Article 12

a) Les entitats crítiques i les entitats equivalents a entitats crítiques han de garantir que els proveïdors subcontractats dels quals disposin tenen garanties suficients sobre els serveis subcontractats, així com sobre la provisió de qualsevol tecnologia o producte. Les entitats crítiques i les entitats equivalents a entitats crítiques resten obligades que aquests serveis, tecnologia o productes oferts constin al Registre de components certificats elaborat a aquest efecte per l’ANC-AD en cada moment. El referit Registre de components certificats l’elabora l’ANC-AD en funció dels criteris que consideri escaients, incloent-hi els criteris internacionalment reconeguts o aplicats per entitats homòlogues de l’ANC-AD.

b) En cas que una entitat crítica o entitat equivalent a entitat crítica no pugui disposar de serveis o tecnologia o productes recollits al Registre de components certificats referit en el paràgraf anterior, aquesta entitat pot sol·licitar a l’ANC-AD una autorització per a la disposició dels serveis o tecnologia o producte que correspongui. Aquesta sol·licitud ha d’estar degudament argumentada i ha de justificar els motius de la necessitat de disposar del servei o tecnologia o producte que es proposa, i l’ANC-AD disposa de dos mesos per avaluar-la. En cas de manca de resolució per part de l’ANC-AD dins del termini esmentat, l’autorització s’entén denegada per silenci administratiu negatiu.

c) En els supòsits de processos de contractació de serveis o d’adquisició de tecnologia o productes per part de les entitats crítiques i les entitats equivalents a entitats crítiques, aquestes entitats resten obligades a requerir als proveïdors la presentació d’una auditoria de seguretat externa elaborada amb una data inferior a divuit mesos respecte a la data de la presentació de les seves ofertes, la qual s’ha d’efectuar de conformitat amb els marcs reconeguts internacionalment en matèria de ciberseguretat en cada moment.

d) En cas que una entitat crítica o entitat equivalent a entitat crítica acrediti que no pot disposar d’un proveïdor de serveis o tecnologia o productes que tingui l’auditoria referenciada en el paràgraf anterior, o que el proveïdor ja compta amb un o diversos certificats reconeguts, pot sol·licitar a l’ANC-AD una autorització per contractar el proveïdor que correspongui. Aquesta sol·licitud ha d’estar degudament argumentada i ha de justificar els motius de la contractació que es proposa, i l’ANC-AD disposa de dos mesos per avaluar-la. En cas de manca de resolució per part de l’ANC-AD dins del referit termini, l’autorització s’entén denegada per silenci administratiu negatiu.

e) No obstant això, les entitats crítiques i les entitats equivalents a entitats crítiques resten obligades a requerir a les entitats subcontractades posteriorment la presentació d’una auditoria de seguretat externa elaborada amb una data inferior a divuit mesos respecte a la data en la qual s’iniciï la subcontractació posterior. En aquest supòsit, també existeix la possibilitat que l’entitat crítica o l’entitat equivalent a entitat crítica sol·liciti a l’ANC-AD l’excepció regulada a l’apartat anterior, en els supòsits en els quals s’acrediti la manca de disposició d’un proveïdor que pugui tenir aquesta auditoria.

f) Les entitats crítiques i les entitats equivalents a entitats crítiques han de facilitar a l’ANC-AD, amb una periodicitat anual, un resum de les contractacions i subcontractacions efectuades de conformitat amb el que estableixen els apartats anteriors d’aquest article, fent referència als components certificats contractats en cada cas. Així mateix, en relació amb les auditories externes esmentades en els apartats anteriors d’aquest article, les entitats crítiques i les entitats equivalents a entitats crítiques han d’informar anualment l’ANC-AD de les empreses responsables de les auditories i dels marcs estàndard utilitzats per aquestes.