Załącznik VI

VI.1

Zakres wzajemnej oceny

1. Uwzględnia się następujące typy wzajemnych ocen:

a) typ 1: gdy jednostka certyfikująca wykonuje działania w zakresie certyfikacji na poziomie AVA_VAN.3;

b) typ 2: gdy jednostka certyfikująca wykonuje działania w zakresie certyfikacji związane z domeną techniczną wymienioną w załączniku I jako dokumenty odzwierciedlające stan wiedzy;

c) typ 3: gdy jednostka certyfikująca wykonuje działania w zakresie certyfikacji powyżej poziomu AVA_VAN.3 z wykorzystaniem profilu zabezpieczeń wymienionego w załączniku II lub III jako dokumenty odzwierciedlające stan wiedzy.

2. Jednostka certyfikująca poddana wzajemnej ocenie przedkłada wykaz certyfikowanych produktów ICT, które mogą być kandydatami do przeprowadzenia przeglądu przez zespół ds. wzajemnej oceny, zgodnie z następującymi zasadami:

a) produkty będące kandydatami obejmują zakres techniczny zezwolenia jednostki certyfikującej, z czego oceny co najmniej dwóch różnych produktów o poziomie uzasadnienia zaufania „wysoki” zostaną poddane analizie w ramach wzajemnej oceny, oraz jeden profil zabezpieczeń, jeżeli jednostka certyfikująca wydała certyfikat o poziomie uzasadnienia zaufania „wysoki”;

b) w przypadku wzajemnej oceny typu 2 jednostka certyfikująca przedkłada co najmniej jeden produkt dla każdej domeny technicznej i dla każdej zainteresowanej ITSEF;

c) w przypadku wzajemnej oceny typu 3 co najmniej jeden produkt będący kandydatem ocenia się zgodnie z mającymi zastosowanie i odpowiednimi profilami zabezpieczeń.

VI.2

Zespół ds. wzajemnej oceny

1. Zespół ds. oceny składa się z co najmniej dwóch ekspertów wybranych z różnych jednostek certyfikujących z różnych państw członkowskich, które to jednostki wydają certyfikaty o poziomie uzasadnienia zaufania „wysoki”. Eksperci powinni wykazać się odpowiednią wiedzą fachową w zakresie norm, o których mowa w art. 3, oraz dokumentów odzwierciedlających stan wiedzy wchodzących w zakres wzajemnej oceny.

2. W przypadku powierzenia zadania polegającego na wydawaniu certyfikatów lub uprzednim zatwierdzaniu certyfikatów, o czym mowa w art. 56 ust. 6 rozporządzenia (UE) 2019/881, w zespole ekspertów wybranych zgodnie z pkt 1 niniejszej sekcji ponadto uczestniczy ekspert z krajowego organu ds. certyfikacji cyberbezpieczeństwa związany z daną jednostką certyfikującą.

3. Do celów wzajemnej oceny typu 2 członkowie zespołu wybierani są z jednostek certyfikujących posiadających zezwolenie w odniesieniu do danej domeny technicznej.

4. Każdy członek zespołu ds. oceny musi mieć co najmniej dwuletnie doświadczenie w prowadzeniu działań w zakresie certyfikacji w jednostce certyfikującej;

5. W przypadku wzajemnej oceny typu 2 lub 3 każdy członek zespołu ds. oceny musi mieć co najmniej dwuletnie doświadczenie w prowadzeniu działań w zakresie certyfikacji w tej odpowiedniej domenie technicznej lub profilu zabezpieczeń oraz potwierdzoną wiedzę fachową i doświadczenie związane z uczestnictwem w udzieleniu zezwolenia ITSEF.

6. Krajowy organ ds. certyfikacji cyberbezpieczeństwa monitoruje i nadzoruje jednostkę certyfikującą poddaną wzajemnej ocenie, a co najmniej jeden krajowy organ ds. certyfikacji cyberbezpieczeństwa, którego jednostka certyfikująca nie podlega wzajemnej ocenie, uczestniczy we wzajemnej ocenie w charakterze obserwatora. Również ENISA może uczestniczyć we wzajemnej ocenie w charakterze obserwatora.

7. Jednostce certyfikującej poddanej wzajemnej ocenie przedstawia się skład zespołu ds. wzajemnej oceny. W uzasadnionych przypadkach może ona zakwestionować skład zespołu ds. wzajemnej oceny i poprosić o jego przegląd.