Direttiva (UE) 2022/2555 · Capo IV
Articolo 24
Uso dei sistemi europei di certificazione della cibersicurezza
Sintesi Articolo 24
Gli Stati membri possono imporre ai soggetti essenziali e importanti di utilizzare prodotti, servizi e processi TIC certificati nell'ambito dei sistemi europei di certificazione della cibersicurezza, per dimostrare la conformità a specifici requisiti dell'articolo 21.
La Commissione è abilitata ad adottare atti delegati per individuare le categorie di soggetti tenuti a tale obbligo. Per gli operatori, la certificazione non sostituisce il programma di gestione del rischio, ma può costituirne un elemento di evidenza.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: EUR-Lex.
1. Al fine di dimostrare il rispetto di determinate prescrizioni di cui all'articolo 21, gli Stati membri possono imporre ai soggetti essenziali e importanti di utilizzare determinati prodotti TIC, servizi TIC e processi TIC, sviluppati dal soggetto essenziale o importante o acquistati da terze parti, che siano certificati nell'ambito dei sistemi europei di certificazione della cibersicurezza adottati a norma dell'articolo 49 del regolamento (UE) 2019/881. Inoltre, gli Stati membri incoraggiano i soggetti essenziali e importanti a utilizzare servizi fiduciari qualificati.
2. Alla Commissione è conferito il potere di adottare atti delegati a norma dell'articolo 38 al fine di integrare la presente direttiva specificando quali categorie di soggetti essenziali e importanti sono tenute a utilizzare determinati prodotti TIC, servizi TIC e processi TIC certificati o a ottenere un certificato nell'ambito di un sistema europeo di certificazione della cibersicurezza adottato a norma dell'articolo 49 del regolamento (UE) 2019/881. Tali atti delegati sono adottati qualora siano stati individuati livelli insufficienti di cibersicurezza e includono un periodo di attuazione.
Prima di adottare tali atti delegati, la Commissione effettua una valutazione d'impatto e procede a consultazioni conformemente all'articolo 56 del regolamento (UE) 2019/881.
3. Qualora non siano disponibili sistemi di europei di certificazione della cibersicurezza adeguati ai fini del paragrafo 2 del presente articolo, la Commissione può chiedere all'ENISA, previa consultazione del gruppo di cooperazione e del gruppo europeo per la certificazione della cibersicurezza, di preparare una proposta di sistema a norma dell'articolo 48, paragrafo 2, del regolamento (UE) 2019/881.