1) V čl. 1 odst. 1 prvním pododstavci se písmeno b) nahrazuje tímto:

• „b) rámec pro zavedení evropských schémat certifikace kybernetické bezpečnosti, jehož účelem je zajistit odpovídající úroveň kybernetické bezpečnosti produktů, služeb a procesů IKT a řízených bezpečnostních služeb v Unii a zabránit roztříštění vnitřního trhu, pokud jde o schémata certifikace kybernetické bezpečnosti v Unii.“

2) Článek 2 se mění takto:

• a) body 9, 10 a 11 se nahrazují tímto:
  • „9) ‚evropským schématem certifikace kybernetické bezpečnosti‘ komplexní soubor pravidel, technických požadavků, norem a postupů, které jsou stanoveny na úrovni Unie a které se uplatňují na certifikaci nebo posuzování shody určitých produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb;
  • 10) ‚vnitrostátním schématem certifikace kybernetické bezpečnosti‘ komplexní soubor pravidel, technických požadavků, norem a postupů, které vyvinuly a přijaly vnitrostátní veřejné orgány, a které se uplatňují na certifikaci nebo na posuzování shody produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb spadajících do oblasti působnosti konkrétního schématu;
  • 11) ‚evropským certifikátem kybernetické bezpečnosti‘ dokument vydaný příslušným orgánem a osvědčující, že byl hodnocen soulad daného produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby s konkrétními bezpečnostními požadavky stanovenými v evropském schématu certifikace kybernetické bezpečnosti;“
• b) vkládá se nový bod, který zní:
  • „14a) ‚řízenou bezpečnostní službou‘ služba poskytovaná třetí straně spočívající v provádění činností souvisejících s řízením kybernetických bezpečnostních rizik nebo v poskytování pomoci při takových činnostech, jako je řešení incidentů, penetrační testování, bezpečnostní audity a konzultační činnost, včetně odborného poradenství, které souvisí s technickou podporou;“
• c) body 20, 21 a 22 se nahrazují tímto:
  • „20) ‚technickou specifikací‘ dokument, který předepisuje technické požadavky, které má produkt, služba nebo proces IKT nebo řízená bezpečnostní služba splňovat, nebo postup posuzování shody produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby;
  • 21) ‚úrovní záruky‘ podklad pro důvěru, že produkt, služba nebo proces IKT nebo řízená bezpečnostní služba splňuje bezpečnostní požadavky konkrétního evropského schématu certifikace kybernetické bezpečnosti, přičemž uvádí, na jakou úroveň bylo hodnocení produktu, služby nebo procesu IKT nebo řízená bezpečnostní služba provedeno, avšak jako taková neměří bezpečnost dotčeného produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby;
  • 22) ‚vlastním posuzováním shody‘ úkon prováděný výrobcem nebo poskytovatelem produktů, služeb, procesů IKT nebo řízených bezpečnostních služeb, jímž se vyhodnocuje, zda tyto produkty, služby nebo procesy IKT nebo řízené bezpečnostní služby splňují požadavky konkrétního evropského schématu certifikace kybernetické bezpečnosti;“.

3) V článku 4 se odstavec 6 nahrazuje tímto:

Agentura ENISA prosazuje využívání evropské certifikace kybernetické bezpečnosti, aby se zabránilo roztříštění vnitřního trhu. S cílem zvýšit transparentnost kybernetické bezpečnosti produktů, služeb a procesů IKT a řízených bezpečnostních služeb, a posílit tak důvěru v digitální vnitřní trh a jeho konkurenceschopnost, přispívá agentura ENISA k zavedení a správě evropského rámce pro certifikaci kybernetické bezpečnosti v souladu s hlavou III tohoto nařízení.“

4) Článek 8 se mění takto:

• a) odstavec 1 se mění takto:
  • i) návětí se nahrazuje tímto:

    Agentura ENISA podporuje a prosazuje tvorbu a provádění politiky Unie v oblasti certifikace kybernetické bezpečnosti produktů, služeb a procesů IKT a řízených bezpečnostních služeb, jak je stanoveno v hlavě III tohoto nařízení, tím, že:“

  • ii) písmeno b) se nahrazuje tímto:
    • „b) vypracovává návrhy evropských schémat certifikace kybernetické bezpečnosti (dále jen ‚návrhy schémat‘) pro produkty, služby a procesy IKT a řízené bezpečnostní služby v souladu s článkem 49“

    ;

• b) odstavec 3 se nahrazuje tímto:

  Agentura ENISA ve spolupráci s vnitrostátními orgány certifikace kybernetické bezpečnosti a průmyslovým odvětvím oficiálním, strukturovaným a transparentním způsobem sestavuje a zveřejňuje pokyny a vypracovává osvědčené postupy týkající se požadavků na kybernetickou bezpečnost produktů, služeb a procesů IKT a řízených bezpečnostních služeb.“

  ;

• c) odstavec 5 se nahrazuje tímto:

  Agentura ENISA usnadňuje stanovení a zavádění evropských a mezinárodních norem pro řízení rizik a pro bezpečnost produktů, služeb a procesů IKT a řízených bezpečnostních služeb.“

5) Článek 46 se nahrazuje tímto:

Zřizuje se evropský rámec pro certifikaci kybernetické bezpečnosti s cílem zlepšit podmínky fungování vnitřního trhu tím, že dojde ke zvýšení úrovně kybernetické bezpečnosti v Unii a umožní harmonizovaný přístup k evropským schématům certifikace kybernetické bezpečnosti na úrovni Unie, a to s výhledem na vytvoření jednotného digitálního trhu s produkty, službami, procesy IKT a řízenými bezpečnostními službami.

Evropský rámec pro certifikaci kybernetické bezpečnosti poskytne mechanismus pro vytváření evropských schémat certifikace kybernetické bezpečnosti a pro osvědčování toho, že produkty, služby a procesy IKT hodnocené v souladu s takovými schématy splňují stanovené bezpečnostní požadavky, pokud jde o ochranu dostupnosti, autenticity, integrity nebo důvěrnosti uchovávaných, předávaných či zpracovávaných údajů nebo funkcí či služeb nabízených nebo přístupných prostřednictvím těchto produktů, služeb a procesů během celého jejich životního cyklu. Kromě toho osvědčí, že řízené bezpečnostní služby, které byly hodnoceny v souladu s těmito schématy, splňují stanovené bezpečnostní požadavky, pokud jde o ochranu dostupnosti, autenticity, integrity a důvěrnosti údajů, které jsou v souvislosti s poskytováním těchto služeb předmětem přístupu, zpracování, ukládání či předávání, a že tyto služby jsou trvale poskytovány s nezbytnými kompetencemi, odborností a zkušenostmi, a to zaměstnanci s dostatečnou a odpovídající úrovní příslušných technických znalostí a profesní integrity.“

6) Článek 47 se mění takto:

• a) odstavec 2 se nahrazuje tímto:

  Průběžný pracovní program Unie obsahuje zejména seznam produktů, služeb a procesů IKT či jejich kategorií a řízených bezpečnostních služeb, pro něž by mohlo být zařazení do oblasti působnosti evropského schématu kybernetické bezpečnosti prospěšné.“

  ;

• b) odstavec 3 se mění takto:
  • i) návětí se nahrazuje tímto:

    Zařazení každého konkrétního produktu, služby či procesu IKT či jejich kategorií nebo řízených bezpečnostních služeb do průběžného pracovního programu Unie musí být podloženo jedním či více z následujících důvodů:“

    ;

  • ii) písmeno a) se nahrazuje tímto:
    • „a) dostupnost a rozvoj vnitrostátních schémat certifikace kybernetické bezpečnosti vztahujících se na konkrétní kategorii produktů, služeb nebo procesů IKT nebo řízených bezpečnostních služeb, zejména pokud jde o riziko roztříštěnosti;“
  • iii) vkládá se nové písmeno, které zní:
    • „(ca) technologický vývoj a dostupnost a rozvoj mezinárodních schémat certifikace kybernetické bezpečnosti a mezinárodních norem a standardů používaných v tomto odvětví;“.

7) Článek 49 se mění takto:

• a) odstavce 1 až 4 se nahrazují tímto:

  Agentura ENISA na základě žádosti Komise podle článku 48 vypracuje návrh schématu, který splňuje příslušné požadavky stanovené v článcích 51, 51a, 52 a 54.

  Agentura ENISA může na základě žádosti Evropské skupiny pro certifikaci kybernetické bezpečnosti podle čl. 48 odst. 2 vypracovat návrh schématu, který splňuje příslušné požadavky stanovené v článcích 51, 51a, 52 a 54. Pokud agentura ENISA takovou žádost odmítne, poskytne k tomu odůvodnění. Každé rozhodnutí o odmítnutí žádosti přijímá správní rada.

  Při vypracovávání návrhu schématu agentura ENISA konzultuje včas všechny příslušné zúčastněné strany prostřednictvím formálních, otevřených, transparentních a inkluzivních konzultačních postupů. Při předávání návrhu schématu Komisi podle odstavce 6 poskytne agentura ENISA informace o způsobu, jakým zajistila soulad s tímto odstavcem.

  Pro každý návrh schématu agentura ENISA zřídí ad hoc pracovní skupinu v souladu s čl. 20 odst. 4, která agentuře ENISA poskytuje konkrétní poradenství a odborné poznatky. Podle potřeby, a aniž jsou dotčeny postupy a prostor pro uvážení stanovené v čl. 20 odst. 4 jsou součástí ad hoc pracovních skupin odborníci z orgánů veřejné správy členských států, orgánů, institucí a jiných subjektů Unie a soukromého sektoru.“

  ;

• b) odstavec 7 se nahrazuje tímto:

  Na základě návrhu schématu vypracovaného agenturou ENISA může Komise přijmout prováděcí akty, kterými stanoví, že evropské schéma certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT a řízené bezpečnostní služby, splňuje relevantní požadavky stanovené v článcích 51, 51a, 52 a 54. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 66 odst. 2.“

8) Vkládá se nový článek, který zní:

Komise zveřejní informace o své žádosti agentuře ENISA, aby vypracovala návrh schématu nebo přezkoumala stávající evropské schéma certifikace kybernetické bezpečnosti uvedený v článku 48.

V průběhu vypracovávání návrhu schématu agenturou ENISA podle článku 49 mohou Evropský parlament, Rada nebo oba požádat Komisi coby předsedu Evropské skupiny pro certifikaci kybernetické bezpečnosti (ECCG) a agenturu ENISA, aby čtvrtletně předkládaly příslušné informace o návrhu schématu. Na žádost Evropského parlamentu nebo Rady může agentura ENISA po dohodě s Komisí, a aniž je dotčen článek 27, zpřístupnit Evropskému parlamentu a Radě příslušné části návrhu schématu způsobem, který odpovídá požadované úrovni důvěrnosti, a případně omezeným způsobem.

S cílem posílit dialog mezi orgány Unie a přispět k formálnímu, otevřenému, transparentnímu a inkluzivnímu konzultačnímu procesu mohou Evropský parlament, Rada, nebo oba vyzvat Komisi a agenturu ENISA, aby projednaly záležitosti týkající se fungování evropských schémat certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT nebo řízené bezpečnostní služby.

Komise při hodnocení tohoto nařízení podle článku 67 případně zohlední skutečnosti vyplývající z názorů vyjádřených Evropským parlamentem a Radou k záležitostem uvedeným v odstavci 3 tohoto článku.“

9) Článek 51 se mění takto:

• a) název se nahrazuje tímto:

  ;

• b) úvodní věta se nahrazuje tímto:

  „Evropské schéma certifikace kybernetické bezpečnosti pro produkty, služby nebo procesy IKT musí být navrženo tak, aby v příslušných případech bylo dosaženo alespoň těchto bezpečnostních cílů:“.

10) Vkládá se nový článek, který zní:

Evropské schéma certifikace kybernetické bezpečnosti pro řízené bezpečnostní služby musí být navrženo tak, aby v příslušných případech bylo dosaženo alespoň těchto bezpečnostních cílů:

• a) zajistit, aby řízené bezpečnostní služby byly poskytovány s nezbytnými kompetencemi, odborností a zkušenostmi, což zahrnuje, že zaměstnanci odpovědní za poskytování těchto služeb mají dostatečnou a odpovídající úroveň technických znalostí a kompetencí v dané oblasti, dostatečné a odpovídající zkušenosti a nejvyšší úroveň profesní integrity;
• b) zajistit, aby měl poskytovatel zavedeny vhodné vnitřní procesy k zajištění toho, aby řízené bezpečnostní služby byly vždy poskytovány na dostatečné a odpovídající úrovni kvality;
• c) zajistit, aby se data, jež jsou v souvislosti s poskytováním řízených bezpečnostních služeb předmětem přístupu, ukládání či předávání nebo jiného zpracování, chránila proti neúmyslnému nebo neoprávněnému přístupu, ukládání, sdělení, zničení, jinému zpracování, ztrátě, změně či nedostupnosti;
• d) zajistit, aby byla včas obnovena dostupnost dat, služeb a funkcí a přístup k nim v případě fyzických nebo technických incidentů;
• e) zajistit, aby oprávněné osoby, programy nebo stroje měly přístup pouze k údajům, službám nebo funkcím, jichž se týkají jejich přístupová práva;
• f) zajistit, aby byly pořizovány a uchovávány záznamy o datech, službách nebo funkcích, jež byly zpřístupněny, použity nebo jinak zpracovány, kdy k tomu došlo a kdo tak učinil, a umožněno posouzení těchto záznamů;
• g) zajistit, aby produkty, služby a procesy IKT zaváděné v rámci poskytování řízených bezpečnostních služeb byly bezpečné na úrovni výchozího návrhu a výchozího nastavení (‚secure by design‘ a ‚secure by default‘) a aby v příslušných případech zahrnovaly nejnovější bezpečnostní aktualizace a neobsahovaly veřejně známé zranitelnosti;“.

11) Článek 52 se mění takto:

• a) odstavec 1 se nahrazuje tímto:

  Evropské schéma certifikace kybernetické bezpečnosti může u produktů, služeb a procesů IKT a řízených bezpečnostních služeb určit jednu nebo více těchto úrovní záruky: ‚základní‘, ‚významná‘ nebo ‚vysoká‘. Úroveň záruky je přiměřená úrovni rizika z hlediska pravděpodobnosti a dopadu incidentu, jež je spojeno se zamýšleným použitím produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby.“

  ;

• b) odstavec 3 se nahrazuje tímto:

  Evropské schéma certifikace kybernetické bezpečnosti stanoví bezpečnostní požadavky, které odpovídají každé úrovni záruky, včetně odpovídajících bezpečnostních funkcí a odpovídající míry náročnosti a podrobnosti hodnocení, kterým má produkt, služba nebo proces IKT nebo řízená bezpečnostní služba projít.“

  ;

• c) odstavce 5, 6 a 7 se nahrazují tímto:

  Evropský certifikát kybernetické bezpečnosti nebo EU prohlášení o shodě, které odkazují na úroveň záruky ‚základní‘, poskytují záruku, že produkty, služby a procesy IKT nebo řízené bezpečnostní služby, pro něž jsou tento certifikát nebo toto EU prohlášení o shodě vydány, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních funkcí a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat známá základní rizika incidentů a kybernetických útoků. Prováděné hodnotící činnosti zahrnují alespoň přezkum technické dokumentace. Pokud takový přezkum není vhodný, provedou se náhradní hodnotící činnosti s rovnocenným účinkem.

  Evropský certifikát kybernetické bezpečnosti, který odkazuje na úroveň záruky ‚významná‘, poskytuje záruku, že produkty, služby a procesy IKT nebo řízené bezpečnostní služby, pro něž je tento certifikát vydán, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních funkcionalit a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat známá kybernetická rizika a rizika incidentů a kybernetických útoků prováděných subjekty s omezenými dovednostmi a zdroji. Prováděné hodnotící činnosti zahrnují alespoň: přezkum s cílem prokázat neexistenci veřejně známých zranitelností a zkouška k prokázání toho, že produkty, služby a procesy IKT nebo řízené bezpečnostní služby náležitě uplatňují nezbytné bezpečnostní funkcionality. Pokud některá z těchto hodnotících činností není vhodná, provedou se náhradní hodnotící činnosti s rovnocenným účinkem.

  Evropský certifikát kybernetické bezpečnosti, který odkazuje na úroveň záruky ‚vysoká‘, poskytuje záruku, že produkty, služby nebo procesy IKT a řízené bezpečnostní služby, pro něž je tento certifikát vydán, splňují odpovídající bezpečnostní požadavky včetně bezpečnostních funkcionalit a že byly vyhodnoceny na úrovni, jejímž cílem je minimalizovat rizika sofistikovaných kybernetických útoků prováděných subjekty s významnými dovednostmi a zdroji. Prováděné hodnotící činnosti zahrnují alespoň: přezkum s cílem prokázat neexistenci veřejně známých zranitelností; zkouška k prokázání toho, že produkty, služby, procesy IKT nebo řízené bezpečnostní služby IKT náležitě uplatňují nezbytné nejnovější bezpečnostní funkcionality; a posouzení jejich odolnosti vůči zručným útočníkům prostřednictvím penetrační testování. Pokud některá z těchto hodnotících činností není vhodná, provedou se náhradní hodnotící činnosti s rovnocenným účinkem.“

12) V článku 53 se odstavce 1, 2 a 3 nahrazují tímto:

Evropské schéma certifikace kybernetické bezpečnosti může umožnit vlastní posuzování shody pod výhradní odpovědností výrobce nebo poskytovatele produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb. Vlastní posuzování shody je přípustné pouze u produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb, které vykazují nízké riziko odpovídající úrovni záruky ‚základní‘.

Výrobce nebo poskytovatel produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb může vydat EU prohlášení o shodě uvádějící, že bylo prokázáno plnění požadavků stanovených v příslušném schématu. Vydáním tohoto prohlášení výrobce produktů IKT nebo poskytovatel služeb či procesů IKT nebo řízených bezpečnostních služeb přebírá odpovědnost za soulad produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby s požadavky stanovenými v daném schématu.

Výrobce nebo poskytovatel produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb zpřístupní EU prohlášení o shodě, technickou dokumentaci a veškeré ostatní příslušné informace související se shodou produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb se schématem k dispozici vnitrostátního orgánu certifikace kybernetické bezpečnosti určenému podle v článku 58 po dobu stanovenou v odpovídajícím evropském schématu certifikace kybernetické bezpečnosti. Jedno vyhotovení EU prohlášení o shodě se předkládá vnitrostátnímu orgánu certifikace kybernetické bezpečnosti a jedno vyhotovení agentuře ENISA.“

13) V článku 54 se odstavec 1 mění takto:

• a) písmeno a) se nahrazuje tímto:
  • „a) předmět a oblast působnosti schématu certifikace včetně druhu nebo kategorií zahrnutých produktů, služeb a procesů IKT a řízených bezpečnostních služeb, na něž se vztahuje;“
• b) písmeno g) se nahrazuje tímto:
  • „g) konkrétní kritéria a metody hodnocení používané k prokázání toho, že bylo dosaženo příslušných bezpečnostních cílů uvedených v článcích 51 a 51a, včetně typů těchto hodnocení;“
• c) písmeno j) se nahrazuje tímto:
  • „j) pravidla pro monitorování souladu produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb s požadavky evropských certifikátů kybernetické bezpečnosti nebo EU prohlášení o shodě, včetně mechanismů prokázání pokračujícího plnění specifikovaných požadavků kybernetické bezpečnosti;“
• d) písmeno l) se nahrazuje tímto:
  • „l) pravidla upravující důsledky pro produkty, služby a procesy IKT nebo řízené bezpečnostní služby, jež jsou certifikovány nebo pro něž bylo vydáno EU prohlášení o shodě, avšak nesplňují požadavky schématu;“

  ;

• e) písmeno o) se nahrazuje tímto:
  • „o) identifikaci vnitrostátních nebo mezinárodních schémat certifikace kybernetické bezpečnosti zahrnující stejné druhy nebo kategorie produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb, bezpečnostní požadavky a hodnotící kritéria a metody a úrovně záruky;“
• f) písmeno q) se nahrazuje tímto:
  • „q) dobu dostupnosti EU prohlášení o shodě, technické dokumentace a veškerých dalších relevantních informací, které má výrobce nebo poskytovatel produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb mít k dispozici;“.

14) Článek 56 se mění takto:

• a) odstavec 1 se nahrazuje tímto:

  U produktů, služeb a procesů IKT a řízených bezpečnostních služeb, které byly certifikovány v rámci evropského schématu certifikace kybernetické bezpečnosti přijatého podle článku 49, se předpokládá, že splňují požadavky daného schématu.“

  ;

• b) odstavec 3 se mění takto:
  • i) první pododstavec se nahrazuje tímto:

    „Komise pravidelně hodnotí účinnost a využití přijatých evropských schémat certifikace kybernetické bezpečnosti, přičemž rovněž posuzuje, zda by se určité evropské schémat certifikace kybernetické bezpečnosti mělo na základě příslušných právních předpisů Unie stát povinným za účelem zajištění patřičné úrovně kybernetické bezpečnosti produktů, služeb a procesů IKT a od 4. února 2025 řízených bezpečnostních služeb v Unii a za účelem zlepšení fungování vnitřního trhu. První takové hodnocení proběhne do 31. prosince 2023 a následná hodnocení se poté uskuteční alespoň každé dva roky. Na základě výsledku těchto hodnocení Komise z produktů, služeb a procesů IKT a řízených bezpečnostních služeb, na něž se již vztahuje stávající schéma certifikace, určí ty, na něž by se mělo vztahovat povinné schéma certifikace.“

    ;

  • ii) třetí pododstavec se mění takto:

    • písmeno a) se nahrazuje tímto:

      • „a) zohlední dopad opatření na výrobce nebo poskytovatele daných produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb a na uživatele z hlediska nákladů na tato opatření a společenských nebo hospodářských přínosů plynoucích z očekávaného zvýšení úrovně bezpečnosti pro dotčené produkty, služby a procesy IKT nebo řízené bezpečnostní služby;“

    • písmeno d) se nahrazuje tímto:

      • „d) zohlední prováděcí lhůty, přechodná opatření nebo přechodná období, zejména se zřetelem na možný dopad daného opatření na výrobce nebo poskytovatele produktů, služeb či procesů IKT nebo řízených bezpečnostních služeb, včetně specifických zájmů a potřeb malých a středních podniků, včetně mikropodniků;“

      ;

• c) odstavce 7 a 8 se nahrazují tímto:

  Fyzická nebo právnická osoba, která předkládá produkty, služby nebo procesy IKT nebo řízené bezpečnostní služby k certifikaci, zpřístupní vnitrostátnímu orgánu certifikace kybernetické bezpečnosti určenému podle článku 58, pokud je tento orgán subjektem vydávajícím evropský certifikát kybernetické bezpečnosti, nebo subjektu posuzování shody uvedenému v článku 60 veškeré informace nezbytné pro provedení certifikace.

  Držitel evropského certifikátu kybernetické bezpečnosti informuje orgán či subjekt uvedený v odstavci 7 o veškerých později zjištěných zranitelnostech nebo nesrovnalostech týkajících se bezpečnosti certifikovaného produktu, služby nebo procesu IKT nebo řízené bezpečnostní služby, které by mohly mít dopad na jejich soulad s požadavky na certifikaci. Tento orgán či subjekt neprodleně tyto informace postoupí příslušnému vnitrostátnímu orgánu certifikace kybernetické bezpečnosti.“

15) V článku 57 se odstavce 1 a 2 nahrazují tímto:

Aniž je dotčen odstavec 3 tohoto článku, vnitrostátní schémata certifikace kybernetické bezpečnosti a související postupy pro produkty, služby a procesy IKT a řízené bezpečnostní služby zahrnuté do evropského schématu certifikace kybernetické bezpečnosti pozbývají účinnosti ode dne stanoveného v prováděcím aktu přijatém podle čl. 49 odst. 7. Vnitrostátní schémata certifikace kybernetické bezpečnosti a související postupy pro produkty, služby a procesy IKT a řízené bezpečnostní služby, na něž se evropské schéma certifikace kybernetické bezpečnosti nevztahuje, zůstávají v platnosti.

Členské státy nezavedou nová vnitrostátní schémata certifikace kybernetické bezpečnosti pro produkty, služby a procesy IKT a řízené bezpečnostní služby, které jsou již zahrnuty do platného evropského schématu certifikace kybernetické bezpečnosti.“

16) Článek 58 se mění takto:

• a) odstavec 7 se mění takto:
  • i) písmena a) a b) se nahrazují tímto:
    • „a) dohlížejí na pravidla zahrnutá v evropských schématech certifikace kybernetické bezpečnosti podle čl. 54 odst. 1 písm. j) pro monitorování souladu produktů, procesů, služeb a procesů IKT a řízených bezpečnostních služeb s požadavky evropských certifikátů kybernetické bezpečnosti, jež byly vydány na území jejich států, a dodržování těchto pravidel vymáhají, přičemž spolupracují s dalšími příslušnými orgány dohledu nad trhem;
    • b) sledují dodržování povinností výrobců a poskytovatelů produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb, kteří jsou usazeni na území jejich států a kteří provádějí vlastní posuzování shody, zejména pak povinností těchto výrobců a poskytovatelů stanovených v čl. 53 odst. 2 a 3 a v odpovídajícím evropském schématu certifikace kybernetické bezpečnosti, a dodržování těchto povinností vymáhají;“
  • ii) písmeno h) se nahrazuje tímto:
    • „h) spolupracují s dalšími vnitrostátními orgány certifikace kybernetické bezpečnosti nebo jinými veřejnými orgány, mimo jiné prostřednictvím sdílení informací o možných případech nesouladu produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb s požadavky tohoto nařízení nebo s požadavky konkrétních evropských schémat certifikace kybernetické bezpečnosti; a“

    ;

• b) odstavec 9 se nahrazuje tímto:

  Vnitrostátní orgány certifikace kybernetické bezpečnosti spolupracují mezi sebou a s Komisí, a zejména si vyměňují informace, zkušenosti a osvědčené postupy týkající se certifikace kybernetické bezpečnosti a technických otázek v oblasti kybernetické bezpečnosti, produktů, služeb a procesů IKT a řízených bezpečnostních služeb.“

17) V čl. 59 odst. 3 se písmena b) a c) nahrazují tímto:

• „b) postupy dohledu nad pravidly pro monitorování souladu produktů, služeb a procesů IKT a řízených bezpečnostních služeb s evropskými certifikáty kybernetické bezpečnosti a vymáhání těchto pravidel, v souladu čl. 58 odst. 7 písm. a);
• c) postupy pro sledování povinností výrobců nebo poskytovatelů produktů, služeb a procesů IKT nebo řízených bezpečnostních služeb a vymáhání těchto povinností, v souladu s čl. 58 odst. 7 písm. b);“.

18) V článku 67 se odstavce 2 a 3 nahrazují tímto:

Hodnocení rovněž posoudí dopad, efektivnost a účinnost ustanovení hlavy III tohoto nařízení, včetně postupů vedoucích k přijetí evropských schémat certifikace kybernetické bezpečnosti a jejich podkladových materiálů, s ohledem na cíle zajištění odpovídající úrovně kybernetické bezpečnosti produktů, služeb a procesů IKT a řízených bezpečnostních služeb v Unii a zlepšení fungování vnitřního trhu.

Hodnocení posoudí, zda jsou základní požadavky na kybernetickou bezpečnost pro přístup na vnitřní trh nezbytné k tomu, aby se zabránilo produktům, službám a procesům IKT a řízeným bezpečnostním službám, které nesplňují základní požadavky na kybernetickou bezpečnost, vstupovat na trh Unie.“

19) Příloha se mění v souladu s přílohou tohoto nařízení.