VI.1 Portée de l’évaluation par les pairs
1. Les types d’évaluations par les pairs suivants sont couverts:
a) Type 1: lorsqu’un organisme de certification exerce des activités de certification au niveau AVA_VAN.3;
b) Type 2: lorsqu’un organisme de certification exerce des activités de certification liées à un domaine technique figurant sur la liste des documents de référence à l’annexe I;
c) Type 3: lorsqu’un organisme de certification exerce des activités de certification supérieures au niveau AVA_VAN.3 en utilisant un profil de protection figurant sur la liste des documents de référence à l’annexe II ou III.
2. L’organisme de certification évalué par les pairs soumet la liste des produits TIC certifiés qui peuvent être candidats à l’examen par l’équipe d’évaluation par les pairs, conformément aux règles suivantes:
a) les produits candidats couvrent le champ d’application technique de l’autorisation de l’organisme de certification, dont au moins deux évaluations de produits différents au niveau d’assurance «élevé» seront analysées dans le cadre de l’évaluation par les pairs, et un profil de protection si l’organisme de certification a délivré un certificat au niveau d’assurance «élevé»;
b) pour une évaluation par les pairs de type 2, l’organisme de certification soumet au moins un produit par domaine technique et par CESTI concerné;
c) pour une évaluation par les pairs de type 3, au moins un produit candidat est évalué conformément à un profil de protection applicable et pertinent.
VI.2 Équipe d’évaluation par les pairs
1. L’équipe d’évaluation est composée d’au moins deux experts, chacun choisi dans un organisme de certification d’un État membre différent qui délivre des certificats de niveau d’assurance «élevé». Les experts doivent démontrer qu’ils ont les compétences nécessaires en ce qui concerne les normes visées à l’article 3 et les documents de référence relevant du champ d’application de l’évaluation par les pairs.
2. Dans le cas d’une délégation de la délivrance de certificat ou d’une approbation préalable des certificats visée à l’article 56, paragraphe 6, du règlement (UE) 2019/881, un expert de l’autorité nationale de certification de cybersécurité liée à l’organisme de certification concerné intègre en outre l’équipe d’experts sélectionnés conformément au paragraphe 1 de la présente section.
3. Pour une évaluation par les pairs de type 2, les membres de l’équipe sont sélectionnés parmi les organismes de certification autorisés pour le domaine technique concerné.
4. Chaque membre de l’équipe d’évaluation a au moins deux ans d’expérience en matière de certification au sein d’un organisme de certification.
5. Pour une évaluation par les pairs de type 2 ou 3, chaque membre de l’équipe d’évaluation a au moins deux ans d’expérience en matière de certification dans le domaine technique ou le profil de protection concerné; chaque membre peut en outre démontrer son expertise en matière d’autorisation de CESTI et sa participation à ce type de procédure d’autorisation.
6. L’autorité nationale de certification de cybersécurité qui contrôle et supervise l’organisme de certification évalué par les pairs et au moins une autorité nationale de certification de cybersécurité dont l’organisme de certification n’est pas soumis à l’évaluation par les pairs participent à l’évaluation par les pairs en tant qu’observateurs. L’ENISA aussi peut participer à l’évaluation par les pairs en qualité d’observateur.
7. La composition de l’équipe d’évaluation par les pairs est présentée à l’organisme de certification évalué par les pairs. Dans des cas justifiés, ce dernier peut contester la composition de l’équipe d’évaluation par les pairs et demander sa révision.