EU's ramme for cybersikkerhedscertificering

Certificering spiller en afgørende rolle med hensyn til at øge tilliden til og sikkerheden af kritiske produkter og tjenester til den digitale verden. På nuværende tidspunkt findes der en række forskellige sikkerhedscertificeringsordninger for IKT-produkter i EU. Uden en fælles ramme for EU-dækkende gyldige cybersikkerhedsattester er der imidlertid en stigende risiko for fragmentering og hindringer mellem medlemsstaterne.

Certificeringsrammen

Certificeringsrammen vil omfatte EU-dækkende certificeringsordninger som et omfattende sæt regler, tekniske krav, standarder og procedurer. Rammen vil være baseret på en aftale på EU-plan om evaluering af sikkerhedsegenskaberne ved et bestemt IKT-baseret produkt eller en bestemt IKT-baseret tjeneste. Det attesterer, at IKT-produkter og -tjenester, der er certificeret i overensstemmelse med en sådan ordning, opfylder bestemte krav.

Hver europæisk ordning bør navnlig specificere:

• de kategorier af produkter og tjenesteydelser, der er omfattet
• cybersikkerhedskravene, f.eks. standarder eller tekniske specifikationer
• typen af evaluering, f.eks. selvevaluering eller tredjepart
• Det tilsigtede sikkerhedsniveau.

Tillidsniveauerne bruges til at informere brugerne om et produkts cybersikkerhedsrisiko og kan være grundlæggende, væsentlige og/eller høje. De står i et rimeligt forhold til det risikoniveau, der er forbundet med den tilsigtede anvendelse af produktet, tjenesteydelsen eller processen, med hensyn til sandsynligheden for og virkningen af en ulykke. Et højt sikkerhedsniveau ville betyde, at det certificerede produkt bestod de højeste sikkerhedstests.

Det resulterende certifikat

Det resulterende certifikat vil blive anerkendt i alle EU's medlemsstater, hvilket vil gøre det lettere for virksomhederne at handle på tværs af grænserne og for køberne at forstå produktets eller tjenesteydelsens sikkerhedselementer.

Du kan få mere at vide om det arbejde, der er gjort med EU's cybercertificering, i ENISA's cybersikkerhedscertificering.

EU's cybersikkerhedscertificeringsordning for fælles kriterier (EUCC)

Den første ordning, der skal vedtages i henhold til certificeringsrammen i forordningen om cybersikkerhed, er baseret på den anerkendte internationale standard for fælles kriterier, der har været anvendt til at udstede certifikater i Europa i næsten 30 år nu. Ordningen drager fordel af det høje omdømme, som europæiske leverandører og certificeringsorganer, der anvender den fælles kriteriebaserede certificering i hele verden, har. Ordningen vil være tilgængelig for leverandører fra den 27. februar 2025.

Ordningen vil finde anvendelse i hele EU på frivillig basis og fokuserer på certificering af IKT-produkters cybersikkerhed i deres livscyklus, herunder:

• Biometriske systemer
• Firewalls (både hardware og software)
• Detektions- og reaktionsplatforme
• Routere
• Afbrydere
• Specialiseret software (såsom SIEM- og IDS/IDP-systemer)
• Datadioder
• Operativsystemer (herunder til mobile enheder)
• Krypterede lagre
• Databaser
• Smartkort og sikre elementer, der indgår i alle former for produkter, f.eks. i pas, der dagligt anvendes af alle borgere. 

Du kan læse mere om EUCC på ENISA's certificeringswebsted.

Unionens rullende arbejdsprogram for europæisk cybersikkerhedscertificering (URWP)

EU's rullende arbejdsprogram for europæisk cybersikkerhedscertificering blev offentliggjort samtidig med den første EU-dækkende cybersikkerhedscertificeringsordning (EUCC). Det første arbejdsprogram skitserer strategiske prioriteter for fremtidige europæiske cybersikkerhedscertificeringsordninger under hensyntagen til den seneste lovgivnings- og markedsudvikling såsom forordningen om cyberrobusthed og forordningen om en europæisk digital identitet. Dette kan i sidste ende føre til anmodninger om nye ordninger, hvor det er nødvendigt og hensigtsmæssigt. Desuden skitseres de strategiske prioriteter, der skal tages i betragtning ved udarbejdelsen af enhver europæisk cybersikkerhedscertificeringsordning. 

URWP understreger følgende områder for fremtidig europæisk cybersikkerhedscertificering i forbindelse med EU-lovgivning:

• ID-tegnebøger
• Administrerede sikkerhedstjenester
• Industrielle automatiserings- og kontrolsystemer
• Udvikling af sikkerhedslivscyklus på grundlag af kreditvurderingsbureauernes krav
• Kryptografiske mekanismer

Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG)

Den Europæiske Cybersikkerhedscertificeringsgruppe (ECCG) blev oprettet for at bidrage til at sikre en konsekvent gennemførelse og anvendelse af forordningen om cybersikkerhed. Det består af repræsentanter for nationale cybersikkerhedscertificeringsmyndigheder eller repræsentanter for andre relevante nationale myndigheder. ECCG er afgørende for udarbejdelsen af kandidatcertifikatordningen og den generelle gennemførelse af certificeringsrammen.

Cybersikkerhedscertificeringsgruppen for Interessenter (SCCG)

Efter ikrafttrædelsen af forordningen om cybersikkerhed i 2019 blev Cybersikkerhedscertificeringsgruppen for Interessenter (SCCG) oprettet. 

SCCG er ansvarlig for at rådgive Kommissionen og ENISA om strategiske spørgsmål vedrørende cybersikkerhedscertificering og bistå Kommissionen med udarbejdelsen af Unionens rullende arbejdsprogram. Dette er den første ekspertgruppe for cybersikkerhedscertificering, som Europa-Kommissionen har nedsat.

Følg gruppens arbejde