718/2021. (XII. 20.) Korm. rendelet

1. § E rendelet alkalmazásában

2. § A Kormány az Ibtv. 22/B. § (1) bekezdés b) pontja alapján a hadiipari kutatással, fejlesztéssel, gyártással és kereskedelemmel összefüggő kiberbiztonsági tanúsító hatósági feladatok ellátására tanúsító hatóságként a Katonai Nemzetbiztonsági Szolgálatot (a továbbiakban: tanúsító hatóság) jelöli ki.

3. § A tanúsító hatóság tanúsításfelügyeleti tevékenységet kizárólag valamely európai kiberbiztonsági tanúsítási rendszer hatálya alá tartozó hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat vonatkozásában végez. A tanúsító hatóság hatásköre a Magyarországon letelepedett gyártó, illetve megfelelőségértékelő szervezet tevékenységére terjed ki.

4. § A tanúsító hatóság

5. § (1) Ha egy tanúsítási rendszer lehetővé teszi, illetve uniós vagy hazai jogszabály kötelezővé teszi „alap” megbízhatósági szint esetében a megfelelőségi önértékelést, a gyártó – ha a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat megfelel a tanúsítási rendszerben foglalt követelményeknek – uniós megfelelőségi nyilatkozatot állíthat ki.

(2) A gyártó az uniós megfelelőségi nyilatkozatot magyar és angol nyelven állítja ki.

(3) A gyártó az uniós megfelelőségi nyilatkozatot a kiállítását követően honlapján haladéktalanul közzéteszi.

6. § A gyártó az uniós megfelelőségi nyilatkozat kiállítását követően gyárthatja, illetve nyújthatja a tanúsítási rendszer követelményeinek megfelelően a hadiipari IKT-terméket, hadiipari IKT-szolgáltatást vagy hadiipari IKT-folyamatot.

7. § (1) Ha valamely hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat tekintetében uniós vagy hazai jogszabály kötelezővé teszi az uniós megfelelőségi nyilatkozat kiállítását, az adott termék, szolgáltatás vagy folyamat az uniós megfelelőségi nyilatkozat kiállítása hiányában – a kötelezővé tétel napját követően vagy az uniós, illetve hazai jogszabályban meghatározott határidőt követően – nem hozható forgalomba, illetve nem nyújtható.

(2) A már forgalomban lévő hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat kapcsán a gyártó köteles a honlapján tájékoztatást közzétenni arról, hogy

8. § A gyártó az uniós megfelelőségi nyilatkozat másolati példányát a kiállítást követő 15 napon belül benyújtja a tanúsító hatósághoz, kérve annak nyilvántartásba vételét. A kérelemhez a gyártó csatolja a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat műszaki dokumentációját, illetve a tanúsítási rendszernek való megfeleléssel kapcsolatos, releváns információkat tartalmazó dokumentumokat.

9. § Ahol a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat jellege lehetővé teszi, a gyártónak a megfelelőségi önértékelés megtörténtét jelző megfelelőségi jelölést kell elhelyeznie az adott hadiipari IKT-terméken, hadiipari IKT-szolgáltatáson vagy hadiipari IKT-folyamatban. A megfelelőségi jelölésre a 39. § rendelkezései alkalmazandók.

10. § (1) A gyártó a tanúsítási rendszerben foglaltak szerint, ennek hiányában negyedévente vizsgálja, hogy a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat megfelel-e a tanúsítási rendszer szerinti követelményeknek, nem megfelelés esetén kiigazító intézkedéseket tesz.

(2) Ha a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat a gyártó által megtett kiigazító intézkedések eredményeképpen sem felel meg a tanúsítási rendszer szerinti egyes követelményeknek, a gyártó az általa kiadott uniós megfelelőségi nyilatkozatot visszavonja, és erről a visszavonást követő 8 napon belül tájékoztatja az Európai Uniós Kiberbiztonsági Ügynökséget (a továbbiakban: ENISA), a tanúsító hatóságot és a forgalmazót, valamint a visszavonásról szóló tájékoztatást tesz közzé a honlapján.

(3) Az uniós megfelelőségi nyilatkozat visszavonása esetén a gyártó haladéktalanul köteles intézkedni az érintett hadiipari IKT-termékről, hadiipari IKT-szolgáltatásról vagy hadiipari IKT-folyamatról a megfelelőségi jelölés eltávolítása iránt.

11. § (1) A kiberbiztonsági tanúsítás önkéntes, kivéve, ha uniós vagy hazai jogszabály eltérően rendelkezik.

(2) Ha valamely hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat tekintetében uniós vagy hazai jogszabály kötelezővé teszi a kiberbiztonsági tanúsítást, az adott hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat tanúsítás hiányában – a kötelezővé tétel napját követően vagy az uniós, illetve hazai jogszabályban meghatározott határidőt követően – nem hozható forgalomba, illetve nem nyújtható.

(3) A már forgalomban lévő hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat kapcsán a gyártó köteles a honlapján tájékoztatást közzétenni, hogy

12. § (1) Kiberbiztonsági tanúsításra az Ibtv. 22/B. § (4) bekezdése szerinti megfelelőségértékelő szervezet vagy a tanúsító hatóság jogosult.

(2) A Kormány által meghatározott egyes tanúsítási rendszerek esetében a megfelelőségértékelést kizárólag a tanúsító hatóság végezheti.

13. § (1) A megfelelőségértékelő szervezet nyilvántartásba vételi eljárása kérelemre indul, amelyet a megfelelőségértékelő szervezet nyújt be a tanúsító hatósághoz.

(2) A kérelemben a megfelelőségértékelő szervezet megjelöli

(3) A nyilvántartásba vételi kérelemhez a kérelmező benyújtja

14. § (1) Ha a kérelmező az akkreditációról szóló határozatot nem nyújtja be, úgy azt a tanúsító hatóság – a kérelmező adatközlése alapján – közvetlenül beszerzi a nemzeti akkreditáló szervtől.

(2) A nemzeti akkreditáló szerv nyolc napon belül megküldi a tanúsító hatóság számára a kért adatokat.

15. § (1) A megfelelőségértékelő szervezet a nyilvántartásba vételről szóló határozat véglegessé válását követően jogosult az érintett tanúsítási rendszer keretében tanúsítvány kiadására és a megfelelőségértékelő szervezetként történő tevékenységek ellátására.

(2) Az engedély, illetve a nyilvántartásba vételről szóló határozat hatálya az akkreditált státusz lejártáig terjedhet.

(3) A tanúsító hatóság a nyilvántartásba vett megfelelőségértékelő szervezetet bejelenti az Európai Bizottság (a továbbiakban: Bizottság) részére, és honlapján közzéteszi a nyilvántartásba vett megfelelőségértékelő szervezetek jegyzékét. A tanúsító hatóság a megfelelőségértékelő szervezet megnevezését, székhelyének címét, a nyilvántartásba vételi okirat számát, a nyilvántartásba vételének időpontját, lejáratát és a vonatkozó tanúsítási rendszert teszi közzé.

(4) Újabb nyilvántartásba vételi, illetve engedélyezési eljárást kell kezdeményezni, ha a megfelelőségértékelő szervezet a nyilvántartásba vételét követően tevékenységét további megfelelőségértékelési területre, más tanúsítási rendszer keretében végzett megfelelőségértékelési területre is ki kívánja terjeszteni.

16. § (1) Az Ibtv. 22/B. § (6) bekezdésében foglaltaknak megfelelően, ha a tanúsítási rendszer konkrét vagy kiegészítő követelményeket ír elő, vagy ha a megfelelőségértékelő szervezet „magas” megbízhatósági szintű tanúsítványok kiadása jogkörének részére történő átruházását kívánja kezdeményezni a tanúsító hatóságnál, a megfelelőségértékelő szervezet engedélyezés iránti kérelmet nyújt be a tanúsító hatóságnál.

(2) A megfelelőségértékelő szervezet által benyújtott engedélyezés iránti kérelem tartalmazza

(3) Az engedélyezés iránti kérelemhez a megfelelőségértékelő szervezet benyújtja

17. § Ha a tanúsítási rendszer konkrét vagy kiegészítő követelményt határoz meg, a nemzeti akkreditáló szerv az akkreditációról szóló határozatban szerepelteti, hogy az akkreditációs eljárás ezen követelmények teljesítésének ellenőrzésére is kiterjedt.

18. § (1) A tanúsító hatóság az engedélyezési eljárás során

(2) A nemzeti akkreditáló szerv, illetve az AH a tanúsító hatóság írásbeli megkeresése alapján nyolc napon belül megküldi a tanúsító hatóság számára a kért adatokat.

19. § (1) Ha a tanúsító hatóság az engedélyezésre irányuló kérelmet jóváhagyja, a kérelmezőt és közreműködőjét nyilvántartásba veszi. Ha a kérelem vagy a kérelmező nem felel meg a kérelemmel vagy a kérelmezővel, közreműködővel szemben támasztott követelményeknek, a kérelmet elutasítja.

(2) A „magas” megbízhatósági szintű tanúsítványok kiadása jogkörének átruházására irányuló kérelmet honvédelmi, nemzetbiztonsági érdek alapján a tanúsító hatóság akkor is elutasíthatja, ha a kérelmező és a közreműködő megfelel a kérelemmel, valamint a kérelmezővel és a közreműködővel szemben támasztott követelményeknek.

20. § (1) A tanúsító hatóság az engedélyt visszavonja, ha a megfelelőségértékelő szervezet

(2) Ha a tanúsító hatóság a „magas” megbízhatósági szintű tanúsítványok kiadásának jogkörét átruházta valamely megfelelőségértékelő szervezetre, az átruházást – részben vagy egészben – visszavonja, ha

21. § A tanúsító hatóság nyilvántartási feladatai ellátása keretében nyilvántartásba veszi

22. § A tanúsító hatóság részére a nyilvántartásba vételhez szükséges adatszolgáltatást a tanúsító hatóság honlapján közzétett formátumban kell teljesíteni.

23. § (1) A tanúsító hatóság részére korábban bejelentett adatokban történt változás esetén, a változást követő 8 napon belül a bejelentő gondoskodik a megváltozott adatok tanúsító hatóság részére történő megküldéséről.

(2) A megfelelőségértékelő szervezet a változás beálltát követő 8 napon belül köteles bejelenteni a tanúsító hatóságnak, ha

24. § (1) Ha a nemzeti akkreditáló szerv az akkreditált státuszt részlegesen vagy teljeskörűen felfüggeszti, részlegesen vagy teljeskörűen visszavonja, vagy az akkreditált szervezet kérelmére az akkreditált területet szűkíti, erről a tanúsító hatóságot értesíti. A nemzeti akkreditáló szerv a felügyeleti vizsgálat, illetve a rendkívüli felügyeleti vizsgálat eredményeit megküldi a tanúsító hatóságnak.

(2) Ha a tanúsító hatóság eljárása során felmerül annak a gyanúja, hogy a megfelelőségértékelő szervezet már nem rendelkezik akkreditációval, a tanúsító hatóság megkeresi a nemzeti akkreditáló szervet az akkreditált státuszra vonatkozó tájékoztatás nyújtása érdekében.

(3) Ha a megfelelőségértékelő szervezet az akkreditált státusz lejárta előtt megküldi az akkreditált státusz fenntartásáról szóló határozatot, a tanúsító hatóság a nyilvántartásban ezt rögzíti.

(4) Az akkreditált státusz lejártát követően megküldött tájékoztatás esetén új nyilvántartásba vételi kérelmet kell benyújtani, engedélyezési eljárás esetén új engedélyezési eljárást kell lefolytatni.

(5) Ha akkreditált státusz lejártát megelőzően a megfelelőségértékelő szervezet igazolja, hogy az akkreditált státusz fenntartására irányuló eljárás folyamatban van, a tanúsító hatóság a nyilvántartásban szereplő megfelelőségértékelő szervezet státuszát felfüggeszti az akkreditációs eljárás befejezéséig.

(6) Ha a nemzeti akkreditáló szerv az akkreditációt részlegesen vagy teljeskörűen felfüggeszti,

25. § (1) A megfelelőségi önértékelést végző gyártó, illetve a megfelelőségértékelő szervezet a jogutódlás nélkül történő megszűnését – a megszűnés időpontját megelőző 8 napon belül – köteles bejelenteni a tanúsító hatóság részére.

(2) Ha a tanúsító hatóság jogszabályban meghatározott eljárása során szerez tudomást a jogutódlás nélkül történő megszűnésről, hivatalból intézkedik a nyilvántartásban szereplő adatok helyesbítéséről.

(3) A megfelelőségi önértékelést végző gyártót érintő jogutódlás esetén, ha a jogutód folytatni kívánja a megfelelőségi önértékelés keretében tanúsított hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat gyártását, illetve nyújtását, visszavonja jogelődje megfelelőségi nyilatkozatát, és új megfelelőségi nyilatkozatot állít ki. A jogutód a változás bekövetkezésétől számított 8 napon belül a jogerős cégbírósági bejegyző határozat és a megfelelőségi nyilatkozat másolatának megküldésével értesíti a tanúsító hatóságot, és a nyilvántartásba vételi eljárásra vonatkozó szabályok szerint kezdeményezi a nyilvántartásba vételt. A megfelelőségi önértékelést végző gyártó a névváltozásról 8 napon belül értesíti a tanúsító hatóságot.

(4) A megfelelőségértékelő szervezetet érintő jogutódlás esetén, amennyiben a jogutód a megfelelőségértékelési tevékenységet folytatni kívánja, a jogutód az akkreditációs okirat kézhezvételét követő 8 napon belül az akkreditációs okirat másolatának megküldésével értesíti a tanúsító hatóságot, és a nyilvántartásba vételi, illetve az engedélyezési eljárásra vonatkozó szabályok szerint kezdeményezi a nyilvántartásba vételt, illetve az engedélyezése iránti eljárás megindítását. A megfelelőségértékelő szervezet a névváltozásról 8 napon belül értesíti a tanúsító hatóságot.

(5) A megfelelőségértékelő szervezetet érintő változásról a tanúsító hatóság a nyilvántartásba való bejegyzésről szóló határozat véglegessé válásától számított 15 napon belül értesíti a Bizottságot.

26. § (1) A tanúsító hatóság törli a nyilvántartásból

(2) A megfelelőségértékelő szervezet hatósági nyilvántartásból való törlése esetén a tanúsító hatóság a törlésről szóló határozat véglegessé válásától számított 15 napon belül értesíti a Bizottságot.

27. § (1) A piacfelügyeleti eljárás keretében a tanúsító hatóság a hadiipari IKT-termékekre, hadiipari IKT-szolgáltatásokra vagy hadiipari IKT-folyamatokra vonatkozó tanúsítási rendszerben, az uniós és magyar jogszabályokban foglalt követelményeknek való megfelelőséget, valamint a megfelelőség tanúsításának ellenőrzését végzi.

(2) A tanúsító hatóság a piacfelügyeleti ellenőrzést a tanúsítási rendszerben foglaltak szerint végzi.

28. § (1) A tanúsító hatóság ellenőrzési jogkörében ellenőrzi

(2) A tanúsító hatóság a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat és az azokban kezelt adatok biztonsága érdekében jogosult ellenőrizni minden olyan, a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat védelmére vonatkozó intézkedést, amellyel az érintett hadiipari IKT-terméket, hadiipari IKT-szolgáltatást vagy hadiipari IKT-folyamatot veszélyeztető fenyegetések kezelhetőek.

(3) A tanúsító hatóság ellenőrzési jogkörében a megfelelőségértékelő szervezetnél ellenőrzi, hogy

29. § (1) A tanúsító hatóság az ellenőrzés elrendeléséről az érintett szervezet vezetőjét az ellenőrzés megkezdése előtt legalább tíz nappal értesíti.

(2) A tanúsító hatóság az ellenőrzés elrendelése esetén az ellenőrzést ellátó munkatársa részére megbízólevelet állít ki.

(3) A tanúsító hatóság a hatósági ellenőrzésről készített feljegyzés vagy jegyzőkönyv egy példányát az ügyfélnek a helyszínen átadja, vagy azt az ügyfél részére az ellenőrzés befejezésétől számított 20 napon belül megküldi, amelyre az érintett szervezet 8 napon belül írásban tehet – a tanúsító hatóságot nem kötelező – észrevételeket. Az észrevételek tisztázása érdekében a tanúsító hatóság egyeztetést kezdeményezhet az érintett szervezettel.

(4) Ha a tanúsító hatóság úgy ítéli meg, hogy az előírások megsértése más tagállamot is érint, tájékoztatja a tanúsítási rendszerben foglaltak szerint a Bizottságot, az ENISA-t és a többi tagállamot az ellenőrzés eredményeiről és azokról az intézkedésekről, amelyek meghozatalára az érintett szervezetet felszólították, illetve amelyeket a tanúsító hatóság megtett.

30. § A tanúsító hatóság az ellenőrzés eredményeként a feltárt jogsértés súlyával arányosan, a jogsértésben rejlő kockázat mértékének és jellegének figyelembevételével – a termékek piacfelügyeletéről szóló törvényben foglaltakon túl – a következő jogkövetkezményeket alkalmazhatja:

32. § (1) A tanúsító hatóság közigazgatási hatósági jogkörében eljárva kizárólag a jogszabályoknak van alávetve, hatósági eljárása során és hatósági döntéseinek tartalmával összefüggésben – a feladat elvégzésére vagy a mulasztás pótlására irányuló utasítás kivételével – nem utasítható.

(2) Az eljárás során a kérelem kormányablaknál való előterjesztése kizárt.

(3) Az eljárásban kétszeri hiánypótlásra való felszólításnak van helye.

(4) A tanúsító hatóság a panaszok kezelésére vonatkozó eljárásrendjét a honlapján közzéteszi.

33. § (1) A tanúsító hatóság eljárása során a szükséges vizsgálatok elvégzéséhez szakértő vagy az adott területen akkreditált szervezet vagy szakértelemmel rendelkező szervezet (a továbbiakban: szakértő) közreműködését veheti igénybe, vagy elrendelheti azok igénybevételét a megfelelőség igazolásához.

(2) A tanúsító hatóság megbízására nem járhat el olyan szakértő, amely a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat megfelelőségét korábban vizsgálta, vagy a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat fejlesztésében, kialakításában közreműködött.

(3) A tanúsító hatóság szakértő bevonásával vagy a saját laboratóriumában, vagy, amennyiben a vizsgálat alá vont hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat tulajdonságai ezt nem teszik lehetővé, a gyártó vagy az üzemeltető telephelyén a hadiipari IKT-terméket, hadiipari IKT-szolgáltatást vagy hadiipari IKT-folyamatot az előírt követelmények teljesítése tekintetében vizsgálat alá vonhatja.

(4) Ha a tanúsító hatóság az üzleti titok körébe tartozó információkhoz jut hozzá, gondoskodik ezen információk védelméről. Az üzleti titok nem akadályozhatja azt, hogy a piacfelügyeletre irányuló tevékenységek hatékonyságának biztosítása szempontjából jelentős információkat a tanúsító hatóságok egymás, valamint a vizsgáló és tanúsító intézmények a tanúsító hatóság tudomására hozzák.

34. § A nyilvántartásba vett megfelelőségértékelő szervezetnek folyamatosan meg kell felelnie a nyilvántartásba vétel feltételeinek, amit a tanúsító hatóság jogosult bármikor ellenőrizni.

35. § A megfelelőségértékelő szervezet tanúsítási tevékenysége során 8 napon belül tájékoztatja a tanúsító hatóságot

36. § (1) A megfelelőségértékelő szervezet az előző évben végzett megfelelőségértékelési tevékenységéről jelentést készít (a továbbiakban: éves jelentés), amelyet megküld a tanúsító hatóság részére.

(2) Az éves jelentés tartalmazza

37. § (1) Ha a megfelelőségértékelő szervezet egyes megfelelőségértékelési feladatok ellátásához közreműködőt vesz igénybe, biztosítja, hogy a közreműködő megfelel a jogszabályban meghatározott követelményeknek, és erről tájékoztatja a tanúsító hatóságot.

(2) A megfelelőségértékelő szervezet teljes felelősséget vállal a közreműködő által elvégzett feladatokért, függetlenül attól, hogy az hol van letelepedve.

(3) A megfelelőségértékelő szervezet a tanúsító hatóság megkeresése esetén rendelkezésre bocsátja a közreműködő szakmai képesítésére és az általa elvégzett munkára vonatkozó dokumentumokat.

38. § A megfelelőségértékelő szervezetnek a panaszok és vitás kérdések kezelésére olyan eljárásrenddel kell rendelkeznie, amely alkalmas a panaszok tényszerű feltárására és orvoslására.

39. § (1) A tanúsított hadiipari IKT-terméken, hadiipari IKT-szolgáltatás során vagy hadiipari IKT-folyamatban a tanúsítottság tényének jelzése érdekében a tanúsítási rendszer által előírt formátumban megfelelőségi jelölést kell elhelyezni. A megfelelőségi jelölést jól láthatóan, egyértelműen és maradandóan kell elhelyezni.

(2) Ahol a megfelelőségi jelölés elhelyezése nem értelmezhető, a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat jellege által biztosított lehetőség szerinti formában kell feltüntetni a megfelelőségi jelölést vagy az erre történő utalást.

(3) Tilos a hadiipari IKT-terméken, hadiipari IKT-szolgáltatás során vagy hadiipari IKT-folyamatban az olyan jelölés használata, amely hasonlít a megfelelőségi jelölés jelentésére vagy formájára, és így harmadik felet megtéveszthet. Minden egyéb jelölés, amely nem rontja a megfelelőségi jelölés láthatóságát és olvashatóságát, feltüntethető a hadiipari IKT-terméken, hadiipari IKT-szolgáltatáson vagy hadiipari IKT-folyamatban.

(4) A jelölést a forgalomba hozatal előtt, akkor kell elhelyezni, amikor a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat elkészült. A megfelelőségi jelölést csak a gyártó vagy meghatalmazott képviselője helyezheti el. A megfelelőségi jelölés elhelyezésével vagy elhelyeztetésével a gyártó jelzi, hogy vállalja a felelősséget a hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat e rendeletben, valamint valamennyi olyan alkalmazandó közösségi jogszabályban megállapított követelménynek való megfelelésért, amely a jelölés alkalmazását előírja.

(5) Ha a tanúsító hatóság azt állapítja meg, hogy a megfelelőségi jelölést jogosulatlanul tüntették fel a hadiipari IKT-terméken, hadiipari IKT-szolgáltatás során vagy hadiipari IKT-folyamatban, kötelezi a gyártót vagy meghatalmazott képviselőjét, hogy a terméket, illetve a tájékoztatást módosítsa a megfelelőségi jelölésre vonatkozó előírások szerint, és akadályozza meg a további szabálytalanságot a tanúsító hatóság által előírt feltételeknek megfelelően.

(6) Ha a nem-megfelelőség továbbra is fennáll, a tanúsító hatóság felszólítja a gyártót a meg nem feleléssel érintett termékről, illetve tájékoztatásról a megfelelőségi jelölés eltávolítása iránt. Amennyiben erre nincs lehetőség, vagy amennyiben a gyártó e kötelezettségének nem tesz eleget, a tanúsító hatóság intézkedhet az adott hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat forgalomba hozatalának, nyújtásának korlátozása, megtiltása vagy forgalomból történő kivonása iránt.

40. § (1) A megfelelőségi önértékelést végző gyártó – a hadiipari IKT-termékre, hadiipari IKT-szolgáltatásra vagy hadiipari IKT-folyamatra vonatkozó tanúsítási rendszerben foglalt eljárásrendnek megfelelően – haladéktalanul bejelenti a tanúsító hatóság részére az általa gyártott termék, nyújtott szolgáltatás vagy folyamat vonatkozásában feltárt sebezhetőséget.

(2) A gyártó – a hadiipari IKT-termékre, hadiipari IKT-szolgáltatásra vagy hadiipari IKT-folyamatra vonatkozó tanúsítási rendszerben foglalt eljárásrendnek megfelelően – haladéktalanul bejelenti a megfelelőségértékelő szervezet részére az általa gyártott termék, nyújtott szolgáltatás vagy folyamat vonatkozásában feltárt sebezhetőséget.

(3) A megfelelőségértékelő szervezet – a hadiipari IKT-termékre, hadiipari IKT-szolgáltatásra vagy hadiipari IKT-folyamatra vonatkozó tanúsítási rendszerben foglalt eljárásrendnek megfelelően – haladéktalanul bejelenti a tanúsító hatóság részére az általa tanúsított hadiipari IKT-termék, hadiipari IKT-szolgáltatás vagy hadiipari IKT-folyamat vonatkozásában feltárt sebezhetőséget.

41. § A tanúsító hatóság a bejelentésről értesíti az eseménykezelő központot, és az adott hadiipari IKT-termékre, hadiipari IKT-szolgáltatásra vagy hadiipari IKT-folyamatra vonatkozó tanúsítási rendszerben foglalt eljárásrendnek megfelelően jár el.

42. § (1) Ez a rendelet – a (2) bekezdésben foglalt kivétellel – 2022. január 1-jén lép hatályba.

(2) A 31. § és az 1. melléklet az e rendelet kihirdetését követő 30. napon lép hatályba.

43. § Ez a rendelet az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról, valamint az 526/2013/EU rendelet hatályon kívül helyezéséről (kiberbiztonsági jogszabály) című, 2019. április 17-i (EU) 2019/881 európai parlamenti és tanácsi rendelet végrehajtásához szükséges rendelkezéseket állapít meg.