1. Un organisme de certification délivrant des certificats EUCC de niveau d’assurance «élevé» fait l’objet d’une évaluation par les pairs à intervalles réguliers et au moins tous les cinq ans. Les différents types d’évaluation par les pairs figurent à l’annexe VI.
2. Le groupe européen de certification de cybersécurité établit et tient à jour un calendrier des évaluations par les pairs en veillant à ce que cette périodicité soit respectée. Sauf dans des cas dûment justifiés, les évaluations par les pairs sont effectuées sur place.
3. L’évaluation par les pairs peut s’appuyer sur des éléments de preuve recueillis au cours d’évaluations par les pairs antérieures ou de procédures équivalentes de l’organisme de certification évalué par les pairs ou de l’autorité nationale de certification de cybersécurité, à condition que:
a) les résultats ne datent pas de plus de cinq ans;
b) les résultats soient accompagnés d’une description des procédures d’évaluation par les pairs établies pour ce schéma lorsqu’ils se rapportent à une évaluation par les pairs réalisée dans le cadre d’un schéma de certification différent;
c) le rapport d’évaluation par les pairs visé à l’article 47 précise quels résultats ont été réutilisés avec ou sans nouvelle évaluation.
4. Lorsqu’une évaluation par les pairs couvre un domaine technique, le CESTI concerné est lui aussi évalué.
5. L’organisme de certification évalué par les pairs et, le cas échéant, l’autorité nationale de certification de cybersécurité veillent à ce que toutes les informations pertinentes soient mises à la disposition de l’équipe d’évaluation par les pairs.
6. L’évaluation par les pairs est effectuée par une équipe dédiée constituée comme indiqué à l’annexe VI.