Por: Carlos A. FERREYROS SOTO

Doctor en Derecho

Universidad de Montpellier I Francia.

cferreyros@hotmail.com

RESUMEN

El presente Reglamento especifica las funciones, normas y obligaciones, así como la estructura del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes, «EUCC»), de conformidad con el marco europeo de certificación de la ciberseguridad establecido en el Reglamento (UE) 2019/881. El EUCC se fundamenta en el Acuerdo de reconocimiento mutuo, «ARM») de los certificados de seguridad de las tecnologías de la información adoptado por el Grupo de Altos Funcionarios sobre Seguridad de los Sistemas de Información (en lo sucesivo, «SOG-IS») con arreglo a los criterios comunes, incluidos los procedimientos y documentos del grupo.

El presente Reglamento se aplica a todos los productos de tecnologías de la información y la comunicación (en lo sucesivo, «TIC»), incluida su documentación, que se presenten para su certificación en virtud del EUCC, y a todos los perfiles de protección que se presenten para su certificación en el marco del proceso de TIC conducente a la certificación de productos de TIC.

A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privados interesados en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@hotmail.com

____________________________________________________________________

REGLAMENTO DE EJECUCIÓN (UE) 2024/482 DE LA COMISIÓN

de 31 de enero de 2024

por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo concerniente a la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC)

(Texto pertinente a efectos del EEE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.o 526/2013 («Reglamento sobre la Ciberseguridad») (1), y en particular su artículo 49, apartado 7,

Considerando lo siguiente:

HA ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I

DISPOSICIONES GENERALES

Artículo 1

Objeto y ámbito de aplicación

El presente Reglamento establece el esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (en lo sucesivo, «EUCC»).

El presente Reglamento se aplica a todos los productos de tecnologías de la información y la comunicación (en lo sucesivo, «TIC»), incluida su documentación, que se presenten para su certificación en virtud del EUCC, y a todos los perfiles de protección que se presenten para su certificación en el marco del proceso de TIC conducente a la certificación de productos de TIC.

Artículo 2

Definiciones

A efectos del presente Reglamento, se entenderá por:

Artículo 3

Normas de evaluación

Las evaluaciones efectuadas en el marco del esquema EUCC se regirán por las siguientes normas:

Artículo 4

Niveles de garantía

1. Los organismos de certificación expedirán certificados EUCC con nivel de garantía «sustancial» o «elevado».
2. Los certificados EUCC con nivel de garantía «sustancial» corresponderán a certificados que abarquen los niveles AVA_VAN 1 o 2.
3. Los certificados EUCC con nivel de garantía «elevado» corresponderán a certificados que abarquen los niveles AVA_VAN 3, 4 o 5.
4. El nivel de garantía confirmado en un certificado EUCC distinguirá entre el uso conforme y aumentado de los componentes de garantía, tal como se especifica en los criterios comunes y con arreglo a lo dispuesto en el anexo VIII.
5. Los organismos de evaluación de la conformidad aplicarán los componentes de garantía de los que dependa el nivel AVA_VAN seleccionado, con arreglo a lo dispuesto en las normas a que se refiere el artículo 3.

Artículo 5

Métodos de certificación de los productos de TIC

1. La certificación de un producto de TIC se llevará a cabo en función de su declaración de seguridad:

2. Los perfiles de protección se certificarán únicamente a efectos de la certificación de productos de TIC que pertenezcan a la categoría específica de productos de TIC cubierta por el perfil de protección.

Artículo 6

Autoevaluación de la conformidad

No se permitirá la autoevaluación de la conformidad en el sentido del artículo 53 del Reglamento (UE) 2019/881.

CAPÍTULO II

CERTIFICACIÓN DE PRODUCTOS DE TIC

Sección I

Normas y requisitos específicos para la evaluación

Artículo 7

Criterios y métodos de evaluación de los productos de TIC

1. Los productos de TIC que se presenten para su certificación se evaluarán, como mínimo, con arreglo a los siguientes aspectos:

2. En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá solicitar abstenerse de aplicar el documento del estado de la técnica pertinente. En tales casos, el organismo de evaluación de la conformidad informará a la autoridad nacional de certificación de la ciberseguridad incluyendo una justificación debidamente motivada de su solicitud. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, la aprobará. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad notificará la excepción aprobada, sin demora indebida, al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.
3. La certificación de los productos de TIC en los niveles AVA_VAN.4 o AVA_VAN.5 solo será posible en los siguientes supuestos:

4. Cuando un organismo de evaluación de la conformidad considere que se encuentra ante un caso excepcional y debidamente justificado a que se refiere el apartado 3, letra c), notificará la certificación prevista a la autoridad nacional de certificación de la ciberseguridad, junto con una justificación y una propuesta de metodología de evaluación. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, aprobará o modificará la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad informará, sin demora indebida, de la certificación prevista al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.
5. En el caso de aquellos productos de TIC que se evalúen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, la ITSEF que haya llevado a cabo la evaluación del producto de TIC subyacente compartirá la información pertinente con la ITSEF encargada de evaluar el producto de TIC compuesto.

Sección II

Expedición, renovación y retirada de certificados EUCC

Artículo 8

Información necesaria para la certificación

1. El solicitante de una certificación en virtud del EUCC proporcionará al organismo de certificación y a la ITSEF o pondrá a disposición de ambos por otros medios toda la información necesaria para las actividades de certificación.
2. La información a que se refiere el apartado 1 incluirá todas las pruebas pertinentes con arreglo a las secciones de «Elementos de acción del desarrollador» en el formato adecuado según lo establecido en las secciones de «Contenido y presentación de elementos de prueba» de los criterios comunes y la metodología común de evaluación para el nivel de garantía seleccionado y los requisitos de garantía de seguridad asociados. Las pruebas contendrán, en caso necesario, información sobre el producto de TIC y su código fuente de conformidad con el presente Reglamento, con sujeción a salvaguardias contra la divulgación no autorizada.
3. Los solicitantes de certificación podrán presentar al organismo de certificación y a la ITSEF resultados de evaluación adecuados de certificaciones anteriores en virtud:

4. Cuando los resultados de la evaluación sean pertinentes para sus tareas, la ITSEF podrá reutilizar los resultados de evaluación siempre que estos se ajusten a los requisitos aplicables y se confirme su autenticidad.
5. Cuando el organismo de certificación permita que un producto se certifique como producto compuesto, el solicitante de la certificación pondrá a disposición de dicho organismo y de la ITSEF todos los elementos necesarios, en su caso, con arreglo al documento del estado de la técnica pertinente.
6. Los solicitantes de la certificación también proporcionarán al organismo de certificación y a la ITSEF la siguiente información:

7. Toda la documentación pertinente a que se refiere el presente artículo será conservada por el organismo de certificación, la ITSEF y el solicitante durante un período de cinco años a partir de la expiración del certificado.

Artículo 9

Condiciones para la expedición de un certificado EUCC

1. Los organismos de certificación expedirán un certificado EUCC cuando se cumplan todas las condiciones siguientes:

2. El solicitante de la certificación contraerá los siguientes compromisos:

3. En el caso de aquellos productos de TIC que se certifiquen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, el organismo de certificación que haya certificado el producto de TIC subyacente compartirá la información pertinente con el organismo de certificación encargado de certificar el producto de TIC compuesto.

Artículo 10

Contenido y formato de los certificados EUCC

1. Los certificados EUCC incluirán, como mínimo, la información prevista en el anexo VII.
2. El ámbito de aplicación y los límites del producto de TIC certificado se especificarán de forma inequívoca en el certificado EUCC o en el informe de certificación, indicando si el producto de TIC ha sido certificado en su totalidad o solo parcialmente.
3. El organismo de certificación proporcionará al solicitante el certificado EUCC, como mínimo, en formato electrónico.
4. El organismo de certificación elaborará un informe de certificación de conformidad con el anexo V para cada certificado EUCC que expida. Dicho informe se basará en el informe técnico de evaluación presentado por la ITSEF. El informe técnico de evaluación y el informe de certificación indicarán los criterios y métodos de evaluación específicos a que se refiere el artículo 7 que se hayan utilizado en la evaluación.
5. El organismo de certificación facilitará a la autoridad nacional de certificación de la ciberseguridad y a ENISA todos los certificados EUCC y todos los informes de certificación en formato electrónico.

Artículo 11

Marca y etiqueta

1. El titular de un certificado podrá colocar una marca y una etiqueta en el producto de TIC certificado. La marca y la etiqueta demuestran que el producto de TIC ha sido certificado de conformidad con el presente Reglamento. Estos elementos se colocarán con arreglo a lo dispuesto en el presente artículo y en el anexo IX.
2. La marca y la etiqueta se colocarán en el producto de TIC certificado o en su placa descriptiva de manera visible, legible e indeleble. Cuando esto no sea posible o no pueda garantizarse debido a la naturaleza del producto, se colocará en el embalaje y en los documentos adjuntos. Cuando el producto de TIC certificado se entregue en forma de programa informático, la marca y la etiqueta figurarán de forma visible, legible e indeleble en la documentación adjunta, o esta documentación se pondrá a disposición de los usuarios de forma fácil y directa en un sitio web.
3. La marca y la etiqueta figurarán en el anexo IX e incluirán:

4. La marca y la etiqueta irán acompañadas de un código QR con un enlace a un sitio web que contenga, como mínimo:

Artículo 12

Período de validez de un certificado EUCC

1. El organismo de certificación establecerá un período de validez para cada certificado EUCC expedido teniendo en cuenta las características del producto de TIC certificado.
2. El período máximo de validez de un certificado EUCC será de cinco años.
3. No obstante lo dispuesto en el apartado 2, se podrá establecer un período superior a cinco años, previa aprobación de la autoridad nacional de certificación de la ciberseguridad, que deberá notificar sin demora indebida al Grupo Europeo de Certificación de la Ciberseguridad la aprobación otorgada.

Artículo 13

Revisión de un certificado EUCC

1. A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un producto de TIC. La revisión se llevará a cabo de conformidad con el anexo IV. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del producto de TIC certificado.
2. A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación:

3. El organismo de certificación podrá decidir suspender, sin demora indebida, el certificado EUCC de conformidad con el artículo 30, en espera de la adopción de medidas correctoras por parte del titular del citado certificado.

Artículo 14

Retirada de un certificado EUCC

1. Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC podrá ser retirado por el organismo de certificación que lo expidió.
2. El organismo de certificación a que se refiere el apartado 1 notificará la retirada del certificado a la autoridad nacional de certificación de la ciberseguridad. Asimismo, notificará la retirada a ENISA con el fin de facilitar el desempeño de su cometido en virtud del artículo 50 del Reglamento (UE) 2019/881. Por su parte, la autoridad nacional de certificación de la ciberseguridad informará al respecto a las demás autoridades de vigilancia del mercado pertinentes.
3. El titular de un certificado EUCC podrá solicitar la retirada de dicho certificado.

CAPÍTULO III

CERTIFICACIÓN DE PERFILES DE PROTECCIÓN

Sección I

Normas y requisitos específicos para la evaluación

Artículo 15

Criterios y métodos de evaluación

1. Los perfiles de protección se evaluarán, como mínimo, con arreglo a los siguientes aspectos:

2. En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá certificar un perfil de protección sin aplicar los documentos del estado de la técnica pertinentes. En tales casos, informará a la autoridad nacional de certificación competente de la ciberseguridad y justificará la certificación prevista sin aplicar los documentos del estado de la técnica pertinentes, así como la metodología de evaluación propuesta. La autoridad nacional de certificación de la ciberseguridad evaluará si la certificación está justificada y, en caso de que así sea, aprobará que no se apliquen los documentos del estado de la técnica pertinentes y aprobará o modificará, cuando proceda, la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado para el perfil de protección. La autoridad nacional de certificación de la ciberseguridad notificará, sin demora indebida, la autorización de la no aplicación de los documentos del estado de la técnica pertinentes al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

Sección II

Expedición, renovación y retirada de certificados EUCC relativos a perfiles de protección

Artículo 16

Información necesaria para la certificación de perfiles de protección

El solicitante de la certificación de un perfil de protección proporcionará al organismo de certificación y a la ITSEF, o pondrá a disposición de ambos por otros medios, toda la información necesaria para las actividades de certificación. El artículo 8, apartados 2, 3, 4 y 7, se aplicará mutatis mutandis.

Artículo 17

Expedición de certificados EUCC para perfiles de protección

1. El solicitante de la certificación proporcionará al organismo de certificación y a la ITSEF toda la información necesaria, completa y correcta.
2. Los artículos 9 y 10 se aplicarán mutatis mutandis.
3. La ITSEF evaluará si un perfil de protección es completo, coherente, sólido desde el punto de vista técnico y eficaz para el uso previsto y con respecto a los objetivos de seguridad de la categoría de productos de TIC cubierta por dicho perfil de protección.
4. Los perfiles de protección solo los certificará:

Artículo 18

Período de validez de los certificados EUCC relativos a perfiles de protección

1. El organismo de certificación establecerá un período de validez para cada certificado EUCC.
2. Dicho período de validez será, como máximo, equivalente a la duración del perfil de protección de que se trate.

Artículo 19

Revisión de los certificados EUCC relativos a perfiles de protección

1. A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un perfil de protección. La revisión se llevará a cabo con arreglo a las condiciones establecidas en el artículo 15. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del perfil de protección certificado.
2. A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación adoptará una de las siguientes medidas:

Artículo 20

Retirada de un certificado EUCC relativo a un perfil de protección

1. Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC relativo a un perfil de protección podrá ser retirado por el organismo de certificación que lo expidió. El artículo 14 se aplicará mutatis mutandis.
2. La autoridad nacional de certificación de la ciberseguridad que haya aprobado dicho certificado retirará los certificados de perfil de protección expedidos de conformidad con el artículo 17, apartado 4, letra b).

CAPÍTULO IV

Organismos de evaluación de la conformidad

Artículo 21

Requisitos adicionales o específicos aplicables a los organismos de certificación

1. La autoridad nacional de certificación de la ciberseguridad autorizará a un organismo de certificación a expedir certificados EUCC con un nivel de garantía «elevado» cuando dicho organismo demuestre que, además de reunir los requisitos previstos en el artículo 60, apartado 1, y en el anexo del Reglamento (UE) 2019/881 por lo que respecta a la acreditación de organismos de evaluación de la conformidad, cumple las siguientes condiciones:

2. La autoridad nacional de certificación de la ciberseguridad determinará si un organismo de certificación cumple todos los requisitos previstos en el apartado 1. A tal efecto, deberá llevar a cabo, como mínimo, entrevistas estructuradas y una revisión de al menos una certificación piloto realizada por el organismo de certificación de conformidad con el presente Reglamento.

En su evaluación, la autoridad nacional de certificación de la ciberseguridad podrá reutilizar cualquier prueba adecuada que proceda de una autorización previa o de actividades similares concedidas en virtud:

3. La autoridad nacional de certificación de la ciberseguridad elaborará un informe de autorización, que será objeto de una revisión por pares de conformidad con el artículo 59, apartado 3, letra d), del Reglamento (UE) 2019/881.
4. La autoridad nacional de certificación de la ciberseguridad especificará las categorías de productos de TIC y los perfiles de protección sobre los que se extiende la autorización, cuyo período de validez no podrá ser superior al período de validez de la acreditación. La autorización podrá renovarse previa solicitud, siempre que el organismo de certificación siga reuniendo los requisitos establecidos en el presente artículo. Para la renovación de la autorización, no se exigen evaluaciones piloto.
5. La autoridad nacional de certificación de la ciberseguridad retirará la autorización del organismo de certificación en caso de que este deje de cumplir las condiciones establecidas en el presente artículo. Tras la retirada de la autorización, el organismo de certificación dejará inmediatamente de promocionarse como organismo de certificación autorizado.

Artículo 22

Requisitos adicionales o específicos aplicables a las ITSEF

1. La autoridad nacional de certificación de la ciberseguridad autorizará a una ITSEF a llevar a cabo la evaluación de productos de TIC sujetos a certificación con un nivel de garantía «elevado» cuando dicha ITSEF demuestre que, además de reunir los requisitos previstos en el artículo 60, apartado 1, y en el anexo del Reglamento (UE) 2019/881 por lo que respecta a la acreditación de organismos de evaluación de la conformidad, cumple todas las condiciones siguientes:

2. La autoridad nacional de certificación de la ciberseguridad determinará si una ITSEF cumple todos los requisitos previstos en el apartado 1. A tal efecto, deberá llevar a cabo, como mínimo, entrevistas estructuradas y una revisión de al menos una evaluación piloto realizada por la ITSEF de conformidad con el presente Reglamento.
3. En su evaluación, la autoridad nacional de certificación de la ciberseguridad podrá reutilizar cualquier prueba adecuada que proceda de una autorización previa o de actividades similares concedidas en virtud:

4. La autoridad nacional de certificación de la ciberseguridad elaborará un informe de autorización, que será objeto de una revisión por pares de conformidad con el artículo 59, apartado 3, letra d), del Reglamento (UE) 2019/881.
5. La autoridad nacional de certificación de la ciberseguridad especificará las categorías de productos de TIC y los perfiles de protección sobre los que se extiende la autorización, cuyo período de validez no podrá ser superior al período de validez de la acreditación. La autorización podrá renovarse previa solicitud, siempre que la ITSEF siga reuniendo los requisitos establecidos en el presente artículo. Para la renovación de la autorización, no deben exigirse evaluaciones piloto.
6. La autoridad nacional de certificación de la ciberseguridad retirará la autorización de la ITSEF en caso de que esta deje de cumplir las condiciones establecidas en el presente artículo. Tras la retirada de la autorización, la ITSEF dejará de promocionarse como ITSEF autorizada.

Artículo 23

Notificación de organismos de certificación

1. La autoridad nacional de certificación de la ciberseguridad notificará a la Comisión los organismos de certificación de su territorio que sean competentes para expedir certificaciones con nivel de garantía «sustancial» en virtud de su acreditación.
2. Asimismo, la autoridad nacional de certificación de la ciberseguridad notificará a la Comisión los organismos de certificación de su territorio que sean competentes para expedir certificaciones con nivel de garantía «elevado» en virtud de su acreditación y de la decisión de autorización.
3. La autoridad nacional de certificación de la ciberseguridad proporcionará, como mínimo, la siguiente información cuando notifique organismos de certificación a la Comisión:

4. La autoridad nacional de certificación de la ciberseguridad enviará una copia de la notificación a que se refieren los apartados 1 y 2 a ENISA para la publicación de información precisa en el sitio web de certificación de la ciberseguridad en relación con la admisibilidad de los organismos de certificación.
5. La autoridad nacional de certificación de la ciberseguridad examinará sin demora indebida toda información sobre cualquier cambio en el estado de la acreditación facilitada por el organismo nacional de acreditación. En caso de retirada de la acreditación o la autorización, la autoridad nacional de certificación de la ciberseguridad informará de ello a la Comisión y podrá presentarle una solicitud en virtud del artículo 61, apartado 4, del Reglamento (UE) 2019/881.

Artículo 24

Notificación de ITSEF

Las obligaciones de notificación de las autoridades nacionales de certificación de la ciberseguridad establecidas en el artículo 23 también se aplicarán a las ITSEF. La notificación incluirá la dirección de la ITSEF, la acreditación válida y, en su caso, la autorización válida de dicho organismo.

CAPÍTULO V

CONTROL, FALTA DE CONFORMIDAD E INCUMPLIMIENTO

Sección I

CONTROL DEL CUMPLIMIENTO

Artículo 25

Actividades de control por parte de la autoridad nacional de certificación de la ciberseguridad

1. Sin perjuicio de lo dispuesto en el artículo 58, apartado 7, del Reglamento (UE) 2019/881, la autoridad nacional de certificación de la ciberseguridad controlará el cumplimiento:

2. La autoridad nacional de certificación de la ciberseguridad llevará a cabo sus actividades de control basándose en particular en:

3. La autoridad nacional de certificación de la ciberseguridad, en cooperación con otras autoridades de vigilancia del mercado, muestreará anualmente, como mínimo, el 4 % de los certificados EUCC, según determine una evaluación de riesgos. Previa solicitud y actuando en nombre de la autoridad nacional de certificación de la ciberseguridad competente, los organismos de certificación y, en caso necesario, la ITSEF asistirán a dicha autoridad en el control del cumplimiento.
4. La autoridad nacional de certificación de la ciberseguridad seleccionará la muestra de productos de TIC certificados que se inspeccionarán en función de criterios objetivos, entre ellos:

5. La autoridad nacional de certificación de la ciberseguridad informará a los titulares de certificados EUCC acerca de los productos de TIC seleccionados y los criterios de selección.
6. El organismo de certificación que haya certificado el producto de TIC muestreado, previa solicitud de la autoridad nacional de certificación de la ciberseguridad, con la asistencia de la respectiva ITSEF, llevará a cabo una revisión adicional con arreglo al procedimiento establecido en el anexo IV, sección IV.2, e informará de los resultados a la autoridad nacional de certificación de la ciberseguridad.
7. Cuando la autoridad nacional de certificación de la ciberseguridad tenga motivos suficientes para creer que un producto de TIC certificado ya no cumple el presente Reglamento o el Reglamento (UE) 2019/881, podrá llevar a cabo investigaciones o ejercer cualquier otra competencia de control prevista en el artículo 58, apartado 8, del Reglamento (UE) 2019/881.
8. La autoridad nacional de certificación de la ciberseguridad informará al organismo de certificación y a la ITSEF correspondientes de las investigaciones en curso relativas a los productos de TIC seleccionados.
9. Cuando la autoridad nacional de certificación de la ciberseguridad constate que una investigación en curso se refiere a productos de TIC certificados por organismos de certificación establecidos en otros Estados miembros, informará de ello a las autoridades nacionales de certificación de la ciberseguridad de los Estados miembros pertinentes con el fin de colaborar en las investigaciones, cuando proceda. Asimismo, dicha autoridad nacional de certificación de la ciberseguridad deberá notificar al Grupo Europeo de Certificación de la Ciberseguridad la realización de investigaciones transfronterizas y los resultados subsiguientes.

Artículo 26

Actividades de control por parte del organismo de certificación

1. El organismo de certificación controlará:

2. El organismo de certificación llevará a cabo sus actividades de control basándose en:

3. La autoridad nacional de certificación de la ciberseguridad podrá elaborar normas sobre un diálogo periódico entre los organismos de certificación y los titulares de certificados EUCC al objeto de verificar el cumplimiento de los compromisos contraídos en virtud del artículo 9, apartado 2, e informar sobre dicho cumplimiento, sin perjuicio de las actividades relacionadas con otras autoridades de vigilancia del mercado pertinentes.

Artículo 27

Actividades de control por parte de los titulares de certificados

1. Los titulares de certificados EUCC llevarán a cabo las siguientes tareas para controlar la conformidad del producto de TIC certificado con sus requisitos de seguridad:

2. Los titulares de certificados EUCC trabajarán en cooperación con el organismo de certificación, la ITSEF y, en su caso, la autoridad nacional de certificación de la ciberseguridad, para apoyar sus actividades de control.

Sección II

CONFORMIDAD Y CUMPLIMIENTO

Artículo 28

Consecuencias de la falta de conformidad de un producto de TIC certificado o de un perfil de protección

1. Cuando un producto de TIC certificado o un perfil de protección no sean conformes con los requisitos establecidos en el presente Reglamento y en el Reglamento (UE) 2019/881, el organismo de certificación informará al titular del certificado EUCC sobre la falta de conformidad detectada y solicitará medidas correctoras al respecto.
2. En el supuesto de que una falta de conformidad con las disposiciones del presente Reglamento pueda afectar al cumplimiento de otra legislación pertinente de la Unión que prevea la posibilidad de demostrar la presunción de conformidad con los requisitos de dicho acto jurídico mediante el certificado EUCC, el organismo de certificación informará sin demora a la autoridad nacional de certificación de la ciberseguridad, que notificará de inmediato la falta de conformidad detectada a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.
3. Una vez recibida la información a que se refiere el apartado 1, el titular del certificado EUCC propondrá al organismo de certificación, dentro del plazo fijado por este, que no será superior a treinta días, las medidas correctoras necesarias para subsanar la falta de conformidad.
4. El organismo de certificación podrá suspender, sin demora indebida, el certificado EUCC en virtud del artículo 30 en caso de emergencia o cuando su titular no coopere adecuadamente con el organismo de certificación.
5. El organismo de certificación llevará a cabo una revisión en virtud de los artículos 13 y 19 con el fin de determinar si las medidas correctoras subsanan la falta de conformidad.
6. Cuando el titular del certificado EUCC no proponga medidas correctoras adecuadas durante el período a que se refiere el apartado 3, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con los artículos 14 o 20.
7. El presente artículo no se aplicará a los casos de vulnerabilidades que afecten a un producto de TIC certificado, que se tratarán con arreglo a lo dispuesto en el capítulo VI.

Artículo 29

Consecuencias del incumplimiento por parte del titular de un certificado

1. Cuando el organismo de certificación constate que:

2. Cuando el titular de un certificado EUCC no proponga medidas correctoras adecuadas durante el plazo a que se refiere el apartado 1, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con el artículo 14 y artículo 20.
3. La infracción continuada o recurrente por parte del titular de un certificado EUCC de las obligaciones que le incumben en virtud del apartado 1 dará lugar a la retirada de dicho certificado de conformidad con los artículos 14 o 20.
4. El organismo de certificación informará a la autoridad nacional de certificación de la ciberseguridad de las constataciones a que se refiere el apartado 1. Cuando el caso de incumplimiento afecte al cumplimiento de otra legislación pertinente de la Unión, la autoridad nacional de certificación de la ciberseguridad notificará de inmediato el caso de incumplimiento detectado a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

Artículo 30

Suspensión de un certificado EUCC

1. Cuando el presente Reglamento se refiera a la suspensión de un certificado EUCC, el organismo de certificación procederá a suspender dicho certificado durante un período adecuado a las circunstancias que hayan dado lugar a la suspensión, que no será superior a cuarenta y dos días. El período de suspensión comenzará al día siguiente de la decisión del organismo de certificación. La suspensión no afectará a la validez del certificado.
2. El organismo de certificación notificará la suspensión al titular del certificado y a la autoridad nacional de certificación de la ciberseguridad sin demora indebida y expondrá los motivos de su decisión, las medidas solicitadas que deben adoptarse y el período de suspensión.
3. Los titulares de la certificación comunicarán a los compradores de los productos de TIC afectados la suspensión y los motivos aducidos al respecto por el organismo de certificación, excepto aquellas partes de los motivos que contengan información delicada o cuya divulgación suponga un riesgo para la seguridad. El titular del certificado también pondrá esta información a disposición del público.
4. Cuando otra legislación pertinente de la Unión establezca una presunción de conformidad basada en los certificados expedidos en virtud de las disposiciones del presente Reglamento, la autoridad nacional de certificación de la ciberseguridad informará de la suspensión a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.
5. La suspensión de un certificado se notificará a ENISA de conformidad con el artículo 42, apartado 3.
6. En casos debidamente justificados, la autoridad nacional de certificación de la ciberseguridad podrá autorizar una prórroga del período de suspensión de un certificado EUCC. El período total de suspensión no podrá ser superior a un año.

Artículo 31

Consecuencias del incumplimiento por parte del organismo de evaluación de la conformidad

1. Cuando un organismo de certificación incumpla sus obligaciones, o el organismo de certificación pertinente detecte un incumplimiento por parte de una ITSEF, la autoridad nacional de certificación de la ciberseguridad deberá, sin demora indebida:

2. A partir de las medidas a que se refiere el apartado 1, el organismo de certificación adoptará una de las siguientes decisiones con respecto a cada certificado EUCC afectado:

3. Asimismo, a partir de las medidas a que se refiere el apartado 1, la autoridad nacional de certificación de la ciberseguridad deberá:

CAPÍTULO VI

GESTIÓN Y DIVULGACIÓN DE VULNERABILIDADES

Artículo 32

Ámbito de aplicación de la gestión de vulnerabilidades

El presente capítulo se aplica a los productos de TIC para los que se haya expedido un certificado EUCC.

Sección I

GESTIÓN DE VULNERABILIDADES

Artículo 33

Procedimientos de gestión de vulnerabilidades

1. El titular de un certificado EUCC establecerá y mantendrá todos los procedimientos necesarios de gestión de vulnerabilidades con arreglo a las normas previstas en la presente sección y, en su caso, complementados por los procedimientos establecidos en la norma EN ISO/IEC 30111.
2. El titular de un certificado EUCC mantendrá y publicará métodos adecuados para recibir información sobre vulnerabilidades relacionadas con sus productos de fuentes externas, en particular de usuarios, organismos de certificación e investigadores en materia de seguridad.
3. Cuando un titular de un certificado EUCC detecte o reciba información sobre una posible vulnerabilidad que afecte a un producto de TIC certificado, la registrará y llevará a cabo un análisis del impacto de la vulnerabilidad.
4. Cuando una posible vulnerabilidad afecte a un producto compuesto, el titular del certificado EUCC informará de esa posible vulnerabilidad al titular de los certificados EUCC dependientes.
5. En respuesta a una solicitud razonable por parte del organismo de certificación que haya expedido el certificado, el titular de un certificado EUCC le transmitirá toda la información pertinente sobre posibles vulnerabilidades.

Artículo 34

Evaluación de impacto de la vulnerabilidad

1. El análisis del impacto de la vulnerabilidad se referirá al objetivo de la evaluación y a las declaraciones de garantía contenidas en el certificado. El análisis del impacto de la vulnerabilidad se llevará a cabo en un plazo adecuado en función de en qué medida es aprovechable y grave la posible vulnerabilidad del producto de TIC certificado.
2. Cuando proceda, se calculará el potencial de ataque con arreglo a la metodología pertinente prevista en las normas a que se refiere el artículo 3 y los documentos del estado de la técnica pertinentes enumerados en el anexo I, con el fin de determinar en qué medida es aprovechable la vulnerabilidad. A tal efecto, se tendrá en cuenta el nivel AVA_VAN del certificado EUCC.

Artículo 35

Informe de la evaluación de impacto de la vulnerabilidad

1. El titular elaborará un informe del análisis del impacto de la vulnerabilidad cuando en este se revele que la vulnerabilidad puede repercutir en la conformidad del producto de TIC con su certificado.
2. El informe de la evaluación de impacto de la vulnerabilidad contendrá un análisis de los siguientes elementos:

3. El informe de la evaluación de impacto de la vulnerabilidad contendrá, en su caso, información sobre las maneras en que puede aprovecharse la vulnerabilidad. Dicha información se tratará con arreglo a las medidas de seguridad adecuadas para proteger su confidencialidad y garantizar, en caso necesario, su limitada difusión.
4. El titular del certificado EUCC transmitirá sin demora indebida un informe del análisis del impacto de la vulnerabilidad al organismo de certificación o a la autoridad nacional de certificación de la ciberseguridad de conformidad con el artículo 56, apartado 8, del Reglamento (UE) 2019/881.
5. Si el informe del análisis del impacto de la vulnerabilidad determina que la vulnerabilidad no es residual en el sentido de las normas a las que se refiere el artículo 3 y que puede subsanarse, se aplicará el artículo 36.
6. Si el informe del análisis del impacto de la vulnerabilidad aprobado por el organismo de certificación determina que no puede subsanarse la vulnerabilidad, se procederá a retirar el certificado EUCC de conformidad con el artículo 14.
7. El titular del certificado EUCC supervisará cualquier vulnerabilidad residual para garantizar que no pueda aprovecharse en caso de que se produzcan cambios en el entorno operativo.

Artículo 36

Subsanación de vulnerabilidades

El titular de un certificado EUCC presentará al organismo de certificación una propuesta de medidas correctoras adecuadas. El organismo de certificación revisará el certificado de conformidad con el artículo 13. El alcance de dicha revisión vendrá determinado por la medida de subsanación de la vulnerabilidad que se haya propuesto.

Sección II

DIVULGACIÓN DE VULNERABILIDADES

Artículo 37

Información facilitada a la autoridad nacional de certificación de la ciberseguridad

1. La información facilitada por el organismo de certificación a la autoridad nacional de certificación de la ciberseguridad incluirá todos los elementos necesarios para que la autoridad nacional de certificación de la ciberseguridad conozca el impacto de la vulnerabilidad, las modificaciones que deben introducirse en el producto de TIC y, en su caso, cualquier información del organismo de certificación sobre las repercusiones más amplias que la vulnerabilidad puede tener en otros productos de TIC certificados.
2. La información facilitada en virtud del apartado 1 no contendrá datos sobre las maneras de aprovechar la vulnerabilidad. Esta disposición se entiende sin perjuicio de las competencias de investigación de la autoridad nacional de certificación de la ciberseguridad.

Artículo 38

Cooperación con otras autoridades nacionales de certificación de la ciberseguridad

1. La autoridad nacional de certificación de la ciberseguridad compartirá la información pertinente recibida en virtud del artículo 37 con otras autoridades nacionales de certificación de la ciberseguridad y ENISA.
2. Otras autoridades nacionales de certificación de la ciberseguridad podrán decidir seguir analizando la vulnerabilidad o, tras informar al titular del certificado EUCC, solicitar a los organismos de certificación pertinentes que determinen si la vulnerabilidad puede afectar a otros productos de TIC certificados.

Artículo 39

Publicación de la vulnerabilidad

Tras la retirada del certificado, el titular del certificado EUCC divulgará y registrará toda vulnerabilidad conocida públicamente y subsanada en el producto de TIC en la base de datos europea de vulnerabilidades, creada de conformidad con el artículo 12 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo (5) o en otros registros en línea a que se refiere el artículo 55, apartado 1, letra d), del Reglamento (UE) 2019/881.

CAPÍTULO VII

CONSERVACIÓN, DIVULGACIÓN Y PROTECCIÓN DE LA INFORMACIÓN

Artículo 40

Conservación de registros por parte de los organismos de certificación y las ITSEF

1. Las ITSEF y los organismos de certificación mantendrán un sistema de registro, que incluirá todos los documentos presentados en relación con cada evaluación y certificación que realicen.
2. Los organismos de certificación y las ITSEF conservarán los registros de manera segura durante el período necesario para los fines del presente Reglamento y, como mínimo, durante los cinco años siguientes a la retirada del correspondiente certificado EUCC. Cuando el organismo de certificación haya expedido un nuevo certificado EUCC de conformidad con el artículo 13, apartado 2, letra c), conservará la documentación del certificado EUCC retirado junto con el nuevo certificado EUCC y durante el mismo tiempo.

Artículo 41

Información puesta a disposición por el titular de un certificado

1. La información a que se refiere el artículo 55 del Reglamento (UE) 2019/881 estará disponible en un lenguaje fácilmente accesible para los usuarios.
2. Los titulares de certificados EUCC conservarán de forma segura durante el período necesario para los fines del presente Reglamento y, como mínimo, durante los cinco años siguientes a la retirada de los correspondientes certificados EUCC los siguientes elementos:

3. Cuando el organismo de certificación haya expedido un nuevo certificado EUCC de conformidad con el artículo 13, apartado 2, letra c), el titular conservará la documentación del certificado EUCC retirado junto con el nuevo certificado EUCC y durante el mismo tiempo.
4. A petición del organismo de certificación o de la autoridad nacional de certificación de la ciberseguridad, los titulares de certificados EUCC pondrán a disposición los registros y las copias a que se refiere el apartado 2.

Artículo 42

Información que debe publicar ENISA

1. ENISA publicará en el sitio web a que se refiere el artículo 50, apartado 1, del Reglamento (UE) 2019/881 la siguiente información:

2. La información a que se refiere el apartado 1 deberá publicarse, como mínimo, en inglés.
3. Los organismos de certificación y, en su caso, las autoridades nacionales de certificación de la ciberseguridad informarán sin demora a ENISA de sus decisiones que afecten al contenido o al estado de un certificado EUCC a que se refiere el apartado 1, letra b).
4. ENISA velará por que la información publicada de conformidad con el apartado 1, letras a), b) y c), determine claramente las versiones de cada producto de TIC certificado que se encuentran cubiertas por el certificado EUCC.

Artículo 43

Protección de la información

Los organismos de evaluación de la conformidad, las autoridades nacionales de certificación de la ciberseguridad, el Grupo Europeo de Certificación de la Ciberseguridad, ENISA, la Comisión y todas las demás partes velarán por la seguridad y protección de los secretos empresariales y otra información confidencial, incluidos los secretos comerciales, así como por la preservación de los derechos de propiedad intelectual e industrial, y adoptarán las medidas técnicas y organizativas necesarias y adecuadas.

CAPÍTULO VIII

ACUERDOS DE RECONOCIMIENTO MUTUO CON TERCEROS PAÍSES

Artículo 44

Condiciones

1. Los terceros países que deseen certificar sus productos con arreglo al presente Reglamento y que dicha certificación se reconozca en la Unión celebrarán un acuerdo de reconocimiento mutuo con esta última.
2. El acuerdo de reconocimiento mutuo abarcará los niveles de garantía aplicables a los productos de TIC certificados y, en su caso, a los perfiles de protección.
3. Los acuerdos de reconocimiento mutuo a que se refiere el apartado 1 solo podrán celebrarse con terceros países que cumplan las siguientes condiciones:

4. Además de las condiciones establecidas en el apartado 3, para poder celebrar un acuerdo de reconocimiento mutuo a que se refiere el apartado 1 que abarque el nivel de garantía «elevado» con un tercer país, también deberán cumplirse las siguientes condiciones:

CAPÍTULO IX

EVALUACIÓN POR PARES DE ORGANISMOS DE CERTIFICACIÓN

Artículo 45

Procedimiento de evaluación por pares

1. Los organismos de certificación que expidan certificados EUCC con un nivel de garantía «elevado» se someterán a una evaluación por pares de forma periódica y, como mínimo, cada cinco años. Los diferentes tipos de evaluación por pares se enumeran en el anexo VI.
2. El Grupo Europeo de Certificación de la Ciberseguridad elaborará y mantendrá un calendario de evaluaciones por pares que garantice el respeto de dicha periodicidad. Salvo en casos debidamente justificados, las evaluaciones por pares se llevarán a cabo in situ.
3. La evaluación por pares podrá basarse en pruebas recabadas en el transcurso de anteriores evaluaciones por pares o procedimientos equivalentes del organismo de certificación sometido a dicha evaluación o la autoridad nacional de certificación de la ciberseguridad, siempre que:

4. Cuando una evaluación por pares abarque un ámbito técnico, también se evaluará la ITSEF interesada.
5. El organismo de certificación sometido a la evaluación por pares y, en caso necesario, la autoridad nacional de certificación de la ciberseguridad velarán por que toda la información pertinente se ponga a disposición del equipo de evaluación por pares.
6. La evaluación por pares será llevada a cabo por un equipo de evaluación por pares constituido de conformidad con el anexo VI.

Artículo 46

Fases de la evaluación por pares

1. Durante la fase preparatoria, los miembros del equipo de evaluación por pares revisarán la documentación del organismo de certificación, que abarcará sus políticas y procedimientos, incluido el uso de documentos del estado de la técnica.
2. Durante la fase de visita de las instalaciones, el equipo de evaluación por pares evaluará la competencia técnica del organismo y, en su caso, la competencia de la ITSEF que haya realizado, como mínimo, una evaluación de productos de TIC cubierta por la evaluación por pares.
3. La duración de la fase de visita de las instalaciones podrá ampliarse o reducirse en función de factores tales como la posibilidad de reutilizar pruebas y resultados de anteriores evaluaciones por pares o el número de ITSEF y de ámbitos técnicos para los que el organismo de certificación expide certificados.
4. Si procede, el equipo de evaluación por pares determinará la competencia técnica de cada ITSEF mediante la visita de su laboratorio o laboratorios técnicos y la entrevista de sus evaluadores en relación con el ámbito técnico y los métodos de ataque específicos conexos.
5. En la fase de información, el equipo de evaluación documentará sus constataciones en un informe de evaluación por pares que contenga un dictamen y, en su caso, una lista de las faltas de conformidad observadas, calificadas individualmente con su correspondiente nivel de criticidad.
6. El informe de evaluación por pares deberá debatirse en primer lugar con el organismo de certificación sometido a dicha evaluación. Tras estos debates, el organismo de certificación sometido a la evaluación por pares establecerá un calendario de las medidas que deben adoptarse para abordar las constataciones.

Artículo 47

Informe de evaluación por pares

1. El equipo de evaluación por pares proporcionará al organismo de certificación sometido a dicha evaluación un proyecto de informe de evaluación por pares.
2. El organismo de certificación sometido a la evaluación por pares presentará al equipo de evaluación por pares sus observaciones acerca de las constataciones y una lista de compromisos para subsanar las deficiencias detectadas en el citado proyecto de informe.
3. El equipo de evaluación por pares presentará al Grupo Europeo de Certificación de la Ciberseguridad un informe final de evaluación por pares, que contendrá asimismo las observaciones y los compromisos formulados por el organismo de certificación sometido a dicha evaluación. El equipo de evaluación por pares también incluirá su postura sobre las observaciones y sobre si los compromisos contraídos son suficientes para subsanar las deficiencias detectadas.
4. En caso de que el informe de evaluación por pares detecte faltas de conformidad, el Grupo Europeo de Certificación de la Ciberseguridad podrá fijar un plazo adecuado para que el organismo de certificación sometido a la evaluación por pares las subsane.
5. El Grupo Europeo de Certificación de la Ciberseguridad adoptará un dictamen sobre el informe de evaluación por pares:

6. Antes de la publicación del dictamen, se eliminará de los documentos que vayan a publicarse toda información delicada, personal o de dominio privado.

CAPÍTULO X

MANTENIMIENTO DEL ESQUEMA

Artículo 48

Mantenimiento del EUCC

1. La Comisión podrá solicitar al Grupo Europeo de Certificación de la Ciberseguridad que adopte un dictamen con vistas al mantenimiento del EUCC y que lleve a cabo los trabajos preparatorios necesarios.
2. El Grupo Europeo de Certificación de la Ciberseguridad podrá adoptar un dictamen para aprobar documentos del estado de la técnica.
3. Los documentos del estado de la técnica que hayan sido aprobados por el Grupo Europeo de Certificación de la Ciberseguridad serán publicados por ENISA.

CAPÍTULO XI

DISPOSICIONES FINALES

Artículo 49

Esquemas nacionales cubiertos por el EUCC

1. De conformidad con el artículo 57, apartado 1, del Reglamento (UE) 2019/881 y sin perjuicio de lo dispuesto en el artículo 57, apartado 3, de dicho Reglamento, todos los esquemas nacionales de certificación de la ciberseguridad y los procedimientos correspondientes para los productos y procesos de TIC cubiertos por el EUCC dejarán de surtir efectos transcurridos doce meses desde la entrada en vigor del presente Reglamento.
2. No obstante lo dispuesto en el artículo 50, podrán iniciarse procesos de certificación conforme a un esquema nacional de certificación de la ciberseguridad en un plazo de doce meses a partir de la entrada en vigor del presente Reglamento, siempre que finalicen a más tardar veinticuatro meses después de dicha entrada en vigor.
3. Los certificados expedidos en virtud de esquemas nacionales de certificación de la ciberseguridad podrán ser objeto de revisión. Los nuevos certificados que sustituyan a los certificados revisados se expedirán de conformidad con el presente Reglamento.

Artículo 50

Entrada en vigor

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir del 27 de febrero de 2025.

El capítulo IV y el anexo V se aplicarán a partir de la fecha de entrada en vigor del presente Reglamento.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 31 de enero de 2024.

Por la Comisión

La Presidenta

Ursula VON DER LEYEN

(1)   DO L 151 de 7.6.2019, p. 15.

(2)  Acuerdo de reconocimiento mutuo de los certificados de evaluación de la seguridad de las tecnologías de la información, versión 3.0 de enero de 2010, disponible en sogis.eu, aprobado por el Grupo de Altos Funcionarios sobre Seguridad de los Sistemas de Información de la Comisión Europea en respuesta al punto 3 de la Recomendación 95/144/CE del Consejo, de 7 de abril de 1995, relativa a los criterios comunes de evaluación de la seguridad en las tecnologías de la información (DO L 93 de 26.4.1995, p. 27).

(3)  Joint Interpretation Library: Minimum ITSEF Requirements for Security Evaluations of Smart cards and similar devices [«Requisitos mínimos aplicables a las ITSEF para las evaluaciones de seguridad de tarjetas inteligentes y dispositivos similares», documento en inglés], versión 2.1 de febrero de 2020, disponible en el sitio internet (sogis.eu).

(4)  Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativo a la vigilancia del mercado y la conformidad de los productos y por el que se modifican la Directiva 2004/42/CE y los Reglamentos (CE) n.o 765/2008 y (UE) n.o 305/2011 (DO L 169 de 25.6.2019, p. 1).

(5)  Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO L 333 de 27.12.2022, p. 80).

ANEXO I

Ámbitos técnicos y documentos del estado de la técnica

Ámbitos técnicos en los niveles AVA_VAN.4 o AVA_VAN.5:

Documentos del estado de la técnica en sus respectivas versiones en vigor a [fecha de entrada en vigor]:

ANEXO II

Perfiles de protección certificados en los niveles AVA_VAN.4 o AVA_VAN.5

Para la categoría de dispositivos de creación de firmas y sellos cualificados a distancia:

Perfiles de protección adoptados como documentos del estado de la técnica:

[EN BLANCO]

ANEXO III

Perfiles de protección recomendados (ilustran los ámbitos técnicos del anexo I)

Perfiles de protección utilizados en la certificación de productos de TIC pertenecientes a las categorías de productos de TIC enumeradas a continuación:

ANEXO IV

Continuidad de la garantía y revisión de los certificados

IV.1   Continuidad de la garantía: ámbito de aplicación

IV.2   Revaluación

IV.3   Modificaciones de un producto de TIC certificado

IV.4   Gestión de parches

ANEXO V

Contenido de los informes de certificación

V.1   Informe de certificación

V.2   Edición de las declaraciones de seguridad para su publicación

ANEXO VI

Ámbito de aplicación de las evaluaciones por pares y composición del equipo de evaluación

VI.1   Ámbito de aplicación de las evaluaciones por pares

VI.2   Equipo de evaluación por pares

ANEXO VII

Contenido de los certificados EUCC

El certificado EUCC contendrá, como mínimo:

ANEXO VIII

Declaración del paquete de garantía

1.  Contrariamente a las definiciones que figuran en los criterios comunes, las ampliaciones:

2. El nivel de garantía confirmado en un certificado EUCC podrá complementarse con el nivel de garantía de la evaluación especificado en el artículo 3 del presente Reglamento.

3.  Si el nivel de garantía confirmado en un certificado EUCC no se refiere a una ampliación, se indicará en el certificado uno de los siguientes paquetes:

ANEXO IX

Marca y etiqueta

1.  Formato de la marca y la etiqueta:

2. Si se reducen o amplían la marca y la etiqueta, deberán respetarse las proporciones del modelo facilitado.

3. En caso de presencia física, la marca y la etiqueta tendrán una altura mínima de 5 mm.

ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj

ISSN 1977-0685 (electronic edition)