Regulament 2025/2540 · CELEX 32025R2540

Regulamentul de punere în aplicare (UE) 2025/2540 al Comisiei din 9 decembrie 2025 de stabilire a normelor de aplicare a Regulamentului (UE) 2019/881 al Parlamentului European și al Consiliului în ceea ce privește stabilirea planului de evaluare inter pares

Data act: 09.12.2025
Intrare in vigoare: 01.01.2026
Jurnalul Oficial UE: oj:L_202502540
Status: In vigoare

Agenția Uniunii Europene pentru Securitate Cibernetică criminalitate informatică funcționare instituțională omologare rețea de transmisie securitatea sistemelor informatice tehnologia informației

Recitale

(1) În temeiul articolului 59 alineatul (4) din Regulamentul (UE) 2019/881, evaluările inter pares ale autorităților naționale de certificare a securității cibernetice (ANCSC) trebuie efectuate de două ANCSC-uri din alte state membre și de către Comisie. În vederea obținerii unor standarde echivalente cu privire la certificatele europene de securitate cibernetică și la declarațiile de conformitate UE, Comisia ar trebui să monitorizeze aspectele legate de conformitatea cu acest regulament și să se asigure că evaluările inter pares sunt efectuate în mod consecvent pe tot teritoriul Uniunii. Pentru a contribui la identificarea bunelor practici, a provocărilor și a lecțiilor învățate din punerea în aplicare a sistemelor europene de certificare a securității cibernetice, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) ar trebui să aibă posibilitatea de a participa la evaluările inter pares în calitate de observator. De asemenea, pentru a sprijini punerea în aplicare armonizată a dispozițiilor regulamentului, ENISA ar trebui să fie autorizată să elaboreze modele în cooperare cu Comisia și cu Grupul european pentru certificarea securității cibernetice (ECCG).

(2) Pentru a asigura planificarea previzibilă și alocarea eficientă a resurselor, evaluările inter pares ale fiecărei ANCC ar trebui efectuate în conformitate cu un calendar stabilit. ANCSC ar trebui să aibă posibilitatea de a solicita amânarea evaluării sale inter pares în circumstanțe excepționale, cum ar fi lipsa neașteptată de personal sau cazurile de forță majoră. În acest scop, este necesar să se stabilească modalități de evaluare a solicitării respective care să asigure respectarea calendarului general și să nu compromită obiectivele mecanismului de evaluare inter pares.

(3) Pentru a se asigura că toate statele membre contribuie la punerea în aplicare a mecanismului de evaluare inter pares, precum și că pot beneficia de pe urma învățării reciproce, ANCSC-urile din fiecare stat membru ar trebui să efectueze două evaluări inter pares în decursul a cinci ani. Prin urmare, ar trebui instituit un sistem de rotație care să dea posibilitatea ANCSC-urilor din toate statele membre să își organizeze participarea. De asemenea, este necesar să se stabilească o serie de criterii pe care ANCSC-urile să le ia în considerare atunci când selectează reprezentanții care urmează să efectueze evaluările inter pares, cu scopul de a se asigura că aceștia dețin expertiza și competența adecvate. Totodată, ANCSC-urile ar trebui să poată participa la evaluări inter pares în calitate de observatori, cu scopul de a monitoriza procesul și de a învăța din acesta. În astfel de cazuri, reprezentantul lor nu ar trebui să fie obligat să aibă același nivel de expertiză și de competență care le este impus reprezentanților ANCSC-urilor evaluatoare.

(4) Pentru a se asigura că o ANCSC este evaluată inter pares de cel puțin o ANCSC care utilizează aceeași abordare privind eliberarea certificatelor care atestă nivelul „ridicat”, ENISA ar trebui să indice, atunci când invită ANCSC-urile să își exprime interesul de a fi evaluatori, dacă ANCSC evaluată eliberează direct certificatele respective, dacă utilizează modelul de aprobare prealabilă menționat la articolul 56 alineatul (6) litera (a) din Regulamentul (UE) 2019/881, dacă acordă o delegare generală în conformitate cu litera (b) de la alineatul respectiv sau dacă prezintă o combinație a acestor caracteristici.

(5) În vederea asigurării unor criterii și proceduri comune de evaluare pentru efectuarea evaluărilor inter pares pe tot cuprinsul Uniunii, fiecare evaluare inter pares ar trebui să includă întotdeauna un chestionar de autoevaluare, o analiză a documentației și o vizită la fața locului, însoțite de interviuri. După vizita la fața locului, echipa de evaluare inter pares ar trebui să discute constatările cu ANCSC evaluată și să întocmească un proiect de raport pe care să îl transmită ANCSC evaluate în vederea formulării de observații, cu scopul de a se ajunge la un consens ori de câte ori este posibil. Echipa de evaluare ar trebui să prezinte ECCG raportul final, care poate include orientări sau recomandări menite să ajute la îmbunătățirea ANCSC evaluate. De asemenea, la propunerea echipei de evaluare, ECCG ar trebui să aprobe un raport de sinteză care să fie pus la dispoziția publicului.

(6) Pentru a asigura securitatea gestionării informațiilor obținute prin procesul de evaluare inter pares, echipa de evaluare ar trebui să se asigure că folosește canale de comunicare securizate, cum ar fi o platformă securizată pentru stocarea și partajarea documentelor, precum și că utilizează garanții adecvate pentru datele confidențiale partajate între membrii echipei. La rândul său, ținând seama de cele mai bune practici existente ale ANCSC-urilor, ENISA ar trebui să poată elabora orientări privind asigurarea securității comunicațiilor, în special pentru a se asigura că nivelul de securitate aplicat de echipa de evaluare inter pares atunci când colectează, partajează și prelucrează informații este aliniat la nevoile în materie de securitate ale ANCSC evaluate.

(7) Pentru a facilita cooperarea și schimbul efectiv de informații între ANCSC-uri, ECCG, în special subgrupul său privind evaluarea inter pares, ar trebui să contribuie la elaborarea de modele și să asiste Comisia în punerea în aplicare a prezentului regulament.

(8) Mecanismul de evaluare inter pares constituie un serviciu public digital transeuropean în sensul Regulamentului (UE) 2024/903 al Parlamentului European și al Consiliului (2). Prezentul regulament introduce noi cerințe obligatorii care afectează serviciul respectiv și, ca atare, face obiectul obligației de evaluare a interoperabilității prevăzute la articolul 3 din Regulamentul (UE) 2024/903. În consecință, a fost efectuată o evaluare a interoperabilității, iar raportul întocmit în urma acesteia urmează să fie publicat pe portalul Europa interoperabilă.

(9) La elaborarea prezentului regulament, Comisia a ținut seama de opiniile ECCG, inclusiv de cele ale subgrupului său privind evaluarea inter pares.

(10) Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului instituit în temeiul articolului 66 din Regulamentul (UE) 2019/881,

Articolul 1

Calendarul, frecvența și costul evaluărilor inter pares

(1) Evaluările inter pares ale autorităților naționale de certificare a securității cibernetice (ANCSC) se efectuează în conformitate cu calendarul prevăzut în anexa I. Fiecare evaluare inter pares se finalizează până la data indicată în calendarul respectiv și, ulterior, se efectuează o dată la cinci ani. (2) În circumstanțe excepționale, o ANCSC care face obiectul unei evaluări inter pares poate transmite Comisiei o cerere justificată în mod corespunzător de amânare a evaluării sale inter pares până după data indicată în calendarul prevăzut în anexa I. Comisia, în cooperare cu Grupul european pentru certificarea securității cibernetice (ECCG) instituit prin articolul 62 din Regulamentul (UE) 2019/881, evaluează solicitarea și informează toate părțile relevante, în timp util, cu privire la rezultat. (3) În cazul în care un stat membru, în conformitate cu articolul 58 alineatul (1) din Regulamentul (UE) 2019/881: (a) a desemnat mai multe ANCSC-uri de pe teritoriul său, toate ANCSC-urile din statul membru respectiv trebuie evaluate inter pares în paralel; (b) a desemnat ANCSC(-urile) dintr-un alt stat membru, autoritatea sau autoritățile respective pot face obiectul unei evaluări inter pares fie conform calendarului stabilit pentru statul membru care a făcut desemnarea, fie conform celui stabilit pentru statul membru al ANCSC(-urilor) desemnate, ținând seama de atribuțiile de supraveghere îndeplinite în statul membru care a făcut desemnarea. (4) Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) pune următoarele informații la dispoziția publicului pe site-ul referitor la sistemele europene de certificare a securității cibernetice creat în temeiul articolului 50 din Regulamentul (UE) 2019/881: (a) informațiile privind calendarul prevăzut în anexa I; (b) lista ANCSC-urilor evaluatoare, menținută conform articolului 2 alineatul (5). (5) Fiecare ANCSC implicată în procesul de evaluare inter pares suportă costurile propriei participări.

Articolul 2

Sistemul de rotație a ANCSC-urilor evaluatoare

(1) În conformitate cu articolul 59 alineatul (4) din Regulamentul (UE) 2019/881, fiecare evaluare inter pares se efectuează de către două ANCSC-uri evaluatoare din alte state membre și de către Comisie. ANCSC-urile din fiecare stat membru participă la evaluarea inter pares a cel puțin două ANCSC-uri în fiecare dintre perioadele prevăzute în anexa I. (2) ANCSC-urile din alte state membre pot participa la evaluarea inter pares în calitate de observatori cu unul sau mai mulți reprezentanți, cu acordul ANCSC evaluate, al ANCSC evaluatoare și al Comisiei. (3) La evaluarea inter pares poate participa și un reprezentant al ENISA, în calitate de observator. De asemenea, pot participa și reprezentanți suplimentari, cu acordul ANCSC evaluate, al ANCSC evaluatoare și al Comisiei. (4) Observatorii au acces la aceleași informații ca și ceilalți membri ai echipei de evaluare inter pares, dar nu îndeplinesc atribuții legate de executarea evaluării propriu-zise. (5) În cooperare cu Comisia și cu ECCG, ENISA propune și menține lista ANCSC-urilor care urmează să efectueze evaluările inter pares conform calendarului prevăzut în anexa I. În cursul fiecărui an, ENISA, în cooperare cu Comisia, solicită ANCSC-urilor să își exprime interesul de a efectua evaluări inter pares sau de a participa în calitate de observatori la cele efectuate de ANCSC-urile înscrise în anexa I în anul următor. (6) În cazul în care mai mult de două ANCSC-uri se arată interesate de a evalua aceeași ANCSC, Comisia și ENISA consultă ANCSC-urile interesate și decid care dintre acestea urmează să participe la evaluare. (7) În cazul în care, într-un anumit an, se înregistrează un număr insuficient de ANCSC-uri evaluatoare care să își exprime interesul de a efectua evaluările inter pares, Comisia, după consultarea ECCG, selectează ANCSC-urile care urmează să efectueze evaluările. Atunci când efectuează selecția, Comisia ține seama de obligația ANCSC-urilor din fiecare stat membru de a participa la evaluarea inter pares a cel puțin două ANCSC-uri, menționată la alineatul (1).

Articolul 3

Criterii privind componența echipei de evaluare inter pares

(1) Cu suficient timp înainte de începerea evaluării inter pares, fiecare ANCSC evaluatoare desemnează un reprezentant care să efectueze evaluarea. ANCSC-urile evaluatoare pot desemna mai mulți reprezentanți în cazul în care este necesar pentru a se asigura că echipa de evaluare inter pares are competențele necesare pentru a efectua evaluarea. (2) Cu excepția reprezentanților ANCSC-urilor care participă în calitate de observatori, reprezentantul unei ANCSC evaluatoare trebuie să îndeplinească următoarele criterii: (a) să aibă cel puțin doi ani de experiență de lucru în cadrul ANCSC evaluatoare sau să fi participat la cel puțin două evaluări inter pares în calitate de observator; (b) să dețină cunoștințe suficiente cu privire la cadrul de certificare a securității cibernetice instituit prin Regulamentul (UE) 2019/881; (c) să aibă o bună capacitate de a lucra în limba engleză și, dacă este posibil, în una sau mai multe limbi vorbite în statul membru al ANCSC evaluate; (d) să acționeze independent de ANCSC evaluată. (3) ANCSC evaluatoare se asigură că orice risc de conflict de interese în ceea ce privește reprezentanții desemnați este comunicat celorlalte ANCSC-uri, Comisiei și ENISA înainte de începerea procedurii de evaluare inter pares. ANCSC evaluată se poate opune desemnării anumitor reprezentanți, în conformitate cu alineatul (5). (4) ANCSC-urile evaluatoare aleg din cadrul lor un reprezentant („liderul echipei”) care să coordoneze evaluarea inter pares. (5) Înainte de începerea procedurii de evaluare inter pares, Comisia transmite ANCSC evaluate numele și datele de contact ale reprezentanților ANCSC-urilor evaluatoare. În cazul în care ANCSC evaluată dorește să se opună numirii unuia sau a mai multor reprezentanți, aceasta are la dispoziție două săptămâni pentru a prezenta Comisiei o justificare clară, a informa ENISA și ECCG și a solicita ca ANCSC evaluatoare să desemneze un alt reprezentant. (6) În cazul în care procedura prevăzută la alineatul (5) cauzează întârzieri nejustificate în lansarea evaluării inter pares din cauza unor circumstanțe excepționale, componența echipei de evaluare inter pares este hotărâtă de Comisie, în consultare cu ENISA și cu ECCG.

Articolul 4

Metodologia evaluării inter pares

(1) Evaluarea inter pares examinează aspectele enumerate în anexa II, în conformitate cu articolul 59 alineatul (3) din Regulamentul (UE) 2019/881. (2) În cooperare cu ECCG și cu Comisia, ENISA poate elabora modele pentru examinarea proceselor instituite de ANCSC evaluată. (3) Evaluarea inter pares include următoarele elemente: (a) un chestionar de autoevaluare; (b) o evaluare a documentației relevante; (c) interviuri online, fizice sau de ambele tipuri; (d) o vizită la fața locului. (4) Durata evaluării inter pares poate fi convenită în prealabil între echipa de evaluare și ANCSC evaluată, în funcție de amploarea și complexitatea activităților ANCSC evaluate. Vizita la fața locului nu trebuie să dureze mai mult de trei zile lucrătoare. (5) Cu excepția cazului în care echipa de evaluare inter pares, ANCSC evaluată și Comisia convin altfel, cooperarea are loc în limba engleză. Raportul de evaluare inter pares menționat la articolul 5 se redactează cel puțin în limba engleză. (6) ANCSC evaluată cooperează cu echipa de evaluare inter pares și îi oferă acces la informațiile și documentele necesare pentru efectuarea evaluării. ANCSC evaluată transmite chestionarul de autoevaluare și cel mai recent raport anual de sinteză adoptat în conformitate cu articolul 58 alineatul (7) litera (g) din Regulamentul (UE) 2019/881 cu cel puțin 21 de zile înainte de data vizitei la fața locului. La solicitarea echipei de evaluare inter pares, se prezintă documente suplimentare în termen de 7 zile de la primirea solicitării. (7) Documentele se pun la dispoziție în limba engleză, cu excepția cazului în care se convine altfel în conformitate cu alineatul (5). În cazul în care documentele furnizate nu sunt în limba engleză, echipa de evaluare poate solicita ca documentele necesare pentru efectuarea evaluării să fie traduse în limba engleză. (8) Înainte de a întocmi raportul de evaluare inter pares în conformitate cu articolul 5, echipa de evaluare discută constatările preliminare cu ANCSC evaluată.

Articolul 5

Raportul de evaluare inter pares

(1) În termen de 21 de zile de la efectuarea evaluării inter pares, echipa de evaluare întocmește un proiect de raport de evaluare inter pares, care include detalii privind statul membru al ANCSC evaluate, ANCSC-urile evaluatoare, Comisia și eventualii observatori, precum și constatările și concluziile evaluării. Dacă este necesar, raportul include recomandări care să faciliteze îmbunătățirea aspectelor vizate de evaluarea inter pares. (2) În cooperare cu Comisia și cu ECCG, ENISA poate elabora un model pentru raportul de evaluare inter pares. (3) După întocmirea proiectului de raport de evaluare inter pares în conformitate cu alineatul (1), echipa de evaluare îl transmite către ANCSC evaluată pentru ca aceasta să formuleze observații în termen de 14 zile. Echipa evaluează observațiile și, dacă este posibil, le integrează în raportul final, în vederea asigurării consensului. În caz de dezacord, răspunsul ANCSC evaluate se anexează la raportul final. (4) Raportul final se transmite ECCG în termen de două luni de la efectuarea evaluării inter pares, însoțit de un rezumat destinat publicării. În conformitate cu articolul 59 alineatul (6) din Regulamentul (UE) 2019/881, ECCG examinează raportul și aprobă rezumatul acestuia, care se publică pe site-ul referitor la sistemele europene de certificare a securității cibernetice creat în temeiul articolului 50 din Regulamentul (UE) 2019/881. Rezumatul trebuie să includă și răspunsul ANCSC evaluate sau anumite părți ale acestuia, de comun acord cu ANCSC evaluată. (5) Înainte de a difuza raportul de evaluare inter pares în exteriorul său, echipa de evaluare anonimizează eventualele date cu caracter personal colectate în timpul evaluării.

Articolul 6

Confidențialitate

(1) Toate părțile implicate în evaluarea inter pares respectă confidențialitatea informațiilor și a datelor obținute în îndeplinirea atribuțiilor și a activităților lor, într-un mod care să protejeze în special: (a) drepturile de proprietate intelectuală și informațiile comerciale confidențiale sau secretele comerciale ale unei persoane fizice sau juridice, inclusiv codul sursă, cu excepția cazurilor menționate la articolul 5 din Directiva (UE) 2016/943 a Parlamentului European și a Consiliului (3); (b) punerea efectivă în aplicare a prezentului regulament; (c) interesele securității publice și naționale; (d) integritatea procedurilor penale sau administrative. (2) Echipa de evaluare inter pares se asigură că toate informațiile obținute în decursul procesul de evaluare sunt tratate în condiții de securitate. După întocmirea raportului final și a rezumatului menționate la articolul 5 alineatul (4), membrii echipei de evaluare inter pares, inclusiv eventualii observatori, șterg sau distrug toate documentele care au fost colectate sau generate în cadrul procesului de evaluare inter pares, cu excepția raportului final și a rezumatului. (3) În cooperare cu ECCG și ținând seama de cele mai bune practici existente ale ANCSC-urilor, ENISA poate să elaboreze orientări privind comunicațiile securizate și confidențiale.

Articolul 7

Consolidarea capacităților

ENISA analizează rezultatele agregate ale evaluărilor inter pares și evidențiază lecțiile învățate și cele mai bune practici, urmărind să contribuie astfel la consolidarea capacităților ANCSC-urilor și la întreținerea sistemelor europene de certificare a securității cibernetice. După caz, această analiză poate viza inclusiv cursurile de formare și orientările suplimentare pentru ANCSC-uri elaborate în cooperare cu ECCG.

Articolul 8

Intrarea în vigoare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.