Regolamento (UE) 2024/3143

Regolamento di esecuzione (UE) 2024/3143 della Commissione

Il regolamento attua l’articolo 61, paragrafo 5, del regolamento (UE) 2019/881 (cybersecurity Act) e mira a uniformare le notifiche degli organismi di valutazione della conformità nell’ambito dei sistemi europei di certificazione della cibersicurezza. La Commissione evidenzia, nei considerando, l’esigenza di un approccio armonizzato, anche in vista dell’applicazione del primo sistema EUCC, e valorizza l’uso dello strumento elettronico di notifica della decisione n. 768/2008/CE.

Contesto e ragioni dell’intervento

Il regolamento nasce per rendere più chiari e omogenei gli adempimenti delle NCCA quando notificano alla Commissione gli organismi accreditati e, se del caso, autorizzati a rilasciare certificati europei di cibersicurezza. I considerando sottolineano che la notifica è indice di affidabilità dell’organismo e che l’elenco pubblico deve restare accurato e aggiornato, così da rispecchiare in modo fedele il mantenimento dei requisiti nel tempo.

Ambito soggettivo e oggettivo

La disciplina riguarda le autorità nazionali di certificazione della cibersicurezza degli Stati membri e, per loro tramite, gli organismi di valutazione della conformità operanti nei sistemi europei di certificazione. Il regolamento copre la notifica iniziale, le successive modifiche, i casi di limitazione, sospensione o revoca della notifica e la conservazione dei registri in caso di cessazione dell’attività dell’organismo notificato.

Modalità di notifica

L’articolo 2 dispone che la notifica avvenga tramite lo strumento elettronico di notifica elaborato e gestito dalla Commissione, già previsto dalla decisione n. 768/2008/CE. La notifica deve contenere tutte le informazioni elencate nell’allegato, incluse quelle sul sistema di certificazione, sull’NCCA, sull’organismo notificato, sull’accreditamento e, se del caso, sull’autorizzazione.

Gestione dell’elenco e identificazione degli organismi

Ai sensi dell’articolo 3, la Commissione attribuisce a ciascun organismo notificato un numero di identificazione univoco, valido anche in presenza di più notifiche in diversi sistemi o atti dell’Unione. L’elenco degli organismi notificati è pubblicato nello strumento elettronico e deve riportare i numeri di identificazione e le attività autorizzate; ENISA deve inoltre rendere disponibili le informazioni sul proprio sito dedicato ai sistemi europei di certificazione della cibersicurezza.

Aggiornamento delle notifiche e controlli di conformità

L’articolo 4 impone alle NCCA di notificare senza indebito ritardo ogni modifica della notifica. Se, in cooperazione con l’organismo nazionale di accreditamento, emerge che l’organismo notificato non soddisfa più i requisiti o non adempie più gli obblighi applicabili, l’NCCA deve limitare, sospendere o revocare la notifica in base alla gravità del caso e informare tempestivamente la Commissione. I considerando richiamano anche il ruolo delle valutazioni inter pares e delle segnalazioni di altre NCCA, della Commissione o dei portatori di interessi nel rilevare eventuali criticità di competenza o conformità.

Conservazione dei registri

In caso di limitazione, sospensione o revoca della notifica, oppure se l’organismo cessa l’attività, l’NCCA deve adottare misure appropriate per assicurare la conservazione sicura dei registri per il periodo richiesto dal pertinente sistema europeo di certificazione della cibersicurezza. Il regolamento richiama espressamente, nei considerando, l’esigenza di tutela della tracciabilità documentale come parte integrante del sistema di certificazione.

Allegato: contenuto minimo della notifica

L’allegato è particolarmente rilevante per gli operatori, perché specifica nel dettaglio il corredo informativo da trasmettere: nome del sistema di certificazione, livelli di affidabilità e relativa procedura di valutazione; ambito di applicazione; dati identificativi e di contatto della NCCA e dell’organismo notificato; dati di accreditamento e dell’organismo nazionale di accreditamento; eventuale autorizzazione e autorità competente; informazioni aggiuntive richieste dal sistema e documenti giustificativi.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione in Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri, senza necessità di recepimento.