1. La Commission publie un programme de travail glissant de l’Union pour la certification européenne de cybersécurité (ci-après dénommé «programme de travail glissant de l’Union») qui recense les priorités stratégiques pour les futurs schémas européens de certification de cybersécurité.
2. Le programme de travail glissant de l’Union inclut notamment une liste de produits TIC, services TIC, processus TIC et services de sécurité gérés ou de catégories de ceux-ci, qui sont susceptibles de bénéficier d’une inclusion dans le champ d’application d’un schéma européen de certification de cybersécurité.
3. L’inclusion, dans le programme de travail glissant de l’Union, de produits TIC, services TIC, processus TIC ou de services de sécurité gérés spécifiques ou de catégories spécifiques de ceux-ci, doit se justifier sur la base de l’un ou de plusieurs des motifs suivants:
a) la disponibilité et le développement de schémas nationaux de certification de cybersécurité couvrant toute catégorie spécifique de produits TIC, services TIC, processus TIC ou services de sécurité gérés et, en particulier, en ce qui concerne le risque de fragmentation;
b) le droit ou la politique applicable de l’Union ou d’un État membre;
c) la demande du marché;
c bis) les évolutions technologiques ainsi que la disponibilité et le développement de schémas internationaux de certification de cybersécurité et de normes internationales et de normes utilisées par l’industrie;
d) l’évolution de la situation en ce qui concerne les cybermenaces;
e) une demande de préparation d’un schéma candidat spécifique par le GECC.
4. La Commission tient dûment compte des avis du GECC et du groupe des parties prenantes pour la certification de cybersécurité sur le projet de programme de travail glissant de l’Union.
5. Le premier programme de travail glissant de l’Union est publié au plus tard le 28 juin 2020. Le programme de travail glissant de l’Union est mis à jour au moins tous les trois ans, et plus souvent si nécessaire.