(84) La Commission devrait préparer, avec le soutien du groupe européen de certification de cybersécurité (GECC) et du groupe des parties prenantes pour la certification de cybersécurité et à la suite d’une large consultation ouverte, un programme de travail glissant de l’Union pour les schémas européens de certification de cybersécurité et devrait le publier sous la forme d’un instrument non contraignant. Le programme de travail glissant de l’Union devrait consister en un document stratégique permettant aux entreprises du secteur, aux autorités nationales et aux organismes de normalisation, en particulier, de se préparer à l’avance dans la perspective des futurs schémas européens de certification de cybersécurité. Le programme de travail glissant de l’Union devrait comporter un aperçu pluriannuel des demandes de schémas candidats que la Commission compte adresser à l’ENISA pour préparation, sur la base de motifs spécifiques. La Commission devrait tenir compte du programme de travail glissant de l’Union lors de la préparation de son plan glissant pour la normalisation des TIC et des demandes de normalisation adressées à des organismes européens de normalisation. Compte tenu de la rapidité de l’introduction et de l’adoption des nouvelles technologies, de l’apparition de risques liés à la cybersécurité auparavant inconnus et de l’évolution de la législation et des marchés, la Commission ou le GECC devrait être habilité(e) à demander à l’ENISA de préparer des schémas candidats qui n’ont pas été prévus dans le programme de travail glissant de l’Union. En pareils cas, la Commission et le GECC devraient en outre évaluer le bien-fondé d’une telle demande en tenant compte des finalités et objectifs généraux du présent règlement et de la nécessité d’assurer la continuité en ce qui concerne la planification et l’utilisation des ressources par l’ENISA.
À la suite d’une telle demande, l’ENISA devrait préparer les schémas candidats pour des produits TIC, services TIC et processus TIC spécifiques sans retard injustifié. La Commission devrait évaluer l’incidence positive et négative de sa demande sur le marché spécifique en question, en particulier son impact sur les PME, l’innovation, les obstacles à l’entrée sur ce marché et les coûts pour les utilisateurs finaux. Sur la base du schéma candidat préparé par l’ENISA, la Commission devrait alors être habilitée à adopter le schéma européen de certification de cybersécurité par voie d’actes d’exécution. Compte tenu de la finalité générale du présent règlement et des objectifs de sécurité qui y sont fixés, les schémas européens de certification de cybersécurité adoptés par la Commission devraient préciser un ensemble minimal d’éléments relatifs à l’objet, au champ d’application et au fonctionnement du schéma considéré. Ces éléments devraient notamment comprendre le champ d’application et l’objet de la certification de cybersécurité, y compris l’indication des catégories de produits TIC, services TIC et processus TIC couverts, la description détaillée des exigences de cybersécurité, par exemple par référence à des normes ou des spécifications techniques, les critères et méthodes d’évaluation spécifiques, ainsi que le niveau d’assurance visé («élémentaire», «substantiel» ou «élevé»), et les niveaux d’évaluation s’il y a lieu. L’ENISA devrait pouvoir refuser une demande adressée par le GECC. De telles décisions devraient être prises par le conseil d’administration et devraient être dûment motivées.