|
+MELLÉKLET |
MELLÉKLET
MELLÉKLET A MEGFELELŐSÉGÉRTÉKELŐ SZERVEZETEK ÁLTAL TELJESÍTENDŐ KÖVETELMÉNYEK Az akkreditációt igénylő megfelelőségértékelő szervezeteknek meg kell felelniük az alábbi követelményeknek:
1.
A megfelelőségértékelő szervezetet a nemzeti jogszabályok szerint kell létrehozni, és annak jogi személyiséggel kell rendelkeznie.
2.
A megfelelőségértékelő szervezet olyan harmadik fél, amely független az általa értékelt szervezettől vagy IKT-termékektől, IKT-szolgáltatásoktól, IKT-folyamatoktól vagy irányított biztonsági szolgáltatásoktól.
3.
Megfelelőségértékelő szervezetnek tekinthető olyan szervezet is, amely az általa értékelt IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások tervezésében, gyártásában, nyújtásában, összeszerelésében, használatában vagy karbantartásában részt vevő vállalkozásokat képviselő vállalkozói szövetséghez vagy szakmai egyesüléshez tartozik, feltéve, hogy bizonyítottan független és esetében bizonyítottan nem áll fenn összeférhetetlenség.
4.
A megfelelőségértékelő szervezetek, azok felső vezetése és a megfelelőségértékelési feladatok elvégzéséért felelős személyek nem lehetnek tervezői, gyártói, nyújtói, üzembe helyezői, vásárlói, tulajdonosai, felhasználói vagy karbantartói az értékelt IKT-terméknek, IKT-szolgáltatásnak, IKT-folyamatnak vagy irányított biztonsági szolgáltatásnak, valamint nem lehetnek az említett felek meghatalmazott képviselői sem. Ez a tilalom nem zárja ki a megfelelőségértékelő szervezet működéséhez szükséges, értékelt IKT-termékek használatát, sem az ilyen IKT-termékek személyes célra történő használatát.
5.
A megfelelőségértékelő szervezetek, azok felső vezetése és a megfelelőségértékelési feladatok elvégzéséért felelős személyek nem vehetnek részt közvetlenül az értékelt IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások tervezésében, gyártásában és kivitelezésében, biztosításában, értékesítésében, üzembe helyezésében, használatában és karbantartásában, valamint nem képviselhetnek az ilyen tevékenységekben részt vevő feleket. A megfelelőségértékelő szervezetek, azok felső vezetése és a megfelelőségértékelési feladatok elvégzéséért felelős személyek nem vehetnek részt olyan tevékenységben sem, amely megfelelőségértékelési tevékenységük tekintetében veszélyeztetné döntéshozói függetlenségüket vagy feddhetetlenségüket. Ez a tilalom különösen érvényes a szaktanácsadási szolgáltatásokra.
6.
Amennyiben egy megfelelőségértékelő szervezet állami szerv vagy intézmény tulajdonában van vagy ilyen működteti, biztosítani és dokumentálni kell a függetlenséget és az összeférhetetlenség hiányát a nemzeti kiberbiztonsági tanúsító hatóság és a megfelelőségértékelő szervezet között.
7.
A megfelelőségértékelő szervezeteknek biztosítaniuk kell, hogy leányvállalataik és alvállalkozóik tevékenysége ne befolyásolja megfelelőségértékelési tevékenységeik bizalmasságát, objektivitását és pártatlanságát.
8.
A megfelelőségértékelő szervezeteknek és személyzetüknek a legmagasabb szintű szakmai feddhetetlenséggel és az adott szakterületen elvárható műszaki felkészültséggel kell megfelelőségértékelési tevékenységüket végezniük, és függetlennek kell lenniük minden olyan – többek között pénzügyi jellegű – nyomásgyakorlástól és ösztönzéstől, amely befolyásolhatná ítélőképességüket vagy megfelelőségértékelési tevékenységük eredményeit, különösen az említett tevékenységek eredményeiben érdekelt személyek vagy azok csoportja tekintetében.
9.
A megfelelőségértékelő szervezetnek képesnek kell lennie az e rendelet alapján ráruházott valamennyi megfelelőségértékelési feladat elvégzésére, függetlenül attól, hogy ezeket a feladatokat a megfelelőségértékelő szervezet maga, vagy az ő nevében és az ő felelőssége mellett valaki más végzi el. Alvállalkozók megbízását vagy külső személyzettel történő konzultációt megfelelően dokumentálni kell, ezekben közvetítő nem vonható be, valamint írásos megállapodást kell készíteni, amely többek között kiterjed a bizalmas ügykezelésre és az összeférhetetlenségre. Az elvégzett feladatokért teljes mértékben az adott megfelelőségértékelő szervezet felelős.
10.
A megfelelőségértékelő szervezetnek minden megfelelőségértékelési eljárás és az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások minden típusa, kategóriája és alkategóriája tekintetében mindenkor rendelkeznie kell a szükséges:
a)
olyan személyzettel, amely műszaki ismeretekkel, valamint elegendő és megfelelő tapasztalattal rendelkezik a megfelelőségértékelési feladatok elvégzéséhez;
b)
azon eljárások leírásával, amelyekkel összhangban a megfelelőségértékelést végzik, hogy biztosítva legyen ezen eljárások átláthatósága és megismételhetőségük lehetősége. Rendelkeznie kell megfelelő politikákkal és eljárásokkal, amelyek különbséget tesznek a 61. cikk alapján bejelentett szervezetként végzett feladatai és az egyéb tevékenységei között;
c)
olyan, tevékenységeinek elvégzésére szolgáló eljárásokkal, amelyek kellően figyelembe veszik az adott vállalkozás méretét, az ágazatot, amelyben a vállalkozás a tevékenységét folytatja, a vállalkozás szerkezetét, az érintett IKT-termék, IKT-szolgáltatás, IKT-folyamat vagy irányított biztonsági szolgáltatás műszaki összetettségének fokát, valamint azt, hogy tömeg- vagy sorozatgyártásról van-e szó.
11.
A megfelelőségértékelő szervezetnek rendelkeznie kell a megfelelőségértékelési tevékenységekhez kapcsolódó műszaki és adminisztrációs feladatok megfelelő ellátásához szükséges eszközökkel, valamint hozzá kell férnie minden szükséges felszereléshez és létesítményhez.
12.
A megfelelőségértékelési tevékenységek elvégzéséért felelős személyeknek rendelkezniük kell a következőkkel:
a)
valamennyi megfelelőségértékelési tevékenységre kiterjedő, alapos műszaki és szakképzettség;
b)
az általuk végzett megfelelőségértékelések követelményeinek kielégítő ismerete és megfelelő hatáskör az említett értékelések elvégzésére;
c)
az alkalmazandó követelmények és vizsgálati előírások megfelelő ismerete és megértése;
d)
a megfelelőségértékelések elvégzését igazoló tanúsítványok, nyilvántartások és jelentések elkészítésének képessége.
13.
Biztosítani kell a megfelelőségértékelő szervezetek, azok felső vezetése és a megfelelőségértékelési tevékenységek elvégzéséért felelős személyek, valamint az alvállalkozók pártatlanságát.
14.
A megfelelőségértékelő szervezet felső vezetése és megfelelőségértékelési tevékenységek elvégzéséért felelős személyzet javadalmazása nem függhet az elvégzett megfelelőségértékelések számától és ezen értékelések eredményétől.
15.
A megfelelőségértékelő szervezeteknek felelősségbiztosítással kell rendelkezniük, kivéve, ha a felelősség nemzeti jogával összhangban a tagállamot terheli, vagy ha a tagállam közvetlenül felel a megfelelőségértékelésért.
16.
A megfelelőségértékelő szervezet és személyzete, valamint bizottságai, leányvállalatai, alvállalkozói, továbbá egy megfelelőségértékelő szervezet bármely kapcsolódó szervezete vagy külső szervezeteinek személyzete minden olyan információ tekintetében, amely e rendelet vagy az e rendeletből fakadó joghatások érvényesülését biztosító nemzeti jog rendelkezései alapján ellátott megfelelőségértékelési feladatainak végrehajtása során jutott birtokába, köteles megőrizni a bizalmasságot, és betartani a szakmai titoktartás követelményeit, kivéve, ha a közzétételt az említett személyekre alkalmazandó uniós vagy tagállami jog írja elő, és kivéve azon tagállamok illetékes hatóságainak viszonylatában, ahol a tevékenységét gyakorolja. A szellemitulajdon-jogok védelmét biztosítani kell. A pont követelményei tekintetében.
17.
A 16. pont kivételével, e melléklet követelményei nem zárják ki a műszaki információk és a szabályozási iránymutatás megosztását a megfelelőségértékelő szervezet és a tanúsítást kérelmező vagy kérelmezni tervező személy között.
18.
A megfelelőségértékelő szervezeteknek következetes, tisztességes és észszerű feltételek szerint kell működniük, a díjak tekintetében figyelembe véve a kkv-k érdekeit.
19.
A megfelelőségértékelő szervezeteknek meg kell felelniük az IKT-termékek, IKT-szolgáltatások, IKT-folyamatok vagy irányított biztonsági szolgáltatások tanúsítását végző megfelelőségértékelő szervezetek akkreditálása tekintetében a vonatkozó, a 765/2008/EK rendelet 2. cikkének 9. pontjában meghatározottak szerinti harmonizált szabvány követelményeinek.
20.
A megfelelőségértékelő szervezeteknek biztosítaniuk kell, hogy a megfelelőségértékelések céljára használt vizsgálati laboratóriumok megfeleljenek a vizsgálatokat végző laboratóriumok akkreditálása tekintetében a vonatkozó, a 765/2008/EK rendelet 2. cikkének 9. pontjában meghatározottak szerinti harmonizált szabvány követelményeinek. 1. Áttekintés
1.1 Hivatkozások1.2 Azonosított követelmények1.3 Kapcsolódó szabványok2. Azonosított követelmények
3. Kapcsolódó szabványok
|