Directive (EU) 2022/2555 ／ 第IV章 サイバーセキュリティリスク管理措置及び報告義務
第24条 欧州サイバーセキュリティ認証スキームの使用
Article 24 — Use of European cybersecurity certification schemes
1. 第21条の特定の要件の遵守を証明するため、加盟国は、必須事業体及び重要事業体に対し、当該必須事業体若しくは重要事業体が開発し、又は第三者から調達した特定のICT製品、ICTサービス及びICTプロセスであって、規則(EU) 2019/881第49条に従い採択された欧州サイバーセキュリティ認証スキームに基づき認証されたものを使用するよう求めることができる。さらに、加盟国は、必須事業体及び重要事業体が適格トラストサービスを使用するよう奨励する。
1. In order to demonstrate compliance with particular requirements of Article 21, Member States may require essential and important entities to use particular ICT products, ICT services and ICT processes, developed by the essential or important entity or procured from third parties, that are certified under European cybersecurity certification schemes adopted pursuant to Article 49 of Regulation (EU) 2019/881. Furthermore, Member States shall encourage essential and important entities to use qualified trust services.
2. 欧州委員会は、第38条に従い、いずれの区分の必須事業体及び重要事業体が、一定の認証されたICT製品、ICTサービス及びICTプロセスを使用し、又は規則(EU) 2019/881第49条に従い採択された欧州サイバーセキュリティ認証スキームに基づく証明書を取得することを求められるかを特定することにより、この指令を補完する委任法令を採択する権限を有する。当該委任法令は、サイバーセキュリティの水準が不十分であることが特定された場合に採択し、実施期間を含める。
2. The Commission is empowered to adopt delegated acts, in accordance with Article 38, to supplement this Directive by specifying which categories of essential and important entities are to be required to use certain certified ICT products, ICT services and ICT processes or obtain a certificate under a European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881. Those delegated acts shall be adopted where insufficient levels of cybersecurity have been identified and shall include an implementation period.
当該委任法令を採択する前に、欧州委員会は、影響評価を行い、規則(EU) 2019/881第56条に従い協議を行う。
Before adopting such delegated acts, the Commission shall carry out an impact assessment and shall carry out consultations in accordance with Article 56 of Regulation (EU) 2019/881.
3. 本条第2項の目的のための適切な欧州サイバーセキュリティ認証スキームが利用できない場合には、欧州委員会は、協力グループ及び欧州サイバーセキュリティ認証グループと協議した後、規則(EU) 2019/881第48条(2)に従い、候補スキームを作成するようENISAに要請することができる。
3. Where no appropriate European cybersecurity certification scheme for the purposes of paragraph 2 of this Article is available, the Commission may, after consulting the Cooperation Group and the European Cybersecurity Certification Group, request ENISA to prepare a candidate scheme pursuant to Article 48(2) of Regulation (EU) 2019/881.