EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (EØS-relevant tekst)

Et overensstemmelsesvurderingsorgan skal oprettes i henhold til national lovgivning og være en juridisk person.

Et overensstemmelsesvurderingsorgan skal være et tredjepartsorgan, der er uafhængigt af den organisation eller de IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester, som det vurderer.

Et organ, der er medlem af en erhvervsorganisation og/eller brancheforening, som repræsenterer virksomheder, der er involveret i udformning, fremstilling, levering, sammenbygning, brug eller vedligeholdelse af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester, som det vurderer, kan anses for at være et overensstemmelsesvurderingsorgan, forudsat at det er påvist, at det er uafhængigt, og at der ikke foreligger nogen interessekonflikt.

Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarlige for udførelsen af overensstemmelsesvurderingsopgaverne, må ikke være konstruktør, producent, leverandør, installatør, køber, ejer, bruger eller vedligeholder af det IKT-produkt, den IKT-tjeneste, den IKT-proces eller administrerede sikkerhedstjenester, der vurderes, eller repræsentere nogen af disse parter. Dette forbud udelukker ikke, at overensstemmelsesvurderingsorganet bruger de IKT-produkter, der er vurderet og nødvendige for, at det kan udføre sit arbejde, eller brug af sådanne IKT-produkter til personlige formål.

Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsopgaverne, må ikke være direkte involveret i udformning, fremstilling eller konstruktion, levering, markedsføring, installation, anvendelse eller vedligeholdelse af de IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester, der vurderes, eller repræsentere parter, der er involveret i disse aktiviteter. Overensstemmelsesvurderingsorganerne, deres øverste ledelse og de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsopgaverne, må ikke deltage i aktiviteter, som kan være i strid med deres objektivitet og integritet i forbindelse med deres overensstemmelsesvurderingsaktiviteter. Dette forbud gælder navnlig rådgivningstjenester.

Hvis et overensstemmelsesvurderingsorgan ejes eller drives af en offentlig enhed eller institution, skal der sikres uafhængighed og fravær af interessekonflikter mellem den nationale cybersikkerhedscertificeringsmyndighed og overensstemmelsesvurderingsorganet, og dette skal dokumenteres.

Overensstemmelsesvurderingsorganet skal sikre, at dets dattervirksomheders og underentreprenørers aktiviteter ikke påvirker fortroligheden, objektiviteten og uvildigheden af dets overensstemmelsesvurderingsaktiviteter.

Overensstemmelsesvurderingsorganet og dets personale skal udføre overensstemmelsesvurderingsaktiviteter med den størst mulige faglige integritet og den nødvendige tekniske kompetence på det specifikke område og ikke påvirkes af nogen form for pression og incitament, som kan have indflydelse på deres afgørelser eller resultaterne af deres overensstemmelsesvurderingsaktiviteter, herunder pression og incitament af økonomisk art, særlig fra personer eller grupper af personer, som har en interesse i resultaterne af disse aktiviteter.

Et overensstemmelsesvurderingsorgan skal kunne gennemføre alle de overensstemmelsesvurderingsopgaver, som det pålægges i henhold til denne forordning, uanset om disse opgaver udføres af overensstemmelsesvurderingsorganet selv eller på dets vegne og på dets ansvar. Enhver underentreprise eller høring af eksternt personale skal dokumenteres behørigt, må ikke omfatte mellemmænd og skal være genstand for en skriftlig aftale, som blandt andet dækker fortrolighed og interessekonflikter. Det pågældende overensstemmelsesvurderingsorgan skal påtage sig det fulde ansvar for de opgaver, der udføres.

▼M1

Et overensstemmelsesvurderingsorgan skal til enhver tid og for hver overensstemmelsesvurderingsprocedure og hver type, kategori eller underkategori af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester have følgende til rådighed i nødvendigt omfang:

▼B

▼M1

▼B

Et overensstemmelsesvurderingsorgan skal have de fornødne midler til at udføre de tekniske og administrative opgaver i forbindelse med overensstemmelsesvurderingsaktiviteterne på en egnet måde og skal have adgang til alt nødvendigt udstyr og alle nødvendige faciliteter.

De personer, som skal udføre overensstemmelsesvurderingsaktiviteterne, skal have:

Der skal være garanti for uvildigheden af overensstemmelsesvurderingsorganerne, deres øverste ledelse, de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsaktiviteterne, og eventuelle underleverandører.

Aflønningen af et overensstemmelsesvurderingsorgans øverste ledelse og af de personer, der er ansvarlige for at udføre overensstemmelsesvurderingsaktiviteterne, må ikke afhænge af, hvor mange overensstemmelsesvurderinger det udfører, eller hvordan vurderingerne falder ud.

Overensstemmelsesvurderingsorganer skal tegne en ansvarsforsikring, medmindre medlemsstaten er ansvarlig i henhold til sin nationale ret, eller medlemsstaten selv er direkte ansvarlig for overensstemmelsesvurderingen.

Et overensstemmelsesvurderingsorgan og dets personale, udvalg, dattervirksomheder, underentreprenører og eventuelle tilknyttede organer eller personalet i et overensstemmelsesvurderingsorgans eksterne organer skal opretholde fortrolighed og har tavshedspligt med hensyn til alle oplysninger, de kommer i besiddelse af ved udførelsen af deres overensstemmelsesvurderingsopgaver i henhold til denne forordning eller enhver bestemmelse i national ret, som gennemfører denne forordning, undtagen hvis offentliggørelse kræves i henhold til EU-retten eller en medlemsstats ret, som sådanne personer er omfattet af, og undtagen over for de kompetente myndigheder i den medlemsstat, hvor aktiviteterne udføres. Intellektuelle ejendomsrettigheder skal beskyttes. Overensstemmelsesvurderingsorganet skal have indført dokumenterede procedurer for så vidt angår kravene i dette punkt.

Med undtagelse af punkt 16 forhindrer kravene i dette bilag, at der udveksles tekniske oplysninger og reguleringsmæssig vejledning mellem et overensstemmelsesvurderingsorgan og en person, der ansøger om certificering, eller der overvejer at ansøge om certificering.

Overensstemmelsesvurderingsorganer skal fungere i henhold til et sæt konsekvente, retfærdige og rimelige vilkår og betingelser under hensyntagen til interesserne for SMV'er for så vidt angår gebyrer.

Overensstemmelsesvurderingsorganer skal opfylde kravene i den relevante harmoniserede standard som defineret i artikel 2, nr. 9), i forordning (EF) nr. 765/2008 med henblik på akkrediteringen af overensstemmelsesvurderingsorganer, der foretager certificeringen af IKT-produkter, IKT-tjenester, IKT-processer eller administrerede sikkerhedstjenester.

Overensstemmelsesvurderingsorganer skal sikre, at prøvningslaboratorier, der anvendes til overensstemmelsesvurdering, opfylder kravene i den relevante harmoniserede standard som defineret i artikel 2, nr. 9), i forordning (EF) nr. 765/2008 med henblik på akkrediteringen af laboratorier, der gennemfører prøvning.