ΚΑΝΟΝΙΣΜΟΣ (ΕΕ) 2019/881 ΤΟΥ ΕΥΡΩΠΑΪΚΟΫ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ της 17ης Απριλίου 2019 σχετικά με τον ENISA («Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια») και με την πιστοποίηση της κυβερνοασφάλειας στον τομέα της τεχνολογίας πληροφοριών και επικοινωνιών και για την κατάργηση του κανονισμού (ΕΕ) αριθ. 526/2013 (πράξη για την κυβερνοασφάλεια) (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

Ο οργανισμός αξιολόγησης της συμμόρφωσης συστήνεται βάσει του εθνικού δικαίου και διαθέτει νομική προσωπικότητα.

Ο οργανισμός αξιολόγησης της συμμόρφωσης είναι τρίτος φορέας, ανεξάρτητος από τον οργανισμό ή τα προϊόντα ΤΠΕ, τις υπηρεσίες ΤΠΕ, τις διαδικασίες ΤΠΕ ή τις υπηρεσίες διαχειριζόμενης ασφάλειας που αξιολογεί.

Ένας οργανισμός που ανήκει σε ένωση επιχειρήσεων ή επαγγελματική ομοσπονδία που εκπροσωπεί επιχειρήσεις οι οποίες συμμετέχουν στον σχεδιασμό, την κατασκευή, την παροχή, τη συναρμολόγηση, τη χρήση ή τη συντήρηση προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσίες ασφάλειας που αξιολογεί, μπορεί να θεωρείται οργανισμός αξιολόγησης της συμμόρφωσης, υπό την προϋπόθεση ότι η ανεξαρτησία του και η απουσία σύγκρουσης συμφερόντων είναι αποδεδειγμένες.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης, τα διευθυντικά τους στελέχη και τα πρόσωπα που είναι αρμόδια για την εκτέλεση των καθηκόντων αξιολόγησης της συμμόρφωσης δεν είναι ο σχεδιαστής, ο κατασκευαστής, ο προμηθευτής, ο εγκαταστάτης, ο αγοραστής, ο ιδιοκτήτης, ο χρήστης ή ο συντηρητής του προϊόντος ΤΠΕ, της υπηρεσίας ΤΠΕ, της διαδικασίας ΤΠΕ ή της διαχειριζόμενης υπηρεσίας ασφάλειας που αξιολογείται, ούτε ο εξουσιοδοτημένος αντιπρόσωπος των ανωτέρω. Η εν λόγω απαγόρευση δεν αποκλείει τη χρήση των αξιολογημένων προϊόντων ΤΠΕ που είναι αναγκαία για τις λειτουργίες του οργανισμού αξιολόγησης της συμμόρφωσης ή τη χρήση των εν λόγω προϊόντων ΤΠΕ για προσωπικούς σκοπούς.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης, τα διευθυντικά του στελέχη και τα πρόσωπα που είναι αρμόδια για την εκτέλεση των καθηκόντων αξιολόγησης της συμμόρφωσης δεν εμπλέκονται άμεσα στο σχεδιασμό, την παραγωγή ή την κατασκευή, την παροχή, την εμπορία, την εγκατάσταση, τη χρήση ή τη συντήρηση των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ, των διαδικασιών ΤΠΕ ή των διαχειριζόμενων υπηρεσιών ασφάλειας που αξιολογούνται, ούτε εκπροσωπούν μέρη που εμπλέκονται στις εν λόγω δραστηριότητες. Οι οργανισμοί αξιολόγησης της συμμόρφωσης, τα διευθυντικά του στελέχη και τα πρόσωπα που είναι αρμόδια για την εκτέλεση των καθηκόντων αξιολόγησης της συμμόρφωσης δεν αναλαμβάνουν καμιά δραστηριότητα που μπορεί να έλθει σε σύγκρουση με την ανεξάρτητη κρίση ή την ακεραιότητά τους σε σχέση με τις οικείες δραστηριότητες αξιολόγησης της συμμόρφωσης. Η εν λόγω απαγόρευση ισχύει ιδίως για συμβουλευτικές υπηρεσίες.

Εάν ένας οργανισμός αξιολόγησης της συμμόρφωσης ανήκει ή ελέγχεται από δημόσιο οργανισμό ή φορέα, διασφαλίζεται και τεκμηριώνεται η ανεξαρτησία και η απουσία οποιασδήποτε σύγκρουσης συμφερόντων μεταξύ της εθνικής αρχής πιστοποίησης της κυβερνοασφάλειας και του οργανισμού αξιολόγησης της συμμόρφωσης.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης εξασφαλίζουν ότι οι δραστηριότητες των θυγατρικών ή των υπεργολάβων τους δεν επηρεάζουν την εμπιστευτικότητα, την αντικειμενικότητα και την αμεροληψία των οικείων δραστηριοτήτων αξιολόγησης της συμμόρφωσης.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης και το προσωπικό τους εκτελούν δραστηριότητες αξιολόγησης της συμμόρφωσης με τη μεγαλύτερη επαγγελματική ακεραιότητα και την απαιτούμενη τεχνική επάρκεια στο συγκεκριμένο πεδίο και είναι απαλλαγμένοι από κάθε πίεση και προτροπή που θα ήταν δυνατόν να επηρεάσει την κρίση τους ή τα αποτελέσματα των οικείων δραστηριοτήτων αξιολόγησης της συμμόρφωσης, συμπεριλαμβανομένων των πιέσεων και προτροπών οικονομικής φύσης, ιδιαίτερα από πρόσωπα ή ομάδες προσώπων που έχουν συμφέρον από τα αποτελέσματα αυτών των δραστηριοτήτων.

Ο οργανισμός αξιολόγησης της συμμόρφωσης είναι σε θέση να εκτελεί όλα τα καθήκοντα σχετικά με την αξιολόγηση της συμμόρφωσης που του ανατίθενται από τον παρόντα κανονισμό, ανεξάρτητα από το αν πρόκειται για καθήκοντα που εκτελούνται από τον ίδιο τον οργανισμό αξιολόγησης της συμμόρφωσης ή εξ ονόματός του και υπό την ευθύνη του. Οποιαδήποτε υπεργολαβική ανάθεση σε εξωτερικό προσωπικό ή διαβούλευση με αυτό τεκμηριώνεται κατάλληλα, δεν περιλαμβάνει κανένα διαμεσολαβητή και διέπεται από γραπτή συμφωνία η οποία καλύπτει, μεταξύ άλλων, τα ζητήματα της εμπιστευτικότητας και της σύγκρουσης συμφερόντων. Ο εν λόγω οργανισμός αξιολόγησης της συμμόρφωσης αναλαμβάνει την πλήρη ευθύνη για τα καθήκοντα που εκτελεί.

▼M1

Ανά πάσα στιγμή και για κάθε διαδικασία αξιολόγησης της συμμόρφωσης και κάθε τύπο, κατηγορία ή υποκατηγορία προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας, ο οργανισμός αξιολόγησης της συμμόρφωσης έχει στη διάθεσή του τα εξής απαραίτητα:

▼B

▼M1

▼B

Ο οργανισμός αξιολόγησης της συμμόρφωσης διαθέτει τα αναγκαία μέσα για την εκτέλεση των τεχνικών και διοικητικών καθηκόντων που συνδέονται κατάλληλα με τις δραστηριότητες αξιολόγησης της συμμόρφωσης, ενώ έχει πρόσβαση σε όλο τον αναγκαίο εξοπλισμό ή εγκαταστάσεις.

Τα πρόσωπα που είναι αρμόδια για τη διεξαγωγή των δραστηριοτήτων αξιολόγησης της συμμόρφωσης διαθέτουν τα ακόλουθα:

Διασφαλίζεται η αμεροληψία των οργανισμών αξιολόγησης της συμμόρφωσης, των διευθυντικών στελεχών τους και των προσώπων που είναι υπεύθυνα για τη διενέργεια δραστηριοτήτων αξιολόγησης συμμόρφωσης και οποιωνδήποτε υπεργολάβων αξιολόγησης.

Η αμοιβή των διευθυντικών στελεχών και των προσώπων που είναι υπεύθυνα για τη διενέργεια δραστηριοτήτων αξιολόγησης συμμόρφωσης δεν εξαρτάται από τον αριθμό των διεξαγόμενων αξιολογήσεων συμμόρφωσης ή από τα αποτελέσματα των εν λόγω αξιολογήσεων.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης συνάπτουν ασφάλεια αστικής ευθύνης, εφόσον η ευθύνη αυτή δεν έχει αναληφθεί από το κράτος μέλος σύμφωνα με το εθνικό του δίκαιο ή εάν το ίδιο το κράτος μέλος φέρει άμεση ευθύνη για την αξιολόγηση της συμμόρφωσης.

Ο οργανισμός αξιολόγησης της συμμόρφωσης και το προσωπικό του, οι επιτροπές του, οι θυγατρικές του, οι υπεργολάβοι του και κάθε συνεργαζόμενος φορέας ή το προσωπικό εξωτερικών οργανισμών ενός οργανισμού αξιολόγησης της συμμόρφωσης τηρούν την εμπιστευτικότητα και το επαγγελματικό απόρρητο για κάθε πληροφορία που περιέρχεται εις γνώσιν τους κατά την εκτέλεση των οικείων καθηκόντων αξιολόγησης συμμόρφωσης σύμφωνα με τον παρόντα κανονισμό ή οποιανδήποτε εκτελεστική του παρόντος κανονισμού διάταξη του εθνικού δικαίου, εκτός από την περίπτωση κατά την οποία απαιτείται γνωστοποίηση δυνάμει του ενωσιακού ή εθνικού δικαίου στην οποία υπόκεινται τα εν λόγω πρόσωπα και εκτός εάν πρόκειται για τις αρμόδιες αρχές του κράτους μέλους στο οποίο διεξάγονται οι δραστηριότητές του. Τα δικαιώματα διανοητικής ιδιοκτησίας προστατεύονται. Ο οργανισμός αξιολόγησης της συμμόρφωσης διαθέτει τεκμηριωμένες διαδικασίες σχετικά με τις απαιτήσεις του παρόντος σημείου.

Με εξαίρεση το σημείο 16, οι απαιτήσεις του παρόντος παραρτήματος δεν αποκλείουν ανταλλαγές τεχνικών πληροφοριών και ρυθμιστικής καθοδήγησης μεταξύ οργανισμού αξιολόγησης της συμμόρφωσης και προσώπου που υποβάλλει αίτηση πιστοποίησης ή που εξετάζει το ενδεχόμενο να υποβάλει αίτηση πιστοποίησης.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης λειτουργούν σύμφωνα με σειρά συνεπών, δίκαιων και εύλογων όρων και προϋποθέσεων, λαμβάνοντας υπόψη τα συμφέροντα των ΜΜΕ σε σχέση με τις αμοιβές.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης πληρούν τις απαιτήσεις του σχετικού εναρμονισμένου προτύπου όπως ορίζεται στο άρθρο 2 σημείο 9) του κανονισμού (ΕΚ) αριθ. 765/2008 για τη διαπίστευση των οργανισμών αξιολόγησης της συμμόρφωσης που διενεργούν την πιστοποίηση προϊόντων ΤΠΕ, υπηρεσιών ΤΠΕ, διαδικασιών ΤΠΕ ή διαχειριζόμενων υπηρεσιών ασφάλειας.

Οι οργανισμοί αξιολόγησης της συμμόρφωσης εξασφαλίζουν ότι τα εργαστήρια δοκιμών που χρησιμοποιούνται για σκοπούς αξιολόγησης της συμμόρφωσης πληρούν τις απαιτήσεις του σχετικού εναρμονισμένου προτύπου όπως ορίζεται στο άρθρο 2 σημείο 9) του κανονισμού (ΕΚ) αριθ. 765/2008 για τη διαπίστευση των εργαστηρίων που πραγματοποιούν δοκιμές.