Reglamento de Ejecución (UE) 2024/482 de la Comisión, de 31 de enero de 2024, por el que se establecen disposiciones de aplicación del Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo en lo concerniente a la adopción del esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (EUCC)

El presente Reglamento establece el esquema europeo de certificación de la ciberseguridad basado en los criterios comunes (en lo sucesivo, «EUCC»). El presente Reglamento se aplica a todos los productos de tecnologías de la información y la comunicación (en lo sucesivo, «TIC»), incluida su documentación, que se presenten para su certificación en virtud del EUCC, y a todos los perfiles de protección que se presenten para su certificación en el marco del proceso de TIC conducente a la certificación de productos de TIC.

A efectos del presente Reglamento, se entenderá por: 1) «criterios comunes»: los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, tal como se establecen en la norma ISO/IEC 15408; 2) «metodología común de evaluación»: la metodología común para la evaluación de la seguridad de las tecnologías de la información, tal como se establece en la norma ISO/IEC 18045; 3) «objeto de evaluación»: producto o parte de un producto de TIC, o perfil de protección dentro de un proceso de TIC, que se somete a una evaluación de ciberseguridad para obtener la certificación EUCC; 4) «declaración de seguridad»: alegación de requisitos de seguridad dependientes de la implementación con respecto a un determinado producto de TIC; 5) «perfil de protección»: proceso de TIC que establece los requisitos de seguridad para una categoría específica de productos de TIC, abordando necesidades de seguridad independientes de la implementación, y que puede utilizarse para evaluar productos de TIC pertenecientes a dicha categoría específica a efectos de su certificación; 6) «informe técnico de evaluación»: documento elaborado por una ITSEF para exponer las constataciones, opiniones y justificaciones obtenidas durante la evaluación de un producto de TIC o de un perfil de protección con arreglo a las normas y obligaciones establecidas en el presente Reglamento; 7) «ITSEF»: instalación de evaluación de la seguridad de las tecnologías de la información, que constituye un organismo de evaluación de la conformidad, según se define en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008, que desempeña actividades de evaluación; 8) «nivel AVA_VAN»: nivel de garantía de análisis de vulnerabilidades que indica el grado de actividades de evaluación de la ciberseguridad llevadas a cabo para determinar el nivel de resistencia ante el posible aprovechamiento de defectos o debilidades del objeto de evaluación en su entorno operativo, tal como se establece en los criterios comunes; 9) «certificado EUCC»: certificado de ciberseguridad expedido en virtud del EUCC a productos de TIC, o a perfiles de protección que puedan utilizarse exclusivamente en el proceso de certificación de productos de TIC; 10) «producto compuesto»: producto de TIC que se evalúa junto con otro producto de TIC subyacente que ya ha obtenido un certificado EUCC y de cuya funcionalidad de seguridad depende el producto de TIC compuesto; 11) «autoridad nacional de certificación de la ciberseguridad»: autoridad designada por un Estado miembro en virtud del artículo 58, apartado 1, del Reglamento (UE) 2019/881; 12) «organismo de certificación»: organismo de evaluación de la conformidad, según se define en el artículo 2, punto 13, del Reglamento (CE) n.o 765/2008, que desempeña actividades de certificación; 13) «ámbito técnico»: marco técnico común relacionado con una tecnología concreta para la certificación armonizada que presenta un conjunto de requisitos de seguridad característicos; 14) «documento del estado de la técnica»: documento que especifica los métodos, las técnicas y los instrumentos de evaluación aplicables a la certificación de productos de TIC o los requisitos de seguridad de una categoría genérica de productos de TIC, o cualquier otro requisito necesario para la certificación, con el fin de armonizar la evaluación, en concreto de los ámbitos técnicos o de los perfiles de protección; 15) «autoridad de vigilancia del mercado»: una autoridad según se define en el artículo 3, punto 4, del Reglamento (UE) 2019/1020.

Las evaluaciones efectuadas en el marco del esquema EUCC se regirán por las siguientes normas: a) los criterios comunes; b) la metodología común de evaluación.

1 Los organismos de certificación expedirán certificados EUCC con nivel de garantía «sustancial» o «elevado».

2 Los certificados EUCC con nivel de garantía «sustancial» corresponderán a certificados que abarquen los niveles AVA_VAN 1 o 2.

3 Los certificados EUCC con nivel de garantía «elevado» corresponderán a certificados que abarquen los niveles AVA_VAN 3, 4 o 5.

4 El nivel de garantía confirmado en un certificado EUCC distinguirá entre el uso conforme y aumentado de los componentes de garantía, tal como se especifica en los criterios comunes y con arreglo a lo dispuesto en el anexo VIII.

5 Los organismos de evaluación de la conformidad aplicarán los componentes de garantía de los que dependa el nivel AVA_VAN seleccionado, con arreglo a lo dispuesto en las normas a que se refiere el artículo 3.

1 La certificación de un producto de TIC se llevará a cabo en función de su declaración de seguridad: a) según la defina el solicitante, o b) con la incorporación de un perfil de protección certificado en el marco del proceso de TIC, cuando el producto de TIC pertenezca a la categoría de productos de TIC cubierta por dicho perfil de protección.

2 Los perfiles de protección se certificarán únicamente a efectos de la certificación de productos de TIC que pertenezcan a la categoría específica de productos de TIC cubierta por el perfil de protección.

No se permitirá la autoevaluación de la conformidad en el sentido del artículo 53 del Reglamento (UE) 2019/881.

1 Los productos de TIC que se presenten para su certificación se evaluarán, como mínimo, con arreglo a los siguientes aspectos: a) los elementos aplicables de las normas a que se refiere el artículo 3; b) las clases de requisitos de garantía de seguridad para la evaluación de vulnerabilidad y las pruebas funcionales independientes, según lo establecido en las normas de evaluación a que se refiere el artículo 3; c) el nivel de riesgo asociado al uso previsto de los productos de TIC de que se trate de conformidad con el artículo 52 del Reglamento (UE) 2019/881 y sus funciones de seguridad que contribuyen a los objetivos de seguridad establecidos en el artículo 51 del citado Reglamento; d) los documentos del estado de la técnica enumerados en el anexo I que resulten aplicables; e) los perfiles de protección certificados enumerados en el anexo II que resulten aplicables.

2 En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá solicitar abstenerse de aplicar el documento del estado de la técnica pertinente. En tales casos, el organismo de evaluación de la conformidad informará a la autoridad nacional de certificación de la ciberseguridad incluyendo una justificación debidamente motivada de su solicitud. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, la aprobará. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad notificará la excepción aprobada, sin demora indebida, al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

3 La certificación de los productos de TIC en los niveles AVA_VAN.4 o AVA_VAN.5 solo será posible en los siguientes supuestos: a) cuando el producto de TIC esté contemplado en cualquiera de los ámbitos técnicos enumerados en el anexo I, se evaluará de conformidad con los documentos del estado de la técnica pertinentes de dichos ámbitos técnicos que resulten aplicables, b) cuando el producto de TIC pertenezca a una categoría de productos de TIC cubiertos por un perfil de protección certificado que incluya los niveles AVA_VAN.4 o AVA_VAN.5 y que haya sido incluido como un perfil de protección del estado de la técnica en el anexo II, se evaluará de conformidad con la metodología de evaluación que se haya determinado para dicho perfil de protección, c) cuando las letras a) y b) del presente apartado no resulten aplicables y sea poco probable la inclusión de un ámbito técnico en el anexo I o de un perfil de protección certificado en el anexo II en un futuro próximo, y solo en casos excepcionales debidamente justificados, con sujeción a las condiciones establecidas en el apartado 4.

4 Cuando un organismo de evaluación de la conformidad considere que se encuentra ante un caso excepcional y debidamente justificado a que se refiere el apartado 3, letra c), notificará la certificación prevista a la autoridad nacional de certificación de la ciberseguridad, junto con una justificación y una propuesta de metodología de evaluación. La autoridad nacional de certificación de la ciberseguridad evaluará si la excepción está justificada y, en caso de que así sea, aprobará o modificará la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado. La autoridad nacional de certificación de la ciberseguridad informará, sin demora indebida, de la certificación prevista al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

5 En el caso de aquellos productos de TIC que se evalúen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, la ITSEF que haya llevado a cabo la evaluación del producto de TIC subyacente compartirá la información pertinente con la ITSEF encargada de evaluar el producto de TIC compuesto.

1 El solicitante de una certificación en virtud del EUCC proporcionará al organismo de certificación y a la ITSEF o pondrá a disposición de ambos por otros medios toda la información necesaria para las actividades de certificación.

2 La información a que se refiere el apartado 1 incluirá todas las pruebas pertinentes con arreglo a las secciones de «Elementos de acción del desarrollador» en el formato adecuado según lo establecido en las secciones de «Contenido y presentación de elementos de prueba» de los criterios comunes y la metodología común de evaluación para el nivel de garantía seleccionado y los requisitos de garantía de seguridad asociados. Las pruebas contendrán, en caso necesario, información sobre el producto de TIC y su código fuente de conformidad con el presente Reglamento, con sujeción a salvaguardias contra la divulgación no autorizada.

3 Los solicitantes de certificación podrán presentar al organismo de certificación y a la ITSEF resultados de evaluación adecuados de certificaciones anteriores en virtud: a) del presente Reglamento; b) de otro esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 49 del Reglamento (UE) 2019/881; c) de un esquema nacional a que se refiere el artículo 49 del presente Reglamento.

4 Cuando los resultados de la evaluación sean pertinentes para sus tareas, la ITSEF podrá reutilizar los resultados de evaluación siempre que estos se ajusten a los requisitos aplicables y se confirme su autenticidad.

5 Cuando el organismo de certificación permita que un producto se certifique como producto compuesto, el solicitante de la certificación pondrá a disposición de dicho organismo y de la ITSEF todos los elementos necesarios, en su caso, con arreglo al documento del estado de la técnica pertinente.

6 Los solicitantes de la certificación también proporcionarán al organismo de certificación y a la ITSEF la siguiente información: a) el enlace a su sitio web que contenga la información complementaria sobre ciberseguridad a que se refiere el artículo 55 del Reglamento (UE) 2019/881; b) una descripción de los procedimientos de gestión de vulnerabilidades y divulgación de vulnerabilidades del solicitante.

7 Toda la documentación pertinente a que se refiere el presente artículo será conservada por el organismo de certificación, la ITSEF y el solicitante durante un período de cinco años a partir de la expiración del certificado.

1 Los organismos de certificación expedirán un certificado EUCC cuando se cumplan todas las condiciones siguientes: a) la categoría de producto de TIC está comprendida en el ámbito de aplicación de la acreditación y, en su caso, de la autorización, del organismo de certificación y de la ITSEF intervinientes en la certificación; b) el solicitante de la certificación ha firmado una declaración en la que contrae todos los compromisos enumerados en el apartado 2; c) la ITSEF ha concluido la evaluación sin objeciones con arreglo a las normas, los criterios y los métodos de evaluación a que se refieren los artículos 3 y 7; d) el organismo de certificación ha concluido la revisión de los resultados de la evaluación sin objeciones; e) el organismo de certificación ha verificado que los informes técnicos de evaluación presentados por la ITSEF son coherentes con las pruebas aportadas y que se han aplicado correctamente las normas, los criterios y los métodos de evaluación a que se refieren los artículos 3 y 7.

2 El solicitante de la certificación contraerá los siguientes compromisos: a) proporcionar al organismo de certificación y a la ITSEF toda la información necesaria, completa y correcta, y facilitar la información adicional necesaria que se le solicite; b) abstenerse de promocionar el producto de TIC como certificado conforme al EUCC antes de que se haya expedido el certificado correspondiente; c) promocionar la certificación del producto de TIC únicamente con respecto al ámbito de aplicación establecido en el certificado EUCC; d) dejar inmediatamente de promocionar la certificación del producto de TIC en caso de suspensión, retirada o expiración del certificado EUCC; e) garantizar que los productos de TIC comercializados con referencia al certificado EUCC sean estrictamente idénticos al producto de TIC sujeto a la certificación; f) respetar las normas de uso de la marca y la etiqueta establecidas para el certificado EUCC de conformidad con el artículo 11.

3 En el caso de aquellos productos de TIC que se certifiquen como producto compuesto de conformidad con los documentos del estado de la técnica pertinentes, el organismo de certificación que haya certificado el producto de TIC subyacente compartirá la información pertinente con el organismo de certificación encargado de certificar el producto de TIC compuesto.

1 Los certificados EUCC incluirán, como mínimo, la información prevista en el anexo VII.

2 El ámbito de aplicación y los límites del producto de TIC certificado se especificarán de forma inequívoca en el certificado EUCC o en el informe de certificación, indicando si el producto de TIC ha sido certificado en su totalidad o solo parcialmente.

3 El organismo de certificación proporcionará al solicitante el certificado EUCC, como mínimo, en formato electrónico.

4 El organismo de certificación elaborará un informe de certificación de conformidad con el anexo V para cada certificado EUCC que expida. Dicho informe se basará en el informe técnico de evaluación presentado por la ITSEF. El informe técnico de evaluación y el informe de certificación indicarán los criterios y métodos de evaluación específicos a que se refiere el artículo 7 que se hayan utilizado en la evaluación.

5 El organismo de certificación facilitará a la autoridad nacional de certificación de la ciberseguridad y a ENISA todos los certificados EUCC y todos los informes de certificación en formato electrónico.

1 El titular de un certificado podrá colocar una marca y una etiqueta en el producto de TIC certificado. La marca y la etiqueta demuestran que el producto de TIC ha sido certificado de conformidad con el presente Reglamento. Estos elementos se colocarán con arreglo a lo dispuesto en el presente artículo y en el anexo IX.

2 La marca y la etiqueta se colocarán en el producto de TIC certificado o en su placa descriptiva de manera visible, legible e indeleble. Cuando esto no sea posible o no pueda garantizarse debido a la naturaleza del producto, se colocará en el embalaje y en los documentos adjuntos. Cuando el producto de TIC certificado se entregue en forma de programa informático, la marca y la etiqueta figurarán de forma visible, legible e indeleble en la documentación adjunta, o esta documentación se pondrá a disposición de los usuarios de forma fácil y directa en un sitio web.

3 La marca y la etiqueta figurarán en el anexo IX e incluirán: a) el nivel de garantía y el nivel AVA_VAN del producto de TIC certificado; b) la identificación única del certificado, consistente en: 1) el nombre del esquema; 2) el nombre y el número de referencia de la acreditación del organismo de certificación que haya expedido el certificado; 3) el año y el mes de emisión; 4) el número de identificación asignado por el organismo de certificación que haya expedido el certificado.

4 La marca y la etiqueta irán acompañadas de un código QR con un enlace a un sitio web que contenga, como mínimo: a) la información sobre la validez del certificado; b) la información necesaria sobre la certificación, con arreglo a lo dispuesto en los anexos V y VII; c) la información que el titular del certificado debe poner a disposición del público de conformidad con el artículo 55 del Reglamento (UE) 2019/881; d) cuando proceda, la información histórica relacionada con la certificación o certificaciones específicas del producto de TIC para permitir la trazabilidad.

1 El organismo de certificación establecerá un período de validez para cada certificado EUCC expedido teniendo en cuenta las características del producto de TIC certificado.

2 El período máximo de validez de un certificado EUCC será de cinco años.

3 No obstante lo dispuesto en el apartado 2, se podrá establecer un período superior a cinco años, previa aprobación de la autoridad nacional de certificación de la ciberseguridad, que deberá notificar sin demora indebida al Grupo Europeo de Certificación de la Ciberseguridad la aprobación otorgada.

1 A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un producto de TIC. La revisión se llevará a cabo de conformidad con el anexo IV. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del producto de TIC certificado.

2 A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación: a) confirmará el certificado EUCC; b) retirará el certificado EUCC de conformidad con el artículo 14; c) retirará el certificado EUCC de conformidad con el artículo 14 y expedirá un nuevo certificado EUCC con un ámbito de aplicación idéntico y un período de validez ampliado; o d) retirará el certificado EUCC de conformidad con el artículo 14 y expedirá un nuevo certificado EUCC con un ámbito de aplicación diferente.

3 El organismo de certificación podrá decidir suspender, sin demora indebida, el certificado EUCC de conformidad con el artículo 30, en espera de la adopción de medidas correctoras por parte del titular del citado certificado.

1 Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC podrá ser retirado por el organismo de certificación que lo expidió.

2 El organismo de certificación a que se refiere el apartado 1 notificará la retirada del certificado a la autoridad nacional de certificación de la ciberseguridad. Asimismo, notificará la retirada a ENISA con el fin de facilitar el desempeño de su cometido en virtud del artículo 50 del Reglamento (UE) 2019/881. Por su parte, la autoridad nacional de certificación de la ciberseguridad informará al respecto a las demás autoridades de vigilancia del mercado pertinentes.

3 El titular de un certificado EUCC podrá solicitar la retirada de dicho certificado.

1 Los perfiles de protección se evaluarán, como mínimo, con arreglo a los siguientes aspectos: a) los elementos aplicables de las normas a que se refiere el artículo 3; b) el nivel de riesgo asociado al uso previsto de los productos de TIC de que se trate de conformidad con el artículo 52 del Reglamento (UE) 2019/881 y sus funciones de seguridad que contribuyen a los objetivos de seguridad establecidos en el artículo 51 de dicho Reglamento; c) los documentos del estado de la técnica enumerados en el anexo I que resulten aplicables. Los perfiles de protección contemplados en un ámbito técnico se certificarán con arreglo a los requisitos establecidos en dicho ámbito técnico.

2 En casos excepcionales y debidamente justificados, un organismo de evaluación de la conformidad podrá certificar un perfil de protección sin aplicar los documentos del estado de la técnica pertinentes. En tales casos, informará a la autoridad nacional de certificación competente de la ciberseguridad y justificará la certificación prevista sin aplicar los documentos del estado de la técnica pertinentes, así como la metodología de evaluación propuesta. La autoridad nacional de certificación de la ciberseguridad evaluará si la certificación está justificada y, en caso de que así sea, aprobará que no se apliquen los documentos del estado de la técnica pertinentes y aprobará o modificará, cuando proceda, la metodología de evaluación que deberá aplicar el organismo de evaluación de la conformidad. Mientras esté pendiente la decisión de la autoridad nacional de certificación de la ciberseguridad, el organismo de evaluación de la conformidad no expedirá ningún certificado para el perfil de protección. La autoridad nacional de certificación de la ciberseguridad notificará, sin demora indebida, la autorización de la no aplicación de los documentos del estado de la técnica pertinentes al Grupo Europeo de Certificación de la Ciberseguridad, que podrá emitir un dictamen. La autoridad nacional de certificación de la ciberseguridad tendrá sumamente en cuenta el dictamen del Grupo Europeo de Certificación de la Ciberseguridad.

El solicitante de la certificación de un perfil de protección proporcionará al organismo de certificación y a la ITSEF, o pondrá a disposición de ambos por otros medios, toda la información necesaria para las actividades de certificación. El artículo 8, apartados 2, 3, 4 y 7, se aplicará mutatis mutandis.

1 El solicitante de la certificación proporcionará al organismo de certificación y a la ITSEF toda la información necesaria, completa y correcta.

2 Los artículos 9 y 10 se aplicarán mutatis mutandis.

3 La ITSEF evaluará si un perfil de protección es completo, coherente, sólido desde el punto de vista técnico y eficaz para el uso previsto y con respecto a los objetivos de seguridad de la categoría de productos de TIC cubierta por dicho perfil de protección.

4 Los perfiles de protección solo los certificará: a) una autoridad nacional de certificación de la ciberseguridad u otro organismo público acreditado como organismo de certificación; o b) un organismo de certificación, previa aprobación por parte de la autoridad nacional de certificación de la ciberseguridad de cada perfil de protección individual.

1 El organismo de certificación establecerá un período de validez para cada certificado EUCC.

2 Dicho período de validez será, como máximo, equivalente a la duración del perfil de protección de que se trate.

1 A petición del titular del certificado o por otros motivos justificados, el organismo de certificación podrá decidir revisar el certificado EUCC de un perfil de protección. La revisión se llevará a cabo con arreglo a las condiciones establecidas en el artículo 15. El organismo de certificación determinará el alcance de la revisión. Cuando sea necesario a efectos de la revisión, el organismo de certificación solicitará a la ITSEF que lleve a cabo una revaluación del perfil de protección certificado.

2 A partir de los resultados de la revisión y, en su caso, de la revaluación, el organismo de certificación adoptará una de las siguientes medidas: a) confirmará el certificado EUCC; b) retirará el certificado EUCC de conformidad con el artículo 20; c) retirará el certificado EUCC de conformidad con el artículo 20 y expedirá un nuevo certificado EUCC con un ámbito de aplicación idéntico y un período de validez ampliado; d) retirará el certificado EUCC de conformidad con el artículo 20 y expedirá un nuevo certificado EUCC con un ámbito de aplicación diferente.

1 Sin perjuicio de lo dispuesto en el artículo 58, apartado 8, letra e), del Reglamento (UE) 2019/881, un certificado EUCC relativo a un perfil de protección podrá ser retirado por el organismo de certificación que lo expidió. El artículo 14 se aplicará mutatis mutandis.

2 La autoridad nacional de certificación de la ciberseguridad que haya aprobado dicho certificado retirará los certificados de perfil de protección expedidos de conformidad con el artículo 17, apartado 4, letra b).

1 La autoridad nacional de certificación de la ciberseguridad autorizará a un organismo de certificación a expedir certificados EUCC con un nivel de garantía «elevado» cuando dicho organismo demuestre que, además de reunir los requisitos previstos en el artículo 60, apartado 1, y en el anexo del Reglamento (UE) 2019/881 por lo que respecta a la acreditación de organismos de evaluación de la conformidad, cumple las siguientes condiciones: a) posee los conocimientos especializados y las competencias necesarios para tomar una decisión de certificación con nivel de garantía «elevado»; b) desarrolla sus actividades de certificación en cooperación con una ITSEF autorizada de conformidad con el artículo 22; c) dispone de las competencias necesarias y ha adoptado medidas técnicas y operativas adecuadas para proteger eficazmente la información confidencial y delicada con nivel de garantía «elevado», además de los requisitos establecidos en el artículo 43.

2 La autoridad nacional de certificación de la ciberseguridad determinará si un organismo de certificación cumple todos los requisitos previstos en el apartado 1. A tal efecto, deberá llevar a cabo, como mínimo, entrevistas estructuradas y una revisión de al menos una certificación piloto realizada por el organismo de certificación de conformidad con el presente Reglamento. En su evaluación, la autoridad nacional de certificación de la ciberseguridad podrá reutilizar cualquier prueba adecuada que proceda de una autorización previa o de actividades similares concedidas en virtud: a) del presente Reglamento; b) de otro esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 49 del Reglamento (UE) 2019/881; c) de un esquema nacional a que se refiere el artículo 49 del presente Reglamento.

3 La autoridad nacional de certificación de la ciberseguridad elaborará un informe de autorización, que será objeto de una revisión por pares de conformidad con el artículo 59, apartado 3, letra d), del Reglamento (UE) 2019/881.

4 La autoridad nacional de certificación de la ciberseguridad especificará las categorías de productos de TIC y los perfiles de protección sobre los que se extiende la autorización, cuyo período de validez no podrá ser superior al período de validez de la acreditación. La autorización podrá renovarse previa solicitud, siempre que el organismo de certificación siga reuniendo los requisitos establecidos en el presente artículo. Para la renovación de la autorización, no se exigen evaluaciones piloto.

5 La autoridad nacional de certificación de la ciberseguridad retirará la autorización del organismo de certificación en caso de que este deje de cumplir las condiciones establecidas en el presente artículo. Tras la retirada de la autorización, el organismo de certificación dejará inmediatamente de promocionarse como organismo de certificación autorizado.

1 La autoridad nacional de certificación de la ciberseguridad autorizará a una ITSEF a llevar a cabo la evaluación de productos de TIC sujetos a certificación con un nivel de garantía «elevado» cuando dicha ITSEF demuestre que, además de reunir los requisitos previstos en el artículo 60, apartado 1, y en el anexo del Reglamento (UE) 2019/881 por lo que respecta a la acreditación de organismos de evaluación de la conformidad, cumple todas las condiciones siguientes: a) posee los conocimientos especializados necesarios para desempeñar las actividades de evaluación al objeto de determinar la resistencia a los ciberataques de última generación llevados a cabo por agentes con capacidades y recursos significativos; b) con respecto a los ámbitos técnicos y los perfiles de protección, que forman parte del proceso de TIC para esos productos de TIC: 1) posee los conocimientos especializados necesarios para desempeñar las actividades de evaluación específicas necesarias para determinar metódicamente la resistencia de un objeto de evaluación frente a atacantes expertos en su entorno operativo, suponiendo un potencial de ataque «moderado» o «alto» con arreglo a lo dispuesto en las normas a que se refiere el artículo 3; 2) dispone de las competencias técnicas especificadas en los documentos del estado de la técnica enumerados en el anexo I; c) dispone de las competencias necesarias y ha adoptado medidas técnicas y operativas adecuadas para proteger eficazmente la información confidencial y delicada con nivel de garantía «elevado», además de los requisitos establecidos en el artículo 43.

2 La autoridad nacional de certificación de la ciberseguridad determinará si una ITSEF cumple todos los requisitos previstos en el apartado 1. A tal efecto, deberá llevar a cabo, como mínimo, entrevistas estructuradas y una revisión de al menos una evaluación piloto realizada por la ITSEF de conformidad con el presente Reglamento.

3 En su evaluación, la autoridad nacional de certificación de la ciberseguridad podrá reutilizar cualquier prueba adecuada que proceda de una autorización previa o de actividades similares concedidas en virtud: a) del presente Reglamento; b) de otro esquema europeo de certificación de la ciberseguridad adoptado de conformidad con el artículo 49 del Reglamento (UE) 2019/881; c) de un esquema nacional a que se refiere el artículo 49 del presente Reglamento.

4 La autoridad nacional de certificación de la ciberseguridad elaborará un informe de autorización, que será objeto de una revisión por pares de conformidad con el artículo 59, apartado 3, letra d), del Reglamento (UE) 2019/881.

5 La autoridad nacional de certificación de la ciberseguridad especificará las categorías de productos de TIC y los perfiles de protección sobre los que se extiende la autorización, cuyo período de validez no podrá ser superior al período de validez de la acreditación. La autorización podrá renovarse previa solicitud, siempre que la ITSEF siga reuniendo los requisitos establecidos en el presente artículo. Para la renovación de la autorización, no deben exigirse evaluaciones piloto.

6 La autoridad nacional de certificación de la ciberseguridad retirará la autorización de la ITSEF en caso de que esta deje de cumplir las condiciones establecidas en el presente artículo. Tras la retirada de la autorización, la ITSEF dejará de promocionarse como ITSEF autorizada.

1 La autoridad nacional de certificación de la ciberseguridad notificará a la Comisión los organismos de certificación de su territorio que sean competentes para expedir certificaciones con nivel de garantía «sustancial» en virtud de su acreditación.

2 Asimismo, la autoridad nacional de certificación de la ciberseguridad notificará a la Comisión los organismos de certificación de su territorio que sean competentes para expedir certificaciones con nivel de garantía «elevado» en virtud de su acreditación y de la decisión de autorización.

3 La autoridad nacional de certificación de la ciberseguridad proporcionará, como mínimo, la siguiente información cuando notifique organismos de certificación a la Comisión: a) el nivel o niveles de garantía con los que el organismo de certificación puede expedir certificados EUCC con arreglo a sus competencias; b) la siguiente información relacionada con la acreditación: 1) fecha de la acreditación; 2) nombre y dirección del organismo de certificación; 3) país de registro del organismo de certificación; 4) número de referencia de la acreditación; 5) alcance y duración de la validez de la acreditación; 6) la dirección, la ubicación y el enlace al sitio web pertinente del organismo nacional de acreditación; c) la siguiente información relativa a la autorización de nivel «elevado»: 1) fecha de la autorización; 2) número de referencia de la autorización; 3) duración de la validez de la autorización; 4) ámbito de la autorización, incluido el nivel AVA_VAN más elevado y, en su caso, el ámbito técnico cubierto.

4 La autoridad nacional de certificación de la ciberseguridad enviará una copia de la notificación a que se refieren los apartados 1 y 2 a ENISA para la publicación de información precisa en el sitio web de certificación de la ciberseguridad en relación con la admisibilidad de los organismos de certificación.

5 La autoridad nacional de certificación de la ciberseguridad examinará sin demora indebida toda información sobre cualquier cambio en el estado de la acreditación facilitada por el organismo nacional de acreditación. En caso de retirada de la acreditación o la autorización, la autoridad nacional de certificación de la ciberseguridad informará de ello a la Comisión y podrá presentarle una solicitud en virtud del artículo 61, apartado 4, del Reglamento (UE) 2019/881.

Las obligaciones de notificación de las autoridades nacionales de certificación de la ciberseguridad establecidas en el artículo 23 también se aplicarán a las ITSEF. La notificación incluirá la dirección de la ITSEF, la acreditación válida y, en su caso, la autorización válida de dicho organismo.

1 Sin perjuicio de lo dispuesto en el artículo 58, apartado 7, del Reglamento (UE) 2019/881, la autoridad nacional de certificación de la ciberseguridad controlará el cumplimiento: a) del organismo de certificación y la ITSEF con las obligaciones que les incumben en virtud del presente Reglamento y del Reglamento (UE) 2019/881; b) de los titulares de certificados EUCC con las obligaciones que les incumben en virtud del presente Reglamento y del Reglamento (UE) 2019/881; c) de los productos de TIC certificados con los requisitos establecidos en el EUCC; d) de la garantía indicada en el certificado EUCC para abordar la evolución del panorama de amenazas.

2 La autoridad nacional de certificación de la ciberseguridad llevará a cabo sus actividades de control basándose en particular en: a) la información procedente de los organismos de certificación, los organismos nacionales de acreditación y las autoridades de vigilancia del mercado pertinentes; b) la información resultante de las auditorías e investigaciones realizadas por ella misma o por otra autoridad; c) el muestreo llevado a cabo de conformidad con el apartado 3; d) las reclamaciones recibidas.

3 La autoridad nacional de certificación de la ciberseguridad, en cooperación con otras autoridades de vigilancia del mercado, muestreará anualmente, como mínimo, el 4 % de los certificados EUCC, según determine una evaluación de riesgos. Previa solicitud y actuando en nombre de la autoridad nacional de certificación de la ciberseguridad competente, los organismos de certificación y, en caso necesario, la ITSEF asistirán a dicha autoridad en el control del cumplimiento.

4 La autoridad nacional de certificación de la ciberseguridad seleccionará la muestra de productos de TIC certificados que se inspeccionarán en función de criterios objetivos, entre ellos: a) la categoría de producto; b) los niveles de garantía de los productos; c) el titular de un certificado; d) el organismo de certificación y, en su caso, la ITSEF subcontratada; e) cualquier otra información puesta en conocimiento de la autoridad.

5 La autoridad nacional de certificación de la ciberseguridad informará a los titulares de certificados EUCC acerca de los productos de TIC seleccionados y los criterios de selección.

6 El organismo de certificación que haya certificado el producto de TIC muestreado, previa solicitud de la autoridad nacional de certificación de la ciberseguridad, con la asistencia de la respectiva ITSEF, llevará a cabo una revisión adicional con arreglo al procedimiento establecido en el anexo IV, sección IV.2, e informará de los resultados a la autoridad nacional de certificación de la ciberseguridad.

7 Cuando la autoridad nacional de certificación de la ciberseguridad tenga motivos suficientes para creer que un producto de TIC certificado ya no cumple el presente Reglamento o el Reglamento (UE) 2019/881, podrá llevar a cabo investigaciones o ejercer cualquier otra competencia de control prevista en el artículo 58, apartado 8, del Reglamento (UE) 2019/881.

8 La autoridad nacional de certificación de la ciberseguridad informará al organismo de certificación y a la ITSEF correspondientes de las investigaciones en curso relativas a los productos de TIC seleccionados.

9 Cuando la autoridad nacional de certificación de la ciberseguridad constate que una investigación en curso se refiere a productos de TIC certificados por organismos de certificación establecidos en otros Estados miembros, informará de ello a las autoridades nacionales de certificación de la ciberseguridad de los Estados miembros pertinentes con el fin de colaborar en las investigaciones, cuando proceda. Asimismo, dicha autoridad nacional de certificación de la ciberseguridad deberá notificar al Grupo Europeo de Certificación de la Ciberseguridad la realización de investigaciones transfronterizas y los resultados subsiguientes.

1 El organismo de certificación controlará: a) el cumplimiento de los titulares de certificados con las obligaciones que les incumben en virtud del presente Reglamento y del Reglamento (UE) 2019/881 en relación con los certificados EUCC expedidos por el organismo de certificación; b) el cumplimiento de los productos de TIC que haya certificado con sus respectivos requisitos de seguridad; c) la garantía indicada en los perfiles de protección certificados.

2 El organismo de certificación llevará a cabo sus actividades de control basándose en: a) la información facilitada en virtud de los compromisos del solicitante de la certificación a que se refiere el artículo 9, apartado 2; b) la información resultante de las actividades de otras autoridades de vigilancia del mercado pertinentes; c) las reclamaciones recibidas; d) la información de vulnerabilidad que pueda afectar a los productos de TIC que haya certificado.

3 La autoridad nacional de certificación de la ciberseguridad podrá elaborar normas sobre un diálogo periódico entre los organismos de certificación y los titulares de certificados EUCC al objeto de verificar el cumplimiento de los compromisos contraídos en virtud del artículo 9, apartado 2, e informar sobre dicho cumplimiento, sin perjuicio de las actividades relacionadas con otras autoridades de vigilancia del mercado pertinentes.

1 Los titulares de certificados EUCC llevarán a cabo las siguientes tareas para controlar la conformidad del producto de TIC certificado con sus requisitos de seguridad: a) control de la información de vulnerabilidad relativa al producto de TIC certificado, incluidas las dependencias conocidas por sus propios medios, pero también teniendo en cuenta: 1) la publicación o presentación de información sobre vulnerabilidad por parte de un usuario o un investigador en materia de seguridad a que se refiere el artículo 55, apartado 1, letra c), del Reglamento (UE) 2019/881; 2) la presentación de información por cualquier otra fuente; b) control de la garantía indicada en el certificado EUCC.

2 Los titulares de certificados EUCC trabajarán en cooperación con el organismo de certificación, la ITSEF y, en su caso, la autoridad nacional de certificación de la ciberseguridad, para apoyar sus actividades de control.

1 Cuando un producto de TIC certificado o un perfil de protección no sean conformes con los requisitos establecidos en el presente Reglamento y en el Reglamento (UE) 2019/881, el organismo de certificación informará al titular del certificado EUCC sobre la falta de conformidad detectada y solicitará medidas correctoras al respecto.

2 En el supuesto de que una falta de conformidad con las disposiciones del presente Reglamento pueda afectar al cumplimiento de otra legislación pertinente de la Unión que prevea la posibilidad de demostrar la presunción de conformidad con los requisitos de dicho acto jurídico mediante el certificado EUCC, el organismo de certificación informará sin demora a la autoridad nacional de certificación de la ciberseguridad, que notificará de inmediato la falta de conformidad detectada a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

3 Una vez recibida la información a que se refiere el apartado 1, el titular del certificado EUCC propondrá al organismo de certificación, dentro del plazo fijado por este, que no será superior a treinta días, las medidas correctoras necesarias para subsanar la falta de conformidad.

4 El organismo de certificación podrá suspender, sin demora indebida, el certificado EUCC en virtud del artículo 30 en caso de emergencia o cuando su titular no coopere adecuadamente con el organismo de certificación.

5 El organismo de certificación llevará a cabo una revisión en virtud de los artículos 13 y 19 con el fin de determinar si las medidas correctoras subsanan la falta de conformidad.

6 Cuando el titular del certificado EUCC no proponga medidas correctoras adecuadas durante el período a que se refiere el apartado 3, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con los artículos 14 o 20.

7 El presente artículo no se aplicará a los casos de vulnerabilidades que afecten a un producto de TIC certificado, que se tratarán con arreglo a lo dispuesto en el capítulo VI.

1 Cuando el organismo de certificación constate que: a) el titular de un certificado EUCC o el solicitante de una certificación no cumplen los compromisos y obligaciones que les incumben en virtud del artículo 9, apartado 2, el artículo 17, apartado 2, y los artículos 27 y 41; o que b) el titular de un certificado EUCC no cumple lo dispuesto en el artículo 56, apartado 8, del Reglamento (UE) 2019/881 o en el capítulo VI del presente Reglamento; fijará un plazo no superior a treinta días para que dicho titular adopte medidas correctoras.

2 Cuando el titular de un certificado EUCC no proponga medidas correctoras adecuadas durante el plazo a que se refiere el apartado 1, se procederá a suspender el certificado de conformidad con el artículo 30 o a retirarlo de conformidad con el artículo 14 y artículo 20.

3 La infracción continuada o recurrente por parte del titular de un certificado EUCC de las obligaciones que le incumben en virtud del apartado 1 dará lugar a la retirada de dicho certificado de conformidad con los artículos 14 o 20.

4 El organismo de certificación informará a la autoridad nacional de certificación de la ciberseguridad de las constataciones a que se refiere el apartado 1. Cuando el caso de incumplimiento afecte al cumplimiento de otra legislación pertinente de la Unión, la autoridad nacional de certificación de la ciberseguridad notificará de inmediato el caso de incumplimiento detectado a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

1 Cuando el presente Reglamento se refiera a la suspensión de un certificado EUCC, el organismo de certificación procederá a suspender dicho certificado durante un período adecuado a las circunstancias que hayan dado lugar a la suspensión, que no será superior a cuarenta y dos días. El período de suspensión comenzará al día siguiente de la decisión del organismo de certificación. La suspensión no afectará a la validez del certificado.

2 El organismo de certificación notificará la suspensión al titular del certificado y a la autoridad nacional de certificación de la ciberseguridad sin demora indebida y expondrá los motivos de su decisión, las medidas solicitadas que deben adoptarse y el período de suspensión.

3 Los titulares de la certificación comunicarán a los compradores de los productos de TIC afectados la suspensión y los motivos aducidos al respecto por el organismo de certificación, excepto aquellas partes de los motivos que contengan información delicada o cuya divulgación suponga un riesgo para la seguridad. El titular del certificado también pondrá esta información a disposición del público.

4 Cuando otra legislación pertinente de la Unión establezca una presunción de conformidad basada en los certificados expedidos en virtud de las disposiciones del presente Reglamento, la autoridad nacional de certificación de la ciberseguridad informará de la suspensión a la autoridad de vigilancia del mercado competente en relación con esa otra legislación pertinente de la Unión.

5 La suspensión de un certificado se notificará a ENISA de conformidad con el artículo 42, apartado 3.

6 En casos debidamente justificados, la autoridad nacional de certificación de la ciberseguridad podrá autorizar una prórroga del período de suspensión de un certificado EUCC. El período total de suspensión no podrá ser superior a un año.

1 Cuando un organismo de certificación incumpla sus obligaciones, o el organismo de certificación pertinente detecte un incumplimiento por parte de una ITSEF, la autoridad nacional de certificación de la ciberseguridad deberá, sin demora indebida: a) determinar, con la ayuda de la ITSEF interesada, los certificados EUCC potencialmente afectados; b) en caso necesario, solicitar que se lleven a cabo actividades de evaluación de uno o varios productos de TIC o perfiles de protección, bien por parte de la ITSEF que realizó la evaluación, bien por cualquier otra ITSEF acreditada y, en su caso, autorizada, que pueda estar en mejores condiciones técnicas para contribuir a dicha determinación; c) analizar los efectos del incumplimiento; d) notificar el incumplimiento al titular del certificado EUCC afectado.

2 A partir de las medidas a que se refiere el apartado 1, el organismo de certificación adoptará una de las siguientes decisiones con respecto a cada certificado EUCC afectado: a) mantener el certificado EUCC inalterado; b) retirar el certificado EUCC de conformidad con el artículo 14 o artículo 20 y, en su caso, expedir un nuevo certificado EUCC.

3 Asimismo, a partir de las medidas a que se refiere el apartado 1, la autoridad nacional de certificación de la ciberseguridad deberá: a) en caso necesario, informar al organismo nacional de acreditación del incumplimiento por parte del organismo de certificación o su respectiva ITSEF; b) cuando proceda, determinar las posibles repercusiones en la autorización.

El presente capítulo se aplica a los productos de TIC para los que se haya expedido un certificado EUCC.

1 El titular de un certificado EUCC establecerá y mantendrá todos los procedimientos necesarios de gestión de vulnerabilidades con arreglo a las normas previstas en la presente sección y, en su caso, complementados por los procedimientos establecidos en la norma EN ISO/IEC 30111.

2 El titular de un certificado EUCC mantendrá y publicará métodos adecuados para recibir información sobre vulnerabilidades relacionadas con sus productos de fuentes externas, en particular de usuarios, organismos de certificación e investigadores en materia de seguridad.

3 Cuando un titular de un certificado EUCC detecte o reciba información sobre una posible vulnerabilidad que afecte a un producto de TIC certificado, la registrará y llevará a cabo un análisis del impacto de la vulnerabilidad.

4 Cuando una posible vulnerabilidad afecte a un producto compuesto, el titular del certificado EUCC informará de esa posible vulnerabilidad al titular de los certificados EUCC dependientes.

5 En respuesta a una solicitud razonable por parte del organismo de certificación que haya expedido el certificado, el titular de un certificado EUCC le transmitirá toda la información pertinente sobre posibles vulnerabilidades.

1 El análisis del impacto de la vulnerabilidad se referirá al objetivo de la evaluación y a las declaraciones de garantía contenidas en el certificado. El análisis del impacto de la vulnerabilidad se llevará a cabo en un plazo adecuado en función de en qué medida es aprovechable y grave la posible vulnerabilidad del producto de TIC certificado.

2 Cuando proceda, se calculará el potencial de ataque con arreglo a la metodología pertinente prevista en las normas a que se refiere el artículo 3 y los documentos del estado de la técnica pertinentes enumerados en el anexo I, con el fin de determinar en qué medida es aprovechable la vulnerabilidad. A tal efecto, se tendrá en cuenta el nivel AVA_VAN del certificado EUCC.

1 El titular elaborará un informe del análisis del impacto de la vulnerabilidad cuando en este se revele que la vulnerabilidad puede repercutir en la conformidad del producto de TIC con su certificado.

2 El informe de la evaluación de impacto de la vulnerabilidad contendrá un análisis de los siguientes elementos: a) el impacto de la vulnerabilidad en el producto de TIC certificado; b) los posibles riesgos asociados a la proximidad o disponibilidad de un ataque; c) si es posible subsanar la vulnerabilidad; d) en caso de que pueda subsanarse la vulnerabilidad, las posibles resoluciones al respecto.

3 El informe de la evaluación de impacto de la vulnerabilidad contendrá, en su caso, información sobre las maneras en que puede aprovecharse la vulnerabilidad. Dicha información se tratará con arreglo a las medidas de seguridad adecuadas para proteger su confidencialidad y garantizar, en caso necesario, su limitada difusión.

4 El titular del certificado EUCC transmitirá sin demora indebida un informe del análisis del impacto de la vulnerabilidad al organismo de certificación o a la autoridad nacional de certificación de la ciberseguridad de conformidad con el artículo 56, apartado 8, del Reglamento (UE) 2019/881.

5 Si el informe del análisis del impacto de la vulnerabilidad determina que la vulnerabilidad no es residual en el sentido de las normas a las que se refiere el artículo 3 y que puede subsanarse, se aplicará el artículo 36.

6 Si el informe del análisis del impacto de la vulnerabilidad aprobado por el organismo de certificación determina que no puede subsanarse la vulnerabilidad, se procederá a retirar el certificado EUCC de conformidad con el artículo 14.

7 El titular del certificado EUCC supervisará cualquier vulnerabilidad residual para garantizar que no pueda aprovecharse en caso de que se produzcan cambios en el entorno operativo.

El titular de un certificado EUCC presentará al organismo de certificación una propuesta de medidas correctoras adecuadas. El organismo de certificación revisará el certificado de conformidad con el artículo 13. El alcance de dicha revisión vendrá determinado por la medida de subsanación de la vulnerabilidad que se haya propuesto.

1 La información facilitada por el organismo de certificación a la autoridad nacional de certificación de la ciberseguridad incluirá todos los elementos necesarios para que la autoridad nacional de certificación de la ciberseguridad conozca el impacto de la vulnerabilidad, las modificaciones que deben introducirse en el producto de TIC y, en su caso, cualquier información del organismo de certificación sobre las repercusiones más amplias que la vulnerabilidad puede tener en otros productos de TIC certificados.

2 La información facilitada en virtud del apartado 1 no contendrá datos sobre las maneras de aprovechar la vulnerabilidad. Esta disposición se entiende sin perjuicio de las competencias de investigación de la autoridad nacional de certificación de la ciberseguridad.

1 La autoridad nacional de certificación de la ciberseguridad compartirá la información pertinente recibida en virtud del artículo 37 con otras autoridades nacionales de certificación de la ciberseguridad y ENISA.

2 Otras autoridades nacionales de certificación de la ciberseguridad podrán decidir seguir analizando la vulnerabilidad o, tras informar al titular del certificado EUCC, solicitar a los organismos de certificación pertinentes que determinen si la vulnerabilidad puede afectar a otros productos de TIC certificados.

Tras la retirada del certificado, el titular del certificado EUCC divulgará y registrará toda vulnerabilidad conocida públicamente y subsanada en el producto de TIC en la base de datos europea de vulnerabilidades, creada de conformidad con el artículo 12 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo o en otros registros en línea a que se refiere el artículo 55, apartado 1, letra d), del Reglamento (UE) 2019/881.

1 Las ITSEF y los organismos de certificación mantendrán un sistema de registro, que incluirá todos los documentos presentados en relación con cada evaluación y certificación que realicen.

2 Los organismos de certificación y las ITSEF conservarán los registros de manera segura durante el período necesario para los fines del presente Reglamento y, como mínimo, durante los cinco años siguientes a la retirada del correspondiente certificado EUCC. Cuando el organismo de certificación haya expedido un nuevo certificado EUCC de conformidad con el artículo 13, apartado 2, letra c), conservará la documentación del certificado EUCC retirado junto con el nuevo certificado EUCC y durante el mismo tiempo.

1 La información a que se refiere el artículo 55 del Reglamento (UE) 2019/881 estará disponible en un lenguaje fácilmente accesible para los usuarios.

2 Los titulares de certificados EUCC conservarán de forma segura durante el período necesario para los fines del presente Reglamento y, como mínimo, durante los cinco años siguientes a la retirada de los correspondientes certificados EUCC los siguientes elementos: a) registros de la información facilitada al organismo de certificación y a la ITSEF durante el proceso de certificación, b) muestra del producto de TIC certificado.

3 Cuando el organismo de certificación haya expedido un nuevo certificado EUCC de conformidad con el artículo 13, apartado 2, letra c), el titular conservará la documentación del certificado EUCC retirado junto con el nuevo certificado EUCC y durante el mismo tiempo.

4 A petición del organismo de certificación o de la autoridad nacional de certificación de la ciberseguridad, los titulares de certificados EUCC pondrán a disposición los registros y las copias a que se refiere el apartado 2.

1 ENISA publicará en el sitio web a que se refiere el artículo 50, apartado 1, del Reglamento (UE) 2019/881 la siguiente información: a) todos los certificados EUCC; b) información sobre el estado de un certificado EUCC, en particular si está en vigor, si se ha suspendido o retirado, o si ha expirado; c) los informes de certificación correspondientes a cada certificado EUCC; d) una lista de los organismos de evaluación de la conformidad acreditados; e) una lista de los organismos de evaluación de la conformidad autorizados; f) los documentos del estado de la técnica enumerados en el anexo I; g) los dictámenes del Grupo Europeo de Certificación de la Ciberseguridad a que se refiere el artículo 62, apartado 4, letra c), del Reglamento (UE) 2019/881; h) los informes de evaluación por pares emitidos de conformidad con el artículo 47.

2 La información a que se refiere el apartado 1 deberá publicarse, como mínimo, en inglés.

3 Los organismos de certificación y, en su caso, las autoridades nacionales de certificación de la ciberseguridad informarán sin demora a ENISA de sus decisiones que afecten al contenido o al estado de un certificado EUCC a que se refiere el apartado 1, letra b).

4 ENISA velará por que la información publicada de conformidad con el apartado 1, letras a), b) y c), determine claramente las versiones de cada producto de TIC certificado que se encuentran cubiertas por el certificado EUCC.

Los organismos de evaluación de la conformidad, las autoridades nacionales de certificación de la ciberseguridad, el Grupo Europeo de Certificación de la Ciberseguridad, ENISA, la Comisión y todas las demás partes velarán por la seguridad y protección de los secretos empresariales y otra información confidencial, incluidos los secretos comerciales, así como por la preservación de los derechos de propiedad intelectual e industrial, y adoptarán las medidas técnicas y organizativas necesarias y adecuadas.

1 Los terceros países que deseen certificar sus productos con arreglo al presente Reglamento y que dicha certificación se reconozca en la Unión celebrarán un acuerdo de reconocimiento mutuo con esta última.

2 El acuerdo de reconocimiento mutuo abarcará los niveles de garantía aplicables a los productos de TIC certificados y, en su caso, a los perfiles de protección.

3 Los acuerdos de reconocimiento mutuo a que se refiere el apartado 1 solo podrán celebrarse con terceros países que cumplan las siguientes condiciones: a) disponer de una autoridad que: 1) sea un organismo público, independiente de las entidades que supervise y controle en materia de estructura organizativa y jurídica, recursos financieros y toma de decisiones; 2) cuente con las competencias adecuadas de supervisión y control para llevar a cabo investigaciones y esté facultada para adoptar las medidas correctoras oportunas para garantizar el cumplimiento; 3) posea un régimen sancionador eficaz, proporcionado y disuasorio para garantizar el cumplimiento; 4) acepte colaborar con el Grupo Europeo de Certificación de la Ciberseguridad y ENISA para intercambiar las mejores prácticas y la evolución pertinente en el ámbito de la certificación de la ciberseguridad y procurar una interpretación uniforme de los criterios y métodos de evaluación actualmente aplicables, entre otras cosas, mediante la utilización de documentación armonizada equivalente a los documentos del estado de la técnica enumerados en el anexo I; b) contar con un organismo de acreditación independiente que lleve a cabo acreditaciones con arreglo a normas equivalentes a las mencionadas en el Reglamento (CE) n.o 765/2008; c) comprometerse a que los procesos y procedimientos de evaluación y certificación se lleven a cabo con la debida profesionalidad, teniendo en cuenta el cumplimiento de las normas internacionales a que se refiere el presente Reglamento, en particular en su artículo 3; d) tener la capacidad de notificar vulnerabilidades no detectadas anteriormente y haber establecido un procedimiento adecuado de gestión y divulgación de vulnerabilidades; e) haber establecido procedimientos que le permitan presentar y tramitar eficazmente las reclamaciones y ofrecer vías de recurso efectivas a los reclamantes; f) establecer un mecanismo de cooperación con otros organismos de la Unión y de los Estados miembros competentes en materia de certificación de la ciberseguridad en virtud del presente Reglamento, que comprenda la facilitación de información sobre posibles incumplimientos de los certificados, el seguimiento de la evolución pertinente en el ámbito de la certificación y la adopción de un enfoque conjunto con respecto al mantenimiento y la revisión de las certificaciones.

4 Además de las condiciones establecidas en el apartado 3, para poder celebrar un acuerdo de reconocimiento mutuo a que se refiere el apartado 1 que abarque el nivel de garantía «elevado» con un tercer país, también deberán cumplirse las siguientes condiciones: a) que el tercer país disponga de una autoridad independiente y pública de certificación de la ciberseguridad que lleve a cabo o delegue las actividades de evaluación necesarias para permitir la certificación con un nivel de garantía «elevado» que sean equivalentes a los requisitos y procedimientos establecidos para las autoridades nacionales de ciberseguridad en el presente Reglamento y en el Reglamento (UE) 2019/881; b) que el acuerdo de reconocimiento mutuo establezca un mecanismo conjunto equivalente a la evaluación por pares para la certificación EUCC con el fin de mejorar el intercambio de prácticas y resolver conjuntamente los problemas planteados en el ámbito de la evaluación y la certificación.

1 Los organismos de certificación que expidan certificados EUCC con un nivel de garantía «elevado» se someterán a una evaluación por pares de forma periódica y, como mínimo, cada cinco años. Los diferentes tipos de evaluación por pares se enumeran en el anexo VI.

2 El Grupo Europeo de Certificación de la Ciberseguridad elaborará y mantendrá un calendario de evaluaciones por pares que garantice el respeto de dicha periodicidad. Salvo en casos debidamente justificados, las evaluaciones por pares se llevarán a cabo in situ.

3 La evaluación por pares podrá basarse en pruebas recabadas en el transcurso de anteriores evaluaciones por pares o procedimientos equivalentes del organismo de certificación sometido a dicha evaluación o la autoridad nacional de certificación de la ciberseguridad, siempre que: a) los resultados no tengan más de cinco años; b) los resultados vayan acompañados de una descripción de los procedimientos de evaluación por pares establecidos para dicho esquema cuando se refieran a una evaluación por pares realizada con arreglo a otro esquema de certificación; c) el informe de evaluación por pares a que se refiere el artículo 47 especifique qué resultados se han reutilizado con o sin otra evaluación.

4 Cuando una evaluación por pares abarque un ámbito técnico, también se evaluará la ITSEF interesada.

5 El organismo de certificación sometido a la evaluación por pares y, en caso necesario, la autoridad nacional de certificación de la ciberseguridad velarán por que toda la información pertinente se ponga a disposición del equipo de evaluación por pares.

6 La evaluación por pares será llevada a cabo por un equipo de evaluación por pares constituido de conformidad con el anexo VI.

1 Durante la fase preparatoria, los miembros del equipo de evaluación por pares revisarán la documentación del organismo de certificación, que abarcará sus políticas y procedimientos, incluido el uso de documentos del estado de la técnica.

2 Durante la fase de visita de las instalaciones, el equipo de evaluación por pares evaluará la competencia técnica del organismo y, en su caso, la competencia de la ITSEF que haya realizado, como mínimo, una evaluación de productos de TIC cubierta por la evaluación por pares.

3 La duración de la fase de visita de las instalaciones podrá ampliarse o reducirse en función de factores tales como la posibilidad de reutilizar pruebas y resultados de anteriores evaluaciones por pares o el número de ITSEF y de ámbitos técnicos para los que el organismo de certificación expide certificados.

4 Si procede, el equipo de evaluación por pares determinará la competencia técnica de cada ITSEF mediante la visita de su laboratorio o laboratorios técnicos y la entrevista de sus evaluadores en relación con el ámbito técnico y los métodos de ataque específicos conexos.

5 En la fase de información, el equipo de evaluación documentará sus constataciones en un informe de evaluación por pares que contenga un dictamen y, en su caso, una lista de las faltas de conformidad observadas, calificadas individualmente con su correspondiente nivel de criticidad.

6 El informe de evaluación por pares deberá debatirse en primer lugar con el organismo de certificación sometido a dicha evaluación. Tras estos debates, el organismo de certificación sometido a la evaluación por pares establecerá un calendario de las medidas que deben adoptarse para abordar las constataciones.

1 El equipo de evaluación por pares proporcionará al organismo de certificación sometido a dicha evaluación un proyecto de informe de evaluación por pares.

2 El organismo de certificación sometido a la evaluación por pares presentará al equipo de evaluación por pares sus observaciones acerca de las constataciones y una lista de compromisos para subsanar las deficiencias detectadas en el citado proyecto de informe.

3 El equipo de evaluación por pares presentará al Grupo Europeo de Certificación de la Ciberseguridad un informe final de evaluación por pares, que contendrá asimismo las observaciones y los compromisos formulados por el organismo de certificación sometido a dicha evaluación. El equipo de evaluación por pares también incluirá su postura sobre las observaciones y sobre si los compromisos contraídos son suficientes para subsanar las deficiencias detectadas.

4 En caso de que el informe de evaluación por pares detecte faltas de conformidad, el Grupo Europeo de Certificación de la Ciberseguridad podrá fijar un plazo adecuado para que el organismo de certificación sometido a la evaluación por pares las subsane.

5 El Grupo Europeo de Certificación de la Ciberseguridad adoptará un dictamen sobre el informe de evaluación por pares: a) cuando el informe de evaluación por pares no detecte faltas de conformidad o cuando el organismo de certificación sometido a dicha evaluación las haya subsanado adecuadamente, el Grupo Europeo de Certificación de la Ciberseguridad podrá emitir un dictamen favorable y todos los documentos pertinentes se publicarán en el sitio web de certificación de ENISA; b) cuando el organismo de certificación sometido a la evaluación por pares no subsane adecuadamente las faltas de conformidad dentro del plazo fijado, el Grupo Europeo de Certificación de la Ciberseguridad podrá emitir un dictamen negativo que se publicará en el sitio web de certificación de ENISA junto con el informe de evaluación por pares y todos los documentos pertinentes.

6 Antes de la publicación del dictamen, se eliminará de los documentos que vayan a publicarse toda información delicada, personal o de dominio privado.

1 La Comisión podrá solicitar al Grupo Europeo de Certificación de la Ciberseguridad que adopte un dictamen con vistas al mantenimiento del EUCC y que lleve a cabo los trabajos preparatorios necesarios.

2 El Grupo Europeo de Certificación de la Ciberseguridad podrá adoptar un dictamen para aprobar documentos del estado de la técnica.

3 Los documentos del estado de la técnica que hayan sido aprobados por el Grupo Europeo de Certificación de la Ciberseguridad serán publicados por ENISA.

1 De conformidad con el artículo 57, apartado 1, del Reglamento (UE) 2019/881 y sin perjuicio de lo dispuesto en el artículo 57, apartado 3, de dicho Reglamento, todos los esquemas nacionales de certificación de la ciberseguridad y los procedimientos correspondientes para los productos y procesos de TIC cubiertos por el EUCC dejarán de surtir efectos transcurridos doce meses desde la entrada en vigor del presente Reglamento.

2 No obstante lo dispuesto en el artículo 50, podrán iniciarse procesos de certificación conforme a un esquema nacional de certificación de la ciberseguridad en un plazo de doce meses a partir de la entrada en vigor del presente Reglamento, siempre que finalicen a más tardar veinticuatro meses después de dicha entrada en vigor.

3 Los certificados expedidos en virtud de esquemas nacionales de certificación de la ciberseguridad podrán ser objeto de revisión. Los nuevos certificados que sustituyan a los certificados revisados se expedirán de conformidad con el presente Reglamento.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 27 de febrero de 2025. El capítulo IV y el anexo V se aplicarán a partir de la fecha de entrada en vigor del presente Reglamento.