Članak 24. Primjena europskih programa kibersigurnosne certifikacije

Kako bi dokazale usklađenost s pojedinim zahtjevima iz članka 21., države članice mogu od ključnih i važnih subjekata zahtijevati korištenje određenim IKT proizvodima, IKT uslugama i IKT procesima, koje je razvio ključni ili važni subjekt ili su nabavljeni od treće strane, koji su certificirani na temelju europskih programa kibersigurnosne certifikacije donesenih u skladu s člankom 49. Uredbe (EU) 2019/881. Nadalje, države članice potiču ključne i važne subjekte da se koriste kvalificiranim uslugama povjerenja.

Komisija je ovlaštena za donošenje delegiranih akata u skladu s člankom 38. radi dopune ove Direktive, kojima se određuje od kojih se kategorija ključnih i važnih subjekata treba zahtijevati korištenje određenim certificiranim IKT proizvodima, IKT uslugama i IKT procesima ili pribavljanje certifikata na temelju europskih programa kibersigurnosne certifikacije donesenih u skladu s člankom 49. Uredbe (EU) 2019/881. Ti delegirani akti donose se ako su utvrđene nedovoljne razine kibersigurnosti te obuhvaćaju razdoblje provedbe.

Ako nije dostupan odgovarajući europski program kibersigurnosne certifikacije za potrebe stavka 2. ovog članka, Komisija može, nakon savjetovanja sa skupinom za suradnju i Europskom skupinom za kibersigurnosnu certifikaciju, zatražiti od ENISA-e da izradi prijedlog programa certifikacije u skladu s člankom 48. stavkom 2. Uredbe (EU) 2019/881.