RÈGLEMENT (UE) 2019/881 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n o 526/2013 (règlement sur la cybersécurité) (Texte présentant de l'intérêt pour l'EEE)

Un organisme d’évaluation de la conformité est constitué en vertu du droit national et possède la personnalité juridique.

Un organisme d’évaluation de la conformité est un organisme tiers qui est indépendant de l’organisation ou des produits TIC, services TIC, processus TIC ou services de sécurité gérés qu’il évalue.

Un organisme appartenant à une association d’entreprises ou à une fédération professionnelle qui représente des entreprises participant à la conception, à la fabrication, à la fourniture, à l’assemblage, à l’utilisation ou à l’entretien des produits TIC, services TIC, processus TIC ou services de sécurité gérés qu’il évalue peut être considéré comme un organisme d’évaluation de la conformité, à condition que son indépendance et que l’absence de tout conflit d’intérêts soient démontrées.

Les organismes d’évaluation de la conformité, leurs cadres supérieurs et les personnes chargées d’exécuter les tâches d’évaluation de la conformité ne peuvent être ni le concepteur, ni le fabricant, ni le fournisseur, ni l’installateur, ni l’acheteur, ni le propriétaire, ni l’utilisateur, ni le responsable de l’entretien du produit TIC, service TIC, processus TIC ou service de sécurité géré qui est évalué, ni le mandataire d’aucune de ces parties. Cette interdiction n’exclut pas l’utilisation des produits TIC évalués qui sont nécessaires au fonctionnement de l’organisme d’évaluation de la conformité ou l’utilisation de ces produits TIC à des fins personnelles.

Les organismes d’évaluation de la conformité, leurs cadres supérieurs et les personnes chargées d’exécuter les tâches d’évaluation de la conformité ne peuvent intervenir, ni directement ni comme mandataires, dans la conception, la fabrication ou la construction, la fourniture, la commercialisation, l’installation, l’utilisation ou l’entretien des produits TIC, services TIC, processus TIC ou services de sécurité gérés qui sont évalués. Les organismes d’évaluation de la conformité, leurs cadres supérieurs et les personnes chargées d’exécuter les tâches d’évaluation de la conformité ne peuvent participer à aucune activité qui peut entrer en conflit avec l’indépendance de leur jugement ou leur intégrité en ce qui concerne leurs activités d’évaluation de la conformité. Cette interdiction s’applique, en particulier, aux services de conseil.

Si un organisme d’évaluation de la conformité appartient à une entité ou à une institution publique, ou est géré par une telle entité ou institution, l’indépendance de l’autorité nationale de certification de cybersécurité et de l’organisme d’évaluation de la conformité et l’absence de conflit d’intérêts entre ces deux instances sont garanties et documentées.

Les organismes d’évaluation de la conformité veillent à ce que les activités de leurs filiales et sous-traitants n’aient pas d’incidence sur la confidentialité, l’objectivité ou l’impartialité de leurs activités d’évaluation de la conformité.

Les organismes d’évaluation de la conformité et leur personnel accomplissent les activités d’évaluation de la conformité avec la plus haute intégrité professionnelle et la compétence technique requise dans le domaine spécifique et sont à l’abri de toute pression ou incitation susceptible d’influencer leur jugement ou les résultats de leurs travaux d’évaluation de la conformité, notamment des pression ou incitations d’ordre financier, en particulier de la part de personnes ou de groupes de personnes intéressés par ces résultats.

Un organisme d’évaluation de la conformité est capable d’exécuter toutes les tâches d’évaluation de la conformité qui lui ont été assignées au titre du présent règlement, que ces tâches soient exécutées par l’organisme d’évaluation de la conformité lui-même ou en son nom et sous sa responsabilité. Toute sous-traitance ou consultation de personnel externe est documentée de manière appropriée, ne fait intervenir aucun intermédiaire et fait l’objet d’un accord écrit couvrant, entre autres, la confidentialité et les conflits d’intérêts. L’organisme d’évaluation de la conformité en question assume la responsabilité des tâches accomplies.

▼M1

En toutes circonstances et pour chaque procédure d’évaluation de la conformité, ainsi que pour chaque type ou catégorie ou sous-catégorie de produits TIC, services TIC, processus TIC ou services de sécurité gérés, un organisme d’évaluation de la conformité dispose à suffisance:

▼B

▼M1

▼B

Un organisme d’évaluation de la conformité se dote des moyens nécessaires à la bonne exécution des tâches techniques et administratives liées aux activités d’évaluation de la conformité et a accès à tous les équipements et installations nécessaires.

Les personnes chargées d’effectuer des activités d’évaluation de la conformité possèdent:

L’impartialité des organismes d’évaluation de la conformité, de leurs cadres supérieurs, des personnes chargées de l’exécution des activités d’évaluation de la conformité et de tout sous-traitant est garantie.

La rémunération des cadres supérieurs et des personnes chargées de l’exécution des activités d’évaluation de la conformité ne dépend pas du nombre d’évaluations de la conformité effectuées ni de leurs résultats.

Les organismes d’évaluation de la conformité souscrivent une assurance couvrant leur responsabilité civile, à moins que cette responsabilité ne soit assumée par l’État membre conformément à son droit national ou que l’évaluation de la conformité ne soit effectuée sous la responsabilité directe de l’État membre.

L’organisme d’évaluation de la conformité et son personnel, ses comités, ses filiales, ses sous-traitants et tout organisme associé ainsi que le personnel des organes externes d’un organisme d’évaluation de la conformité assurent le respect de la confidentialité et sont liés par le secret professionnel pour toutes les informations obtenues dans l’exercice de leurs tâches d’évaluation de la conformité au titre du présent règlement ou de toute disposition de droit national donnant effet au présent règlement, sauf dans les cas où la communication d’informations est requise par le droit de l’Union ou de l’État membre auquel ces personnes sont soumises, et sauf à l’égard des autorités compétentes de l’État membre où il exerce ses activités. Les droits de propriété intellectuelle sont protégés. L’organisme d’évaluation de la conformité possède des procédures documentées concernant les exigences du présent point.

À l’exception du point 16, les exigences de la présente annexe n’empêchent en rien les échanges d’informations techniques et d’orientations réglementaires entre un organisme d’évaluation de la conformité et une personne qui introduit une demande de certification ou envisage de le faire.

Les organismes d’évaluation de la conformité agissent conformément à un ensemble conditions cohérentes, justes et raisonnables, en tenant compte des intérêts des PME pour ce qui est des redevances.

Les organismes d’évaluation de la conformité respectent les exigences de la norme harmonisée pertinente, telle qu’elle est définie à l’article 2, point 9), du règlement (CE) no 765/2008 en ce qui concerne l’accréditation des organismes d’évaluation de la conformité qui effectuent la certification de produits TIC, services TIC, processus TIC ou services de sécurité gérés.

Les organismes d’évaluation de la conformité veillent à ce que les laboratoires d’essai auxquels il est fait appel à des fins d’évaluation de la conformité respectent les exigences de la norme harmonisée pertinente telle qu’elle est définie à l’article 2, point 9), du règlement (CE) no 765/2008 en ce qui concerne l’accréditation de laboratoires qui réalisent des essais.