Чл. 5

Член 5 Управление на инциденти и уязвимостта Националните схеми за сертифициране съдържат изисквания за управление на инциденти и уязвимостта в

1. съответствие с параграфи 2—9.
2. Притежателят на сертификат за съответствие на технологично решение за портфейла и на схемата за електронна идентификация, съгласно която то се предоставя, уведомява своя сертифициращ орган без неоснователно забавяне за всяко нарушение или компрометиране на технологичното решение за портфейла или на схемата за електронна идентификация, съгласно която то се предоставя, при условие че е вероятно да повлияе на съответствието му с изискванията на националните схеми за сертифициране.

1. Притежателят на сертификат за съответствие установява, поддържа и прилага политика и процедури за управление на уязвимостите, като взема предвид процедурите, посочени в съществуващите европейски и международни стандарти, включително EN ISO/IEC 30111:2019.
2. Притежателят на сертификата за съответствие уведомява издаващия сертифициращ орган за уязвимостите и промените, засягащи технологичното решение за портфейла, въз основа на определени критерии за въздействието на тези уязвимости и промени.
3. Притежателят на сертификата за съответствие изготвя доклад за анализ на въздействието на уязвимостта за всяка уязвимост, която засяга софтуерните компоненти на технологичното решение за портфейла. Докладът включва следната информация:

а) б) въздействието на уязвимостта върху сертифицираното технологично решение за портфейла; възможни рискове, свързани с близостта или вероятността от атака; (11) Регламент (ЕС) № 1025/2012 на Европейския парламент и на Съвета от 25 октомври 2012 г. относно европейската стандартизация, за изменение на директиви 89/686/ЕИО и 93/15/ЕИО на Съвета и на директиви 94/9/ЕО, 94/25/ЕО, 95/16/ЕО, 97/23/ЕО, 98/34/ЕО, 2004/22/ЕО, 2007/23/ЕО, 2009/23/ЕО и 2009/105/ЕО на Европейския парламент и на Съвета и за отмяна на Решение 87/95/ЕИО на Съвета и на Решение № 1673/2006/ЕО на Европейския парламент и на Съвета (текст от значение за ЕИП) (ОВ L 316, 14.11.2012 г., стр. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

8/44 ELI: http://data.europa.eu/eli/reg_impl/2024/2981/oj

OB L, 4.12.2024 г. BG в) г) дали уязвимостта може да бъде отстранена с наличните средства; когато уязвимостта може да бъде отстранена с наличните средства — възможните налични за отстраняване на уязвимостта.

1. Когато в параграф 4 се изисква уведомяване, притежателят на сертификата за съответствие предава на сертифициращия орган без неоснователно забавяне доклада за анализ на въздействието на уязвимостта, посочен в параграф 5.

Притежателят на сертификат за съответствие установява, поддържа и управлява политика за управление на

1. уязвимостите, отговаряща на изискванията, посочени в приложение I към Акта за киберустойчивостта (12).

Националните схеми за сертифициране установяват изисквания за оповестяване на уязвимости, приложими по

1. отношение на сертифициращите органи.

Притежателят на сертификат за съответствие оповестява и регистрира всяка публично известна и отстранена

1. уязвимост в технологичното решение за портфейла или в някое от онлайн хранилищата, посочени в приложение V.