Il presente regolamento fissa norme di riferimento e stabilisce specifiche e procedure per la creazione di un quadro solido per la certificazione dei portafogli, da aggiornare periodicamente per tenere conto degli sviluppi tecnologici, della normazione e del lavoro svolto sulla base della raccomandazione (UE) 2021/946 relativa a un pacchetto di strumenti comuni dell'Unione per un approccio coordinato verso un quadro europeo relativo a un'identità digitale, in particolare dell'architettura e del quadro di riferimento.

Ai fini del presente regolamento si applicano le definizioni seguenti:

1) «soluzione di portafoglio»: una combinazione di software, hardware, servizi, impostazioni e configurazioni, comprese le istanze di portafoglio, una o più applicazioni crittografiche sicure per il portafoglio e uno o più dispositivi crittografici sicuri per il portafoglio;

2) «titolare del sistema»: un'organizzazione responsabile dello sviluppo e del mantenimento di un sistema di certificazione;

3) «oggetto della certificazione»: prodotti, processi e servizi, o una loro combinazione, ai quali si applicano i requisiti specificati;

4) «applicazione crittografica sicura per il portafoglio»: un'applicazione che gestisce risorse critiche tramite un collegamento alle funzioni crittografiche e non crittografiche fornite dal dispositivo crittografico sicuro per il portafoglio e l'uso di tali funzioni;

5) «istanza di portafoglio»: l'applicazione installata e configurata su un dispositivo o su un ambiente di un utente del portafoglio, che fa parte di un'unità di portafoglio, e che l'utente del portafoglio utilizza per interagire con l'unità di portafoglio;

6) «dispositivo crittografico sicuro per il portafoglio»: un dispositivo resistente alle manomissioni che fornisce un ambiente collegato all'applicazione crittografica sicura per il portafoglio e da essa utilizzato per proteggere le risorse critiche e fornire funzioni crittografiche per l'esecuzione sicura di operazioni critiche;

7) «registro dei rischi»: un registro delle informazioni pertinenti per il processo di certificazione riguardanti i rischi individuati;

8) «fornitore del portafoglio»: una persona fisica o giuridica che fornisce soluzioni di portafoglio;

9) «organismo di certificazione»: un organismo terzo di valutazione della conformità che gestisce sistemi di certificazione;

10) «unità di portafoglio»: una configurazione unica di una soluzione di portafoglio che comprende istanze di portafoglio, applicazioni crittografiche sicure per il portafoglio e dispositivi crittografici sicuri per il portafoglio forniti da un fornitore del portafoglio a un singolo utente del portafoglio;

11) «risorse critiche»: risorse all'interno di un'unità di portafoglio o ad essa relative, di importanza tale che un'eventuale compromissione della loro disponibilità, riservatezza o integrità avrebbe un effetto estremamente grave e debilitante sulla possibilità di fare affidamento sull'unità di portafoglio;

12) «utente del portafoglio»: un utente che ha il controllo dell'unità di portafoglio;

13) «incidente»: un incidente quale definito all'articolo 6, punto 6, della direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio (1);

14) «politica di divulgazione incorporata»: un insieme di norme, incorporato in un attestato elettronico di attributi dal suo fornitore, che indica le condizioni che una parte facente affidamento sul portafoglio deve soddisfare per accedere all'attestato elettronico di attributi.

1. Gli Stati membri assegnano un titolare del sistema a ciascun sistema nazionale di certificazione.

2. L'oggetto della certificazione definita nei sistemi nazionali di certificazione è costituito dalla fornitura e dal funzionamento di soluzioni di portafoglio e dei regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite.

3. Conformemente al regolamento di esecuzione (UE) 2015/1502, l'oggetto della certificazione nei sistemi nazionali di certificazione comprende gli elementi seguenti:

a) i componenti software, comprese le impostazioni e le configurazioni di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale le soluzioni di portafoglio sono fornite;

b) i componenti e le piattaforme hardware su cui i componenti software di cui al punto b) vengono eseguiti o da cui tali componenti dipendono per operazioni critiche, nei casi in cui tali componenti sono forniti direttamente o indirettamente dalla soluzione di portafoglio e dal regime di identificazione elettronica nel contesto del quale detta soluzione è fornita e quando sono necessari per soddisfare il livello di garanzia desiderato per tali componenti software. Qualora i componenti e le piattaforme hardware non siano forniti dal fornitore del portafoglio, i sistemi nazionali di certificazione formulano ipotesi per la valutazione dei componenti hardware e delle piattaforme nell'ambito del quale può essere fornita resistenza nei confronti di aggressori con un potenziale di attacco elevato in linea con il regolamento di esecuzione (UE) 2015/1502 della Commissione, e specificano le attività di valutazione volte a confermare tali ipotesi di cui all'allegato IV;

c) i processi che supportano la fornitura e il funzionamento di una soluzione di portafoglio, compresa la procedura di onboarding degli utenti di cui all'articolo 5 bis del regolamento (UE) n. 910/2014, che riguardano almeno la registrazione, la gestione dei mezzi elettronici e l'organizzazione a norma dell'allegato I, sezioni 2.1, 2.2 e 2.4, del regolamento di esecuzione (UE) 2015/1502.

4. I sistemi nazionali di certificazione comprendono una descrizione dell'architettura specifica delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite. Qualora coprano più di un'architettura specifica, i sistemi nazionali di certificazione prevedono un profilo per ciascuna architettura specifica.

5. Per ciascun profilo, i sistemi nazionali di certificazione stabiliscono almeno quanto segue:

a) l'architettura specifica di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita;

b) i controlli di sicurezza associati ai livelli di garanzia di cui all'articolo 8 del regolamento (UE) n. 910/2014;

c) un piano di valutazione elaborato conformemente alla sezione 7.4.1 della norma EN ISO/IEC 17065:2012;

d) i requisiti di sicurezza necessari per affrontare i rischi e le minacce di cibersicurezza che figurano nel registro dei rischi di cui all'allegato I del presente regolamento, fino al livello di garanzia richiesto, e al fine di conseguire, se del caso, gli obiettivi definiti all'articolo 51 del regolamento (UE) 2019/881;

e) una mappatura dei controlli di cui alla lettera b) del presente paragrafo in relazione ai componenti dell'architettura;

f) una descrizione del modo in cui i controlli di sicurezza, la mappatura, i requisiti di sicurezza e il piano di valutazione di cui alle lettere da b) a c) consentono ai fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale tali soluzioni sono fornite di affrontare adeguatamente i rischi e le minacce di cibersicurezza individuati nel registro dei rischi di cui alla lettera d), fino al livello di garanzia richiesto sulla base di una valutazione dei rischi per affinare e integrare i rischi e le minacce elencati nel registro dei rischi con rischi e minacce specifici dell'architettura.

6. Il piano di valutazione di cui al paragrafo 5, lettera c), elenca le attività di valutazione da includere nella valutazione di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite.

7. L'attività di valutazione di cui al paragrafo 6 impone ai fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite di fornire informazioni che soddisfino i requisiti di cui all'allegato II.

1. I sistemi nazionali di certificazione coprono i requisiti funzionali, di cibersicurezza e in materia di protezione dei dati utilizzando, se disponibili e applicabili, i sistemi di certificazione seguenti:

a) sistemi europei di certificazione della cibersicurezza istituiti a norma del regolamento (UE) 2019/881, compreso l'EUCC;

b) sistemi nazionali di certificazione della cibersicurezza contemplati dall'EUCC, conformemente all'articolo 49 del regolamento di esecuzione (UE) 2024/482.

2. I sistemi nazionali di certificazione possono inoltre fare riferimento, se disponibili e applicabili, a:

a) altri sistemi nazionali di certificazione pertinenti;

b) norme internazionali, europee e nazionali;

c) specifiche tecniche che soddisfano le prescrizioni di cui all'allegato II del regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio (1).

3. I sistemi nazionali di certificazione:

a) specificano gli elementi di cui alla sezione 6.5 della norma EN ISO/IEC 17067:2013;

b) sono attuati come un sistema di tipo 6, conformemente alla sezione 5.3.8 della norma EN ISO/IEC 17067:2013.

4. I sistemi nazionali di certificazione rispettano i requisiti seguenti:

a) soltanto i fornitori di cui all'articolo 5 bis, paragrafo 2, del regolamento (UE) n. 910/2014 sono idonei a ottenere il rilascio di certificati nel contesto dei sistemi nazionali di certificazione;

b) soltanto il marchio di fiducia è utilizzato come marchio di conformità;

c) i fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite includono riferimenti al regolamento (UE) n. 910/2014 e al presente regolamento quando fanno riferimento al sistema;

d) i fornitori di soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite completano la valutazione dei rischi del regime di cui all'articolo 3, paragrafo 5, lettera f), per individuare i rischi e le minacce specifici per la loro attuazione e propongono misure di trattamento adeguate per tutti i rischi e le minacce pertinenti;

e) le responsabilità e l'azione legale sono stabilite e includono riferimenti alla legislazione nazionale applicabile, che definisce le responsabilità e le possibili azioni legali, qualora la certificazione nel contesto del sistema sia utilizzata in modo fraudolento.

5. La valutazione di cui al paragrafo 4, lettera d), è condivisa con l'organismo di certificazione ai fini della valutazione.

1. I sistemi nazionali di certificazione contengono requisiti in materia di gestione degli incidenti e delle vulnerabilità conformemente ai paragrafi da 2 a 9.

2. Il titolare di un certificato di conformità di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale tale soluzione è fornita notificano senza indebito ritardo al proprio organismo di certificazione qualsiasi violazione o compromissione della soluzione di portafoglio o del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita che possa incidere sul suo rispetto dei requisiti di cui ai sistemi nazionali di certificazione.

3. Il titolare di un certificato di conformità stabilisce, mantiene e applica una politica e procedure di gestione delle vulnerabilità, tenendo conto delle procedure stabilite nelle norme europee e internazionali esistenti, compresa la norma EN ISO/IEC 30111:2019.

4. Il titolare del certificato di conformità notifica all'organismo di certificazione emittente le vulnerabilità e le modifiche che incidono sulla soluzione di portafoglio, sulla base di criteri definiti relativi all'impatto di tali vulnerabilità e modifiche.

5. Il titolare del certificato di conformità prepara una relazione sull'analisi dell'impatto delle vulnerabilità per qualsiasi vulnerabilità che incida sui componenti software della soluzione di portafoglio. Tale relazione contiene le informazioni seguenti:

a) l'impatto della vulnerabilità sulla soluzione di portafoglio certificata;

b) i possibili rischi associati alla prossimità o alla probabilità di un attacco;

c) l'eventualità o meno che sia possibile porre rimedio alla vulnerabilità utilizzando i mezzi disponibili;

d) nei casi in cui sia possibile porre rimedio alla vulnerabilità utilizzando i mezzi disponibili, i possibili modi per porre rimedio a detta vulnerabilità.

6. Qualora sia richiesta la notifica di cui al paragrafo 4, il titolare del certificato di conformità trasmette senza indebito ritardo la relazione sull'analisi dell'impatto delle vulnerabilità di cui al paragrafo 5 all'organismo di certificazione.

7. Il titolare di un certificato di conformità stabilisce, mantiene e applica una politica di gestione delle vulnerabilità che soddisfa i requisiti di cui all'allegato I della legge sulla ciberresilienza (1).

8. I sistemi nazionali di certificazione stabiliscono obblighi di divulgazione delle vulnerabilità applicabili agli organismi di certificazione.

9. Il titolare di un certificato di conformità deve divulgare e registrare qualsiasi vulnerabilità pubblicamente nota e sanata nella soluzione di portafoglio o in uno degli archivi online di cui all'allegato V.

1. I sistemi nazionali di certificazione prevedono un processo di riesame periodico del loro funzionamento. Tale processo mira a confermarne l'adeguatezza e a individuare gli aspetti da migliorare, tenendo conto dei riscontri forniti dai portatori di interessi.

2. I sistemi nazionali di certificazione comprendono disposizioni relative al loro mantenimento. Tale processo comprende come minimo i requisiti seguenti:

a) norme per la governance della definizione e dei requisiti dei sistemi nazionali di certificazione;

b) la fissazione di scadenze per il rilascio di certificati a seguito dell'adozione di versioni aggiornate dei sistemi nazionali di certificazione, tanto per i nuovi certificati di conformità quanto per quelli rilasciati in precedenza;

c) un riesame periodico dei sistemi nazionali di certificazione, al fine di garantire che i requisiti dei sistemi nazionali di certificazione siano applicati in modo coerente, tenendo conto quanto meno degli aspetti seguenti:

- richieste di chiarimenti rivolte al titolare del sistema in relazione ai requisiti del sistema nazionale di certificazione;

- riscontro fornito da portatori di interessi e altre parti interessate;

- reattività del titolare del sistema di certificazione nazionale alle richieste di informazioni;

d) norme per il monitoraggio dei documenti di riferimento e delle procedure per l'evoluzione delle versioni di riferimento dei sistemi nazionali di certificazione, compresi almeno i periodi di transizione;

e) un processo per garantire la copertura dei rischi e delle minacce di cibersicurezza più recenti elencati nel registro dei rischi di cui all'allegato I del presente regolamento;

f) un processo di gestione di altre modifiche nel contesto dei sistemi nazionali di certificazione.

3. I sistemi nazionali di certificazione prevedono requisiti per lo svolgimento di valutazioni sui prodotti attualmente certificati entro un determinato periodo di tempo dopo la revisione del sistema, o dopo la pubblicazione di nuove specifiche o norme, o di nuove versioni delle stesse, cui devono conformarsi le soluzioni di portafoglio e il regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite.

1. I titolari dei sistemi elaborano e mantengono sistemi nazionali di certificazione e ne disciplinano le attività.

2. I titolari dei sistemi possono subappaltare a terzi i loro compiti, in tutto o in parte. In caso di subappalto a un soggetto privato, i titolari dei sistemi definiscono i doveri e le responsabilità di tutte le parti stipulando un contratto. I titolari dei sistemi restano responsabili di tutte le attività subappaltate svolte dai loro subcontraenti.

3. I titolari dei sistemi svolgono le loro attività di monitoraggio, se del caso, almeno sulla base delle informazioni seguenti:

a) informazioni provenienti da organismi di certificazione, organismi nazionali di accreditamento e autorità di vigilanza del mercato pertinenti;

b) informazioni derivanti da audit e indagini propri o di altre autorità;

c) reclami e ricorsi pervenuti a norma dell'articolo 15.

4. I titolari dei sistemi informano il gruppo di cooperazione in merito alle revisioni dei sistemi nazionali di certificazione. Tale notifica fornisce al gruppo di cooperazione informazioni adeguate ai fini della formulazione di raccomandazioni ai titolari dei sistemi e di pareri sui sistemi nazionali di certificazione aggiornati.

1. I sistemi nazionali di certificazione prevedono requisiti di cibersicurezza basati su una valutazione dei rischi di ciascuna architettura specifica supportata. Tali requisiti di cibersicurezza mirano a trattare i rischi e le minacce per la cibersicurezza individuati, come stabilito nel registro dei rischi di cui all'allegato I.

2. In linea con l'articolo 5 bis, paragrafo 23, del regolamento (UE) n. 910/2014, i sistemi nazionali di certificazione esigono che le soluzioni di portafoglio e i regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite siano resistenti nei confronti degli aggressori con un potenziale di attacco elevato per il livello di garanzia elevato di cui al regolamento di esecuzione (UE) 2015/1502.

3. I sistemi nazionali di certificazione stabiliscono criteri di sicurezza, tra cui figurano i requisiti seguenti:

a) il regolamento sulla ciberresilienza, se del caso, oppure i requisiti che soddisfano gli obiettivi di sicurezza di cui all'articolo 51 del regolamento (UE) 2019/881;

b) la definizione e l'attuazione di politiche e procedure relative alla gestione dei rischi associati al funzionamento di una soluzione di portafoglio, comprese l'individuazione e la valutazione dei rischi e l'attenuazione dei rischi individuati;

c) la definizione e l'attuazione di politiche e procedure relative alla gestione delle modifiche e alla gestione delle vulnerabilità conformemente all'articolo 5 del presente regolamento;

d) la definizione e l'attuazione di politiche e procedure di gestione delle risorse umane, compresi i requisiti in materia di competenza, affidabilità, esperienza, formazione in materia di sicurezza e qualifiche del personale coinvolto nello sviluppo o nel funzionamento della soluzione di portafoglio;

e) i requisiti relativi all'ambiente operativo della soluzione di portafoglio, anche sotto forma di ipotesi sulla sicurezza dei dispositivi e delle piattaforme su cui sono eseguiti i componenti software della soluzione di portafoglio, compresi i dispositivi crittografici sicuri per il portafoglio e, ove applicabile e pertinente, i requisiti di valutazione della conformità atti a confermare che tali ipotesi sono verificate sui dispositivi e sulle piattaforme pertinenti;

f) per ciascuna ipotesi non corroborata da un certificato di conformità o da altre informazioni di garanzia accettabili, una descrizione del meccanismo utilizzato dal fornitore del portafoglio per applicare l'ipotesi, nonché una giustificazione del fatto che il meccanismo è sufficiente a garantire che l'ipotesi in questione sia verificata;

g) la definizione e l'attuazione di misure volte a garantire l'uso di una versione attualmente certificata della soluzione di portafoglio.

4. I sistemi nazionali di certificazione contengono requisiti funzionali relativi ai meccanismi di aggiornamento per ogni componente software delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite per le operazioni che figurano nell'allegato III.

5. I sistemi nazionali di certificazione esigono che il richiedente la certificazione fornisca o metta altrimenti a disposizione dell'organismo di certificazione le informazioni e la documentazione seguenti:

a) prove relative alle informazioni di cui all'allegato IV, punto 1, compresi, se necessario, i dettagli sulla soluzione di portafoglio e sul relativo codice sorgente, tra cui:

- informazioni sull'architettura: per ciascun componente della soluzione di portafoglio (compresi i componenti di prodotto, processo e servizio), una descrizione delle sue proprietà essenziali di sicurezza, comprese le sue dipendenze esterne;

- controlli e livelli di garanzia: per ciascun controllo di sicurezza della soluzione di portafoglio, una descrizione del controllo e del livello di garanzia richiesto, sulla base dell'allegato del regolamento di esecuzione (UE) 2015/1502, che stabilisce una serie di specifiche tecniche e procedure che si applicano ai vari controlli attuati dai mezzi di identificazione elettronica;

- mappatura dei controlli relativi ai componenti dell'architettura: una descrizione del modo in cui i controlli del portafoglio sono attuati utilizzando i diversi componenti della soluzione di portafoglio, sulla base di una logica che spieghi il motivo per cui è richiesto un determinato livello di garanzia, così come del modo in cui il controllo è attuato con tutti gli aspetti di sicurezza richiesti al livello adeguato;

- motivazione e giustificazione della copertura dei rischi: una giustificazione degli elementi seguenti:

- mappatura dei controlli dei componenti;

- idoneità del piano di valutazione proposto a coprire adeguatamente tutti i controlli;

- la copertura conseguita dai controlli dei rischi e delle minacce di cibersicurezza identificati nel registro dei rischi, completati dai controlli dei rischi e delle minacce specifici per l'attuazione, al livello di garanzia adeguato;

b) le informazioni elencate nell'allegato V;

c) un elenco completo dei certificati di conformità e di altre informazioni sulla garanzia utilizzati come prova durante le attività di valutazione;

d) qualsiasi altra informazione pertinente per le attività di valutazione.

1. Gli organismi di certificazione sono accreditati dagli organismi nazionali di accreditamento designati a norma del regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio (1) conformemente alla norma EN ISO/IEC 17065:2012, a condizione che soddisfino i requisiti stabiliti nei sistemi nazionali di certificazione conformemente al paragrafo 2.

2. Ai fini dell'accreditamento, gli organismi di certificazione soddisfano tutti i seguenti requisiti di competenza:

a) conoscenze dettagliate e tecniche in merito alle architetture pertinenti di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita, nonché delle minacce e dei rischi pertinenti per tali architetture;

b) conoscenza in merito alle soluzioni di sicurezza disponibili e alle loro proprietà a norma dell'allegato del regolamento di esecuzione (UE) 2015/1502;

c) conoscenza delle attività svolte in virtù dei certificati di conformità applicati ai componenti della soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita, in quanto oggetto della certificazione;

d) conoscenze dettagliate in merito al sistema nazionale di certificazione applicabile istituito conformemente al capo II.

3. Gli organismi di certificazione svolgono le loro attività di vigilanza in particolare sulla base delle informazioni seguenti:

a) informazioni provenienti dagli organismi nazionali di accreditamento e dalle autorità di vigilanza del mercato pertinenti;

b) informazioni derivanti da audit e indagini propri o di altre autorità;

c) reclami e ricorsi pervenuti a norma dell'articolo 15.

Gli organismi di certificazione possono subappaltare a terzi le attività di valutazione di cui all'articolo 13. Qualora le attività di valutazione siano oggetto di subappalto, i sistemi nazionali di certificazione stabiliscono quanto segue:

1) tutti i subappaltatori dell'organismo di certificazione che esegue le attività di valutazione soddisfano, se del caso e in funzione delle attività da svolgere, i requisiti di norme armonizzate quali EN ISO/IEC 17025:2017 per le prove, EN ISO/IEC 17020:2012 per le ispezioni, EN ISO/IEC 17021-1:2015 per l'audit ed EN ISO/IEC 17029:2019 per la convalida e la verifica;

2) gli organismi di certificazione si assumono la responsabilità di tutte le attività di valutazione esternalizzate ad altri organismi e dimostrano di aver adottato misure adeguate durante il loro accreditamento, anche facendo affidamento sull'accreditamento dei loro subappaltatori, se del caso;

3) il grado di ottenimento del previo accordo all'esternalizzazione da parte dei titolari dei sistemi o del cliente la cui soluzione di portafoglio è certificata nel quadro del sistema di certificazione.

Gli organismi di certificazione notificano all'organismo di vigilanza di cui all'articolo 46 bis, paragrafo 1, del regolamento (UE) n. 910/2014 il rilascio, la sospensione e l'annullamento dei certificati di conformità delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite.

1. Gli organismi di certificazione sospendono senza indebito ritardo il certificato di conformità delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite dopo aver confermato che la violazione o compromissione della sicurezza notificata incide sulla conformità rispetto ai requisiti dei sistemi nazionali di certificazione nell'ambito della soluzione di portafoglio o del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita.

2. Gli organismi di certificazione annullano il certificato di conformità sospeso a seguito di una violazione o compromissione della sicurezza cui non è stato posto rimedio tempestivamente.

3. Gli organismi di certificazione annullano tempestivamente i certificati di conformità qualora a una vulnerabilità individuata non sia stato posto rimedio tempestivamente in modo proporzionato alla sua gravità e al suo potenziale impatto, conformemente all'articolo 5 quater, paragrafo 4, e all'articolo 5 sexies, paragrafo 2, del regolamento (UE) n. 910/2014.

1. I sistemi nazionali di certificazione prevedono metodi e procedure che gli organismi di valutazione della conformità devono utilizzare nello svolgimento delle loro attività di valutazione conformemente alla norma EN ISO/IEC 17065:2012, che riguardano quanto meno gli aspetti seguenti:

a) i metodi e le procedure per lo svolgimento delle attività di valutazione, comprese quelle relative al dispositivo crittografico sicuro per il portafoglio, di cui all'allegato IV;

b) l'audit dell'attuazione della soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita, sulla base del registro dei rischi di cui all'allegato I e integrato, ove necessario, da rischi specifici per l'attuazione;

c) le attività di collaudo funzionale basate, laddove disponibili e adeguate, su serie di prove definite in base a norme o specifiche tecniche;

d) la valutazione dell'esistenza e dell'idoneità dei processi di manutenzione, compresa quanto meno la gestione delle versioni, la gestione degli aggiornamenti e la gestione delle vulnerabilità;

e) la valutazione dell'efficacia operativa dei processi di manutenzione, compresa quanto meno la gestione delle versioni, la gestione degli aggiornamenti e la gestione delle vulnerabilità;

f) l'analisi della dipendenza messa a disposizione dal fornitore del portafoglio, compresa una metodologia atta a valutare l'accettabilità delle informazioni sulla garanzia, che comprende gli elementi di cui all'allegato VI;

g) la valutazione delle vulnerabilità, al livello adeguato, comprendente:

- un riesame della progettazione della soluzione di portafoglio e, se del caso, del suo codice sorgente;

- lo svolgimento di prove della resistenza della soluzione di portafoglio nei confronti di aggressori con un potenziale di attacco «elevato» ai sensi della sezione 2.2.1 dell'allegato del regolamento di esecuzione (UE) 2015/1502;

h) la valutazione dell'evoluzione del panorama delle minacce e del suo impatto sulla copertura dei rischi da parte della soluzione di portafoglio, al fine di stabilire quali attività di valutazione siano necessarie in relazione ai vari componenti della soluzione di portafoglio.

2. I sistemi nazionali di certificazione contemplano una valutazione volta a stabilire se l'attuazione delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite corrispondono all'architettura di cui all'articolo 3, paragrafo 5, lettera a), nonché una valutazione volta a stabilire se il piano di valutazione proposto unitamente all'attuazione corrisponde al piano di valutazione di cui all'articolo 3, paragrafo 5, lettera c).

3. I sistemi nazionali di certificazione stabiliscono norme in materia di campionamento, al fine di evitare il ripetersi di attività di valutazione identiche e di concentrarsi su attività specifiche di una determinata variante. Tali norme di campionamento consentono di effettuare prove funzionali e di sicurezza soltanto su un campione di varianti di un componente obiettivo di una soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita e su un campione di dispositivi obiettivo. I sistemi nazionali di certificazione impongono a tutti gli organismi di certificazione di giustificare il ricorso al campionamento.

4. I sistemi nazionali di certificazione richiedono la valutazione, da parte dell'organismo di certificazione, dell'applicazione crittografica sicura per il portafoglio sulla base dei metodi e delle procedure di cui all'allegato IV.

1. I sistemi nazionali di certificazione stabiliscono un'attività di attestazione ai fini del rilascio di un certificato di conformità, conformemente alla sezione V, lettera a), della norma EN ISO/IEC 17067:2013, tabella 1, tenendo conto degli aspetti seguenti:

a) il contenuto del certificato di conformità di cui all'allegato VII;

b) il modo in cui i risultati della valutazione devono essere comunicati nella relazione pubblica di certificazione, comprendente almeno una sintesi del piano preliminare di audit e convalida di cui all'allegato VIII;

c) il contenuto dei risultati della valutazione riportati nella relazione di valutazione della certificazione, compresi gli elementi di cui all'allegato VIII.

2. La relazione di valutazione della certificazione può essere messa a disposizione del gruppo di cooperazione e della Commissione.

I sistemi nazionali di certificazione prevedono procedure o riferimenti alla legislazione nazionale applicabile che definiscono il meccanismo per presentare e gestire efficacemente reclami e ricorsi in relazione all'attuazione del sistema di certificazione stesso o a un certificato di conformità rilasciato. Tali procedure prevedono la comunicazione al reclamante di informazioni sullo stato di avanzamento del procedimento e sulla decisione adottata, nonché informazioni al reclamante sul diritto a un ricorso giurisdizionale effettivo. I sistemi nazionali di certificazione esigono che tutti i reclami e i ricorsi che non sono stati o non possono essere risolti dall'organismo di certificazione siano rinviati al titolare del sistema per la valutazione e la risoluzione.

1. I sistemi nazionali di certificazione impongono agli organismi di certificazione di attuare attività di vigilanza consistenti nella valutazione dei processi in combinazione con prove o ispezioni casuali.

2. I sistemi nazionali di certificazione prevedono l'obbligo per i titolari dei sistemi di monitorare il rispetto, da parte degli organismi di certificazione, dei loro obblighi a norma del regolamento (UE) n. 910/2014 e dei sistemi nazionali di certificazione, se del caso.

3. I sistemi nazionali di certificazione prevedono l'obbligo per gli organismi di certificazione di monitorare quanto segue:

a) il rispetto, da parte dei titolari di un certificato di conformità rilasciato nell'ambito di sistemi nazionali di certificazione, dei loro obblighi in materia di certificazione a norma del regolamento (UE) n. 910/2014 e dei sistemi nazionali di certificazione;

b) la conformità della soluzione di portafoglio certificata ai requisiti stabiliti nei sistemi nazionali di certificazione.

I sistemi nazionali di certificazione stabiliscono le conseguenze della non conformità di una soluzione di portafoglio certificata e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita ai requisiti di cui al presente regolamento. Tra tali conseguenze figurano gli aspetti seguenti:

1) l'obbligo per l'organismo di certificazione di informare il titolare del certificato di conformità e di chiedere a quest'ultimo di applicare misure correttive;

2) l'obbligo per l'organismo di certificazione di informare altre autorità di vigilanza del mercato pertinenti qualora la non conformità riguardi la legislazione dell'Unione pertinente;

3) le condizioni per l'attuazione di azioni correttive da parte del titolare del certificato di conformità;

4) le condizioni per la sospensione di un certificato di conformità da parte dell'organismo di certificazione e per il ripristino di tale certificato una volta sanata la non conformità;

5) le condizioni per l'annullamento di un certificato di conformità da parte dell'organismo di certificazione;

6) le conseguenze della non conformità da parte dell'organismo di certificazione ai requisiti del sistema nazionale di certificazione.

1. La validità dei certificati di conformità rilasciati nell'ambito dei sistemi nazionali di certificazione è soggetta ad attività di valutazione periodiche svolte dall'organismo di certificazione conformemente ai requisiti di cui all'allegato IX.

2. I sistemi nazionali di certificazione prevedono un processo per la ricertificazione delle soluzioni di portafoglio e del regime di identificazione elettronica nel contesto del quale dette soluzioni sono fornite, su richiesta del titolare del certificato di conformità prima della scadenza del certificato di conformità iniziale. Tale processo di ricertificazione comprende una valutazione completa della soluzione di portafoglio e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita, compresa una valutazione delle vulnerabilità, secondo i principi di cui all'allegato IX.

3. I sistemi nazionali di certificazione prevedono un processo di gestione delle modifiche di una soluzione di portafoglio certificata e del regime di identificazione elettronica nel contesto del quale detta soluzione è fornita. Tale processo contempla norme volte a stabilire se una modifica debba essere oggetto di una valutazione speciale di cui al paragrafo 4 o della verifica dell'efficacia operativa dei processi di manutenzione di cui all'allegato IV.

4. I sistemi nazionali di certificazione prevedono un processo di valutazione speciale conformemente alla norma EN ISO/IEC 17065:2012. Tale processo di valutazione speciale contempla una selezione delle attività da svolgere al fine di affrontare la questione specifica che ha determinato l'avvio della valutazione speciale.

5. I sistemi nazionali di certificazione stabiliscono norme relative all'annullamento di un certificato di conformità.

1. I sistemi nazionali di certificazione prevedono requisiti per gli organismi di certificazione relativi a un sistema di registrazione di tutte le informazioni pertinenti prodotte in relazione alle attività di valutazione della conformità da essi svolte, compresi i dati rilasciati e ricevuti dai fornitori di soluzioni di portafoglio e dei regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite. Le registrazioni di tali informazioni sono conservate in modo sicuro. Le registrazioni possono essere conservate elettronicamente e rimangono accessibili per tutto il tempo prescritto dal diritto dell'Unione o dal diritto nazionale e per almeno cinque anni dopo l'annullamento o la scadenza del certificato di conformità pertinente.

2. I sistemi nazionali di certificazione stabiliscono requisiti affinché il titolare del certificato di conformità conservi le informazioni seguenti in modo sicuro ai fini del presente regolamento e per almeno cinque anni dopo l'annullamento o la scadenza del certificato di conformità pertinente:

a) registrazioni delle informazioni fornite all'organismo di certificazione o a uno qualsiasi dei suoi subappaltatori durante il processo di certificazione;

b) campioni di componenti hardware inclusi nell'ambito di applicazione della certificazione per la soluzione di portafoglio.

3. I sistemi nazionali di certificazione impongono al titolare del certificato di conformità di mettere le informazioni di cui al paragrafo 1, su richiesta, a disposizione dell'organismo di certificazione o dell'organismo di vigilanza di cui all'articolo 46 bis, paragrafo 1, del regolamento (UE) n. 910/2014.

Nell'ambito dei sistemi nazionali di certificazione, tutte le persone o organizzazioni cui è concesso l'accesso a informazioni nello svolgimento delle attività nell'ambito del sistema nazionale di certificazione sono tenute a garantire la sicurezza e la protezione dei segreti commerciali e di altre informazioni riservate, nonché a preservare i diritti di proprietà intellettuale, e ad adottare le misure tecniche e organizzative necessarie e adeguate al fine di garantire tale riservatezza.

Il presente regolamento è soggetto a riesame all'adozione del primo sistema europeo di certificazione della cibersicurezza per le soluzioni di portafoglio e dei regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite, con l'obiettivo di tenere conto del contributo di tale sistema europeo di certificazione della cibersicurezza alla certificazione generale delle soluzioni di portafoglio e dei regimi di identificazione elettronica nel contesto dei quali dette soluzioni sono fornite.

Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.

Fatto a Bruxelles, il 28 novembre 2024

Per la Commissione

La presidente

URSULA VON DER LEYEN