Članak 54. Elementi europskih programa kibersigurnosne certifikacije

predmet i opseg programa certifikacije, uključujući vrstu ili kategorije obuhvaćenih IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga;

jasan opis svrhe programa i način na koji odabrane norme, metode evaluacije i jamstvene razine odgovaraju potrebama predviđenih korisnika programa;

upućivanje na međunarodne, europske ili nacionalne norme koje se primjenjuju pri evaluaciji ili, ako te norme nisu dostupne ili odgovarajuće, upućivanje na tehničke specifikacije koje ispunjavaju zahtjeve određene u Prilogu II. Uredbi (EU) br. 1025/2012 ili, ako te specifikacije nisu dostupne, na tehničke specifikacije ili druge kibersigurnosne zahtjeve definirane u europskom programm kibersigurnosne certifikacije;

jednu ili više jamstvenih razina, ako je primjenjivo;

naznaku o tome je li samoocjenjivanje sukladnosti dopušteno u okviru programa;

ako je primjenjivo, posebne ili dodatne zahtjeve kojima podliježu tijela za ocjenjivanje sukladnosti s ciljem jamčenja njihove tehničke stručnosti za evaluaciju kibersigurnosnih zahtjeva;

posebne kriterije i metode evaluacije, uključujući vrste evaluacije, koje treba upotrijebiti za dokazivanje da su ostvareni primjenjivi sigurnosni ciljevi iz članaka 51. i 51.a;

ako je primjenjivo, informacije koje su potrebne za certifikaciju i koje podnositelj zahtjeva treba dostaviti ili na drugi način staviti na raspolaganje tijelima za ocjenjivanje sukladnosti;

ako su programom predviđeni oznake ili znakovi, uvjete pod kojim se te oznake ili znakovi mogu upotrebljavati;

pravila za praćenje sukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga sa zahtjevima europskih kibersigurnosnih certifikata ili EU izjava o sukladnosti, uključujući mehanizme za dokazivanje trajne sukladnosti s navedenim kibersigurnosnim zahtjevima;

ako je primjenjivo, uvjete za izdavanje, održavanje, nastavak i obnavljanje europskih kibersigurnosnih certifikata, kao i uvjete za proširenje ili smanjenje opsega certifikacije;

pravila u vezi s posljedicama nesukladnosti IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga koji su certificirani ili za koje je izdana EU izjava o sukladnosti, ali koji ne ispunjavaju zahtjeve programa;

pravila o tome kako prijaviti prethodno neotkrivene kibersigurnosne ranjivosti IKT proizvoda, IKT usluga i IKT procesa i postupiti u slučaju njihova otkrivanja;

ako je primjenjivo, pravila o čuvanju evidencije tijelâ za ocjenjivanje sukladnosti;

utvrđivanje nacionalnih ili međunarodnih programa kibersigurnosne certifikacije koji obuhvaćaju iste vrste ili kategorije IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga, sigurnosne zahtjeve, kriterije i metode evaluacije te jamstvene razine;

sadržaj i format europskih kibersigurnosnih certifikata i EU izjava o sukladnosti koje treba izdati;

razdoblje u kojem proizvođač ili pružatelj IKT proizvoda, IKT usluga, IKT procesa ili upravljanih sigurnosnih usluga treba staviti na raspolaganje EU izjavu o sukladnosti, tehničku dokumentaciju i sve relevantne informacije;

maksimalno razdoblje valjanosti europskih kibersigurnosnih certifikata koji se izdaju u okviru programa;

politiku objavljivanja za europske kibersigurnosne certifikate koji su dodijeljeni, izmijenjeni ili povučeni u okviru programa;

uvjete za uzajamno priznavanje programa certifikacije s trećim zemljama;

ako je primjenjivo, pravila koja se odnose na mehanizam istorazinske ocjene utvrđen u programu za tijela koja izdaju europske kibersigurnosne certifikate za visoku jamstvenu razinu na temelju članka 56. stavka 6. Takvim se mehanizmom ne dovodi u pitanje istorazinsko ocjenjivanje iz članka 59.;

format i procedure kojih se proizvođači ili pružatelji IKT proizvoda, IKT usluga i IKT procesa moraju pridržavati pri dostavljanju i ažuriranju dodatnih informacija o kibersigurnosti u skladu s člankom 55. (EP).