ;
б-4) параграф 3 се заменя със следното: „3. Изискванията за сигурност, които отговарят на всяко ниво на увереност се посочват в съответната европейска схема за сертифициране на киберсигурността включително съответните функционалности за сигурност и съответното ниво на стриктност и задълбоченост на оценката, през която трябва да премине даден ИКТ продукт, ИКТ услуга или ИКТ процес и управлявана услуга за сигурност.“ ;
в-2) параграфи 5, 6 и 7 се заменят със следното: „5. Европейският сертификат за киберсигурност или ЕС декларацията за съответствие, посочващи ниво на увереност „базово“, дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които този сертификат или тази ЕС декларация за съответствие са издадени, отговарят на съответните изисквания за сигурност, включително функционалности за сигурност, и че са били оценени на ниво, което има за цел да се сведат до минимум известните основни рискове от инциденти и кибератаки. Дейностите по оценка, които трябва да се предприемат, включват най-малко преглед на техническата документация. Когато такъв преглед не е подходящ, се предприемат заместващи дейности с равностоен ефект. 6. Европейският сертификат за киберсигурност, посочващ ниво на увереност „съществено“, дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които този сертификат е издаден, отговарят на съответните изисквания за сигурност, включително функционалности за сигурността, и че са били оценени на ниво, което има за цел да се сведат до минимум известните киберрискове, рискове от инциденти и кибератаки, извършвани от субекти с ограничени умения и ресурси. Дейностите по оценка, които трябва да се предприемат, включват най-малко следното: преглед за доказване отсъствие на общоизвестни уязвимости, и изпитване за доказване, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност правилно внедряват необходимите функции за сигурност. Когато такива дейности по оценка не са подходящи, се предприемат заместващи дейности с равностоен ефект. 7. Европейският сертификат за киберсигурност, посочващ ниво на увереност „високо“ дава увереност, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, за които сертификатът е издаден, отговарят на съответните изисквания за сигурност, включително функционалности за сигурност, и че са били оценени на ниво, което има за цел да се сведе до минимум рискът от най-висш тип кибератаки, извършвани от субекти със значителни умения и ресурси. Дейностите по оценка, които трябва да се предприемат, включват най-малко следното: преглед за доказване отсъствие на общоизвестни уязвимости; изпитване за доказване, че ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност правилно внедряват необходимите най-съвременни функции за сигурност; и оценяване на устойчивостта им на атаки на умели извършители посредством тестване за проникване. Когато такива дейности по оценка не са подходящи, се предприемат заместващи дейности с равностоен ефект.“
12. В член 53 параграфи 1, 2 и 3 се заменят със следното: „1. Дадена европейска схема за сертифициране на киберсигурността може да позволява извършване на самооценяване на съответствието, като отговорност за нея носи единствено производителят или доставчикът на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност. Самооценяване на съответствието се разрешава само във връзка с ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност с ниско ниво на риск, съответстващо на ниво на увереност „базово“. 2. Производителят или доставчикът на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност може да издаде ЕС декларация за съответствие, в която заявява, че е изпълнил определените в схемата изисквания. Чрез издаването на такава декларация производителят или доставчикът на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност поема отговорност за съответствието на ИКТ продукта, ИКТ услугата, ИКТ процеса или управляваната услуга за сигурност с определените в схемата изисквания. 3. Производителят или доставчикът на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност съхранява ЕС декларацията за съответствие, техническата документация и всякаква друга съответна информация, отнасяща се до съответствието на ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност със схемата, която е на разположение на националния орган за сертифициране на киберсигурността, определен съгласно член 58, за срок, определен в съответната европейска схема за сертифициране на киберсигурността. Копие от ЕС декларацията за съответствие се предоставя на националния орган за сертифициране на киберсигурността и на ENISA.“
13. В член 54 параграф 1 се изменя, както следва:
а-4) буква а) се заменя със следното: „а) предмет и обхват на схемата за сертифициране, включително вида или категориите ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност, обхванати от нея;“ ;
б-5) буква ж) се заменя със следното: „ж) конкретните критерии и методи за оценка, включително типовете оценки, които да бъдат използвани, с цел да се докаже, че са постигнати посочените в членове 51 и 51а приложими цели, свързани със сигурността;“ ;
в-3) буква й) се заменя със следното: „й) правилата за наблюдение на съответствието на ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност с изискванията на европейските сертификати за киберсигурност или на ЕС декларациите за съответствие, включително механизми за удостоверяване на трайното съответствие с определените изисквания за киберсигурност;“ ;
г-2) буква л) се заменя със следното: „л) правила относно последиците за ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, които са били сертифицирани или за които има издадена ЕС декларация за съответствие, но които не съответстват на изискванията на схемата;“ ;
д-2) буква о) се заменя със следното: „о) списък на националните или международни схеми за сертифициране на киберсигурността, които обхващат същия тип или категории ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, изисквания за сигурност, критерии и методи за оценка и нива на увереност;“ ;
е-2) буква р) се заменя със следното: „р) срока, през който следва да бъде налична ЕС декларацията за съответствие, техническата документация и всякаква друга съответна информация, която трябва да се представи от производителя или доставчика на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност;“
14. Член 56 се изменя, както следва:
а-5) параграф 1 се заменя със следното: „1. ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност, сертифицирани по европейска схема за сертифициране на киберсигурността, приета съгласно член 49, се считат за съответстващи на изискванията на такава схема.“ ;
б-6) параграф 3 се изменя, както следва:
в-4) параграфи 7 и 8 се заменят със следното: „7. Физическото или юридическото лице, което подлага ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност на процедурите за сертифициране, предоставя на националния орган за сертифициране на киберсигурността, определен съгласно член 58, когато този орган е издаващият орган на европейския сертификат за киберсигурност, или на органа за оценяване на съответствието по член 60, цялата необходима информация за провеждане на сертифицирането. 8. Притежателят на европейски сертификат за киберсигурност уведомява органа или институцията, посочени в параграф 7, за всички открити впоследствие уязвимости или нередности във връзка със сигурността на сертифицирания ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност, които може да окажат въздействие върху тяхното съответствие с изискванията, свързани със сертифицирането. Органът или институцията изпраща тази информация без излишно забавяне на съответния национален орган за сертифициране на киберсигурността.“
15. В член 57 параграфи 1 и 2 се заменят със следното: „1. Без да се засягат разпоредбите на параграф 3 от настоящия член, националните схеми за сертифициране на киберсигурността и свързаните с тях процедури за ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, обхванати от европейска схема за сертифициране на киберсигурността, прекратяват правното си действие от датата, посочена в акта за изпълнение, приет съгласно член 49, параграф 7. Националните схеми за сертифициране на киберсигурността и свързаните с тях процедури за ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност, които не са обхванати от европейска схема за сертифициране на киберсигурността, продължават да съществуват. 2. Държавите членки не въвеждат нови национални схеми за сертифициране на киберсигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност вече обхванати от европейска схема за сертифициране на киберсигурността, която е в сила.“
16. Член 58 се изменя, както следва:
а-6) параграф 7 се изменя, както следва:
б-7) наблюдават и следят за спазването на задълженията на производителите или доставчиците на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, които са установени на тяхна територия и които извършват самооценяване на съответствието, и по-специално наблюдават и следят за спазването на задълженията на тези производители или доставчици, посочени в член 53, параграфи 2 и 3 и в съответната европейска схема за сертифициране на киберсигурността;“ ;
б-8) параграф 9 се заменя със следното: „9. Националните органи за сертифициране на киберсигурността си сътрудничат помежду си и с Комисията, и по-специално обменят информация, опит и добри практики във връзка със сертифицирането на киберсигурността и техническите въпроси, засягащи киберсигурността на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност.“
17. В член 59, параграф 3, букви б) и в) се заменят със следното: „б) процедурите за надзор и изпълнение на правилата за наблюдение на съответствието на ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност с европейските сертификати за киберсигурност съгласно член 58, параграф 7, буква а);
в-5) процедурите за наблюдение и изпълнение на задълженията на производителите или доставчиците на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност съгласно член 58, параграф 7, буква б);“
18. В член 67 параграфи 2 и 3 се заменят със следното: „2. В оценката също така се разглежда въздействието и ефективността на разпоредбите на дял III от настоящия регламент, включително процедурите, водещи до приемането на европейски схеми за сертифициране на киберсигурността и техните набори от доказателства, по отношение на целите за осигуряване на адекватно ниво на киберсигурност на ИКТ продуктите, ИКТ услугите, ИКТ процесите и управляваните услуги за сигурност в Съюза и за подобряване на функционирането на вътрешния пазар. 3. В оценката се преценява дали са необходими съществени изисквания за киберсигурност за достъп до вътрешния пазар, за да се предотврати навлизането на вътрешния пазар на ИКТ продукти, ИКТ услуги, ИКТ процеси и управлявани услуги за сигурност, които не отговарят на базовите изисквания за киберсигурност.“
19. Приложението се изменя в съответствие с приложението към настоящия регламент.
Член 2
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейския съюз. Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки. Съставено в Брюксел на 19 декември 2024 година. За Европейския парламент Председател R. METSOLA За Съвета Председател BÓKA J.
Приложение 1
Приложението към Регламент (ЕС) 2019/881 се изменя, както следва: 1) Точки 2—5 се заменят със следното: „2. Органът за оценяване на съответствието е трета страна, която е независима от организацията или от ИКТ продуктите, ИКТ услугите, ИКТ процесите или управляваните услуги за сигурност, които оценява. 3. Орган, който принадлежи към стопанска асоциация или професионална федерация, представляваща предприятия, участващи в проектирането, производството, доставката, сглобяването, използването или поддръжката на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, които този орган оценява, може да се счита за орган за оценяване на съответствието, при условие че са доказани неговата независимост и липсата на конфликт на интереси. 4. Органът за оценяване на съответствието, неговото висше ръководство и персоналът, който отговаря за изпълнението на задачите по оценяване на съответствието, не могат да са проектант, производител, доставчик, монтажник, купувач, собственик, ползвател или извършващ поддръжката субект на оценявания ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност, или упълномощен представител на някоя от тези страни. Това не изключва използването на оценявани ИКТ продукти, които са необходими за дейностите на органа за оценяване на съответствието, или използването на такива ИКТ продукти за лични цели. 5. Органът за оценяване на съответствието, неговото висше ръководство и персоналът, отговорен за изпълнение на задачите по оценяване на съответствието, не вземат пряко участие в проектирането, производството, конструирането, предоставянето, предлагането на пазара, монтирането, използването или поддръжката на оценяваните ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, нито представляват страни, ангажирани в тези дейности. Органът за оценяване на съответствието, неговото висше ръководство и персоналът, отговорен за изпълнение на задачите по оценяване на съответствието, не участват в никаква дейност, която може да е в противоречие с тяхната независима преценка или тяхното почтено поведение по отношение на техните дейности по оценяване на съответствието. Тази забрана се прилага по-конкретно за консултантски услуги.“ 2) Точка 10 се изменя, както следва: а) уводната част се заменя със следното: „10. По всяко време и за всяка процедура за оценяване на съответствието, както и за всеки вид, категория или подкатегория ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност, органът за оценяване на съответствието разполага с необходимите:“; б) буква в) се заменя със следното: „в) процедури за изпълнение на дейности, които надлежно отчитат размера на дадено предприятие, отрасъла, в който то осъществява дейността си, неговата структура, степента на сложност на технологията на въпросния ИКТ продукт, ИКТ услуга, ИКТ процес или управлявана услуга за сигурност и масовия или сериен характер на производството.“ 3) Точки 19 и 20 се заменят със следното: „19. Органите за оценяване на съответствието отговарят на изискванията на съответния хармонизиран стандарт, както е определено в член 2, точка 9 от Регламент (ЕО) № 765/2008, за акредитацията на органи за оценяване на съответствието, които извършват сертифициране на ИКТ продукти, ИКТ услуги, ИКТ процеси или управлявани услуги за сигурност. 20. Органите за оценяване на съответствието гарантират, че изпитвателните лаборатории, използвани за целите на оценяването на съответствието, отговарят на изискванията на съответния хармонизиран стандарт, както е определен в член 2, точка 9 от Регламент (ЕО) № 765/2008, за акредитацията на лаборатории, които извършват изпитвания.“ Във връзка с този акт е направено изявление, което може да бъде намерено в OВ C, C/2025/307, 15.1.2025 г., ELI: http://data.europa.eu/eli/C/2025/307/oj. ELI: http://data.europa.eu/eli/reg/2025/37/oj ISSN 1977-0618 (electronic edition)