Artykuł 6

1. Krajowe programy certyfikacji obejmują procedurę okresowego przeglądu działalności. Procedura ta ma na celu potwierdzenie ich adekwatności i określenie aspektów wymagających poprawy, z uwzględnieniem informacji zwrotnych od zainteresowanych stron.

2. Krajowe programy certyfikacji zawierają przepisy dotyczące ich utrzymania. Procedura ta musi obejmować co najmniej następujące wymogi:

a) zasady zarządzania definicjami i wymogami krajowych programów certyfikacji;

b) ustanowienie terminów wydawania świadectw po przyjęciu zaktualizowanych wersji krajowych programów certyfikacji, zarówno w odniesieniu do nowych, jak i wydanych wcześniej certyfikatów zgodności;

c) okresowy przegląd krajowych programów certyfikacji w celu zapewnienia spójnego stosowania wymogów krajowych programów certyfikacji, z uwzględnieniem co najmniej następujących elementów:

— wnioski o wyjaśnienie skierowane do właściciela programu w odniesieniu do wymogów krajowego programu certyfikacji;

— informacje zwrotne od zainteresowanych stron i innych interesariuszy;

— zdolność właściciela krajowego programu certyfikacji do reagowania na wnioski o udzielenie informacji;

d) zasady monitorowania dokumentów referencyjnych i procedur rozwoju wersji referencyjnych krajowych programów certyfikacji, z uwzględnieniem co najmniej okresów przejściowych;

e) procedura zapewniająca uwzględnienie najnowszych ryzyk w cyberprzestrzeni i zagrożeń cyberbezpieczeństwa wymienionych w rejestrze ryzyka określonym w załączniku I do niniejszego rozporządzenia;

f) proces zarządzania pozostałymi zmianami w krajowych programach certyfikacji.

3. Krajowe programy certyfikacji zawierają wymogi dotyczące przeprowadzania ocen obecnie certyfikowanych produktów we wskazanym okresie po zmianie programu lub po opublikowaniu nowych specyfikacji lub norm, lub ich nowych wersji, z którymi muszą być zgodne rozwiązania w zakresie portfela oraz system identyfikacji elektronicznej, w ramach którego są one zapewniane.