1. La conformité des portefeuilles européens d’identité numérique et du schéma d’identification électronique dans le cadre duquel ils sont fournis avec les exigences énoncées à l’article 5 bis, paragraphes 4, 5 et 8, avec l’exigence de séparation logique prévue à l’article 5 bis, paragraphe 14, et, le cas échéant, avec les normes et spécifications techniques visées à l’article 5 bis, paragraphe 24, est certifiée par des organismes d’évaluation de la conformité désignés par les États membres.
2. La certification de la conformité des portefeuilles européens d’identité numérique avec les exigences visées au paragraphe 1 du présent article, ou avec des parties de celles-ci, qui sont pertinentes en matière de cybersécurité, est effectuée conformément aux schémas de certification de cybersécurité européens adoptés en vertu du règlement (UE) 2019/881 du Parlement européen et du Conseil et visés dans les actes d’exécution visés au paragraphe 6 du présent article.
3. Pour les exigences visées au paragraphe 1 du présent article qui ne sont pas pertinentes en matière de cybersécurité et, pour les exigences visées au paragraphe 1 du présent article qui sont pertinentes en matière de cybersécurité, dans la mesure où les schémas de certification de cybersécurité visés au paragraphe 2 du présent article ne couvrent pas, ou ne couvrent que partiellement, ces exigences en matière de cybersécurité, les États membres établissent, également pour ces exigences, des schémas nationaux de certification conformément aux exigences énoncées dans les actes d’exécution visés au paragraphe 6 du présent article. Les États membres transmettent leurs projets de schémas nationaux de certification au groupe de coopération européen en matière d’identité numérique institué en vertu de l’article 46 sexies, paragraphe 1 (ci-après dénommé “groupe de coopération”). Le groupe de coopération peut émettre des avis et des recommandations.
4. La certification en vertu du paragraphe 1 est valable pour une durée maximale de cinq ans, à condition qu’une évaluation des vulnérabilités soit effectuée tous les deux ans. Si une vulnérabilité est décelée et n’est pas corrigée en temps utile, la certification est annulée.
5. Le respect des exigences énoncées à l’article 5 bis du présent règlement relatives au traitement des données à caractère personnel peut être certifié en vertu du règlement (UE) 2016/679.
6. Au plus tard le 21 novembre 2024, la Commission établit, au moyen d’actes d’exécution, une liste de normes de référence et, au besoin, les spécifications et les procédures applicables à la certification des portefeuilles européens d’identité numérique visée aux paragraphes 1, 2 et 3 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 48, paragraphe 2.
7. Les États membres communiquent à la Commission le nom et l’adresse des organismes d’évaluation de la conformité visés au paragraphe 1. La Commission met ces informations à la disposition de tous les États membres.
8. La Commission est habilitée à adopter, conformément à l’article 47, des actes délégués définissant les critères spécifiques auxquels doivent répondre les organismes d’évaluation de la conformité désignés visés au paragraphe 1 du présent article.