Artykuł 1

W rozporządzeniu (UE) 2019/881 wprowadza się następujące zmiany:

1) art. 1 ust. 1 akapit pierwszy lit. b) otrzymuje brzmienie:

„b)

ramy ustanawiania europejskich programów certyfikacji cyberbezpieczeństwa w celu zapewnienia odpowiedniego poziomu cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa w Unii, a także w celu uniknięcia rozdrobnienia rynku wewnętrznego w zakresie programów certyfikacji cyberbezpieczeństwa w Unii.”

;

2) w art. 2 wprowadza się następujące zmiany:

a) pkt 9, 10 i 11 otrzymują brzmienie:

„9)

»europejski program certyfikacji cyberbezpieczeństwa« oznacza kompleksowy zbiór przepisów, wymogów technicznych, norm i procedur ustanowionych na poziomie unijnym i mających zastosowanie do certyfikacji lub oceny zgodności określonych produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;

10) »krajowy program certyfikacji cyberbezpieczeństwa« oznacza kompleksowy zbiór przepisów, wymogów technicznych, norm i procedur określonych i przyjętych przez krajowy organ publiczny i mających zastosowanie do certyfikacji lub oceny zgodności objętych zakresem danego programu produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;

11) »europejski certyfikat cyberbezpieczeństwa« oznacza wydany przez odpowiedni organ dokument poświadczający, że dany produkt ICT, dana usługa ICT, dany proces ICT lub dana usługa zarządzana w zakresie bezpieczeństwa zostały ocenione pod względem zgodności ze szczegółowymi wymogami bezpieczeństwa określonymi w europejskim programie certyfikacji cyberbezpieczeństwa;”

;

b) dodaje się punkt w brzmieniu:

„14a)

»usługa zarządzana w zakresie bezpieczeństwa« oznacza usługę świadczoną osobie trzeciej, polegającą na prowadzeniu lub zapewnianiu pomocy dla działań związanych z zarządzaniem ryzykiem w zakresie cyberbezpieczeństwa, takich jak postępowanie w przypadku incydentu, testy penetracyjne, audyty bezpieczeństwa i doradztwo w ramach wsparcia technicznego, w tym doradztwo fachowe;”

;

c) pkt 20, 21 i 22 otrzymują brzmienie:

„20)

»specyfikacja techniczna« oznacza dokument określający wymogi techniczne, które mają być spełnione przez produkt ICT, usługę ICT, proces ICT lub usługę zarządzaną w zakresie bezpieczeństwa lub procedury oceny zgodności w odniesieniu do produktu ICT, usługi ICT, procesu ICT lub usługi zarządzanej w zakresie bezpieczeństwa;

21) »poziom uzasadnienia zaufania« oznacza podstawę dla pewności, że dany produkt ICT, dana usługa ICT, dany proces ICT lub dana usługa zarządzana w zakresie bezpieczeństwa spełnia wymogi bezpieczeństwa określonego europejskiego programu certyfikacji cyberbezpieczeństwa; wskazuje on poziom, na jakim została dokonana ocena danego produktu ICT, danej usługi ICT, danego procesu ICT lub danej usługi zarządzanej w zakresie bezpieczeństwa, ale jako taki nie dokonuje on pomiaru bezpieczeństwa danego produktu ICT, danej usługi ICT, danego procesu ICT lub danej usługi zarządzanej w zakresie bezpieczeństwa;

22) »ocena zgodności przez stronę pierwszą« oznacza przeprowadzone przez wytwórcę lub dostawcę produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa czynności oceniające, czy te produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa spełniają wymogi określonego europejskiego programu certyfikacji cyberbezpieczeństwa;”

;

3) art. 4 ust. 6 otrzymuje brzmienie:

„6. ENISA propaguje korzystanie z europejskiej certyfikacji cyberbezpieczeństwa z myślą o unikaniu rozdrobnienia rynku wewnętrznego. ENISA przyczynia się do utworzenia i utrzymywania europejskich ram certyfikacji cyberbezpieczeństwa zgodnie z tytułem III niniejszego rozporządzenia, z myślą o zwiększeniu przejrzystości cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa, zwiększając w ten sposób zaufanie do wewnętrznego rynku cyfrowego i jego konkurencyjność.”

;

4) w art. 8 wprowadza się następujące zmiany:

a) w ust. 1 wprowadza się następujące zmiany:

(i) wyrażenie wprowadzające otrzymuje brzmienie:

„1. ENISA wspiera i propaguje opracowywanie i realizację ustanowionej w tytule III niniejszego rozporządzenia polityki Unii w zakresie certyfikacji cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa poprzez:”

;

(ii) lit. b) otrzymuje brzmienie:

„b)

przygotowywanie propozycji europejskich programów certyfikacji cyberbezpieczeństwa (zwanych dalej »propozycjami programów«) dla produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa zgodnie z art. 49;”

;

b) ust. 3 otrzymuje brzmienie:

„3. ENISA sporządza i publikuje wytyczne oraz opracowuje dobre praktyki dotyczące wymogów cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa we współpracy z krajowymi organami ds. certyfikacji cyberbezpieczeństwa oraz z przemysłem prowadzonej w formalny, ustrukturyzowany i przejrzysty sposób.”

;

c) ust. 5 otrzymuje brzmienie:

„5. ENISA ułatwia ustanowienie i upowszechnianie europejskich i międzynarodowych norm dotyczących zarządzania ryzykiem oraz dotyczących bezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa.”

;

5) art. 46 otrzymuje brzmienie:

„Artykuł 46

Europejskie ramy certyfikacji cyberbezpieczeństwa

1. Ustanawia się europejskie ramy certyfikacji cyberbezpieczeństwa w celu poprawy warunków funkcjonowania rynku wewnętrznego poprzez zwiększenie poziomu cyberbezpieczeństwa w Unii oraz umożliwienie zharmonizowanego podejścia na poziomie unijnym do europejskich programów certyfikacji cyberbezpieczeństwa, z myślą o stworzeniu jednolitego rynku cyfrowego w zakresie produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa.

2. Europejskie ramy certyfikacji cyberbezpieczeństwa przewidują mechanizm ustanawiania europejskich programów certyfikacji cyberbezpieczeństwa potwierdzania, że produkty ICT, usługi ICT i procesy ICT, które oceniono zgodnie z tymi programami, są zgodne z określonymi wymogami bezpieczeństwa mającymi na celu zabezpieczenie dostępności, autentyczności, integralności lub poufności przechowywanych, przekazywanych lub przetwarzanych danych, lub funkcji lub usług oferowanych lub dostępnych za pośrednictwem tych produktów, usług i procesów w trakcie ich całego cyklu życia. Potwierdza on ponadto, że usługi zarządzane w zakresie bezpieczeństwa, które oceniono zgodnie z tymi programami, są zgodne z określonymi wymogami bezpieczeństwa mającymi na celu zabezpieczenie dostępności, autentyczności, integralności i poufności danych, do których uzyskuje się dostęp, lub które są przetwarzane, przechowywane lub przekazywane w związku ze świadczeniem tych usług, oraz że usługi te są świadczone w sposób ciągły z zachowaniem wymaganych kompetencji, wiedzy fachowej i doświadczenia przez personel o wystarczającym i odpowiednim poziomie odpowiedniej wiedzy technicznej i uczciwości zawodowej.”

;

6) w art. 47 wprowadza się następujące zmiany:

a) ust. 2 otrzymuje brzmienie:

„2. Unijny kroczący program prac zawiera w szczególności wykaz produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa lub ich kategorii, które mają możliwość korzystania z włączenia w zakres stosowania danego europejskiego programu certyfikacji cyberbezpieczeństwa.”

;

b) ust. 3 otrzymuje brzmienie:

(i) wyrażenie wprowadzające otrzymuje brzmienie:

„3. Objęcie unijnym kroczącym programem prac określonych produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, lub ich kategorii, musi być uzasadnione jedną z poniższych przesłanek:”

;

(ii) lit. a) otrzymuje brzmienie:

„a)

dostępność i rozwój krajowych programów certyfikacji cyberbezpieczeństwa obejmujących określoną kategorię produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, w szczególności w odniesieniu do ryzyka rozdrobnienia;”

;

(iii) dodaje się literę w brzmieniu:

„ca)

zmiany technologiczne oraz dostępność i rozwój międzynarodowych programów certyfikacji cyberbezpieczeństwa oraz norm międzynarodowych i norm stosowanych przez przemysł;”

;

7) w art. 49 wprowadza się następujące zmiany:

a) ust. 1–4 otrzymują brzmienie:

„1. Po otrzymaniu wniosku Komisji na podstawie art. 48 ENISA przygotowuje propozycję programu spełniającego mające zastosowanie wymogi określone w art. 51, 51a, 52 i 54.

2. Po otrzymaniu wniosku ECCG na podstawie art. 48 ust. 2 ENISA może przygotować propozycję programu spełniającego mające zastosowanie wymogi określone w art. 51, 51a, 52 i 54. Jeżeli ENISA odmawia uwzględnienia takiego wniosku, uzasadnia swoją odmowę. Każdą decyzję o odmowie uwzględnienia wniosku podejmuje Zarząd.

3. Przygotowując propozycję programu, ENISA konsultuje się w odpowiednim czasie ze wszystkimi odpowiednimi interesariuszami w drodze formalnego, otwartego, przejrzystego i integracyjnego procesu konsultacji. Przekazując Komisji propozycję programu zgodnie z ust. 6, ENISA przekazuje informacje na temat sposobu, w jaki wypełniła obowiązki przewidziane w niniejszym ustępie.

4. Dla każdej propozycji programu ENISA ustanawia grupę roboczą ad hoc zgodnie z art. 20 ust. 4, której celem jest służenie ENISA doradztwem i wiedzą fachową. Grupy robocze ad hoc, w stosownych przypadkach oraz bez uszczerbku dla procedur i uprawnień dyskrecjonalnych przewidzianych w art. 20 ust. 4, obejmują ekspertów z administracji publicznej państw członkowskich, instytucji, organów i jednostek organizacyjnych Unii oraz sektora prywatnego.”

;

b) ust. 7 otrzymuje brzmienie:

„7. Komisja, w oparciu o propozycję programu przygotowaną przez ENISA, może przyjmować akty wykonawcze ustanawiające europejski program certyfikacji cyberbezpieczeństwa dotyczący produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa spełniający odpowiednie wymogi określone w art. 51, 51a, 52 i 54. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 66 ust. 2.”

;

8) dodaje się artykuł w brzmieniu:

„Artykuł 49a

Informacje i konsultacje dotyczące europejskich programów certyfikacji cyberbezpieczeństwa

1. Komisja podaje do wiadomości publicznej informacje dotyczące swoich wniosków do ENISA o przygotowanie propozycji programu lub o przegląd istniejącego europejskiego programu certyfikacji cyberbezpieczeństwa, o których mowa w art. 48.

2. Podczas przygotowywania przez ENISA propozycji programu zgodnie z art. 49 Parlament Europejski lub Rada mogą zwrócić się do Komisji – jako organu przewodniczącego ECCG – oraz do ENISA o przedstawianie co kwartał odpowiednich informacji dotyczących projektu propozycji programu. Na wniosek Parlamentu Europejskiego lub Rady ENISA, w porozumieniu z Komisją oraz bez uszczerbku dla art. 27, może udostępnić Parlamentowi Europejskiemu i Radzie odpowiednie części projektu propozycji programu w sposób adekwatny do wymaganego poziomu poufności, a w stosownych przypadkach w ograniczonym zakresie.

3. Aby wzmocnić dialog między instytucjami Unii oraz wnieść wkład w formalny, otwarty, przejrzysty i inkluzywny proces konsultacji, Parlament Europejski lub Rada mogą zaprosić Komisję i ENISA do przedyskutowania kwestii dotyczących funkcjonowania europejskich programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa.

4. Oceniając niniejsze rozporządzenie zgodnie z art. 67, Komisja uwzględnia w stosownych przypadkach elementy wynikające z opinii wyrażonych przez Parlament Europejski i przez Radę na temat kwestii, o których mowa w ust. 3 niniejszego artykułu.”

;

9) w art. 51 wprowadza się następujące zmiany:

a) tytuł otrzymuje brzmienie:

„Cele bezpieczeństwa europejskich programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT i procesów ICT”

;

b) wyrażenie wprowadzające otrzymuje brzmienie:

„Europejski program certyfikacji cyberbezpieczeństwa dotyczący produktów ICT, usług ICT lub procesów ICT musi być zaprojektowany tak, aby osiągać – w stosownych przypadkach – co najmniej następujące cele bezpieczeństwa:”

;

10) dodaje się artykuł w brzmieniu:

„Artykuł 51a

Cele bezpieczeństwa europejskich programów certyfikacji cyberbezpieczeństwa dotyczących usług zarządzanych w zakresie bezpieczeństwa

Europejski program certyfikacji cyberbezpieczeństwa dotyczący usług zarządzanych w zakresie bezpieczeństwa musi być zaprojektowany tak, aby osiągać – w stosownych przypadkach – co najmniej następujące cele bezpieczeństwa:

a) aby usługi zarządzane w zakresie bezpieczeństwa były świadczone z zachowaniem wymaganych kompetencji, wiedzy fachowej i doświadczenia, w tym aby personel odpowiedzialny za świadczenie tych usług posiadał wystarczający i odpowiedni poziom wiedzy technicznej i kompetencji w danej dziedzinie, wystarczające i odpowiednie doświadczenie, a także wykazywał najwyższy poziom uczciwości zawodowej;

b) aby dostawca stosował odpowiednie procedury wewnętrzne w celu zapewnienia, aby usługi zarządzane w zakresie bezpieczeństwa były zawsze świadczone przy zachowaniu wystarczającego i odpowiedniego poziomu jakości;

c) aby dane, do których uzyskano dostęp, lub które są przechowywane, przekazywane lub w inny sposób przetwarzane w związku ze świadczeniem usług zarządzanych w zakresie bezpieczeństwa, były chronione przed przypadkowym lub nieuprawnionym dostępem, przechowywaniem, ujawnieniem, zniszczeniem, innym rodzajem przetwarzania, lub utratą lub zmianą, lub niedostępnością;

d) aby dostępność danych, usług i funkcji oraz dostęp do nich w przypadku incydentu fizycznego lub technicznego przywracano w odpowiednim czasie;

e) aby uprawnione osoby, programy lub maszyny miały możliwość dostępu tylko do tych danych, usług lub funkcji, do których mają prawa dostępu;

f) aby prowadzono rejestr danych, usług lub funkcji, do których uzyskano dostęp, które wykorzystano lub przetwarzano w inny sposób, kiedy to miało miejsce i kto tego dokonał, oraz aby rejestr ten był dostępny do oceny;

g) aby produkty ICT, usługi ICT i procesy ICT wdrażane w ramach świadczenia usług zarządzanych w zakresie bezpieczeństwa były bezpieczne zgodnie z zasadą bezpieczeństwa w fazie projektowania i bezpieczeństwa domyślnego oraz aby w stosownych przypadkach obejmowały najnowsze aktualizacje zabezpieczeń i nie zawierały powszechnie znanych podatności.”

;

11) w art. 52 wprowadza się następujące zmiany:

a) ust. 1 otrzymuje brzmienie:

„1. Europejski program certyfikacji cyberbezpieczeństwa może przewidywać jeden lub większą liczbę następujących poziomów uzasadnienia zaufania produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa: »podstawowy«, »istotny« lub »wysoki«. Poziom uzasadnienia zaufania musi być proporcjonalny do poziomu ryzyka związanego z przewidzianym stosowaniem produktu ICT, usługi ICT, procesu ICT lub usługi zarządzanej w zakresie bezpieczeństwa pod względem prawdopodobieństwa wystąpienia i skutków incydentu.”

;

b) ust. 3 otrzymuje brzmienie:

„3. Wymogi bezpieczeństwa, które odpowiadają poszczególnym poziomom uzasadnienia zaufania, muszą być określone w odpowiednich europejskich programach certyfikacji cyberbezpieczeństwa, w tym odpowiadające im funkcjonalności bezpieczeństwa oraz odpowiadająca im rygorystyczność i wnikliwość oceny, której ma zostać poddany produkt ICT, usługa ICT, proces ICT lub usługa zarządzana w zakresie bezpieczeństwa.”

;

c) ust. 5, 6 i 7 otrzymują brzmienie:

„5. Europejski certyfikat cyberbezpieczeństwa lub unijna deklaracja zgodności, które odnoszą się do poziomu uzasadnienia zaufania »podstawowy«, muszą zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa, dla których wydany został ten certyfikat lub wydana została ta unijna deklaracji zgodności, spełniają odpowiadające im wymogi bezpieczeństwa, w tym funkcjonalności bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie znanych podstawowych ryzyk w zakresie incydentów i cyberataków. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują przynajmniej przegląd dokumentacji technicznej. W przypadku gdy taki przegląd nie jest odpowiedni, podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek.

6. Europejski certyfikat cyberbezpieczeństwa, który odnosi się do poziomu uzasadnienia zaufania »istotny«, musi zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa, dla których wydany został ten certyfikat, spełniają odpowiadające mu wymogi bezpieczeństwa, w tym funkcjonalności bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie znanych ryzyk w cyberprzestrzeni oraz ryzyka wystąpienia incydentów i cyberataków przeprowadzanych przez osoby o ograniczonych umiejętnościach i dysponujących niewielkimi zasobami. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują co najmniej: sprawdzenie w celu wykazania, że nie występują powszechnie znane podatności, oraz testowanie w celu wykazania, że w produktach ICT, usługach ICT, procesach ICT lub usługach zarządzanych w zakresie bezpieczeństwa prawidłowo zaimplementowane zostały niezbędne funkcjonalności bezpieczeństwa. W przypadku gdy takie działania w zakresie oceny nie są odpowiednie podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek.

7. Europejski certyfikat cyberbezpieczeństwa, który odnosi się do poziomu uzasadnienia zaufania »wysoki«, musi zapewniać uzasadnione zaufanie, że produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa, dla których wydany został ten certyfikat, spełniają odpowiadające mu wymogi bezpieczeństwa, w tym funkcjonalności bezpieczeństwa, oraz zostały ocenione na poziomie, który ma na celu zminimalizowanie ryzyka wystąpienia zaawansowanych cyberataków przeprowadzanych przez osoby o znacznych umiejętnościach i dysponujących znacznymi zasobami. Działania w zakresie oceny, jakie mają zostać podjęte, obejmują co najmniej: sprawdzenie w celu wykazania, że nie występują powszechnie znane podatności; testowanie w celu wykazania, że w produktach ICT, usługach ICT, procesach ICT lub usługach zarządzanych w zakresie bezpieczeństwa prawidłowo zaimplementowane zostały niezbędne, nowoczesne funkcjonalności bezpieczeństwa; oraz ocenę sprawdzającą za pomocą testów penetracyjnych ich odporność na zaawansowane ataki. W przypadku gdy takie działania w zakresie oceny nie są odpowiednie, podejmuje się alternatywne działania w zakresie oceny, które mają równoważny skutek.”

;

12) art. 53 ust. 1, 2 i 3 otrzymują brzmienie:

„1. Europejski program certyfikacji cyberbezpieczeństwa może zezwalać na ocenę zgodności przez stronę pierwszą przeprowadzaną na wyłączną odpowiedzialność wytwórcy lub dostawcy produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa. Na ocenę zgodności przez stronę pierwszą zezwala się jedynie w przypadku produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, które stwarzają niewielkie ryzyko odpowiadające poziomowi uzasadnienia zaufania »podstawowy«.

2. Wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa może wydać unijną deklarację zgodności stwierdzającą, że wykazano spełnienie wymogów określonych w programie. Wydając taką deklarację, wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa przyjmuje na siebie odpowiedzialność za zgodność produktu ICT, usługi ICT, procesu ICT lub usługi zarządzanej w zakresie bezpieczeństwa z wymogami określonymi w tym programie.

3. Wytwórca lub dostawca produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa udostępnia – przez okres przewidziany w odpowiednim europejskim programie certyfikacji cyberbezpieczeństwa – krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 58, unijną deklarację zgodności, dokumentację techniczną oraz wszelkie inne istotne informacje związane ze zgodnością produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa z programem. Kopię unijnej deklaracji zgodności przedkłada się krajowemu organowi ds. certyfikacji cyberbezpieczeństwa i ENISA.”

;

13) w art. 54 ust. 1 wprowadza się następujące zmiany:

a) lit. a) otrzymuje brzmienie:

„a)

przedmiot i zakres programu certyfikacji, w tym rodzaj lub kategorie objętych danym programem produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;”

;

b) lit. g) otrzymuje brzmienie:

„g)

szczegółowe kryteria oceny i metody, w tym rodzaje oceny, stosowane w celu wykazania, że zostały osiągnięte mające zastosowanie cele w zakresie bezpieczeństwa, o których mowa w art. 51 i 51a;”

;

c) lit. j) otrzymuje brzmienie:

„j)

zasady monitorowania zgodności produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa z wymogami europejskich certyfikatów cyberbezpieczeństwa lub unijnymi deklaracjami zgodności, w tym mechanizmy służące wykazaniu ciągłej zgodności z określonymi wymogami cyberbezpieczeństwa;”

;

d) lit. l) otrzymuje brzmienie:

„l)

zasady dotyczące skutków dla produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, które uzyskały certyfikację lub w przypadku których wydana została unijna deklaracja zgodności, lecz które nie spełniają wymogów programu;”

;

e) lit. o) otrzymuje brzmienie:

„o)

identyfikacja krajowych lub międzynarodowych programów certyfikacji cyberbezpieczeństwa, obejmujących ten sam rodzaj lub te same kategorie produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, wymogów bezpieczeństwa, kryteriów i metod oceny oraz poziomów uzasadnienia zaufania;”

;

f) lit. q) otrzymuje brzmienie:

„q)

okres dostępności unijnej deklaracji zgodności, dokumentacji technicznej oraz wszelkich innych istotnych informacji, przez jaki mają je udostępniać wytwórcy lub dostawcy produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;”

;

14) w art. 56 wprowadza się następujące zmiany:

a) ust. 1 otrzymuje brzmienie:

„1. Domniemywa się, że produkty ICT, usługi ICT, procesy ICT i usługi zarządzane w zakresie bezpieczeństwa, które uzyskały certyfikację w ramach przyjętego na podstawie art. 49 europejskiego programu certyfikacji cyberbezpieczeństwa, są zgodne z wymogami takiego programu.”

;

b) w ust. 3 wprowadza się następujące zmiany:

(i) akapit pierwszy otrzymuje brzmienie:

„Komisja regularnie ocenia skuteczność i użyteczność przyjętych europejskich programów certyfikacji cyberbezpieczeństwa oraz to, czy określony europejski program certyfikacji cyberbezpieczeństwa należy uczynić obowiązkowym za pomocą odpowiednich przepisów prawa Unii w celu zapewnienia w Unii odpowiedniego poziomu cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT oraz – od dnia 4 lutego 2025 r. – usług zarządzanych w zakresie bezpieczeństwa, a także w celu poprawy funkcjonowania rynku wewnętrznego. Pierwszą taką ocenę przeprowadza się do dnia 31 grudnia 2023 r., a kolejne oceny przeprowadza się co najmniej raz na 2 lata. W oparciu o wynik tych ocen Komisja zidentyfikuje te produkty ICT, usługi ICT, procesy ICT i usługi zarządzane w zakresie bezpieczeństwa objęte jednym z istniejących programów certyfikacji, które należy objąć obowiązkowym programem certyfikacji.”

;

(ii) w akapicie trzecim wprowadza się następujące zmiany:

— lit. a) otrzymuje brzmienie:

„a)

bierze pod uwagę wpływ danych środków na wytwórców lub dostawców takich produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa oraz na użytkowników pod względem kosztów tych środków oraz korzyści społecznych lub gospodarczych wynikających z przewidywanego zwiększonego poziomu bezpieczeństwa wskazanych produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa;”

;

— lit. d) otrzymuje brzmienie:

„d)

bierze pod uwagę terminy wdrożenia, środki i okresy przejściowe, w szczególności pod względem ewentualnego wpływu danego środka na wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, w tym na szczególne interesy i potrzeby MŚP, w tym mikroprzedsiębiorstw;”

;

c) ust. 7 i 8 otrzymują brzmienie:

„7. Osoba fizyczna lub prawna, która poddaje produkty ICT, usługi ICT, procesy ICT lub usługi zarządzane w zakresie bezpieczeństwa certyfikacji, udostępnia krajowemu organowi ds. certyfikacji cyberbezpieczeństwa wyznaczonemu zgodnie z art. 58 – w przypadku gdy organ ten jest podmiotem wydającym europejski certyfikat cyberbezpieczeństwa – lub jednostce oceniającej zgodność, o której mowa w art. 60, wszelkie informacje niezbędne to przeprowadzenia certyfikacji.

8. Posiadacz europejskiego certyfikatu cyberbezpieczeństwa informuje organ lub jednostkę, o których mowa w ust. 7, o wszelkich wykrytych następnie podatnościach lub nieprawidłowościach związanych z bezpieczeństwem certyfikowanych produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, które mogą mieć wpływ na zgodność z wymogami z zakresu certyfikacji. Ten organ lub ta jednostka przekazuje bez zbędnej zwłoki te informacje zainteresowanemu krajowemu organowi ds. certyfikacji cyberbezpieczeństwa.”

;

15) art. 57 ust. 1 i 2 otrzymują brzmienie:

„1. Bez uszczerbku dla ust. 3 niniejszego artykułu krajowe programy certyfikacji cyberbezpieczeństwa i powiązane z nimi procedury dotyczące produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa, które są objęte europejskim programem certyfikacji cyberbezpieczeństwa, przestają być skuteczne z dniem określonym w akcie wykonawczym przyjętym na podstawie art. 49 ust. 7. Krajowe programy certyfikacji cyberbezpieczeństwa i powiązane z nimi procedury dotyczące produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa, które nie są objęte europejskim programem certyfikacji cyberbezpieczeństwa, będą nadal istnieć.

2. Państwa członkowskie nie mogą wprowadzać nowych krajowych programów certyfikacji cyberbezpieczeństwa dotyczących produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa, które są już objęte obowiązującym europejskim programem certyfikacji cyberbezpieczeństwa.”

;

16) w art. 58 wprowadza się następujące zmiany:

a) w ust. 7 wprowadza się następujące zmiany:

(i) lit. a) i b) otrzymują brzmienie:

„a)

nadzorują i egzekwują stosowanie zawartych w europejskich programach certyfikacji cyberbezpieczeństwa na podstawie art. 54 ust. 1 lit. j) zasad monitorowania zgodności produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa z wymogami europejskich certyfikatów cyberbezpieczeństwa wydanych na ich terytoriach, we współpracy z innymi odpowiednimi organami nadzoru rynku;

b) monitorują wykonywanie obowiązków wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa, którzy mają siedzibę na ich terytorium i którzy przeprowadzają ocenę zgodności przez stronę pierwszą, oraz egzekwują takie obowiązki, w szczególności monitorują wykonywanie obowiązków takich wytwórców lub dostawców, które określono w art. 53 ust. 2 i 3 i w odpowiednich europejskich programach certyfikacji cyberbezpieczeństwa, oraz egzekwują takie obowiązki;”

;

(ii) lit. h) otrzymuje brzmienie:

„h)

współpracują z innymi krajowymi organami ds. certyfikacji cyberbezpieczeństwa lub innymi organami publicznymi, w tym poprzez wymianę informacji dotyczących ewentualnej niezgodności produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa z wymogami niniejszego rozporządzenia lub z wymogami określonych europejskich programów certyfikacji cyberbezpieczeństwa; oraz;”

;

b) ust. 9 otrzymuje brzmienie:

„9. Krajowe organy ds. certyfikacji cyberbezpieczeństwa współpracują ze sobą oraz z Komisją, w szczególności wymieniając informacje, doświadczenie i dobre praktyki odnoszące się do certyfikacji cyberbezpieczeństwa i kwestii technicznych dotyczących cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa.”

;

17) art. 59 ust. 3 lit. b) i c) otrzymują brzmienie:

„b)

procedury nadzorowania i egzekwowania zasad monitorowania zgodności produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa z europejskimi certyfikatami cyberbezpieczeństwa na podstawie art. 58 ust. 7 lit. a);

c) procedury monitorowania i egzekwowania obowiązków wytwórców lub dostawców produktów ICT, usług ICT, procesów ICT lub usług zarządzanych w zakresie bezpieczeństwa na podstawie art. 58 ust. 7 lit. b);”

;

18) art. 67 ust. 2 i 3 otrzymują brzmienie:

„2. Ocena dotyczy również wpływu, skuteczności i efektywności przepisów tytułu III niniejszego rozporządzenia, w tym procedur prowadzących do przyjęcia europejskich programów certyfikacji cyberbezpieczeństwa i ich bazy dowodowej, w odniesieniu do celów, którymi są zapewnienie odpowiedniego poziomu cyberbezpieczeństwa produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa w Unii oraz poprawa funkcjonowania rynku wewnętrznego.

3. Ocena obejmuje ustalenie, czy w celu zapobieżenia wprowadzaniu na rynek wewnętrzny produktów ICT, usług ICT, procesów ICT i usług zarządzanych w zakresie bezpieczeństwa niespełniających podstawowych wymogów cyberbezpieczeństwa konieczne są zasadnicze wymogi cyberbezpieczeństwa dotyczące dostępu do rynku wewnętrznego.”

;

19) w załączniku wprowadza się zmiany określone w załączniku do niniejszego rozporządzenia.