Večina izdelkov, kot so gospodinjski aparati, računalniške igre ali mobilne aplikacije, bo predmet samoocene proizvajalca.
Vendar bodo morali proizvajalci za nekatere proizvode, ki se štejejo za pomembne z vidika kibernetske varnosti, kot so protivirusna programska oprema, zagonski upravljavci ali sistemi za upravljanje omrežja, bodisi uporabiti harmonizirane standarde bodisi opraviti oceno s strani tretje osebe, imenovane priglašeni organ (organ za ugotavljanje skladnosti, ki je priglašen v okviru bonitetne agencije). V nekaterih primerih so izdelki, kot so varnostni elementi, požarni zidovi ali hipervizorji, predmet obveznega ugotavljanja skladnosti s strani tretjih oseb.
Katera so glavna pravila?
Organi za ugotavljanje skladnosti
Organi za ugotavljanje skladnosti so na splošno zasebna podjetja, ki proizvajalcem pomagajo pri dokazovanju skladnosti v okviru bonitetne agencije. Preden lahko delujejo, jih mora oceniti, imenovati, priglasiti in spremljati država članica, v kateri imajo sedež. Zainteresirani organi se lahko obrnejo na ustrezni priglasitveni organ, ki jih bo obvestil o ustreznem postopku. Ko bo organ za ugotavljanje skladnosti postal priglašeni organ, bo objavljen na spletišču NANDO Evropske komisije.
Kategorije izdelkov & postopki ugotavljanja skladnosti
Proizvajalec praviloma ohrani prožnost pri izbiri postopka (samoocenjevanje ali ocenjevanje, ki ga opravi tretja oseba), s katerim dokaže skladnost z bonitetno agencijo, razen za nekatere kategorije izdelkov (pomembni in kritični izdelki, navedeni v Prilogi III oziroma Prilogi IV k bonitetni agenciji), za katere se zahteva strožje ugotavljanje skladnosti:
- Privzeta kategorija izdelkov (npr. pomnilniški čipi, mobilne aplikacije, pametni zvočniki, računalniške igre): samoocenjevanje je dovoljeno ne glede na tehnične specifikacije, ki jih proizvajalec uporablja za dokazovanje skladnosti.
- Pomembni izdelki (npr. operacijski sistemi, protivirusni programi, usmerjevalniki, požarni zidovi): V nekaterih primerih je sodelovanje priglašenega organa obvezno, zlasti kadar proizvajalec ni uporabil harmoniziranih standardov v podporo bonitetni agenciji.
- Kritični produkti (npr. pametne kartice, varnostni elementi, prehodi za pametne števce): V vsakem primeru je obvezna uporaba priglašenega organa.
Evropska komisija je tehnične opise kategorije izdelkov določila v Izvedbeni uredbi (EU) 2025/2392.
Postopki ugotavljanja skladnosti so opredeljeni v uredbi o bonitetnih agencijah (glej Prilogo VIII), izvajanje pa se lahko podpre z dodatnimi smernicami. V prihodnosti za izdelke, certificirane v okviru certifikacijske sheme EU za kibernetsko varnost, morda ne bo potrebno sodelovanje priglašenega organa. Natančne pogoje mora določiti Komisija z delegiranim aktom.
Države članice imajo pomembno vlogo pri upravljanju organov za ugotavljanje skladnosti. Lahko se odločijo za ocenjevanje usposobljenosti organov za ugotavljanje skladnosti v sodelovanju z nacionalnimi akreditacijskimi organi.
Agencija ENISA je objavila dokument o zahtevah glede tehnične usposobljenosti za priglašene organe bonitetnih agencij, ki je na voljo na tej povezavi.
Ustrezni organi za sodelovanje
- Seznam imenovanih priglasitvenih organov
- Delovna skupina priglasitvenih organov (omejeno)
- Evropsko združenje za akreditacijo (EA) je uradna mreža nacionalnih akreditacijskih organov v Evropi, ki jo je uradno priznala Evropska komisija.
- Delovna skupina priglašenih organov bonitetnih agencij (povezava bo kmalu na voljo)
Referenčni dokumenti in povezave
Na spletišču NANDO so navedeni priglašeni organi v skladu z zakonodajo Evropske unije, vključno z bonitetno agencijo (ko bo ta na voljo).
Zahteve agencije ENISA glede tehnične usposobljenosti priglašenih organov bonitetnih agencij.
Povezane vsebine
Širša slika