EIROPAS PARLAMENTA UN PADOMES REGULA (ES) 2019/881 (2019. gada 17. aprīlis) par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ Regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (Dokuments attiecas uz EEZ)

Atbilstības novērtēšanas struktūra ir izveidota saskaņā ar valsts tiesību aktiem, un tai piemīt tiesībsubjektība.

Atbilstības novērtēšanas struktūra ir trešās puses struktūra, kas ir neatkarīga no organizācijas vai IKT produktiem, IKT pakalpojumiem, IKT procesiem vai pārvaldītiem drošības pakalpojumiem, ko tā novērtē.

Struktūra, kas pieder uzņēmumu apvienībai vai profesionālajai federācijai, kura pārstāv uzņēmumus, kas iesaistīti novērtējamo IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu izstrādē, ražošanā, nodrošināšanā, montāžā, lietošanā vai apkalpošanā, var tikt uzskatīta par atbilstības novērtēšanas struktūru, ja ir pierādīta tās neatkarība un interešu konfliktu neesamība.

Atbilstības novērtēšanas struktūras, to augstākā vadība un personas, kas atbild par atbilstības novērtēšanas uzdevumu veikšanu, nav ne vērtētā IKT produkta, IKT pakalpojuma, IKT procesa vai pārvaldīta drošības pakalpojuma izstrādātāji, ražotāji, piegādātāji, uzstādītāji, pircēji, īpašnieki, lietotāji vai apkalpotāji, ne kādas minētās puses pilnvarotie pārstāvji. Minētais aizliegums neliedz izmantot vērtētos IKT produktus, ja tie ir nepieciešami atbilstības novērtēšanas struktūras darbību veikšanai, vai izmantot šādus IKT produktus personiskām vajadzībām.

Atbilstības novērtēšanas struktūras, to augstākā vadība un personas, kas atbild par atbilstības novērtēšanas uzdevumiem, nav tieši saistītas ar vērtēto IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu izstrādi, ražošanu vai konstruēšanu, nodrošināšanu, tirdzniecību, uzstādīšanu, lietošanu vai apkalpošanu, kā arī nepārstāv minētajās darbībās iesaistītās puses. Atbilstības novērtēšanas struktūras, to augstākā vadība un personas, kas atbild par atbilstības novērtēšanas uzdevumu veikšanu, neiesaistās darbībās, kas var apdraudēt lēmumu pieņemšanas neatkarību vai godprātību, tām veicot atbilstības novērtēšanas darbības. Minētais aizliegums jo īpaši attiecas uz konsultāciju pakalpojumiem.

Ja atbilstības novērtēšanas struktūra pieder publiskai struktūrai vai iestādei vai to pārvalda publiska struktūra vai iestāde, tiek nodrošināta un dokumentēta neatkarība un tas, ka nepastāv interešu konflikts starp valsts kiberdrošības sertifikācijas iestādi un atbilstības novērtēšanas struktūru.

Atbilstības novērtēšanas struktūras nodrošina, ka atbilstības novērtēšanas darbību konfidencialitāti, objektivitāti un neitralitāti neietekmē to meitasuzņēmumu vai apakšuzņēmēju darbības.

Atbilstības novērtēšanas iestādes un to darbinieki veic atbilstības novērtēšanas darbības ar visaugstāko profesionālo godprātību un vajadzīgo tehnisko kompetenci konkrētajā jomā bez spiediena un pamudinājumiem, kas varētu ietekmēt viņu lēmumu vai atbilstības novērtēšanas darbību rezultātus, tostarp bez finansiāla spiediena un pamudinājumiem, īpaši attiecībā uz personām vai personu grupām, kuras ir ieinteresētas šo darbību rezultātos.

Atbilstības novērtēšanas iestāde spēj veikt visus saskaņā ar šo regulu piešķirtos atbilstības novērtēšanas uzdevumus neatkarīgi no tā, vai tos veic pati vai tās uzdevumā kāds cits uz tās atbildību. Jebkuru apakšlīgumu slēgšanu vai konsultēšanos ar ārējiem darbiniekiem pienācīgi dokumentē, tajā neiesaista starpniekus un par to slēdz rakstisku vienošanos cita starpā attiecībā uz konfidencialitāti un interešu konfliktiem. Attiecīgā atbilstības novērtēšanas struktūra uzņemas pilnu atbildību par veiktajiem uzdevumiem.

▼M1

Atbilstības novērtēšanas struktūras rīcībā katrai atbilstības novērtēšanas procedūrai un katram IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu veidam, kategorijai un apakškategorijai vienmēr ir vajadzīgie:

▼B

▼M1

▼B

Atbilstības novērtēšanas struktūrai ir nepieciešamie līdzekļi, lai tā varētu pienācīgi izpildīt tehniskos un administratīvos uzdevumus, kas saistīti ar atbilstības novērtēšanas darbībām, un ir piekļuve visam nepieciešamajam aprīkojumam un iekārtām.

Personām, kuri atbild par atbilstības novērtēšanas darbībām, ir:

Tiek garantēta atbilstības novērtēšanas struktūru, to augstākās vadības, personu, kuras atbild par atbilstības novērtēšanas darbību veikšanu, un jebkuru apakšuzņēmēju objektivitāte.

Atbilstības novērtēšanas struktūras augstākās vadības un personu, kuras atbild par atbilstības novērtēšanas darbību veikšanu, atalgojums nav atkarīgs no atbilstības novērtējumu skaita vai to rezultātiem.

Tiek apdrošināta atbilstības novērtēšanas struktūru civiltiesiskā atbildība, ja vien atbildību saskaņā ar valsts tiesību aktiem neuzņemas dalībvalsts vai dalībvalsts pati tieši neatbild par atbilstības novērtēšanu.

Atbilstības novērtēšanas struktūra un tās darbinieki, komitejas, filiāles, apakšuzņēmēji un jebkādas citas ar atbilstības novērtēšanas struktūru saistītās struktūras vai ārēju struktūru darbinieki ievēro konfidencialitāti un glabā dienesta noslēpumu, kas skar visu informāciju, kura iegūta, veicot atbilstības novērtēšanas uzdevumus saskaņā ar šo regulu vai valsts tiesību normām, ar ko īsteno šo regulu, izņemot gadījumus, kad informācija ir jāizpauž saskaņā ar Savienības vai dalībvalstu tiesību aktiem, kuri šīm personām ir jāievēro, un izņemot attiecībā uz to dalībvalstu kompetentajām iestādēm, kurās tiek veiktas tās darbības. Īpašumtiesības tiek aizsargātas. Attiecībā uz šā punkta prasībām atbilstības novērtēšanas struktūra ievieš dokumentētas procedūras.

Izņemot 16. punktu, šī pielikuma prasības neliedz atbilstības novērtēšanas struktūrai un personai, kas iesniedz sertifikācijas pieteikumu vai apsver iespēju to iesniegt, apmainīties ar tehnisko informāciju un regulatīviem norādījumiem.

Atbilstības novērtēšanas struktūras darbojas saskaņā ar konsekventiem, taisnīgiem un saprātīgiem noteikumiem, attiecībā uz maksām ņemot vērā MVU intereses.

Atbilstības novērtēšanas struktūras atbilst attiecīgā saskaņotā standarta prasībām, kā definēts 2. panta 9. punktā Regulā (EK) Nr. 765/2008 attiecībā uz to atbilstības novērtēšanas struktūru akreditāciju, kas veic IKT produktu, IKT pakalpojumu, IKT procesu vai pārvaldītu drošības pakalpojumu sertifikāciju.

Atbildības novērtēšanas struktūras nodrošina, ka atbilstības novērtēšanai izmantotās testēšanas laboratorijas atbilst attiecīgā saskaņotā standarta prasībām, kā definēts 2. panta 9. punktā Regulā (EK) Nr. 765/2008 attiecībā uz to laboratoriju akreditāciju, kas veic testēšanu.