VERORDENING (EU) 2019/881 VAN HET EUROPEES PARLEMENT EN DE RAAD van 17 april 2019 inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie en tot intrekking van Verordening (EU) nr. 526/2013 (de cyberbeveiligingsverordening) (Voor de EER relevante tekst)

Een conformiteitsbeoordelingsinstantie is naar nationaal recht opgericht en heeft rechtspersoonlijkheid.

Een conformiteitsbeoordelingsinstantie is een derde instantie die onafhankelijk is van de door haar beoordeelde organisatie of ICT-producten, -diensten en -processen of beheerde beveiligingsdiensten.

Een instantie die behoort tot een branche- of beroepsorganisatie die ondernemingen vertegenwoordigt die betrokken zijn bij het ontwerpen, vervaardigen, leveren, monteren, gebruiken of onderhouden van de door haar beoordeelde ICT-producten, -diensten en -processen of beheerde beveiligingsdiensten, kan als conformiteitsbeoordelingsinstantie worden beschouwd op voorwaarde dat haar onafhankelijkheid en de afwezigheid van belangenconflicten zijn aangetoond.

De conformiteitsbeoordelingsinstanties, hun hoogste leidinggevenden en personen die de conformiteitsbeoordelingstaken verrichten, mogen niet de ontwerper, fabrikant, leverancier, installateur, koper, eigenaar, gebruiker of onderhouder zijn van het ICT-product, de ICT-dienst, het ICT-proces of de beheerde beveiligingsdienst die of dat wordt beoordeeld, noch de gemachtigde van een van die partijen. Dat verbod belet echter niet dat de beoordeelde ICT-producten voor activiteiten van de conformiteitsbeoordelingsinstantie of voor persoonlijke doeleinden worden gebruikt.

De conformiteitsbeoordelingsinstanties, hun hoogste leidinggevenden en personen die de conformiteitsbeoordelingstaken verrichten, zijn noch rechtstreeks noch als vertegenwoordiger van de betrokken partijen betrokken bij het ontwerpen, vervaardigen of bouwen, verstrekken, op de markt brengen, installeren, gebruiken of onderhouden van de ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten die worden beoordeeld. De conformiteitsbeoordelingsinstanties, hun hoogste leidinggevenden en personen die de conformiteitsbeoordelingstaken verrichten, voeren geen activiteiten uit die hun onafhankelijk oordeel of hun integriteit met betrekking tot hun conformiteitsbeoordelingswerkzaamheden in het gedrang kunnen brengen. Dat verbod geldt met name voor adviesdiensten.

Indien een conformiteitsbeoordelingsinstantie in eigendom is van of wordt geëxploiteerd door een overheidsinstantie, worden de onafhankelijkheid en de afwezigheid van belangenconflicten tussen de nationale cyberbeveiligingscertificeringsautoriteit en de conformiteitsbeoordelingsinstantie gewaarborgd en gedocumenteerd.

Conformiteitsbeoordelingsinstanties zorgen ervoor dat de activiteiten van hun dochterondernemingen en onderaannemers geen afbreuk doen aan de vertrouwelijkheid, objectiviteit of onpartijdigheid van hun conformiteitsbeoordelingswerkzaamheden.

Conformiteitsbeoordelingsinstanties en hun personeel voeren conformiteitsbeoordelingswerkzaamheden uit met de grootste mate van beroepsintegriteit en met de vereiste technische bekwaamheid op het specifieke gebied en zij zijn vrij van elke druk en beïnvloeding, waaronder van financiële aard, die hun oordeel of de resultaten van hun conformiteitsbeoordelingswerkzaamheden zouden kunnen beïnvloeden, in het bijzonder van of door personen of groepen van personen die belang hebben bij de resultaten van deze activiteiten.

Een conformiteitsbeoordelingsinstantie is in staat alle conformiteitsbeoordelingstaken te vervullen die haar krachtens deze verordening zijn toegewezen, ongeacht of die taken door de conformiteitsbeoordelingsinstantie zelf dan wel namens haar en onder haar verantwoordelijkheid worden verricht. Elke uitbesteding aan of raadpleging van extern personeel wordt naar behoren gedocumenteerd, brengt geen tussenpersonen met zich mee en geschiedt bij schriftelijke overeenkomst waarin onder meer de vertrouwelijkheid en belangenconflicten worden geregeld. De betrokken conformiteitsbeoordelingsinstantie neemt de volledige verantwoordelijkheid voor de verrichte taken.

▼M1

Een conformiteitsbeoordelingsinstantie beschikt te allen tijde, voor elke conformiteitsbeoordelingsprocedure en voor elke soort, categorie of subcategorie ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten over:

▼B

▼M1

▼B

Een conformiteitsbeoordelingsinstantie beschikt over de nodige middelen om de technische en administratieve taken in verband met de conformiteitsbeoordelingswerkzaamheden op passende wijze uit te voeren en heeft toegang tot alle vereiste apparatuur en faciliteiten.

De voor de uitvoering van de conformiteitsbeoordelingswerkzaamheden verantwoordelijke personen:

De onpartijdigheid van de conformiteitsbeoordelingsinstanties, hun hoogste leidinggevenden, de voor de verrichting van de conformiteitsbeoordelingswerkzaamheden verantwoordelijke personen en eventuele onderaannemers wordt gegarandeerd.

De beloning van de hoogste leidinggevenden en van de voor de verrichting van de conformiteitsbeoordelingswerkzaamheden verantwoordelijke personen hangt niet af van het aantal uitgevoerde conformiteitsbeoordelingen of van de resultaten daarvan.

Conformiteitsbeoordelingsinstanties sluiten een aansprakelijkheidsverzekering af, tenzij aansprakelijkheid op grond van het nationale recht door de lidstaat wordt gedekt of de lidstaat zelf rechtstreeks verantwoordelijk is voor de conformiteitsbeoordeling.

De conformiteitsbeoordelingsinstantie en haar personeel, comités, dochterondernemingen, onderaannemers en aanverwante instanties of het personeel van externe organisaties van een conformiteitsbeoordelingsinstantie zijn verplicht tot geheimhouding en zijn gebonden aan het beroepsgeheim ten aanzien van alle informatie waarvan zij kennisnemen bij de uitoefening van hun conformiteitsbeoordelingstaken uit hoofde van deze verordening of op grond van bepalingen van nationaal recht die aan deze verordening uitvoering geven, behalve wanneer bekendmaking wordt vereist door wetgeving van de Unie of de lidstaat waaronder zij vallen en behalve ten opzichte van de bevoegde autoriteiten van de lidstaat waarin de werkzaamheden plaatsvinden. Intellectuele eigendomsrechten worden beschermd. De conformiteitsbeoordelingsinstantie beschikt over gedocumenteerde procedures met betrekking tot de vereisten van dit punt.

Met uitzondering van punt 16 sluiten de voorschriften van deze bijlage op geen enkele wijze de uitwisseling uit van technische inlichtingen en regelgevingsrichtsnoeren tussen een conformiteitsbeoordelingsinstantie en een persoon die om certificering verzoekt of dat overweegt.

Conformiteitsbeoordelingsinstanties handelen overeenkomstig een reeks consistente, billijke en redelijke voorwaarden, met inachtneming van de belangen van kleine en middelgrote ondernemingen met betrekking tot vergoedingen.

Conformiteitsbeoordelingsinstanties voldoen aan de eisen van de toepasselijke geharmoniseerde norm zoals gedefinieerd in artikel 2, punt 9, van Verordening (EG) nr. 765/2008 voor de accreditatie van conformiteitsbeoordelingsinstanties die ICT-producten, -diensten of -processen of beheerde beveiligingsdiensten certificeren.

Conformiteitsbeoordelingsinstanties zorgen ervoor dat testlaboratoria die worden gebruikt voor conformiteitsbeoordelingen voldoen aan de eisen van de toepasselijke geharmoniseerde norm zoals gedefinieerd in artikel 2, punt 9, van Verordening (EG) nr. 765/2008 voor de accreditatie van laboratoria die tests uitvoeren.