Lov om supplerende bestemmelser til forordningen om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (lov om cybersikkerhedscertificering) § 11

Det følger af artikel 58, stk. 8, litra b, i forordningen om cybersikkerhed, at cybersikkerhedscertificeringsmyndigheden skal kunne udføre undersøgelser i form af audit af overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer med henblik på at verificere deres overholdelse af afsnit III om rammebestemmelser for cybersikkerhedscertificering i forordningen om cybersikkerhed.

Det foreslås i § 11, at Sikkerhedsstyrelsen kan auditere overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer med henblik på at verificere overholdelse af forordningen om cybersikkerhed, regler fastsat i medfør af forordningen, denne lov og regler fastsat i medfør af denne lov.

Med bestemmelsen kan Sikkerhedsstyrelsen dermed foretage audit i overensstemmelse med det anførte i forordningens artikel 58, stk. 8, litra b. Det præciseres ikke nærmere i forordningen, hvad audit indebærer.

Ved auditbesøg efterprøver Sikkerhedsstyrelsen, om såvel overensstemmelsesvurderingsorganer, indehavere og udstedere anvender og efterlever de principper og rammebestemmelser, der er anført i afsnit III i forordningen om cybersikkerhed. Audits foretages med passende intervaller, der ud fra en konkret vurdering kan fastsættes til f.eks. at være årlige, halvårlige eller hvad der efter omstændighederne vurderes at være passende af Sikkerhedsstyrelsen.

Overensstemmelsesvurderingsorganer, indehavere af en europæisk cybersikkerhedsattest og udstedere af EU-overensstemmelseserklæringer skal berigtige de afvigelser, som Sikkerhedsstyrelsen konstaterer, ved korrigerende handlinger, og Sikkerhedsstyrelsen skal verificere resultatet af de korrigerende handlinger. Hvis Sikkerhedsstyrelsen efterfølgende konstaterer, at der ikke er fulgt op på anmærkningen med en handling inden for en fastsat frist, vil det føre til en afvigelse, som videregives til DANAK, jf. forordningens artikel 58, stk. 7, litra c.