ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Tekst mający znaczenie dla EOG)

Jednostka oceniająca zgodność musi być ustanowiona na podstawie prawa krajowego i mieć osobowość prawną.

Jednostka oceniająca zgodność musi być stroną trzecią, niezależną od ocenianych przez nią organizacji lub produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa.

Za jednostkę oceniającą zgodność można uważać jednostkę należącą do organizacji przedsiębiorców lub zrzeszenia zawodowego reprezentujących przedsiębiorstwa zaangażowane w projektowanie, wytwarzanie, dostarczanie, montowanie, użytkowanie lub utrzymywanie ocenianych przez nią produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, pod warunkiem że wykazano jej niezależność i brak konfliktu interesów.

Jednostki oceniające zgodność, ich ścisłe kierownictwo oraz pracownicy odpowiedzialni za realizację zadań z zakresu oceny zgodności nie mogą być projektantami, wytwórcami, dostawcami, instalatorami, nabywcami, właścicielami, użytkownikami ani osobami odpowiedzialnymi za utrzymanie produktu ICT, usługi ICT, procesu ICT lub usługi zarządzanej w zakresie bezpieczeństwa będących przedmiotem oceny, ani upoważnionymi przedstawicielami którejkolwiek z wymienionych stron. Zakaz ten nie wyklucza wykorzystywania ocenianych produktów ICT, które są niezbędne do prowadzenia działalności przez jednostkę oceniającą zgodność, lub wykorzystywania takich produktów ICT do celów osobistych.

Jednostki oceniające zgodność, ich ścisłe kierownictwo oraz pracownicy odpowiedzialni za wykonywanie zadań z zakresu oceny zgodności nie mogą być bezpośrednio zaangażowani w projektowanie, wytwarzanie ani konstruowanie, świadczenie, wprowadzanie do obrotu, instalację lub użytkowanie ani być osobami odpowiedzialnymi za utrzymanie produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa będących przedmiotem oceny, ani reprezentować stron zaangażowanych w taką działalność. Jednostki oceniające zgodność, ich ścisłe kierownictwo oraz pracownicy odpowiedzialni za realizację zadań z zakresu oceny zgodności nie mogą angażować się w jakąkolwiek działalność, która może zagrozić niezależności ich osądów lub uczciwości w odniesieniu do podejmowanych przez nich czynności z zakresu oceny zgodności. Zakaz ten ma w szczególności zastosowanie do usług konsultingowych.

Jeżeli jednostka oceniająca zgodność jest własnością podmiotu publicznego lub instytucji publicznej bądź jest przez nie zarządzana, należy zapewnić i udokumentować brak zależności pomiędzy krajowym organem ds. certyfikacji cyberbezpieczeństwa oraz jednostką oceniającą zgodność, a także brak konfliktu interesów pomiędzy nimi.

Jednostki oceniające zgodność zapewniają, aby działalność ich jednostek zależnych i podwykonawców nie wpływała na poufność, obiektywizm lub bezstronność czynności z zakresu oceny zgodności.

Jednostki oceniające zgodność i ich personel zachowują w toku realizacji czynności z zakresu oceny zgodności najwyższe standardy zawodowe, mają konieczne kwalifikacje techniczne w danej dziedzinie oraz nie są poddawani żadnym naciskom ani zachętom, mogącym wpływać na ich opinię lub rezultaty czynności z zakresu oceny zgodności, w tym naciskom i zachętom o charakterze finansowym, szczególnie ze strony osób lub grup osób, których interesy związane są z rezultatami tych czynności.

Jednostka oceniająca zgodność musi mieć możliwość wykonywania wszelkich zadań z zakresu oceny zgodności powierzonych jej na podstawie niniejszego rozporządzenia, bez względu na to, czy zadania te wykonuje sama jednostka oceniająca zgodność, czy też są one wykonywane w jej imieniu i na jej odpowiedzialność. Zlecanie podwykonawstwa lub konsultacje z personelem zewnętrznym są odpowiednio udokumentowane, nie uczestniczą w nich żadni pośrednicy i są one przedmiotem pisemnej umowy obejmującej między innymi kwestie poufności i konfliktu interesów. Jednostka oceniająca zgodność ponosi pełną odpowiedzialność za wykonywane zadania.

▼M1

Przez cały czas i w odniesieniu do każdej procedury oceny zgodności oraz do każdego rodzaju, każdej kategorii lub podkategorii produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, jednostka oceniająca zgodność musi dysponować niezbędnymi:

▼B

▼M1

▼B

Jednostka oceniająca zgodność dysponuje środkami niezbędnymi do prawidłowej realizacji zadań o charakterze technicznym i administracyjnym związanych z czynnościami z zakresu oceny zgodności oraz ma dostęp do wszelkiego niezbędnego wyposażenia i obiektów.

Personel odpowiedzialny za realizację czynności z zakresu oceny zgodności musi mieć:

Należy zagwarantować bezstronność jednostek oceniających zgodność, ich ścisłego kierownictwa, osób odpowiedzialnych za realizację czynności z zakresu oceny zgodności oraz wszelkich podwykonawców.

Wynagrodzenie ścisłego kierownictwa jednostki oceniającej zgodność oraz osób odpowiedzialnych za realizację czynności z zakresu oceny zgodności nie może zależeć od liczby przeprowadzonych ocen zgodności ani od wyników tych ocen.

Jednostki oceniające zgodność muszą posiadać ubezpieczenie od odpowiedzialności, chyba że na mocy prawa krajowego odpowiedzialność spoczywa na państwie członkowskim lub za ocenę zgodności odpowiada bezpośrednio samo państwo członkowskie.

Jednostka oceniająca zgodność, jej personel, jej komisje, jej jednostki zależne, jej podwykonawcy oraz wszelkie podmioty powiązane i personel jednostek zewnętrznych zachowują poufność i dochowują tajemnicy służbowej w odniesieniu do wszystkich informacji, które uzyskują w trakcie wykonywania swoich zadań z zakresu oceny zgodności zgodnie z niniejszym rozporządzeniem lub z wszelkimi przepisami prawa krajowego nadającymi skuteczność niniejszemu rozporządzeniu; wyjątkiem są sytuacje, kiedy ujawnienie jest wymagane na podstawie prawa Unii lub prawa państwa członkowskiego, któremu takie osoby podlegają oraz w relacjach z właściwymi organami państw członkowskich, w których jednostka oceniająca zgodność prowadzi działalność. Prawo własności intelektualnej podlega ochronie. Jednostka oceniająca musi mieć udokumentowane procedury dotyczące wymogów niniejszego punktu.

Z wyjątkiem punktu 16 wymogi niniejszego załącznika nie mogą wykluczać wymiany informacji technicznych i porad regulacyjnych pomiędzy jednostką oceniającą zgodność a osobą ubiegającą się o certyfikację lub rozważającą ubieganie się o nią.

Jednostki oceniające zgodność prowadzą działalność na spójnych, uczciwych i rozsądnych warunkach, biorąc pod uwagę interesy MŚP w odniesieniu do opłat.

Jednostki oceniające zgodność muszą spełniać wymogi odpowiedniej normy zharmonizowanej, zdefiniowanej w art. 2 pkt 9 rozporządzenia (WE) nr 765/2008, dotyczącej akredytacji jednostek oceniających zgodność dokonujących certyfikacji produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa.

Jednostki oceniające zgodność zapewniają, aby wykorzystywane do celów oceny zgodności laboratoria przeprowadzające testy spełniały wymogi odpowiedniej normy zharmonizowanej, zdefiniowanej w art. 2 pkt 9 rozporządzenia (WE) nr 765/2008, dotyczącej akredytacji laboratoriów przeprowadzających testy.