Artykuł 1

Harmonogram, częstotliwość i koszty wzajemnych przeglądów

1. Wzajemne przeglądy krajowych organów ds. certyfikacji cyberbezpieczeństwa (NCCA) przeprowadza się zgodnie z harmonogramem określonym w załączniku I. Każdy wzajemny przegląd należy ukończyć w terminie wskazanym w tym harmonogramie; kolejne przeglądy przeprowadza się co pięć lat.

2. W wyjątkowych okolicznościach poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa może przedłożyć Komisji należycie uzasadniony wniosek o odroczenie wzajemnego przeglądu na termin późniejszy niż wskazany w harmonogramie określonym w załączniku I. Komisja, we współpracy z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa (ECCG) ustanowioną na mocy art. 62 rozporządzenia (UE) 2019/881, ocenia taki wniosek i niezwłocznie informuje wszystkie zainteresowane strony o decyzji w sprawie odroczenia przeglądu.

3. W przypadku gdy państwo członkowskie, zgodnie z art. 58 ust. 1 rozporządzenia (UE) 2019/881, wyznaczyło:

4. Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) udostępnia publicznie na stronie internetowej poświęconej europejskim programom certyfikacji cyberbezpieczeństwa utworzonej na podstawie art. 50 rozporządzenia (UE) 2019/881 następujące informacje:

5. Każdy krajowy organ ds. certyfikacji cyberbezpieczeństwa uczestniczący w procesie wzajemnego przeglądu pokrywa własne koszty uczestnictwa.

Artykuł 2

System rotacji dla przeprowadzających wzajemny przegląd krajowych organów ds. certyfikacji cyberbezpieczeństwa

1. Zgodnie z art. 59 ust. 4 rozporządzenia (UE) 2019/881 każdy wzajemny przegląd musi być przeprowadzony przez dwa krajowe organy ds. certyfikacji cyberbezpieczeństwa z innych państw członkowskich oraz Komisję. Krajowe organy ds. certyfikacji cyberbezpieczeństwa każdego państwa członkowskiego uczestniczą we wzajemnym przeglądzie co najmniej dwóch krajowych organów ds. certyfikacji cyberbezpieczeństwa w każdym okresie określonym w załączniku I.

2. Krajowe organy ds. certyfikacji cyberbezpieczeństwa innych państw członkowskich mogą uczestniczyć we wzajemnym przeglądzie w charakterze obserwatorów z udziałem co najmniej jednego przedstawiciela, za zgodą poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa, krajowych organów ds. certyfikacji cyberbezpieczeństwa przeprowadzających wzajemny przegląd i Komisji.

3. We wzajemnym przeglądzie może uczestniczyć jeden przedstawiciel ENISA w charakterze obserwatora. Za zgodą poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa, krajowego organu ds. certyfikacji cyberbezpieczeństwa, przeprowadzającego wzajemny przegląd i Komisji mogą również uczestniczyć dodatkowi przedstawiciele.

4. Obserwatorzy mają dostęp do tych samych informacji co inni członkowie zespołu ds. wzajemnego przeglądu, ale nie wykonują zadań związanych z jego przeprowadzaniem.

5. ENISA, we współpracy z Komisją oraz Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, opracowuje i utrzymuje listę krajowych organów ds. certyfikacji cyberbezpieczeństwa wyznaczonych do przeprowadzenia wzajemnych przeglądów zgodnie z harmonogramem określonym w załączniku I. W danym roku ENISA, we współpracy z Komisją, zwraca się do krajowych organów ds. certyfikacji cyberbezpieczeństwa o zgłoszenie chęci przeprowadzenia wzajemnych przeglądów krajowych organów ds. certyfikacji cyberbezpieczeństwa lub uczestnictwa w nich w charakterze obserwatorów, które to przeglądy zaplanowano zgodnie z harmonogramem w załączniku I na następny rok.

6. Jeżeli więcej niż dwa krajowe organy ds. certyfikacji cyberbezpieczeństwa wyrażą zainteresowanie przeprowadzeniem wzajemnego przeglądu tego samego krajowego organu ds. certyfikacji cyberbezpieczeństwa, Komisja i ENISA konsultują się z zainteresowanymi krajowymi organami ds. certyfikacji cyberbezpieczeństwa i podejmują decyzję w sprawie uczestników wzajemnego przeglądu.

7. Jeżeli w danym roku nie ma wystarczającej liczby krajowych organów ds. certyfikacji cyberbezpieczeństwa wyrażających zainteresowanie przeprowadzaniem wzajemnych przeglądów, Komisja, po konsultacji z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, wybiera krajowe organy ds. certyfikacji cyberbezpieczeństwa, które przeprowadzą wzajemne przeglądy. Komisja, dokonując wyboru, bierze pod uwagę spoczywający na krajowych organach ds. certyfikacji cyberbezpieczeństwa każdego państwa członkowskiego obowiązek uczestnictwa we wzajemnym przeglądzie co najmniej dwóch krajowych organów ds. certyfikacji cyberbezpieczeństwa, o którym to obowiązku mowa w ust. 1.

Artykuł 3

Kryteria dotyczące składu zespołu ds. wzajemnego przeglądu

1. W odpowiednim terminie przed rozpoczęciem wzajemnego przeglądu każdy przeprowadzający wzajemny przegląd krajowy organ ds. certyfikacji cyberbezpieczeństwa wyznacza jednego przedstawiciela do przeprowadzenia wzajemnego przeglądu. Przeprowadzający wzajemny przegląd krajowy organ ds. certyfikacji cyberbezpieczeństwa może wyznaczyć więcej niż jednego przedstawiciela, jeżeli jest to konieczne do zapewnienia, aby zespół ds. wzajemnego przeglądu posiadał kompetencje niezbędne do przeprowadzenia wzajemnego przeglądu.

2. Przedstawiciel przeprowadzającego wzajemny przegląd krajowego organu ds. certyfikacji cyberbezpieczeństwa, z wyjątkiem przedstawicieli organów, które uczestniczą w przeglądzie w charakterze obserwatorów, musi spełniać następujące kryteria:

3. Przeprowadzające wzajemne przeglądy krajowe organy ds. certyfikacji cyberbezpieczeństwa zapewniają, aby ujawniono wszelkie ryzyko konfliktu interesów dotyczące wyznaczonych przedstawicieli pozostałym krajowym organom ds. certyfikacji cyberbezpieczeństwa, Komisji i ENISA przed rozpoczęciem procesu wzajemnego przeglądu. Poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa może sprzeciwić się wyznaczeniu konkretnych przedstawicieli zgodnie z ust. 5.

4. Przeprowadzające wzajemny przegląd krajowe organy ds. certyfikacji cyberbezpieczeństwa wybierają spośród siebie jednego przedstawiciela („szef zespołu”), który koordynuje wzajemny przegląd.

5. Przed rozpoczęciem procesu wzajemnego przeglądu Komisja przekazuje poddanemu wzajemnemu przeglądowi krajowemu organowi ds. certyfikacji cyberbezpieczeństwa nazwiska i dane kontaktowe przedstawicieli przeprowadzających wzajemny przegląd krajowych organów ds. certyfikacji cyberbezpieczeństwa. W przypadku gdy poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa chce sprzeciwić się powołaniu jednego lub większej liczby przedstawicieli, w terminie dwóch tygodni przedstawia on Komisji jasne uzasadnienie, informuje o tym ENISA i Europejską Grupę ds. Certyfikacji Cyberbezpieczeństwa, a także zwraca się do przeprowadzającego wzajemny przegląd krajowego organu ds. certyfikacji cyberbezpieczeństwa o wyznaczenie innego przedstawiciela.

6. W przypadku gdy procedura określona w ust. 5 powoduje nieuzasadnione opóźnienia w rozpoczęciu wzajemnego przeglądu ze względu na wyjątkowe okoliczności, Komisja, w porozumieniu z ENISA i Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, podejmuje decyzję w przedmiocie składu zespołu ds. wzajemnego przeglądu.

Artykuł 4

Metodyka wzajemnego przeglądu

1. Wzajemny przegląd obejmuje ocenę aspektów wymienionych w załączniku II zgodnie z art. 59 ust. 3 rozporządzenia (UE) 2019/881.

2. ENISA, we współpracy z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa i Komisją, może opracować wzory na potrzeby oceny procesów ustanowionych przez poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa.

3. Wzajemny przegląd obejmuje następujące elementy:

4. Czas trwania wzajemnego przeglądu można uprzednio uzgodnić między zespołem ds. wzajemnego przeglądu a poddanym wzajemnemu przeglądowi krajowym organem ds. certyfikacji cyberbezpieczeństwa, w zależności od wielkości i złożoności działań poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa. Wizyta na miejscu nie może trwać dłużej niż trzy dni robocze.

5. O ile zespół ds. wzajemnego przeglądu, poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa i Komisja nie uzgodnią inaczej, językiem współpracy jest język angielski. Sprawozdanie z wzajemnego przeglądu, o którym mowa w art. 5, sporządza się przynajmniej w języku angielskim.

6. Poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa współpracuje z zespołem ds. wzajemnego przeglądu i zapewnia mu dostęp do informacji i dokumentów niezbędnych do przeprowadzenia wzajemnego przeglądu. Poddany wzajemnemu przeglądowi krajowy organ ds. certyfikacji cyberbezpieczeństwa przedkłada kwestionariusz samooceny i najnowsze roczne sprawozdanie przyjęte zgodnie z art. 58 ust. 7 lit. g) rozporządzenia (UE) 2019/881 co najmniej 21 dni przed datą wizyty na miejscu. Dodatkowe dokumenty przedkłada się na wniosek zespołu ds. wzajemnego przeglądu w terminie 7 dni od otrzymania takich wniosków.

7. Dokumenty przekazuje się w języku angielskim, chyba że uzgodniono inaczej zgodnie z ust. 5. W przypadku gdy dokumentów nie przekazano w języku angielskim, zespół ds. wzajemnego przeglądu może zwrócić się o przetłumaczenie na język angielski dokumentów niezbędnych do przeprowadzenia wzajemnego przeglądu.

8. Przed sporządzeniem sprawozdania z wzajemnego przeglądu zgodnie z art. 5 zespół ds. wzajemnego przeglądu omawia wstępne ustalenia z poddanym wzajemnemu przeglądowi krajowym organem ds. certyfikacji cyberbezpieczeństwa.

Artykuł 5

Sprawozdanie z wzajemnego przeglądu

1. W ciągu 21 dni od przeprowadzenia wzajemnego przeglądu zespół ds. wzajemnego przeglądu sporządza projekt sprawozdania z wzajemnego przeglądu, który zawiera szczegółowe informacje na temat państwa członkowskiego poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa, krajowych organów ds. certyfikacji cyberbezpieczeństwa przeprowadzających wzajemny przegląd, Komisji i wszelkich obserwatorów, a także ustalenia i wnioski z wzajemnego przeglądu. W razie potrzeby sprawozdania te zawierają zalecenia umożliwiające poprawę w aspektach objętych wzajemnym przeglądem.

2. ENISA, we współpracy z Komisją i Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, może opracować wzór sprawozdania z wzajemnego przeglądu.

3. Po sporządzeniu projektu sprawozdania z wzajemnego przeglądu zgodnie z ust. 1 zespół ds. wzajemnego przeglądu przekazuje go poddanemu wzajemnemu przeglądowi krajowemu organowi ds. certyfikacji cyberbezpieczeństwa w celu zgłoszenia uwag w terminie 14 dni. Zespół ds. wzajemnego przeglądu ocenia uwagi i, w miarę możliwości, włącza je do sprawozdania końcowego, aby osiągnąć konsensus. W przypadku braku porozumienia do sprawozdania końcowego załącza się odpowiedź poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa.

4. Sprawozdanie końcowe, w tym streszczenie do publikacji, przesyła się Europejskiej Grupie ds. Certyfikacji Cyberbezpieczeństwa w terminie dwóch miesięcy od zrealizowania wzajemnego przeglądu. Zgodnie z art. 59 ust. 6 rozporządzenia (UE) 2019/881 Europejska Grupa ds. Certyfikacji Cyberbezpieczeństwa analizuje sprawozdanie i zatwierdza jego streszczenie, które publikuje się na stronie internetowej poświęconej europejskim programom certyfikacji cyberbezpieczeństwa utworzonej na podstawie art. 50 rozporządzenia (UE) 2019/881. Podsumowanie zawiera również odpowiedź poddanego wzajemnemu przeglądowi krajowego organu ds. certyfikacji cyberbezpieczeństwa lub jej części, w porozumieniu z poddanym wzajemnemu przeglądowi krajowym organem ds. certyfikacji cyberbezpieczeństwa.

5. Przed przekazaniem sprawozdania z wzajemnego przeglądu poza zespół ds. wzajemnego przeglądu zespół ds. wzajemnego przeglądu anonimizuje dane osobowe, które mógł zgromadzić podczas wzajemnego przeglądu.

Artykuł 6

Poufność

1. Wszystkie strony zaangażowane we wzajemne przeglądy przestrzegają zasady poufności informacji i danych uzyskanych podczas wykonywania swoich zadań i swojej działalności w taki sposób, aby chronić w szczególności:

2. Zespół ds. wzajemnego przeglądu zapewnia bezpieczne przetwarzanie wszelkich informacji uzyskanych w ramach procesu wzajemnego przeglądu. Po sporządzeniu sprawozdania końcowego i podsumowania, o których mowa w art. 5 ust. 4, zespół ds. wzajemnego przeglądu, w tym każdy obserwator, usuwa lub niszczy wszystkie dokumenty, inne niż sprawozdanie końcowe i streszczenie, które zebrano lub wygenerowano w ramach procesu wzajemnego przeglądu.

3. ENISA, uwzględniając istniejące najlepsze praktyki krajowych organów ds. certyfikacji cyberbezpieczeństwa, może, we współpracy z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, opracować wytyczne dotyczące bezpiecznej i poufnej komunikacji.

Artykuł 7

Budowanie zdolności

ENISA analizuje zagregowane wyniki wzajemnych przeglądów i zwraca uwagę na zdobyte doświadczenia i najlepsze praktyki, aby przyczynić się do budowania zdolności krajowych organów ds. certyfikacji cyberbezpieczeństwa oraz do utrzymania europejskich programów certyfikacji cyberbezpieczeństwa. Analiza ta może obejmować, w stosownych przypadkach, szkolenia i dodatkowe wytyczne dla krajowych organów ds. certyfikacji cyberbezpieczeństwa, opracowane we współpracy z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa.

Artykuł 8

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.