Ministeriële regeling · BWBR0046502
Uitvoeringsregeling cyberbeveiligingsverordening
Gelet op artikel 8 van de Uitvoeringswet cyberbeveiligingsverordening;
Besluit:
Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.
's-Gravenhage29 maart 2022De Minister van Economische Zaken en Klimaat,M.A.M.AdriaansensIn deze regeling wordt verstaan onder:
AVA_VAN-niveau: AVA_VAN-niveau als bedoeld in artikel 2, onderdeel 8, van uitvoeringsverordening (EU) 2024/482;
certificeringsinstantie: certificeringsinstantie als bedoeld in artikel 2, onderdeel 12, van uitvoeringsverordening (EU) 2024/482;
EUCC-certificaat: EUCC-certificaat als bedoeld in artikel 2, onderdeel 9, van uitvoeringsverordening (EU) 2024/482;
ITSEF: ITSEF als bedoeld in artikel 2, onderdeel 7, van uitvoeringsverordening (EU) 2024/482;
technisch domein: technisch domein als bedoeld in artikel 2, onderdeel 13, van uitvoeringsverordening (EU) 2024/482;
uitvoeringsverordening (EU) 2024/482:uitvoeringsverordening (EU) 2024/482 van de Commissie van 31 januari 2024 houdende uitvoeringsbepalingen van Verordening (EU) 2019/881 van het Europees Parlement en de Raad wat betreft de vaststelling van de Europese op gemeenschappelijke criteria gebaseerde cyberbeveiligingscertificeringsregeling (EUCC);
uitvoeringsverordening (EU) 2024/3143:uitvoeringsverordening (EU) 2024/3143 van de Commissie van 18 december 2024 tot vaststelling van de omstandigheden, vormen en procedures van aanmeldingen overeenkomstig artikel 61, lid 5, van Verordening (EU) 2019/881 van het Europees Parlement en de Raad inzake Enisa (het Agentschap van de Europese Unie voor cyberbeveiliging), en inzake de certificering van de cyberbeveiliging van informatie- en communicatietechnologie;
Als voorschriften als bedoeld in artikel 8 van de wet worden aangewezen:
- a.
de artikelen 53, tweede en derde lid, 55, 56, vierde, zevende, achtste en negende lid, 63 en 64 van de cyberbeveiligingsverordening;
- b.
de voorschriften in uitvoeringsverordening (EU) 2024/482 met betrekking tot de verplichtingen van certificeringsinstanties, ITSEF’s, of aanvragers of houders van een EUCC-certificaat.
Het is een certificeringsinstantie verboden zonder de autorisatie, bedoeld in artikel 21 van uitvoeringsverordening (EU) 2024/482, een EUCC-certificaat op zekerheidsniveau ‘hoog’ af te geven.
Een certificeringsinstantie dient een aanvraag voor autorisatie elektronisch in bij Onze Minister, met gebruikmaking van een door Onze Minister beschikbaar gesteld middel en voorzien van de op het aanvraagformulier vermelde bescheiden, tenzij technische belemmeringen aan de zijde van Onze Minister dit tijdelijk onmogelijk maken.
Een aanvraag als bedoeld in het tweede lid omvat:
- a.
informatie over de aanvrager, genoemd in punt 3 van de bijlage bij uitvoeringsverordening (EU) 2024/3143;
- b.
een bewijsstuk, dan wel bewijsstukken, waaruit blijkt dat de certificeringsinstantie die de autorisatie aanvraagt, voldoet aan de vereisten van artikel 60, eerste lid, en van de bijlage bij de cyberbeveiligingsverordening, en
- c.
een bewijsstuk, dan wel bewijsstukken, waaruit blijkt dat de certificeringsinstantie die autorisatie aanvraagt, voldoet aan de vereisten van artikel 21, eerste lid, van uitvoeringsverordening (EU) 2024/482.
Een ITSEF dient een aanvraag voor autorisatie, bedoeld in artikel 22 van uitvoeringsverordening (EU) 2024/482, elektronisch in bij Onze Minister, met gebruikmaking van een door Onze Minister beschikbaar gesteld middel, tenzij technische belemmeringen aan de zijde van Onze Minister dit tijdelijk onmogelijk maken.
Een aanvraag als bedoeld in het eerste lid omvat:
- a.
informatie over de aanvrager, genoemd in punt 3 van de bijlage bij uitvoeringsverordening (EU) 2024/3143;
- b.
een bewijsstuk, dan wel bewijsstukken, waaruit blijkt dat de ITSEF die de autorisatie aanvraagt, voldoet aan de vereisten van artikel 60, eerste lid, en van de bijlage bij de cyberbeveiligingsverordening, en
- c.
een bewijsstuk, dan wel bewijsstukken, waaruit blijkt dat de certificeringsinstantie die autorisatie aanvraagt, voldoet aan de vereisten van artikel 22, eerste lid, van uitvoeringsverordening (EU) 2024/482.
Een certificeringsinstantie die op grond van uitvoeringsverordening (EU) 2024/482 bevoegd is om een certificaat af te geven, en een ITSEF die op grond van uitvoeringsverordening (EU) 2024/482 bevoegd is om een evaluatie uit te voeren, verstrekken ten behoeve van de kennisgeving, bedoeld in artikel 23, respectievelijk artikel 24 van uitvoeringsverordening (EU) 2024/482, aan Onze Minister de volgende informatie middels een door Onze Minister beschikbaar gesteld middel:
- a.
de naam en het adres van de certificeringsinstantie respectievelijk de ITSEF;
- b.
het zekerheidsniveau of de zekerheidsniveaus waarvoor de certificeringsinstantie bevoegd is om EUCC-certificaten af te geven, respectievelijk waarvoor de ITSEF bevoegd is om een evaluatie uit te voeren;
- c.
de datum van de accreditatie;
- d.
het referentienummer van de accreditatie;
- e.
het toepassingsgebied en de geldigheidsduur van de accreditatie;
- f.
het adres van, de locatie van en de link naar de relevante website van de nationale accreditatie-instantie;
- g.
indien van toepassing:
- i.
de datum van de autorisatie;
- ii.
het referentienummer van de autorisatie;
- iii.
de geldigheidsduur van de autorisatie;
- iv.
het toepassingsgebied van de autorisatie, met inbegrip van het hoogste AVA_VAN-niveau en, indien van toepassing, de betreffende technische domeinen.
- i.
Deze regeling treedt in werking op het tijdstip waarop de wet in werking treedt.
Deze regeling wordt aangehaald als: Uitvoeringsregeling cyberbeveiligingsverordening.