Art. 21
Requisitos adicionales o específicos aplicables a los organismos de certificación
En vigor desde 31 ene 2024
Artículo 21
Requisitos adicionales o específicos aplicables a los organismos de certificación
1. La autoridad nacional de certificación de la ciberseguridad autorizará a un organismo de certificación a expedir certificados EUCC con un nivel de garantía «elevado» cuando dicho organismo demuestre que, además de reunir los requisitos previstos en el artículo 60, apartado 1, y en el anexo del Reglamento (UE) 2019/881 por lo que respecta a la acreditación de organismos de evaluación de la conformidad, cumple las siguientes condiciones:
a)
posee los conocimientos especializados y las competencias necesarios para tomar una decisión de certificación con nivel de garantía «elevado»;
b)
desarrolla sus actividades de certificación en cooperación con una ITSEF autorizada de conformidad con el artículo 22;
c)
dispone de las competencias necesarias y ha adoptado medidas técnicas y operativas adecuadas para proteger eficazmente la información confidencial y delicada con nivel de garantía «elevado», además de los requisitos establecidos en el artículo 43.
2. La autoridad nacional de certificación de la ciberseguridad determinará si un organismo de certificación cumple todos los requisitos previstos en el apartado 1. A tal efecto, deberá llevar a cabo, como mínimo, entrevistas estructuradas y una revisión de al menos una certificación piloto realizada por el organismo de certificación de conformidad con el presente Reglamento.
En su evaluación, la autoridad nacional de certificación de la ciberseguridad podrá reutilizar cualquier prueba adecuada que proceda de una autorización previa o de actividades similares concedidas en virtud:
a)
del presente Reglamento;
b)
de otro esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 49 del Reglamento (UE) 2019/881;
c)
de un esquema nacional a que se refiere el artículo 49 del presente Reglamento.
3. La autoridad nacional de certificación de la ciberseguridad elaborará un informe de autorización, que será objeto de una revisión por pares de conformidad con el artículo 59, apartado 3, letra d), del Reglamento (UE) 2019/881.
4. La autoridad nacional de certificación de la ciberseguridad especificará las categorías de productos de TIC y los perfiles de protección sobre los que se extiende la autorización, cuyo período de validez no podrá ser superior al período de validez de la acreditación. La autorización podrá renovarse previa solicitud, siempre que el organismo de certificación siga reuniendo los requisitos establecidos en el presente artículo. Para la renovación de la autorización, no se exigen evaluaciones piloto.
5. La autoridad nacional de certificación de la ciberseguridad retirará la autorización del organismo de certificación en caso de que este deje de cumplir las condiciones establecidas en el presente artículo. Tras la retirada de la autorización, el organismo de certificación dejará inmediatamente de promocionarse como organismo de certificación autorizado.
Historial de versiones
Este artículo no ha sufrido modificaciones desde su publicación.
Tus anotaciones
Proeli:reg_impl:2024:482:oj#art-21