Статья 24Директива № 2022/2555 Европейского парламента и Совета Европейского Союза

1. Для того чтобы продемонстрировать соблюдение определенных требований Статьи 21, государства-члены ЕС могут потребовать от основных и значимых организаций использовать определенные продукты ICT, услуги ICT и процессы ICT, разработанные основной или значимой организацией или приобретенные у третьих лиц, которые сертифицированы согласно европейским схемам сертификации в области кибербезопасности, принятым согласно Статье 49 Регламента (ЕС) 2019/881. Помимо этого, государства-члены ЕС должны поощрять основные и значимые организации пользоваться квалифицированными удостоверительными услугами.

2. Европейская Комиссия вправе принимать делегированные акты в соответствии со Статьей 38, дополняющие настоящую Директиву и определяющие, какие категории основных и значимых организаций должны использовать определенные сертифицированные продукты ICT, услуги ICT и процессы ICT или получить сертификат в рамках европейской схемы сертификации в области кибербезопасности, принятой согласно Статье 49 Регламента (ЕС) 2019/881. Указанные делегированные акты должны быть приняты, если был выявлен недостаточный уровень кибербезопасности, и должны включать в себя период внедрения.

Прежде чем принимать такие делегированные акты, Европейская Комиссия должна провести оценку воздействия и консультации в соответствии со Статьей 56 Регламента (ЕС) 2019/881.

3. В случае отсутствия соответствующей европейской схемы сертификации в области кибербезопасности для целей параграфа 2 настоящей Статьи, Европейская Комиссия после консультации с Группой по сотрудничеству и Европейской группой по сертификации в области кибербезопасности может потребовать от ENISA подготовить потенциально подходящую схему согласно Статье 48(2) Регламента (ЕС) 2019/881.