Art. 8. Metody oceny zgodności

1. W celu wykazania, że produkt ICT, usługa ICT, proces ICT, usługa zarządzana w zakresie bezpieczeństwa lub system zarządzania cyberbezpieczeństwem spełniają szczegółowe wymogi określone w danym krajowym schemacie certyfikacji cyberbezpieczeństwa, przeprowadza się ocenę polegającą na badaniu dokumentacji technicznej, audycie, badaniu konkretnych właściwości produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa albo systemu zarządzania cyberbezpieczeństwem lub analizie ich funkcjonowania.

2. W celu wykazania, że wiedza i umiejętności praktyczne osoby fizycznej ubiegającej się o uzyskanie krajowego certyfikatu spełniają szczegółowe wymogi określone w danym krajowym schemacie certyfikacji cyberbezpieczeństwa, przeprowadza się test wiedzy i umiejętności praktycznych z zakresu cyberbezpieczeństwa.

Komentarz do Art. 8.

Przepis określa sposoby sprawdzania, czy określone produkty, usługi, procesy lub systemy spełniają wymagania przewidziane w krajowym schemacie certyfikacji cyberbezpieczeństwa. Dotyczy to produktu ICT, usługi ICT, procesu ICT, usługi zarządzanej w zakresie bezpieczeństwa oraz systemu zarządzania cyberbezpieczeństwem. Ocena ma wykazać zgodność z szczegółowymi wymogami właściwego schematu.

W przypadku tych przedmiotów ocena może obejmować różne działania, zależnie od tego, czego dotyczą wymagania i co ma zostać sprawdzone. Przepis wymienia badanie dokumentacji technicznej, audyt, badanie konkretnych właściwości produktu, usługi, procesu, usługi zarządzanej albo systemu, a także analizę ich funkcjonowania. Oznacza to, że weryfikacja może dotyczyć zarówno przedstawionych dokumentów, jak i praktycznego działania lub określonych cech badanego rozwiązania.

Osobno uregulowano sprawdzanie osoby fizycznej ubiegającej się o uzyskanie krajowego certyfikatu. W tym przypadku bada się, czy jej wiedza i umiejętności praktyczne spełniają szczegółowe wymogi określone w danym krajowym schemacie certyfikacji cyberbezpieczeństwa. Służy temu test wiedzy i umiejętności praktycznych z zakresu cyberbezpieczeństwa.

Praktyczne znaczenie przepisu polega na rozróżnieniu dwóch rodzajów oceny: oceny rozwiązania, usługi lub systemu oraz oceny kompetencji osoby. W obu przypadkach punktem odniesienia są wymagania określone w konkretnym krajowym schemacie, a przeprowadzenie wskazanego badania ma służyć wykazaniu ich spełnienia.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1017.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 7.Art. 9.