Рамка на ЕС за сертифициране на киберсигурността

Сертифицирането играе решаваща роля за повишаване на доверието и сигурността в продукти и услуги от критично значение за цифровия свят. Понастоящем в ЕС съществуват редица различни схеми за сертифициране на сигурността на ИКТ продукти. Без обща рамка за валидни за целия ЕС сертификати за киберсигурност обаче съществува все по-голям риск от разпокъсаност и пречки между държавите членки.

Рамка за сертифициране

Рамката за сертифициране ще осигури общоевропейски схеми за сертифициране като всеобхватен набор от правила, технически изисквания, стандарти и процедури. Рамката ще се основава на споразумение на равнище ЕС относно оценката на характеристиките за сигурност на конкретен продукт или услуга, основани на ИКТ. Тя ще удостоверява, че ИКТ продуктите и услугите, които са сертифицирани в съответствие с такава схема, отговарят на определени изисквания.

По-специално всяка европейска схема следва да посочва:

• обхванатите категории продукти и услуги;
• изискванията за киберсигурност, като например стандарти или технически спецификации;
• вида на оценката, като например самооценка или оценка от трета страна;
• Предвиденото ниво на увереност.

Нивата на обезпеченост се използват за информиране на потребителите за киберриска на продукта и могат да бъдат основни, съществени и/или високи. Те са съизмерими с нивото на риска, свързан с предвидената употреба на продукта, услугата или процеса, по отношение на вероятността и въздействието на аварията. Високото ниво на сигурност би означавало, че сертифицираният продукт е преминал най-високите тестове за сигурност.

Полученият сертификат

Полученият сертификат ще бъде признат във всички държави — членки на ЕС, което ще улесни предприятията при трансграничната търговия, а купувачите — при разбирането на защитните елементи на продукта или услугата.

За да научите повече за работата по сертифицирането на киберсигурността в ЕС, моля, направете справка със сертифицирането на киберсигурността на ENISA.

Първата схема на ЕС за сертифициране на киберсигурността въз основа на общи критерии (EUCC)

Първата схема, която ще бъде приета съгласно рамката за сертифициране на Акта за киберсигурността, се основава на известния международен стандарт „Общи критерии“, използван за издаване на сертификати в Европа вече почти 30 години. Схемата се възползва от високата репутация на европейските доставчици и сертифициращи органи, които използват сертифициране въз основа на общите критерии в целия свят. Схемата ще започне да бъде достъпна за продавачите от 27 февруари 2025 г.

Схемата ще се прилага в целия ЕС на доброволна основа и е насочена към сертифициране на киберсигурността на ИКТ продукти през жизнения им цикъл, включително:

• Биометрични системи
• Защитни стени (хардуер и софтуер)
• Платформи за откриване и реагиране
• Маршрутизатори
• Превключватели
• Специализиран софтуер (като SIEM и IDS/IDP системи)
• Диоди за данни
• Операционни системи (включително за мобилни устройства)
• Криптирани хранилища
• Бази данни
• Смарт карти и защитени елементи, включени във всички видове продукти, като например в паспортите, използвани ежедневно от всички граждани. 

За да научите повече за ЕССК, моля, посетете уебсайта за сертифициране на ENISA.

Обновена европейска рамка за сертифициране на киберсигурността

На 20 януари 2026 г. Комисията предложи преразгледан Акт за киберсигурността, с който се подновява Европейската рамка за сертифициране на киберсигурността (ECCF). Предложението ще гарантира, че продуктите и услугите, достигащи до потребителите в ЕС, се изпитват за сигурност по по-ефективен начин. Новият ECCF ще внесе повече яснота и ще опрости процедурите за разработване на схеми в рамките на 12 месеца по подразбиране. С него също така ще се въведе по-гъвкаво и прозрачно управление с цел по-добро включване на заинтересованите страни чрез информиране и консултации с обществеността.

Схемите за сертифициране, управлявани от ENISA, ще се превърнат в практичен, доброволен инструмент за предприятията. Те ще позволят на предприятията да докажат съответствие със законодателството на ЕС, като намалят тежестта и разходите. За гражданите, предприятията и публичните органи в ЕС тя ще гарантира високо равнище на сигурност и доверие в сложните вериги за доставки на ИКТ. 

Постоянна работна програма на Съюза за европейско сертифициране на киберсигурността (URWP)

Постоянната работна програма на Съюза (URWP) относно европейското сертифициране на киберсигурността беше публикувана едновременно с първата общоевропейска схема за сертифициране на киберсигурността (EUCC). В първата URWP се очертават стратегическите приоритети за бъдещите европейски схеми за сертифициране на киберсигурността, като се вземат предвид последните законодателни и пазарни промени, като например Законодателния акт за киберустойчивост (АКР) и Регламента за европейската цифрова самоличност. Това в крайна сметка може да доведе до искания за нови схеми, когато това е необходимо и целесъобразно. Освен това в него се очертават стратегическите приоритети, които трябва да бъдат взети предвид при изготвянето на всяка европейска схема за сертифициране на киберсигурността. 

URWP подчертава следните области за бъдещо европейско сертифициране на киберсигурността, свързани със законодателството на ЕС:

• Портфейли за самоличност
• Управлявани услуги за сигурност
• Индустриални системи за автоматизация и управление
• Развитие на жизнения цикъл на сигурността въз основа на изискванията на АКР
• Криптографски механизми

Европейска група за сертифициране на киберсигурността (ECCG)

Европейската група за сертифициране на киберсигурността (ECCG) беше създадена, за да помогне да се гарантира последователното изпълнение и прилагане на Акта за киберсигурността. Той се състои от представители на националните органи за сертифициране на киберсигурността или представители на други съответни национални органи. ЕКГП е от основно значение за изготвянето на проекта за схема за сертифициране и за общото прилагане на рамката за сертифициране.

Групата на заинтересованите страни в областта на сертифицирането на киберсигурността (SCCG)

След влизането в сила на Акта за киберсигурността през 2019 г. беше създадена Групата на заинтересованите страни в областта на сертифицирането на киберсигурността. 

SCCG отговаря за консултирането на Комисията и ENISA по стратегически въпроси, свързани със сертифицирането на киберсигурността, и подпомага Комисията при изготвянето на постоянната работна програма на Съюза (URWP). Това е първата експертна група на заинтересованите страни за сертифициране на киберсигурността, създадена от Европейската комисия.

Проследяване на работата на групата